Un juge rejette une plainte à 32,8 milliards de dollars accusant Apple de ne pas avoir stoppé les CSAM sur iCloud

Un juge fédéral américain a rejeté une action collective réclamant 32,8 milliards de dollars de dommages et intérêts, qui accusait Apple de ne pas avoir empêché la propagation de contenus liés aux abus sexuels d'enfants (CSAM) sur son service de stockage iCloud, selon un rapport de Reuters publié le 14 juillet concernant cette décision. Ce rejet constitue une victoire juridique significative pour Apple dans une affaire qui visait à tenir l'entreprise financièrement responsable des contenus postés par les utilisateurs de son infrastructure cloud.

L'affaire portait sur une question juridique familière mais non résolue dans le secteur technologique : dans quelle mesure une plateforme est-elle responsable des contenus que ses utilisateurs stockent ou partagent via son infrastructure, lorsque la plateforme elle-même n'a pas créé ces contenus. Le rejet par le juge, fondé en grande partie sur l'article 230 du Communications Decency Act, maintient ce bouclier juridique intact pour les fournisseurs de stockage cloud — du moins dans ce cas précis — même dans une affaire impliquant certains des contenus les plus graves qu'une plateforme puisse héberger.

Ce que les plaignants ont avancé

L'action collective accusait Apple de ne pas avoir mis en œuvre des mesures de détection et de prévention adéquates pour empêcher le stockage et le partage de CSAM via iCloud, arguant que l'entreprise devait être tenue responsable des préjudices en résultant. Le montant de 32,8 milliards de dollars réclamé reflète l'ampleur que les avocats des plaignants attribuent aux préjudices systémiques subis par une large classe de victimes présumées, plutôt qu'à un seul incident.

Cette affaire survient dans le contexte de l'histoire complexe d'Apple avec la technologie de détection des CSAM. Apple avait annoncé en 2021 un système de détection des CSAM côté client pour iCloud Photos, puis avait abandonné le projet en 2022 après un vif tollé de la part de chercheurs en vie privée et sécurité, qui avertissaient que cette infrastructure de détection pourrait être détournée à des fins de surveillance généralisée par des gouvernements ou des acteurs malveillants. Les critiques de la décision de mardi souligneront probablement ce revirement comme la preuve qu'Apple disposait d'une voie de détection viable et a choisi de ne pas l'emprunter — un argument sur lequel l'action elle-même s'est sans doute appuyée.

Pourquoi l'article 230 a été le facteur décisif

L'article 230 protège largement les plateformes en ligne et les fournisseurs de services de toute responsabilité pour les contenus postés par des utilisateurs tiers, à condition que la plateforme n'ait pas créé ou contribué matériellement à ces contenus. Cette disposition a été rédigée principalement pour les forums de discussion et les plateformes sociales, mais les tribunaux ont régulièrement étendu un raisonnement similaire aux services de stockage cloud et d'hébergement, les considérant comme des canaux plutôt que des éditeurs des contenus stockés par les utilisateurs.

L'application de ce cadre signifie ici que le tribunal a considéré iCloud comme une infrastructure qui stocke ce que les utilisateurs téléchargent, et non comme un éditeur chargé d'examiner et de modérer ces contenus de manière proactive. Cette distinction est juridiquement significative : c'est le même bouclier qui protège les entreprises de médias sociaux contre les poursuites concernant les publications de leurs utilisateurs, et son application au service de stockage cloud d'Apple renforce l'ampleur avec laquelle cette disposition a été interprétée par les tribunaux, même si les pressions législatives pour restreindre l'article 230 se sont intensifiées ces dernières années, en particulier concernant les contenus liés à la sécurité des enfants.

Ce que cela signifie pour l'avenir

Pour Apple, ce rejet élimine une responsabilité juridique de plusieurs milliards de dollars, du moins à ce stade — la décision peut encore faire l'objet d'un appel, et le rejet d'une action collective proposée ne met pas nécessairement fin à la question juridique plus large. Pour l'industrie technologique dans son ensemble, cette décision constitue un nouveau point de données dans un schéma récurrent : les tribunaux continuent d'appliquer les protections de l'article 230 aux fournisseurs d'infrastructure cloud, même dans des affaires impliquant les catégories les plus graves de contenus nuisibles, à moins que les plaignants ne puissent démontrer que la plateforme a fait plus que simplement stocker passivement le matériel.

La tension non résolue que cette affaire met en lumière n'est pas juridique mais pratique : les plateformes conservent une large protection juridique pour les contenus qu'elles ne scrutent pas de manière proactive, ce qui signifie que les entreprises ne courent guère de risque de responsabilité directe si elles choisissent de ne pas construire de systèmes de détection — même après en avoir développé un puis l'avoir mis de côté, comme Apple l'a fait avec sa proposition de détection des CSAM en 2021. Ce fossé entre responsabilité juridique et capacité technique devrait refaire surface dans de futures affaires et dans les efforts législatifs visant à restreindre le champ d'application de l'article 230, en particulier autour des contenus liés à la sécurité des enfants.