Vous avez sans doute entendu parler du Web 2.0 !? Il vient même de se dérouler le Web 2.0 Expo 2007 aux USA. Et bien sachez que cette petite merveille qui n'est en fait qu'une utilisation plus poussée et conjointe de certaines technologies déjà existantes : à savoir JavaScript, CSS et un langage serveur, et bien donc, cette petite merveille pourrait nous amener son lot de bonnes choses ainsi que pal mal de désagréments, tout du moins en France...
Pourquoi ? Parce que le Web 2.0 est en fait une revisite de la façon de concevoir un site internet pour qu'il ait une vocation "plus collaborative", entendez par-là, pour faire de chaque internaute un acteur potentiel du site et non plus un simple "visiteur". Sur le principe, que du bon. Le seul truc c'est qu'il semble bien que cela effraye quelque peu les commissions de contrôle et de censure en tout genre puisqu'une proposition de décrêt vient de tomber sur les téléscripteurs, et qu'au vu du contenu de celle-ci, bien courageux sera n'importe quel webmaster qui osera alors laisser s'exprimer ses lecteurs !
Il est même assez hallucinant que l'on n'entende pas davantage parler de ce décrêt ! Techniquement, cela confine purement et simplement à une interdiction de fait aux sites de petites tailles, ou aux moyens financiers limités à laisser s'exprimer leurs visiteurs. Plutôt que de vous faire un long discours, qui se transformerait inévitablement en diatribe assassine vu ce que l'on nous réserve, je livre à votre sagacité le fameux texte qui attend d'être définitivement voté par le Conseil d'Etat, qui lui même est en attente de l'avis consultatif de diverses commissions, et notamment l'Arcep et la Cnil.
Le Premier ministre,
Sur le rapport du ministre d’Etat, ministre de l’intérieur et de l’aménagement du territoire, de la ministre de la défense, du ministre de l’économie, des finances et de l’industrie, et du garde des sceaux, ministre de la justice,
Vu le code pénal ;
Vu le code de procédure pénale ;
Vu le code des postes et des communications électroniques ;
Vu la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique, et notamment ses articles 6, 57 et 58 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu l’avis de la Commission nationale de l’informatique et des libertés du …….. ;
Vu l’avis de la Commission supérieure du service public des postes et télécommunications du ……. ;
Vu l’avis de la Commission consultative des réseaux et services de communications électroniques du ………… ;
Vu l’avis de l’Autorité de régulation des communications électroniques et des postes du ……. ;
Vu l’avis de la Commission nationale de contrôle des interceptions de sécurité du ……….. ;
Le Conseil d’Etat (section de l’intérieur) entendu,
DÉCRÈTE :
Chapitre 1er : Dispositions relatives a la conservation des données et portant application du II de l’article 6 de la loi du 21 juin 2004
- Article 1er
Pour l’application des dispositions du II de l’article 6 de la loi du 21 juin 2004 pour la confiance en l’économie numérique, les personnes mentionnées aux 1 et 2 du I de cet article sont tenues de détenir et de conserver l’ensemble des données suivantes, de nature à permettre l’identification de quiconque a contribué à la création du contenu ou de l’un des contenus des services dont elles sont les prestataires techniques :
1°) pour les personnes mentionnées au 1 du I de l’article susvisé et pour chaque connexion de leurs abonnés, les données permettant d’identifier l’origine de la création des contenus :
- l’identifiant de la connexion,
- l’identifiant attribué par le système d’information à l’abonné,
- les date et heure de début et de fin de la connexion,
- les caractéristiques de la ligne de l’abonné ;
2°) pour les personnes mentionnées au 2 du I de l’article susvisé et pour chaque opération de création, les données permettant d’identifier l’origine de la création des contenus :
- l’identifiant de la connexion à l’origine de la communication,
- l’identifiant attribué par le système d’information au contenu, objet de l’opération,
- l’identifiant attribué par le système d’information à la connexion,
- le type de protocole ou de réseau utilisé,
- la nature de l’opération,
- les date et heure de l’opération,
- les pseudonymes utilisés ;
3°) pour les personnes mentionnées aux 1 et 2 du I de l’article susvisé, les informations fournies lors de la souscription d’un contrat par un utilisateur ou lors de la création d’un compte :
- nom et prénom ou raison sociale,
- adresses postales associées,
- pseudonymes utilisés,
- adresses de courrier électronique associées,
- numéros de téléphone,
- mot de passe et informations associées ;
4°) pour les personnes mentionnées aux 1 et 2 du I de l’article susvisé, lorsque la souscription du contrat ou du compte est payante, les informations relatives au paiement :
- type de paiement utilisé,
- montant,
- numéro de référence du moyen de paiement,
- date et heure de la transaction.
Les données mentionnées aux 3°) et 4°) ne doivent être conservées que dans la mesure où les personnes mentionnées aux 1 et 2 du I de l’article susvisé les collectent habituellement.
La contribution à une création de contenu comprend les opérations portant sur :
- des créations initiales de contenus,
- des modifications des contenus eux-mêmes,
- des modifications de données liées aux contenus,
- des suppressions de contenus.
- Article 2
La durée de conservation des données mentionnées à l’article 1er est d’un an à compter du jour de la création des contenus, pour chaque opération contribuant à la création d’un contenu telle que définie à cet article.
- Article 3
La conservation s’effectue dans le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment en ce qui concerne la sécurité des informations.
Les données doivent être conservées sur des supports et dans des formats d’enregistrement conformes aux normes techniques en vigueur. Cette conservation doit s’effectuer dans des conditions garantissant leur confidentialité et leur intégrité, et afin de permettre une extraction dans un bref délai pour répondre à une demande des autorités judiciaires.
- Article 4
Le code de procédure pénale (deuxième partie : Décrets en Conseil d’Etat) est ainsi modifié :
1°) Après le 23°de l’article R.92, il est ajouté un 24° ainsi rédigé :
« 24° les frais correspondant à la fourniture des données conservées en application de l’article 6 II de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique. »
2°) Il est créé à la section 11 du chapitre II du titre X du livre V, un nouvel article R.213-2 ainsi rédigé :
« Art. R.213-2. – Les tarifs relatifs aux frais mentionnés au 24° de l’article R. 92 correspondant à la fourniture des données conservées en application de l’article 6 II de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique, sont fixés par un arrêté du ministre de l’économie, des finances et de l’industrie et du garde des sceaux, ministre de la justice. Cet arrêté distingue les tarifs applicables selon les données requises, en tenant compte, le cas échéant, des surcoûts identifiables et spécifiques justifiés, supportés par les personnes visées aux 1 et 2 du I de l’article 6 de la loi du 21 juin 2004 pour la confiance dans l’économie numérique requises par les autorités judiciaires pour la fourniture de ces données. »
Chapitre 2 : Dispositions relatives aux demandes administratives et portant application du II bis de l’article 6 de la loi du 21 juin 2004
- Article 5
Les agents mentionnés au premier alinéa du II bis de l’article 6 de la loi du 21 juin 2004 sont désignés par les chefs des services de police et de gendarmerie nationales chargés des missions de prévention des actes de terrorisme, dont la liste est fixée par l'arrêté prévu à l’article 33 de la loi n° 2006-64 du 23 janvier 2006. Ils sont habilités par le directeur général ou central dont ils relèvent.
- Article 6
Pour l’application du IIbis de l’article 6 de la loi n° 2004-575 du 21 juin 2004 susvisée, les demandes de communication de données d’identification, conservées et traitées en application du même article, comportent les informations suivantes :
- - le nom, le prénom et la qualité du demandeur, ainsi que son service d’affectation et l’adresse de celui-ci ;
- - la nature des données dont la communication est demandée et, le cas échéant, la période concernée ;
- - la motivation de la demande.
- Article 7
Les demandes mentionnées à l’article 6 du présent décret sont transmises à la personnalité qualifiée mentionnée à l’article L. 34-1-1 du code des postes et des communications électroniques par un agent désigné dans les conditions prévues à l’article 5 du présent décret.
Ces demandes et les décisions de la personnalité qualifiée sont enregistrées et conservées pendant une durée maximale d’un an dans un traitement automatisé mis en œuvre par le ministère de l’intérieur et de l’aménagement du territoire.
- Article 8
Les demandes approuvées par la personnalité qualifiée sont adressées, sans leur motivation, par un agent désigné dans les conditions prévues à l’article 5 aux personnes mentionnées aux 1 et 2 du I de l’article 6 de la loi du 21 juin 2004, qui transmettent sans délai les données demandées à l’auteur de la demande.
Les transmissions prévues à l’alinéa précédent sont effectuées selon des modalités assurant leur sécurité, leur intégrité et leur suivi, définies par une convention conclue avec le prestataire concerné ou, à défaut, par un arrêté conjoint du ministre de l’intérieur et de l’aménagement du territoire et du ministre chargé des communications électroniques.
Les données fournies par les personnes mentionnées aux 1 et 2 du I de l’article 6 de la loi du 21 juin 2004 sont enregistrées et conservées pendant une durée maximale de trois ans dans des traitements automatisés mis en œuvre par le ministère de l’intérieur et de l’aménagement du territoire et le ministère de la défense.
- Article 9
Une copie de chaque demande est transmise, dans un délai maximal de sept jours à compter de l’approbation de la personnalité qualifiée, à la Commission nationale de contrôle des interceptions de sécurité. Un arrêté du ministre de l’intérieur et de l’aménagement du territoire, pris après avis de celle-ci, définit les modalités de cette transmission.
La commission précitée peut, en outre, à tout moment, avoir accès aux données enregistrées dans les traitements automatisés mentionnés aux articles 7 et 8 du présent décret. Elle peut également demander des éclaircissements sur la motivation des demandes approuvées par la personnalité qualifiée.
- Article 10
Les surcoûts identifiables et spécifiques supportés par les personnes mentionnées aux 1 et 2 du I de l'article 6 de la loi du 21 juin 2004 susvisée pour la fourniture des données prévue par l'article IIbis du même article font l'objet d'un remboursement par l'Etat par référence aux tarifs et selon des modalités fixées par un arrêté conjoint du ministre de l'intérieur et de l’aménagement du territoire et des ministres chargés du budget et des communications électroniques.
Chapitre 3 : Dispositions relatives a l’outre-mer
- Article 11
Indépendamment de leur application de plein droit à Mayotte, les dispositions du présent décret sont applicables en Nouvelle-Calédonie, en Polynésie française et dans les îles Wallis-et-Futuna. Les dispositions prévues aux articles 5 à 9 sont, en outre, applicables dans les terres australes et antarctiques françaises.
- Article 12
Le ministre d’Etat, ministre de l’intérieur et de l’aménagement du territoire, la ministre de la défense, le ministre de l’économie, des finances et de l’industrie, le garde des sceaux, ministre de la justice, le ministre de l’outre-mer et le ministre délégué à l’industrie sont chargés, chacun pour ce qui le concerne, de l’exécution du présent décret, qui sera publié au Journal officiel de la République française
Voilà, c'est fini ! Si vous avez tout lu, avouez que vous n'aimeriez pas forcément vous retrouver dans la peau d'un webmaster ou d'un hébergeur poursuivi au titre de cette loi parce qu'un tiers a utilisé vos service pour dire tout le bien qu'il pense d'un marque de dentifrice dont le goût ne lui est pas revenu... Tout ceci vous cernera bien évidemment si vous avez ouvert votre blog et laissez n'importe qui y dire n'importe quoi.... Ah bon, c'est le principe même du blog ?
Les peines encourues pour les responsables de sites qui ne pourraient pas fournir les informations demandées sur réquisitions judiciaires sont particulièrement lourdes, et tout spécialement financièrement ! Ce style de loi, sous de prétextes de sécurité, fait de chaque individu qui s'exprime un terroriste potentiel. Tout doit être surveillé et stocké et doit pouvoir être produit à l'encontre de l'auteur et des "commenditaires techniques".
Pour pouvoir accéder à ces exigences, il faudra mettre en place un système de tracking particulièrement lourd et coûteux. Lourd parce que la durée de conservation des données est incroyablement élevée, et coûteux parce qu'aucun site n'est programmé de la même façon et que certaines données requises en stockage outrepassent les possibilités offertes par les serveurs eux-mêmes.
Entendez par là que les serveurs, d'origine, produisent ce que l'on appelle des logs, qui recèlent déjà pas mal d'informations. Ces informations sont conçues à la base à de fins de suivi technique essentiellement. Là, ce que veux le texte, c'est des infos confidentielles qui sont gérées directement par des scripts et des bases de données. Si ces textes sont ratifiés, non seulement ils constitueront une entrave particulièrement lourde au développement de l'internet collaboratif en France, mais ils seront également à la source de frais énormes pour les entreprises... un "petit plus" concurrentiel dont n'ont pas forcément besoin les entreprises françaises.
Cela signifie que nombre d'entre elles (les entreprises) n'appliqueront pas les textes et passeront outre en partant du principe qu'elles n'auront pas de problème... un peu comme si vous décidiez de rouler sans permis ou sans assurance. Beaucoup de sites d'infos, qui utilisent abondamment des outils collaboratifs pour noter et commenter les infos préfèreront fermer plutôt que de prendre se risque... ou alors s'extraderont dans un pays moins rigoriste et où les instances juridiques ne s'arrongent pas un droit de pouvoir quasi divin sur tout ce qui est dit sur internet.
Le seul point positif du projet et qui si des données ne sont pas "collectées en temps normal", elles n'auront pas lieu de l'être pour devoir répondre aux exigences de la loi ! Donc surtout ne plus recourir à des routines qui stockent les IP, les mots de passe, les pseudos, les informations nominatives, etc, etc... en temps normal :) Les plus ennuyés sont sans doute être les hébergeurs, qui devront réaliser des sauvegardes de toutes les données, avant, pendant et après toute modification !!! Légalement (si j'ose dire) tout cela est déjà sujet à caution du simple fait que lorsque vous louez un hébergement voire un serveur, l'hébergeur ne vous a à priori jamais rien fait signer l'autorisant à dupliquer vos données (et oui une sauvegarde c'est avant tout une duplication...) et à en stocker les copies où il le souhaitera...
Juste pour vous donner un peu le vertige, un site comme celui que vous êtes en train de consulter, génère chaque jour qui passe plusieurs gigaoctets de fichiers logs et il ne s'agit pas d'un site dit "collaboratif" où les changements sont sans commune mesure beaucoup plus nombreux. Multipliez cela par des milliers, voire des centaines de milliers de sites, et vous découvrirez que le métier de vendeur de solutions de stockage à de l'avenir en France. Pour les hébergeurs cette obligation aura un coût astronomique, qui se chiffera en millions d'euros !
Et si on ne se conforme pas au jeu et que l'on efface ses logs ? Et bien là mon bon Monsieur, ça peut aller jusqu'à 375.000 euros d'amende pour l'entreprise, et puis un an de prison et 75.000 euros d'amende pour les dirigeants pour vous aider à comprendre.
Et puis comme ils sont intelligents et connaissent bien leur sujet, les gens qui préparent ce genre de décret savent tous pertinemment qu'un véritable pirate, ou du moins un individu malfaisant et suffisamment rôdé à commettre des crimes sur le Net utilise son vrai nom, son vrai prénom, une IP directe bien identifiable, donne une adresse email en France, inscrit son adresse postale au dessous de tous ses posts, et laisse même son numéro de mobile pour que les policiers puissent l'appeler s'il n'est pas à son domicile quand ils arrivent.
