Archives de catégorie : Juridique

L’enjeu de la base légale et de l’information dans la conformité au RGPD des fournisseurs d’IA

Publié le par

Depuis peu, les fournisseurs de systèmes d’intelligence artificielle (IA) font l’objet d’une attention accrue de la part des autorités de contrôle européennes, lesquelles analysent leur conformité au règlement sur la protection des données (RGPD), de l’information des personnes à la base légale.

Par Sandra Tubert, avocate associée et Alicia Forgues, docteure en droit, Algo Avocats

Après avoir sanctionné OpenAI en décembre 2024 pour ses manquements au RGPD en lien avec son IA générative ChatGPT (1), l’autorité italienne de protection des données – la GPDP (2) – vient cette fois d’ordonner, le 30 janvier dernier (3), le blocage immédiat de l’application et du site web DeepSeek en Italie en raison de manquements présumés au RGPD. Avant d’ordonner la limitation du traitement, la GPDP avait adressé le 28 janvier une demande d’informations à DeepSeek, afin qu’elle précise les données traitées, les finalités poursuivies, leurs bases légales, le lieu de stockage, ainsi que la typologie de données utilisées pour entraîner les modèles d’IA, leurs sources et les modalités d’information des personnes (4).

Modèles d’IA, systèmes d’IA et données
D’autres « Cnil » européennes ont ouvert des enquêtes. Si le recours à l’IA n’impacte pas véritablement les réponses à apporter à certaines de ces questions, les bases légales de traitement et modalités d’information des personnes posent plus de difficultés lorsqu’il s’agit des traitements mis en œuvre dans le cadre de l’entraînement des modèles d’IA. En effet, ces derniers sont entraînés à l’aide d’un grand nombre de données, parmi lesquelles figurent parfois des données personnelles. Celles-ci se divisent en deux catégories : les données fournies directement par des personnes concernées ou les utilisateurs du système d’IA intégrant le modèle d’IA, auxquelles se rajoutent les données collectées durant l’utilisation du service (données first-party) et les données de non-utilisateurs collectées par web scraping ou grâce à la signature de contrats de licences d’utilisation de contenus (données third-party).
Lorsque le fournisseur se contente d’utiliser des données first-party pour entraîner ses modèles d’IA, le contact direct dont il dispose avec les personnes concernées par le traitement lui permet de les informer de manière classique, notamment via une politique de confidentialité – à laquelle il sera renvoyé depuis un formulaire de collecte ou un courriel – qui devra être précise et claire sur les finalités d’entraînement des modèles (notamment en distinguant l’information portant sur l’entraînement des modèles des autres traitements). A l’inverse, s’il utilise également (suite)

des données third-party, le fournisseur fait face à une difficulté, celle d’identifier un moyen approprié pour informer les personnes concernées de l’utilisation de leurs données à des fins d’entraînement des modèles d’IA. Sur ce point, la décision de sanction de 15 millions d’euros rendue en Italie par la GPDP à l’encontre d’OpenAI contient quelques enseignements. Elle y rappelle qu’elle avait, en avril 2023, ordonné à OpenAI un certain nombre de mesures pour se conformer à l’obligation d’information du RGPD. Selon la GPDP, OpenAI devait non seulement publier une mention d’information sur son site Internet explicitant clairement les finalités d’entraînement des modèles, mais aussi mettre à disposition des personnes un outil permettant d’exercer leurs droits (notamment d’opposition). Le fournisseur de ChatGPT devait également et surtout mener une campagne non promotionnelle à la radio, dans les journaux et à la télévision, dont le contenu aurait dû être validé par l’autorité. Objectif : que les utilisateurs et non-utilisateurs soient clairement sensibilisés à l’utilisation de leurs données à des fins d’entraînement des modèles d’IA et aux droits dont ils disposent, afin qu’ils puissent pleinement les exercer. Cette dernière modalité d’information demandée questionne sur les motivations entourant cette mesure (volume de personnes et de données concernées ? méconnaissance de ces traitements par le grand public en 2023 ?). En effet, cette mesure semble difficilement transposable à l’ensemble des acteurs entraînant des modèles d’IA.
En France, la Commission nationale de l’informatique et des libertés (Cnil) propose dans ses fiches IA (5) d’autres pistes pour informer les personnes. Première suggestion : s’appuyer sur le diffuseur des données (celui qui les a collectées initialement auprès des personnes) pour fournir une information complète, étant précisé que la seule mention d’une ré-exploitation par des tiers est insuffisante et qu’il convient, au contraire, d’indiquer que les données seront utilisées afin de développer un système d’IA et d’en désigner nommément le fournisseur.

Exception à l’information individuelle
Deuxième suggestion de la Cnil : rendre les informations disponibles publiquement sur un site web ou panneau d’affichage, sans procéder à une information individuelle, en s’appuyant sur l’exception prévue par le RGPD (à savoir l’information individuelle se révèlerait impossible ou exigerait des efforts disproportionnés (6)). Sur ce point, il conviendra alors de documenter le caractère disproportionné, suite à une mise en balance entre les efforts exigés – comme l’absence de coordonnées des personnes, le nombre de personnes concernées, les coûts de communication – et l’atteinte portée à la vie privée des personnes, notamment le caractère intrusif du traitement. La Cnil précise que l’information générale devra alors indiquer les sources précises utilisées pour constituer la base de données d’entraînement (ou a minima les catégories de sources lorsqu’elles sont trop nombreuses) ainsi que les moyens pour contacter le diffuseur auprès duquel les données ont été récupérées (7).

Intérêt légitime et ses limites : incertitude
Au-delà de l’information, l’entraînement des modèles d’IA questionne sur l’identification de la base légale parmi les six options inscrites dans le RGPD (8). Dans sa décision à l’encontre d’OpenAI, la GPDP a relevé un manquement sur ce point, lui reprochant une réflexion insuffisante sur le sujet, matérialisée par le fait qu’au cours de la procédure, la société a évoqué à la fois l’intérêt légitime et l’exécution du contrat comme base légale de son traitement d’entraînement des modèles d’IA. La GPDP rappelle ainsi aux fournisseurs de systèmes d’IA leur obligation d’identifier la base légale du traitement en amont de la mise en œuvre de ces traitements et de documenter leur analyse si l’intérêt légitime est retenu. Malheureusement, elle n’explore pas plus en profondeur la légitimité de fonder de tels traitements sur l’intérêt légitime ou ses limites, laissant les fournisseurs dans l’incertitude. Or, l’intérêt légitime est la base légale vers laquelle se tournent majoritairement les fournisseurs de système d’IA.
Ceci s’explique principalement par les cas restreints dans lesquels il est possible de fonder les traitements d’entraînement des modèles sur le consentement ou l’exécution du contrat. Cette dernière est souvent rapidement exclue, puisqu’une interprétation stricte en est retenue par les autorités et la CJUE et qu’elle ne peut être utilisée qu’en présence d’un contrat entre le fournisseur du système d’IA et les personnes concernées, pour des traitements objectivement indispensables à l’exécution des obligations prévues par ce contrat. Le consentement peut, quant à lui, être mobilisé par les fournisseurs utilisant des données firstparty, mais n’est pas véritablement disponible pour ceux qui entraînent leurs modèles d’IA avec des données third-party. Dès lors, le recours à l’intérêt légitime pour entraîner des modèles se généralise, même si cette démarche est critiquée, notamment par l’association Noyb (9).
Face à cette incertitude, l’autorité irlandaise (DPC) a émis une demande d’avis auprès du Comité européen de la protection des données (EDPB) en septembre 2024. La DPC souhaitait obtenir des renseignements sur la façon dont un responsable du traitement peut démontrer le bien-fondé de l’intérêt légitime en tant que base légale de traitement pour le développement de modèles d’IA (10). En réponse, l’EDPB a adopté en décembre dernier un avis (11), assez théorique (sans éclaircissements inédits), dans lequel il rappelle et présente les grandes notions et critères à prendre en compte en lien avec les trois conditions cumulatives pour documenter le fait qu’un traitement puisse être fondé sur l’intérêt légitime. L’EDPB y propose néanmoins quelques exemples de mesures souhaitables pour atténuer les risques identifiés lors de la balance des intérêts (pseudonymisation des données d’entraînement, masquage des données personnelles ou leur substitution par des données synthétiques, mise en place d’un délai entre la constitution de la base et l’entrainement des modèles pour permettre l’exercice des droits, …). Pour les données collectées par web scraping, l’EDPB propose des mesures spécifiques (exclure certaines catégories de données ou certaines sources, créer des listes d’opposition gérées par le fournisseur de systèmes d’IA, …). La DPC a salué l’avis rendu, de même que la Cnil, dont les travaux préexistants sur le sujet (qui apportent un éclairage complémentaire et plus concret) ne sont pas contredits (12). En dépit des recommandations figurant dans ces avis, les difficultés liées au recours à l’intérêt légitime dans un contexte d’entraînement des modèles d’IA sont mises en lumière par l’avertissement rendu par la GPDP, le 27 novembre 2024, à l’encontre de l’éditeur de presse Gedi (13). Celui-ci avait conclu un contrat avec OpenAI relatif à la communication d’archives de journaux pour permettre à ce dernier d’entraîner ses modèles d’IA et de mettre à disposition les contenus de presse de Gedi accompagnés d’un résumé, en temps réel, sur ChatGPT (14). En effet, bien que Gedi ait réalisé une analyse d’impact sur la protection des données, dans laquelle il indiquait fonder à la fois ses traitements et ceux d’OpenAI sur l’intérêt légitime, la GPDP a mis en lumière plusieurs difficultés liées à cette position (15).

Affaire « Gedi » : le cas des archives de presse
La première est la présence dans ces archives d’un volume important de données personnelles, notamment sensibles ou relatives à des infractions. L’autorité italienne rappelle alors que la base légale de l’intérêt légitime ne peut pas, à elle seule, légitimer le traitement de telles données sensibles et qu’il est nécessaire d’identifier, en plus, une des exceptions prévues par le RGPD (16). La seconde est relative à l’information des personnes et à leurs attentes raisonnables. La GPDP estime en effet que les personnes dont les données figurent dans ces archives de journaux ne peuvent pas s’attendre à une telle communication à OpenAI et que l’ajout prévu dans la politique de confidentialité de Gedi (non encore publié) s’adresse aux utilisateurs enregistrés de ses journaux et non aux personnes mentionnées dans les articles transmis. @

MiCA : opportunités et défis pour les acteurs en quête d’optimisation fiscale et réglementaire

Publié le par

Un crypto-actif est « une représentation numérique d’une valeur ou d’un droit pouvant être transférée et stockée de manière électronique », comme sur une blockchain. Les « prestataires de services sur crypto-actifs » font face à de coûteuses obligations. Certains sont tentés par la délocalisation.

Par Arnaud Touati, avocat associé, et Mathilde Enouf, juriste, Hashtag Avocats

Entré en application le 30 décembre 2024, le règlement européen sur les marchés de crypto-actifs – surnommé « MiCA » (Markets in CryptoAssets) – a véritablement modifié le paysage réglementaire des crypto-actifs en Europe. Ce texte publié en mai 2023 au Journal Officiel de l’Union européenne (1) vise à harmoniser les pratiques dans les Etats membres pour réduire les disparités entre les Vingt-sept. Avant MiCA, les entreprises devaient naviguer dans des cadres nationaux très différents, ce qui augmentait la complexité.

La France : pionnière mais coûteuse
Avec MiCA, les « prestataires de services sur cryptoactifs » (PSCA ou en anglais CASP (2)) sont tenus d’obtenir un agrément auprès des autorités nationales compétentes, comme l’Autorité des marchés financiers (AMF) en France, ou l’ESMA (3) pour des services transfrontaliers (4). Cet agrément impose des normes élevées en matière de gouvernance et de qualification des dirigeants. Les entreprises doivent prouver leur solidité organisationnelle et leur capacité à protéger les investisseurs contre les abus de marché. En plus de l’agrément, MiCA introduit des obligations strictes de transparence et de gouvernance. Les PSCA doivent impérativement pouvoir garantir la sécurité des actifs confiés par leurs clients et disposer de garanties financières proportionnées à leurs activités. MiCA renforce également la lutte contre le blanchiment d’argent et le financement du terrorisme (5). Les PSCA doivent alors mettre en place des systèmes de contrôle interne robustes, capables de détecter et signaler les transactions suspectes.
La France a joué un rôle précurseur dans la régulation des crypto-actifs (6), bien avant l’entrée en vigueur de MiCA, à travers la loi Pacte de 2019. Ce texte a permis de mettre en place un cadre juridique pour les « prestataires de services sur actifs numériques » (PSAN). L’AMF et l’Autorité de contrôle prudentiel et de résolution (ACPR), deux régulateurs français, ont développé une expertise solide et proactive. Leur rigueur est perçue comme un gage de fiabilité par les investisseurs internationaux, renforçant la réputation de la France dans le secteur. En parallèle, la France propose des avantages fiscaux comme le crédit d’impôt recherche (CIR), qui permet de réduire les coûts liés à l’innovation. Des subventions spécifiques soutiennent également les start-up technologiques, contribuant à un écosystème favorable à l’innovation, y compris dans (suite)

les crypto-actifs. Cependant, ces avantages s’accompagnent de défis majeurs. La conformité réglementaire en France est l’une des plus coûteuses d’Europe.
Les entreprises opérant dans le secteur des crypto-actifs doivent investir massivement dans des systèmes de cybersécurité avancés pour se conformer aux exigences des régulateurs comme l’AMF. Ces systèmes incluent notamment la mise en place d’infrastructures sécurisées pour protéger les actifs numériques des cyberattaques, un enjeu central dans un secteur particulièrement exposé.
La cybersécurité ne se limite pas à la protection des données des utilisateurs. Elle implique également la surveillance proactive des réseaux pour détecter et prévenir les intrusions, l’utilisation de technologies comme les pares-feux de nouvelle génération, les systèmes de détection d’intrusion (IDS) et des solutions de gestion des informations et des événements de sécurité (SIEM). Ces outils, bien que nécessaires pour se conformer aux normes en matière de lutte contre le blanchiment d’argent (LCB-FT) et pour garantir la sécurité des transactions, représentent des investissements considérables, tant en termes financiers qu’en termes de main-d’œuvre qualifiée.

Délocalisation en Europe : opportunités et défis
Enfin, les audits réguliers imposés pour maintenir l’enregistrement en tant que PSAN (7) engendrent des frais récurrents. Ces audits, réalisés par des cabinets spécialisés ou des organismes accrédités, examinent non seulement les systèmes de sécurité et les pratiques de gouvernance, mais également la capacité des entreprises à identifier et signaler les activités suspectes. Ces contrôles rigoureux sont essentiels pour garantir la confiance des investisseurs et des utilisateurs, mais leur coût cumulé pèse lourdement, en particulier sur les petites structures et les start-up, qui disposent souvent de ressources limitées. Avec le cadre harmonisé du règlement MiCA, de nombreuses entreprises de cryptoactifs explorent des juridictions européennes plus favorables pour réduire leurs coûts. Bien que MiCA impose des normes communes, les disparités fiscales et administratives entre Etats membres permettent des arbitrages stratégiques.

Mais aussi Dubaï, Singapour, et le Wyoming …
Des pays comme l’Irlande et l’Estonie se démarquent : l’Irlande, avec son impôt sur les sociétés à 12,5 % et un vaste réseau d’accords de double imposition, attire startup et entreprises technologiques cherchant un environnement fiscal stable ; l’Estonie, en exonérant les bénéfices réinvestis, encourage la croissance et réduit les coûts pour les petites structures, tandis que sa numérisation administrative simplifie les démarches, ce qui en fait une destination particulièrement attractive pour les entreprises technologiques.
D’autres pays, tels que le Luxembourg, Malte et le Portugal offrent des avantages spécifiques : le Luxembourg est une référence pour structurer des fonds et actifs numériques grâce à sa régulation stable ; Malte, précurseur en matière de crypto-actifs, propose une fiscalité compétitive et un cadre souple pour l’innovation ; le Portugal attire par ses exonérations fiscales sur les revenus crypto pour les particuliers et un environnement entrepreneurial favorable.
Toutefois, ces avantages s’accompagnent de risques. MiCA impose des normes transfrontalières strictes, notamment sur la sollicitation inversée, limitant les activités des entreprises souhaitant cibler des clients dans des pays comme la France sans respecter les obligations locales. De plus, choisir une juridiction perçue comme moins rigoureuse peut ternir l’image d’une entreprise auprès des investisseurs, qui privilégient souvent des cadres réglementaires solides comme celui de la France.
Face à la concurrence accrue et aux coûts élevés en Europe, certaines entreprises de crypto-actifs explorent des options hors de l’Union européenne (UE). Des destinations comme Dubaï, Singapour et certains Etats américains offrent des régulations plus flexibles et des incitations fiscales attractives, faisant d’eux des choix stratégiques pour certaines entreprises. Dubaï se distingue par ses zones franches, comme le DIFC (8), qui offrent un environnement favorable aux crypto-actifs, avec des avantages fiscaux et une approche ouverte aux technologies innovantes. Singapour, de son côté, combine stabilité politique, fiscalité compétitive et soutien actif au développement de la blockchain, attirant ainsi des acteurs technologiques majeurs. Aux Etats-Unis, bien que le cadre juridique soit complexe et varie selon les Etats, des initiatives pionnières comme celles du Wyoming, avec des lois spécifiques aux crypto-actifs, renforcent son attractivité pour des entreprises cherchant à innover. Cependant, la délocalisation hors Europe s’accompagne de défis. Les cadres réglementaires y sont souvent moins harmonisés, ce qui complique la gestion des opérations internationales. De plus, pour maintenir des activités dans l’UE, les entreprises doivent respecter les normes européennes, notamment celles imposées par le règlement MiCA. Enfin, une implantation hors de l’Europe peut être perçue négativement par les investisseurs européens, qui privilégient des juridictions régulées de manière stricte et fiable.
En résumé, le règlement MiCA offre un cadre harmonieux et structuré pour le développement du marché des cryptoactifs en Europe, ce qui renforce la protection des investisseurs et la sécurité du secteur. Cependant, celuici impose également des obligations strictes pouvant s’avérer être coûteuses, en particulier pour les petites entreprises et start-up.

Pour une approche stratégique et équilibrée
À l’aune de tous ces défis, les acteurs du secteur doivent adopter une approche stratégique, en analysant minutieusement les avantages et inconvénients des différentes juridictions européennes ou internationales. Si la France se distingue par son cadre rigoureux et son écosystème favorable à l’innovation, d’autres Etats membres ou destinations hors de l’UE présentent des avantages d’optimisation fiscale et opérationnelle. Cependant, le choix d’une juridiction doit être modéré entre la recherche d’économies et la nécessité de conserver une réputation solide auprès des investisseurs. @

ZOOM

Une période transitoire jusqu’au 1er juillet 2026
Les prestataires de services de crypto-actifs (PSCA) qui ont fourni leurs services conformément à la législation applicable avant le 30 décembre 2024 peuvent continuer à le faire jusqu’au 1er juillet 2026, ou jusqu’à ce qu’une autorisation leur soit accordée ou refusée en vertu de l’article 63 du règlement européen MiCA, si celle-ci intervient plus tôt. Les Etats membres peuvent décider de ne pas appliquer le régime transitoire pour les PSCA ou de réduire sa durée s’ils estiment que leur cadre réglementaire national applicable avant le 30 décembre 2024 est moins strict que le MiCA. Aussi, chacun des Vingt-sept avait jusqu’au 30 juin 2024 pour notifier à la Commission européenne et à l’Autorité européenne des valeurs mobilières et des marchés – European Securities and Markets Authority (ESMA) – l’option choisie et indiquer la durée de leur régime transitoire. Par exemple, la France a opté pour une période transitoire de 18 mois, comme le Luxembourg ou encore Malte. Selon un document de l’ESMA (9), l’Allemagne, la Belgique, le Portugal et la Norvège n’ont pas encore annoncé leur grandfathering period. @

« Résumé suffisamment détaillé » : 2025 sera l’année de vérité dans la mise en œuvre de l’AI Act

Publié le par

Le rapport du CSPLA sur la mise en œuvre du règlement européen établissant des règles harmonisées sur l’IA fournit les ingrédients mais… pas la recette ! Le Bureau européen de l’IA, créé par l’AI Act, doit publier prochainement un « modèle européen » à suivre par les Vingt-sept.

Par Anne-Marie Pecoraro*, avocate associée, UGGC Avocats

Le rapport « IA et Transparence des données d’entraînement » (1), publié le 11 décembre 2024 par le Conseil supérieur de la propriété littéraire et artistique (CSPLA), s’inscrit dans la préparation de la mise en œuvre du règlement européen sur l’intelligence artificielle (AI Act) et a pour objectif de clarifier l’interprétation et la portée des dispositions imposant un modèle de « résumé suffisamment détaillé » (2). Ce modèle sera présenté au nom de la France dans le cadre du processus d’adoption d’un modèle européen par le Bureau européen de l’IA (AI Office), autorité créée par l’AI Act et chargée d’accompagner les fournisseurs d’IA dans leur mise en conformité. La publication du modèle européen est attendue pour janvier 2025.

Transparence des données d’entraînement
La collecte de données de qualité, notamment de données culturelles, est d’une importance stratégique pour les fournisseurs d’IA, puisque les systèmes d’IA ont besoin d’ingurgiter de grandes quantités de données, leur servant de modèles dans leurs productions. Or, des données contenant des créations protégées par un droit de propriété intellectuelle peuvent avoir été obtenues sans autorisation ou sans tenir compte d’un « opt-out », et avoir été effectivement exploitées. Il en va de même concernant des données personnelles (posts Facebook, Instagram, …) potentiellement utilisées pour l’entraînement de modèles d’IA. L’enjeu est alors d’avoir accès à l’information sur les données d’entraînement utilisées par une IA, pour bien des raisons et notamment ouvrir une visibilité aux ayants droits dont des données et/ou créations auraient été mobilisées, quelles qu’en soient les modalités.
Pour ce faire, les fournisseurs d’IA sont désormais soumis à une obligation de transparence qui se concrétise par la mise en place d’une politique de conformité, ainsi que par la mise à disposition au public d’un « résumé suffisamment détaillé » (sufficiently detailed summary) des contenus utilisés pour l’entraînement du modèle d’IA. Ce résumé permet le développement d’une IA de confiance souhaitée au niveau européen (3), en remédiant aux difficultés rencontrées par les titulaires de droits, confrontés à une charge de la preuve disproportionnée concernant l’utilisation de leurs contenus. Pour autant, le résumé doit répondre aux enjeux de la création d’un marché dynamique et équitable de l’IA. Ce qui impose un compromis pour restreindre la quantité d’informations mise à disposition afin de protéger le secret des affaires, moteur d’innovation pour les fournisseurs d’intelligence artificielle. (suite)

La mission à l’origine du rapport approuvé par le CSPLA (4) rappelle à ce titre qu’il convient de « donner à la transparence les conséquences attendues, à savoir créer un marché et permettre la rémunération des contenus » (5). Il s’appuie sur deux principaux points pour justifier son modèle de résumé.
• En premier lieu, l’obligation de mettre en place une politique de conformité et celle de mettre à disposition du public un résumé suffisamment détaillé sont indissociables en ce qu’elles participent au même objectif de transparence. A ce titre, et par souci de cohérence avec le « codes de bonne pratique » (code of practice) attendu auprès du bureau de l’IA, la mission considère que la politique de conformité devrait apparaître, au moins dans ses grandes lignes, dans le résumé. La mission explicite certains des principaux éléments de conformité qui devraient figurer dans le résumé. Elle souligne que l’AI Act exige explicitement que la politique de conformité inclut l’« identification et le respect (…) des réserves de droits exprimées conformément à l’article 4, paragraphe 3, de la directive [« Copyright » de 2019 (6)] » (7), mécanisme dont les faiblesses ont été éclairées lors de la récente décision du tribunal régional d’Hambourg dans l’affaire « LAION c/ Robert Kneschke» (8).

Fouille de textes et de données (TDM)
Pour mémoire, le dispositif de ces articles que nous avons commenté (9) permet aux titulaires de droits de s’opposer à la fouille de textes et de données si les œuvres et autres objets protégés ont été réservés « par leurs titulaires de droits de manière appropriée, notamment par des procédés lisibles par machine pour les contenus mis à la disposition du public en ligne ». Or, le tribunal allemand a notamment validé l’application des exceptions de « fouille de textes et de données » (TDM) pour l’entraînement des systèmes d’IA. D’autre part, le tribunal allemand a pour la première fois en Europe établi un précédent concernant l’exception de TDM en insistant sur la nécessité pour les fournisseurs d’intelligence artificielle d’adopter des technologies pour respecter les clauses de réserve exprimées au titre de l’article 4 de la directive « Copyright ». En abordant la question de l’opt-out et la possibilité pour les détenteurs de droits de s’opposer à l’utilisation de leur contenu, le tribunal d’Hambourg a noté que l’opt-out exprimé en langage naturel pouvait être considéré comme « machine-lisible », ce qui aura des implications pour la manière dont les « optout » sont formulés et reconnus à l’avenir. Par conséquent, omettre de mentionner la clause de réserve de droits dans le résumé reviendrait à réduire la portée de l’obligation de transparence (10).

Détail du résumé et secret des affaires
Par ailleurs, le modèle de résumé devrait inciter les fournisseurs à préciser les protocoles reconnus par les « moissonneurs » de données qu’ils utilisent, que ce soit directement ou via des tiers et lorsqu’il s’agit de jeux de données obtenus gratuitement ou moyennant paiement auprès de tiers, et si des mesures ont été mises en place pour garantir que ces données ont été collectées en conformité avec la législation applicable, notamment en vérifiant l’existence d’une autorisation ou d’une licence.
• En second lieu, le modèle de résumé doit être pensé afin de garantir un niveau de protection suffisant aux titulaires de droit tout en préservant l’innovation et ainsi conserver l’effet utile du texte. La mission du CSPLA souligne que la finalité du résumé telle que rappelée dans les considérants du règlement est d’« aider les parties ayant des intérêts légitimes, y compris les titulaires de droit d’auteur, à exercer et à faire respecter les droits que leur confère la législation de l’Union », sans pour autant porter atteinte au secret des affaires. A ce titre, le degré de détail du résumé doit s’apprécier au regard de cet objectif et de cette limite, afin de garantir l’effet utile du texte (11).
Pour garantir l’effet utile du résumé, le mission propose dans son rapport une approche graduée, ajustant le niveau de détail selon la nature des contenus, tout en veillant à préserver un équilibre avec le respect du secret des affaires. A ce titre, la mission estime que l’information relative aux contenus et le degré détail attendu est fonction du degré de fiabilité des sources. Pour les contenus libres de droit, ainsi que les contenus relevant d’arrangements contractuels, des informations générales peuvent suffire. Pour les autres contenus protégés, la mission estime que le secret des affaires ne saurait justifier de se borner à transmettre la liste des principales sources et donc ne pas transmettre la liste des URL (12), à savoir des adresses des sites web moissonnés. La mission souligne que l’AI Act insiste sur la nécessité de fournir un résumé complet pour permettre aux parties ayant des intérêts légitimes, comme les titulaires de droits d’auteur, d’exercer et de faire respecter leurs droits (13). Si le secret des affaires peut limiter le niveau de détail technique, il ne peut réduire le résumé au point de le rendre inefficace. Ainsi, la mission énonce comme essentielles certaines informations, telles que les URL des sites Internet d’où proviennent les données récupérées, la date de moissonnage, ainsi que la taille et le type de données utilisées. Toutefois, elle précise que des informations plus détaillées, comme les modalités d’utilisation des contenus (par exemple, méthode de filtrage ou tokenisation), relèvent du secret des affaires et ne doivent pas être divulguées dans le résumé public. Néanmoins, le secret des affaires ayant ses limites, ces informations pourront être divulguées dans le cadre d’une réclamation.
Le rapport du CSPLA se base notamment sur l’inopposabilité du secret des affaires au autorités judiciaires et administratives. A ce titre, la Cour de justice de l’Union européenne (CJUE) a considéré dans son arrêt « Dun&Bradstreet Austria GmbH » (14) que le secret des affaires ne saurait conduire à écarter le droit d’un individu, au titre du règlement européen sur la protection des données (RGPD) de comprendre une décision qui l’affecte. Pour la mission, cette solution est transposable aux dispositions de droit d’auteur issues des textes européens : le secret des affaires ne peut conduire, en vidant toute substance le résumé suffisamment détaillé, à écarter le droit qu’un titulaire de droits tire de l’AI Act à disposer d’éléments pouvant l’aider « à exercer et à faire respecter les droits que leur confère la législation de l’Union [européenne] ».
La mission souligne que si le Bureau de l’IA, lors de ses vérifications, n’a pas à examiner chaque œuvre ou contenu protégé individuellement pour contrôler la conformité des résumés fournis, l’AI Act n’interdit pas qu’un résumé inclut une liste des contenus protégés ou moissonnés, à condition que cette liste demeure globalement complète (15). L’exhaustivité de cette liste pourrait et devrait également être contrôlée dans le cadre d’une réclamation.

Droit d’auteur et données personnelles
Ainsi, pour la mission du CSPLA, il s’agit au stade du résumé public d’identifier les sources collectées pour l’entraînement de l’IA, mais pas encore d’explorer comment ces sources ont été utilisées, tenant compte du secret des affaires. Ces informations pouvant être révélées ultérieurement dans le cadre d’une réclamation, la protection des titulaires de droit demeure assurée. Les ingrédients donc… mais pas la recette. Le rapport du CSPLA confirme la lecture que l’on pouvait faire de l’AI Act, selon laquelle « l’obligation de transparence s’étend bien au-delà des contenus protégés par le droit d’auteur et les droits voisins » (16), et intègre notamment les données à caractère personnel. @

* Anne-Marie Pecoraro est avocate spécialisée en droit de
la propriété intellectuelle, des médias et des technologies.

Mesures techniques contre le piratage : les ayants droit exigent plus des plateformes

Publié le par

L’Arcom a publié le 25 octobre son rapport 2024 d’« évaluation des mesures techniques d’identification des œuvres et objets protégés mises en œuvre par les fournisseurs de services de partage de contenus en ligne ». Trois ans après la loi « Antipiratage », les ayants droit ne sont pas satisfaits de ces outils.

La loi du 25 octobre 2021 de « régulation et de protection de l’accès aux œuvres culturelles à l’ère numérique », loi dite « Antipiratage » (1), a confié à l’Autorité de régulation de la communication audiovisuelle et numérique (Arcom) – que préside jusqu’au 2 février 2025 Roch-Olivier Maistre (photo) – une mission d’évaluation de l’efficacité des mesures de protection des œuvres et objets protégés prises par les fournisseurs de services de partage de contenus en ligne (YouTube, Instagram, Facebook, Snapchat, TikTok, Pinterest, Dailymotion, X/Twitter, …). Et ce, aux termes de l’article L. 331-18 du code de la propriété intellectuelle (CPI).

« Mesures techniques », filtrage et blocage
Les plateformes numériques de partage de contenus protégés par le droit d’auteur et les droits voisins doivent obtenir l’autorisation préalable des titulaires de droits pour les œuvres et objets protégés que leurs internautes utilisateurs téléchargent sur leur service pour les partager. En l’absence d’autorisation, ces fournisseurs de services de partage de contenus – plateformes vidéo telles que YouTube ou réseaux sociaux tels qu’Instagram ou X (ex-Twitter), soit au total 23 services en France, d’après l’Arcom – doivent, afin de ne pas engager leur responsabilité : • démontrer avoir fourni leurs meilleurs efforts pour obtenir une autorisation préalable auprès des titulaires de droits ; • avoir fourni leurs meilleurs efforts pour garantir l’indisponibilité des contenus pour lesquels les titulaires de droit leur ont fourni les informations pertinentes et nécessaires ; • avoir agi promptement, dès réception d’une notification, pour bloquer ou retirer le contenu signalé et empêcher son nouveau téléchargement sur son service.
Ce régime spécifique d’autorisation et de responsabilité des plateformes de partage, au regard du droit d’auteur et des droits voisins, découle de la transposition de l’article 17 sur le filtrage des contenus de la directive européenne « Droit d’auteur dans le marché unique numérique » du 17 avril 2019, dite directive « Copyright » (2). (suite)

Cet article 17 – très controversé à l’époque (3) – épargne cependant du dispositif ce qui relève du droit de citation, de critique, de revue, ou d’utilisation à des fins de caricature, de parodie ou de pastiche. Cette exception au droit d’auteur et aux droits voisins n’est pas explicitement reprise dans l’article L. 137-2 du CPI (4) qui a transposé en France cet article 17. Ayant fait couler beaucoup d’entre à la fin des années 2010, l’article 17 de la directive « Copyright » ne remet pas en cause le statut d’hébergeur, mais crée seulement une exception au droit d’auteur dès lors que les services concernés réalisent des actes de communication au public en ligne. Pour être en conformité avec les obligations qui leur incombent, les YouTube, Instagram et autres TikTok doivent recourir à des « mesures techniques » d’identification et de protection des contenus prévues par la directive « Droit d’auteur et droits voisins dans la société de l’information » du 22 mai 2001, dite directive « DADVSI » (5), ces outils « rest[ant] indispensable pour assurer la protection et l’exercice effectif des droits conférés aux auteurs et aux autres titulaires de droits » par la directive « Copyright » (6).
La définition de ces mesures techniques, établie depuis plus de 23 ans maintenant, est à suivante : « On entend par “mesures techniques”, précise la directive DADVSI dans son article 6-3, toute technologie, dispositif ou composant qui, dans le cadre normal de son fonctionnement, est destiné à empêcher ou à limiter, en ce qui concerne les œuvres ou autres objets protégés, les actes non autorisés par le titulaire d’un droit d’auteur ou d’un droit voisin du droit d’auteur […]. Les mesures techniques sont réputées efficaces lorsque l’utilisation d’une œuvre protégée, ou celle d’un autre objet protégé, est contrôlée par les titulaires du droit grâce à l’application d’un code d’accès ou d’un procédé de protection, tel que le cryptage, le brouillage ou toute autre transformation de l’œuvre ou de l’objet protégé ou d’un mécanisme de contrôle de copie qui atteint cet objectif de protection ».

Content ID, Rights Manager, Signature, …
C’est dans ce cadre législatif européen que se sont multipliées les mesures techniques : Content ID de YouTube, Rights Manager de Meta (ex-Facebook), MediaMatch de TikTok, Signature de l’Ina (7) Dailymotion, Content Claiming Portal (8) de Pinterest, ou encore RightsAudit/RightsRx d’Audible Magic pour les producteurs de musique et les réseaux sociaux. Ces mesures techniques sont devenues nécessaires pour les plateformes numériques de partage de contenus protégés par le droit d’auteur, afin de les bloquer avant leur mise à disposition ou les retirer suite à une notification – si leur utilisation est considérée comme du piratage ou de la contrefaçon par les ayants droit de l’audiovisuel, du cinéma, de la musique, de l’image, de la photographie et de l’édition. Ces mesures techniques de filtrage sur Internet peuvent aussi être mises en place pour mesurer la consommation effective des contenus protégés, voire les monétiser. En France, l’article L. 331-18 du CPI – introduit par la loi « Antipiratage » de 2021 – confie à l’Arcom une « mission d’évaluation du niveau d’efficacité des mesures de protection des oeuvres et objets protégés prises par les fournisseurs de services de partage de contenus en ligne ».

Des recommandations « Arcom » non suivies
Les agents habilités et assermentés de l’ex-CSA+Hadopi peuvent « mettre en œuvre des méthodes proportionnées de collecte automatisée des données publiquement accessibles » et l’Arcom peut « solliciter toutes informations utiles auprès des fournisseurs de service, des titulaires de droit et des concepteurs des mesures de protection ». Elle peut formuler des recommandations en vue de leur amélioration ainsi que sur le niveau de transparence requis (9), notamment en encourageant la coopération entre titulaires de droit et fournisseurs de services de partage de contenus, ou encore procéder au règlement de différends entre utilisateurs et ayants droit en cas de litige sur les suites données par le fournisseur de services à la plainte d’un utilisateur. Le tout premier rapport d’« évaluation des mesures techniques d’identification des œuvres et objets protégés » avait été publié le 27 avril 2023 par l’Arcom, laquelle y faisait treize recommandations à l’attention des plateformes numériques et des ayants droit.
Or, dans son second rapport publié le 25 octobre 2024, l’Arcom fait part de son mécontentement de na pas avoir été suivie pour certains points : « L’autorité constate avec insatisfaction la faible implication des parties à mettre en œuvre ces recommandations. Parmi celles-ci, une seule [la recommandation n° 11] a été suivie par les ayants droit [qui] ont […] apporté des réponses concernant les outils et coopéré avec l’autorité afin qu’elle puisse opérer ses évaluations. Les autres recommandations n’ont pas été suivies par les parties, et plus particulièrement celle demandant aux fournisseurs de services de préciser, dans leurs conditions générales d’utilisation ou dans les formulaires de contestation mis en ligne, la possibilité pour les utilisateurs et les ayants droit de saisir l’Arcom en cas de conflit dans le cadre d’une procédure de règlement de différends, ou encore celle demandant à informer les utilisateurs français des règles applicables en matière de droit d’auteur en France […] ». Aussi, ce deuxième rapport (10) sonne comme un rappel à l’ordre sur ces recommandations non prises en compte. Et l’Arcom en rajoute une couche, puisque ce second rapport formule six nouvelles recommandations, à savoir pour les fournisseurs de services de partage de contenus : • conclure des accords et convenir avec les ayants droit de procédures facilitées pour la notification des contenus (recommandation n° 1) ; • harmoniser les délais de traitement pour l’ensemble des secteurs culturels (recommandation n° 2) ;
• mentionner les règles applicables sur le territoire français en matière de droit d’auteur comme recommandé dans le cadre du précédent rapport (recommandation n° 3) ;
• préciser, dans les conditions générales d’utilisation ou dans les formulaires de contestation mis en ligne, la possibilité pour les utilisateurs et les ayants droit de saisir l’Arcom, en cas de conflit, dans le cadre d’une procédure de règlement de différends (recommandation n° 4) ; • donner à l’Arcom l’accès aux outils de reconnaissance des contenus à des fins d’évaluation (recommandation n° 5) ; • améliorer la robustesse des outils dans leur capacité à identifier les images fixes (recommandation n° 6).
A travers ces recommandations de l’Arcom, dont le groupe de travail « Protection des droits sur Internet » est présidé par Denis Rapone (photo ci-contre), ex-président de l’Hadopi (2018-2021), transparaissent les exigences des ayants droit vis-à-vis des plateformes numériques et des réseaux sociaux, lesquels ne coopèreraient pas assez à leurs yeux dans la lutte contre le piratage sur Internet. Les ayants droit ont notamment relevé le fait que des services « comme X (ex-Twitter) » ne possèdent pas d’outils de reconnaissance de contenus ou ne mettent pas en œuvre des mesures efficaces pour empêcher le téléversement d’œuvres protégées. Les ayants droit ont en outre fait part à l’Arcom de leurs difficultés à prendre en main Rights Manager (Meta/Facebook/Instagram), notamment son interface de configuration qui, selon l’un d’eux, « doit impérativement faire l’objet de modifications », mais aussi sa capacité « sous exploitée et peu optimale » à détecter les contenus. « Surtout, note l’Arcom, il est rapporté que l’outil est moins efficace sur Instagram que sur Facebook ». Le secteur de l’édition a, lui, fait part du caractère inadapté aux contenus écrits de Rights Manager (Meta) et de Content ID (YouTube). Quant à l’outil MediaMatch (TikTok) « déployé tardivement », il est jugé « inefficace ».

Accords de « monétisation » et de « blocage »
« Par ailleurs, constate le régulateur de l’audiovisuel et du numérique dans son deuxième rapport, trente-cinq accords ont été portés à la connaissance de l’Arcom par les ayants droit répondants. Ces accords peuvent être mixtes et la majorité d’entre eux concerne la monétisation (vingtneuf) et le blocage (vingt-trois). Ils sont principalement conclus avec les services Dailymotion, Meta, Snapchat, TikTok et YouTube. Les ayants droit regrettent en particulier l’absence d’accords à ce jour avec X (ex-Twitter) ». Sur les 23 services identifiés par l’Arcom concernés par la loi « Antipiratage », certains d’entre eux ne proposent pas d’outils de reconnaissance de contenus et sont donc dans le collimateur des ayants droit. @

Charles de Laubier

La revente numérique de jeux vidéo interdite en France : une « exception culturelle » qui interroge

Publié le par

Retour sur la décision de la Cour de cassation qui, le 23 octobre 2024, clôt l’affaire opposant depuis 2015 UFC Que-Choisir à la société américaine Valve, laquelle interdit la revente de jeux vidéo dématérialisés. Pas d’« épuisement des droits » pour ces derniers, contrairement aux logiciels…

La plus haute juridiction française, la Cour de cassation, a eu le dernier mot dans l’affaire qui opposait depuis près de dix ans en France l’Union fédérale des consommateurs-Que choisir (UFC-Que choisir) et la société américaine Valve Corporation. Cofondée en 1996 par son président Gabe Newell (photo de gauche), Valve opère la plateforme numérique Steam créée en 2002 pour distribuer et diffuser en ligne des jeux vidéo, des logiciels, des films ou encore des séries. L’arrêt du 23 octobre 2024 a tranché en faveur de Valve qui n’autorise pas la revente de jeux vidéo dématérialisés.

Directive : « DADVSI » ou « Logiciels » ?
La Cour de cassation a estimé dans cette décision du 23 octobre 2024 (1) que la cour d’appel a eu raison de dire dans son arrêt du 21 octobre 2022 (2) qu’« un jeu vidéo n’est pas un programme informatique à part entière mais une œuvre complexe en ce qu’il comprend des composantes logicielles ainsi que de nombreux autres éléments tels des graphismes, de la musique, des éléments sonores, un scénario et des personnages [“dont certains deviennent cultes”, ajoutait même Valve, ndlr] ». Et que, « à la différence d’un programme d’ordinateur destiné à être utilisé jusqu’à son obsolescence, le jeu vidéo se retrouve rapidement sur le marché une fois la partie terminée et peut, contrairement au logiciel, être encore utilisé par de nouveaux joueurs plusieurs années après sa création ». Dans ses arguments distinguant logiciel et jeu vidéo, la cour d’appel avait aussi affirmé qu’« il ne peut être considéré que la fourniture d’un jeu vidéo sur un support matériel et la fourniture d’un jeu vidéo dématérialisé sont équivalentes d’un point de vue économique et fonctionnel, le marché des copies immatérielles d’occasion des jeux vidéo risquant d’affecter beaucoup plus fortement les intérêts des titulaires de droit d’auteur que le marché d’occasion des programmes d’ordinateur ».
La plus haute juridiction française, qui avait déjà fait sienne cette définition d’« œuvre complexe » pour les jeux vidéo dans l’arrêt « Cryo » du 25 juin 2009 (3), a donc finalement donné raison à la cour d’appel et, partant, à la société Valve contre l’association UFC-Que Choisir, tout en ajoutant que la cour d’appel « a déduit à bon droit que seule la directive 2001/29 [directive européenne “Droit d’auteur et des droits voisins dans la société de l’information” ou DADVSI (4), ndlr] est applicable aux jeux vidéo, que la règle de l’épuisement du droit ne s’applique pas en l’espèce et qu’en l’absence de doute raisonnable quant à l’interprétation du droit de l’Union européenne, il n’y a pas lieu de saisir la Cour de justice de l’Union européenne [CJUE, ndlr] d’une question préjudicielle ». Donc, circulez, il n’y a rien à voir. (suite)

Alors que pour UFC-Que Choisir, dont la présidente MarieAmandine Stévenin (photo de droite) indique à Edition Multimédi@ que son service juridique analyse la décision et étudie les possibilités de recours, la règle dite d’« épuisement du droit » devait s’appliquer aux jeux vidéo. Et ce, conformément à une autre directive européenne, la 2009/24 sur la protection juridique des programmes d’ordinateur, ou directive « Logiciels » (5). L’association de consommateurs avait donc demandé, en vain, à la cour d’appel de Paris de transmettre à la Cour de justice de l’Union européenne (CJUE) une question préjudicielle qui était la suivante : « Au regard notamment de la jurisprudence de la CJUE qui consacre une qualification distributive du jeu vidéo, l’épuisement du droit de distribution concernant ces œuvres de l’esprit estil régi par le seul article 4 de la directive [DADVSI], alors que le caractère logiciel du jeu vidéo revête une de ses caractéristiques principales et nécessaire à son utilisation ; en cas de réponse négative à la première question, comment articuler les règles relatives à l’épuisement du droit de distribution issues des directives [DADVSI] et [Logiciels] à un jeu vidéo composé principalement d’œuvre logicielles ainsi que d’œuvres non logicielles identifiables dans leur singularité tout en étant interdépendantes pour permettre la jouissance de l’œuvre. Enfin, existe-il un argument juridique permettant de ne pas appliquer au jeu vidéo une logique de protection par l’intermédiaire de mesures de protections techniques et par conséquent, d’appliquer au jeu vidéo les règles de l’épuisement du droit de distribution prévues par la directive [Logiciels] ».

« Situation ubuesque » (UFC-Que Choisir)
L’association UFC-Que Choisir avait en outre précisé dans ses conclusions qu’« appliquée à la règle de l’épuisement du droit cette qualification distributive aboutirait “à une situation ubuesque lorsque le jeu est mis sur le marché de manière dématérialisée”, les règles applicables de l’épuisement du droit étant différentes ». La cour d’appel de Paris en octobre 2022 puis la Cour de cassation en octobre 2024 n’ont donc pas jugé bon de transmettre cette question préjudicielle à la CJUE, alors qu’UFC-Que Choisir a soutenu jusqu’à la fin que « le logiciel d’un jeu vidéo n’est pas accessoire et relève, par sa nature, de la directive [Logiciels], et non pas de la directive [DADVSI] » et qu’« en outre, s’agissant du marché des copies de jeux vidéo, ou marché de l’occasion, il n’existe aucune différence selon que la copie est faite à partir d’un support matériel ou à partir d’Internet ».

L’exception de l’« épuisement du droit »
Pour l’association française de consommateurs, il y a lieu d’appliquer aux jeux vidéo la règle dite de l’« épuisement du droit » consacré par l’article 4-2 de la directive « Logiciels » de 2009, lequel prévoit : « La première vente d’une copie d’un programme d’ordinateur dans [l’Union européenne] par le titulaire du droit ou avec son consentement épuise le droit de distribution de cette copie […], à l’exception du droit de contrôler des locations ultérieures du programme d’ordinateur ou d’une copie de celui-ci ». La transposition de cette disposition en droit français résulte de l’article L. 122-6 3° du code de la propriété intellectuelle (6). Il s’agit d’une exception au droit d’auteur qu’une jurisprudence européenne a étendu aux logiciels, dans le cadre de l’affaire « UsedSoft contre Oracle » qui a fait l’objet d’un arrêt de la CJUE le 3 juillet 2012. La cour y fixe l’interprétation qui doit être faite de l’article 4-2 de la directive « Logiciels » : « Le droit de distribution de la copie d’un programme d’ordinateur est épuisé si le titulaire du droit d’auteur, qui a autorisé, fût-il à titre gratuit, le téléchargement de cette copie sur un support informatique au moyen d’Internet, a également conféré, moyennant le paiement d’un prix destiné à lui permettre d’obtenir une rémunération correspondant à la valeur économique de la copie de l’œuvre dont il est propriétaire, un droit d’usage de ladite copie, sans limitation de durée ». En clair, les utilisateurs peuvent revendre leurs licences de logiciels d’occasion, même si ces logiciels ont été téléchargés en ligne, tant que le titulaire du droit d’auteur a reçu une rémunération appropriée pour la copie initiale. Et l’arrêt « UsedSoft contre Oracle » de décider que « le second acquéreur de ladite licence ainsi que tout acquéreur ultérieur de cette dernière pourront se prévaloir de l’épuisement du droit de distribution […] et, partant, pourront être considérés comme des acquéreurs légitimes d’une copie d’un programme d’ordinateur […], et bénéficier du droit de reproduction prévu à cette dernière disposition » (7).
Mais tant la cour d’appel de Paris que la Cour de cassation invoquent les considérants 28 et 29 de la directive DADVSI qui énoncent, respectivement, que le droit de distribution inclut le droit exclusif de contrôler « la distribution d’une œuvre incorporée à un bien matériel » et que « la question de l’épuisement du droit ne se pose pas dans le cas des services, en particulier lorsqu’il s’agit de services en ligne » (8). Ainsi, contrairement au CD-Rom ou un DVD par exemple, pour lesquels la propriété intellectuelle est incorporée dans un support physique, tout acte en ligne doit être soumis à autorisation dans le cadre du droit d’auteur ou du droit voisin. Ainsi, la première chambre civile de la Cour de cassation, présidée par Carole Champalaune (photo cidessous), considère que « selon la CJUE, si l’épuisement du droit [prévu par la directive “Logiciels”] concerne à la fois les copies matérielles et immatérielles d’un programme d’ordinateur, et partant également les copies de programmes d’ordinateur qui, à l’occasion de leur première vente, ont été téléchargées au moyen d’Internet, sur l’ordinateur du premier acquéreur, les dispositions de la directive [“Logiciels”] constituent une lex specialis par rapport aux dispositions de la directive DADVSI ». Etant entendu qu’une loi spécifique (lex specialis) prévaut sur la loi générale (lex generalis). L’arrêt de la Cour de cassation du 23 octobre 2024 est un revirement complet par rapport au jugement de première instance d’il y a un peu plus de cinq ans, où le tribunal de grande instance (TGI) de Paris avait considéré le 17 septembre 2019 que Valve était dans l’illégalité en empêchant les utilisateurs de sa plateforme Steam de de revendre leurs jeux entre eux. Parmi les clauses abusives dénoncé par le juge de première instance, « la clause n° 1.C est illicite » au regard des directives DADVSI et « Logiciels » dans la mesure où « le principe de l’épuisement s’applique à la fourniture de contenus numériques dématérialisés telle que la fourniture de jeux vidéo en ligne, lesquels sont accessibles à distance via Internet et téléchargés sur l’ordinateur de celui qui l’utilise » (9). La fédération des consommateurs s’était félicitée à l’époque, notamment sur Twitter : « You Win ! Grâce à @UFCquechoisir, les #gamers pourront revendre leurs jeux achetés sur #steam » (10). Mais la victoire ne sera que de courte durée : la société Valve fera appel le 3 novembre 2020. Pour les quatre années suivantes, on connaît la suite. Le débat sur la vente d’occasion de jeux vidéo dématérialisés n’est pas clos pour autant, tandis que la question de ce marché numérique de seconde main se pose pour les autres industries culturelles : livre, musique, film, …

Les marchés de l’occasion numérique
Il y a plus de dix ans, la société américaine ReDigi avait essuyé les plâtres dans le secteur de la musique (11) avec un procès fleuve (2012-2019) qui s’est terminé devant la Cour suprême des Etats-Unis (12). Dans l’édition, l’arrêt « Tom Kabinet » de la CJUE du 19 décembre 2019 a, lui, rendu illégal la revente d’ebooks (13). Mais c’était sans compter l’avènement de Web3 avec ses chaînes de blocs (blockchain), jetons non-fongibles (NFT) et cryptomonnaies (tokens) pour authentifier et monétiser la vente sécurisée d’actifs numériques (14). La législation et la jurisprudence devront évoluer. @

Charles de Laubier