Les sites qui remplacent Coco – Bounty.chat, Cocoland et leurs équivalents – posent une question que les débats sur la modération occultent presque systématiquement : que deviennent les données personnelles d’un utilisateur lorsque la plateforme ferme, puis réapparaît sous une autre forme ?
La fermeture de Coco.gg en juin 2024 par les autorités françaises n’a pas mis fin au problème. Des copies du site ont circulé, Cocoland a émergé, Bounty.chat s’est présenté comme une alternative directe. À chaque résurgence, les données publiées ou collectées lors de la vie du site précédent n’ont pas disparu avec lui.
Ce que la fermeture d’un site ne supprime pas : données, copies et successeurs
Fermer un service en ligne bloque l’accès depuis un navigateur. Cela ne détruit pas les bases de données hébergées sur des serveurs, ni les copies réalisées avant ou pendant la procédure judiciaire. Dans le cas de Coco, la réapparition de successeurs comme Cocoland illustre cette réalité : une fermeture administrative ou judiciaire ne garantit pas que les contenus publiés par les utilisateurs ont été effacés.
Cette distinction est centrale. Un message posté sur Coco, avec un pseudonyme, une localisation ou une adresse IP associée, peut avoir été indexé, copié ou migré vers un successeur sans que l’utilisateur en soit informé. La question n’est pas théorique : des enquêtes judiciaires ont précisément exploité des données issues de ces plateformes pour identifier des suspects.
La situation est aggravée par le fonctionnement technique de ces sites. Les plateformes de chat anonyme ne proposent généralement pas de compte utilisateur classique, ce qui rend illusoire l’exercice du droit à l’effacement : sans compte identifié, il n’existe pas de point d’entrée administratif pour demander la suppression de ses données.
DSA, ARCOM et CNIL : qui contrôle réellement la protection des données sur ces plateformes
Le Digital Services Act (DSA), entré en vigueur le 17 février 2024, impose aux hébergeurs et services intermédiaires un mécanisme de signalement des contenus illicites. Il n’impose pas, en revanche, une obligation générale de surveiller les informations transmises ou stockées sur leurs serveurs. Cette nuance est rarement expliquée dans les articles traitant de la mise en cause de ces plateformes.
L’Arcom, désignée coordinateur français des services numériques au titre du DSA, intervient sur le respect de ces obligations de modération et de transparence. Son rôle ne couvre pas la protection des données personnelles au sens du RGPD : cette compétence appartient à la CNIL. Ces deux autorités opèrent donc sur des périmètres distincts, et une action de l’Arcom contre Bounty.chat ne dit rien, en soi, sur la conformité du site au regard du traitement des données personnelles.
| Autorité | Périmètre d’intervention | Levier principal |
|---|---|---|
| Arcom | Obligations DSA : modération, signalement, transparence | Mise en demeure, blocage de l’accès |
| CNIL | Traitement des données personnelles (RGPD) | Mise en demeure, amende |
| Parquet / Justice | Infractions pénales liées aux contenus | Fermeture judiciaire, saisie de serveurs |
Cette répartition a une conséquence directe pour les utilisateurs : une plateforme peut être sanctionnée par l’Arcom pour défaut de modération tout en n’ayant jamais fait l’objet d’un contrôle de la CNIL sur ses pratiques de collecte ou de conservation des données.
Transparence des outils de modération : ce que le DSA oblige à déclarer
Le DSA contraint les intermédiaires à décrire, dans leurs conditions d’utilisation, les restrictions et les outils de modération employés, y compris les moyens automatisés. Cette obligation de transparence s’applique aux successeurs de Coco dès lors qu’ils sont accessibles depuis l’Union européenne et qu’ils remplissent les critères de service intermédiaire.
En pratique, les plateformes de remplacement de Coco n’ont pas toutes publié de telles informations. L’absence de politique de confidentialité lisible est en elle-même un indicateur de non-conformité. Un utilisateur qui consulte Bounty.chat ou Cocoland sans trouver de mentions légales détaillées sur le traitement de ses données navigue sur un site qui ne respecte pas les obligations minimales imposées par le droit européen.
- Le DSA exige un point de contact pour les signalements de contenus illicites, accessible à tout utilisateur depuis l’interface du service.
- Les hébergeurs doivent conserver des rapports sur les décisions de modération prises, y compris les retraits de contenu et les suspensions de compte.
- Les systèmes de recommandation algorithmique doivent être décrits dans les conditions générales, avec une option pour les désactiver.
Recours accessibles après la réapparition d’un site successeur
Lorsqu’un successeur de Coco réapparaît avec des données issues de la plateforme initiale, les recours disponibles sont limités mais existent. Le premier point d’entrée reste la CNIL, via son formulaire de plainte en ligne, pour exercer un droit d’accès, de rectification ou d’effacement auprès du responsable de traitement identifié.
La difficulté tient à l’identification de ce responsable. Les plateformes anonymes hébergées hors de France, avec des noms de domaine en .gg (Guernesey) ou d’autres extensions peu régulées, compliquent la localisation juridique du traitement. Lorsque le responsable de traitement est hors Union européenne, la CNIL peut saisir son homologue étranger via le mécanisme de coopération du RGPD, mais les délais sont significativement plus longs.
- Saisir la CNIL par voie de plainte en ligne si des données personnelles identifiables ont été publiées sans consentement ou conservées après demande d’effacement.
- Contacter l’hébergeur technique du site successeur (identifiable via une recherche WHOIS) pour demander le retrait de contenus spécifiques sur le fondement du DSA.
- En cas de préjudice caractérisé (atteinte à la réputation, utilisation des données dans un contexte criminel), déposer une plainte auprès du parquet, qui dispose de pouvoirs de saisie des serveurs inaccessibles aux autorités administratives.
Ce que les sites remplacants Coco ne publient pas sur leurs pratiques de données
Les pages concurrentes traitant de Bounty.chat ou de Cocoland se concentrent sur la chronique judiciaire et les risques de modération. Elles n’analysent pas ce que ces plateformes collectent réellement : adresses IP, métadonnées de connexion, contenu des échanges, géolocalisation approximative fournie volontairement par les utilisateurs.
Sur les plateformes de chat anonyme, l’anonymat du pseudonyme ne protège pas l’adresse IP, qui constitue une donnée personnelle au sens du RGPD. Cette donnée est collectée automatiquement à chaque connexion et peut être conservée pendant une durée variable selon la politique interne du site. Si un successeur de Coco a récupéré des journaux de connexion de l’ancienne plateforme, il dispose techniquement de l’historique de navigation de ses utilisateurs passés.
La question n’est donc pas seulement de savoir si Bounty.chat sera interdit par l’Arcom. Elle porte sur ce qui existe déjà, dans des bases de données dont personne ne contrôle actuellement l’intégrité ni la destination.
