La lutte contre les retransmissions illégales de football en Espagne ne se limite plus uniquement aux droits audiovisuels. Elle s’est également transformée en une étude de cas sur la manière à ne pas déployer des mesures de blocage sur internet, lorsque cela conduit à compromettre des sites et services sans rapport avec la piraterie.

La Commission Européenne a récemment évalué, deux ans après, sa Recommandation (UE) 2023/1018 concernant la lutte contre la piraterie d’événements sportifs et autres diffusions en direct. Et dans ce bilan apparaît explicitement le cas espagnol : les blocages initiés par LaLiga et Telefónica ont suscité des plaintes pour surblocage et ouvert un débat sur les garde-fous existants.

De son côté, LaLiga a diffusé sa propre interprétation du rapport, selon laquelle Bruxelles « approuve » la stratégie de blocages dynamiques appliquée en Espagne. Cependant, pour l’écosystème numérique, et notamment pour ceux dont le site a été brusquement mis hors ligne, la perception est très différente.

Ce que Bruxelles demandait en 2023 : bloquer oui, mais sans affecter injustement des tiers

La Recommandation de 2023 était très précise sur ses intentions : les États membres et les intermédiaires pouvaient recourir à des blocages par DNS et même par IP, y compris des blocages dynamiques, à condition de respecter deux principes fondamentaux :

1. que les mesures soient strictement sélectives.
2. qu’elles n’empêchent pas, de manière inutile, aux utilisateurs d’accéder à des contenus légitimes.

Autrement dit, la Commission a ouvert la voie à une action rapide contre des clones et sites miroir, utilisés pour contourner les blocages… tout en insistant sur le fait que le remède ne doit pas être pire que le mal. Le texte évoque explicitement la nécessité de respecter des droits fondamentaux comme la liberté d’information et l’accès à des contenus légitimes.

Depuis le début, de nombreux experts en réseaux et droits numériques ont alerté sur un risque évident : bloquer par IP en 2025, ce n’est pas simplement bloquer « un site », mais potentiellement couper des services pour des centaines ou milliers de projets partageant la même infrastructure dans des CDNs et des clouds publics.

Le lobbying sportif en demande toujours plus : blocage paneuropéen et KYC pour VPN et CDN

Quelques jours avant la publication de l’évaluation de la Recommandation, le lobby sportif et audiovisuel a fait entendre sa voix : une lettre ouverte adressée à des hauts responsables de la Commission Européenne où il demandait d’aller encore plus loin.

Les principales revendications incluaient :

• Un système européen de blocage des IP, contraignant et obligatoire.
• Que les intermédiaires (fournisseurs d’accès, prestataires de services, etc.) coupent l’accès aux contrevenants en quelques minutes après notification.
• Que VPN et réseaux CDN tiennent un registre KYC (Know Your Customer) avec l’identité réelle de leurs utilisateurs.

Parmi les signataires se trouvait le président de LaLiga, Javier Tebas. Leur message était clair : ils considèrent la Recommandation insuffisante, et souhaitent des règles strictes, automatiques, avec moins d’espace à la nuance.

Pour un observateur technologique, ces exigences soulèvent plusieurs alarmes : rendre le KYC obligatoire pour VPN et CDN va à l’encontre des principes de vie privée et de sécurité ; un système paneuropéen de blocage par IP, mis en place à la hâte, ressemble à une recette parfaite pour le surblocage systématique.

Ce que révèle réellement l’évaluation de la Commission

Dans son rapport de synthèse après deux ans, la Commission Européenne admet que, dans l’ensemble, le blocage de contenus légitimes a été « très limité » dans la majorité des États membres. Mais souligne immédiatement que le risque de surblocage est bien plus élevé lorsque les mesures reposent sur l’IP plutôt que sur des identifiants plus précis.

Elle cite notamment deux cas problématiques :

• Le déploiement de l’outil Piracy Shield en Italie.
• La ordonnance de blocage dans l’affaire LaLiga/Telefónica en Espagne.

Dans les deux pays, Bruxelles reconnaît que des utilisateurs et d’autres parties prenantes ont déposé des plaintes pour des blocages excessifs, alimentant le débat sur la suffisance des garde-fous actuels. Le rapport rappelle aussi la jurisprudence de la Cour de Justice de l’Union Européenne : les mesures de blocage doivent être très sélectives et ne pas toucher des internautes accédant légalement aux contenus.

Ce n’est pas un détail : l’Espagne est citée dans un rapport officiel comme un exemple pays où les blocages ont provoqué des problèmes, alors même que le lobby pousse pour faire de ces outils la norme obligatoire.

Madrid ferme les yeux, LaLiga se déclare « légitimée »

Le point de vue de Bruxelles contraste avec la version officielle en Espagne. Lors d’une réponse récente au Congrès, en réponse à des questions d’ERC, le gouvernement a affirmé n’avoir « reçu aucune communication ou plainte officielle » attestant de cas précis de surblocage liés aux ordres de LaLiga et Telefónica.

Cet argument est formel : si personne n’a activé de procédure officielle ni formulé de réclamation dans le canal adéquat, le ministère peut déclarer que « cela ne figure pas dans ses dossiers ». Cependant, cela ne prouve pas que des dommages n’existent pas, mais simplement que les victimes potentielles ne se manifestent pas via les canaux officiels. Une PME, un blog ou une association qui voit sa plateforme suspendue lors d’un match aurait peu de chances d’engager une procédure complexe contre LaLiga ou un opérateur majeur.

De son côté, LaLiga publie une note dans laquelle elle considère que l’évaluation de la Commission constitue un soutien à sa stratégie. Selon la fédération, le fait que peu d’incidents signalés, rapportés par rapport au volume global de blocages, prouve que leurs garanties sont suffisantes et que le modèle de blocages dynamiques fonctionne.

Hors communication officielle, le ton devient parfois franchement méprisant. Des membres de l’organisation ont minimisé les cas de surblocage, traitant les victimes de « quelques geeks » ou de sites sans trafic pertinent. La sous-entendue idée : si ton projet ne génère pas beaucoup d’audience, ton droit à rester en ligne importe peu face à la priorité de protéger le football payant.

Aspect technique : bloquer par IP en 2025, c’est tirer à la mitrailleuse

Du point de vue technique, le surblocage n’est pas un « malheureux accident », mais une conséquence presque inévitable de la méthode choisie. Bloquer par IP dans un environnement dominé par des CDNs, load balancers et clouds multi-tenant signifie, en pratique :

• Couper brutalement tous les domaines qui résolvent à cette IP à un instant donné.
• Avoir des sites qui, selon la charge ou le routage CDN, peuvent changer d’IP en cours de journée.
• Couper des services essentiels (API, interfaces d’administration, applications internes) partageant la même infrastructure.

Lorsque l’on parle de blocages dynamiques, qui s’ajustent en temps réel pendant les matches, les marges de manœuvre pour tester, vérifier et ajuster se réduisent considérablement. Les listes sont générées et appliquées dans l’urgence. Dans ce contexte, les garanties de « strictement sélectif » exigées par l’UE ressemblent davantage à une aspiration qu’à une réalité technique.

Pour un opérateur réseau, une alternative — bloquer par URL ou par motifs de trafic plus précis — est plus coûteuse, plus complexe, mais également beaucoup plus respectueuse des services légitimes. Choisir de bloquer par IP, c’est adoptée la solution la plus simple et grossière, en transférant le coût de l’erreur à des tiers qui ne participent pas à la lutte contre la piraterie.

Impact sur l’écosystème numérique : des petits projets en danger permanent

Le discours disant qu’« il n’y a que quelques cas » masque un autre problème : l’asymétrie du pouvoir.

• LaLiga et Telefónica disposent de ressources pour obtenir des ordres de blocage, faire appel à des avocats et communiquer publiquement.
• Les petites structures concernées, souvent des PME numériques, boutiques locales, médias régionaux ou projets personnels, se retrouvent avec leur site inaccessible sans comprendre comment réagir ni où déposer une plainte.

Pour l’écosystème technologique, cela se traduit par plusieurs risques :

• Perte de confiance dans l’infrastructure partagée : tout site hébergé chez certains fournisseurs pourrait devenir « victime collatérale » d’un blocage massif.
• Effet de découragement : si un petit projet ne peut garantir que ses services ne seront pas interrompus par une décision tierce, cela limite ses investissements et sa croissance.
• Normalisation de la censure technique : cela ouvre la voie à d’autres secteurs pour exiger des mécanismes similaires, en s’appuyant sur l’exemple du football.

Tout cela va à l’encontre du discours officiel de l’Union Européenne sur souveraineté numérique, soutien aux PME technologiques et protection des droits fondamentaux en ligne.

Quelles sont les attentes du secteur technologique ?

Face à cette situation, un média spécialisé en technologie ne peut pas se contenter de relater le conflit entre LaLiga et les sites affectés comme une simple anecdote. Il y a des enjeux fondamentaux que la communauté technologique européenne doit mettre à l’agenda :

• Transparence obligatoire : listes d’IP et de domaines bloqués, critères utilisés, durées de mesures. Sans visibilité, il est impossible d’auditer l’impact réel.
• Mécanismes rapides d’intervention : si un site légitime est affecté, il doit exister un canal efficace pour demander le retrait du blocage et obtenir une réponse en heures, pas en semaines.
• Contrôle indépendant : autorités nationales ou organismes européens doivent avoir le pouvoir réel d’auditer les ordres et leur exécution, au-delà de simples rapports.
• Favoriser des mesures techniques plus fines : privilégier les blocages par URL, signature de contenu ou coopération avec les plateformes, plutôt que des coupures IP sans distinction.

L’évaluation de la Commission Européenne montre clairement que le surblocage existe déjà, comme le prouve le cas LaLiga/Telefónica. La question est : l’Europe prendra-t-elle cette alerte au sérieux, rectifiera-t-elle le tir, et protégera-t-elle l’infrastructure numérique comme une ressource stratégique… ou laissera-t-elle quelques millions d’adresses IP servir de terrain d’expérimentation à des solutions grossières, au nom de la tranquillité du football payant le week-end ?

source : Bruxelles signale le problème du ‘LaLigaGate’