A – Conservation des données de tous les internautes

9 La conservation des données de connexion à l’Internet, appelées aussi données de trafic, est régie par l’important article L. 34-1 du Code des postes et des communications électroniques – CPCE –, figurant dans une section de ce code intitulée « Protection de la vie privée des utilisateurs de réseaux et services de communications électroniques ».

10 Cet article dispose que : «I. Les opérateurs de communications électroniques, et notamment les personnes dont l’activité est d’offrir un accès à des services de communication au public en ligne, effacent ou rendent anonyme toute donnée relative au trafic, sous réserve des dispositions des II, III, IV et V (…)

11 II. Pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales, et dans le seul but de permettre, en tant que de besoin, la mise à disposition de l’autorité judiciaire d’informations, il peut être différé pour une durée maximale d’un an aux opérations tendant à effacer ou à rendre anonymes certaines catégories de données techniques. Un décret en Conseil d’État, pris après avis de la Commission nationale de l’informatique et des libertés, détermine, dans les limites fixées par le V, ces catégories de données et la durée de leur conservation, selon l’activité des opérateurs et la nature des communications ainsi que les modalités de compensation, le cas échéant, des surcoûts identifiables et spécifiques des prestations assurées à ce titre, à la demande de l’État, par les opérateurs »  [14]. Pour l’heure, l’article R. 10-13 CPCE prévoit une durée de conservation d’un an à compter du jour de l’enregistrement  [15].

12 Renonçant, fort heureusement, à l’option consistant à considérer que l’adresse IP n’est pas une donnée personnelle, le rapport sur « Le développement et la protection des œuvres culturelles sur les nouveaux réseaux » remis au ministre de la Culture et de la Communication, en novembre 2007, dit « Rapport de la Mission Olivennes », préconisait la modification de l’actuel article L. 34-1 CPCE, pour permettre à la future HADOPI « d’opérer le rapprochement » entre les données de connexion, dont l’adresse IP, et l’identité de l’internaute. Selon le Rapport Olivennes, en effet, « une telle modification paraît acceptable compte tenu des garanties d’indépendance et d’impartialité présentées par une autorité réunissant des agents dotés de prérogatives de puissance publique »  [16], laquelle autorité devra être autorisée par la Commission nationale de l’informatique et des libertés – CNIL – à mettre en œuvre des fichiers. Le rapport récuse, à cet égard, la possibilité de modifications semblables de l’article L. 34-1 CPCE, au profit de personnes privées, au motif qu’il « ne lui semble pas qu’elles puissent être suffisamment encadrées et proportionnées pour qu’elles soient considérées comme étant de nature à assurer, entre le respect de la vie privée et les autres droits et libertés, notamment le droit de propriété, un juste équilibre »  [17].

13 Ainsi l’article 9 du projet de loi « favorisant la diffusion et la protection de la création sur Internet » envisage de modifier ainsi le II de l’article L. 34-1 CPCE :

14 « I. Après les mots : « des infractions pénales » sont insérés les mots : « ou d’un manquement à l’obligation définie à l’article L. 336-3 du code de la propriété intellectuelle ».

15 II. Après les mots : « de l’autorité judiciaire » sont insérés les mots : « ou de la Haute Autorité mentionnée à l’article L. 331-12 du code de la propriété intellectuelle »  [18].

16 Ce qui donne, en clair, l’article L. 34-1. II suivant : « II. Pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales ou d’un manquement à l’obligation définie à l’article L. 336-3 du code de la propriété intellectuelle, et dans le seul but de permettre, en tant que de besoin, la mise à disposition de l’autorité judiciaire ou de la Haute Autorité mentionnée à l’article L. 331-12 du code de la propriété intellectuelle d’informations, il peut être différé pour une durée maximale d’un an aux opérations tendant à effacer ou à rendre anonymes certaines catégories de données techniques ».

17 Les fournisseurs d’accès seraient donc tenus de conserver les données de connexion de tous les internautes, non plus seulement aux fins de les tenir à la disposition de l’autorité judiciaire, dans le cadre de procédures pénales mais aussi de les tenir à disposition de la HADOPI, dans le cadre de procédures fondées sur l’absence de respect d’obligations du CPI.

B – Conservation des données des internautes « responsables »

18 La conservation, par la HADOPI, des données de trafic transmises par les fournisseurs d’accès à Internet – FAI – est prévue à l’article 2 du projet de loi, envisageant un article L. 331-33 CPI, ainsi libellé : « La commission de protection des droits peut conserver les données techniques mises à sa disposition pour la durée nécessaire à l’exercice des compétences qui lui sont confiées à la présente sous-section et, au plus tard, jusqu’au moment où la suspension de l’abonnement prévue par ces dispositions a été entièrement exécutée ». Cette disposition a été modifiée par le Sénat  [19] qui a remplacé la « suspension de l’abonnement » par la « suspension de l’accès », expression plus large incluant aussi des mesures de filtrage  [20]. Cette conservation est le préalable aux constitutions de fichiers !

A – Fichiers des sociétés de gestion

20 L’article 9-4° de la loi du 6 août 2004 dispose que « Les traitements de données à caractère personnel relatives aux infractions, condamnations et mesures de sûreté ne peuvent être mis en œuvre que par : […]

21 4° Les personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du Code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d’atteintes aux droits prévus aux livres I^er, II et III du même code aux fins d’assurer la défense de ces droits ».

22 Les personnes morales visées sont les sociétés de perception et de répartition des droits d’auteur et des droits voisins – SPRD – ainsi que les organismes de défense professionnelle. Cette disposition a été rajoutée très tardivement au projet de transposition de la directive « données personnelles » de 1995, sous la pression notamment de l’industrie du disque, aux fins de lutter contre les nouvelles pratiques de contrefaçon se développant sur le réseau Internet. Ces fichiers envisagés à l’article 9-4° sont le fruit de la collecte, par les agents assermentés des SPRD, des adresses IP des ordinateurs des internautes se livrant à du téléchargement illicite, notamment les ordinateurs détectés comme étant équipés de logiciels « peer-to-peer ».

23 L’article 9-4° avait été déféré devant le Conseil constitutionnel au motif que la légalisation de tels « casiers judiciaires privés » violait le droit à la vie privée, la liberté individuelle et la présomption d’innocence, mais ce recours a été rejeté. En effet, deux garanties ont été considérées comme suffisamment solides par le Conseil constitutionnel  [24] pour justifier un tel régime dérogatoire, garanties constituées, en amont, par la nécessité d’une autorisation de la CNIL et, en aval, par la nécessité d’une procédure judiciaire  [25], aux fins de rapprocher les données de connexion des données d’identification de l’internaute. Puissent toutefois ces garde-fous résister aux assauts des ayants droit !

24 S’agissant du premier verrou, consistant à soumettre de tels traitements à l’autorisation de la CNIL, en application de l’article 25.I. 3° de la loi de 1978, il s’est avéré fortement « bridé » par le Conseil d’État, ainsi qu’en témoigne le sort réservé à la délibération de la CNIL du 18 octobre 2005. La Commission avait refusé à quatre sociétés d’auteurs et de producteurs de musique la mise en œuvre de dispositifs permettant la détection automatisée des infractions au CPI et l’envoi de messages de sensibilisation aux internautes mettant à disposition des œuvres musicales sur les réseaux peer to peer. Elle avait estimé notamment  [26] que les systèmes de détection des infractions n’étaient pas proportionnés à la finalité poursuivie.

25 Ce refus a été annulé par le Conseil d’État  [27] pour trois motifs  [28]. Le Conseil a considéré, en premier lieu, qu’en estimant que les traitements envisagés conduisaient à une surveillance exhaustive et continue des fichiers des réseaux d’échanges et ne pouvaient, par conséquent, être regardés comme proportionnés à la finalité poursuivie, la CNIL avait entaché sa décision d’une erreur d’appréciation. La CNIL fut ainsi désavouée sur son contrôle de proportionnalité, le Conseil estimant les applications proportionnées dès lors qu’elles ne portaient simultanément que sur quelques-uns des protocoles « peer-to-peer », sans commune mesure avec la surveillance de l’ensemble des titres musicaux dont ces sociétés doivent assurer la protection.

26 Le Conseil d’État a considéré, en deuxième lieu, qu’en l’absence de toute disposition législative en ce sens, la CNIL ne pouvait légalement refuser d’accorder les autorisations sollicitées au motif que les traitements envisagés reposaient uniquement sur des critères quantitatifs et qu’elle avait également commis une erreur d’appréciation en estimant que ces critères quantitatifs étaient dépourvus de pertinence eu égard à la finalité du traitement envisagé.

27 Saisie à nouveau par les mêmes sociétés de gestion, la CNIL a finalement autorisé la mise en œuvre des dispositifs de surveillance des réseaux « peer-to-peer » qui lui étaient soumis et qui reprenaient les mêmes caractéristiques, à l’exception du système d’envoi de messages pédagogiques jugé illégal  [29], la Commission se demandant d’ailleurs comment ces dispositifs allaient s’articuler avec les recommandations de la « mission Olivennes » !

28 S’agissant de ce type de fichiers constitués par les SPRD aux fins de constatation des actes de « piratage », le projet de loi ne modifie rien. Leur existence est confortée par l’article 9-4° de la loi Informatique et libertés, qui reste inchangé, et leurs modalités de création soumises à l’autorisation de la CNIL. C’est d’ailleurs sur l’argument de l’absence de saisine de la CNIL que défaillent actuellement les SPRD devant les tribunaux  [30], absence de nature à entacher de nullité l’ensemble des procédures en contrefaçon qu’elles engagent  [31]. Même si l’on peut s’inquiéter de la marge de manœuvre de la CNIL quant à son contrôle de proportionnalité, à la lecture de l’arrêt du Conseil d’État  [32]…

B – Fichiers de la HADOPI

29 La HADOPI aura, pour « fonctionner », la possibilité de recourir à la création de son propre traitement automatisé, relatif aux abonnés faisant l’objet d’une procédure de sa part. Selon l’article L. 331-34 CPI, tel que prévu par le projet de loi, « Est autorisée la création, par la Haute Autorité, d’un traitement automatisé de données à caractère personnel portant sur les personnes faisant l’objet d’une procédure dans le cadre de la présente sous-section ». Ce traitement a pour finalité « la mise en œuvre, par la commission de protection des droits, des mesures prévues à la présente sous-section et de tous les actes de procédure afférents, ainsi que du répertoire national des personnes dont l’accès à un service de communication au public en ligne a été suspendu, notamment la mise à disposition des personnes dont l’activité est d’offrir un accès à de tels services des informations nécessaires pour procéder à la vérification prévue à l’article L. 331-31 ».

30 Le projet prévoit, de façon très classique, qu’un décret en Conseil d’État, pris après avis de la CNIL, fixera les modalités d’application du présent article. Il précisera notamment « les catégories de données enregistrées et leur durée de conservation ; les destinataires habilités à recevoir communication de ces données, notamment les personnes dont l’activité est d’offrir un accès à des services de communication au public en ligne ; les conditions dans lesquelles les personnes intéressées peuvent exercer leur droit d’accès » [33].

31 Ce traitement automatisé doit permettre à la HADOPI de gérer l’ensemble des informations sur les internautes faisant l’objet d’une procédure (1) et notamment de gérer le répertoire des abonnés suspendus (2).

A – Identification du titulaire de l’abonnement par la HADOPI

42 Dans sa délibération précitée du 18 octobre 2005, la CNIL avait refusé à des sociétés d’auteurs et de producteurs de musique la mise en œuvre de dispositifs permettant l’envoi de messages de sensibilisation aux internautes mettant à disposition des œuvres musicales sur les réseaux peer to peer. La commission avait notamment estimé que « l’envoi de messages pédagogiques pour le compte de tiers » ne faisait pas « partie des cas de figure où les fournisseurs d’accès à Internet sont autorisés à conserver les données de connexion des internautes »  [43].

43 Le Conseil d’État  [44] a estimé fondée la position de la CNIL selon laquelle l’envoi de messages pédagogiques aux internautes était contraire aux dispositions de l’article L. 34-1 CPCE, puisqu’ils n’avaient pas pour but la mise à disposition d’informations à l’autorité judiciaire pour le besoin de la poursuite des infractions pénales. L’envoi de tels messages supposait, en effet, que les sociétés d’auteurs demandent aux fournisseurs d’accès d’identifier les internautes. Or cette hypothèse se heurtait à deux difficultés. La première était liée aux motifs de conservation des données de connexion par les fournisseurs, tels que fixés par l’article L. 34-1 CPCE (1) et la seconde tenait à la réserve d’interprétation du Conseil constitutionnel, dans sa décision du 29 juillet 2004, quant à la nécessaire intervention d’un juge (2). Malheureusement, là encore, ce double verrou saute avec le projet de loi.

B – Notification de recommandations ou de sanctions par la HADOPI

51 Une fois levé le verrou de l’article L. 34-1 CPCE, il sera loisible à la HADOPI, dans un premier temps, d’envoyer aux « pirates » des messages d’avertissement par courrier électronique, dénommés recommandations, puis dans un second temps, par voie postale, « par lettre remise contre signature de façon à s’assurer que l’intéressé a bien pris connaissance du comportement qui lui est reproché »  [52].

52 Cette phase dite « préventive », peut être suivie d’une phase de « sanction ». La HADOPI peut, en cas de renouvellement du manquement dans l’année qui suit la réception d’une recommandation, prononcer la suspension  [53] temporaire, pour une durée de trois mois à un an, de l’abonnement Internet, assortie de l’interdiction de se réabonner pendant la même durée, auprès de tout opérateur  [54].

53 Pour atténuer la rigueur de cette mesure de suspension, les sénateurs ont ajouté un 1° bis à l’article L. 331-25 CPI, prévoyant une autre forme de sanction consistant en une mesure de filtrage, par limitation de l’accès à certains services  [55]. La Haute Autorité pourra aussi proposer à l’abonné, par voie de transaction, d’accepter de son plein gré une suspension d’une durée inférieure, comprise entre un et trois mois. Selon l’exposé des motifs « cette dimension transactionnelle, qui instaure un dialogue entre la Haute Autorité et l’abonné, accentuera encore l’aspect pédagogique du dispositif »…

Sur la propriété littéraire et artistique

54 Il n’a pas été notre propos d’analyser ce texte sous le prisme de la propriété littéraire et artistique. Cela étant, il est difficile de ne pas exprimer notre trouble à l’égard d’un dispositif qui interroge la philosophie même du droit d’auteur. Sans doute, ainsi que le relève J. Frayssinet, « le tocsin sonne, la création intellectuelle est en péril, comme les industries qui la soutiennent ! »  [56] mais le malaise persiste sur la proportionnalité de certaines mesures envisagées au dommage incontestablement subi par les auteurs et leurs ayants droit. Certes, comme le souligne M. Thiollière, « l’objectif poursuivi est le même que celui qui avait conduit le Conseil constitutionnel (…) à valider l’autorisation donnée par le législateur aux sociétés d’ayants droit de mettre en œuvre de tels traitements de données »  [57], à savoir « lutter contre les nouvelles pratiques de contrefaçon qui se développent sur le réseau Internet » et répondre ainsi « à l’objectif d’intérêt général qui s’attache à la sauvegarde de la propriété intellectuelle et de la création culturelle »  [58]. Mais la question de l’existence d’autres solutions – telles que l’amélioration de l’offre légale, les protections techniques ou bien encore les poursuites en contrefaçon – reste évidemment entière.

55 V.-L. Benabou espérait, en 2005, « rendre un peu de paix à ces frères devenus ennemis, et par là même restaurer tout le crédit que le droit d’auteur mérite »  [59]. Cette paix ne semble guère retrouvée si l’on en juge des mesures de nature à porter atteinte à la liberté d’expression, telles que les injonctions de filtrage ou de suspension, de la compétence de la HADOPI. Et il n’est pas sûr que Beaumarchais, éditeur de Voltaire, eût été satisfait de voir les ciseaux d’Anastasie couper tout ou partie de l’accès à l’Internet !

56 C’est pourquoi, sensible à l’argument de « l’isolement numérique » ainsi infligé aux citoyens, le Parlement européen, dans sa Résolution du 10 avril 2008 sur les industries culturelles en Europe, a engagé la Commission et les États membres à « reconnaître qu’Internet est une vaste plate-forme pour l’expression culturelle, l’accès à la connaissance et la participation démocratique à la créativité européenne, créant des ponts entre générations dans la société de l’information, et, par conséquent, à éviter l’adoption de mesures allant à l’encontre des droits de l’homme, des droits civiques et des principes de proportionnalité, d’efficacité et d’effet dissuasif, telles que l’interruption de l’accès à Internet »  [60].

57 Dans le même esprit, la CNIL a relevé que le projet de loi attribuait à la HADOPI « une compétence actuellement dévolue par l’article L. 332-1 du CPI au président du tribunal de grande instance statuant sur requête, de prendre à l’encontre des intermédiaires techniques (fournisseur d’accès à Internet et d’hébergement) toute mesure propre à faire cesser ou à prévenir une atteinte aux droits d’auteur ». Pour la Commission, une telle disposition « comporte un risque d’atteinte aux libertés individuelles, au rang desquelles figure la liberté d’expression, dans la mesure où elle donnerait la possibilité à la HADOPI de demander à un intermédiaire technique de procéder au filtrage de contenus considérés comme portant atteinte aux droits d’auteur »  [61].

58 Or, dans sa décision du 23 juillet 1996 relative à la loi de réglementation des télécommunications, le Conseil constitutionnel a considéré que « la loi peut sans qu’il soit porté atteinte au principe de la séparation des pouvoirs, doter une autorité administrative indépendante de pouvoirs de sanction dans la limite nécessaire à l’accomplissement de sa mission » mais « qu’il appartient toutefois au législateur d’assortir l’exercice de ces pouvoirs de sanction de mesures destinées à sauvegarder les droits et libertés constitutionnellement garantis »  [62]. À cet égard, la CNIL a justement souligné que l’article L. 331-22 CPI ne faisait pas état des garanties nécessaires à la protection de la liberté d’expression, telles que « la possibilité pour les intermédiaires techniques, dans un délai déterminé, de demander de cantonner les effets des mesures prises ou l’assurance que lesdites mesures se limiteront aux seuls contenus portant atteinte aux droits d’auteur »  [63]. Cette analyse a été entendue par la Commission des affaires économiques du Sénat qui a proposé de « remplacer la coupure d’accès par une amende, comme sanction ultime de la riposte graduée »  [64], mais a été rejetée par le Sénat…

Sur l’équilibre entre la propriété littéraire et artistique et la protection des données personnelles

59 En deuxième lieu, ce projet de loi interroge l’équilibre entre la propriété littéraire et artistique et la protection des données personnelles. Il illustre bien la difficulté de la mise en balance de ces deux prérogatives  [65]. Certes la CJCE a pu affirmer, dans l’affaire Promusicae  [66], que le droit communautaire n’impose pas aux États membres de prévoir « l’obligation de communiquer des données à caractère personnel en vue d’assurer la protection effective du droit d’auteur dans le cadre d’une procédure civile ». Mais force est de reconnaître qu’elle laisse les États membres au milieu du gué, leur laissant le soin de « se fonder sur une interprétation » des directives qui « permette d’assurer un juste équilibre entre les différents droits fondamentaux protégés par l’ordre juridique communautaire »… S’agissant du présent projet de loi, le résultat de cet arbitrage est, pour le moins, tristement alambiqué !

Sur la protection des données personnelles

60 Enfin, en troisième lieu, ce projet interroge l’équilibre même de la loi Informatique, fichiers et libertés et de son instrumentalisation au profit des SPRD. La mécanique est bien huilée et tout est en ordre de marche, avec l’extension légale de la conservation des données, de la création de fichiers et de l’identification des internautes. Le législateur a compétence pour décider de la création de traitements automatisés. Il en use, au profit de la HADOPI, avec un avis de la CNIL purement consultatif, en vertu de l’article 11-4° de la loi de 1978…

61 Mais face au « rouleau compresseur » de dispositions légales, quelle est la réalité du pouvoir de la CNIL ? On peut assurément rétorquer que tout ce dispositif ainsi légalisé sera sous le contrôle de la CNIL et d’une autre autorité administrative indépendante que sera la HADOPI  [67]. Mais cet argument n’a-t-il pas permis, en définitive, de faire l’économie d’une réflexion plus fondamentale sur la légitimité même de ces fichiers et sur les choix de société qu’ils induisent ? Ces questions sont, pour l’heure, la peau de chagrin des travaux parlementaires  [68].

62 Une fois le principe même de création de ces traitements instauré par la loi, les digues des grands principes de protection des données personnelles vont-elles tenir longtemps ? Suffiront-elles à garantir l’équilibre des droits ? Certes la CNIL conserve un pouvoir d’autorisation de chaque traitement, mais quelle sera sa marge de manœuvre ? En définitive, le débat sur la finalité du traitement a été, quelque peu, escamoté, la finalité de protection des auteurs ayant conféré un blanc-seing, avec bénédiction législative, à la création de fichiers. Là encore, il n’est sûr que Beaumarchais eût été heureux du secours de Big Brother !

63 Il restera à vérifier le respect du principe de finalité en opérant un contrôle de proportionnalité du traitement envisagé. Dans sa délibération du 29 avril 2008, la CNIL a tenu à rappeler, à titre liminaire, que « s’il n’entre pas dans ses missions d’apprécier la légitimité du dispositif proposé, il lui appartient en revanche d’examiner si, au regard des finalités poursuivies, les traitements de données personnelles envisagés sont proportionnés et si les garanties prévues pour assurer la protection des données personnelles recueillies et traitées sont de nature à préserver l’exercice des libertés constitutionnellement protégées au nombre desquelles figure la liberté individuelle dont le droit au respect de la vie privée constitue une des composantes »  [69] !

64 Ce débat sur la proportionnalité suffira-t-il ? Au demeurant, un tel contrôle opéré par la CNIL n’a pas résisté à l’examen du Conseil d’État… Face à ce fichage légalisé il conviendra, à tout le moins, de « sauver les meubles » en veillant sur le respect des « droits » des personnes concernées, notamment quant à la durée de conservation des données, à la mise à jour des fichiers et à l’absence de détournement de finalité.

65 Il faut bien reconnaître que l’univers numérique dans lequel se joue ce « drame » du droit d’auteur favorise la logique de traçage de l’internaute. Faut-il pour autant se jeter, à corps perdu, dans une logique de fichage généralisé, y compris pour des finalités pédagogiques ? Il est vrai que la potentialité de ce fichage existe depuis 2004, mais elle n’avait pas été entrevue comme la panacée aux maux du droit d’auteur mais comme le passage obligé pour d’éventuelles poursuites judiciaires. Et le relatif « anonymat » des internautes, était, à ce stade, préservé, l’identification étant du seul ressort de l’autorité judiciaire. Or on assiste à une radicalisation du processus avec une forte délégation de pouvoir accordée à une autorité administrative indépendante.

66 Le fait est que, d’exception en exception, on en vient à la tolérance de casiers judiciaires parallèles, concernant des abonnés pas nécessairement contrefacteurs, fichiers dont la gestion est confiée à une autorité administrative parallèle à une autorité judiciaire, pour des sanctions parallèles au contentieux de la contrefaçon… Autant de petits arrangements numériques avec nos fragiles principes de protection des libertés individuelles…

67 N. M.-P.