La Commision vie privée n’aime pas les manières de l’IFPI de traquer les pirates sur l’internet

Publié le 16/12/2001 par Etienne Wery

La Commission de laprotection de la vie privée a rendu le 12 novembre dernier un avis d’initiative concernant la manière dont l’IFPI recherche proactivement les infractions au droit d’auteur commises sur l’internet. En février dernier, nous relations l’info selon laquelle l’IFPI Belgium, le relais national de l’association internationale de défense de l’industrie du disque, aurait…

La Commission de laprotection de la vie privée a rendu le 12 novembre dernier un avis d’initiative concernant la manière dont l’IFPI recherche proactivement les infractions au droit d’auteur commises sur l’internet.

En février dernier, nous relations l’info selon laquelle l’IFPI Belgium, le relais national de l’association internationale de défense de l’industrie du disque, aurait constitué un fichier de quelques milliers d’utilisateurs des fichiers MP3, qu’il aurait transmis à la justice avec une plainte en bonne et due forme. Le Computer Crime Unit de la police fédérale aurait déjà effectué des perquisitions chez quelques dizaines de personnes, et d’autres devraient suivre prochainement

Nous écrivions alors que selon nos informations, la Commission de protection de la vie privée pourrait être saisie, sur plainte ou d’office. La Commission s’est donc saisie d’office, et le rapport qu’elle a rendu est plutôt sévère.

Les faits

Afin d’identifier les internautes qui proposent au téléchargement un nombre élevé de fichiers musicaux concernant des artistes belges, IFPI Belgium procède à des recherches sur le site Internet de Napster ainsi que sur des sites apparentés : après s’être connecté par exemple au site de Napster, son représentant s’enregistre via un pseudonyme, effectue une recherche afin de visualiser la liste des internautes qui proposent des morceaux d’un artiste belge déterminé, et sélectionne le pseudonyme de l’un de ces internautes afin de commencer à télécharger le morceau. Durant ce téléchargement, le représentant de l’IFPI utilise une fonction logicielle spécifique qui lui permet d’identifier l’adresse IP utilisée par l’internaute.

La phase suivante consiste à demander à différents fournisseurs d’accès à Internet d’effectuer eux-mêmes les recherches afin de prendre contact avec la personne qui, à la date et l’heure communiquées, a utilisé l’adresse IP repérée par l’IFPI. L’IFPI demande alors au fournisseur d’accès d’envoyer à la personne concernée une lettre d’avertissement, avec demande de cesser la diffusion des morceaux concernés et de les effacer de son disque dur. Si cette lettre n’est pas suivie d’effet, la politique de l’ IFPI est de dénoncer ce fait au parquet.

A l’heure actuelle les recherches et les notifications « manuelles » sont effectuées par l’IFPI dans le cadre d’un protocole d’accord entre l’ISPA, le ministre des télécommunications et le ministre de la justice. Chaque notification d’atteinte aux droits d’auteur et aux droits voisins est transmise simultanément au fournisseur de service Internet, ainsi qu’à la « Computer Crime Unit » via le point de contact mis en place par le protocole d’accord. Cette notification informe les destinataires de ce que telle adresse IP gérée par le fournisseur d’accès a été utilisée pour mettre à disposition des enregistrements musicaux. Copie en est également transmise à la SABAM, qui n’effectue pas de recherches sur base de ces informations et qui ne conserve pas ces informations.

Si l’IFPI n’utilise pas à l’heure actuelle en Belgique de logiciel permettant d’effectuer des recherches systématiques sur une grande échelle (en « balayant » automatiquement certaines parties de l’Internet à la recherche de fichiers illégaux), elle n’exclut pas pour autant d’utiliser ce type d’outil dans le futur pour lutter de façon plus efficace contre le piratage.

L’avis rendu

La Commission analyse ce comportement en regard de plusieurs normes. Nous ne nous intéresserons ici qu’à deux d’entre elles, et envoyons pour le surplus à l’avis lui-même.

La loi « vie privée »

• L’adresse IP est-elle une donnée à caractère personnel ?

  Oui, dit la Commission. Le traitement de données concernant des adresses IP, que ces adresses soient temporaires ou permanentes, rentre dans le champ d’application de la loi, dans la mesure où il est possible – et aisé – de retrouver l’identité de la personne concernée par l’intermédiaire du fournisseur d’accès. Cette identification est d’ailleurs nécessaire à l’objectif que poursuit l’IFPI, à savoir la poursuite des personnes à qui a été attribuée l’adresse IP en question.

  Qu’il nous soit permis de ne pas partager entièrement cet avis.

  Comme d’autres auteurs, nous estimons qu’une interprétation raisonnable de la directive et des lois de transposition permet d’admettre comme anonymes des données pour lesquelles le responsable du traitement ne dispose pas des moyens techniques suffisants pour opérer l’identification, et offre des garanties spécifiques quant à l’absence de recherche d’identification, bien que la possibilité existe techniquement in abstracto, soit dans son chef, soit dans le chef d’un tiers.

  Dans cette optique, le caractère identifiable d’une donnée doit donc être considéré non seulement de manière intrinsèque — quelle donnée ? — mais également de manière extrinsèque — quel responsable de traitement placé dans une situation concrète ? L’analyse extrinsèque est intimement mêlée à la recherche de la finalité poursuivie par le responsable du traitement, rejoignant ainsi un des principes fondamentaux de la loi et assurant sa pleine application. Dans ce schéma, une donnée peut être à caractère personnel dans le chef d’un responsable de traitement et ne pas l’être dans le chef d’un autre, ou devenir personnelle dans le chef du second, au fur et à mesure qu’il étoffe sa base de données et acquiert d’autres informations.

• Quelle qualification pour les données collectées ?

  Les données collectées sont des données relatives à des suspicions ayant trait à des infractions. Elles constituent à ce titre des données judiciaires, dont le traitement est interdit, sous réserve d’exceptions strictement réglementées par la loi.

  Après une analyse complète de l’ancienne loi et de la nouvelle, la Commission estime que la loi permet à une maison de disques, à l’IFPI ou à la SABAM de traiter des données relatives à une infraction précise qu’elles ont pu constater, dans la mesure où elles se situent dans une phase au moins préparatoire à un litige. Elles ne permettent pas de rechercher systématiquement et de façon proactive des données à caractère personnel sur Internet dans le but de déceler des infractions au droit d’auteur.

La loi « télécoms »

• Les données de télécommunications

  L’article 109TerD de la loi du 21 mars 1991 énonce que :

  « Sous réserve de l’autorisation de toutes les autres personnes directement ou indirectement concernées par l’information, l’identification ou les données visées ci-après, il est interdit à quiconque, qu’il agisse personnellement ou par l’entremise d’un tiers :

  1° de prendre frauduleusement connaissance de l’existence de signes, de signaux, d’écrits, d’images, de sons ou de données de toute nature transmis par voie de télécommunications, en provenance d’autres personnes et destinées à celles-ci [modifié par l’article 13, § 2, 1° de la loi du 30 juin 1994];

  2° de transformer ou de supprimer frauduleusement par n’importe quel procédé technique l’information visée au 1° ou d’identifier les autres personnes;

  3° de prendre connaissance intentionnellement de données en matière de télécommunications, relatives à une autre personne; (…)

  4° de révéler ou de faire usage quelconque de l’information, de l’identification et des données obtenues intentionnellement ou non, et visées aux 1°, 2°, 3°, de les modifier ou de les annuler. »

  Pour la Commission, l’interception et le traitement des données relatives aux adresses IP apparaît en contradiction avec la loi, et notamment avec le point 3 de l’article 109terD.

• La recherche des fraudes

  L’article 105nonies de la loi du 21 mars 1991 déroge quelque peu à ce qui précède :

  
  « §4 : […] les données visées peuvent être traitées par l’opérateur d’un réseau public de télécommunication ou par le fournisseur d’un service de télécommunication offert au public pour détecter les fraudes.
  Les données traitées pour détecter les fraudes sont communiquées aux autorités compétentes pour la recherche ou la poursuite d’infractions pénales au cas où il y a indication qu’un infraction pénale a été ou pourrait être commise. »

  Pour la Commission, ce n’est pas une justification. Elle est d’avis que, si cet article permet la constatation de certains actes présumés illégaux effectués via le service de télécommunication – et leur communication aux autorités (judiciaires) compétentes, il ne va pas jusqu’à donner des pouvoirs d’investigation propres qui pourraient être exercés d’initiative par le fournisseur de service, qui se substituerait ce faisant aux autorités compétentes.

Plus d’infos

En lisant l’avis de la Commission, en ligne sur notre site.