Le régime juridique des données de connexion : vers un fichage généralisé ?

Publié le 13/05/2007 par Pascal Reynaud

Depuis quelques jours circule une version de travail du Décret relatif aux données de connexion sur internet. Ce projet donne l’occasion de faire le point sur cette question. Deux séries de dispositions encadrent le régime des données de connexion en droit français, à savoir les articles 34-1 et suivants du Code des Postes et des…

Depuis quelques jours circule une version de travail du Décret relatif aux données de connexion sur internet. Ce projet donne l’occasion de faire le point sur cette question.

Deux séries de dispositions encadrent le régime des données de connexion en droit français, à savoir les articles 34-1 et suivants du Code des Postes et des Communications Electronique (ci-après CPCE) et la Loi du 21 juin 2004 pour la confiance dans l’économie numérique (ci-après LCEN). C’est ce deuxième texte qui fait l’objet du projet de décret d’application.

I. La réglementation issue de l’article 6 de la LCEN et son potentiel décret d’application

L’article 6 II de la LCEN prévoit d’ores et déjà que les fournisseurs d’hébergement et les fournisseurs d’accès détiennent et conservent les données de connexion. Il s’agit des informations qui permettent l’identification des créateurs de contenus. Ces données sont communiquées aux autorités judiciaires en cas de besoin. L’exemple type est un procès civil ou pénal relatif à internet pour lequel les magistrats souhaitent disposer d’informations identifiant un contenu et son auteur.

Restait à savoir quelles étaient exactement les données concernées ? La première version du projet de Décret est « maximaliste » ! Tous les renseignements techniques et administratifs relatifs aux communications devraient être conservés, tant chez les fournisseurs d’accès que chez les hébergeurs :

1. Pour les fournisseurs d’accès :

1. – l’identifiant de la connexion,
2. – l’identifiant attribué par le système d’information à l’abonné,
3. – les dates et heure de début et de fin de la connexion,
4. – les caractéristiques de la ligne de l’abonné ;

2. Pour les hébergeurs :

1. – l’identifiant de la connexion à l’origine de la communication,
2. – l’identifiant attribué par le système d’information au contenu, objet de l’opération,
3. – l’identifiant attribué par le système d’information à la connexion,
4. – le type de protocole ou de réseau utilisé,
5. – la nature de l’opération,
6. – les date et heure de l’opération,
7. – les pseudonymes utilisés

3. Pour les hébergeurs et pour les fournisseurs d’accès dans la mesure où ces informations sont habituellement collectées :

Les données administratives

1. – nom et prénom ou raison sociale,
2. – adresses postales associées,
3. – pseudonymes utilisés,
4. – adresses de courrier électronique associées,
5. – numéros de téléphone,
6. – mot de passe et informations associées ;

Les informations relatives au paiement :

1. – type de paiement utilisé,
2. – montant,
3. – numéro de référence du moyen de paiement,
4. – date et heure de la transaction.

Evidement, les critiques fusent ! Du côté des professionnels on insiste sur la lourdeur, le coût, et le caractère non-concurrentiel du dispositif face aux fournisseurs de services étrangers. Du côté des associations protectrices des libertés, on s’étonne du caractère non-proportionnel de telles mesures. Est-il légitime de « ficher » systématiquement toutes les communications électroniques de la population française ?

Récemment, un article 6 bis a été ajouté à la LCEN. Dans le cadre d’enquêtes administratives liées au terrorisme, la gendarmerie et à la police peuvent se faire communiquer le même type de données. Le chapitre 2 du projet de décret prévoit le régime de cette communication. Ces données seront conservées par les ministères de l’intérieur et de la défense pendant une durée maximale de 3 ans.

Le projet de nouveau texte fait disparaitre le principe même de l’anonymat et de l’effacement des données générées par les communications électroniques. Que subsiste-t-il de ce principe que l’on trouve notamment à l’article 6 de la Directive n°2002/58/CE dite « vie privée et communication électronique ? Si le principe d’effacement admet de nombreuses exceptions, c’est toujours dans le respect d’un principe de proportionnalité.

Le même type de réglementation est applicable aux fournisseurs d’accès sur le fondement du Code des Postes et des Communications Electroniques

II. La règlementation issue du Code des Postes et des communications électroniques

Les articles L.34-1 et suivants du CPCE fixent les principes concernant le régime des données de connexion pour les opérateurs de communication et plus spécialement les fournisseurs d’accès. On trouvera le détail de cette réglementation aux articles R10-13 et suivants du même Code.

Ces articles avaient déjà suscité de nombreuses questions de la part des fournisseurs d’accès à internet. Que recouvre en pratique l’obligation de conserver « les informations permettant d’identifier l’internaute » au sens de l’article R10-13 CPCE ? S’agit-il de mettre en place une véritable procédure d’identification pour tous les fournisseurs vis-à-vis de leurs clients ? Et pour quelles données exactement ? Le projet de texte apporte une réponse à ces questions ! Mais ce n’est certainement pas dans le sens souhaité par les professionnels.

Le projet de décret est accessible à l’adresse suivante : http://www.iris.sgdg.org/actions/len/ProjetDecretLCEN0107.pdf .