Le safe harbor DMCA pour un site de petites annonces : ce qu'achète vraiment la formalité à six dollars
La photo qui n'est pas la vôtre à perdre
Un annonceur met en ligne une photo prise sur le profil de quelqu'un d'autre, dans le portfolio d'un photographe professionnel, ou dans une banque d'images qui ne l'a jamais concédée pour cet usage. Des semaines plus tard, un courriel arrive, adressé non pas à l'annonceur, mais au site : un titulaire de droits, ou un avocat qui le représente, affirme que la photo lui appartient et menace de poursuivre la plateforme qui l'héberge. C'est le moment où un opérateur découvre que « c'est un utilisateur qui l'a publiée, pas nous » n'est pas en soi une défense juridique ; en droit d'auteur américain, un service qui stocke et affiche ce qu'un utilisateur met en ligne peut lui aussi être tenu responsable, aux côtés de celui qui l'a téléversé.
Une issue existe, et elle n'est pas automatique. C'est une immunité précise, le safe harbor de la DMCA prévu au 17 U.S.C. §512(c), conçu exactement pour cette situation : une plateforme qui héberge du contenu fourni par les utilisateurs et ne décide pas elle-même de ce qui est publié. Mais c'est une immunité sur demande. Elle ne protège qu'une plateforme ayant déjà accompli une liste courte et précise de démarches, et l'une d'elles, désigner un agent auprès d'un organisme fédéral, est le genre de formalité administrative qu'on repousse indéfiniment à « plus tard », parce que rien ne l'impose avant le jour où quelque chose l'impose vraiment.
C'est un problème différent de celui que le FOSTA-SESTA retranche de l'immunité des plateformes, qui concerne spécifiquement les contenus liés au trafic sexuel et modifie ce que couvre une autre loi, la Section 230. Une réclamation de droit d'auteur sur une photo n'a rien à voir avec ce que promeut l'annonce ; la même réclamation atterrirait de la même façon sur un site de petites annonces de meubles ou de voitures d'occasion. C'est un problème de propriété de l'image, pas de légalité du contenu, et il appelle sa propre réponse, distincte.
Ce qui rend ce sujet digne de l'attention d'un opérateur maintenant, et non après le premier avis, c'est que les conditions du safe harbor regardent vers l'avenir d'une manière précise : la protection couvre ce que fait le site une fois correctement mis en place, et un site qui ne commence les démarches qu'après l'arrivée d'une réclamation essaie de fermer une porte déjà ouverte. Régler cela coûte six dollars et un quart d'heure. Ne pas le faire coûte la capacité de dire, avec crédibilité, que la réclamation aurait dû viser l'annonceur plutôt que l'entreprise.
Une immunité qu'il faut demander
La Section 512(c) pose des conditions, pas une promesse générale. Pour en bénéficier, un fournisseur de services ne doit pas avoir une connaissance effective qu'un contenu précis viole un droit d'auteur, ne doit pas avoir connaissance de faits qui rendraient la violation manifeste, ne doit pas tirer un avantage financier direct lié à un contenu contrefaisant précis qu'il a le droit et la capacité de contrôler, et, dès qu'il apprend l'existence d'un élément contrefaisant précis, doit agir rapidement pour le retirer ou en bloquer l'accès. Rien de tout cela ne se produit automatiquement du seul fait que la plateforme est une place d'annonces d'utilisateurs plutôt qu'un éditeur de son propre contenu.
La condition qui piège les petits opérateurs en est une autre : un fournisseur de services doit désigner un agent pour recevoir les réclamations de droit d'auteur, et depuis que le Copyright Office américain est passé à un système entièrement électronique, cet agent doit être enregistré dans l'annuaire en ligne de l'office lui-même. Une adresse courriel publiée dans le pied de page d'un site, à elle seule, n'est plus ce que la loi recherche. L'ancienne méthode, déposer un formulaire papier ou simplement publier des coordonnées, a cessé de compter dès que les enregistrements papier ont perdu leur validité fin 2017 ; seule l'inscription dans l'annuaire électronique fait aujourd'hui le travail.
L'enregistrement lui-même est un formulaire court : raison sociale, le ou les domaines du site, et le nom et les coordonnées de la personne devant recevoir un avis. Le Copyright Office facture six dollars pour le dépôt initial, une modification, ou un nouveau dépôt, sans frais séparés pour la simple ouverture du compte qui le dépose. Pour une entreprise qui paie déjà bien plus pour le dossier de souscription d'un prestataire de paiement ou le tarif horaire d'un avocat, c'est l'une des protections juridiques les moins chères qu'elle achètera jamais, et l'une des plus faciles à oublier avoir achetées.
L'enregistrement n'est pas permanent. Il expire trois ans après son dépôt, sauf si le fournisseur le renouvelle, soit en modifiant l'entrée, soit en la redéposant sans changement, chacune de ces deux actions faisant repartir un nouveau délai de trois ans. Un enregistrement expiré n'envoie aucun avertissement à l'entreprise ; il cesse simplement d'être valide, silencieusement, et le vide n'est généralement découvert par celui qui cherche à s'en prévaloir qu'après l'arrivée d'une réclamation. La personne qui gère la conformité du site devrait avoir un rappel dans son calendrier pour cela, au même titre que pour le renouvellement d'un nom de domaine, car les deux défaillances se ressemblent de l'extérieur et coûtent à peu près autant à prévenir.
Ce qui arrive est un compte à rebours, pas une politesse
Un avis de retrait au format valide ne demande pas à l'opérateur d'enquêter ou de juger si la réclamation est fondée. Il demande une seule chose : que le contenu soit retiré ou désactivé rapidement. La loi ne fixe pas de nombre précis d'heures ou de jours pour « rapidement » ; ce qui compte comme suffisamment rapide s'apprécie au regard de ce qu'un fournisseur de cette taille et disposant de ces ressources pourrait raisonnablement assumer, ce qui, pour un petit site de petites annonces, signifie disposer d'un processus réel et fonctionnel, pas d'une promesse que quelqu'un s'en occupera.
En pratique, ce processus est simple à mettre en place et facile à négliger : une boîte de réception ou un formulaire surveillés qui atteignent une personne ayant l'autorité de retirer une annonce ou une photo précise, un registre de l'heure d'arrivée de l'avis et de celle où il a été traité, et l'habitude de traiter tout avis comportant les éléments requis (identification de l'œuvre, identification du contenu, coordonnées, déclaration de bonne foi, signature) comme déclenchant le compte à rebours, que la réclamation paraisse solide ou non à première lecture.
Ce dernier point compte parce que l'erreur inverse, une fausse réclamation de droit d'auteur ou une réclamation exagérée utilisée pour faire tomber l'annonce d'un concurrent, est un risque réel dans un secteur où les opérateurs se disputent déjà âprement le même trafic de recherche. La réponse du safe harbor à cela n'est pas que la plateforme joue les juges. C'est la contre-notification : un annonceur qui estime qu'un retrait était injustifié peut en déposer une, et dès qu'une contre-notification valide est reçue, le fournisseur est protégé s'il restaure le contenu après avoir attendu au minimum dix et au maximum quatorze jours ouvrables, sauf si l'auteur de la réclamation initiale intente une action en justice dans ce délai.
Cette séquence compte pour un opérateur précisément parce qu'elle supprime le besoin de juger personnellement qui possède une photo. C'est le processus, pas le jugement de l'opérateur, qui décide de l'issue : retirer rapidement sur avis valide, remettre en ligne sur contre-notification valide une fois le délai d'attente écoulé sans qu'une action en justice soit intentée, et documenter les deux étapes. Un opérateur qui improvise cela la première fois que la situation se présente, au lieu de l'avoir consigné à l'avance, est celui qui finit soit par laisser l'annonce d'un annonceur légitime hors ligne pendant des semaines, soit par manquer le délai qui aurait protégé la décision de retrait.
La politique qui doit fonctionner, pas seulement exister sur le papier
Une autre condition se cache sous la mécanique de notification et de retrait, et c'est celle qui a réellement coûté à un grand fournisseur son safe harbor devant un tribunal : au titre de la §512(i), le fournisseur doit adopter, et raisonnablement mettre en œuvre, une politique de résiliation des comptes des contrevenants récidivistes dans des circonstances appropriées. Adopter une politique signifie la rédiger. La mettre raisonnablement en œuvre signifie qu'elle doit réellement produire des résiliations lorsque ses propres conditions sont réunies, et non exister uniquement comme une page reliée depuis le pied de page.
Cette distinction est exactement ce qui a mal tourné pour le fournisseur d'accès internet Cox Communications dans l'affaire BMG Rights Management contre Cox Communications. Cox disposait d'une politique écrite qui, sur le papier, prévoyait treize avertissements avant résiliation, mais la cour d'appel du quatrième circuit a constaté que la pratique interne de Cox n'aboutissait presque jamais à une réelle coupure de compte, quel que soit le nombre d'avis valides accumulés contre lui. La cour d'appel a estimé qu'une politique qui ne débouche pas sur de réelles résiliations équivaut en pratique à l'absence de politique, et sur cette base, Cox a perdu le safe harbor dans son intégralité, pas seulement pour les fichiers précis en cause. Un premier verdict du jury sur les dommages contre Cox a ensuite été annulé en appel pour une erreur, sans lien avec le fond, dans les instructions données au jury, et les deux entreprises sont parvenues à un accord confidentiel avant la tenue d'un second procès, mais la perte du safe harbor elle-même est restée acquise.
La leçon ne suppose pas de gérer une infrastructure à l'échelle d'un fournisseur d'accès internet pour s'appliquer. Un petit site de petites annonces a besoin d'un seuil simple et écrit, par exemple, un compte d'annonceur qui accumule un nombre défini d'avis de droit d'auteur valides et non résolus sur une période définie est suspendu, et il doit réellement suspendre ce compte lorsque le seuil est atteint, à chaque fois, pas seulement quand cela l'arrange. Il a aussi besoin du critère que les tribunaux recherchent lorsqu'ils se demandent ensuite si la politique était raisonnable : une base réelle et crédible pour traiter un compte comme récidiviste, qui n'exige pas qu'un tribunal se soit déjà prononcé sur la réclamation de fond, mais qui exige davantage qu'une simple accusation isolée et non vérifiée.
Ce qui rend tout cela défendable par la suite, c'est la trace documentaire, pas le chiffre exact choisi pour le seuil : quels avis sont arrivés, quand, contre quel compte, et ce qui s'est passé en conséquence. Un tableur de trois lignes mis à jour à chaque traitement d'un avis vaut davantage, si la politique est un jour mise à l'épreuve, qu'une page de politique magnifiquement rédigée que personne n'a jamais confrontée à ce que le site a réellement fait la dernière fois que cela comptait.
Ce que cela ne couvre pas, et ce qu'il faut faire cette semaine
Le safe harbor de la DMCA est un mécanisme de droit d'auteur, et rien d'autre. Il n'a aucune incidence sur une réclamation de marque, une action en diffamation, ou l'exception distincte que le FOSTA-SESTA a créée au sein de la Section 230 pour les contenus liés au trafic sexuel, laquelle suit son propre critère juridique, entièrement à part de tout ce qui est traité ici. Un opérateur qui a enregistré un agent DMCA et bâti une politique de récidive qui fonctionne réellement a résolu le problème de propriété des photos, et uniquement celui-là.
C'est en outre un mécanisme purement américain. Une plateforme qui touche des utilisateurs dans l'Union européenne porte une obligation distincte et parallèle, le devoir de notification et d'action qu'impose le Digital Services Act européen, quel que soit le lieu où l'entreprise est établie, qui suit ses propres éléments requis et son propre calendrier. Aucun des deux processus ne remplace l'autre ; un opérateur qui sert les deux publics a besoin que les deux fonctionnent côte à côte, avec quelqu'un qui sache réellement quel avis déclenche quel compte à rebours.
Ce qui change cette semaine, concrètement : vérifiez si le site dispose d'un enregistrement d'agent à jour dans l'annuaire en ligne du Copyright Office, et s'il n'a jamais été déposé, ou l'a été via l'ancien système papier avant la bascule de 2017, déposez-le maintenant pour six dollars. Écrivez, même brièvement, le seuil de récidive que le site appliquera réellement et qui en est responsable. Mettez en place la boîte de réception ou le formulaire surveillés, ainsi que le registre simple, avant que le premier avis réel ne teste si l'un ou l'autre existe vraiment.
Testez une fois le processus de contre-notification, pour que la personne qui le gère connaisse le délai de dix à quatorze jours ouvrables avant qu'un annonceur bien réel ne soit en attente. Rien de tout cela n'empêche l'arrivée d'une réclamation de droit d'auteur. Cela détermine, à l'avance, si cette réclamation retombe sur l'annonceur qui a publié une photo qui n'a jamais été la sienne, ou sur l'entreprise qui lui a offert un endroit où la publier.
