BNP PARIBAS est un fournisseur d’accès au réseau !
Publié le 08/03/2005 par Thibault Verbiest, Pascal Reynaud
La Cour d’appel de Paris vient de considérer que BNP PARIBAS est un fournisseur d’accès. La célèbre banque est donc soumise à une obligation de conservation des données de connexion. Dans cette affaire, la Cour d’appel procède à une lecture extensive de la notion de fournisseur d’accès. Cela pose bien évidemment une série de questions…
La Cour d’appel de Paris vient de considérer que BNP PARIBAS est un fournisseur d’accès. La célèbre banque est donc soumise à une obligation de conservation des données de connexion. Dans cette affaire, la Cour d’appel procède à une lecture extensive de la notion de fournisseur d’accès.
Cela pose bien évidemment une série de questions : cette qualification est-elle justifiée ? La portée de cette obligation qui peut être mise à la charge de n’importe quelle entreprise a-t-elle été bien mesurée par les juges ? Cette décision s’insère dans le débat actuel sur la conservation des données de trafic. C’est un pas de plus dans une logique plus répressive.
Les faits et la solution :
Suite à l’envoi de mails malveillants, la Société World Press Online a perdu deux correspondants. Ces derniers, croyant à la réalité de l’information véhiculée par ces messages, ont choisi de mettre un terme à leurs collaborations avec World Press Online.
Le traçage des messages litigieux a permis d’identifier un ordinateur situé dans les locaux français de la société BNP PARISBAS. Devant la Cour d’appel, en référé, World Press Online a obtenu le droit de se faire communiquer toute information de nature à permettre l’identification de l’expéditeur. Cependant l’obligation d’identifier l’auteur des contenus n’est pas directement à la charge de la banque.
Les articles 43-7 et 43-9 de la loi n°2000-719 du 1er août 2000 servent de fondement à la solution en l’espèce. Rappelons que ces textes ont été abrogés par la loi du 21 juin 2004 « pour la confiance dans l’économie numérique » (LCEN).
Cependant la notion de fournisseur d’accès devrait être la même dans le cadre de la loi nouvelle et de son article 6.
L’apport majeur de l’arrêt : Une approche extensive du fournisseur d’accès
A la lecture de l’article 43-7 de la loi du 1er août 2000, deux approches de la notion de fournisseur d’accès sont possibles. Le fournisseur d’accès est soit celui dont la fourniture d’accès est l’activité principale, c’est-à-dire « le métier », soit celui qui permet matériellement l’accès au réseau, même de façon accessoire à sa fonction principale.
Dans le premier cas, seuls sont visés les prestataires techniques traditionnels qui assurent l’accès au réseau pour les professionnels et le grand public. Dans le second cas, dès qu’une entité quelconque permet l’accès au réseau, elle est soumise aux obligations spécifiques des FAI. C’est cette deuxième option qui a été choisie. Pourquoi ?
Ce choix va dans le sens d’une plus grande répression sur l’internet puisqu’il permet aux juges d’exiger la communication des données de connexion auprès de toute personne permettant un accès au réseau. Peu importe que l’esprit des textes soit forcé au passage, il s’agit avant tout de permettre l’identification d’un auteur de contenu.
Le statut contraignant des prestataires de services étendus à tous
La loi du 1er août 2000 est venue imposer aux prestataires de services une obligation de transparence. L’article 43-9 impose aux prestataires techniques de conserver les données permettant l’identification des auteurs de contenu. Cette obligation, ici étendue à la BNP PARISBAS, peut être mise à la charge d’entreprises n’ayant pas forcément la surface technique ou financière pour répondre à ces exigences.
On rappellera aussi que cette obligation de conservation est sanctionnée pénalement par un an d’emprisonnement et 75 000 € d’amende dans la loi nouvelle (art. 6-VI). Cependant le fournisseur d’accès n’a pas à traiter et à identifier lui-même l’auteur du contenu. Il ne s’agit pas à proprement parler d’une obligation d’identification. C’est la limite de l’obligation.
De plus, le décret d’application qui devrait normalement venir organiser les modalités pratiques de la conservation de ces données n’est pas encore publié (art. 6 II LCEN). Voilà donc une obligation sanctionnée pénalement dont les limites sont bien floues.
La conservation des données de trafic : une question actuelle
La solution de la Cour d’appel doit être replacée dans le cadre du débat actuel relatif aux données de trafic.
En France, l’article L 34-1du Code des postes et des communications électroniques qui réglemente le statut des données de trafic ne connaît toujours pas de décret d’application. Si un délai de conservation d’un an est clairement indiqué, plusieurs interrogations subsistent quant aux modalités pratiques d’un tel stockage (L 34-1-II). Le principe reste quand même l’anonymat et l’effacement des données par le prestataire de services (L 34-1-I).
Si le texte français prend du retard, c’est sans doute dû aux débats européens sur la question, le sujet s’avère en effet très controversé.
Un premier projet de décision cadre avait mit le feu aux poudres en créant une obligation extensive de conservation des données de trafic. Ce texte avait été très critiqué notamment par les experts du groupe de travail « Article 29 » dans un avis du 9 novembre 2004 :
« Le stockage global de routine de l’ensemble des données de trafic, des données sur les utilisateurs et les participants proposé dans le projet de décision ferait de la surveillance autorisée dans ces circonstances exceptionnelles la règle générale. »
Le Sénat vient d’ailleurs de voter, le 1er mars dernier, une résolution qui critique également le projet de décision-cadre.
Pour aller plus loin :
En lisant le L’arrêt de la Cour d’appel de Paris .
En lisant le La proposition de résolution du 1er mars 2005 sur la conservation pour l’utilisation pénale des données de trafic téléphoniques ou électroniques (Petite Loi).