À poil sur Internet

Il aura fallu sept ans au gouvernement pour sortir le décret complétant l’article 6 de la loi sur la confiance dans l’économie numérique (LCEN). Article qui avait suscité en son temps son lot de controverses. Il fait obligation aux hébergeurs et fournisseurs de service en ligne de détenir et conserver « les données de nature à permettre l’identification de quiconque a contribué à la création du contenu ou de l’un des contenus des services dont elles sont prestataires » . Données pouvant être requises par l’autorité judiciaire et par les agents des services de police et de gendarmerie nationales, dans le cadre de la lutte contre le terrorisme, et dont la liste devait être précisée par décret.

C’est donc chose faite, et le gouvernement n’a pas fait dans la dentelle puisqu’il demande que soit conservée pendant un an la totalité des données disponibles : l’identifiant de la connexion (l’adresse IP), les dates et heures de connexion, les caractéristiques de la ligne de l’abonné, l’identifiant de la personne qui se connecte (sur un blog par exemple), celui du contenu (l’adresse de la page ou la référence du commentaire), la nature, date et heure de l’opération. Mais aussi, pour tout site où un compte utilisateur est créé, les noms, prénom, adresse postale, pseudos utilisés, adresses e-mail associées, numéro de téléphone et mot de passe, ainsi que les données permettant de le vérifier. Plus les données de paiement, si paiement il y a. Cette obligation vaut pour les poids lourds comme Google, Twitter, YouTube, etc., mais aussi pour les plateformes de blogs, les médias en ligne, les forums et mailing-listes ouvertes, les gestionnaires de mails et tout site publiant du contenu. C’est un peu comme si pour accéder à un site, on devait passer par un scanner corporel, montrer ses papiers, laisser ses clés, et faire confiance aux services de l’État pour ne s’en servir qu’en cas d’extrême nécessité.

Dès 2008, l’Arcep (autorité de régulation des télécoms), consultée pour avis, s’était interrogée sur la finalité d’une telle collecte. « Certaines données – telles que les caractéristiques de la ligne de l’abonné, la nature de l’opération, le mot de passe ou les données relatives au paiement – n’ont que peu de rapport ou même aucun avec l’identification de la personne ayant créé un contenu » , avait-elle relevé. Elle avait également averti que la quantité exponentiellement croissante de données risquait de rendre le décret difficilement applicable pour des raisons aussi bien techniques que financières. Mais son avis est resté lettre morte, tout comme celui de la Cnil, qui n’a pas été publié au JO avec le décret et que l’autorité vient de rendre public.

L’Asic (Association française des services Internet communautaires) a, elle aussi, réagi rapidement et envisage de déposer un recours en annulation. « Certaines définitions ne sont pas claires , a expliqué son secrétaire général, Benoît Tabaka, à l’AFP. On nous demande de stocker des mots de passe qui ne permettent en rien d’identifier des personnes, des éléments de contenu alors que la loi l’interdit explicitement, et rien n’est prévu pour indemniser. » Pour Jérôme Thorel, de Privacy France, « cette collecte est disproportionnée et va à l’encontre des principes fondamentaux d’une démocratie » . D’autant plus disproportionnée que, dans le cadre de la lutte contre le terrorisme, les services ont déjà toute latitude pour accéder aux données identifiant un suspect…