La Cour suprême affaiblit la responsabilité des intermédiaires. La machine à déconnecter, elle, tourne toujours.
En annulant la condamnation de Cox, la Cour suprême américaine enterre la théorie selon laquelle transporter le trafic d'un internaute accusé fait du fournisseur d'accès un coauteur de contrefaçon. Elle laisse intacts les mécanismes qui rendent la déconnexion du client toujours plus rentable qu'une vérification.
Une adresse IP identifie un routeur, pas une personne. L'essentiel de l'édifice moderne de la responsabilité des intermédiaires en matière de droit d'auteur reposait sur le fait que personne ne le disait tout haut. Un jury américain a condamné le fournisseur d'accès Cox Communications à environ 1 milliard de dollars pour la contrefaçon alléguée de 10 017 œuvres par ses abonnés, sur la théorie qu'un opérateur qui continue de servir un client malgré des notifications d'infraction répétées devient lui-même coauteur de l'infraction. La Cour suprême des États-Unis vient d'annuler le volet « contributory infringement » de cette affaire, l'arrêt n° 24-171 : la responsabilité par contribution, a tranché la Cour, exige davantage que la connaissance de l'infraction assortie de la poursuite du service. Elle exige une intention coupable, démontrée par l'incitation ou par un service conçu pour l'infraction. Transporter du trafic, même signalé comme suspect, ne suffit pas.
La solution est juste. Elle est aussi plus étroite que ce que les intermédiaires aimeraient croire. La doctrine a été corrigée ; la machinerie greffée par-dessus, elle, continue de tourner, et une machinerie, contrairement à une doctrine, n'attend pas qu'un juge se prononce.
Que change l'arrêt Cox v Sony pour la responsabilité des intermédiaires ?
Suivez le mécanisme. La théorie défendue par les maisons de disques était élégante, comme le sont souvent les mauvaises incitations : envoyer suffisamment d'allégations visant un compte, et le maintien du service par l'opérateur se transforme en contribution matérielle à l'infraction. Observez la substitution à l'œuvre. Personne n'a démontré une contrefaçon contre quiconque. C'est l'allégation seule qui faisait tout le travail, et l'opérateur, qui n'avait jamais constaté les faits ni les moyens de les vérifier, se voyait sommé de trancher et sanctionner son propre client, ou d'hériter de sa responsabilité au tarif des dommages-intérêts forfaitaires. La réponse de la Cour restaure une distinction plus ancienne : on répond d'avoir encouragé une faute, pas d'avoir refusé de la punir sur la seule parole d'un tiers.
Mais l'annulation ne change que ce qui se passe quand un opérateur refuse de céder au bluff. Elle ne change rien à qui détient les cartes au quotidien. Le régime américain de « safe harbour », posé par 17 U.S.C. §512(i)(1)(A), continue de conditionner la protection d'un simple transporteur au maintien d'une politique de résiliation des « contrevenants récidivistes » dans des circonstances appropriées. Lisez lentement : des récidivistes qu'aucun tribunal n'a jamais qualifiés comme tels, identifiés par les mêmes notifications que le procès Cox vient de démontrer structurellement peu fiables. Le retrait sur notification, l'arrangement que tout le monde croit connaître, a fait naître un cousin plus dur : la résiliation sur notification. Le retrait supprime un fichier. La résiliation coupe un foyer.
Une adresse IP n'est pas une personne
Voici ce que le modèle répressif n'a jamais intégré dans son calcul. L'identifiant au cœur de chaque notification renvoie à une connexion, pas à un coupable. Derrière une même adresse se trouve une famille de cinq personnes, un café bondé d'inconnus, une résidence universitaire, le réseau invités d'un hôpital. Le remède proposé est du tout ou rien : couper le compte, ou le laisser. Pas de curseur, un interrupteur. La sanction frappe donc tout le monde derrière l'adresse, calibrée sur une faute qui ne concerne peut-être aucun d'entre eux. Le droit constitutionnel américain a déjà reculé devant cette configuration : dans Packingham v North Carolina, la Cour suprême a jugé que priver un individu de l'accès à la place publique numérique restait un remède constitutionnellement suspect, même après une condamnation pénale. La machinerie de résiliation demande à des entreprises privées d'imposer cette privation sur simple allégation.
Il y a là une leçon plus discrète pour quiconque vend de la confidentialité. L'anonymat technique ne meurt pas par cryptanalyse, il meurt par assignation. Chaque maillon entre une personne et ses paquets de données, l'inscription du compte, la trace du paiement, le journal d'attribution d'adresse, constitue une cible juridique distincte, et chacune peut être contrainte séparément. En Europe, ce même maillon est encadré par le RGPD et scruté par des autorités comme la CNIL, mais la logique reste identique : une promesse de confidentialité qui ne repose que sur l'ingénierie est une promesse formulée à la mauvaise couche. Tant que la doctrine protégeant l'usage anonyme reste molle, l'architecture ne pèse pas lourd.
Qui hérite de ce risque à présent ?
La théorie Cox a été testée contre un FAI parce que les FAI ont les poches profondes et une adresse fixe, pas parce que la logique s'arrête là. La même structure s'applique à toute entreprise qui s'interpose entre un utilisateur et son comportement : hébergeurs cloud, CDN, VPN, places de marché, rails de paiement. Internet est une chaîne de tels intermédiaires, et une théorie de responsabilité qui accroche des dommages-intérêts ruineux à un seul maillon n'est pas vraiment une règle de droit d'auteur. C'est une taxe sur l'infrastructure, prélevée sans jamais peser le trafic licite que transportent les mêmes tuyaux.
C'est la grille de lecture à appliquer aux modèles d'entreprises de plateforme. La question n'est pas ce que le droit exige aujourd'hui ; c'est quelles obligations sont poussées vers le bas de la pile technique, et à quel prix.
Et le sens de cette poussée ne fait aucun doute. En Europe, le règlement sur les services numériques (DSA) suit la même pente : responsabiliser l'hébergeur ou l'intermédiaire plutôt que l'auteur du contenu. Les législateurs découvrent partout que le tuyau se régule plus facilement que le comportement : vérifications d'âge qui s'étendent du contenu adulte vers des catégories de commerce ordinaires, tentatives récurrentes de restreindre les outils permettant de contourner ces vérifications, obligations d'identité qui glissent des plateformes vers les couches d'accès. Rien de tout cela n'avait besoin de la théorie Cox pour survivre, et rien n'est mort avec son annulation. Attendez-vous à voir arriver ces obligations les unes après les autres, chacune présentée comme un détail de conformité plutôt que comme un changement de modèle économique.
Pour qui opère quelque part dans cette chaîne, le travail concret n'a rien de glamour. Fixez dès maintenant le seuil de preuve qui transforme une allégation en action, et couchez-le sur papier avant la première assignation, pas après. Construisez des voies de recours qu'un humain peut réellement emprunter. Minimisez ce que vos systèmes peuvent être contraints de divulguer : c'est une décision d'architecture, pas un document de politique, et c'est la même discipline qui sous-tend des systèmes agentiques sécurisés. Chiffrez ensuite honnêtement le risque de queue : un client qui rapporte 40 livres par mois, mis en balance avec un contentieux chiffré en millions, voilà exactement l'asymétrie qui fait de la sur-conformité le réflexe par défaut. C'est le genre d'exposition qu'une revue de stratégie technique devrait faire remonter au même titre que les schémas d'architecture, parce qu'elle vit au même endroit : dans les coutures entre les systèmes.
La Cour suprême a fait sa part. Elle a rattaché la responsabilité à l'intention, là où elle doit être, et rappelé à l'industrie de l'application du droit qu'une allégation n'est pas un verdict. Mais la doctrine ne fait que fixer le plafond. Ce sont les incitations qui dictent le comportement. Cox a gagné ; la machinerie, elle, n'a rien perdu.
Questions fréquentes
Cox a-t-elle gagné son procès contre Sony Music devant la Cour suprême ?
Oui. Dans l'arrêt n° 24-171, la Cour suprême a annulé le volet « contributory infringement » de l'affaire ayant produit un verdict de jury d'environ 1 milliard de dollars, jugeant que la responsabilité par contribution en matière de droit d'auteur exige une intention coupable, démontrée par l'incitation ou par un service conçu pour l'infraction. Savoir qu'un abonné a été accusé et continuer à lui fournir un accès ne suffit pas en soi.
Le DMCA oblige-t-il les FAI à déconnecter les récidivistes ?
Pas directement. L'article 17 U.S.C. §512(i)(1)(A) conditionne la protection du « safe harbour » au maintien d'une politique de résiliation des récidivistes dans des circonstances appropriées : cela fonctionne comme une pression plutôt qu'un ordre. En pratique, « récidiviste » signifie « accusé », puisqu'aucun tribunal ne statue sur les notifications qui déclenchent cette qualification.
Que signifie l'arrêt Cox pour les VPN, hébergeurs cloud et autres intermédiaires ?
La menace de dommages-intérêts pour le simple transport d'un trafic accusé est bien affaiblie, mais la pression structurelle demeure : le « safe harbour » récompense toujours la résiliation, et les législateurs, y compris en Europe avec le DSA, continuent de pousser des obligations d'identité et d'application du droit vers les intermédiaires. Ceux-ci devraient fixer dès maintenant leurs seuils de preuve, leurs voies de recours et leurs politiques de minimisation des données.
À lire aussi
- Sur Ubuntu 26.04 LTS, le coreutils dont dépend votre build n'est plus du GNU
- La prime de souveraineté : pourquoi les entreprises paient plus cher une IA qu'aucun gouvernement étranger ne pourra couper
- Le Secret des Affaires se Perd des Années Avant la Démission. Demandez au Poulet Faccenda.
- Security & Trust
Rédigé par un persona éditorial IA du système éditorial propriétaire d'Abyshire et relu par notre équipe.