La publication du rapport intégral de Franck Riester, rapporteur auprès de la Commission des Lois sur le projet donne de nouveaux indices sur le filtrage qui serpente entre les lignes du projet Création et Internet. Analyse.On se souvient que ce sujet intéresse depuis longtemps l’industrie du disque. Celle-ci l’avait évoqué dans un livre blanc sur le droit d’auteur, ou même lorsqu’elle observait avec gourmandise les efforts demandés à propos du filtrage des sites pédopornographiques : « Le débat nous intéresse de très près, car les engagements qui seraient pris concernant les contenus pédophiles peuvent effectivement passer par du filtrage » nous expliquait-on (voir ici aussi).
Le filtrage dans le projet, caché au Sénat...
Revenons un peu en arrière. Dans la version initiale du projet HADOPI, le Sénat avait supprimé le mot « filtrage » d’un des articles subrepticement placé dans le projet Hadopi qui était destiné à mettre la pression sur les FAI dans l’expérimentation de ces mesures.
Texte original avant le Sénat :
En présence d'une atteinte à un droit d'auteur (…), le tribunal de grande instance, statuant le cas échéant en la forme des référés, peut ordonner à la demande des titulaires de droits (…), toute mesure de suspension ou de filtrage des contenus portant atteinte à un droit d'auteur ou un droit voisin, ainsi que toute mesure de restriction de l'accès à ces contenus, à l'encontre de toute personne en situation de contribuer à y remédier ou de contribuer à éviter son renouvellement.
Évidemment, les FAI (dont Free, alors le plus bavard) furent furieux de ce coup de couteau dans le dos, non prévu par les Accords de l’Élysée. Et finalement le Sénat abandonnait cette mention :
En présence d’une atteinte à un droit d’auteur (…), le tribunal de grande instance, statuant le cas échéant en la forme des référés, peut ordonner à la demande des titulaires de droits (…) , toutes mesures propres à prévenir ou à faire cesser une telle atteinte à un droit d’auteur ou un droit voisin, à l’encontre de toute personne susceptible de contribuer à y remédier.
....Mais toujours présent dans l'esprit des parlementaires
Mais comme nous le disions, la suppression du mot filtrage dans le texte Hadopi ne signifie pas la fin de cet objectif brûlant.
Franck Riester le dit très bien dans son long rapport :
« Les sénateurs ont supprimé, à l’article 5 du projet de loi, la possibilité pour le président du tribunal de grande instance d’ordonner aux opérateurs un filtrage des contenus dans le but de mettre un terme à toute atteinte à un droit de propriété intellectuelle occasionnée par le contenu d’un service en ligne. Cette initiative est apparue d’autant plus appropriée, que le contenu du nouvel article L. 336-2 du code de la propriété intellectuelle offrira suffisamment de latitude à l’autorité judiciaire pour parvenir au résultat souhaité ».
Le texte n’empêche pas un juge de dire que le filtrage est l’une de ces « mesures propres à prévenir ou à faire cesser une telle atteinte à un droit d’auteur ». Le juge appréciera cela « en fonction des circonstances et de l'état des techniques, la solution la plus efficace pour prévenir une telle atteinte ou y remédier » expliquait d’ailleurs le très impliqué sénateur Thiollière lors des débats parlementaires à ceux qui n’avaient pas su lire entre les lignes.
Il est vrai qu'un long extrait du rapport Olivennes cité par Riester, montre juste que le filtrage, c’est plus facile à dire qu’à faire. Mais ceci n'est évidemment pas bloquant pour les partisans de ces mesures, plein de bonnes idées.
... Et de la ministre : la liste blanche sur les hotspots Wifi
A ce mouvement de fond qui se met en branle, il faut évidemment raccrocher la lumineuse idée reprise par Christine Albanel devant la Commission des lois, inspirée d’un rapport de la Commission Générale des Technologies de l’Information.
La ministre souhaite limiter l’accès des bornes WiFi publiques (collectivités publiques, jardin, hot spots de Mac Do, d’aire d’autoroute, universités, etc.) à une seule liste blanche de sites. Un web à la chinoise. Pourquoi ? Il est hors de question de traiter ces entités comme des citoyens : pour Christine Albanel, « on ne va pas suspendre l’accès internet d’une commune, d’une université, d’une entreprise, mais il y a d’autres possibilités c'est-à-dire que la haute autorité pourra enjoindre à la collectivité en question de prendre des mesures préventives pour éviter l’utilisation des bornes wifi sans aucun frein ».
Si on le lit bien le texte actuel, le projet de loi est fin prêt à lui permettre d’accomplir ce système de listes blanches en passant par l'intervention d'un juge. Ses instigateurs ont juste pris soin de cacher ce sexe impudique qu’est le mot « filtrage ». Mais il est toujours là, juste moins grossier, plus discret. En somme, une forme de cheval de Troie.
Combiné avec un système de marquage des oeuvres
Ce parfum d’écurie est encore mis en lumière dans le rapport Riester lorsqu’il est précisé que « le Sénat a souhaité mieux encadrer les expérimentations des techniques de filtrage et de marquage des œuvres auxquelles se livreront les opérateurs. À cet effet, il a confié à la HADOPI un rôle de suivi et d’évaluation de ces expérimentations (article L. 331-36 du code de la propriété intellectuelle), le rapport annuel permettant d’en retracer avec précision et sérieux les résultats. » Et donc de mesurer en temps utile le moment du déploiement potentiel de ces mesures sur les réseaux.
D’ailleurs chez Riester, demain, le ciel sera nuageux , mais après demain, bien radieux : « Nul doute que la Haute Autorité aura fort à faire en la matière, tant les progrès technologiques sont d’ores et déjà palpables. D’ailleurs, contrairement à certaines idées reçues, les entreprises et quelques établissements publics français ne sont pas à la traîne, comme en attestent la maîtrise par l’institut national de l’audiovisuel (INA) du procédé de fingerprint, qui présente l’avantage de ne pas appliquer de moyen de reconnaissance sur les œuvres, ainsi que les compétences reconnues du groupe Thomson en matière de technologies de traçage et de tatouage (watermark) de contenus ».
Selon nos informations, certains titulaires de contenus rêvent du coup d’un tel procédé placé dans les mains des FAI pour faire du repérage à la volée sur une liste de contenu bien déterminé. Une liste blanche dans les hot spots, noire chez les FAI. Le piratage tenu en échec ? Pas si sûr pour les membres du CGTI.
Le filtrage, le contrôle à distance et les données personnelles des internautes
De fait, qui dit filtrage, dit aussi caractère intrusif des mesures concoctées notamment lorsqu’on s’intéresse aux logiciels de sécurisation que seront prestement incité d’installer les abonnés.
Cela tombe bien, dans le projet Hadopi, un amendement défendu toujours par Franck Riester vise à « simplifier les procédures de contrôle par les services de l'État des logiciels intégrant des mesures techniques permettant le contrôle à distance de fonctionnalités ou l'accès à des données personnelles. »
Ce point mérite à lui seul, un examen attentif.
Lors de la DADVSI, des mesures de vérifications encadrées
Dans l’exposé, Riester rappelle une disposition d’un article de la loi DADVSI qui « a instauré une procédure de déclaration auprès des services de l’État des logiciels susceptibles de traiter des œuvres protégées au sens du code de la propriété intellectuelle et intégrant des mesures techniques permettant le contrôle à distance de fonctionnalités ou l’accès à des données personnelles ».
Replaçons-nous encore en 2006. La DAVSI affirme qu’une autorisation de l’État est nécessaire lorsque certains systèmes intrusifs sont implantés dans les réseaux touchant d’un peu trop près aux données personnelles : « L'importation, le transfert depuis un État membre de la Communauté européenne, la fourniture ou l'édition de logiciels susceptibles de traiter des œuvres protégées et intégrant des mesures techniques permettant le contrôle à distance direct ou indirect d'une ou plusieurs fonctionnalités ou l'accès à des données personnelles sont soumis à une déclaration préalable auprès du service de l'État chargé de la sécurité des systèmes d'information ». C'est la loi qui dit cela : ok pour les mesures techniques de protection, mais attention de pas trop pousser le bouchon trop loin.
Ces verrous techniques intrusifs glanant les noms ou n’importe quoi de personnel sur une machine distante doivent donc être autorisés par l’État. Et encore faut-il qu’ils soient finalisés par un objectif simple : « la sauvegarde des droits afférents aux œuvres protégées ». Seules garanties : on doit respecter la loi de 1978 relative à l'informatique, aux fichiers et aux libertés et le secret de certains secteurs et évidemment l'ordre public. Bref : des garanties et un cadre presque sévères.
Il faut dire, le contrôle par de sombres entités distantes, c'est quelque chose qui fait toujours un peu peur. Riester : « Partant du constat que les logiciels de traitement automatisé des données peuvent parfois permettre, à l’insu de leur utilisateur, la prise de contrôle des données et des fonctionnalités du système sur lequel ils sont installés, le Parlement a souhaité encadrer leur utilisation, notamment dans les systèmes sensibles des administrations et de certains opérateurs. L’objectif de ce dispositif est de permettre à l’État de mener une évaluation de la sécurité de ces logiciels, à l’aide des éléments techniques obtenus lors de leur déclaration, et d’en déduire des règles de sécurité pour leur utilisation ».
Avec la l'Hadopi : des mesures de contrôle à distance libérées
Le bon sens près de chez vous s'éloigne rapidement de Coulommiers. Car il y a un petit problème : les décrets d'application de la DADVSI sur ce passage n'ont toujours pas été publiés.
Qu’en déduit alors la Commission des lois de l’HADOPI ? De presser le gouvernement à publier ces textes adminsistratifs et de blinder un peu plus le respect des données personnelles sur les réseaux ? Pas exactement. Il demande tout simplement de faire sauter le cadre de la DADVSI pour tendre vers la libéralisation de ces contrôles à distance à des fins de « sauvegarde des droits afférents aux œuvres protégées ». Ce n’est plus une écurie, c’est un champ de courses.
Évidemment, motiver une telle libéralisation n’est pas chose simple, la Cnil ou le Conseil constitutionnel n’ayant pas été javellisés de la Constitution de 58.
Des décrets d'application absents
Riester procédèra en étapes et déplore donc d’abord que cet article de loi sur la manipulation de données personnelles à distance attend toujours les décrets en Conseil d’État. « L’un doit préciser les conditions de la déclaration des logiciels et de transmission des éléments techniques, l’autre fixer les conditions d’utilisation des logiciels et les systèmes de traitement automatisé de données auxquelles elles s’appliquent. La direction centrale de la sécurité des systèmes d’information (DCSSI) devrait être le service chargé de la mise en œuvre de ce nouveau dispositif ».
Après avoir expliqué ce retard, Riester s’arme d’un pied de biche, prêt à faire sauter les gonds : « L’absence de publication [ …] est liée au fait que la mise en œuvre du dispositif soulève deux difficultés majeures (…) D’une part la fourniture des éléments techniques, notamment du code source des logiciels, constitue souvent pour les éditeurs de logiciels une lourde contrainte, d’autre part l’analyse de ces éléments représenterait une charge de travail considérable, incompatible avec les moyens dont dispose l’État, sans que cette analyse soit toujours justifiée au regard des impératifs de sécurité nationale et de sécurité de l’information ».
Décodons : exiger le code source des surveillants du web œuvrant pour la protection des droits est une lourde contrainte. Et là Riester ne se contredit pas puisque celui-ci est également opposé à l’interopérabilité.
De simples déclarations pour ces outils de surveillance à distance
Alors vient le coup final : Il faut, dit-il, « modifier le dispositif législatif en vigueur, (...) pour alléger les contraintes sur les éditeurs de logiciels et permettre au gouvernement de finaliser les décrets d’application. Tel est l’objet de cet article additionnel. Sur son fondement, les éléments techniques ne seront plus à fournir systématiquement, mais seulement sur demande de la DCSSI. Ce service n’exigera les éléments que dans les cas présentant vraiment un intérêt particulier en termes de sécurité ». Bref : la fête à la liberté au nom du contrôle poussé des internautes.
Si l’on résume tout ce long et, sans doute, ennuyeux exposé :
- L'Hadopi, c’est le marquage des œuvres,
- Hadopi c'est le filtrage rampant, possible juridiquement à n’importe quel niveau du réseaux,
- L'Hadopi c'est la labellisation des sites dans les hotspots WiFi, un internet blacklisté sur ces mêmes hotspots…
- L'Hadopi, c'est aussi des mesures de surveillance des œuvres sur les réseaux avec contrôle à distance ou accès aux données personnelles encadré d’une simple procédure déclarative (et non plus d’autorisations)
- L'Hadopi c'est l'absence de contraintes administratives sur les éditeurs de solution de sécurisation dans la fourniture du code source de leurs logiciels de surveillance ou de traçage.
- L'Hadopi c’est enfin l’absence d’interopérabilité entre les outils de sécurisation
- L'Hadopi, c'est l’assurance d’avoir des éditeurs qui vont pouvoir imposer dans les faits des solutions payantes aux abonnés pris de paniques par la peur de la suspension.
