Archives de catégorie : Juridique

Millions de données personnelles dérobées chez Free : comment les abonnés peuvent porter plainte

Publié le par

Depuis que Free s’est fait voler fin octobre les données personnelles de 19,2 millions de ses abonnés, dont 5,1 millions de coordonnées bancaires, la question juridique est de savoir comment les clients concernés par cette fuite massive peuvent porter plainte contre l’opérateur télécoms.

« Il est toujours possible d’engager une action de groupe à l’encontre de l’opérateur télécoms, via une association de consommateurs agréée. Mais il n’y a aucune certitude que Free soit condamné : se faire cambrioler ne signifie pas nécessairement qu’on a été négligent ! », a expliqué le 31 octobre à l’association 60 Millions de Consommateurs Jean-Jacques Latour (photo), directeur expertise cybersécurité pour Cybermalveillance.gouv.fr, qui assiste entre autres les victimes de hacking. Ce jour-là cet expert avait indiqué qu’un formulaire allait être mis en ligne sur ce site gouvernemental. « Le remplir permettra aux victimes d’avoir une preuve officielle à présenter à leur banque, si jamais elle rechigne à rembourser en cas d’opération non consentie », avait-il annoncé. La Commission nationale de l’informatique et des libertés (Cnil), qui a indiqué le 12 novembre que « le dossier est désormais en cours d’instruction » après « un contrôle chez l’opérateur » la semaine précédente (1), expliquait, elle aussi, – dans la version initiale d’une page web dédiée à la fuite de données chez Free et mise en ligne le 30 octobre – qu’un formulaire de plainte allait être accessible sur le site Cybermalveillance.gouv.fr.

A défaut de formulaire sur Cybermalveillance.gouv.fr, une class action ?
Cette « lettre plainte » devait permette aux clients victimes de la fuite massive de données personnelles, intervenue en octobre (2) chez l’opérateur télécoms fondé par Xavier Niel, de faire une déposition en ligne : « Si vous avez été avisés de la violation de vos données, à la suite de la cyberattaque visant l’opérateur de téléphonie Free, vous avez la possibilité de porter plainte via un formulaire en ligne sans vous déplacer en commissariat ou en brigade de gendarmerie. Ce formulaire sera prochainement disponible depuis le site cybermalveillance.gouv.fr », promettait le gendarme des données personnelles. Ce formulaire en ligne devait apparaître le 31 octobre… jour de la fête d’Halloween. Mais, sans explications, il n’en a rien été. Il n’y aura donc pas de formulaire. Se contentant de retirer la mention de ce formulaire en ligne de sa page web dédiée (3), la Cnil n’a donné aucune explication aux médias qui l’interrogeaient sur ce revirement. Contacté par la suite par Edition Multimédi@, Jean-Jacques Latour nous précise : « Le formulaire ne nous a pas été transmis par le ministère de l’Intérieur. Je n’ai pas à m’exprimer sur ses raisons et vous renvoie vers lui ». Mais la Place Beauvau (où se situe le ministère de l’Intérieur) n’a pas répondu à notre demande. Egalement contactée par nos soins, l’autorité administrative indépendante qu’est la Cnil ne nous a pas répondu non plus. (suite)

Le directeur expert cybersécurité de Cybermalveillance.gouv.fr, programme gouvernemental en partenariat public-privé piloté par le groupement d’intérêt public GIP Acyma (« action contre la cybermalveillance »), avait néanmoins confirmé auprès de nos confrères de 01net que le formulaire en ligne « n’était plus d’actualité », mais sans donner les raisons de l’abandon de cette « lettre plainte » qui aurait pu faciliter les démarches d’un potentiel de 19,2 millions de clients de Free. L’ampleur des plaintes à traiter, même en ligne, a sans doute fait reculer et la Cnil et l’administration française. Le risque d’un afflux de plaintes et d’usine à gaz ont amené la Cnil, la préfecture de police ou encore le ministère public (magistrat), décisionnaires dans ce type de démarche, à faire volte-face. Pourtant, créé par l’Etat en octobre 2017 dans le cadre de la stratégie nationale pour la sécurité du numérique, Cybermalveillance.gouv.fr – dont la Cnil est membre via le GIP Acyma – a vocation à « porter assistance aux victimes d’actes de cyber malveillance » (4). A défaut de « lettre plainte », les abonnés de Free n’auront-ils que leurs yeux pour pleurer la violation de leurs données personnelles ? Bien sûr que non : qu’il y ait exploitation frauduleuse de leurs coordonnées bancaires, usurpation d’identité (dont la fraude à la carte SIM ou « SIM swapping »), hameçonnage (phishing par SMS, e-mail ou téléphone), les clients de Free peuvent toujours porter plainte. Et il peuvent le faire de deux manières :
• Auprès de la Cnil, à partir de son service de plainte en ligne (5) ou par courrier postal (6), si la victime estime que ses données personnelles n’ont pas été suffisamment sécurisées par Free.

Plaintes : Cnil, police et gendarmerie
D’autant que cette violation massive de données personnelles – censées être protégées sans failles – concerne notamment : les noms, prénoms, adresses e-mail et postales, dates et lieux de naissance, numéros de téléphone, identifiants d’abonné et données contractuelles (offres souscrites, dates de souscription, abonnements actifs ou non). Et pour 5,1 millions d’abonnés, sur les 19,2 millions, les références du compte bancaire ou Iban (International Bank Account Number). Les mots de passe ne seraient pas concernés. Mais le gendarme des données personnelles peut « uniquement effectuer des investigations sur des problématiques relevant de la protection des données personnelles ». Et si des manquements sont avérés du côté de Free, il peut alors décider des « mesures correctrices tels que rappels à l’ordre, des mises en demeure ou des sanctions financières ». En revanche, la Cnil ne peut en aucun cas exercer les droits du plaignant à sa place ni être son mandataire et encore moins obtenir des dommages et intérêts et constater les préjudices subis.

Class action à venir contre Free ?
• Auprès de la police ou de la gendarmerie si la personne est victime d’une usurpation d’identité, d’une arnaque ou de paiements frauduleux. Cela suppose donc pour le plaignant de se déplacer physiquement pour se rendre dans le commissariat de police ou la brigade de gendarmerie de proximité. Pour trouver leur adresse, le ministère de l’Intérieur a créé un site web (7) permettant de géolocaliser les établissements les plus proches du domicile de la personne concernée. Le site Cybermalveillance.gouv.fr indique, lui, que déposer plainte en cas d’utilisation frauduleuse de vos données personnelles divulguées peut se faire non seulement dans un commissariat de police ou une gendarmerie, mais aussi par courrier postal à la Brigade de lutte contre la cybercriminalité (BL2C) de la Préfecture de police de Paris (36, rue du Bastion, 75017 Paris). Les infractions relèvent du code pénal, avec des peines d’emprisonnement allant d’un an à sept ans et de 15.000 euros à 750.000 euros d’amende (8).
Mais ce que ne dit pas la Cnil, c’est que les abonnés de Free concernés peuvent se regrouper pour engager une action de groupe (class action) ou un recours collectif, afin de demander la cessation de la violation de données personnelles et la réparation du préjudice. De class action, il en est question du côté de Cybermalveillance.gouv.fr qui, parmi ses conseils prodigués aux personnes concernées, suggère « d’engager au besoin une action de groupe ou un recours collectif qui permet aux victimes, représentées par une association de protection de la vie privée et des données personnelles ou une association de défense des consommateurs agréée au niveau national, de saisir la justice pour demander la cessation de la violation de données personnelles et la réparation du préjudice » (9).
Ces associations de consommateurs agréées en France pour défendre les consommateurs sont : l’UFC-Que Choisir, la CLCV, l’ULCC, l’Unaf, etc. (10). Elles aident à régler les litiges de la vie quotidienne, soit à l’amiable, soit par l’action en justice pour défendre l’intérêt collectif des consommateurs ou pour intenter des actions de groupe, et à demander réparation des préjudices subis par les consommateurs. Free avait par exemple déjà fait l’objet d’une action de groupe engagée en mars 2019 par l’UFC-Que Choisir pour obtenir l’arrêt et le remboursement des facturations injustifiées dont avaient été victimes les consommateurs au moment de la restitution de leur téléphone portable loué auprès de l’opérateur télécoms (11). Le 13 décembre 2022, le tribunal judiciaire de Paris avait déclaré irrecevable cette action de groupe. Mais l’Union fédérale des consommateurs Que Choisir a fait appel du jugement et l’affaire est toujours pendante devant la cour d’appel de Paris (12). « Après avoir plaidé pendant des décennies pour l’instauration d’une action de groupe, seule procédure permettant l’indemnisation, en un seul procès, des victimes de litiges de masse, l’UFC-Que Choisir a obtenu la création de cette procédure en 2014, rappelle l’association. Si certaines ont pu faire l’objet de transactions aboutissant à l’indemnisation des consommateurs, la plupart sont toujours en cours. L’association a engagé une dizaine d’actions depuis l’entrée en vigueur de la réforme ».
En effet, c’est la loi « Hamon » du 17 mars 2014 qui a introduit en France la class action, pratiquée depuis longtemps dans les pays anglo-saxons. L’Union européenne avait préparé le terrain avec la directive « Protection des intérêts des consommateurs » de 2009, laquelle fut abrogée par la directive « Actions représentatives visant à protéger les intérêts collectifs des consommateurs » du 25 novembre 2020 (13). Pour l’heure, une enquête préliminaire suit son cours du côté de la « cyberpolice » : elle a été diligentée sur les instructions de la section J3 du parquet de Paris et est ouverte à la BL2C (Brigade de lutte contre la cybercriminalité) de la direction de la police judiciaire de la Préfecture de police de Paris. Elle porte sur « les infractions d’atteintes à des systèmes de traitement automatisé de données, collecte frauduleuse de données à caractère personnel et recel de bien provenant d’un délit », comme l’indique Cybermalveillance.gouv.fr.

RGPD : Free (Iliad) risque une amende salée
De son côté, Free a mis en place un numéro vert (gratuit), disponible 7j/7 de 9h à 18h, pour toute question et demande de renseignement de ses clients : 0 805 921 100. A l’issue de l’enquête de la Cnil, épaulée par la police et la gendarmerie, les abonnés sauront si la responsabilité de la fuite de leurs données personnelles incombe à Free et s’il y a eu manquement au règlement général sur la protection des données (RGPD). L’opérateur télécoms, filiale du groupe Iliad dirigé par Thomas Reynaud (photo ci-dessus), risque une amende pouvant aller jusqu’à 7 % de son chiffre d’affaires, à laquelle pourrait s’ajouter par ailleurs des dommages et intérêts à ses clients en cas de préjudice reconnu par la justice. @

Charles de Laubier

Responsabilités sur le Web : ce qui change vraiment avec le règlement sur les services numériques

Publié le par

Même si le DSA a maintenu la « non-responsabilité » des hébergeurs et autres intermédiaires numériques, ce règlement européen sur les services numériques ouvre la voie à une auto-régulation a priori de la part des très grandes plateformes en ligne pour éviter les « risques systémiques ».

Par Anne Cousin, avocate associée, Derriennic Associés

Le règlement sur les services numériques – Digital Services Act (DSA) – du 19 octobre 2022 (1) est applicable à l’ensemble des intermédiaires du numérique depuis février 2024 : fournisseurs d’accès aux contenus, services de cache, moteurs de recherche, hébergeurs, plateformes en ligne. Que faut-il en attendre sur le terrain de la responsabilité de tous ces « fournisseurs de services intermédiaires » en cas de désinformation, cyber harcèlement, diffamation et contenus haineux ? Et ce, « quel que soit leur lieu d’établissement ou leur situation géographique, dans la mesure où ils proposent des services dans l’Union [européenne] ».

Des principes inchangés, parfois chahutés
A l’origine du Web, la question fondamentale fut de distinguer deux acteurs principaux : les éditeurs d’une part, responsables de plein droit des contenus qu’ils créent, et les hébergeurs d’autre part, qui à l’inverse ne doivent, ni même ne peuvent, en répondre. A la veille des années 2000, la bataille en France fut en effet acharnée sur le terrain judiciaire (2) et finalement remportée au Parlement en quelques années – loi « Liberté de communication » et loi « LCEN » (3) – par les tenants de la non-responsabilité des hébergeurs, considérée comme la condition sine qua non du développement des échanges sur Internet. Depuis, le principe a été repris par les lois françaises successives et – bien que la jurisprudence soit parfois hésitante dans son application pratique – la distinction de l’éditeur et de l’hébergeur, et les conséquences qui en découlent, sont fermement maintenue depuis. La régie publicitaire Google Adwords (4), le moteur de recherche Google (5), ou encore la plateforme de partage de vidéos Dailymotion (6) ont ainsi été jugés hébergeurs. Au contraire, ont été considérés comme éditeurs la plateforme Airbnb (7) ou encore le site web de billetterie de manifestations sportives Ticket Bis (8). Le DSA ne revient pas en arrière.

Ce règlement européen sur le marché des services numériques maintient aussi la règle indissociable de la précédente et qui en est le pendant : l’hébergeur à qui est notifié un contenu manifestement illicite doit le supprimer « dans les meilleurs délais ». Le DSA précise qu’un tel retrait doit intervenir « sans examen juridique détaillé » (9). L’illicéité doit donc « sauter aux yeux » de l’hébergeur, ce qui devrait conduire, comme aujourd’hui, à une quasi-absence de suppression des contenus « simplement » diffamatoires ou injurieux, tant leur analyse est complexe et suppose un examen approfondi. Il est en effet exclu que l’hébergeur se prononce sur la vérité du propos diffamatoire (qui écarte l’infraction) ou la bonne foi de son auteur, qui détient les mêmes effets, puisqu’il ne dispose ni du recul ni du dossier nécessaire. Le juge des référés du Tribunal judiciaire de Paris l’a par exemple retenu en ces termes : « Une appréciation du caractère éventuellement diffamatoire des vidéos, photographies et écrits litigieux suppose une analyse des circonstances ayant présidé à leur diffusion, laquelle échappe par principe à celui qui n’est qu’un intermédiaire technique. Cela a pour conséquence que cet intermédiaire ne peut, par le seul fait de cette diffusion ou du maintien en ligne, être considéré comme ayant eu un comportement fautif, étant précisé en outre que la diffamation, à la supposer constituée, n’égale pas forcément trouble manifestement illicite » (10).
Ce n’est finalement que dans des cas exceptionnels – en raison des thèmes abordés, de la violence particulière du propos considéré – que l’hébergeur pourra trancher en faveur du caractère manifestement diffamatoire ou injurieux du contenu et le supprimer. Le maintien de ce principe par le DSA montre donc que la question de la non-responsabilité des hébergeurs et autres intermédiaires fait aujourd’hui consensus. A ce stade, il pourrait donc être justifié de soutenir que, malgré les déclarations tonitruantes de certains politiques, le DSA ne révolutionnera pas le paysage juridique. Il ne mettra donc pas fin à l’irresponsabilité des plateformes puisque la tâche a déjà été accomplie, et ce, depuis longtemps… Mais cette approche, elle aussi à tort radicale, ne tient pas compte des véritables apports du DSA.

Responsabilité et responsabilisation
En réalité, le règlement sur le marché des services numérique fait le constat que sur le terrain de la « responsabilité » des intermédiaires, c’est-à-dire « après » la diffusion du contenu illicite, tout a été fait : les droits nationaux et le droit de l’Union européenne (UE) ne peuvent aller beaucoup plus loin que la construction légale et jurisprudentielle actuelle. Une définition uniforme dans l’UE de ce qu’il faut entendre par contenu dit « illicite » était peut-être envisageable, tout comme la fixation uniforme de délais de retrait par l’hébergeur en fonction de la gravité du contenu. Mais guère plus. En revanche, sur le terrain cette fois des « obligations » et de la « responsabilisation », beaucoup restait à bâtir. Et c’est ce à quoi s’emploie le DSA. On peut ainsi se demander si la distinction fondamentale de l’éditeur et de l’hébergeur, qui a commandé toute la réflexion depuis l’origine, conserve aujourd’hui effectivement toute sa force.

Nouveaux enjeux, nouvelles obligations
L’idée s’est peu à peu faite jour que les graves dérives actuelles telles que la manipulation de l’information, le cyberharcèlement ou la haine en ligne ne pourraient recevoir une réponse adaptée si le droit persistait à s’en tenir à la seule distinction de l’éditeur qui répond de tout, et de l’hébergeur qui en principe ne répond de rien. Sur ce point, le DSA innove à plusieurs égards, faisant de la modération des contenus, l’élément central du nouveau rôle attribué aux intermédiaires techniques du Web. Il leur impose tout d’abord une obligation renforcée de transparence sur le fonctionnement de la modération a posteriori, laquelle est en effet souvent dénoncée comme opaque et peu compréhensible, conduisant à d’inévitables contentieux. Twitter – devenu X – a ainsi été contraint judiciairement (11), parce qu’il s’y refusait, de fournir des données sur sa procédure de modération (moyens mis en œuvre, nombre de signalements reçus, …). Les conditions générales des hébergeurs doivent désormais détailler les politiques, process, mesures et outils utilisés à cette fin, y compris en ce qui concerne la prise de décision fondée sur des algorithmes et le réexamen par un être humain. Les informations devront être énoncées « dans un langage clair, simple, intelligible, aisément abordable et dépourvu d’ambiguïté » et mises « à la disposition du public dans un format facilement accessible et lisible ».
Les intermédiaires devront aussi établir un rapport annuel détaillant le type de réclamations reçues des particuliers comme des administrations, et les décisions prises pour y donner suite (12). Instagram, Facebook et d’autres très grandes plateformes ont publié leur premier rapport de transparence fin 2023 (13). On y apprend que les Etats membres sont très peu interventionnistes, notamment la France, et que les injonctions de suppression émanant des autorités sont peu nombreuses. Les intermédiaires devront également être plus transparents sur leur système de recommandation, qui, très souvent, permet de favoriser les contenus les plus violents et donc les plus dangereux pour la paix civile.
Mais là où le DSA innove véritablement, c’est à l’égard des « très grandes plateformes » et des « très grands moteurs de recherche » – ceux qui comptabilisent au moins 45 millions d’utilisateurs actifs dans l’UE. Globalement, les obligations qu’il prévoit vont en effet croissant : tous les intermédiaires techniques sont soumis à une série de règles ; ensuite l’ensemble des hébergeurs sont concernés par plusieurs dispositions complémentaires ; puis parmi les hébergeurs, la catégorie particulière des plateformes devra satisfaire à des engagements encore plus contraignants ; et enfin, les « très grandes plateformes en ligne » et les « très grands moteurs de recherche en ligne » seront tenus d’obligations plus sévères encore (14). A leur égard, compte tenu de leur rôle primordial dans la diffusion de l’information au sens large, on considère que la modération a posteriori ne suffit plus à traiter efficacement les dérives les plus graves et c’est pourquoi le DSA leur fait désormais obligation d’intervenir également a priori. Ces « VLOP » (Very Large Online Platforms) et ces VLOSE (Very Large Online Search Engines), dont la liste peut évoluer (15), doivent en effet désormais procéder une fois par an à une auto-analyse de leur fonctionnement et se soumettre à un audit indépendant afin d’en identifier les « risques systémiques » – notamment « lorsque l’accès à des contenus illicites peut se propager rapidement ». Ils doivent ensuite, lorsque ces risques systémiques sont identifiés, mettre « en place des mesures d’atténuation raisonnables, proportionnées et efficaces » (16). On peut voir dans cette évolution, une obligation de modération a priori cette fois, mais de portée générale et non dirigée vers un contenu particulier.
La distinction essentielle entre l’éditeur qui produit le contenu et le contrôle, et l’hébergeur qui reste extérieur au contenu et qui intervient seulement une fois l’illicéité portée à sa connaissance, a donc fait long feu. Mais de nouvelles questions surgissent. En effet, l’irresponsabilité des intermédiaires les plus puissants du marché est-elle toujours un principe intangible ? Peuvent-ils désormais se trouver mis en cause si, malgré les audits qui leur sont imposés, ils n’ont pas correctement identifié les risques et ne sont pas intervenus en amont comme ils l’auraient dû pour en atténuer les conséquences ? Une réponse positive à cette question est parfaitement envisageable. Il ne s’agirait plus alors de déterminer seulement s’ils devaient retirer tel ou tel contenu illicite mais, concrètement, si tel ou tel crime – par exemple un acte terroriste – aurait pu être évité s’ils avaient correctement identifié, analysé le risque et pris les mesures nécessaires pour le limiter ou même l’écarter.

Liberté d’expression : qui est l’« arbitre » ?
Au-delà, l’accroissement de la responsabilisation des très grandes plateformes et très grands moteurs de recherche pose aussi directement la question du rôle du juge dans la sanction des abus de la liberté d’expression. Le DSA ne conduit-il pas à faire de chacune des plus puissantes plateformes mondiales « l’arbitre unique » de celle-ci et de ses dérives ? L’évolution contemporaine de X (ex-Twitter) qui se prévaut d’une liberté totale (dont il y aurait beaucoup à dire au demeurant) ne sonne-t-elle pas déjà comme un sinistre avertissement ? Le débat est en tout cas lancé. @

L’affaire Death Moon rappelle que les hébergeurs doivent retirer « promptement » un contenu illicite

Publié le par

Notes L’auteur de « Death Moon » avait demandé à la justice de condamner la plateforme audio SoundCloud à lui payer environ 6,7 millions d’euros pour contrefaçon de son affiche en partenariat avec la major Universal Music. Mais le statut d’hébergeur « non responsable » lui a finalement été opposé.

Le litige en question : Mathieu Pequignot, un auteur d’oeuvres graphiques – qu’il exploite sous le pseudonyme de Elvisdead (1) et dont il commercialise les tirages par le biais de sa boutique en ligne (2) – contacte le 12 juin 2020 SoundCloud pour lui reprocher une exploitation non autorisée de son oeuvre « Death Moon » à travers des publications mises en ligne (3). La plateforme de streaming musical et audio lui a répondu le même jour que la reproduction avait été fournie par Universal Music et que toute demande devrait être adressée à cette major de la musique enregistrée. Et dans la foulée, SoundCloud a supprimé le contenu et estimé qu’il n’y avait pas à indemniser l’auteur.

6,7 millions d’euros en jeu en 2021
L’auteur de « Death Moon » ne l’a pas entendu de cette oreille et a assigné le 18 décembre 2020 la société SoundCloud – fondée et présidée par Alexander Ljung (photo) – devant le tribunal judiciaire de Marseille pour contrefaçon de droits d’auteur. La société de la plateforme de streaming audio a d’abord contesté le droit à agir de l’auteur de l’affiche intitulée « Death Moon » car celui-ci ne justifiait pas que l’oeuvre, soi-disant contrefaite, était « originale », et, « n’était donc pas investi des droits attribués à l’auteur d’une oeuvre de l’esprit » que prévoit le code de la propriété intellectuelle (CPI). Mais l’auteur a assuré devant le juge en 2021 que l’oeuvre en question était bien originale et qu’il y avait bien contrefaçon de « Death Moon », amenant SoundCloud à ne plus maintenir sa demande de nullité de l’assignation et à reconnaître le plaignant comme étant l’auteur de l’oeuvre « Death Moon ».

Mathieu Pequignot alias Elvisdead – 46 ans depuis le 2 août dernier et représenté par deux avocats (Jennifer Bongiorno au barreau de Marseille et Mehdi Gasmi au barreau de Paris) – a demandé au juge du tribunal judiciaire de Marseille de condamner SoundCloud Limited. La plateforme de streaming audio, dont le siège social est basé à Londres et les activités opérationnelles à Berlin, est accusée d’avoir reproduit « Death Moon » sans l’autorisation de l’auteur, d’avoir réalisé cette reproduction sans le citer en tant qu’auteur et d’avoir dénaturé l’oeuvre en ayant modifié substantiellement son contenu et en l’association à l’oeuvre musicale « Desires ». Au total, selon les calculs de Edition Multimédi@, le plaignant demandait la condamnation pécuniaire de SoundCloud à au moins 6,7 millions d’euros, à savoir : verser à l’auteur plus de 3,1 millions d’euros « en réparation de son préjudice économique », auxquels s’ajoutaient plus de 1,2 million d’euros pour « réparer le préjudice persistant qu’il a subi, consistant pour lui en la perte d’une chance de fidéliser la clientèle qu’il aurait pu acquérir si son oeuvre “Death Moon” avait été utilisée en mentionnant son nom d’auteur ». Le plaignant demandait aussi à SoundCloud de lui verser plus de 1,5 million d’euros « en réparation du préjudice moral qu’il retire des atteintes à son droit moral d’auteur », ainsi que près de 0,4 million d’euros de « réparation au titre de l’atteinte à ses droits patrimoniaux » et près de 0,4 million également en guise cette fois de « provision sur sa créance indemnitaire » dans le cadre d’une « réparation égale à 6,66 % du total des recettes directes et indirectes retirées par SoundCloud Limited de l’ensemble des publications ayant comporté les publications contrefaisantes en litige ». Le préjudice estimé a tenu compte de « l’ampleur des diffusions contrefaisantes de l’oeuvre » qui aurait fait l’objet, entre le 31 janvier 2020 et le 12 juin 2020, soit la période de la contrefaçon jusqu’au retrait par SoundCloud (4). Le plaignant demandait aussi au juge que la société britannique verse 12.000 euros « au titre des frais non compris dans les dépens » (5).
Mais ce n’est pas tout. L’auteur demandait en plus à ce que SoundCloud « inform[e] ses audiences de l’existence d’une contrefaçon de l’oeuvre “Death Moon” commise entre le 31 janvier 2020 et le 12 juin 2020, dans des conditions de nature à le rétablir dans sa paternité de l’oeuvre ». Le message aurait été accompagné de la publication sur la plateforme d’une reproduction numérique, autorisée cette fois par l’auteur, de l’oeuvre en question, assortie d’un commentaire indiquant qu’il s’agit de « Death Moon », avec le nom de l’auteur, Elvisdead.

Liens de SoundCloud avec Universal Music
Cette publication devait apparaître en permanence pendant « au moins trente jours francs », sous astreinte de 1.000 euros par jour de retard à compter de la date à laquelle cette condamnation est signifiée à SoundCloud. Dans sa plainte contre SoundCloud, l’auteur pointe deux faits qui empêchent la plateforme de streaming audio de bénéficier de l’exonération de responsabilité réservée aux entreprises du Net ayant le statut d’hébergeur en ligne. Selon l’auteur, ce statut à « responsabilité limitée » ne peut s’appliquer parce que : • d’une part, SoundCloud est lié avec Universal Music par « un contrat de partenariat commercial ayant précisément pour objet la réalisation de publications sur la plateforme SoundCloud », et que la première major mondiale de la musique enregistrée « n’est donc pas un simple tiers tenu uniquement aux conditions générales d’utilisation de la plateforme SoundCloud ».

Responsabilité : hébergeur ou éditeur ?
• D’autre part, a affirmé l’auteur plaignant, Universal Music « a détenu 191.174 titres au capital de SoundCloud jusqu’au 28 septembre 2017, via des sociétés holdings interposées » et qu’à partir de cette date Universal Music « a participé à une réorganisation concertée avec l’ensemble des actionnaires de Soundcloud Limited, en transférant l’ensemble de ses titres à Soundcloud Holdings II, domiciliée aux îles Caïmans […] ». Ainsi, affirme le plaignant, le partenariat SoundCloud-Universal Music, contrat que la société britannique a refusé de produire lors du procès, et leur relation capitalistique au moment des faits rendent caduque la protection juridique du statut d’hébergeur sur Internet. En outre, ajoute l’auteur de « Death Moon » pour démontrer que la plateforme de streaming audio n’est pas un hébergeur mais un éditeur soumis à une responsabilité vis-à-vis des contenus mis en ligne, « les activités de SoundCloud Limited ne se limitent pas à l’hébergement passif de contenus postés par des tiers mais comprennent également la commercialisation d’abonnements donnant accès aux contenus de cette plateforme et incluant plusieurs services, intitulés “SoundCloud Go” et “SoundCloud Go+”, générant la majeure partie de son chiffre d’affaires […] ». L’auteur estime que cette activité d’éditeur responsable est aussi démontrée par le fait que « les activités de SoundCloud Limited comprennent également la commercialisation de services d’assistance personnalisés intitulés “Soundcloud Pro”, incluant le fait d’être ‘’sponsorisé par [leur] équipe de relations dédiée aux artistes”, de “[bénéficier] d’avis d’expert” et de recevoir “une assistance prioritaire” ».
Le statut d’hébergeur en ligne est consacré par la loi française pour la confiance dans l’économie numérique (LCEN) de 2004, laquelle a transposé il y a 20 ans maintenant la directive européenne « E-commerce » de 2000 qui protège ces hébergeurs. Or, est-il rappelé, le régime exonératoire de la LCEN est inapplicable aux exploitants n’ayant pas un rôle strictement passif et limité à l’hébergement des contenus litigieux. Et un exploitant a un rôle actif lorsqu’il offre notamment à ses utilisateurs une assistance, consistant notamment à optimiser la présentation des offres à la vente en cause et à promouvoir celles-ci, ce qui reposait sur sa connaissance ou son contrôle des données stockées. Dans sa défense, la société SoundCloud – représentée par deux avocats (Marine da Cunha au barreau de Marseille et Marie- Dominique Luccioni Faiola) – a fait référence à la décision de Cour de justice de l’Union européenne (CJUE) datée du 22 juin 2021 (6), ayant concerné la plateforme YouTube qui a été admise au régime exonératoire alors qu’elle exploite aujourd’hui une offre « YouTube Premium » (7). Reste qu’au 25 mars 2024, la société SoundCloud a demandé au tribunal judiciaire de Marseille : de débouter l’auteur de « Death Moon », de reconnaître la qualité d’hébergeur au sens de la loi LCEN ; de « dire et juger qu’elle n’a commis aucune faute et a promptement réagi à réception de la notification du 12 juin 2020 adressée par [l’auteur] » ; de « dire et juger que l’oeuvre revendiquée “Death Moon” par [le plaignant] est dépourvue de toute originalité » (alors que la plateforme de streaming audio avait finalement reconnu en 2021 que le plaignant était bien l’auteur de l’oeuvre en question) ; de « dire et juger que l’auteur ne parvient pas à prouver les faits argués de contrefaçon qu’il invoque », etc.
La société SoundCloud insiste sur le fait qu’elle exploite « une plateforme d’écoute et de partage de musique en ligne sur un modèle similaire à YouTube ou Spotify » et qu’elle n’a qu’« un rôle passif d’intermédiaire technique et n’a pas connaissance des plus de 200 millions de titres et contenus qui sont publiés sur sa plateforme ». Elle revendique donc la qualification d’hébergeur assortie de son régime dérogatoire de responsabilité prévu par la loi LCEN, sans que le partenariat conclu avec Universal Music puisse avoir une incidence sur la qualification d’hébergeur ou sur l’applicabilité du régime dérogatoire – pas plus que pour les accords noués avec Warner Music, Sony Music ou d’autres labels pour seulement obtenir l’accès à l’ensemble du catalogue de ces maisons de disques.

La clé : « agir promptement » dès notification
Surtout, la société SoundCloud rappelle qu’elle « a agi promptement » en répondant au plaignant – le jour même de la réception de la notification –, que le contenu n’était déjà plus disponible sur sa plateforme. Ainsi, en vertu de la loi LCEN, l’hébergeur n’était pas responsable du caractère illicite du contenu. La procédure a été clôturée à la date du 14 mai 2024 et le jugement rendu le 26 septembre 2024 (8). Le tribunal judiciaire de Marseille a tranché : « SoundCloud doit donc être qualifiée d’hébergeur » et celui-ci a retiré avec diligence « Death Moon » de sa plateforme. Bien que n’ayant pas obtenu la condamnation de l’auteur à lui payer « la somme de 25.000 euros à titre de dommages-intérêts pour procédure abusive et vexatoire », le plaignant a cependant été condamné à payer 10.000 euros de frais irrépétibles. Reste à savoir si ce dernier fera appel. @

Charles de Laubier

Le Syndicat national de l’édition (SNE) n’arrive pas à venir à bout du site pirate Z-Library

Publié le par

Z-Library reste encore accessible malgré deux jugements obtenus en France par le Syndicat national de l’édition, le 12 septembre 2024 et le 25 août 2022, pour tenter de bloquer les noms de domaine et sites miroirs de cette « bibliothèque mondiale » accusée de piratage de livres numériques.

« Le tribunal ordonne aux sociétés Bouygues Telecom, Free, SFR, SFR Fibre et Orange de mettre en œuvre et/ou faire mettre en œuvre, toutes mesures propres à empêcher l’accès au site Z-Library, à partir du territoire français, […] par tout moyen efficace, et notamment par le blocage des noms de domaine et sous-domaines associés […], au plus tard dans un délai de 15 jours suivant la signification du présent jugement et pendant une durée de 18 mois à compter de la mise en œuvre des mesures ordonnées », a décidé le tribunal judiciaire de Paris, précisé ce jour-là par Anne-Claire Le Bras (photo).

Blocage d’ici le 30 septembre 2024
Selon ce second jugement rendu le 12 septembre 2024 dans le cadre d’une procédure accélérée, les fournisseurs d’accès à Internet (FAI) – du moins les quatre principaux en France – ont ainsi l’obligation de faire barrage au site Z-Library en bloquant pas tout moyens en ligne près de 100 nouveaux noms de domaine donnant encore accès à ce que le Syndicat national de l’édition (SNE) désigne comme l’« une des plus vastes bibliothèques numériques clandestines (ou « shadow library »), accessible depuis la France, et ce, par le biais d’une multitude de noms de domaine régulièrement renouvelés ».
Le premier jugement, datant du 25 août 2022, le même tribunal judicaire de Paris avait déjà ordonné aux mêmes FAI le blocage de plus de 200 noms de domaine. Dans les deux cas, le SNE avait fait établir un nouveau procès-verbal par un agent assermenté de l’Association pour la protection des programmes (APP), qui, basée à Paris et présidée par Philippe Thomas, se présente comme un « tiers de confiance » en matière de protection numérique et propose à ses clients dont le SNE – membres d’APP ou non – de faire appel à ses agents assermentés pour une demande de constat sur Internet. « Le constat en ligne automatique est un outil reconnu par les tribunaux pour détecter et documenter les contrefaçons sur les sites Internet. Il offre une preuve numérique incontestable de la présence de contrefaçons, permettant aux requérants de prendre les mesures nécessaires pour faire valoir leurs droits », assure l’APP (1). Cela suppose qu’il y ait préalablement un mandat écrit du titulaire de droits ou de son mandataire (avocat, conseil en propriété intellectuelle, etc.). Pour faire ses constats en ligne et dresser son procès-verbal, l’agent assermenté de l’APP télécharge un échantillon de livres contenant des œuvres littéraires éditées par des éditeurs membres du SNE tels que Albin Michel, Hachette Livre (dont les éditions Albert René), Dalloz, Gallimard, Dunod, etc. Ainsi, pour la dernière décision, le procès-verbal de l’APP pour le SNE « constat[e] que la plateforme Z-Library continuait son activité contrefaisante, et ce par l’intermédiaire de 98 nouveaux noms de domaine », parmi lesquels go-tozlibrary.se, singlelogin.se, booksc.eu, cn1lib.is ou encore zlibrary-africa.se – pour ne citer qu’eux d’une longue liste à la Prévert établie dans la décision elle-même (2).

Dans la précédente décision d’il y a deux ans, le procès-verbal de l’APP pour le SNE avait fait constater le piratage de livres numériques édités par ses membres via la plateforme Z-Library accessible alors par 209 noms de domaine tels que z-lib.org, 1lib.fr, fr1lib.org, b-ok.cc ou encore book4you.org. Toutes ces adresses Internet, ou URL (Uniform Resource Locator), sont autant de chemins d’accès à cette « bibliothèque numérique », le blocage de sites web entraînant la création de sites miroirs et ainsi de suite au fur et à mesure des décisions judicaires. Ce jeu du chat et de la souri semble sans fin, tant le Web est mondial mais le blocage national. Edition Multimédi@ constate que Z-Library a déjà, sans attendre le blocage en France de ses nouveaux noms de domaines, mis en ligne d’autres noms de domaine – tels que fr.z-library.do, z-library.fr ou encore z-lib.id – pour rester accessible.

« C’est un peu le mythe de Sisyphe » (SNE)
« Les tentatives de réapparition de ce site sont ainsi contrées à l’issue de cette procédure engagée par le SNE avec le soutien particulier des douze maisons d’édition mobilisées depuis 2022 : Actes Sud, Albin Michel, Cairn, Editis, Hachette Livre, Humensis, Lefebvre-Sarrut, LexisNexis, Madrigall, Maison des Langues, Odile Jacob, et les Presses de Science Po », a cependant affirmé le 12 septembre le Syndicat national de l’édition, présidé par Vincent Montagne (photo page suivante) et fort de ses 774 membres à ce jour. « Des actions contre d’autres sites cibles sont aujourd’hui à l’étude et devraient donner lieu à de nouvelles décisions de blocage, sur le même fondement d’une action dite “en cessation” » (3), prévient le SNE, qui est plus que jamais décidé à déposer de nouvelles assignations, en actualisant avec l’APP les noms de domaine et en espérant ainsi neutraliser Z-Library. Mais force est de constater que, malgré ces décisions judiciaires, ce type de site pirate – car il n’a pas l’autorisation des maisons d’édition – continue de prospérer avec de nouvelles URL créées le plus souvent hors de France. Même le directeur juridique du SNE, Julien Chouraqui, l’a admis auprès d’ActuaLitté le 4 juillet 2024 : « C’est un peu le mythe de Sisyphe » (4). A cela s’ajoute l’utilisation de plus en plus démocratisée des VPN, ces outils de réseau privé virtuel (5) qui permettent de masquer son adresse IP et d’accéder à des services en ligne malgré le géo-blocage (6). Sans parler de son accessibilité sur le Dark Web ou via un compte Telegram.

Des analyses LeakID à la liste de l’Arcom
Cette traque semble sans fin. Z-Library mute en permanence, et ses millions de livres restent toujours disponibles en ligne malgré les assignations et les blocages. Les opérateurs télécoms, eux, ne s’opposent pas à ce blocage de multiples noms de domaines qui leur est imposé pour une durée de 18 mois. Mais pas à n’importe quelles conditions. Orange, par exemple, s’y pliera à condition que « la mesure de blocage […] réunit les conditions cumulatives, exigées par le droit positif, que sont : la preuve de l’atteinte au droit d’auteur, le caractère judiciaire préalable et impératif de la mesure dans son principe, son étendue et ses modalités, y compris pour son actualisation ; la liberté de choix de la technique à utiliser pour réaliser le blocage ; la durée limitée de la mesure ». De son côté, SFR (Altice) a demandé notamment au tribunal d’« apprécier s’il [le blocage] est proportionné et strictement nécessaire à la protection des droits en cause, au regard notamment des risques d’atteinte au principe de la liberté d’expression et de communication (risques d’atteintes à des contenus licites et au bon fonctionnement des réseaux) ».
Pour aider ses maisons d’édition membres, le SNE – tout comme la Sofia pour les auteurs – a mis en place fin novembre 2019 une « solution collective de lutte contre le piratage » fournie par la société française LeakID. Elle permet de surveiller Internet pour le compte des éditeurs – et, côté Sofia, des auteurs. Tandis que la loi « Antipiratage » du 25 octobre 2021 (7), l’Arcom (8) dispose de nouveaux pouvoirs de régulation, notamment en ayant la charge de constituer « une liste » – surnommée, hors texte de loi, « liste noire » – des « services porta[n]t atteinte, de manière grave et répétée, aux droits d’auteur ou aux droits voisins ». En outre, l’Arcom a le pouvoir supplémentaire de « lutte contre les sites miroirs ». Ainsi, la loi « antipiratage » a rajouté une disposition « sites miroirs » dans le code de la propriété intellectuelle (CPI) qui permet à « un titulaire de droits partie à la décision judiciaire » de saisir l’Arcom pour lui demander de mettre à jour la décision de blocage avec les nouvelles adresses Internet des sites miroirs (9). Le SNE souhaiterait que tous les organismes professionnels puissent ainsi recourir à l’Arcom dès que ceux-ci identifient de nouveau liens portant préjudices à leurs adhérents. « Le SNE est attentif à toutes les évolutions de notre droit en faveur de la lutte contre le piratage et propose ainsi que les organismes professionnels puissent recourir à l’Arcom pour étendre les blocages obtenus devant le juge à tous noms de domaine qui viendraient ensuite à être utilisés pour l’accès au site visé », a réaffirmé le 12 septembre le syndicat du boulevard Saint-Germain (son siège parisien).
Le dernier jugement indique que « Z-Library est désormais inscrite sur la liste publique établie par l’Arcom en application de l’article L. 331-25 du code de la propriété intellectuelle, référençant les services portant atteinte de manière grave et répétée aux droits d’auteur ou aux droits voisins ». En outre, est-il aussi indiqué « la plateforme Z-Library figure sur la liste des principaux sites contrefaisants établie par le ministère de l’Industrie et du Commerce américain, ainsi que sur la Counterfeit and Privacy Watch List élaborée par la Commission européenne ».
Cette plateforme numérique Z-Library, véritable projet collectif et décentralisé, a été créée en 2009 sous le nom BookFi (BookFinder) au sein du réseau de sites de partage (file-sharing) d’articles et d’ouvrages scientifiques Library Genesis, dont elle constituait alors la composante dédiée à la mise à disposition de livres numériques. Selon le SNE, la plateforme Z-Library est devenue « entièrement dédiée à la mise à disposition illicite sur Internet d’œuvres littéraires […] sous différents formats (text, ePub, PDF, etc.) permettant leur consultation sur tout support ». Des livres audios ont aussi fait leur apparition. Aujourd’hui, Z-Library – surnommée parfois « z-lib » – se revendique comme étant « la plus grande bibliothèque numérique au monde ! » donnant un « libre accès à la connaissance et à la culture » : soit à ce jour plus de 17 millions de livres et plus de 84,8 millions d’articles. Par ailleurs, depuis avril 2023, quelques « Z-Points » ont commencé à être déployés dans le monde pour échanger des livres, mais cette fois physiques, imprimés, à l’image des boîtes à livres.

Bloqué aussi aux Etats-Unis depuis 2022
Présenté comme « un projet à but non lucratif », un de ses sites miroir vient de lancer une campagne de dons du 15 septembre au 1er octobre prochains. « Comme vous le savez, en novembre 2022, sur ordre des services secrets des Etats-Unis, la quasi-totalité des domaines publics de la bibliothèque a été bloquée. Des dommages importants ont également été causés à l’infrastructure interne du projet. Aujourd’hui, nous sommes toujours sous pression constante », est-il justifié (10). @

Charles de Laubier

Le démantèlement des Big Tech comme Google n’est plus tabou, ni aux Etats-Unis ni en Europe

Publié le par

L’étau de la régulation antitrust américaine se resserre sur Google, filiale d’Alphabet. Le département de la Justice (DoJ) n’exclut aucun remède en faveur de la concurrence, y compris l’arme absolue du démantèlement (breakup). En Europe, cette menace ultime est aussi sur la table.

Le numéro un mondial des moteurs de recherche, Google, sera-t-il le premier Gafam à être démantelé aux Etats-Unis ? La filiale du groupe Alphabet, présidé depuis près de cinq ans par Sundar Pichai (photo), est la cible de deux procès antitrust historiques aux EtatsUnis. Le premier procès, qui s’est ouvert en septembre 2023, s’est soldé le 5 août 2024 par un jugement qui condamne Google pour abus de position dominante sur le marché des moteurs de recherche où il est en situation de quasi-monopole. La firme de Mountain View a fait appel de cette décision. Le second procès, qui s’est ouvert le 9 septembre 2024, concerne cette fois ses outils de monétisation publicitaires.

Vendre Android, AdWords et/ou Chrome ?
Dans ces deux affaires, la menace ultime de l’antitrust américaine est le démantèlement, ou breakup, de Google. Le Département de la Justice (DoJ) y songe sérieusement, d’après une information de l’agence Bloomberg publiée le 13 août dernier (1). Pour casser le monopole illégal de Google constitué par son moteur de recherche au détriment de la concurrence, cette option ultime n’est pas exclue. Elle pourrait consister par exemple à obliger Google à céder son système d’exploitation Android (2) et/ou son activité publicitaire AdWords devenue Google Ads (3), voire aussi de se délester de son navigateur web Chrome (4). Si ce n’est pas le démantèlement pur et simple, les autres remèdes pourraient être de forcer Google à partager ses données avec ses concurrents et à faire en sorte que ses comportements monopolistiques ne se reproduisent pas dans l’intelligence artificielle (IA).
Dans son verdict du 5 août, le juge a d’ailleurs pointé le fait que Google a payé 26,3 milliards de dollars en 2021 pour maintenir la domination de son moteur de recherche en devenant – par ses accords anticoncurrentiels signés avec Apple et des fabricants de smartphones sous Android comme Samsung, d’une part, et des navigateurs web tels que Firefox de Mozilla d’autres part – le search engine par défaut au niveau mondial. Rien qu’aux Etats-Unis, Google Search s’arroge près de 90 % de part de marché. « Par défaut » : là est le nœud du problème, lorsque la filiale d’Alphabet impose aussi « par défaut » sur des terminaux son navigateur web Chrome, sa boutique d’applications Play Store ou d’autres de ses services.

La firme de Mountain View a profité d’une concurrence qu’elle a réduite à portion congrue pour augmenter les tarifs des publicités contextuelles, ces résultats de recherche estampillés « sponsorisé ». Ce jugement historique du 5 août, contre lequel Google a fait appel, est considéré comme la première plus grande décision judiciaire des autorités antitrust fédérales américaines contre la domination des Big Tech. Washington avait bien essayé il y a un quart de siècle de démanteler Microsoft pour avoir abusé du monopole de son système d’exploitation Windows dans les ordinateurs PC afin d’imposer son propre navigateur Internet Explorer (devenu aujourd’hui Edge). Mais cela n’a pas abouti car l’affaire judiciaire s’est achevée par un « Consent Decree » reposant sur des engagements pris en 2001 par la firme cofondée par Bill Gates.
A l’issue de la procédure d’appel, le verdict pourrait être soit le démantèlement de Google qu’envisagerait le DoJ pour redonner vie à la concurrence, soit interdire définitivement tout accord financier « par défaut » en imposant des menus de sélection de moteurs de recherche, de navigateurs web, de boutiques d’applications, ou encore de services essentiels en ligne.
Google n’est pas au bout de ses peines judiciaires car le deuxième procès qui vient de démarrer le 9 septembre dernier à Alexandria, dans l’Etat américain de Virginie. Cette fois, c’est tout l’écosystème publicitaire de la filiale d’Alphabet qui est en cause. Les enjeux sont énormes puisque les outils dans le collimateur du DoJ – Google Ads (ex-AdWords), AdSense, Google Marketing Platform (DoubleClick), Ads Tools, YouTube Ads, etc. – ont contribué à plus de 75 % des 307,4 milliards de dollars de chiffre d’affaires publicitaires de Google en 2023, sa filiale YouTube comprise.

Google réfute les accusations de monopole
Le DoJ souligne en outre que Google contrôle 91 % du marché des serveurs publicitaires (« AdServer ») où les éditeurs offrent leurs espaces publicitaires, plus de 85 % du marché des réseaux publicitaires (« AdNetwork ») que les annonceurs utilisent pour placer leurs publicités, et plus de 50 % du marché des bourses d’échanges publicitaires (« AdExchange »). Il est reproché à la firme de Mountain View de lier ses outils publicitaires destinés aux éditeurs (de sites web ou d’application, presse en ligne ou autres) et aux annonceurs, en s’imposant comme « intermédiaire privilégié ». Et ce, au détriment de concurrents dits tierces parties tels que The Trade Desk, Comcast (NBCUniversal) ou encore PubMatic qui, selon Reuters (5), pourraient témoigner à ce procès. Le géant du Net réfute ces accusations et estime que ces parts de marché ne concernent que le Web et ne prennent pas en compte la concurrence sur les réseaux sociaux, la télévision en streaming ou encore les applications mobiles. Les premières plaintes à l’origine de ce second procès avaient été déposées il y a cinq ans (en septembre 2019) par l’administration américain (DoJ et FTC) et une coalition de plusieurs Etats américains (6) dont le Texas, la Caroline du Nord et le Mississippi.

DoJ, FTC et Etats américains contre Google
Google est accusé au passage d’avoir grandement contribué aux difficultés de la presse américaine depuis deux décennies. « Le journalisme est menacé en grande partie par la consolidation du marché de la publicité », a même affirmé en juin dernier Jonathan Kanter, procureur général adjoint du DoJ, lors d’un événement organisé fin juin (7) par l’Open Markets Institute, un groupe de défense des intérêts antimonopolistiques et opposé à la domination de Google (8). Ce sera à la juge Leonie Brinkema que reviendra le pouvoir de décider s’il faut démanteler ou pas Google, après avoir entendu à la barre de nombreux employés ou cadres de Google, actuellement en poste – comme Neal Mohan, directeur général de YouTube et ex-directeur de la publicité de Google – ou anciens salariés.
La question du démantèlement de Big Tech se pose aux Etats-Unis depuis plusieurs années, mais elle a pris de l’ampleur depuis l’arrivée de Lina Khan (photo ci-dessus) à la tête de la FTC qui n’écarte pas cette éventualité (9). Mais son mandat se termine avec ce mois septembre 2024. N’avait-elle pas publié en 2017 dans le Yale Law Journal un article intitulé « Paradoxe anti-monopole d’Amazon » (10) ? Son prédécesseur, Joseph Simons, avait même fait le mea culpa de la FTC : « Nous avons fait une erreur », avait-il confessé dans un entretien à l’agence Bloomberg le 13 août 2019 en faisant référence notamment à l’acquisition par Google de YouTube en 2006 pour 1,65 milliard de dollars et de DoubleClick en 2007 pour 3,1 milliards de dollars. « S’il le faut [démanteler], il faut le faire », avait-il estimé. Puis il y a eu en octobre 2020 la publication d’un rapport retentissant de la sous-commission antitrust à la Chambre des représentants des Etats-Unis, intitulé « Investigation of competition in the Digital markets » (11) qui, en 451 pages, a recommandé au Congrès américain de légiférer pour casser les monopoles numériques – quitte à en passer par leur « séparation structurelle » ou spin-off.
Les géants du Net se retrouvent aussi dans l’œil du cyclone en Europe. Depuis que le Digital Markets Act (DMA) est entré en vigueur dans les Vingt-sept avec plein d’obligations imposées aux gatekeepers depuis le 7 mars 2024 (12), le breakup à l’européenne est une « arme nucléaire » de dissuasion à portée de Bruxelles. Le démantèlement, Margrethe Vestager, vice-présidente de la Commission européenne, l’avait encore évoqué explicitement le 14 juin 2023 mais sans utiliser le terme, alors que la Commission européenne venait d’adresser à Google des griefs l’accusant de pratiques abusives sur le marché de la publicité en ligne : « La Commission européenne estime donc à titre préliminaire que seule la cession [divestment] obligatoire, par Google, d’une partie de ses services permettrait d’écarter ses préoccupations en matière de concurrence » (13). Et il y a bientôt dix ans que les eurodéputés ont adopté, le 27 novembre 2014, une « résolution sur le renforcement des droits des consommateurs au sein du marché unique numérique » (14). Cette résolution non contraignante, votée à une large majorité, appelait à démanteler Google pour restaurer la concurrence en Europe. Le Parlement européen demandait ainsi « à la Commission européenne d’envisager de (…) séparer les moteurs de recherche des autres services commerciaux comme l’un des éventuels moyens à long terme permettant de réaliser les objectifs [concurrentiels] ».
A défaut de démantèlement jusqu’à ce jour, la Commission européenne a déjà infligé trois amendes à Google (15) pour abus de position dominante : 2,42 milliards d’euros le 27 juin 2017 pour son moteur de recherche – amende confirmée le 10 septembre 2014 par la CJUE (16) –, 4,3 milliards d’euros le 18 juillet 2018 pour Android, et 1,49 milliard d’euros d’amende infligée le 20 mars 2019 pour la publicité. Plus récemment, lors de la 28e Conférence annuelle de la concurrence organisée par l’International Bar Association (IBA), Margrethe Vestager, a mis en garde contre l’acquisition par les grandes entreprises de cibles qui n’ont pas ou peu de chiffre d’affaires : « Si ces cibles sont porteuses d’innovations, le problème est qu’elles peuvent être acquises par de très grandes entreprises qui veulent les acquérir pour protéger leur pouvoir de marché. Par exemple, des acquisitions peuvent être faites pour tuer une innovation qui menacerait le marché de base de la grande entreprise ».

L’Europe « contre les acquisitions meurtrières »
Et la Danoise « antitrust » des Vingt-sept d’ajouter : « En numérique et en tech, notre suivi confirme également que […] ces cibles sont souvent actives sur des marchés naissants, et cette stratégie est mise en place par des entreprises comme Google, Apple, Amazon et Microsoft » (17). Aussi, pour le prochain mandat de la Commission européenne (deuxième mandat pour Ursula von der Leyen), elle préconise « une nouvelle approche de la politique de concurrence », quitte à «modifier le règlement sur les concentrations» et à «introduire un “mécanisme de sauvegarde” » avec « une protection contre les acquisitions meurtrières ». @

Charles de Laubier