Prestation de suppression de contenu : comment elle se déroule en France

01Ce qu’un prestataire peut faire

Un prestataire ne dispose d’aucun pouvoir propre sur un serveur. Il constitue un dossier, qualifie le contenu, puis saisit celui qui peut agir. La valeur est dans le choix du destinataire et dans la forme de la demande.

Le règlement européen couvre toute cette chaîne. Il s’applique aux très grandes plateformes et aux très grands moteurs de recherche depuis août 2023, et à tous les fournisseurs de services intermédiaires depuis le 17 février 2024, sous le contrôle des autorités nationales.

L’Arcom décrit quatre familles de services : le simple transport et la mise en cache, qui fournissent le réseau ; l’hébergement, qui stocke des informations fournies par un destinataire à sa demande ; les plateformes en ligne, qui diffusent publiquement ; et les moteurs de recherche. Les obligations de notification et d’action ne pèsent que sur les deux familles du milieu.

02Prestataire ou avocat : la frontière

La confusion coûte du temps et de l’argent. Un prestataire travaille dans les procédures internes des services et dans les mécanismes réglementaires de signalement. Dès qu’il faut une décision contraignante, le dossier change de nature et relève de la justice.

• Côté prestataire : constatation, preuves, qualification, notifications, réclamations internes, déréférencement, surveillance.
• Côté justice : en cas d’urgence, les mesures provisoires sont demandées au président du tribunal judiciaire.
• Le tribunal compétent est en principe celui du domicile du défendeur ; pour un préjudice, celui du lieu du dommage peut être saisi.
• Les litiges n’excédant pas 10 000 euros, hors matières spécialisées, relèvent du tribunal de proximité.
• Les articles 9 et 10 obligent les fournisseurs à traiter les injonctions.

Une obligation est souvent ignorée. L’article 18 impose aux services d’hébergement d’informer les autorités judiciaires lorsqu’ils ont un soupçon d’infraction pénale susceptible de porter atteinte à la vie ou à la sécurité de tiers.

03La notification formelle et sa forme

Les praticiens parlent encore de notification formelle, héritée de la loi pour la confiance dans l’économie numérique. Le support a changé : c’est l’article 16 du règlement sur les services numériques qui impose à tout hébergeur un mécanisme de notification et d’action, par voie électronique uniquement.

La forme n’est pas une formalité, elle est l’effet juridique. Une notification est réputée donner lieu à la connaissance effective du contenu lorsqu’elle permet à un fournisseur diligent d’identifier l’illégalité sans examen juridique détaillé. L’hébergeur n’est exonéré que s’il ignore le contenu, ou s’il agit promptement dès qu’il en prend connaissance.

L’exigence d’identité n’est écartée que pour les informations impliquant une des infractions visées aux articles 3 à 7 de la directive 2011/93/UE. Le mécanisme doit en outre être de nature à faciliter la soumission de notifications précises et étayées : un formulaire sans champ de motivation est lui-même en défaut.

Trois obligations suivent. Le fournisseur envoie dans les meilleurs délais un accusé de réception si la notification porte des coordonnées électroniques ; il notifie sa décision en indiquant les recours ; et il traite en temps opportun, de manière diligente et objective, en signalant l’usage de moyens automatisés.

04Les preuves à fournir par le client

Le client fournit la matière, le prestataire la met en forme. Ce partage est la première cause d’échec quand il n’est pas expliqué : une demande sans adresse exacte ne peut pas être traitée, le texte exigeant l’emplacement électronique précis et non une description du site.

• L’adresse de chaque page et, pour une image ou une vidéo, celle du fichier lui-même.
• Une capture complète de chaque page, barre d’adresse et horodatage visibles, sans recadrage.
• Ce qui permet de reconnaître la personne visée, lorsque c’est la base de la demande.
• Les éléments de titularité quand le fondement est le droit d’auteur : première publication, compte d’origine, fichiers source.
• La chronologie : première constatation, dates des démarches, dates des réapparitions.

Le volume n’est pas un argument. Ce que la plateforme examine, c’est si l’élément est localisé et si l’illicéité est identifiable sans analyse juridique. Cinquante adresses mal documentées pèsent moins que cinq adresses précises, parce qu’elles obligent le service à instruire à votre place.

05Le déroulé réel d’une prestation

Un dossier avance par étapes, du levier le plus étroit vers le plus large, en conservant chaque numéro de dossier. C’est la seule trace démontrant qu’un service a été saisi et n’a rien fait, et c’est elle qui soutient la suite, réglementaire ou judiciaire.

1. Constatation et datation de chaque élément, avant toute démarche.
2. Qualification : disposition nommée, ou manquement nommé aux conditions générales.
3. Notification au service visible, par son mécanisme dédié aux contenus illicites.
4. Notification à l’hébergeur si le service visible garde le silence.
5. Réclamation interne de l’article 20, puis règlement extrajudiciaire de l’article 21.
6. Demande de déréférencement, en complément et jamais à la place du retrait.
7. Surveillance des réapparitions et reprise du cycle sur les nouvelles adresses.

Pour un service établi hors de l’Union européenne, l’article 13 impose un représentant légal dans l’Union, et les articles 11 et 12 un point de contact pour les autorités et les destinataires. Sur un site sans adresse utile, c’est la seule voie praticable.

Un levier tiers se prépare à l’avance. Les notifications des signaleurs de confiance, dans leur domaine d’expertise désigné, doivent être prioritaires et traitées dans les meilleurs délais. Le statut est attribué par le coordinateur de l’État membre d’établissement à une entité indépendante de toute plateforme.

06Vérifier un résultat annoncé

Un retrait annoncé se vérifie. Le règlement donne deux appuis : l’accusé de réception, puis la notification de la décision avec les voies de recours. Ces deux pièces datent la démarche.

• Rouvrir chaque adresse depuis une session déconnectée, et non depuis le navigateur ayant servi à notifier.
• Distinguer le retrait de la déclassification : un contenu moins visible reste en ligne et accessible par lien direct.
• Vérifier séparément la page et le fichier média, souvent servis par des adresses différentes.
• Exiger un rapport qui liste les adresses par état réel : retirée, maintenue, sans réponse, réapparue.

L’exposé des motifs de l’article 17 est l’outil de contrôle le plus précis, parce que son contenu est imposé. Il doit indiquer si la décision implique de retirer, de bloquer l’accès, de déclasser ou de restreindre la visibilité, et, le cas échéant, le champ territorial de la décision et sa durée.

Il doit aussi exposer les faits et circonstances sur lesquels la décision repose et préciser si elle a été prise sur notification ou d’initiative. Ces mentions ne sont dues qu’à l’utilisateur visé.

07Refus, réclamation interne, article 21

Un refus n’est pas la fin du dossier. Le règlement organise deux étages au-dessus de la modération. En France, le coordinateur pour les services numériques est l’Arcom, désignée par la loi visant à sécuriser et réguler l’espace numérique du 21 mai 2024, aux côtés de la CNIL et de la DGCCRF.

La réclamation interne n’est pas une relance. Le système doit faciliter la soumission de réclamations précises et étayées, et lorsque la réclamation contient des motifs suffisants pour considérer la décision infondée, le fournisseur l’infirme dans les meilleurs délais.

Le fournisseur informe ensuite le plaignant de la décision motivée et des voies de recours. Devant l’organe de l’article 21, la plateforme peut refuser de s’engager si un litige portant sur les mêmes informations a déjà été résolu.

08Déréférencement et retrait à la source

Les deux voies ne produisent pas le même effet et ne se remplacent pas. Google indique ne pouvoir supprimer des éléments que dans les résultats de recherche, et renvoie au propriétaire du site pour un retrait à la source.

• La politique relative aux informations privées couvre l’adresse, le téléphone, le courriel, les identifiants officiels confidentiels, les coordonnées bancaires, les images de signature ou de pièce d’identité et les dossiers médicaux.
• Le doxxing suppose une adresse mêlant ces informations à des menaces, ou des données regroupées en grande quantité sans but légitime.
• Seules les adresses fournies dans le formulaire sont examinées.
• Google peut conserver un résultat portant sur un sujet important ou d’actualité.
• Pour les coordonnées, Google renvoie à « Résultats vous concernant », qui permet des notifications sur les nouveaux résultats.

La demande peut être présentée par la personne concernée ou par son représentant. C’est ce qui permet au prestataire d’intervenir sans que le client remplisse chaque formulaire, à condition que le mandat soit clair.

Pour un site hébergé aux États-Unis et sur un fondement de droit d’auteur, la voie du DMCA reste praticable en parallèle. Google précise qu’une copie des notifications reçues peut être transmise au projet Lumen pour publication.

09Ce que le contrat doit prévoir

Le contrat est l’endroit où se loge la déception. Les points ci-dessous désignent chacun un malentendu fréquent sur ce type de prestation, et non une précaution juridique générale.

Un mot sur la définition du résultat. Le règlement distingue la restriction de visibilité, qui comprend le retrait, le blocage et le déclassement ; la restriction des paiements ; la fin du service ; et la suppression du compte. Promettre « la suppression » sans préciser, c’est promettre quatre choses.

Deuxième point à écrire noir sur blanc : qui notifie. L’article 16 exige le nom et le courriel de l’auteur de la notification. Lorsque le prestataire agit comme mandataire, le mandat doit le prévoir.

10Limites et signaux d’alerte

Certaines limites sont structurelles. Le règlement ne fixe aucun délai en heures pour une notification ordinaire : il exige un traitement en temps opportun. Les délais courts existent, mais ils sont réservés.

La loi du 21 mai 2024 prévoit le retrait par les hébergeurs des contenus pédopornographiques, sur injonction de l’autorité administrative, dans un délai de 24 heures, sous peine d’un an de prison et de 250 000 euros d’amende. Cette voie appartient à l’autorité.

La même loi a posé les premières bases d’un droit à l’oubli permettant aux personnes ayant tourné dans des vidéos pornographiques d’en obtenir le retrait en cas de diffusion en violation des conditions contractuelles.

Deux limites doivent être dites au client. L’exonération de l’hébergeur ne joue pas lorsque l’utilisateur agit sous son autorité ou son contrôle. Et aucune de ces règles n’empêche une autorité judiciaire ou administrative d’exiger d’un fournisseur qu’il mette fin à une infraction.