Dans la partie informelle de l'AG 2015 de FDN, il s'est dit des choses extrêmement intéressantes sur l'action juridique de l'asso. J'avais pris des notes mais je ne les ai pas publiées. Je les publie aujourd'hui car je pense qu'il y a des bouts intéressants qui n'ont pas été repris dans des interventions publiques plus récentes comme celle à PSSES 2015. J'ai essayé de ne pas spoiler les avancements des procédures qui n'étaient pas connus lors de cette AG.

3 dossiers en cours

L'équipe juridique commune à LQDN, FDN et FFDN, qui allait devenir les exégètes amateurs bossait sur 3 dossiers à ce moment-là :

• Rétention des données de connexion.

  • Une 15aine d'années de lutte. Slogan du milieu des années 2000 : « Data Retention is not solution ». Combat perdu : plusieurs directives européennes (2002 et 2006) ont quand même organisé cette rétention.
    
    

  • Nouveauté : en avril 2014, la CJUE s'est prononcée et a dit que conserver tout, sur tout le monde, sans faire le tri, en permanence est contraire à la charte des droits fondamentaux de l'UE. La directive a été cassée. Une directive est transposée dans chacun des droits nationaux des États membres. Il faut donc les faire sauter. Cela se fait simplement auprès de la grande cour du droit administratif de chaque État. Sauf qu'en France, le cadre de la rétention des données de connexion est antérieur à la directive. La France étant l'un des pays qui poussait le plus fort pour une rétention massive et longue.
    
    

  • Il faut un prétexte ("la loi est pourrie" c'est un pseudo-argument, par un prétexte) pour aller toquer au Conseil d'État, cour de première instance dans le cadre d'un décret puisque celui-ci à une portée nationale, aucun tribunal administratif local n'est plus compétent qu'un autre. Or, le 24 décembre 2014, le gouvernement a publié le décret d'application de l'article 20 de la loi de programmation miliaire (LPM) qui prévoit qu'un nombre considérable de services administratifs peuvent accéder aux données de connexion (qui ne sont pas vraiment définies, « informations et documents ») sans passer par un juge et sans l'ombre d'un contrôle. On peut donc attaquer le décret et amener le CE à constater que tous les textes qui causent de data retention sont contraire au droit européen et espérer faire tomber tout le tas de merde.

  • Arguments principaux :

    • La loi (la LPM donc) ne précise pas ce qu'elle entend par « tout document et information » que l'administration peut récupérer. C'est précisé dans le décret. Sauf que garantir des bornes en matière d'atteinte aux libertés, ça relève du législatif, pas de l'exécutif. Incompétence négative du législateur (il devait faire quelque chose et ne le fait pas).
      
      
    • Le décret devait organiser le contrôle de l'accès aux données par la CNCIS. Incompétence négative du gouvernement.
      
      
    • Le décret est précis sur les informations et documents récupérables mais tout est flou : le décret envoie sur des articles de loi qui renvoient sur des articles qui se renvoient entre eux. Le tout forme un patchwork qui ne va pas dans le sens du texte genre il y a des obligations désirées qui n'apparaissent pas. Ce flou est totalement contraire au principe de prévisibilité du droit : les lois doivent être claires et compréhensibles.

  • 8-10 pays d'Europe ont déjà fait sauter la merde donc de bonnes chances de gagner. Mais, on ne sortira pas avec 0 conservation de données : on aura juste des points d'exception mieux cadrés au principe général d'interdiction de rétention (article L34-1 du CPCE).

• Les décrets d'application de la loi de renforcement des mesures antiterrorisme de 2014 (dite loi Cazeneuve) sont sortis début 2015, à la suite de l'attentat de Charlie Hebdo. Cette loi instaure notamment le blocage administratif secret (le motif n'est connu de personne, pas même de l'éditeur) de sites web terroristes et faisant l'apologie du terro, par les FAI, sur décision de la police (sans juge, donc). Cette loi instaure aussi le déréférencement des mêmes sites web, dans la même absence de cadre.

  • Arguments principaux :

    • Le décret oblige les opérateurs à la délation puisque l'internaute est renvoyé vers une page l'informant du blocage. Cette page se situe sur les serveurs du Ministère de l'Intérieur. Ces serveurs récupèrent l'adresse IP et tout un tas d'information concernant le requérant. Cette mesure n'était pas prévue par la loi. Or, vu qu'il y a atteinte à des libertés, ça devrait être câblé par la loi.
      
      
    • Le décret n'est pas clair genre "une adresse électronique contient un domaine précédé d'un nom d'hôte". C'est important parce que du coup, pourrait être filtré tout ce qui comporte un nom de domaine. Une URL précise comporte un domaine. Une adresse mail aussi. Or, pour bloquer une URL, il faut du DPI donc ce n'est pas la même atteinte aux libertés.
      
      
    • Les mesures de blocage (avec juge ou pas) ne sont pas proportionnées : de meilleurs moyens existent pour atteindre les objectifs fixés par la loi. Genre ça serait mieux d'attaquer les producteurs du pédoporn', pas les intermédiaires techniques. La CEDH s'est déjà exprimée contre un arrêté ministériel français de 1939 qui visait à encadrer les publications provenant de l'étranger. Les décisions étaient publiques. Toujours bon de rappeler ce bout de jurisprudence.
      
      
    • Aucun contrôle effectif (secret). Le pouvoir de la police n'est pas encadré. Coucou les abus.

  • Peu de chances de gagner : l'ambiance est à la parano généralisée + le Conseil Constitutionnel a déjà validé que le filtrage du pédoporn' est OK. Mais là, on va au Conseil d'État pour poser des questions de formes et de cadrage du texte donc ce n'est pas pareil.

• Il faudra botter le cul de la loi sur le renseignement.

D'autres gens ne pourraient pas faire le job ?

• La CNIL a été consultée sur ces projets de loi, elle a dit non mais elle a un avis purement consultatif. Et elle n'attaque jamais le gouvernement.
  
  
• Le défenseur des droits (qui est une autre autorité indépendante) ? Il intervient uniquement sur des cas concrets d'envergure comme le blocage manifeste d'un site web important (comme celui du PS). Pas sûr qu'il ait envie d'intervenir sur les dossiers numériques, il n'a jamais fait un pas dans ce sens. Pas sûr qu'il puisse intervenir sur une procédure auprès du Conseil d'État car on n'y conteste pas une atteinte franche au droit des requérants, on conteste une possible atteinte aux droits de tout le monde.
  
  
• Les FAI commerciaux d'envergure nationale sont capables d'attaquer des décrets quand ça cause pognon genre Free qui attaque la loi HADOPI pour être sûr qu'une compensation financière soit prévue au fait d'identifier des abonné-e-s. Mais là, osef de l'intérêt général et puis, il ne faut pas trop se fâcher trop fort avec le gouvernement car ces temps-ci, il distribue de la thune pour le déploiement de la fibre optique.

Chonologie de la rétention des données de connexion et du renseignement

• 1991 : loi sur les interceptions de sécurité faites par l'administration suite au scandale des écoutes illicites de l'Élysée (Mitterrand surveillait les journalistes pour pas qu'on cause de sa fille).
  
  
• 1996 : tentative d'amendement au paquet télécom du député Fillon pour imposer de demander au CSA une "autorisation d'émettre" avant ouvrir un site web. La même année, c'est l'affaire Estelle Hallyday contre Altern : un des 35000+ sites web hébergés par Altern re-publie des photos parues dans la presse. Qui est responsable ? L'hébergeur (Altern) ou l'éditeur du site web ? La justice tranche pour "hébergeur responsable des contenus". On notera que la magistrate en appel était alors Marie-Françoise Marais (oui, l'ex-présidente de l'HADOPI). S'en suivent des jurisprudences identiques où les juges utilisent les textes prévus pour la TV faute de textes plus adaptés.
  
  
• 2004 : on arrive à la LCEN, à la séparation des responsabilités entre hébergeur et éditeur et au principe de subsidiarité : un hébergeur n'est pas condamnable pour les propos tenus par un éditeur mais on peut lui demander de fermer un site web dans le cadre d'une procédure judiciaire et escalader s'il refuse.
  
  
• 2005-2006 : la loi de lutte contre le terrorisme ajoute de nouvelles possibilités, pour l'administration, de demander des données de connexion ainsi que de nouvelles possibilités de géolocalisation. Le Conseil Constitutionnel avait été saisi par le Parlement et avait répondu que 1) il faut un contrôle judiciaire (ce que le projet de loi ne comportait pas) ; 2) les données de connexion accessibles aux administrations = OK, même pour de la police administrative.
  
  
• Mars 2006 : directive européenne sur la conservation forcée des données de connexion. Moment très drôle en Allemagne : l'équivalent du Conseil Constitutionnel a dit "non". Du coup, choix compliqué : changer la Constitution allemande pour pouvoir transposer la directive ou illégalité vis-à-vis de l'UE ? L'Allemagne a choisi de jouer la montre donc illégalité vis-à-vis de l'UE.
  
  
• 2011 : décrets d'application de la LCEN qui tentent de préciser les données à collecter. Il y avait eu le bazar autour de la volonté du gouvernement que les intermédiaires techniques communiquent le mot de passe en clair.
  
  
• Avril 2014 : la directive européenne de 2006 (200624CE) est annulée par la CJUE.

Chronologie du blocage administratif de sites web

• 2001 : directive européenne EUCD. On la connait pour les DRM transposée en droit français par la DADVSI mais elle autorise aussi les ayants droit à demander en justice à un FAI de bloquer un site web qui contrevient à ses droits.
  
  
• 2009 : la partie blocage de sites web de l'EUCD est transposée en droit français par la HADOPI 1. Oui, il y a bien des articles de filtrage de sites web avec un juge dans HADOPI.
  
  
• 2010 : loi sur les jeux d'argent en ligne. Instaure l'ARJEL et le blocage judiciaire de sites web qui ne payent pas leur patente à l'État.
  
  
• 2011 : LOPPSI2 : blocage de sites web pédopornographiques sans juge sur décision secrète du Ministère de l'Intérieur. Le Conseil Constitutionnel valide car pedoporn trop grave pour s'occuper des droits et libertés.
  
  
• 2014 : loi Cazeneuve. Nouvelle finalité pour le blocage sans juge sur décision secrète du Ministère de l'Intérieur : lutte contre le terrorisme et l'apologie du terrorisme.

Points de droit intéressants :

• Un décret, comme beaucoup de décisions de l'administration, s'attaque dans les 2 mois. Ça peut être un simple courrier "on attaque". On a alors 3 mois pour envoyer un mémoire ampliatif qui contient l'ensemble de l'argumentaire.
  
  
• Note : une décision de l'administration peut être une réponse négative, c'est-à-dire une absence de réponse. ;)
  
  
• On attaque un décret plutôt que les actes administratifs de blocage car c'est plus efficace : l'annulation d'un décret permet d'évincer (= de transformer en code mort) des pans entiers de loi associée, le temps que de nouveaux décrets soient pris en bonne et due forme (qui ne peuvent donc pas reprendre les conneries qui ont causé leur perte devant le CE). Contester les actes administratifs, ça suppose d'en avoir connaissance puis d'interroger le ministère de l'Intérieur puis le tribunal administratif pour contester puis de faire appel puis d'aller en "cassation"-like devant le Conseil d'État. Sauf qu'en France, on ne peut pas aller en cassation (droit administratif ou judiciaire, pas d'importance) sans avocat.
  
  
• Au Conseil d'État, tout se passe par écrit : le réquérant attaque, le ministère concerné répond, etc. Le dossier se conclut par une audience de 25 minutes environ dans laquelle le rapporteur lit son rapport. Il est rare que les avocats prennent la parole. Durée : plus d'un an pour une procédure simple (sans question sur la constitutionnalité du texte, sans question à la CJUE). Dans le cadre de la rétention des données de connexion, on part sur 2-5 ans de procédure.
  
  
• Conseil d'État < CJUE < CEDH.
  
  
• Les gouvernements français tentent en permanence de ne pas tenir compte des décisions rendues par les grandes Cour de l'UE quand elles sont prises à l'encontre d'autres pays même quand un texte similaire existe en France, en mode "ce pays est un pays de sauvage, la décision ne nous concerne pas, on est des gens bien, nous". Il faut souvent re-attaquer la France pour qu'elle se bouge. Exemple : garde à vue sans avocat.
  
  
• Pour bloquer un site web de manière judiciaire, il faut une décision de justice. Quelqu'un doit attaquer les FAI devant un tribunal et le juge doit condamner les FAI à bloquer le site web en question. On attaque donc quelqu'un qui est coupable de rien pour qu'il soit condamné à faire quelque chose qui n'est pas une peine et qui ne cherche pas à le punir. Personne n'attaque les 1800 opérateurs. De même, la police peut choisir à quels opérateurs elle transmet la liste des sites web à bloquer dans le cadre des lois LOPPSI2 et Cazeneuve, le décret n'impose pas de la transférer à tous les opérateurs. Ce n'est pas une rupture d'égalité devant la loi. Déjà, la décision de justice n'est pas une condamnation de l'opérateur. Ensuite, si un petit opérateur genre FDN recevait la liste, il serait obligé de filtrer mais comme il n'a pas été notifié des blocages à mettre en place, il n'est obligé à rien. Illustration absurde : si la loi disait "tous les citoyens doivent répondre "oui, chef !" quand un gendarme leur parle", tant qu'un gendarme ne te parle pas, tu n'es pas obligé de dire "oui, chef !". Un blocage "préventif" à l'initiative du FAI serait une violation du CPCE.
  
  
• Est-ce que la pratique de DNS menteur est interdite ? Ce n'est pas clair. Y'a un bout de texte dans la partie réglementaire du CPCE qui a l'air de dire que oui. Des gens de l'ARCEP pensent que oui. Mais ce n'est pas clair, il n'y a jamais eu de décision sur le sujet, cet article n'a jamais été utilisé pour attaquer un FAI, donc on n'est pas sûr de l'interprétation qu'en aurait un juge.
  
  
• Données de connexion à conserver :
  • FAI : il s'agit d'associer une IP à ce que tu as comme informations. 56k "toto/toto" = tu donnes le numéro de téléphone appelant ; VPN open-bar : rien ou IP source ; Wi-Fi ouvert = adresse MAC (comme à l'aéroport de Toulouse-Blagnac) ; Si c'est un-e abonné-e et qu'on a des infos sur lui-elle (identité, adresse postale, adresse mail, autre), on doit les donner. Il est strictement interdit (CPCE) de noter qui a été visité tel site. Il est interdit de conserver tout ce qui touche au contenu ou à la navigation.
    
    
  • Éditeurs de contenus : trace de chaque étape dans le cycle de vie d'un élément de contenu. Exemple : sur un commentaire de blog, il faut savoir donner l'IP du posteur s'il est externe à l'association ou bien le nom de l'utilisateur du blog si la modification a été faite en interne.
    
    
  • Dans tous les cas :
    • Si service payant, il faut garder les informations relative au paiement.
      
      
    • S'il y a la création d'un compte, il faut communiquer « Les données permettant de vérifier le mot de passe ou de le modifier, dans leur dernière version mise à jour ». Ce n'est plus le mot de passe en clair comme dans la première version du décret de 2011 mais les hashs et la réponse aux questions secrètes. Voir https://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000023646013&dateTexte=20160927 et http://www.nextinpact.com/archive/69954-mot-passe-conservation-donnees-cnum.htm