Révélation des identités des pirates : Conforme aux lois européennes sur la confidentialité !

Création de l’agence Hadopi

Il y a plus de 13 ans, la France a créé l’agence anti-piratage Hadopi, qui surveillait et stockait les données de millions d’utilisateurs soupçonnés de violer les droits d’auteur. La majorité de ces utilisateurs étaient des utilisateurs de BitTorrent et le plan était d’utiliser les preuves de leurs activités de piratage comme base pour prendre des mesures de plus en plus sévères, notamment des avertissements, des amendes et, en fin de compte, des déconnexions Internet. Le fonctionnement du programme pendant une décennie a coûté 82 millions d’euros aux contribuables français, mais selon le groupe de défense des droits numériques La Quadrature du Net, la « surveillance de masse d’Internet » d’Hadopi a détruit le droit fondamental à la vie privée des citoyens.

Rencontre avec la Cour de justice de l’UE

Dans la grande majorité des cas, les juges supérieurs des États membres de l’UE n’ont que peu besoin de consulter la plus haute juridiction européenne. Du moins en théorie, tous les pays sont déjà conformes au droit de l’UE, mais de temps en temps, la gravité de certains cas devient apparente, ce qui donne lieu à une demande d’éclaircissements sur l’interprétation du droit de l’UE.

Avant un jugement définitif, le dilemme posé par la demande française était évident dans un avis non contraignant rendu en octobre dernier par l’avocat général de la CJUE, Maciej Szpunar. Selon le droit de l’UE, les États membres ne peuvent pas adopter des lois nationales permettant la conservation générale et indiscriminée des données de trafic et de localisation des citoyens. La conservation de telles données est autorisée de manière ciblée, mais uniquement comme « mesure préventive » dans le cadre de la lutte contre la « criminalité grave ». En ce qui concerne les informations détenues par Hadopi, l’avocat général a conclu que lorsque les points de données sont combinés, il est possible d’établir un lien entre l’identité des citoyens français et le contenu auquel ils accèdent.

Opinion de l’avocat général (Affaire C-470/21)

L’avis rendu jeudi commence par un aperçu d’Hadopi et des méthodes qu’elle utilise pour dissuader le piratage en ligne. En surveillant les actes de violation initiaux et ultérieurs et en maintenant des bases de données pertinentes, il est possible d’identifier les contrevenants récidivistes éligibles pour les étapes dissuasives suivantes. Un décret adopté en 2010 permet à Hadopi de demander aux fournisseurs d’accès à Internet des informations sur les abonnés en réponse à la fourniture d’adresses IP, principalement obtenues à partir de groupes BitTorrent.

Les procédures judiciaires intentées par La Quadrature du Net et la Fédération des fournisseurs d’accès à Internet associatifs, French Data Network et Franciliens.net, visent à établir si la collecte de données d’identité civile correspondant aux adresses IP, et le traitement automatisé subséquent des données pour la protection de la propriété intellectuelle, sont compatibles avec le droit de l’UE en l’absence d’un examen par un tribunal ou un organisme administratif indépendant.

La réponse brève de l’avis de l’avocat général est que l’article 15(1) de la directive 2002/58 ne doit pas être interprété comme interdisant une législation nationale permettant aux fournisseurs de services de communication électronique de conserver, et à une autorité administrative telle qu’Hadopi d’accéder, à des données d’identité civile correspondant aux adresses IP aux fins d’identification des contrevenants présumés. Aucun tribunal ou organisme de contrôle n’a besoin d’être impliqué, mais l’utilisation de telles données n’est autorisée que lorsqu’il s’agit du seul moyen d’enquête permettant d’identifier un contrevenant présumé.

Délibération et raisonnement

Dans l’avis de l’avocat général Szpunar, il est nécessaire de concilier les droits en jeu : la protection de la vie privée et des données personnelles d’une part, et le droit de propriété consacré à l’article 17 de la Charte, que le mécanisme de réponse graduée cherche à protéger en protégeant les droits d’auteur et les droits connexes.

L’avis note que « la grande majorité » des adresses IP communiquées par Hadopi sont des adresses IP dynamiques, qui ne correspondent qu’à une seule identité à un moment donné, ce qui empêche tout suivi exhaustif.

« Je dois souligner que la protection des droits fondamentaux sur Internet ne justifie pas, à mon avis, que l’accès aux données relatives à l’adresse IP, au contenu d’une œuvre et à l’identité de la personne qui l’a rendu disponible en violation du droit d’auteur ne soit pas autorisé, mais signifie seulement que la conservation et l’accès à ces données doivent être accompagnés de garanties », poursuit son avis.

« À mon avis, une analogie avec le monde réel est significative : une personne soupçonnée d’avoir commis un vol ne peut pas invoquer son droit à la protection de sa vie privée pour empêcher les responsables de la poursuite de cet acte de déterminer la nature du contenu volé. En revanche, cette personne peut légitimement se prévaloir de ses droits fondamentaux pour s’assurer que, pendant la procédure, un accès ne sera pas fourni à des données plus étendues que celles nécessaires à la qualification de l’infraction alléguée. »

Pas de surveillance de masse mais une réponse proportionnée

L’action en justice des groupes de défense des droits numériques décrit le programme Hadopi comme un système général de surveillance et de conservation des données, contraire aux droits fondamentaux. L’avocat général Szpunar conclut autrement, notant qu’il ne semble même pas y avoir de surveillance générale des utilisateurs présents dans les réseaux peer-to-peer.

« Cette procédure ne consiste pas à surveiller l’activité de tous les utilisateurs des réseaux peer-to-peer pour déterminer s’ils ont mis une œuvre à disposition en violation du droit d’auteur, mais plutôt à déterminer, sur la base d’un fichier identifié comme contrefait, le titulaire de l’accès Internet par lequel l’utilisateur a rendu le contenu disponible », indique son avis.

Issue inévitable en faveur des titulaires de droits

La conclusion générale de l’avocat général prend en compte le but pour lequel les données sont collectées et les difficultés d’identification des contrevenants en ligne présumés par d’autres moyens. L’incapacité à établir un profil détaillé de la vie privée d’une personne via une adresse IP dynamique est citée d’une part, tandis que la valeur cruciale d’une adresse IP dans une enquête est quelque peu inconfortable d’autre part.

« Il découle de la jurisprudence actuelle de la Cour que, lorsqu’une infraction est commise exclusivement en ligne, telle qu’une violation du droit d’auteur sur un réseau peer-to-peer, l’adresse IP peut être le seul moyen d’enquête permettant d’identifier la personne à laquelle cette adresse a été attribuée au moment de la commission de l’infraction », poursuit l’avocat général.

En conclusion, la conservation et l’accès aux données d’identification civile correspondant à une adresse IP aux fins de poursuites pour des infractions en ligne sont décrites comme « strictement nécessaires » et « totalement proportionnées » à l’objectif poursuivi.