La Cour suprême de l’Inde ordonne la création d’une base de données commune pour supprimer les contenus pédocriminels et rejette les interdictions générales d’accès à Internet

Un système commun de détection, sans priver les enfants d’accès à Internet

La Cour suprême de l’Inde a ordonné au gouvernement de l’Union de créer une base de données nationale de hachages et d’URL afin d’aider les plateformes à identifier et à supprimer, sur leurs différents services, les contenus avérés d’exploitation et d’abus sexuels sur des enfants. Chaque entrée devra être évaluée indépendamment par au moins trois analystes humains formés, et la base contiendra des identifiants numériques et des adresses Internet, et non les images ou vidéos abusives elles-mêmes.

Cette décision de 136 pages, datée du 15 octobre 2026, fixe également des délais de signalement aux entreprises de réseaux sociaux, exige des systèmes de plainte accessibles et préconise une éducation à la sécurité numérique dans les écoles. Le gouvernement devra présenter un affidavit décrivant l’état d’avancement de la mise en œuvre lors de la prochaine audience, le 10 décembre 2026.

Les juges J. B. Pardiwala et K. Vinod Chandran ont rendu ces directives dans l’affaire Just Rights for Children Alliance & Anr. v. S. Harish & Ors., à la suite de requêtes dénonçant le non-respect présumé de l’arrêt rendu par la Cour le 23 septembre 2024.

La formation de jugement a assorti le renforcement des obligations des entreprises technologiques d’un constat constitutionnel : les enfants ont un droit fondamental à accéder à Internet et à l’utiliser. Elle a refusé de soutenir des restrictions générales fondées sur l’âge, privilégiant l’accompagnement parental, des paramètres de compte plus sûrs et des mesures contre les personnes qui créent, diffusent ou tirent profit de contenus abusifs.

Pourquoi les suppressions isolées par les plateformes ne suffisent pas

La Cour a relevé une faiblesse pratique du système en vigueur. Lorsqu’une entreprise détecte et supprime un contenu abusif, une autre plateforme peut continuer à héberger la même image, la même vidéo ou le même lien faute de l’avoir identifiée de manière indépendante.

La règle 4(4) des Information Technology (Intermediary Guidelines and Digital Media Ethics Code) Rules, 2021, vise les contenus précédemment supprimés des ressources informatiques propres à l’intermédiaire concerné. La formation a estimé cette approche trop restrictive pour permettre une détection coordonnée entre plusieurs services.

Les requêtes ont également attiré l’attention sur des promotions payantes qui auraient dirigé les utilisateurs vers des contenus abusifs par l’intermédiaire de liens et de sites externes. Sur 84 publicités examinées en Inde, 55 ont été signalées au moyen du système de signalement d’une plateforme. Parmi elles, 43 ont été jugées conformes à ses normes publicitaires, soit environ 78 % des publicités signalées.

Pour la Cour, le problème tenait à la fois aux mises en ligne répétées et aux moyens par lesquels les utilisateurs étaient dirigés vers des contenus d’exploitation. Le dispositif couvre donc l’identification de contenus connus, la vérification d’adresses externes, le signalement à la police et l’examen des revenus tirés de leur diffusion.

Fonctionnement de la base de données nationale

La base de données nationale de hachages et d’URL pourra être hébergée sur le portail Sahyog de l’Indian Cyber Crime Coordination Centre, connu sous le nom d’I4C, ou prendre la forme d’un dépôt distinct. Sahyog a actuellement pour fonction d’acheminer les plaintes et les demandes de retrait ; la base envisagée ajouterait un référentiel commun pour détecter les contenus abusifs avérés.

Un hachage est un identifiant numérique généré à partir d’un fichier, comparable à une empreinte. Les plateformes peuvent comparer ces identifiants pour reconnaître des contenus déjà repérés ailleurs. Le hachage perceptuel va plus loin en aidant à détecter des images ou des vidéos similaires après des modifications telles qu’un redimensionnement ou un changement de format.

Une URL est une adresse Internet. Leur répertoriage aide les plateformes à agir contre les liens qui dirigent les utilisateurs vers des emplacements connus pour héberger des contenus abusifs, y compris lorsque ces contenus sont stockés en dehors de la plateforme qui héberge le lien.

Le gouvernement devra élaborer des lignes directrices ou des procédures opérationnelles standard à l’intention des grands intermédiaires de réseaux sociaux pour l’utilisation de la comparaison des hachages perceptuels et du répertoriage des URL. La Cour a privilégié des orientations susceptibles d’être révisées périodiquement en fonction de l’évolution technologique.

Les plateformes compareront leurs services aux entrées de la base de données, tandis que les services répressifs utiliseront les identifiants communs pour localiser ailleurs en ligne des contenus correspondants. Une détection confirmée pourra ainsi déclencher des mesures sur plusieurs services, sans devoir recommencer le processus de détection dans chaque entreprise.

Trois évaluations humaines avant toute inscription

La Cour a imposé plusieurs étapes de vérification avant qu’un contenu puisse être enregistré dans la base de données. Un logiciel peut effectuer un premier tri, mais au moins trois analystes humains formés devront chacun évaluer indépendamment si le contenu constitue un contenu d’exploitation et d’abus sexuels sur des enfants, ou CSEAM.

Les entrées devront être transmises par des canaux chiffrés. Le dépôt ne devra conserver que les hachages et les URL concernés, ainsi que les évaluations, les journaux d’accès et les audits indépendants. Les entrées incorrectes devront être supprimées rapidement.

Les personnes touchées par des suppressions fondées sur des entrées de la base devront pouvoir accéder à une procédure de réclamation. Les notifications de retrait devront expliquer les motifs de la mesure afin que la personne sache si elle doit s’adresser à la plateforme ou à l’organisme qui gère la base.

Ces garanties associent un puissant système commun de détection à une voie de recours permettant de corriger les erreurs. Comme une entrée peut entraîner des mesures sur plusieurs plateformes, la précision de l’évaluation initiale importe pour toutes les suppressions ultérieures.

Quelles mesures sont soumises à un délai de signalement de deux heures ?

La Cour a défini des procédures distinctes pour les contenus nouvellement identifiés et ceux déjà inscrits dans la base de données nationale. Dans ce cadre, un contenu d’origine inconnue désigne un contenu évalué au moyen du système de détection ou de plainte propre à une plateforme. Un contenu connu est un contenu correspondant à une entrée confirmée dans la base.

• Lorsqu’une plateforme détecte et supprime de manière indépendante un contenu d’origine inconnue, elle doit signaler le retrait dans les deux heures.
• Lorsqu’un retrait fait suite à une plainte, la plateforme doit le signaler dès que la plainte est traitée et, au plus tard, dans les deux heures suivant son traitement.
• Lorsqu’un contenu correspond à une entrée existante dans la base, la plateforme doit immédiatement le désactiver et le supprimer, puis transmettre chaque semaine un rapport récapitulatif de ces suppressions.

Les plateformes devront vérifier les contenus nouvellement identifiés avant de les supprimer et de les signaler selon cette procédure. Elles devront en informer les autorités désignées par le droit indien, notamment l’unité spéciale de la police pour les mineurs, la police locale ou le portail de lutte contre la cybercriminalité, selon les dispositions de la règle 11 des Protection of Children from Sexual Offences Rules, 2020. L’organisme désigné pour gérer la base devra également être informé s’il s’agit d’une autorité distincte.

Les délais de deux heures concernent les signalements effectués après un retrait ou le traitement d’une plainte. La procédure de signalement hebdomadaire s’applique aux correspondances avec des contenus déjà confirmés dans la base, en plus de l’obligation de retrait immédiat.

L’arrêt de septembre 2024 avait déjà lié les obligations de signalement à l’article 79 de l’Information Technology Act, 2000. Cet article prévoit une protection conditionnelle, souvent appelée « safe harbour », contre la responsabilité pour les contenus publiés par des utilisateurs. La Cour a estimé que les intermédiaires doivent exercer la diligence requise et respecter les obligations de signalement prévues par la législation sur la protection de l’enfance pour bénéficier de cette protection.

Les plaintes doivent être examinées par une personne formée

Les plateformes devront proposer une catégorie de signalement CSEAM distincte, clairement intitulée et accessible en deux étapes au maximum. Le signalement devra préserver l’anonymat sans exiger de renseignements personnels, et les coordonnées du responsable du traitement des réclamations devront être faciles à trouver sur les sites web et les applications.

Chaque plainte devra faire l’objet d’un accusé de réception dans les 24 heures et recevoir un numéro de référence. Un responsable des réclamations formé devra l’examiner, puis le plaignant devra recevoir la décision et ses motifs. Des outils automatisés pourront aider au premier tri, mais un responsable formé restera chargé d’examiner la plainte.

La Cour a également demandé des rapports dans un format uniforme, exploitable par les systèmes informatiques. Des signalements cohérents permettraient aux autorités de disposer d’informations utilisables sans devoir harmoniser les formats propres à chaque entreprise.

Le gouvernement de l’Union a été invité à étendre les obligations de responsabilité à tous les intermédiaires par des modifications appropriées des règles informatiques. Pour les utilisateurs, le changement attendu est concret : un moyen de signalement accessible, une plainte dont ils peuvent suivre le traitement et une décision expliquant les mesures prises.

Les revenus publicitaires et les abonnements sous surveillance

La formation a ordonné aux intermédiaires d’empêcher que des contenus CSEAM ou d’autres contenus préjudiciables interdits soient proposés, hébergés, mis en ligne, promus ou diffusés au moyen de péages numériques ou d’abonnements, directement ou indirectement. Un péage numérique est un dispositif de paiement que les utilisateurs doivent franchir pour accéder à un contenu.

La Cour a déclaré que les revenus tirés de contenus interdits diffusés par ces services devraient être confisqués et reversés. Elle a demandé au gouvernement d’élaborer le cadre nécessaire et d’envisager des sanctions financières exemplaires en cas de manquement aux obligations prévues par l’IT Act et ses règles.

Le montant des sanctions devrait tenir compte de la gravité, de la durée et de la répétition du manquement, ainsi que de la taille et du chiffre d’affaires de l’entreprise. La réponse pourrait ainsi prendre en compte à la fois les manquements répétés et l’ampleur de l’activité de l’entreprise concernée.

La décision porte aussi sur les contenus électroniques qui facilitent l’exploitation, notamment les publicités pour des outils qui transforment des images en contenus abusifs ou redirigent les utilisateurs vers ceux-ci. La Cour a estimé que le champ d’application de l’IT Act et de ses règles ne se limitait pas aux seules représentations visuelles, en se référant à l’article 67B(d) et à la règle 3(1)(b).

Avant la décision, le ministère de l’Électronique et des Technologies de l’information a indiqué à la Cour avoir adressé, en juillet 2026, une notification au responsable de la conformité de Meta au sujet de publicités payantes faisant la promotion de contenus CSEAM. La procédure était toujours en cours. Le gouvernement a également fait état de discussions à l’issue desquelles Google et Meta ont accepté de signaler directement des cas aux services répressifs indiens.

Pourquoi la Cour a rejeté une interdiction générale visant les enfants

La formation a reconnu que l’accès à Internet et son utilisation constituent un droit fondamental au titre de l’article 21, qui protège le droit à la vie et à la liberté individuelle, lu conjointement avec l’article 19(1)(a), qui protège la liberté de parole et d’expression. Elle a déclaré que les enfants jouissent de ces droits quel que soit leur âge.

Les juges Pardiwala et Chandran ont expliqué dans leur décision comment concilier protection et accès :

La sécurité de nos enfants et leur liberté ne sont pas incompatibles. Nos enfants ont droit aux deux.

La Cour a estimé qu’après une interdiction, les enfants pourraient continuer à utiliser Internet en secret et se tourner vers des services moins réglementés. Un enfant menacé ou manipulé pourrait alors hésiter à demander de l’aide par crainte d’être puni pour être allé en ligne.

La formation a également soulevé des questions de confidentialité au sujet des systèmes qui obligent chaque utilisateur à prouver son âge au moyen d’une vaste collecte et d’une surveillance de données sensibles. Elle a plutôt proposé le consentement, l’accompagnement et la supervision des parents, ainsi qu’un mode spécialement conçu pour les enfants.

Parmi les paramètres envisagés figurent les comptes privés par défaut, la limitation des contacts avec des adultes inconnus et le contrôle des publicités et des contenus. Pour les enfants n’ayant pas encore atteint l’adolescence, la Cour a suggéré des moyens proportionnés de vérifier le consentement parental. Elle a laissé au gouvernement de l’Union le soin de préciser les modalités et a admis la possibilité de restrictions ciblées visant des services intrinsèquement préjudiciables, notamment les sites de contenus pour adultes.

Les écoles font partie du dispositif de protection

La Cour a ordonné que l’éducation à la sécurité numérique et l’éducation à la sexualité, adaptées à chaque âge, fassent partie du programme scolaire de base. Les cours devront aborder le consentement, les contacts physiques appropriés ou inappropriés, les relations saines, la protection des données personnelles, l’exploitation en ligne et les moyens de signaler les abus.

Le National Council of Educational Research and Training et les State Councils of Educational Research and Training devront élaborer les contenus avec des psychologues de l’enfance, des enseignants et des spécialistes de la parentalité. La Cour a également demandé que les numéros d’assistance soient affichés dans les écoles et que des programmes de sensibilisation commencent dès le primaire.

Pour les enfants, cela signifie apprendre à reconnaître les dangers et à en parler à un adulte de confiance, en complément des mesures techniques que les entreprises doivent mettre en place. Le volet éducatif vise les situations dans lesquelles un enfant est confronté à une manipulation ou à des comportements menaçants avant qu’une plateforme n’ait identifié une image ou un lien.

La terminologie employée par la Cour reflète également cette attention portée aux préjudices. Dans son arrêt de septembre 2024, elle a demandé au Parlement d’envisager de remplacer dans la loi POCSO le terme « pornographie enfantine » par une expression décrivant les contenus d’exploitation et d’abus sexuels sur des enfants, afin de mieux rendre compte de la nature des infractions.

Ce que le gouvernement doit faire avant le 10 décembre

Le ministère de l’Électronique et des Technologies de l’information et le ministère du Droit et de la Justice doivent prendre des mesures pour appliquer le dispositif au moyen de lignes directrices, de procédures opérationnelles standard et de modifications appropriées des règles informatiques et, si nécessaire, de l’IT Act. L’affidavit du gouvernement devra présenter l’état d’avancement, notamment les outils technologiques actuellement utilisés par les intermédiaires.

Le MeitY avait déjà soumis un projet de procédure préparé avec le ministère des Femmes et du Développement de l’enfant, le ministère de l’Intérieur, le département des Télécommunications et d’autres parties prenantes. Le solliciteur général Tushar Mehta a demandé davantage de temps pour le finaliser.

La procédure s’est déroulée en plusieurs étapes :

• 23 septembre 2024 : la Cour suprême rend son précédent arrêt sur les contenus CSEAM, notamment sur les obligations de signalement des intermédiaires.
• Février 2026 : le gouvernement modifie les règles applicables aux intermédiaires afin d’ajouter des obligations de diligence spécifiques concernant les contenus CSEAM.
• Juillet 2026 : le MeitY adresse une notification au responsable de la conformité de Meta au sujet de publicités payantes faisant la promotion de tels contenus.
• 14 août 2026 : la Cour exprime ses préoccupations au sujet de graves manquements aux obligations de conformité.
• 15 octobre 2026 : la formation rend le dispositif relatif à la base de données, aux signalements, à l’éducation et à la responsabilité.
• 10 décembre 2026 : la Cour doit réexaminer l’affaire ; le gouvernement devra alors avoir remis son affidavit sur l’état d’avancement.

La décision ne fixe ni date de lancement de la base de données ni montants définitifs pour les sanctions financières. Lors de l’audience de décembre, le gouvernement devra expliquer les mesures prises en faveur d’une détection commune, de signalements fiables et d’un accès plus sûr à Internet pour les enfants.

À retenir

• Une base de données nationale conservera les hachages et les URL de contenus avérés d’exploitation et d’abus sexuels sur des enfants, et non les contenus eux-mêmes.
• Au moins trois analystes humains formés devront évaluer indépendamment chaque entrée proposée.
• Le signalement de certains retraits devra intervenir dans les deux heures ; les correspondances avec des entrées existantes dans la base entraîneront un retrait immédiat et des rapports hebdomadaires.
• Les plateformes devront accuser réception des plaintes dans les 24 heures et prévoir un examen par une personne formée.
• La Cour a interdit la diffusion de ces contenus par péage numérique ou abonnement et demandé un cadre prévoyant des sanctions et le traitement des revenus interdits.
• Les enfants conservent un droit fondamental à accéder à Internet ; la Cour privilégie des mesures de protection ciblées plutôt que des interdictions générales.
• Le gouvernement devra rendre compte de l’avancement de la mise en œuvre lors de l’audience du 10 décembre 2026.