Hébergement ignorant les DMCA, expliqué par quelqu'un qui lit les notifications

Je gère le bureau des abus. Environ trois cents notifications DMCA arrivent dans ma file chaque mois. Voici ce que dit réellement la loi, ce qui arrive à ces notifications chez un hébergeur américain par rapport à ici, et ce que « ignoré » signifie quand ce n'est pas un mot marketing.

Ce qu'est réellement le DMCA

Le Digital Millennium Copyright Act est une loi américaine, adoptée en 1998. Son mécanisme de retrait se trouve dans le 17 U.S.C. §512 : les fournisseurs de services en ligne bénéficient d'une « zone de sécurité » contre la responsabilité en matière de droits d'auteur pour ce que leurs utilisateurs stockent, à condition qu'ils retirent le contenu prétendument contrefaisant « rapidement » après réception d'une notification correctement formatée.

Cette structure d'incitation explique tout le comportement des hébergeurs américains. L'hébergeur est protégé contre les poursuites pour votre un contenu uniquement s'il supprime d'abord et pose les questions ensuite. C'est donc ce qu'il fait. Les notifications alimentent des systèmes automatisés, les clients reçoivent des délais de 24 à 72 heures, les services sont suspendus à la deuxième notification et résiliés à la troisième au titre des politiques de « récidive ». Personne ne lit rien — lire coûte de l'argent et crée une responsabilité. Quand on dit que les hébergeurs américains sont « agressifs » sur le droit d'auteur, cela signifie que le §512 a fait de l'agressivité le choix commercial rationnel.

Pourquoi le §512 s'arrête à la frontière américaine

Les lois américaines lient les personnes et les entreprises américaines. Un VPS Moldavie, un VPS Panama et un VPS Islande répondent tous à leur propre législation sur le droit d'auteur — les trois juridictions sont signataires de la Convention de Berne, et aucune n'est un Far West du piratage. Mais une notification DMCA n'est un document judiciaire nulle part en dehors des États-Unis. À l'étranger, elle a le poids juridique d'un e-mail, parce que c'est ce qu'elle est.

Pour qu'un plaignant force une action contre un serveur à Chisinau, il lui faut une ordonnance d'un tribunal moldave. Cela signifie un avocat local, des documents traduits, des mois de procédure, et un juge appliquant le droit moldave — y compris ses exceptions et ses tests de proportionnalité — à la demande. La plupart des plaignants n'ont ni le budget, ni la patience, ni une affaire qui survivrait à un vrai juge. Cet écart entre « envoyer un e-mail » et « gagner devant un tribunal étranger » est tout le produit que vend l'hébergement ignorant les DMCA. La version honnête du discours est : nous n'ignorons pas la loi. Nous ignorons une lettre type étrangère, et nous obéissons à nos propres tribunaux.

Le cycle de vie d'une notification : hébergeur US vs VPSRento

Même notification, deux lundis très différents :

Cinq ans à ce poste : le nombre d'identités de clients que nous avons transmises est de zéro, car nous n'en détenons aucune. On ne peut pas fuir un seau vide.

Ce que « ignoré » ne couvre pas

Quatre limites, énoncées clairement car votre modèle de menace en dépend :

• Les ordonnances judiciaires restent contraignantes. Une ordonnance valide de la juridiction d'hébergement nous oblige. C'est ce qui rend la juridiction réelle plutôt que théâtrale.
• La loi locale reste contraignante. Le CSAM entraîne une résiliation immédiate et un signalement à l'autorité compétente, dans toutes les localisations, sans exception. Idem pour les botnets et les attaques réseau — ils violent nos AUP avant de violer toute loi, et nous agissons de notre propre chef.
• Les lois de votre pays d'origine restent contraignantes pour vous. Un gouvernement étranger ne peut pas nous assigner utilement. Il peut tout à fait vous assigner. L'hébergement offshore protège le serveur, pas l'opérateur.
• Des plaignants bien financés peuvent plaider n'importe où. L'hébergement offshore élève le coût pour vous faire taire d'un e-mail à un procès étranger. Il ne rend pas ce coût infini.

Signaux d'alerte lors de la recherche d'un hébergement DMCA-ignoré

J'ai vu des clients migrer vers nous depuis chacune de ces situations :

• Serveurs « DMCA-ignorés » aux États-Unis, au Royaume-Uni ou en Allemagne. Physiquement impossible. Le datacenter répond à ses propres tribunaux, et un rack américain reçoit une procédure américaine. Le marketing est offshore ; les assignations ne le sont pas.
• Inscription exigeant une pièce d'identité ou un numéro de téléphone. Un hébergeur qui sait qui vous êtes finira par le dire à quelqu'un.
• Paiements par carte uniquement. Le même problème d'identité sous un autre habit. Les réseaux de cartes conservent des enregistrements ; les assignations les suivent.
• Infrastructure revendue. Demandez des IP de looking-glass et un ASN. S'ils sont revendeurs, l'amont reçoit la notification et coupe le courant sans jamais leur demander — ni à vous.
• "100 % à l'épreuve des retraits, hébergez tout." Personne n'est insensible aux takedowns, et « hébergez n'importe quoi » signifie aucun service d'abus du tout — donc vos voisins sont des botnets, la plage IP est sur toutes les listes noires, et votre projet propre hérite de l'odeur.
• AUP non écrite. Un hébergeur qui ne veut pas écrire ce qu'il applique appliquera ce que l'e-mail le plus en colère de la file exige.

Nous publions notre AUP, nommons le déclencheur qui nous fait agir (une ordonnance judiciaire valide de la juridiction d'hébergement), et répondons à nos propres notifications. Cette combinaison — pas le drapeau sur la page d'accueil — est ce que « DMCA-ignoré » devrait signifier. Lecture connexe : ce qu'est réellement l'hébergement offshore, et comment choisir la juridiction une fois que vous avez décidé d'en avoir besoin.