L'après 11 septembre. Comment la France s'est dotée d'une législation imposant la conservation des données de connexion

Ces derniers jours, les médias regorgent de nombreux reportages sur l'attentat du 11 septembre et les nombreux changements dans notre vie quotidienne qui en ont résulté. A l'aube de ce 11 septembre 2011, c'est l'occasion de revenir sur non pas l'usage des lois sécuritaires au cours de ces 10 dernières années ou sur l'adoption par divers pays, comme le montre cette application, de nombreuses législations similaires.

Source : Adobe of Chaos sur Flickr (CC)

Pour ma part, je m'arrêterai sur un seul texte, adopté au lendemain du 11 septembre, et qui depuis sert de base à l'ensemble de la lutte contre la cybercriminalité. Ce texte est la loi du 15 novembre 2001 sur la sécurité quotidienne. Et son petit nom, la LSQ. La loi crée une des mesures importantes pour les acteurs de l'internet : la conservation des données de connexion par les fournisseurs d'accès à l'internet.

La LSQ, un véhicule législatif qui stationnait

Le projet de loi sur la sécurité quotidienne n'est pas un texte rédigé à la suite des attentats du 11 septembre. En effet, il avait été déposé au cours du mois de mars 2001 par le Ministre de l'intérieur d'alors, Daniel Vaillant, sur le bureau de l'Assemblée nationale avant d'être examiné au cours du printemps par les deux Assemblées. Seulement un couac institutionnel se déroulait. Le 5 juin 2001, la Commission mixte paritaire se réunissait et n'arrivait à trouver d'accord sur un texte commun aux deux Assemblées. Le texte était donc renvoyé pour un ultime vote devant les deux Chambres.

Lors du dernier examen du texte par le Sénat, le Gouvernement fait une chose surprenante en déposant toute une série d'amendements n'ayant aucun rapport avec le texte en cause.

En particulier un amendement n° 9 est déposé par le Gouvernement, amendement reprenant les dispositions du projet de loi sur la société de l'information (LSI) déposé au mois de juin 2001 :

"I.- Les opérateurs de télécommunications, et notamment ceux mentionnés à l'article 43-7 de la loi n° 86-1067 du 30 septembre 1986 relative à la liberté de communication, sont tenus d'effacer ou de rendre anonyme toute donnée relative à une communication dès que celle-ci est achevée, sous réserve des dispositions des II, III et IV. 

« II. - Pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales, et dans le seul but de permettre, en tant que de besoin, la mise à disposition de l'autorité judiciaire d'informations, il peut être différé pour une durée maximale d'un an aux opérations tendant à effacer ou à rendre anonymes certaines catégories de données techniques. Un décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés, détermine, dans les limites fixées par le IV, ces catégories de données et la durée de leur conservation, selon l'activité des opérateurs et la nature des communications. 

« III. - Pour les besoins de la facturation et du paiement des prestations de télécommunications, les opérateurs peuvent, jusqu'à la fin de la période au cours de laquelle la facture peut être légalement contestée ou des poursuites engagées pour en obtenir le paiement, utiliser, conserver et, le cas échéant, transmettre à des tiers concernés directement par la facturation ou le recouvrement, les catégories de données techniques qui sont déterminées, dans les limites fixées par le IV, selon l'activité des opérateurs et la nature de la communication, par décret en Conseil d'Etat pris après avis de la Commission nationale de l'informatique et des libertés.
« Les opérateurs peuvent en outre réaliser un traitement de ces données en vue de commercialiser leurs propres services de télécommunications, si les usagers y consentent expressément et pour une durée déterminée. Cette durée ne peut, en aucun cas, être supérieure à la période correspondant aux relations contractuelles entre l'usager et l'opérateur. 

« IV. - Les données conservées et traitées dans les conditions définies aux II et III portent exclusivement sur l'identification des personnes utilisatrices des services fournis par les opérateurs et sur les caractéristiques techniques des communications assurées par ces derniers.
« Elles ne peuvent en aucun cas porter sur le contenu des correspondances échangées ou des informations consultées, sous quelque forme que ce soit, dans le cadre de ces communications « La conservation et le traitement de ces données s'effectuent dans le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.« Les opérateurs prennent toutes mesures pour empêcher une utilisation de ces données à des fins autres que celles prévues au présent article."

Les motivations exposées par le Gouvernement sont alors les suivantes :

"Les événements récents ont démontré que l'utilisation des moyens de télécommunications, des réseaux numériques et de l'internet étaient au cœur des échanges d'informations entre les membres d'un réseau terroriste. Les données techniques relatives à ces communications sont autant de « traces » laissées par les intéressés dans le monde virtuel, comme le seraient des empreintes ou des indices dans le monde réel. La recherche des infractions commises sur les réseaux de télécommunications ou à l'aide de ces réseaux suppose donc que puissent être exploités par les services d'enquête les données enregistrées par les opérateurs à l'occasion de l'établissement des communications émises par les auteurs de ces infractions. 

Il est nécessaire que la France se dote, à cet égard, d'un cadre législatif clair et transparent encadrant strictement la conservation des données techniques à cette fin, de manière à ce que les autorités judiciaires ne soient pas tributaires des données conservées par les opérateurs pour leurs besoins propres, selon les choix commerciaux qu'ils auront fait. Cela impose de revoir l'ensemble du dispositif relatif aux obligations des opérateurs."

Le texte sera adopté sans aucune modification par le Sénat le 11 octobre 2001 puis par l'Assemblée nationale le 31 octobre 2001. La loi sera promulguée le 15 novembre 2001 et publiée au Journal officiel du 16 novembre 2001.

La LSQ et sa critique constitutionnelle

Lors des débats autour de la LSQ, un sujet est revenu en permanence : l'amendement 9 a été adopté en méconnaissance des règles constitutionnelles. En effet, l'amendement incriminé a été introduit postérieurement à l'examen du texte par la Commission mixte paritaire.

Source : Viktor Hertz sur Flickr (CC)

Or, une simple analyse de la jurisprudence du Conseil constitutionnel tendait à démontrer que sur la forme, il y avait un léger souci. En effet, par une décision n° 98-402 DC du 25 juin 1998 (loi portant diverses dispositions d’ordre économique et financier), le Conseil constitutionnel avait restreint sa jurisprudence sur les amendements introduits par le Gouvernement ou les parlementaires après la réunion de la Commission mixte paritaire. Les neufs sages estimaient que les seuls amendements susceptibles d’être adoptés après réunion de la Commission mixte paritaire devaient remplir au moins une des deux conditions suivantes : être en relation directe avec une disposition du texte en discussion ; ou être dictés par la nécessité d’assurer une coordination avec d’autres textes en cours d’examen au Parlement.

En l’espèce, l'amendement n°9 a été déposé et adopté - sans aucun débat - par le Sénat après une réunion de la Commission mixte paritaire. Seulement, ces dispositions n'étaient pas en relation directe avec les autres articles du projet de LSQ et, même en ce qui concerne les questions de nouvelles technologies, n'étaient pas nécessaire pour assurer une coordination avec d’autres textes en cours d’examen.

Sur la forme, la constitutionnalité des amendements pouvait être critiquée. Alors pourquoi le Conseil constitutionnel n'a pas censuré la mesure ? Pour une raison simple. Il n'a pas été saisi.

L'absence de saisine du Conseil constitutionnel, "un acte citoyen"

Des débats ont eu lieu lors de la discussion finale du projet de LSQ sur l'opportunité d'une saisine du Conseil constitutionnel à propos de ce texte et des amendements introduits postérieurement à la réunion de la Commission mixte paritaire.

Seulement, la moindre évocation dans l’hémicycle d’une potentielle saisine du Conseil constitutionnel obtient comme unique réponse une levée de bouclier. Ainsi, lors des débats à l’Assemblée nationale le 31 octobre 2001, Claude Goasguen indiquait :

"Un mot, enfin, pour regretter que les parlementaires socialistes n’aient pas fait preuve du même esprit de responsabilité en 1995, quand ils ont saisi le Conseil constitutionnel alors que la France était elle-même frappée par le terrorisme. Je ne peux m’empêcher de penser que, si la fouille des véhicules avait été autorisée plus tôt, bien des armes de guerre, qui n’ont quand même pas voyagé par colis postaux, auraient été interceptées et que cela aurait évité des drames comme celui de Béziers. Cela montre qu’il faut parfois un peu penser à l’avenir quand on saisit le Conseil constitutionnel..."

Un autre député, Thierry Mariani, indiquait le 30 octobre 2001 :

"Sur une mesure similaire inscrite dans la loi d’orientation et de programmation relative à la sécurité du 21 janvier 1995, vous aviez saisi le Conseil constitutionnel au motif qu’on portait atteinte à l’inviolabilité du domicile, au respect de la vie privée et au principe de stricte proportionnalité des mesures de police à la gravité des troubles à l’ordre public. La France était pourtant, comme aujourd’hui, confrontée à de graves menaces terroristes, qui se sont malheureusement concrétisées avec l’attentat sanglant du RER à la station Saint-Michel. Nous serons plus responsables que la gauche : nous ne saisirons pas le Conseil constitutionnel."

En résumé, la majorité d'alors (socialiste) n'a pas saisi le Conseil constitutionnel. Logique. L'opposition non plus. Résultat, le texte est passé entre les mailles de l'examen par les sages de la rue Montpensier.

Une tentative de saisine forcée (avec une petite révélation)

10 après, il y a prescription. Et donc, on peut sans doute lever le voile sur un élément. Comment se fait-il que la loi a été promulguée 15 jours après son adoption définitive par le Parlement ? C'était sans compter sur une tentative de forcer une saisine du Conseil constitutionnel.

Source : when I was a bird sur flickr (CC)

L'auteur de cet acte ? Votre serviteur.

En effet, suite à l’adoption de la LSQ, une saisine en référé a été déposée devant le Conseil d’Etat afin que le juge administratif enjoigne au Président de la République de déférer au Conseil constitutionnel, en application de l’article 61 de la Constitution, le texte de la LSQ.

L’article 61 de la Constitution dispose en effet que "les lois peuvent être déférées au Conseil Constitutionnel, avant leur promulgation, par le Président de la République, le Premier Ministre, le Président de l’Assemblée Nationale, le Président du Sénat ou soixante députés ou soixante sénateurs". Ce choix de la saisine du juge constitutionnel constitue un acte éminemment politique.

Seulement, l’article 5 de la Constitution dispose que "le Président de la République veille au respect de la Constitution". Ainsi, cette obligation de valeur constitutionnelle impose au chef de l’Etat de prendre l’ensemble des mesures afin que notre loi fondamentale ne fasse pas l’objet de violations et en particulier au travers de la saisine du juge constitutionnel.

En raison de l’existence d’une telle disposition impérative, il était argumenté devant le juge administratif que la décision de saisine du juge constitutionnel par le chef de l’Etat ne possèderait plus un caractère discrétionnaire et politique. Au contraire, cette décision serait conditionnée et donc rejoindrait quasi-naturellement le domaine de l’acte administratif.

Mais cela n'a pas fonctionné. Le Conseil d'Etat a jugé le 7 novembre 2001 que "le fait pour le Président de la République de s’abstenir d’user de la faculté qu’il tient du deuxième alinéa de l’article 61 de la Constitution de déferrer une loi au Conseil constitutionnel aux fins d’en faire examiner la conformité à la Constitution est indissociable de l’ensemble de la procédure législative ; qu’il touche ainsi aux rapports entre les pouvoirs publics constitutionnels et échappe par là même à la compétence de la juridiction administrative". La saisine du Conseil constitutionnel est un acte politique (que l'on définit en droit en "acte de gouvernement"). Le juge administratif ne peut donc pas intervenir dans la décision politique du Président de la République.

Après la LSQ, la LFR

Dans le cadre de l’examen du projet de loi de finances rectificatives pour 2001, le Gouvernement avait intégré un nouvel article venant modifié le régime du stockage des données de connexion enregistrées par les divers opérateurs de télécommunications. La LSQ prévoyait explicitement, en exception au principe d’effacement, que les opérateurs de télécommunications doivent conserver les données nécessaires à l’établissement d’une communication, auxquelles seules les autorités judiciaires peuvent avoir accès.

Un amendement est alors venu autoriser les douanes, la direction générale des impôts ainsi que la Commission des opérations de bourse (devenue depuis l'AMF) à accéder aux données de connexion enregistrées par lesdits opérateurs "pour le besoin de leurs missions". Adoptée de nouveau sans aucun débat parlementaire, cette disposition a étendu les pouvoirs de ces autorités en leur permettant d’accéder à des informations jusqu'alors réservées aux services de police et gendarmerie.

Ici, ce texte a été soumis au Conseil constitutionnel qui a ainsi pu, par effet ricochet, contrôler la constitutionnalité des dispositions adoptées dans la LSQ

Un contrôle de constitutionnalité de la LSQ par ricochet

Le Conseil constitutionnel a, en effet, la possibilité de réaliser un contrôle de constitutionnalité a posteriori. Un tel contrôle est né d’une pure construction jurisprudentielle issue de la décision 85-187 DC (CC, 25 janvier 1985, Loi relative à l’état d’urgence en Nouvelle-Calédonie et dépendances). Les sages de la rue Montpensier admettent en effet un contrôle de constitutionnalité d’une loi promulguée "à l’occasion de l’examen de dispositions législatives qui la modifient, la complètent ou affectent son domaine".

En clair, dès lors que la LFR touche au domaine de la LSQ, il est possible au Conseil constitutionnel d'examiner la constitutionnalité de la LSQ lors de l'examen de la LFR.

Dans leur décision, les juges ont écarté tout grief sur le fond de l'obligation de conservation mise à la charge des fournisseurs d'accès à l'internet. Ils estiment en effet que :

"6. Considérant qu'il appartient au législateur d'assurer la conciliation entre, d'une part, l'exercice des libertés constitutionnellement garanties et, d'autre part, la prévention des atteintes à l'ordre public et la lutte contre la fraude fiscale qui constituent des objectifs de valeur constitutionnelle ;
7. Considérant que les dispositions critiquées ont pour seul objet de préciser les conditions dans lesquelles s'exerce, sur les données conservées et traitées par les opérateurs de télécommunication et par les prestataires désignés aux articles 43-7 et 43-8 de la loi n° 86-1067 du 30 septembre 1986 relative à la liberté de communication, le droit de communication général conféré par la législation en vigueur aux agents des douanes, à ceux de la direction générale des impôts et aux enquêteurs de la Commission des opérations de bourse ;
8. Considérant qu'aux termes mêmes de la disposition contestée, le droit d'accès qu'elle ouvre à de telles données, dont la divulgation serait de nature à porter atteinte à la vie privée, ne peut s'exercer que " dans le cadre de l'article L. 32-3-1 du code des postes et télécommunications " ; que cet article énonce avec précision la nature et les conditions de conservation et de communication de ces informations ; qu'il en résulte, notamment, que les données susceptibles d'être conservées et traitées " portent exclusivement sur l'identification des personnes utilisatrices de services fournis par les opérateurs et sur les caractéristiques techniques des communications assurées par ces derniers " ; " qu'elles ne peuvent en aucun cas porter sur le contenu des correspondances échangées ou des informations consultées, sous quelque forme que ce soit, dans le cadre de ces communications " ; " qu'il peut être différé pour une durée maximale d'un an aux opérations tendant à effacer ou à rendre anonymes certaines catégories de données techniques " ; que, par ailleurs, le droit de communication créé par l'article 62 au profit des services d'enquêtes douanières, fiscales et boursières s'exerce dans le respect des autres prescriptions légales relatives à l'accomplissement de leurs missions ;
9. Considérant, par suite, que le législateur a mis en oeuvre, en les conciliant, les exigences constitutionnelles ci-dessus rappelées ; que cette conciliation n'est entachée d'aucune erreur manifeste"

La LFR a donc été promulguée.

Après la LSQ et la LFR, la loi anti-terrorisme, la loi HADOPI I ...

Par la suite, d'autres dispositions législatives sont venues modifier cette mesure. Elle figure dorénavant à l'article L. 34-1 du Code des postes et communications électroniques (après un simple changement de numérotation intervenue par la loi du 10 juillet 2004).

Les modifications ont été les suivantes :
- Article 5 de la loi n° 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers : le périmètre de la conservation des données de connexion a été étendu aux "personnes qui, au titre d'une activité professionnelle principale ou accessoire, offrent au public une connexion permettant une communication en ligne par l'intermédiaire d'un accès au réseau, y compris à titre gratuit" (cybercafés, points d'accès public, bibliothèques, etc.)
- Article 14 de la loi n° 2009-669 du 12 juin 2009 favorisant la diffusion et la protection de la création sur internet qui a permis à la HADOPI d'accéder aux données d'identification des fournisseurs d'accès dans le cadre de sa mission
- Article 7 de l'ordonnance n° 2011-1012 du 24 août 2011 relative aux communications électroniques en adaptant, à la marge, le cadre juridique.

Un régime spécifique a également été créé en matière de terrorisme. Il figure, quant à lui, à l'article L. 34-1-1 du Code des postes et communications électroniques.

La conservation des données, une exception française ?

On pourrait croire que la France a été une exception dans le monde en adoptant une législation imposant une telle conservation des données de connexion. Il n'en est rien. Tous les pays européens ont adopté des législations similaires notamment sous l'impulsion d'un texte international du Conseil de l'Europe : la Convention Cybercrime du 23 novembre 2001.

Le texte prévoit en effet, pour chaque Etat, Partie à la convention :

"Chaque Partie adopte les mesures législatives et autres qui se révèlent nécessaires pour permettre à ses autorités compétentes d’ordonner ou d’imposer d’une autre manière la conservation rapide de données électroniques spécifiées, y compris des données relatives au trafic, stockées au moyen d'un système informatique, notamment lorsqu'il y a des raisons de penser que celles-ci sont particulièrement susceptibles de perte ou de modification".

Une différence de taille néanmoins. La Convention Cybercrime prévoyait que cette conservation devait se faire "pendant une durée aussi longue que nécessaire, au maximum de quatre-vingt-dix jours". En France, le délai fixé par la loi est de 1 an.

Le 21 septembre 2005, c'est la Commission européenne qui annonçait un cadre juridique pour la conservation des données de connexion. Il sera alors fixé dans la directive 2006/24/CE du 15 mars 2006. Le délai de conservation proposé par la Directive est quant à lui fixé entre 6 mois (minimum) et 24 mois (maximum). Ce cadre a fait l'objet en avril 2011 d'un rapport d'évaluation proposant plusieurs évolutions notamment "dans l’intérêt de la sécurité intérieure, du bon fonctionnement du marché intérieur et du renforcement du respect de la vie privée et du droit à la protection des données à caractère personnel"

La Commission européenne devrait donc prochainement élaborer un nouveau cadre juridique de la conservation des données de connexion.

Blocage mon amour. Vers une gestion centralisée du blocage des sites internet ?

Quand la Chine s'éveillera, le monde tremblera. Tel était le titre de cet ouvrage d'Alain Peyrefitte qui pouvait se résumer ainsi : "Vu le nombre de chinois, lorsqu'ils auront atteint une culture, une technologie suffisante, ils pourront imposer les idées au reste du monde". Cela sera-t-il aussi le cas en matière d'internet ?

Source : Kelly Schott sur Flickr (CC)

Depuis de nombreuses années, la question revient à l'occasion de la discussion voire de l'adoption de nombreuses lois destinées à lutter contre diverses pratiques, activités ou comportements illicites. Ces lois "Internet" se sont succédées au gré des années depuis une dizaine d'années. LSQ, LCEN, DADVSI, LOPPSI, LSI, HADOPI1, HADOPI2, LOPPSI2, etc.

Un des sujets revient régulièrement sur la table. Celui du blocage par l'intermédiaire du fournisseur d'accès à l'internet de contenus disponibles sur internet. Le cadre juridique du blocage des sites internet n'est pas nouveau en France. Il est soit générique, soit spécialisé. Il passe soit par la voie judiciaire, soit par la voie administrative.

Blocage, son cadre

En France, le cadre juridique permettant le blocage de l'accès à des sites internet est d'ores et déjà relativement complet :

1) pour tous les contenus et sous l'autorité du juge, l’article 6.I.8 de la loi du 21 juin 2004 pour la confiance dans l'économie numérique (LCEN) prévoit que : "L'autorité judiciaire peut prescrire en référé ou sur requête, à toute personne mentionnée au 2 ou, à défaut, à toute personne mentionnée au 1, toutes mesures propres à prévenir un dommage ou à faire cesser un dommage occasionné par le contenu d'un service de communication au public en ligne" ; 

2) en matière de protection du droit d’auteur et sous l’autorité du juge, l’article L. 336-2 du Code de la propriété intellectuelle (ajouté par l’article 7 LCEN) : "En présence d'une atteinte à un droit d'auteur ou à un droit voisin occasionnée par le contenu d'un service de communication au public en ligne, le tribunal de grande instance, statuant le cas échéant en la forme des référés, peut ordonner à la demande des titulaires de droits sur les œuvres et objets protégés, de leurs ayants droit, des sociétés de perception et de répartition des droits visées à l'article L. 321-1 ou des organismes de défense professionnelle visés à l'article L. 331-1, toutes mesures propres à prévenir ou à faire cesser une telle atteinte à un droit d'auteur ou un droit voisin, à l'encontre de toute personne susceptible de contribuer à y remédier" 

3) en matière de lutte contre les opérateurs de jeux ou de paris en ligne non autorisés et sous l’autorité du juge, l’article 61 de la loi du 12 mai 2010 (loi ARJEL) : "A l'issue de ce délai, en cas d'inexécution par l'opérateur intéressé de l'injonction de cesser son activité d'offre de paris ou de jeux d'argent et de hasard, le président de l'Autorité de régulation des jeux en ligne peut saisir le président du tribunal de grande instance de Paris aux fins d'ordonner, en la forme des référés, l'arrêt de l'accès à ce service aux personnes mentionnées au 2 du I et, le cas échéant, au 1 du I de l'article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique". 

4) en matière de lutte contre les contenus pédopornographies, l’article 6.I.7 LCEN (ajouté par la loi du 14 mars 2011 dite LOPPSI II) : "Lorsque les nécessités de la lutte contre la diffusion des images ou des représentations de mineurs relevant de l'article 227-23 du code pénal le justifient, l'autorité administrative notifie aux personnes mentionnées au 1 du présent I les adresses électroniques des services de communication au public en ligne contrevenant aux dispositions de cet article, auxquelles ces personnes doivent empêcher l'accès sans délai. Un décret fixe les modalités d'application de l'alinéa précédent, notamment celles selon lesquelles sont compensés, s'il y a lieu, les surcoûts résultant des obligations mises à la charge des opérateurs"

A ce panorama, on peut également ajouter l'article 10 du projet de loi renforçant les droits, la protection et l’information des consommateurs qui prévoit d'attribuer à la DGCCRF de nouveaux pouvoirs et notamment ceux destinés à "demander à l’autorité judiciaire d’ordonner les mesures mentionnées au 8. du I de l’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance en l’économie numérique".

Nul besoin à ce stade de revenir sur l'ensemble des débats sur les mesures de blocages et le passage préalable par le juge. De nombreux acteurs se sont positionnés en faveur d'un passage préalable par le juge. Le Conseil constitutionnel a également apporté ses propres commentaires à l'occasion de l'examen de la LOPPSI2.

Au delà du cadre juridique, le sujet a rebondi à deux occasions au cours de l'année 2011. Récemment, un débat a eu lieu sur la possibilité d'accorder à l'autorité administrative la possibilité de procéder par voie "administrative" (et non plus judiciaire) à des mesures de blocage de l'accès à certains sites internet. Il s'agissait du fameux projet de décret - rédigé par le Ministère de l'intérieur (mais présenté par certains comme émanant du Ministère en charge de l'économie numérique) - pris en application de l'article 18 de la LCEN. Un avis du Conseil national du numérique semble avoir eu raison de ce projet de décret reparti en discussion au sein de l'administration.

L'Etat futur coordinateur du blocage ?

Un peu avant le projet de décret "article 18", un autre évènement s'est déroulé : Wikileaks et notamment l'hébergement d'un des miroirs du site par OVH. A ce moment là, Eric Besson adresse un courrier à un des services du Ministère de l'économie, le CGIET (Conseil général de l'industrie, de l'énergie et des technologies). Dans ce courrier, le ministre demande au CGIET quelles sont les "actions possibles pouvant être entreprises afin que ce site Internet ne soit plus hébergé en France".

Source : Sally06 sur Flickr (CC)

Cela tombait bien. En effet, le CGIET travaillait déjà sur le sujet depuis quelques mois lors de la saisine d'Eric Besson. En effet, le CGIET était saisi par le Ministère du Budget d'une mission relative à la mise en oeuvre de la loi sur les jeux d'argent en ligne et, en particulier, sur la mise en place des mesures de blocage des sites internet à l'initiative de l'ARJEL (et autorisées par un juge). L'intérêt du débat était important (et le reste car il n'est pas encore fini) : à quelle hauteur l'Etat devra indemniser les fournisseurs d'accès à l'internet pour le blocage des sites internet dans le cadre de la mise en oeuvre de la loi ARJEL ?

A cette question, un préalable doit être tranché. Pour déterminer le montant de l'indemnisation des fournisseurs d'accès à l'internet, il faut déterminer le coût du blocage. Et pour déterminer le coût du blocage, il faut identifier le type de blocage à mettre en oeuvre.

Et c'est ainsi que la mission du CGIET "jeux d'argent en ligne" a évolué. Dans une note de présentation du rapport (note diffusée publiquement dans le rapport annuel du CGIET), on peut ainsi lire :

"La problématique du blocage de sites Internet est cependant générale et doit être examinée au regard de l’extension probable des besoins de blocage de sites Internet par l’administration. L’adoption de la loi Loppsi II qui prévoit la possibilité de bloquer des sites pédopornographiques en constitue une première illustration. 

Aussi, les rapporteurs ont abordé la question posée par le ministre chargé du budget sous un angle prospectif, en esquissant des solutions globales. La mise en place du blocage de certains sites Internet doit en effet respecter l’égalité des fournisseurs d’accès devant la loi et minimiser les coûts pour l’État".

Le rapport  reprend donc les conclusions de cette mission "jeux d'argent en ligne" mais que l'on pourrait plutôt appeler "état de l'art du blocage et préconisation". Car effectivement, le CGIET a passé en revue les diverses mesures techniques pouvant être mises en oeuvre:

"La multiplicité des types de site Internet susceptible d’être bloqué a une incidence sur les méthodes à utiliser par le fournisseur d’accès : blocage du nom d’un domaine, blocage de l’adresse IP ou blocage de l’adresse Internet d’une page donnée. Ces méthodes ne peuvent être maitrisées que par les fournisseurs d’accès les plus importants et chacune d’elles présente des avantages mais aussi des limites en termes d’efficacité. Elles peuvent même engendrer des sur-blocages, ce qui risque de poser des problèmes de responsabilité qui devront être approfondis.

Ces différentes méthodes de blocage sont susceptibles de coexister à plus ou moins court terme. Les premières mesures ne sont cependant pas encore mises en place et le choix de l’organisation, tant pour l’État que pour les fournisseurs d’accès, reste ouvert.

Quelle solution préconise alors le CGIET ?

"Il faut donc veiller dès à présent à ce que soit élaborée une solution globale, la moins onéreuse possible pour chacune des parties et garantissant l’égalité de tous les fournisseurs d’accès Internet devant la loi. Sa mise en œuvre pourrait se faire par paliers, en fonction des nouveaux blocages à mettre en place".

Et le CGIET esquisse le cadre de la solution globale ainsi proposée :

Quatre scénarii ont été présentés dont le plus élaboré prévoit la mise en place d’une entité spécifique dont les contours sont à définir, qui pourrait gérer les listes de sites à bloquer, faire fonction de système de noms de domaine (DNS) à jour des sites à bloquer pour les fournisseurs d’accès Internet qui ne maîtrisent pas cette fonction, voire devenir un acteur du routage des réseaux en intervenant sur le protocole BGP (Border Gate Protocol. Il s’agit d’un protocole de routage qui permet l’échange et l’aiguillage des paquets de données entre deux réseaux Internet appartenant à des opérateurs différents ou entre deux sous-réseaux d’un même opérateur) pour les fournisseurs d‘accès qui le souhaitent et faire fonction de filtre si des demandes de filtrage de l’adresse Internet de pages étaient mises en œuvre.

En résumé, le CGIET propose que l'Etat mette en oeuvre un DNS "national" dont la fonction serait d'agréger et de mettre à jour la liste des noms de domaine et URL devant faire l'objet de mesures de blocage par les fournisseurs d'accès à l'internet. Ceux-ci seraient ensuite, s'ils souhaitent obtenir une indemnisation de l'Etat, appelés à router leur traffic au travers de ce DNS national.

Ainsi, plus besoin pour chaque fournisseur d'accès de modifier ou même de développer des outils de filtrage. L'Etat s'occupe de tout : mise en place d'un DNS national et mise à jour de celui-ci. Et cela peut fonctionner. C'est un des éléments du "bouclier doré" mis en place par la Chine pour filtrer l'accès de ses citoyens à l'internet.

Cette solution proposée par le CGIET verra-t-elle le jour ? On peut juste s'interroger sur la dernière phrase laconique de la note de présentation du rapport du CGIET :

"Un projet de décret est en cours d’élaboration".

On ne peut douter, à ce stade, que ce document risque d'être très largement discuté.