Rétention de données : le décret Big Brother publié au JO

Une page de l’histoire de l’Internet français se tourne. Un décret publié au Journal Officiel et intégré à la LCEN (loi pour la confiance dans l’économie numérique) impose désormais aux FAI et aux hébergeurs de conserver durant un an de nombreuses données personnelles. Le but est de « permettre l'identification de toute personne physique ou morale ayant contribué à la création d'un contenu mis en ligne », ni plus ni moins.

L'autorité judiciaire pourra alors en cas de besoin demander auprès des hébergeurs (gratuits ou payants) et des FAI certaines données. « Les agents individuellement désignés et dûment habilités des services de police et de gendarmerie nationales » pourront eux aussi accéder à ces informations. Cela concerne notamment les agents « chargés de la lutte contre le terrorisme ».

Quels types de données pourront être stockés durant 12 mois ?

• 1. Pour les fournisseurs d’accès à Internet spécifiquement :
  • L'identifiant de la connexion
  • L'identifiant attribué par ces personnes (ndlr : les FAI) à l'abonné
  • L'identifiant du terminal utilisé pour la connexion lorsqu'elles y ont accès
  • Les dates et heure de début et de fin de la connexion
  • Les caractéristiques de la ligne de l'abonné
• 2. Pour les hébergeurs spécifiquement :
  • L'identifiant de la connexion à l'origine de la communication
  • L'identifiant attribué par le système d'information au contenu, objet de l'opération
  • Les types de protocoles utilisés pour la connexion au service et pour le transfert des contenus
  • La nature de l'opération
  • Les date et heure de l'opération
  • L'identifiant utilisé par l'auteur de l'opération lorsque celui-ci l'a fourni
• 3. Pour les FAI et les hébergeurs : les informations fournies lors de la souscription d'un contrat par un utilisateur ou lors de la création d'un compte :
  • Au moment de la création du compte, l'identifiant de cette connexion
  • Les nom et prénom ou la raison sociale
  • Les adresses postales associées
  • Les pseudonymes utilisés
  • Les adresses de courrier électronique ou de compte associées
  • Les numéros de téléphone
  • Le mot de passe ainsi que les données permettant de le vérifier ou de le modifier, dans leur dernière version mise à jour
• 4. Pour les FAI et les hébergeurs : lorsque la souscription du contrat ou du compte est payante, les informations suivantes relatives au paiement, pour chaque opération de paiement :
  • Le type de paiement utilisé
  • La référence du paiement
  • Le montant
  • La date et l'heure de la transaction

Le décret précise que les données des parties 3 et 4 ci-dessus « ne doivent être conservées que dans la mesure où les personnes les collectent habituellement ».

On fera remarquer que si certaines données doivent de toute façon déjà être conservées par les FAI et hébergeurs, on peut néanmoins se poser des questions sur l’utilité et même la complexité de la rétention de données comme « la nature de l'opération », c’est-à-dire une photo, une vidéo, une musique, un texte, etc.

Autre point crucial, si les Français devront forcément s’abonner à un FAI national, qui devra donc se plier à la loi. Mais quid des hébergeurs étrangers ? Ceux ne se pliant pas à la loi seront-ils alors filtrés, à l’instar des sites d’argent non agrémentés ?

La sécurité des données en question

Enfin, quid de la sécurisation de données aussi sensibles ? En cas de vol, les conséquences pourraient être désastreuses. On se rappellera du vol de données personnelles de 17 millions de clients de Deutsche Telekom en 2008. La même année, 500 000 Allemands avaient déjà eu la désagréable surprise de voir des informations très personnelles comme leur religion publiées sur la toile.


Toujours en 2008, les services fiscaux italiens ont eu la riche idée de rendre publique par mégarde les déclarations fiscales de tous les italiens, soit 40 millions de personnes environ... Et l'année précédente, en 2007, le Royaume-Uni fût touché par deux fois (ici et là) de scandales concernant le vol ou la publication de données personnelles...

Le FAI AOL, en 2006, a d'ailleurs lui aussi eu son lot de malheurs, avec la publication de données sur 650 000 clients...

Voilà quoi qu’il en soit un décret qui fera accroître un peu plus encore la paranoïa auprès des Internautes français. Ces derniers, comme toujours, devraient ainsi réagir et utiliser de multiples subterfuges. Qu’ils aient des choses à se reprocher ou non. Là n'est pas la question.

Les critiques de l’ARCEP

Le sujet n’est pas nouveau. En 2008, l’Autorité de régulation des télécoms avait ainsi émis un avis assez critique sur certains points. L’ARCEP « ne peut que s'interroger sur la finalité de certaines » données expliquait-elle. « En effet, certaines données n'ont que peu de rapport ou même aucun avec l'identification de la personne ayant créé un contenu. »

Sont visées par l’ARCEP les données suivantes :

• les caractéristiques de la ligne de l'abonné
• la nature de l'opération
• les mots de passe ou données permettant de le vérifier ou de le modifier
• les données relatives au paiement

Quant à la durée de conservation d’un an de ces informations, l’ARCEP n’a par contre pas été choquée, et ce pour une raison fort simple : « l'Autorité relève à ce stade que la durée de conservation des données susceptibles d'être conservées coïncide exactement avec celle rendue obligatoire en application de l'article L. 34-1 du code des postes et des communications électroniques. »

Outre l’ARCEP, la CNIL, la Commission nationale informatique et libertés, est elle aussi concernée par ce décret. Son avis a en tout cas été pris par le gouvernement en 2007. Un avis qui n’a jamais été rendu publique.

Concernant les coûts générés par ce nouveau décret pour les FAI et les hébergeurs, la compensation financière n’a pas encore été précisée. Un point là encore critiqué par l’ARCEP en 2008.

L’avis des INpactiens en 2008

Il y a trois ans, lorsque nous avions eu vent d’un tel projet (notre article : Décret Big Brother : le gouvernement s'explique), un sondage vous était proposé dans nos colonnes. Et les résultats quant à la conservation des données étaient assez explicites : près de 62 % des sondés (plus de 4000 votants) étaient diamétralement contre, plus de 82 % globalement contre, et 15,5 % pour. Avec une large majorité des « pour » souhaitant un encadrement.


De nombreuses données personnelles sont déjà stockées, que ce soit sur Internet ou en-dehors (carte bancaire, etc.). Sans parler de réseaux tels que Echelon. Certains verront ici une simple adaptation au Net de ce qui existe déjà ailleurs. D'autres, en tout logique, y verront surtout un recul des libertés, le terrorisme étant une nouvelle fois utilisé comme prétexte.