Responsabilité d'Instagram en tant qu'hébergeur : attention (encore) au principe de subsidiarité

La Cour d'appel de Paris est venue rappeler, par un arrêt du 30 novembre 2022, une règle que l'on a souvent tendance à oublier, pourtant écrite noir sur blanc dans la Loi pour la Confiance dans l'Economie numérique (LCEN) du 21 juin 2004 : la responsabilité du prestataire d'hébergement ne peut être recherchée que pour autant qu'il n'a pas été possible d'obtenir satisfaction auprès de l'auteur des contenus litigieux.

Cette règle contraignante (et un brin obsolète, pour dire les choses) a été opposée à une présentatrice d'une émission sur M6, qui se plaignait de la présence, sur le réseau social Instagram, de multiples comptes utilisant son image sans son autorisation, ainsi que des marques dont elle est titulaire. Elle avait envoyé à Instagram LLC une notification de contenus illicites afin d'obtenir la suppression des comptes en cause. Mais Instagram avait tardé à agir, à telle enseigne que la responsabilité de cette dernière était recherchée sur le fondement de l'article 6.I.2 de la LCEN.

Pour mémoire, ce texte rappelle que le prestataire d'hébergement n'est, par principe, pas responsable des contenus qu'il héberge, sauf s'il est possible de démontrer qu'il ne les a pas supprimés ou n'a pas rendu leur accès impossible de manière prompte après qu'il en a eu connaissance. La loi a donc mis en place un système de notification de contenu illicite en vertu duquel, à défaut de réponse rapide de l'hébergeur, ce dernier commet supposément une faute.

Las, dans cette affaire, la présentatrice avait omis le principe de subsidiarité prévu dans la loi, selon lequel c'est seulement à défaut d'avoir pu obtenir le retrait des contenus litigieux de la part de celui qui les a mis en ligne que la victime peut s'adresser au prestataire d'hébergement. Cette condition est indiquée à l'article 6.I.5, qui liste les mentions devant apparaître dans la notification de contenu illicite, en l'occurrence la justification de l'impossibilité d'obtenir le retrait des contenus par celui ou celle qui les a mis en ligne.

L'arrêt rappelle ainsi :

En effet, bien que ce courrier [de notification, ndr] se réfère expressément à l'article 6 I de la loi du 21 juin 2004 avec mention du nom et du prénom de l'appelante et indique que 46 comptes Instagram seraient illicites et devraient donc être supprimés pour des motifs légaux fondés sur le non-respect des articles 9 du code civil et 226-4-1 du code pénal ainsi que la contrefaçon de marque, ce courrier ne comporte pas la justification des correspondances adressées aux auteurs ou éditeurs des comptes litigieux demandant leur fermeture, ou la justification de ce que ceux-ci n'ont pu être contactés.

Dans ces conditions, le courrier en question ne pouvait pas valoir notification de contenu illicite au sens de la loi et la responsabilité d'Instagram (en réalité de Facebook Ireland LLC, désormais éditrice du réseau social) ne pouvait pas être engagée :

Eu égard à cette absence de justification d'un contact ou d'une impossibilité de contact avec les titulaires des comptes et alors que l'intervention de l'hébergeur n'est que subsidiaire, ce courrier du 21 juin 2017 ne remplit pas l'ensemble des conditions posées à l'article 6.I.5. Ainsi, il ne peut être présumé qu'à compter de cette date et par le seul effet de ce courrier, la société INSTAGRAM LLC avait connaissance des contenus litigieux.

Cette solution se comprend difficilement aujourd'hui, près de 20 ans après l'adoption de la LCEN et 22 ans après la directive européenne Commerce électronique qui constitue le texte d'origine. Cette disposition, qui a été imaginée alors que les réseaux sociaux n'existaient pour ainsi dire pas (certes il existait déjà MySpace...), pouvait être justifiée quand l'auteur des contenus illicites était l'exploitant d'un blog, par exemple.

Aujourd'hui, il est tellement simple de créer un compte sur Instagram ou Facebook en utilisant le nom ou l'image d'un tiers, pourquoi perdre un temps précieux à devoir tenter de contacter le créateur du compte en question pour lui demander de supprimer un contenu, ce qu'il n'aura vraisemblablement pas envie de faire, persuadé de bénéficier d'une totale impunité derrière son écran (ou son VPN...) ?

Cette règle apparaît donc désormais périmée, mais, comme chacun sait, la loi obsolète reste la loi et n’est pas de facto abrogée. Il est regrettable qu'elle n'ait pas fait l'objet d'un toilettage au cours des négociations sur la récente directive sur le droit d'auteur dans le marché unique numérique.

On relèvera au demeurant que la notification envoyée par la présentatrice dont l'image avait été usurpée invoquait différents fondements juridiques, sans détailler quels comptes étaient concernés par quel grief. De la sorte, selon l'arrêt, le destinataire de la notification ne pouvait pas aisément apprécier du caractère manifestement illicite de chaque contenu :

La demanderesse sollicite la suppression de 46 comptes en raison de leur caractère manifestement illicite, en invoquant de façon générale trois motifs d'illicéité distincts soumis à des règles différentes, à savoir l'atteinte à la vie privée, l'usurpation d'identité et le non-respect de législation sur la protection des marques déposées à l'INPI, sans préciser quels seraient les comptes concernés pour chacun des motifs, empêchant ainsi l'hébergeur d'apprécier le caractère manifestement illicite des comptes signalés.

Ce motif, pour sa part, apparaît valable. L'hébergeur doit être mis en position de dire si le contenu qui lui est notifié est, ou non, manifestement illicite. Le demandeur au retrait doit donc mettre en exergue le caractère illicite de chaque contenu, à défaut de quoi le prestataire aura beau jeu de soutenir que l'illicéité n'était pas manifeste.

Vingt ans ou presque plus tard, la LCEN reste encore le centre de bien des débats.