Une citation à comparaître arrive pour l'un de vos utilisateurs : ce qu'un opérateur de petites annonces doit vraiment remettre aux Etats-Unis
L'appel qui n'est pas une citation
Un courriel arrive d'un service de police au sujet du compte d'un annonceur : nom, adresse IP, messages liés à une annonce. Rien dans le message n'indique quelle loi impose une réponse, seulement que l'expéditeur est enquêteur et que l'affaire est réelle. La plupart des opérateurs font alors l'une de deux choses, et les deux sont des erreurs. Ils livrent tout ce que montre le tableau de bord parce que refuser donnerait l'impression que l'entreprise est complice, ou ils refusent tout parce que livrer quoi que ce soit semble être un risque sans aucun avantage. Aucune des deux réponses ne dépend de ce que la loi exige réellement, et c'est dans cet écart qu'un annuaire par ailleurs bien géré s'attire des ennuis.
Un badge, un appel et un courriel provenant d'une adresse gouvernementale ne constituent pas, à eux seuls, une procédure légale. Aucune loi américaine n'oblige un fournisseur à divulguer les données d'un utilisateur parce qu'un agent l'a demandé, et traiter chaque requête comme automatiquement valide est exactement le réflexe qui mène à divulguer plus que ce qu'un tribunal a réellement autorisé. Ce qui impose la divulgation, c'est un instrument précis : une citation à comparaître, une ordonnance judiciaire rendue en vertu d'une disposition particulière de la loi fédérale, ou un mandat. Chacun atteint une part différente et précisément définie de ce qu'un annuaire détient, et aucun n'est interchangeable avec les autres.
Le seul cas où livrer des données sans aucun de ces instruments est licite est étroit, et il vaut la peine de le connaître exactement, car les opérateurs oublient qu'il existe ou l'étendent à des cas pour lesquels il n'a jamais été prévu. En vertu du 18 U.S.C. § 2702(b), un fournisseur peut divulguer volontairement des données, y compris le contenu de communications, à une entité gouvernementale s'il croit de bonne foi qu'une urgence impliquant un danger de mort ou de blessure physique grave exige une divulgation sans délai. C'est une exception réservée aux urgences réelles : une annonce qui se lit comme une menace imminente pour la sécurité de quelqu'un, pas une enquête qui pourrait tout aussi bien attendre une semaine pour la paperasse.
En dehors de ce cas unique, le bon premier réflexe est le même quel que soit le demandeur : exiger la requête par écrit, vérifier qu'elle nomme l'instrument légal réel qui la fonde, et l'acheminer vers une seule personne au sein de l'entreprise, idéalement celle, ou le conseil juridique, qui gère déjà les autres obligations de conformité de la plateforme, plutôt que vers celui qui a ouvert le courriel par hasard. Tout ce qui suit dépend du fait de savoir quel instrument on a en main avant de décider à quoi il donne réellement droit.
Ce qu'une citation seule peut atteindre, et ce qu'elle ne peut pas
Une citation à comparaître est l'instrument le plus faible de cette hiérarchie, et c'est aussi celui pour lequel les opérateurs en font le plus souvent trop. En vertu du 18 U.S.C. § 2703(c)(2), une citation peut imposer la divulgation de ce que la loi appelle les informations de base sur l'abonné : nom, adresse, relevés de session et de connexion ou leur durée, durée et type de service, tout identifiant d'abonné ou d'appareil, y compris une adresse réseau attribuée temporairement, et le moyen ou la source de paiement du service, y compris un numéro de carte bancaire ou de compte. C'est toute la liste. Elle ne comprend pas le contenu d'un message, la description d'une annonce ou une photo, quelle que soit la formulation de la demande.
Cela compte parce qu'une citation est relativement facile à obtenir : elle ne demande pas à un juge d'évaluer des preuves comme le fait un mandat, et c'est l'instrument qui apparaît le plus souvent dans le cours ordinaire d'une enquête, pas seulement dans les plus graves. Un annuaire qui traite une citation comme une autorisation à livrer des journaux de messages ou des documents de vérification cède plus que ce que la loi a demandé, et chaque document supplémentaire livré est une chose de plus dont l'entreprise devra répondre plus tard, si un utilisateur, un régulateur ou un tribunal demande un jour pourquoi il est sorti de ses archives.
Le contenu, c'est-à-dire la substance de ce qu'un utilisateur a réellement écrit ou envoyé plutôt que le simple fait qu'un compte existe, se trouve derrière un seuil bien plus élevé. En vertu du § 2703(a), un contenu conservé 180 jours ou moins ne peut être exigé qu'avec un mandat, obtenu selon la même norme de motif probable utilisée dans toute autre affaire pénale. Le texte de la loi traite différemment le contenu conservé plus longtemps, autorisant en théorie une citation ou une ordonnance moindre une fois l'avis donné, mais cet écart sur le papier ne reflète pas la façon dont la demande arrivera réellement.
Suite à un arrêt d'une cour d'appel fédérale en 2010 et à un changement de politique qui a suivi, les procureurs fédéraux américains ont adopté une pratique nationale consistant à obtenir un mandat pour le contenu quelle que soit sa durée de conservation, traitant dans les faits la distinction des 180 jours prévue par la loi comme caduque, même si le texte lui-même n'a jamais été réécrit. En pratique, si une demande portant sur quelque chose qui ressemble au contenu d'un message arrive sans mandat joint, c'est le signal pour demander quel instrument se trouve réellement derrière avant de produire quoi que ce soit, pas pour supposer que l'expéditeur a déjà vérifié.
Entre une citation et un mandat se trouve un autre instrument, une ordonnance judiciaire en vertu du § 2703(d), qu'un juge peut délivrer sur la base d'un seuil inférieur au motif probable : des faits précis et articulables montrant des motifs raisonnables de croire que les données recherchées sont pertinentes et matérielles pour une enquête en cours. Elle exige tout de même de se présenter devant un juge, ce qui la distingue d'une citation délivrée sans contrôle judiciaire, mais elle n'atteint pas le contenu que seul un mandat peut imposer. Savoir lequel des trois instruments est sur la table, citation, ordonnance ou mandat, décide de ce qu'un annuaire doit livrer et de ce qu'il ne doit pas livrer.
La lettre de conservation qui arrive en premier
Avant toute citation ou tout mandat, la plupart des enquêtes touchant un annuaire commencent par quelque chose de plus discret : une demande de conservation en vertu du 18 U.S.C. § 2703(f). Aucun tribunal n'est impliqué. Une entité gouvernementale demande au fournisseur de conserver des données précises, et le fournisseur doit geler ce qu'il détient pour que ces données ne soient ni écrasées, ni supprimées, ni éliminées par le propre calendrier de conservation de la plateforme, pendant que le gouvernement décide s'il demandera une citation, une ordonnance ou un mandat.
La demande elle-même n'impose aucune divulgation : conservation et production sont deux étapes distinctes, et un annuaire qui lit une lettre de conservation comme une exigence de livrer immédiatement les données en fait plus que ce que la loi a demandé, dans le même sens que le zèle excessif face à une simple citation. Ce que la demande impose, c'est la conservation : la loi fixe le blocage à 90 jours, prorogeable une fois pour 90 jours supplémentaires si le gouvernement renouvelle la demande avant l'expiration de la première période.
C'est le moment où les propres pratiques de données d'un annuaire rendent la demande simple, ou la transforment en course contre la montre. Décider à l'avance de la durée de conservation des documents de vérification d'identité, des données de paiement et des journaux de compte est ce qui détermine si un blocage de 90 jours est anodin, parce que les données allaient de toute façon rester là, ou impossible, parce que le calendrier de suppression normal de la plateforme les avait déjà effacées avant l'arrivée de la lettre. Une demande de conservation ne peut pas ressusciter des données qu'une politique de rétention a déjà détruites, et un fournisseur incapable d'honorer un blocage à cause de ses propres habitudes de suppression s'est créé un problème par lui-même, indépendant de ce qu'a fait le gouvernement.
La réponse pratique consiste à avoir un processus documenté prêt avant l'arrivée de la première lettre : une boîte ou un contact unique vers lequel diriger les demandes de conservation, une personne qui vérifie que la demande provient réellement d'une entité gouvernementale, et un moyen de signaler le compte nommé pour que les routines normales de suppression le sautent pendant la durée du blocage. Rien de tout cela ne nécessite un avocat pour être exécuté une fois conçu, mais le concevoir sans jamais avoir géré de vraie demande est bien plus facile que de l'improviser sous la pression d'un délai.
L'obligation qui n'a rien à voir avec une demande
Tout ce qui précède concerne ce qui se passe quand le gouvernement demande. Une obligation va dans l'autre sens : un devoir de signalement, déclenché par ce que la plateforme elle-même découvre, sans qu'aucune demande n'intervienne. En vertu du 18 U.S.C. § 2258A, un fournisseur qui obtient une connaissance effective de matériel apparaissant comme de l'exploitation sexuelle d'enfants sur sa plateforme doit le signaler à la CyberTipline gérée par le National Center for Missing & Exploited Children dès que raisonnablement possible.
La loi précise ce qui déclenche l'obligation et ce qui ne la déclenche pas : elle exige un signalement une fois que le fournisseur a une connaissance effective, pas une obligation générale de rechercher, scanner ou surveiller les annonces pour le trouver. Un annuaire n'a pas à faire tourner son propre programme de détection pour se conformer à cette loi, mais si un modérateur, un ticket d'assistance ou un signalement venant d'un prestataire de paiement ou de vérification fait apparaître quelque chose qui y ressemble, le délai « dès que raisonnablement possible » commence immédiatement, pas quand l'équipe trouve le temps de l'examiner.
La conséquence d'une erreur sur ce point a changé de manière substantielle en 2024. Le REPORT Act a porté la période de conservation exigée pour un signalement et le matériel associé de 90 jours auparavant à une année complète, et a relevé les sanctions civiles pour un défaut de signalement conscient et délibéré jusqu'à 600 000 dollars pour une première infraction et 850 000 dollars pour une récidive, pour un fournisseur comptant moins de 100 millions d'utilisateurs mensuels, catégorie qui couvre pratiquement tout annuaire de petites annonces. Les notes de conformité plus anciennes qui citent encore un blocage de 90 jours ou les montants de sanctions antérieurs à 2024 décrivent une loi qui n'existe plus sous cette forme.
Cette obligation se situe à côté de, mais reste juridiquement distincte de, la question de la responsabilité de la plateforme qui détermine si un opérateur peut être tenu pénalement responsable d'avoir facilité la traite via ses annonces. Un annuaire peut être rigoureux sur le premier point et échouer quand même sur le second s'il ne dispose pas d'un circuit fonctionnel et testé allant de la personne qui repère quelque chose à celle qui dépose réellement le signalement, et ce circuit mérite d'être testé avant d'en avoir besoin plutôt que de découvrir qu'il ne fonctionne pas en pleine affaire réelle.
Que faire, dans l'ordre
Confiez à une seule personne ou fonction chaque contact avec les forces de l'ordre, de la même façon qu'un annuaire désignerait une seule personne responsable de la file des contestations de paiement ou du calendrier de suppression des données. Quiconque reçoit le premier appel devrait disposer d'un moyen direct de le transmettre à cette personne, plutôt que de répondre sur-le-champ.
Exigez l'instrument par écrit avant de produire quoi que ce soit au-delà de la confirmation qu'un compte existe, et lisez-le pour ce qu'il est réellement : une citation, une demande de conservation, une ordonnance en vertu du § 2703(d), ou un mandat, chacun autorisant une part de données différente et non chevauchante. Si une demande de contenu de messages ou de documents de vérification arrive sans mandat joint, c'est le signal pour demander ce qu'il y a derrière, pas pour supposer que l'expéditeur a déjà la bonne paperasse.
Consignez chaque demande reçue, qu'elle aboutisse ou non à une livraison : la date, l'agence demanderesse, l'instrument joint, ce qui a été conservé ou livré, et qui a donné son accord. C'est la même discipline qui transforme une contestation de paiement ou une plainte d'accès aux données d'un souvenir vague en un registre sur lequel l'entreprise peut réellement s'appuyer plus tard.
Réglez le circuit de signalement vers la CyberTipline avant qu'il ne soit vraiment nécessaire : savoir qui, dans l'entreprise, dispose réellement de l'autorité et des identifiants pour déposer un signalement, et confirmer que la période de conservation sur laquelle travaille l'équipe est bien celle en vigueur, une année complète, et non les 90 jours désormais dépassés copiés d'un ancien document de politique.
Réglez le contact d'un avocat avant le jour où une citation arrive, pas après. Rien dans cet article ne remplace un conseil juridique sur une demande réelle, et la valeur de tout ce qui précède est de dire à cet avocat, et à l'opérateur, lequel de ces instruments se trouve devant eux avant que l'un ou l'autre n'ait à deviner.
