Le DMCA expliqué aux propriétaires de sites (et où il ne s'applique pas)
DMCA & resilience · 9 min de lecture
Ce qu'est réellement le DMCA
Le Digital Millennium Copyright Act, adopté en 1998, est une loi fédérale américaine. Le titre II de cette loi, l'Online Copyright Infringement Liability Limitation Act, a créé le système de « notification et retrait » auquel la plupart des propriétaires de sites pensent quand ils entendent le mot DMCA. Il accorde aux fournisseurs de services en ligne un bouclier conditionnel contre la responsabilité en matière de droit d'auteur pour le contenu téléversé par leurs utilisateurs, à condition que le fournisseur enregistre un agent DMCA, n'ait pas connaissance effective de la contrefaçon, et agisse « avec diligence » pour retirer le contenu une fois dûment notifié.
Ce bouclier est tout l'intérêt de la loi du point de vue d'un hébergeur. Un hébergeur n'est pas tenu de surveiller proactivement le contenu, et il n'est pas automatiquement responsable simplement parce qu'un utilisateur a téléversé quelque chose de contrefaisant. Il ne risque une responsabilité que s'il ignore une notification valide, ou s'il a une connaissance effective d'une contrefaçon manifeste et n'agit pas. C'est pourquoi tant d'hébergeurs se conforment aux notifications DMCA même lorsqu'ils ne sont pas strictement une entreprise « américaine » : la conformité est ce qui préserve le bouclier pour toute partie de leur activité tournée vers les États-Unis.
Comment fonctionne réellement un retrait DMCA
Un retrait DMCA commence par une notification écrite du titulaire des droits d'auteur (ou de son mandataire) adressée à l'agent DMCA désigné de l'hébergeur, dont les coordonnées sont censées être déposées auprès du US Copyright Office et listées sur le site du fournisseur. Une notification juridiquement suffisante identifie l'œuvre protégée, identifie le contenu contrefaisant spécifique et sa localisation (généralement une URL), inclut les coordonnées du plaignant, et inclut une déclaration faite sous peine de parjure attestant que le plaignant croit de bonne foi que l'usage n'est pas autorisé et que la notification est exacte.
Une fois qu'un hébergeur basé aux États-Unis reçoit une notification conforme, la loi attend de lui qu'il agisse « avec diligence » pour retirer ou désactiver l'accès au contenu afin de conserver son bouclier. L'hébergeur transmet ensuite généralement la notification au titulaire du compte, qui a le droit de déposer une contre-notification s'il estime que le retrait était erroné ou que l'usage était licite (usage loyal, licence, domaine public, erreur d'identification). Si une contre-notification valide est déposée, l'hébergeur peut restaurer le contenu après environ 10 à 14 jours ouvrés, sauf si le plaignant initial engage une action en justice.
En pratique, une grande partie de ce qu'on appelle en ligne un « retrait DMCA » n'est en réalité que le processus interne de gestion des abus d'un hébergeur, vaguement calqué sur ce cadre, et non une obligation légale stricte. De nombreux hébergeurs, y compris hors des États-Unis, choisissent de faire tourner un cycle similaire de notification-examen-réponse parce que c'est une manière raisonnable et prévisible de traiter les plaintes pour droit d'auteur, pas parce qu'un tribunal américain peut les y contraindre.
- La notification doit identifier l'œuvre spécifique et l'URL contrefaisante spécifique, pas simplement « tout votre site »
- Une déclaration assermentée de bonne foi est requise de la part du plaignant
- Le titulaire du compte a généralement l'occasion de déposer une contre-notification avant un retrait définitif
- Les bots automatisés qui envoient des notifications de masse, type lettre type, sans véritable examen par URL, sont courants et constituent souvent les notifications les plus faibles et les plus contestables
Qui peut réellement en envoyer une, et qui est protégé
Seul le titulaire du droit d'auteur ou une personne disposant d'une autorité légale expresse pour agir en son nom (un mandataire, un licencié disposant de droits d'exécution, un prestataire anti-piratage sous contrat) peut envoyer une notification DMCA valide. Un concurrent agacé par votre contenu, une personne mécontente d'un avis, ou une agence gouvernementale sans revendication de droit d'auteur ne peut pas utiliser le processus DMCA à ces fins, même si des notifications prétendant exactement cela arrivent constamment.
La section 512(f) de la loi crée une responsabilité pour quiconque déclare sciemment et de manière substantielle et fausse qu'un contenu est contrefaisant. En théorie, cela dissuade les notifications de mauvaise foi ; en pratique, cette disposition est rarement appliquée car engager une action au titre du 512(f) exige une procédure judiciaire que la plupart des petits opérateurs de sites ne peuvent pas s'offrir. Cet écart explique en partie pourquoi l'abus du DMCA, envoyer des retraits pour faire taire une critique, retirer le contenu d'un concurrent, ou déplateformer une expression pourtant licite, reste un problème persistant, à côté de son usage légitime contre le piratage réel.
Où le DMCA ne s'applique pas
Le DMCA est une loi américaine. Il n'a aucune force juridique directe sur un hébergeur, un serveur ou une entreprise sans présence aux États-Unis, sans entité basée aux États-Unis, sans compte bancaire américain, et sans infrastructure physiquement située sur le territoire américain. Le droit d'auteur lui-même est presque universel, la plupart des pays sont signataires de la Convention de Berne, si bien que l'œuvre sous-jacente est protégée presque partout, mais le mécanisme américain spécifique de notification et retrait, ainsi que le système judiciaire américain qui l'applique, n'a une compétence directe que sur ce qui est rattaché aux États-Unis.
C'est là que l'expression « DMCA offshore » est utilisée de façon approximative et parfois trompeuse. Héberger hors des États-Unis ne rend pas légal de redistribuer un contenu protégé par le droit d'auteur ; la revendication de droit d'auteur sous-jacente peut souvent encore être poursuivie dans le pays où l'hébergeur est enregistré, devant les tribunaux propres à ce pays et selon son propre cadre du droit d'auteur, ou via des traités internationaux. Ce qui change, c'est le mécanisme : au lieu d'une notification de retrait à l'américaine avec une fenêtre de contre-notification de 10 à 14 jours, un hébergeur offshore est libre de définir son propre processus de gestion des abus, et un titulaire de droits sans ancrage dans cette juridiction dispose d'un chemin sensiblement plus difficile et plus lent pour contraindre au retrait.
La juridiction compte aussi parce que « là où le DMCA ne s'applique pas » est en réalité un spectre, pas une situation binaire. Un serveur physiquement situé aux Pays-Bas, par exemple, reste soumis au droit d'auteur de l'UE et néerlandais, ainsi qu'aux ordonnances des tribunaux néerlandais, ce qui constitue un système différent, souvent plus rapide, que le DMCA, et non une absence de loi. Un serveur dans une juridiction disposant d'un réseau de traités d'application du droit d'auteur plus faible et sans filiale locale de la société d'hébergement offre à un plaignant beaucoup moins de leviers d'action.
- Hébergeurs basés aux États-Unis : directement soumis au DMCA ; le bouclier de responsabilité exige la conformité
- Hébergeurs basés dans l'UE : régis par les propres règles de notification et action de l'UE au titre du Digital Services Act, pas par le DMCA, bien que l'effet pratique soit similaire
- Hébergeurs sans entité américaine, sans serveurs américains, sans agent enregistré aux États-Unis : hors de la compétence directe du DMCA ; peuvent tout de même répondre aux notifications volontairement selon leur propre politique
- Droit d'auteur sous-jacent : existe dans presque tous les pays via l'adhésion à la Convention de Berne, donc « offshore » ne signifie pas « une œuvre non protégée devient exploitable librement »
Ce que l'hébergement offshore et axé vie privée change, et ce qu'il ne change pas
Un hébergeur offshore axé vie privée comme VPS GOAT est construit autour d'un modèle de menace différent de celui d'un fournisseur cloud grand public : aucun KYC, aucun email requis pour s'inscrire, une clé de compte anonyme au lieu d'une identité, et des juridictions choisies en partie parce qu'elles ne sont pas des tampons automatiques pour chaque demande de retrait qui atterrit dans une boîte de réception. Pour un propriétaire de site dont le contenu est licite mais controversé, satire, contenu adulte opérant dans les règles de sa juridiction, recherche en sécurité, discours politique déplaisant à son pays d'origine, cette combinaison réduit le nombre de parties pouvant obtenir un retrait de manière désinvolte, sans procédure régulière.
Ce que cela ne fait pas, c'est rendre un service immunisé contre la loi en général, ou transformer une véritable contrefaçon de droit d'auteur en quelque chose de sûr à héberger. Les fournisseurs offshore sérieux, VPS GOAT y compris, interdisent toujours les contenus qui nuisent à des personnes réelles : le CSAM, le matériel lié au terrorisme, les infrastructures de malware et de botnet, et la fraude envers des tiers sont exclus quelle que soit la juridiction, car ces catégories sont traitées comme des préjudices universels plutôt que comme des choix de politique propres à une juridiction. Une notification DMCA envoyée à un hébergeur hors de la compétence américaine n'a pas de force juridique contraignante sur cet hébergeur comme elle l'aurait sur un hébergeur américain, mais une plainte valide pour droit d'auteur concernant un contenu clairement contrefaisant reste quelque chose que la plupart des opérateurs examineront et prendront au sérieux, car gérer un processus de traitement des abus est une bonne pratique indépendamment de ce qu'exige la loi d'un pays donné.
Points pratiques à retenir pour les propriétaires de sites
Si vous exploitez un site hébergeant du contenu généré par les utilisateurs, anticipez les demandes de retrait quel que soit votre hébergeur : enregistrez un contact abus, décidez à l'avance comment vous évaluerez la légitimité d'une notification, et conservez des traces. Si vous recevez une notification que vous estimez invalide, erronée ou abusive, vérifiez si elle identifie réellement une œuvre protégée précise et une URL précise, si l'expéditeur a une légitimité plausible à revendiquer la propriété, et si une contre-notification ou une réponse directe expliquant l'usage loyal ou une licence pourrait résoudre la situation plus rapidement qu'un retrait automatique.
Si la juridiction et la résilience face aux retraits comptent pour votre projet, tenez-en compte avant le lancement, pas après l'arrivée de la première notification. Où se trouve un serveur, quelle entité exploite légalement l'hébergeur, et quelle loi atteint réellement cette entité sont trois questions distinctes, et comprendre les trois est ce qui distingue une configuration véritablement résiliente d'une configuration qui donne juste l'impression d'être offshore parce que le marketing le dit.
| Aspect | Hébergeur basé aux États-Unis | Hébergeur offshore hors compétence américaine |
|---|---|---|
| Base légale pour exiger un retrait | Notification DMCA, force statutaire | Aucune compétence DMCA ; dépend de la politique propre de l'hébergeur ou d'une ordonnance judiciaire locale |
| Délai de réponse en cas de conformité | Retrait diligent attendu pour conserver le bouclier | Fixé entièrement par le processus interne de l'hébergeur |
| Processus de contre-notification | Formel, environ 10 à 14 jours ouvrés avant restauration | Non imposé légalement ; varie selon le fournisseur |
| Responsabilité sous-jacente en droit d'auteur | S'applique en vertu du droit américain | Peut toujours s'appliquer en vertu du droit d'auteur local et des traités de l'hébergeur |
| Qui peut contraindre à agir | Les tribunaux américains, et tout hébergeur voulant conserver le bouclier DMCA | La discrétion propre de l'hébergeur, ou les tribunaux de cette juridiction |
| Contenus toujours interdits quoi qu'il arrive | CSAM, terrorisme, malware/botnets, fraude envers des tiers | Mêmes catégories, traitées comme des exclusions universelles, non spécifiques à une juridiction |
FAQ
Le DMCA s'applique-t-il aux sites web hébergés hors des États-Unis ?+
Qu'est-ce qui rend une notification de retrait DMCA juridiquement valide ?+
Quelqu'un peut-il utiliser une notification DMCA pour retirer un contenu qui n'enfreint pas réellement le droit d'auteur ?+
Si un hébergeur est hors de la compétence du DMCA, est-il légal de téléverser le contenu protégé d'autrui ?+
Comment un hébergeur offshore comme VPS GOAT traite-t-il les plaintes pour droit d'auteur si le DMCA ne le lie pas légalement ?+
Prêt à passer offshore ?
Aucun KYC, aucun e-mail — juste une clé anonyme et de la crypto. Déployez en ~55 secondes.
Configurer votre VPS →