Valhalla.fr

Quelques statistiques, pour débuter la revue d’actualité de la semaine : que se passe-t-il, en une minute, sur Internet ? Il s’en passe, des choses : 168 millions d’e-mails envoyés ; 695 000 statuts Facebook mis à jour et 510 000 messages publiés ; près de 695 000 requêtes de recherche sur Google ; 370 000 minutes d’appel sur Skype ; près de 100 000 messages publiés sur Twitter ; 13 000 heures de musique écoutées sur Pandora ; 13 000 applications téléchargées sur l’AppStore pour iPhone et iPad d’Apple.

Vu le succès des sites communautaires, des plateformes de distributions de contenus et du Web 2.0 en général, alors que certains services se préparent à intégrer les Boxes ADSL et autres périphériques (Web 3.0), certains pensent à imposer de nouvelles taxes aux entreprises florissantes de l’économie numérique.
Le gouvernement français a ainsi tenté de faire adopter à l’Assemblée nationale une nouvelle taxe incombant aux fournisseurs d’accès, dans le but, selon Numerama, de financer le futur Centre National de la Musique et la production musicale en France. Cette taxe, rejetée par les députés, n’aurait en rien remis en cause le système répressif Hadopi. Pourtant, à bien des égards et comme le souligne de nouveau cette semaine une étude juridique américaine [PDF], la licence globale semble avoir plus d’avantages et moins d’inconvénients que la riposte graduée (qui, en Irlande, soulève des questions relatives à la vie privée des internautes).
Une autre taxe dont on parle de plus en plus (sous le nom de «taxe Google») porterait sur les achats de publicité en ligne. En théorie, l’idée est séduisante puisque l’économie du Web 2.0 repose principalement sur la publicité et que celle-ci génère des revenus considérables. En pratique, cependant, une telle taxe aurait, selon ses détracteurs, porté préjudice aux opérateurs français qui auraient été défavorisés face à leurs concurrents étrangers (l’argument est loin d’être nouveau, mais il est vrai que les géants du Web 2.0 sont américains…). La taxe a donc été supprimée du projet de loi de finances rectificative par l’Assemblée nationale, pour réapparaître au Sénat… affaires à suivre.

Les services de streaming, bien que ne relevant pas exactement du web communautaire, ont le vent en poupe. Ils sont aussi dans le collimateur des ayants droit… Ainsi, le site espagnol Rojadirecta, dont nous avions parlé en février (v. n°43), avait été «neutralisé» par le gouvernement américain dans une opération anticontrefaçon de grande envergure, et il passe aujourd’hui à la contre-offensive. Le nom de domaine avait en effet été saisi par les autorités américaines, et le site espagnol vient de saisir la justice américaine pour le récupérer. Rappelons que le nom de domaine en question est générique (.com) et ne vise pas particulièrement le public américain, et que le site lui-même a été jugé licite par la justice espagnole. Voilà donc une bataille qui promet d’être intéressante. Mais elle est loin d’être gagnée pour le site espagnol, car la pénalisation du streaming est une idée qui fait progressivement son chemin aux États-Unis, comme en témoigne le récent projet de loi Commercial Felony Streaming Act (qui est soutenu conjointement par l’administration Obama et par les majors hollywoodiens).

Paradoxalement, alors que les coups bas sont permis lorsqu’il s’agit de défendre l’argent généré par les droits de propriété intellectuelle, l’administration américaine envisage de créer un «Internet fantôme» afin de déjouer la censure dans les États où l’expression n’est pas libre.

La France, quant à elle, n’est pas à la traine, on le sait, en matière de répression du téléchargement illicite et de filtrage. Nous parlions en mai (v. n° 60) d’un rapport de l’ONU condamnant à la fois la coupure d’accès à Internet (loi Hadopi) et le filtrage (lois Loppsi 2 et sur la régulation des jeux en ligne – à ce propos, l’on apprend cette semaine que les FAI français ont fait appel de la décision rendue dans l’affaire 5dimes.com (v. n°56) et ont posé une Question Prioritaire de Constitutionnalité (QPC) dans l’affaire Stanjames – v. n°s 17, 18 et 53). Nous apprenons cette semaine que ledit rapport a été approuvé par 41 pays, mais pas la France (ni le Royaume-Uni, l’Espagne, l’Allemagne, l’Italie et la Belgique) ; parmi ces pays ayant approuvé le rapport, l’on trouve notamment les États-Unis, l’Inde, le Brésil, le Japon, la Turquie et le Mexique.

Pis, et c’est l’actualité la plus importante de la semaine, en France et dans notre domaine, un projet de décret vise à permettre le filtrage administratif (sans recourir au juge) d’Internet. Le principe est le suivant : l’article 18 de la Loi pour la Confiance dans l’Économie Numérique (s’il reste encore de la confiance, après de tels décrets) de 2004, issu d’une modification de 2007, permet à l’administration de prévenir ou de faire cesser la diffusion de contenus sur le réseau, pour divers motifs (sécurité publique, protection des mineurs, protection des consommateurs, etc.). Le système fonctionne en 3 temps : d’abord, une injonction de faire cesser la diffusion du contenu litigieux à son éditeur, puis une injonction de mise hors ligne ou de filtrage à l’hébergeur de ce contenu, enfin, en cas d’échec des mesures précédentes, une injonction de filtrage aux fournisseurs d’accès (FAI). Les rédacteurs du décret, qui justifient l’injonction de filtrage destinée aux FAI par «l’urgence de la situation», ont dû oublier que l’action en référé est justement prévue pour répondre à l’urgence. Le projet de décret devra être examiné par le tout nouveau Conseil National du Numérique (CNN).

Finissons avec les suites de l’arrêt Padawan de la CJUE (v. n°28) en France : dans une décision du 17 juin 2011 [PDF], le Conseil d’État a annulé la délibération n°11 (datant du 17 décembre 2008) de la commission copie privée, qui fixait le montant de la rémunération pour la copie privée pour de nombreux appareils. La CJUE avait décidé que la rémunération de la copie privée ne pouvait pas s’appliquer aux supports achetés et utilisés par les professionnels qui ne réalisent pas de copie privée, et le Conseil d’État vient de tirer les conséquences de cette décision en droit français.

Cette semaine fut plutôt tranquille et aucune révélation fracassante n’alimenta l’actualité du droit des nouvelles technologies. Voyons tout de même ce qu’il faut retenir de l’actualité hebdomadaire.

Propriété intellectuelle

La société américaine Oracle (leader de l’industrie des bases de données) qui, ayant racheté Sun l’année dernière, est devenue propriétaire d’OpenOffice, a décidé de confier le code source de la célèbre suite bureautique à la fondation Apache. Cette fondation gère le serveur web libre Apache (l’un des plus utilisés dans le monde) et a de l’expérience dans la création de logiciels libres. La licence Apache est compatible avec la GPL ; elle permet les usages commerciaux et contient un mécanisme de copyleft. Cela est une bonne nouvelle, qui lève de nombreux doutes sur la pérennité de la suite bureautique open source. LibreOffice, le fork libre d’OpenOffice, continue son chemin parallèlement et sort d’ailleurs cette semaine une mise à jour.

Le service de streaming de musique Deezer instaure une limitation de 5 heures d’écoute pour les visiteurs et les comptes gratuits. Pour écouter plus, il faudra payer plus. La décision de Deezer est probablement due à la pression croissante des majors de l’industrie musicale (pour qui, on le sait depuis longtemps, la gratuité de la culture est une aberration). C’est ainsi que la société Universal attaque Deezer en justice pour contrefaçon, réclamant une meilleure différenciation des offres gratuite et payante. Par ailleurs, l’auteur de Freezer, un logiciel pour télécharger les morceaux diffusés par Deezer, vient d’être condamné à 6 mois de prison avec sursis (c’est, à n’en pas douter, un dangereux criminel…) sur le fondement de l’incitation à l’utilisation d’un logiciel permettant la contrefaçon (le fameux «amendement Vivendi», inspiré de l’arrêt Grokster de la Cour suprême américaine). Tant qu’à parler de prison, signalons que le créateur d’un tracker Bittorrent a été condamné à 6 mois de prison avec sursis, en France, et qu’un tribunal américain a condamné un internaute à 2 mois de prison pour avoir filmé un film dans une salle de cinéma (camcording).

Comment parler de propriété intellectuelle et d’Internet sans parler de l’Hadopi ? Campagne pour les présidentielles de 2012 obligeant, plusieurs (futurs) candidats expriment leur avis au sujet de ce système légal visant à réprimer le téléchargement. D’abord, Eva Joly (Les Verts) annonce qu’elle abrogera les lois Hadopi et Loppsi «dès la première semaine». François Hollande (PS), dont les précédents propos étaient ambigus, a clairement affirmé qu’il abrogerait la loi Hadopi et a laissé entendre qu’il instaurerait un système de taxation des FAI. Il s’agit donc d’une forme de licence globale, comme le propose à son tour François Bayrou (Modem) qui aurait, semble-t-il, changé d’avis sur le sujet.

La Hadopi a par ailleurs lancé une nouvelle campagne de désinformation publicité (coût: 3 millions d’euro), appelée «PUR», qui n’a pas mis longtemps à être tournée en dérision par les internautes. Pour résumer la campagne, l’on peut dire qu’elle présente des enfants sur des affiches avec le message «sans Hadopi, pas de [titre d’un morceau de musique, d’un film ou d’un livre] en l’année 202X». Saluons d’abord la clairvoyance de l’Hadopi, qui parvient à prédire le futur (et l’on ose dire qu’elle n’est pas efficace !). Amusons-nous ensuite (à défaut de se désoler) du message implicite : tous ces enfants ne produiront des oeuvres culturelles que pour l’argent, et non par vocation. La campagne de publicité de l’Hadopi vise donc à perpétuer la génération Star’Ac, qui ne recherche que célébrité et richesse, et n’envisage pas un instant que l’on puisse créer pour l’amour de son art. On ne peut s’empêcher de penser à nouveau à la licence globale et au soutien des labels indépendants qui, loin de majors et de leur lutte acharnée pour l’accroissement de l’augmentation de leurs bénéfices, permettraient aux vocations de se réaliser sans nuire à la diffusion de la culture.

En Russie, Medvedev semble avoir pris conscience du problème, et fait cette semaine un premier pas vers la solution en réclamant l’inclusion des licences libres dans la loi. En Australie, le rapport de l’ONU dont nous parlions la semaine dernière, semble faire reculer les majors, qui ne réclament plus la coupure d’accès à Internet comme sanction du téléchargement illicite. Aux États-Unis, la stratégie est bien différente. En effet, projet de loi PIPA contient des idées aussi effarantes que dangereuses. Cette loi a pour but d’étendre la compétence extraterritoriale de la loi américaine aux sites étrangers hébergeant des contenus contrefaisants. Elle permet également aux ayants droit américains d’engager des actions contre les intermédiaires techniques américains, afin que ces derniers filtrent le réseau (filtrage DNS) et bloquent les contenus contrefaisants en provenance de sites étrangers.

Vie privée

Facebook a lancé un nouveau service de reconnaissance faciale, sans en avertir les utilisateurs. Il est donc désormais possible de «taguer» (c’est-à-dire associer un nom à une photo) les photos de ses amis beaucoup plus facilement, grâce à des suggestions automatisées. L’atteinte à la vie privée étant manifeste, les autorités européennes(en) (plus précisément, le G29) s’intéressent à la question. L’EFF propose une vidéo montrant comment désactiver cette fonctionnalité(en) de Facebook.

Par ailleurs, en France, les comptes utilisés par les enfants afin de harceler leurs camarades seront plus rapidement fermés.

Attaques

Depuis quelques mois, l’on parle de plus en plus d’attaques de grande ampleur contre des systèmes informatisés.

On a beaucoup parlé de Sony, ces derniers temps, qui a été victime de plusieurs attaques, probablement en raison de ses positions relatives à la contrefaçon. La société a trouvé une nouvelle stratégie pour répondre à ses attaques : fermer ses sites.

Google a également subi des attaques qui, selon la société américaine, venaient de Chine. La Chine répond cette semaine que Google a des motivations politiques et tente de «semer la discorde entre Pékin et Washington». Pourtant, outre Gmail, Yahoo et Hotmail (Microsoft) ont également été victimes de piratage en Chine.

Le groupe Anonymous continue de faire parler de lui avec une attaque contre la Turquie, en raison de la censure pratiquée dans ce pays. La police espagnole aurait par ailleurs arrêté, cette semaine, plusieurs membres du réseau.

Citigroup a également été victime d’une attaque importante, ayant conduit à la révélation des données personnelles de plus de 200 000 clients. Le réseau social LinkedIn fait quant à lui l’objet d’une campagne de phishing.

Enfin, les attaques peuvent être lancées par les États ou leurs démembrements, ce qui complique encore l’identification de leurs auteurs. Aux États-Unis, par exemple, 25% des hackers travailleraient pour le FBI.

Le filtrage est de nouveau d’actualité cette semaine, et il n’y a rien d’étonnant à cela : c’est, dans tous les pays, la réponse qui semble la plus évidente lorsqu’il s’agit de contrôler les contenus diffusés sur Internet depuis l’étranger. Le filtrage est donc, en vertu du principe de neutralité technologique, une série de technologies qui ne sont intrinsèquement ni bonnes ni mauvaises, mais qui peuvent le devenir selon l’usage que l’on en fait.

Le filtrage est un moyen de censure politique. Il fut par exemple utilisé en Égypte par l’ancien président Moubarack au moment de la révolution. Le tribunal du Caire a condamné l’ancien chef d’État, cette semaine, pour avoir causé un préjudice à l’économie du pays en «coupant» Internet dans les principales villes du pays. La condamnation est hautement symbolique et constitue un message adressé aux dirigeants d’autres pays, comme la Syrie, dont les dirigeants songent à censurer Internet pour empêcher la diffusion d’idées qui leur sont hostiles.

Le filtrage peut aussi être utilisé pour arrêter les contenus illicites avant qu’ils atteignent le public local. Tel est le cas du filtrage prévu par la loi française dans le cadre de la réglementation des jeux d’argent et de hasard en ligne. Un rapport parlementaire vient d’être publié sur le sujet. Le rapport regrette que les décisions de blocage (jugements en la forme de référé, rendue sur demande de l’autorité administrative ARJEL) ne soient pas publiées dans la presse, que le filtrage soit largement inefficace s’agissant d’empêcher l’accès aux internautes déterminés à jouer sur des sites étrangers (comme en témoigne l’exemple de 5dimes.com, peu convaincant en pratique) mais qu’il a un effet dissuasif, que le décret sur l’indemnisation des intermédiaires qui doivent mettre en place les mesures de filtrage ne soit toujours pas publié.

Le filtrage peut aussi être légitime dans son but, mais aboutir à un résultat totalement disproportionné. Par exemple, il est légitime pour un pays de bloquer les contenus «obscènes» selon la loi locale. En revanche, il est excessif de bloquer un site dans sa totalité, comme l’a fait cette semaine la Turquie, sous prétexte que certains des contenus qu’il diffuse sont obscènes.

Le filtrage peut encore être légitime par son but, mais mis en oeuvre sans certaines garanties nécessaires afin d’éviter les abus. Si l’on considère ainsi qu’en tant que limite à la liberté d’expression le filtrage ne peut être actionné qu’a posteriori, contre des contenus jugés illicites, et non de manière préventive, l’on en déduira que sa mise en oeuvre doit être fondée sur une décision de justice et non laissée à l’initiative de l’administration. Selon cette position, le filtrage de la LOPPSI n’est pas justifié, mais l’éventuel filtrage à l’initiative de la DGCCRF, qui pourrait saisir le juge de demandes de blocage, le serait.

Selon la même logique, le filtrage préventif des fichiers afin de bloquer les contenus contrefaisants n’est pas légitime. Il est pourtant sérieusement envisagé dans le cadre de la loi HADOPI, afin d’étendre la sanction du téléchargement illicite aux sites de direct download et de streaming (qui devraient croître énormément dans les années à venir, selon Cisco), au besoin en plaçant le filtre dans les «box» ADSL des internautes.

L’information la plus importante de la semaine, dans notre domaine, est probablement la publication d’un rapport de l’ONU qui condamne à la fois les mesures de filtrage lorsqu’elles ont pour but la censure, et la coupure d’accès à Internet qui constitue, en France, la sanction du téléchargement illicite dans le cadre du système Hadopi. Le rapporteur demande aux États «d’abroger ou de modifier les lois de propriété intellectuelle actuelles qui permettent que des utilisateurs soient déconnectés de l’accès à Internet, et de s’abstenir d’adopter de telles lois». Une telle mesure est en effet une limitation de la liberté d’expression (article 19 du Pacte international relatif aux droits civiques et politiques) qui apparaît au rapporteur disproportionnée avec l’objectif de protection du droit de propriété. Par ailleurs, le rapporteur dénonce les «mécanismes de blocage et de filtrage de plus en plus sophistiqués utilisés par les États pour la censure». Ces mécanismes, comme nous l’avons dit plus haut, sont souvent opaques, et le filtrage n’est légitime, selon le rapporteur, que lorsqu’il est effectué dans la transparence. Le rapporteur «invite les États qui bloquent actuellement des sites web à fournir les listes des sites bloqués et les détails complets concernant la nécessité et la justification de tels blocages ou filtrages pour chacun des différents sites». Enfin, le rapporteur dénonce la tendance actuelle(en) à confier aux intermédiaires techniques une mission de police sanctionnée pénalement.

La revue de cette semaine sera centrée sur l’eG8, le forum international (24-25 mai) en marge du G8 consacré à la régulation d’Internet.

Qu’est-ce que l’eG8 ? L’eG8 est un forum international dédié à Internet, c’est-à-dire une réunion de différentes personnes venant du monde entier, compétentes dans le domaine d’Internet et des nouvelles technologies. Le but d’un tel forum est de discuter des grands problèmes relatifs à la régulation d’Internet, en prenant en compte différents points de vue (politique, économique, social, juridique, etc.).

Qui était présent à l’eG8 ? Étaient présents les représentants de grandes entreprises comme Facebook ou Google, les représentants d’ayants droit, le pouvoir exécutif (président de la République et ministres), des personnes renommées dans le monde d’Internet comme John Perry Barlow, des représentants d’associations de défense des internautes (EFF, La Quadrature, etc.).

Problématique, louanges et critiques. On ne peut que louer, a priori, l’initiative française d’organiser un sommet international dédié à Internet. En effet, d’un côté le réseau est mondial et les grands opérateurs fournissant leurs services dans une multitude de pays et, de l’autre côté, la plupart des législations et des réglementations applicables dans le monde virtuel demeurent de source et de portée nationales. Discuter afin de comprendre ce qui se fait ailleurs et d’adapter en fonction de cela ses propres initiatives est donc une bonne chose. Cela étant dit, un tel sommet soulève aussi des craintes. Pourquoi, en effet, se réunir si ce n’est pour trouver des solutions communes ou coordonnées aux problèmes qui se posent ? La crainte majeure des associations de défense des droits des internautes est donc que l’eG8 tourne au complot, en quelque sorte, entre les dirigeants politiques et les grandes entreprises, afin d’imposer la surveillance des internautes et le contrôle des contenus du réseau.

La Quadrature du Net qualifie l’eG8 «d’écran de fumée derrière lequel se cache une inquiétante alliance de gouvernements cherchant à contrôler Internet et de quelques entreprises qui tirent profit des restrictions aux libertés en ligne». Il est vrai que certains faits peuvent le laisser penser. D’abord, il y a une certaine forme de rhétorique employée de manière récurrente par le pouvoir exécutif français : l’on parle de «civiliser» Internet (ce que l’on peut comprendre comme un synonyme de «coloniser», en imposant certaines valeurs occidentales), car le réseau peut véhiculer «le mal» (concept moral totalement ajuridique). Ensuite, il y a les dernières lois françaises, notamment Hadopi et Loppsi, qui vont clairement dans le sens de la prévention et de la répression, c’est-à-dire de la restriction (légitime ou non, ce n’est pas la question à ce stade) des libertés individuelles. Enfin et surtout la crainte que les opérateurs privés participent volontiers à la limitation des droits des internautes, en collaborant avec les gouvernements : l’exemple de l’entreprise américaine Cisco accusée d’avoir favorisé la répression politique en Chine est significatif.

Mais tout n’est pas aussi noir. La rhétorique de la «responsabilisation» remplace celle de la «civilisation». Il s’agit là d’un concept juridique (et philosophique) très important : lorsqu’on est libre d’agir, il faut ensuite assumer ses actes et en répondre lorsqu’ils causent préjudice à autrui. «Responsabiliser» les opérateurs et les internautes n’est donc pas, a priori, une mauvaise idée. Le problème devient alors politique, puisque si l’on est libre et responsable, l’on doit faire des choix. L’exemple topique est celui de la transparence. D’un côté, la transparence la plus totale dans l’expression peut causer préjudice à autrui, en violant notamment le droit à la vie privée et les droits de propriété intellectuelle. D’un autre côté, à trop vouloir protéger ces droits, l’on restreint la liberté d’expression et l’on tombe rapidement dans la censure. Tout est donc une question de dosage.

Mais le bon dosage ne peut être trouvé, s’agissant d’Internet. Quoi que l’on fasse, il y aura trop de restrictions d’un côté ou de l’autre de la balance, selon que l’on adopte l’un ou l’autre des points de vue antagonistes (partisans de la liberté d’expression / partisans de la protection de la vie privée, par exemple). Pour autant, ce n’est pas une raison pour ne rien faire, car de telles divergences ont existé de tout temps, et le droit a dû faire avec elles. L’originalité du problème réside dans la dimension internationale d’Internet qui rend largement inopérantes les initiatives nationales et appelle des solutions internationales. L’exemple de l’affaire DSK, dont nous parlions la semaine dernière, l’illustre parfaitement : le débat vie privée et présomption d’innocence contre liberté d’expression existe depuis fort depuis longtemps, tant en France qu’aux États-Unis, mais la balance ne penche pas du même côté pour les Européens et pour les Américains ; lorsque le litige est interne, il peut tout simplement être tranché selon les valeurs locales ; en revanche, Internet étant mondial, ces réponses nationales entrent forcément en collision les unes avec les autres.

Cela étant dit, il reste permis de critiquer l’organisation de l’eG8, qui révèle certaines priorités de ses organisateurs. La CNIL, par exemple, n’a pas été invitée, contrairement à certaines grandes sociétés dont le modèle économique est fondé sur le traitement des données personnelles des internautes. Ensuite, le débat a été largement centré sur les questions de propriété intellectuelle, la loi française Hadopi étant présenté comme un exemple. Un tel exemple est-il pertinent ? Pour ceux qui l’invoquent, il n’est certainement ; mais d’autres voix se sont fait entendre, comme celle de John Perry Barlow qui milite pour la liberté de circulation de la culture, ou celle du célèbre juriste américain Lawrence Lessig pour qui le système Hadopi n’a pas d’avenir. Enfin et surtout, d’aucuns déplorent la sous-représentation de la société civile (i.e. les organismes de défense des droits des internautes) au sommet, en comparaison avec les gouvernements, les ayants droit et les industriels sur-représentés. Reprenant le slogan de Google, «Do No Harm» («ne pas nuire»), les représentants de la société civile militent pour un Internet neutre et ouvert, loin de l’Internet fermé, destiné à protéger les intérêts des industriels, qu’ils dénoncent.

Dans ce contexte, la définition du principe de «neutralité du Net» s’annonce comme la prochaine grande bataille du droit des nouvelles technologies…

Au sommaire cette semaine : un nouveau scandale touchant la sécurité des données personnelles, la régulation d’Internet au programme du G8 et, comme si l’on n’en avait pas suffisamment parlé dans les médias traditionnels, l’affaire DSK.

Données personnelles

Nous parlions, la semaine dernière, des vols de données personnelles et de l’obligation incombant au responsable du traitement d’assurer la sécurité des données qu’il conserve. Nous en parlons à nouveau cette semaine, avec une nouvelle affaire grave et complexe : l’affaire TMG, du nom de la société française qui surveille les réseaux de partage P2P dans le cadre de la «riposte graduée» du système Hadopi.

Les faits : samedi dernier, plusieurs milliers d’adresses IP et de références de fichiers surveillés sur le réseau P2P BitTorrent ont été divulguées par erreur par la société TMG. Le site Numerama, qui a obtenu une archive des fichiers divulgués, rapporte que la fuite porte sur les données suivantes : les adresses IP des serveurs permettant la publication des fichiers, les adresses IP des clients connectés à ces serveurs, les adresses IP des pairs connectés à ces clients. Toujours selon Numerama, beaucoup d’adresses IP seraient étrangères, mais certaines auraient été attribuées à des internautes français. Par ailleurs, l’archive contient des fichiers anciens, qui remontent jusqu’au mois d’avril 2008, ce qui nous amène à nous interroger, avec Numerama, sur le respect des règles relatives à la durée de conservation des données (rappelons que la directive «data retention» de 2006 fixe un plafond de 2 ans, que l’article L34-1 CPCE et le décret n°2011-219 fixent un délai maximal de rétention de 1 an s’agissant des données de communication).

Première réaction : des moqueries, ou le fait que «l’arroseur arrosé» continue de faire rire. En effet, tout le système Hadopi repose sur une nouvelle incrimination, indépendante du délit de contrefaçon : la «négligence caractérisée» conduisant au «défaut de sécurisation» de l’accès à Internet, celui-ci ayant pu être utilisé afin de partager des fichiers illicites. Voilà donc qu’une société impliquée dans la «riposte graduée», en collaboration avec l’Hadopi, se trouve à son tour accusée d’avoir fait preuve de négligence dans la sécurisation des données collectées.

Deuxième réaction : on se demande comment la CNIL va réagir, car les enjeux de cette réaction sont importants. Il ne s’agit pas seulement, en effet, de sanctionner la société TMG, en application de la loi «Informatique et Libertés», si elle se révèle fautive. La collecte et le traitement des données dans le cadre de la «riposte graduée» du système Hadopi est soumise à une autorisation administrative délivrée par la CNIL (et non à une simple déclaration). Par conséquent, si la CNIL retirait son autorisation à TMG, la société nantaise ne pourrait plus collecter des données sur les réseaux de partage, pour les transmettre ensuite à l’Hadopi. Or, et c’est là que l’affaire prend des airs de fiasco, TMG est actuellement la seule société ayant l’autorisation de collecter des données dans le cadre de la riposte graduée. Il en résulte que, si la CNIL retirait son autorisation, tout le système Hadopi s’en trouverait paralysé !

Troisième réaction et première conséquence : l’Hadopi coupe les ponts avec TMG. Du moins provisoirement, par précaution, car un membre de l’Hadopi a avoué que la Haute autorité ignorait «ce qu’il se passe réellement dans les serveurs de TMG». Concrètement, l’Hadopi ne recevra plus de nouvelles adresses IP relevées par TMG, mais elle poursuivra l’analyse des adresses communiquées jusqu’à présent. La durée de conservation maximale étant fixée par la loi à 1 an, les données antérieures à mai 2010 ne pourront pas être traitées, et les données relevées de mai 2010 à mai 2011 pourront être traitées jusqu’en mai 2012. En revanche, à partir de maintenant et jusqu’à ce que l’Hadopi reçoive de nouvelles données, le système de riposte graduée est paralysé. L’information est relayée à l’étranger(en).

Quatrième réaction : la parole est donnée à la défense, TMG. Selon la société, les données proviendraient d’un serveur de test, et non d’un serveur «de production» utilisé dans le cadre de la riposte graduée. L’argument peine à convaincre, lorsqu’on sait que les fichiers divulgués contiennent des adresses IP récentes attribuées à des internautes français. Dans le même temps, les ayants droit reprennent l’argumentation de TMG, avec une rhétorique plutôt hésitante.

Cinquième réaction et deuxième conséquence : la CNIL s’en mêle. C’est un tweet laconique qui l’indique : la CNIL est à Nantes pour contrôler TMG. Comme nous le disions précédemment, les enjeux de ce contrôle sont importants : si la CNIL rend rapidement un rapport favorable à TMG, la riposte graduée pourra reprendre ; en revanche, si la CNIL retire son autorisation à TMG, c’est tout le système Hadopi qui se retrouvera figé pendant une période indéterminée (et qui pourrait s’avérer longue…).

Sixième réaction et troisième conséquence : des poursuites sont envisagées. Les serveurs de TMG ayant été prétendument «piratés», un délit d’intrusion dans un système informatique aurait été commis. TMG a donc annoncé avoir déposé une plainte contre les «pirates» puis, peu de temps après, l’avoir retirée. En effet, suivez la logique : si les données sont protégées, il n’y a pas de violation de la loi «Informatique et Libertés» qui impose leur sécurisation, et l’accès à ces données sans autorisation constitue un délit d’intrusion dans un système informatique, passible de poursuites ; en revanche, si les données sont librement accessibles, il n’y a pas de délit d’intrusion, mais il y a violation de l’obligation de sécurisation. En l’occurrence, les données étaient librement accessibles, la plainte était donc vouée à l’échec, et c’est probablement la raison pour laquelle elle fut retirée.

Septième réaction : les suites. Car il y en aura, des suites. Plusieurs questions se posent, notamment sur l’avenir du système Hadopi, sur le fonctionnement de TMG et plus généralement sur la «traque» des internautes sur les réseaux de partage, sur les moyens de sécurisation des données, etc. Nous aurons très certainement l’occasion d’en reparler.

Régulation, libertés et censure

L’autre information importante de la semaine, parfaitement scandaleuse, porte sur la politique française en matière de contrôle d’Internet, et plus particulièrement du «Web social».

Le prochain sommet du G8, qui se tiendra à Deauville, aura notamment pour thème la régulation d’Internet. Mais quelle sera la position de la France sur cette question ? Il apparaît dans les travaux préparatoires du sommet qu’il y a un gouffre entre la position défendue par l’ancien ministre des Affaires étrangères, Bernard Kouchner, et celle soutenue par l’Élysée.

En parlant «gouffre», nous ne faisons pas dans l’hyperbole. Voici, en effet, les deux positions, sans caricature aucune : <ul> <li>Pour le ministre des Affaires étrangères : la défense de la liberté d’expression sur le réseau, la lutte contre la censure et le filtrage, au niveau international, la réflexion sur les moyens de garantir que le réseau reste ouvert, neutre et respectueux de la vie privée de chacun.</li> <li>Pour l’Élysée : le contrôle, la surveillance, le filtrage, la censure.</li> </ul> <p>Pourquoi une telle divergence ? La raison est simple : le ministre et le président n’envisagent pas la «régulation» d’Internet pour les mêmes raisons, et ils n’ont pas les mêmes faits en tête.

Le ministre, d’abord, pense à l’importance revêtue par les réseaux sociaux et la communication directe entre les internautes lors des révolutions dans le monde arabo-musulman. Nous en avons déjà parlé ici : les réseaux sociaux ne sont ni la cause ni la conséquence de ces révolutions démocratiques, mais ils ont joué un rôle (très) important en permettant des soulèvements de masse rapides. S’ils ont pu jouer un tel rôle, c’est que leurs infrastructures sont physiquement localisées dans des États démocratiques, hors de portée des régimes dictatoriaux. Pour le ministre, il faut donc montrer l’exemple, et garantir qu’Internet reste libre et ouvert dans nos démocraties occidentales, afin que les internautes subissant la dictature puissent s’exprimer sans subir la répression du pouvoir local. En outre, la censure est contraire au droit français (qui consacre le principe de liberté en matière d’expression) ce qui rend, dans beaucoup de cas, le filtrage illicite. C’est donc aussi pour la protection des droits des internautes français (ou, plus largement, européens) qu’Internet doit rester ouvert et libre.

L’Élysée, au contraire, pense aux droits de propriété intellectuelle et aux intérêts financiers des ayants droit (l’argent, encore l’argent… rien de bien nouveau là-dedans). La dialectique et la rhétorique qui l’accompagne sont connues : le «piratage» est un «fléau», il faut le «prévenir» et le «réprimer», en «surveillant» les internautes (cf. Hadopi) afin de les dissuader, et en «contrôlant» les contenus échangés afin de les «filtrer» et de «bloquer» les fichiers illicites.

Les grands opérateurs d’Internet semblent préférer la position du ministre (ce qui est, en un sens, bien compréhensible, puisqu’elle favorise leurs activités). Google, par exemple, soutient cette semaine, par la voix d’Eric Schmidt (président du Conseil d’Administration)(en), que le filtrage d’Internet rapproche nos démocraties occidentales de la Chine, s’agissant du contrôle de l’expression. La société américaine s’oppose à l’usage de moyens disproportionnés, nuisibles à la liberté d’expression (et, au passage, au droit à la vie privée et à la protection des données), dans le cadre de la prévention et de la répression de la contrefaçon en ligne.

La Commission Européenne refuse pour l’instant d’instaurer un filtrage généralisé d’Internet au niveau européen. Mais dans le même temps, le filtrage arrive en Autriche, par une décision de justice ordonnant le blocage d’un site de streaming. Et la censure d’Internet continue de progresser dans le monde(en)…

Digressions et participation à l’emballement médiatique

L’affaire judiciaire qui accapare actuellement l’attention des médias français est l’affaire DSK. Elle ne concerne pas directement l’actualité des nouvelles technologies ; aussi, ce qui suit est légèrement hors sujet. Nous avons toutefois décidé de faire deux remarques qui nous semblent pertinentes dans le cadre du thème de cette revue.

La première remarque concerne à la fois la diffusion des images de DSK menotté et la publication du nom de la victime alléguée dans la presse française. Ces deux informations sont perçues de manière différente selon le côté de l’Atlantique où l’on se place. Aux États-Unis, les victimes alléguées sont très protégées, et il est inconcevable pour la presse de publier leur nom dès le début d’une affaire telle que celle qui nous occupe ; en France, au contraire, si l’accusé est connu, il semble normal que l’accusatrice le soit aussi. Aux États-Unis, il est normal de montrer un suspect menotté, le présentant comme un coupable avéré plutôt que potentiel, alors qu’en France la diffusion d’un tel message est contraire à la présomption d’innocence et ouvre droit à réparation (article 9-1 Code civil).

Cela étant dit, voici où nous voulons en venir : si les deux informations ont été diffusées à la fois aux États-Unis et en France, c’est principalement grâce à Internet. Or, s’agissant de telles informations, en l’état actuel du droit et de la technologie, aucune mesure de filtrage ou de blocage ne peut empêcher leur diffusion. Quoi que l’on fasse, l’information parviendra au public visé ou la recherchant. Cela montre deux choses : d’abord qu’il est illusoire de vouloir contrôler à tout prix l’information, et surtout des informations de cette nature ; ensuite, qu’un Internet «civilisé», contrairement à ce que dit M. Sarkozy, n’est pas un Internet «contrôlé», filtré et censuré, mais un Internet libre et ouvert, fondé sur le respect de l’autre et de ses idées, sur lequel l’on navigue en gardant à l’esprit qu’il s’agit d’un «monde» virtuel et que tout le monde ne partage pas les mêmes valeurs.

La deuxième remarque porte justement sur ces valeurs, de liberté d’expression et de présomption d’innocence, que les français et les américains ont en commun, mais qu’ils ne conçoivent pas de la même manière. En France, l’expression est libre, mais les abus de cette liberté sont sanctionnés. Or, porter atteinte à la présomption d’innocence d’autrui constitue un abus de la liberté d’expression passible de sanctions. En d’autres termes, selon le droit français, la présomption d’innocence est à mettre en balance avec la liberté d’expression, elle intervient dans le domaine médiatique et peut fonder la censure d’une information. Aux États-Unis, tout raisonnement relatif à la diffusion d’une information a pour fondement le premier amendement à la Constitution fédérale. La liberté d’expression est un droit presque absolu : il est naturellement limité lorsque les propos tenus sont faux (diffamation), mais, d’une part, les «personnages publics» tels que DSK n’ont que peu de chances d’obtenir réparation en cas de diffamation (les conditions posées par la jurisprudence sont très restrictives – cf. New York Times v. Sullivan, 376 U.S. 254 (S. Ct. 1964) et, d’autre part, il ne s’agit pas en l’espèce de diffamation, mais de la représentation d’un fait brut et indiscutable, l’accusé sortant menotté du commissariat (le fondement d’une éventuelle action, si DSK était innocenté, pourrait alors être le délit de false light – cf. W. Prosser, Privacy, 48 California Law Review 383 (1960)(PDF) et le Restatement (Second) or Torts §652E). La présomption d’innocence n’intervient donc pas à ce niveau, en droit américain. Elle intervient en revanche dans la procédure juridictionnelle qui doit, à tout moment, respecter les droits de la défense de l’accusé (ce que l’on appelle la clause due process de la Constitution). Dernière précision pour éclairer la position américaine : la victime alléguée sera bientôt interrogée par la défense, et son exposition médiatique sera sans doute égale à celle dont pâtit actuellement DSK.

L’actualité du droit des nouvelles technologies est dominée, cette semaine, par plusieurs affaires relatives à la protection des données personnelles.

Protection des données personnelles

D’abord, un rebondissement dans une affaire ancienne : les serveurs de Sony, stockant les données personnelles des utilisateurs de PlayStation et des services en ligne de l’opérateur japonais, ont été «piratés» et les malfaiteurs ont dérobé les données de plusieurs millions d’internautes. Sony a réagi de plusieurs manières : la société «chasse» les données volées sur le Web, pour les retirer lorsqu’elles sont publiées, offre une récompense à toute personne en mesure de lui apporter des éléments concernant l’acte de «piratage», et retarde le rétablissement de ses services jusqu’à ce qu’ils soient mieux sécurisés. Rappelons à ce titre que, selon le droit européen, le responsable du traitement des données personnelles d’autrui a l’obligation d’assurer la sécurité de ces données. Bien entendu, aucun système de protection informatique n’est en mesure d’assurer une sécurité parfaite ; l’obligation de sécurisation des données signifie donc que le responsable du traitement doit mettre en oeuvre tous les moyens nécessaires afin d’assurer la sécurité des données, et qu’il est juridiquement responsable en cas de fuite.

De son côté, le réseau de hackers Anonymous… a été hacké. Des centaines d’adresses IP ont été publiées, donnant ainsi aux autorités la possibilité d’identifier dans le monde réel des membres du groupe Anonymous. Qui est derrière cette opération ? À qui profite-t-elle ? Quelles en seront les conséquences ? Le réseau s’en remettra-t-il ?

Une autre polémique relative aux données personnelles touche Google et Facebook. On sait que les deux sociétés américaines s’affrontent pour la domination du Web social (mais se rejoignent volontiers lorsque leurs intérêts concordent), Facebook devenant petit à petit un «portail» vers d’autres contenus qui éloignerait les internautes du moteur de recherche de Google. Or, l’on a appris cette semaine que Facebook a financé une campagne de publicité contre Google. Cette campagne invitait à s’intéresser à la manière dont le service Google Circles révélait aux internautes des données relatives aux «amis de leurs amis». Pas de chance pour Facebook, le service de Google semble être conforme à la loi américaine.

Et c’est l’arroseur arrosé : Facebook se retrouve à son tour au centre d’un scandale relatif à la sécurisation des données de ses utilisateurs. Une faille de sécurité découverte par Symantec (l’éditeur de l’antivirus Norton) aurait permis à des applications tierces, par le truchement des applications publicitaires intégrées à Facebook, d’accéder aux profils des membres du réseau social. Facebook a corrigé la faille et conseille à ses membres de changer leur mot de passe. Toute la question, dans cette affaire, est celle de savoir si la faille a été effectivement exploitée pour obtenir frauduleusement des données personnelles. Le Congrès américain s’intéresse au problème et demande des explications à Facebook.

En France, la CNIL constate la baisse du niveau de protection des données personnelles par les moteurs de recherche, en réagissant à la décision de Yahoo! (dont nous avions parlé) d’augmenter la durée de la rétention des données personnelles des internautes.

De son côté, le groupe européen en charge des questions relatives à la protection des données personnelles (le «G29», créé par l’article 29 de la directive 1995/46), réagit à la polémique suscitée par la gestion des données de géolocalisation dans les terminaux mobiles Apple (dont nous avions également parlé, à plusieurs reprises). Le G29 devrait ainsi, dans un prochain avis, qualifier les données de géolocalisation de données personnelles, et préciser les conditions dans lesquelles leur collecte, leur traitement et leur stockage sont conformes au droit européen. Affaire à suivre.

Propriété intellectuelle

Changeons de sujet, et parlons un peu de propriété intellectuelle. Le système de la riposte graduée, que nous connaissons en droit français avec la loi Hadopi, vient d’être rejeté par le législateur belge. La question qui se pose désormais est donc celle de savoir quelle sera la réponse belge au phénomène du téléchargement illicite : filtrage ou licence globale ?

En France, selon une statistique récente, 50% des internautes avertis par l’Hadopi auraient cessé de télécharger des fichiers contrefaisants. D’un autre côté, sous pression constante des ayants droit, l’Hadopi envisage le filtrage des sites de streaming. Reste à savoir quelle sera la position des autorités européennes sur cette question, le filtrage n’étant possible que dans le cadre juridique défini par la directive «commerce électronique» de 2000.

Aux États-Unis, la répression bête et méchante continue, avec l’assignation de plusieurs FAI dans le but d’obtenir l’identité de plus de 23 000 internautes suspectés d’avoir téléchargé de manière illicite le film «The Expendables».