DMCA, DSA et directive e-commerce, comparés

Ces trois textes sont employés indifféremment dans la conversation courante, alors qu’ils ne sont pas interchangeables du tout. Ils ont des déclencheurs différents, des destinataires différents et — c’est le point qui compte le plus — une portée territoriale différente. Ceci est une référence plutôt qu’une prise de position ; ce n’est pas un conseil juridique, et là où un vrai litige est en cours, mieux vaut un avocat du pays concerné qu’une page web.

Les trois textes, côte à côte

Comparaison des trois textes

Texte	Origine	Engage un hébergeur à l’étranger	Ce qu’il fait réellement
DMCA — 17 U.S.C. § 512	États-Unis	Non	Crée une sphère de sécurité (safe harbour), conditionnée au fonctionnement d’un dispositif de notification et retrait. Loi nationale, pas un traité, sans mécanisme de retrait extraterritorial.
Directive e-commerce 2000/31/CE	Union européenne	Non	Conditionne la protection de responsabilité à une action rapide dès que l’hébergeur en a connaissance. S’applique aux services de la société de l’information établis dans un État membre.
Digital Services Act (UE) 2022/2065	Union européenne	Parfois	Ajoute des mécanismes de notification, des délais et des signaleurs de confiance. Concerne les intermédiaires offrant des services dans l’Union, un critère plus large que celui de l’établissement.

DMCA — 17 U.S.C. § 512

Le plus mal compris des trois, en grande partie parce que son nom s’emploie comme un verbe. La section 512 n’ordonne à personne de retirer quoi que ce soit. Elle offre aux hébergeurs une sphère de sécurité (safe harbour) contre la responsabilité pécuniaire liée aux infractions de leurs utilisateurs, et conditionne cette protection à plusieurs éléments — notamment désigner un agent, répondre rapidement aux notifications correctement formées, et résilier les infractants récidivistes dans les circonstances appropriées.

La conséquence pratique est une incitation, pas un ordre. Un hébergeur américain qui ignore une notification ne commet aucune infraction en l’ignorant ; il perd une défense qu’il tient beaucoup à conserver. Comme cette défense vaut plus qu’un client isolé, le choix rationnel est toujours de retirer en premier. C’est pourquoi le retrait y paraît automatique : le système est conçu pour en faire l’option la moins coûteuse.

La contre-notification prévue par le § 512(g) sert à restaurer un contenu qui a été retiré. Là où rien n’a été retiré, il n’y a rien à contester — ce qui explique pourquoi les hébergeurs situés hors des États-Unis n’ont généralement aucune procédure de contre-notification. Ce serait une procédure sans rien à traiter.

La directive e-commerce

La directive 2000/31/CE accorde aux services de la société de l’information une protection de responsabilité conditionnelle : un hébergeur n’est pas responsable des informations stockées, à condition de ne pas avoir une connaissance effective de leur caractère illicite et, dès qu’il en a connaissance, d’agir promptement pour retirer l’information ou en bloquer l’accès.

Deux mots portent tout le texte. Établi définit à qui la directive s’applique — un prestataire disposant d’un établissement stable dans un État membre, y exerçant une activité économique. Et promptement est délibérément laissé sans définition, ce qui, en pratique, signifie « assez vite pour qu’un tribunal ne remette pas votre choix en question », ce qui, en pratique, signifie très vite.

La directive ne prescrit aucun format de notification, ce qui surprend souvent. La connaissance peut arriver par n’importe quel moyen. C’est précisément pourquoi les hébergeurs situés dans l’Union traitent presque tout message d’apparence crédible comme une prise de connaissance : dès qu’on est informé, le compte à rebours commence, et la lecture la plus prudente d’un délai non défini est « maintenant ».

Le Digital Services Act

Le règlement (UE) 2022/2065 ne remplace pas le régime de responsabilité ; il construit une procédure par-dessus. Pour les hébergeurs, il introduit un mécanisme obligatoire de notification et d’action, une obligation de motiver les décisions, un traitement prioritaire pour les signaleurs de confiance et — pour les très grandes plateformes — un ensemble d’obligations qui ne s’appliquent absolument pas aux hébergeurs ordinaires.

Le critère de champ d’application est le vrai changement. Le DSA concerne les services intermédiaires offerts à des destinataires situés dans l’Union, quel que soit le lieu d’établissement du prestataire, et impose aux prestataires établis hors de l’Union qui répondent à ce critère de désigner un représentant légal à l’intérieur de celle-ci. C’est un critère de rattachement plus large que celui de l’établissement retenu par la directive.

Le fait qu’un hébergeur donné soit concerné dépend de la question de savoir s’il offre des services dans l’Union, ce qui, dans les termes mêmes du règlement, suppose un lien substantiel avec l’Union — un établissement, un nombre significatif de destinataires sur place, ou des activités ciblant un ou plusieurs États membres. Un hébergeur sans établissement, sans ciblage et sans offre spécifique à l’Union en est exclu ; un hébergeur qui fait sa publicité dans les langues des États membres et affiche ses prix en euros tient un tout autre discours.

Lequel d’entre eux atteint un hébergeur à l’étranger

Ramené à la réponse pratique :

• DMCA : aucun mécanisme contre un hébergeur situé hors de la juridiction des États-Unis. Une notification qui lui est envoyée n’est que du courrier. Ce peut être un courrier parfaitement poli et parfaitement fondé, cela reste du courrier.
• Directive e-commerce : l’obligation dépend de l’établissement dans un État membre. Un prestataire qui n’en a pas est hors du régime — il est aussi hors de sa protection, ce qui ne compte que s’il la voulait.
• DSA : dépend de la question de savoir si le prestataire offre des services dans l’Union. C’est le seul des trois qu’il vaut vraiment la peine de vérifier, car la réponse n’est pas automatiquement non.

Ce qui atteint bel et bien un hébergeur à l’étranger, dans tous les cas, c’est une décision rendue par un tribunal de sa propre juridiction. Un jugement étranger n’a nulle part de force exécutoire automatique : il doit être reconnu localement, ce qui suppose en général une entraide judiciaire et un tribunal local. Public, contradictoire, lent — et, pour la plupart des plaignants, cela n’en vaut pas la peine. Cette asymétrie est tout le produit.

Si vous venez de recevoir une notification

1. Déterminez à qui elle a réellement été envoyée. Si elle est passée par votre hébergeur, c’est la juridiction de votre hébergeur qui décide de la suite, pas la vôtre et pas celle de l’expéditeur.
2. Vérifiez s’il s’agit d’une décision de justice ou d’une simple demande. Presque toutes sont des demandes. Une décision de justice nomme un tribunal, une affaire et un juge.
3. Ne répondez pas en reconnaissant quoi que ce soit. Aucun des trois textes n’exige de réponse lorsque le destinataire se trouve hors de son champ d’application, et un aveu a une durabilité que la notification elle-même n’a pas.
4. Conservez-la. Le volume et la récurrence comptent plus tard, en particulier si le même expéditeur travaille à partir d’une liste plutôt qu’en lisant réellement votre site.
5. Prenez un avis juridique local si un tribunal est nommé. C’est le moment où une page web cesse d’être utile et où un avocat du pays concerné devient nécessaire.

Notre propre traitement est écrit noir sur blanc plutôt que décrit par des adjectifs : une notification est enregistrée, horodatée, comptabilisée et transmise au client mot pour mot dans les 24 heures, et rien d’autre dans le service ne change. La politique DMCA expose la procédure des deux côtés, et le rapport de transparence publie, chaque trimestre, le nombre de notifications reçues et le nombre de retraits qu’elles ont produits.

Rédigé par les ingénieurs qui exploitent la plateforme, et relu il y a 1 mois. Si quelque chose ici est faux ou obsolète, dites-le depuis le panel — c’est de là que vient environ la moitié de ces pages.