Le côté obscur du Web

Cette nuit, l’écran de ma tablette est resté inerte. Un rapide tour des autres écrans du foyer et de notre box m’a vite confirmé que l’accès Internet était interrompu, comme d’ailleurs pour l’ensemble de mes voisins et, comme nous l’apprîmes en allumant une ancienne radio oubliée tout au fond d’un placard, pour le pays et la planète toute entière ! Une cause inexplicable avait comme siphonnée les réseaux. Internet ne fonctionnait plus. Plus de réseau, plus de communication, plus de cloud, plus d’applications… Ce scénario catastrophe, je l’imaginais en terminant la lecture
du toujours étonnant « Ravage », où René Barjavel décrit les conséquences de la disparition mystérieuse de l’électricité, rejetant l’Humanité dans un âge obscur, néo-féodal. Bien qu’excessif, ce scénario a cependant été envisagé par certains comme
une option au développement toujours plus rapide d’un Internet arrêté en plein vol par des cyber attaques d’envergures et répétées : l’absence de stratégie globale sur les questions de sécurité dans le cyberespace et le coût devenu trop important des moyens à déployer pour le sécuriser étant à l’origine d’un repli sur soi généralisé, entraînant une baisse de l’innovation et du commerce en ligne.

« Ne vient-on pas d’arrêter hier
le responsable du premier brain hacking,
qui a pris le contrôle de cerveaux ? »

Les menaces n’ont cessé de prospérer jusqu’à constituer une véritable histoire de la cyber sécurité avec ses corsaires emblématiques, ses bandits de grands chemins,
ses pirates du quotidien et leurs cohortes de victimes : Kevin Mitnick fut le pirate le plus recherché de son temps après avoir « hacké » les géants Dec et IBM ; Garry McKinnon pénétra entre 2001 et 2002 les systèmes des grands corps de l’Armée américaine à la recherche de dossiers prouvant l’existence des OVNI ; Albert Gonzalez écopa de la plus forte peine de prison de la catégorie – 20 ans – pour avoir été à l’origine d’un vol massif de numéros de cartes de crédit. La cyber malveillance est devenue une étrange cour des miracles contemporaine où se côtoient des escrocs à la petite annonce en Europe, des affabulateurs masqués en Afrique, des maîtres de la fraude en tout genre en Europe de l’Est ou de consciencieux élèves fraîchement sortis d’écoles de hacking chinoises… Le dossier du Web obscur est cependant bien plus épais car toutes les faces du Net prêtent en réalité le flan à des détournements plus ou moins intentionnellement malveillants. C’est tout à la fois la question sensible des données personnelles et de nos libertés, l’enjeu économique du respect des droits de propriétés intellectuelles, l’exposition permanente des mineurs à des pratiques d’adultes, l’évolution rapide des limites fixées à la liberté d’expression, jusqu’au cyber-terrorisme qui a très vite trouvé sur le Net une terre d’accueil.
A l’heure où s’imposent le cloud et l’interconnexion, aucune organisation ne peut plus faire d’économie en matière de sécurité de ses offres. La mise en place des outils techniques, de règles partagées et de pratiques rigoureuses est plus que jamais un impératif. Sony paya très cher sa légèreté en la matière, lorsqu’en 2011 le groupe fut contraint de fermer pendant plusieurs semaines son PlayStation Network suite à l’intrusion de hackers dans son entrepôt de données clients : une perte estimée à plus de 1 milliard d’euros à l’époque. Certains prêtent aux Etats-Unis l’intention de déployer une stratégie sécuritaire visant à dominer le cyber espace, comme en son temps Ronald Reagan, en 1983, avec sa Guerre des étoiles. Une telle fin demande bien sûr la définition d’une stratégie globale appuyée par des moyens considérables, mais aussi une recherche de nouveaux modes de gouvernance collaborative. Les plus optimistes, comme Peter Tippett chez Verizon, pensent que les risques liés aux cyber menaces vont diminuer progressivement grâce à des mesures plus efficaces et universelles limitant e-mails indésirables, usurpations d’identités et autres crimes informatiques.
Il reste que chaque mois des cyber attaques de plus en plus ciblées défraient la chronique au rythme des évolutions technologiques. Ne vient-on pas d’arrêter hier
le responsable du premier brain hacking, qui, profitant d’une faille d’une nouvelle génération de terminaux neuronaux, a pris le contrôle des cerveaux d’une centaine
de traders ? @

Jean-Dominique Séval*
Prochaine chronique « 2020 » : Les tablettes
* Jean-Dominique Séval est directeur général adjoint
de l’Idate. Sur le même thème : numéro spécial
« The economics of cybersecurity » de la revue économique
Communications & Stratégies de l’Idate.

Filtrage de l’Internet et blocage du Web par les FAI : une loi spécifique est nécessaire

Dans l’affaire Sabam, l’avocat général de la Cour de justice européenne se prononce sur le filtrage des réseaux en Belgique, et dénonce l’absence de loi spécifique. Ses conclusions renforcent les récentes propositions des députés français Corinne Erhel et Laure de La Raudière.

Par Winston Maxwell*, avocat associé, Hogan Lovells

Quel est le rôle des intermédiaires techniques dans la lutte contre la circulation des contenus illicites ? Cette question épineuse ne cesse d’interpeller les tribunaux (1), le législateur français (2), la Commission européenne (elle a publié le 24 mai sa stratégie en matière de droits d’auteur (3)), le Conseil de l’Union européenne (4) et l’OCDE (5). La protection de la propriété intellectuelle est un sous-ensemble de cette vaste question.

Affaire Sabam: les FAI obligés de filtrer ?
Le rôle des fournisseurs d’accès à Internet (FAI) dans la protection de la propriété intellectuelle – coopération que la Commission européenne vient d’appeler de ses
vœux (6) – est particulièrement controversé, notamment en France qui a pourtant pris
les devants avec la création de l’Hadopi.
Le concours des FAI dans la lutte contre la contrefaçon est possible à deux niveaux. Premièrement, le FAI peut donner le nom de l’abonné qui correspond à une adresse IP,
et donc aider à trouver le nom de l’auteur de l’infraction, même si l’abonné ne sera pas toujours la personne qui a commis l’infraction. Deuxièmement, le FAI peut empêcher l’infraction d’avoir lieu, en bloquant le contenu illicite au niveau du réseau. Des blocages de contenus sont fréquents en matière de spams, de virus informatiques et d’attaques déni de services. Certains outils de contrôle parental bloquent également l’accès à des contenus pornographiques, à la demande des abonnés.
En Belgique, la Société des auteurs et compositeurs belges (Sabam) a demandé au tribunal d’ordonner la mise en place d’un système de filtrage par Scarlet, FAI aujourd’hui filiale de Belgacom. Le système de filtrage s’appuyait sur les mêmes principes que ceux mis en place par les plateformes de partage de vidéo telles que Dailymotion et YouTube, à savoir un système d’empreintes qui compare le contenu avec une base de données d’empreintes d’œuvres protégées. En cas de correspondance positive, le système bloque la transmission ou bien dirige l’internaute vers un site web où le contenu est disponible légalement. Après avoir ordonné une expertise technique, le magistrat belge a ordonné à Scarlet de mettre en oeuvre ces mesures de filtrage. Scarlet a fait appel, et la Cour d’appel de Bruxelles a posé une question préjudicielle à la Cour de justice de l’Union européenne. Le 14 avril 2011, l’avocat général a rendu son avis à la Cour. Même si les conclusions de l’avocat général ne s’imposent pas à la Cour, cet avis est riche d’enseignements. La question posée à la Cour est de savoir s’il est possible pour un juge d’ordonner une mesure de filtrage généralisée qui n’est pas liée à un contenu ou une infraction déterminée, mais vise plutôt un ensemble d’infractions potentielles, non encore commises, par l’ensemble des abonnés d’un FAI. Cette question du filtrage préventif est beaucoup plus complexe que celle du filtrage ponctuel pour bloquer l’accès à un contenu prédéterminé (7).
L’analyse s’effectue en deux étapes :
1°) Est-ce que la mesure crée une restriction d’un droit fondamental ?
2°) Si la réponse est oui, est-ce que la mesure remplit les trois critères imposés par la jurisprudence pour permettre une telle restriction ?
L’avocat général commence donc par évaluer l’impact de la mesure de filtrage sur les droits fondamentaux. Il conclut que le système crée un risque par rapport à la protection des données personnelles, parce que le système s’appuie sur une analyse des adresses IP des internautes. Et selon lui, l’adresse IP est une donnée personnelle.

Filtrage général sous contrôle du juge ?
L’avocat général cite également le droit au secret des correspondances et la liberté d’expression comme droits fondamentaux potentiellement impactés par la mesure. Il examine ensuite les conditions dans lesquelles ces droits fondamentaux peuvent faire l’objet d’une limitation. Les conditions sont au nombre de trois : la limitation doit être prévue de manière précise par la loi ; la mesure doit viser la protection d’un intérêt légitime ; et la mesure doit respecter le principe de proportionnalité. En règle générale, c’est le test de proportionnalité qui pose difficulté. Il faut démontrer que la mesure proposée est limitée à ce qui est strictement nécessaire pour atteindre l’objectif recherché, et qu’elle est entourée de suffisamment de protections pour minimiser l’impact sur les autres droits fondamentaux.

Pour une procédure judiciaire unique
L’avocat général indique qu’il a certains doutes sur la proportionnalité de la mesure envisagée, dans la mesure où celle-ci affecte l’ensemble des internautes et non seulement les internautes soupçonnés d’avoir commis des actes de contrefaçon. Cependant, il estime que la Cour n’a même pas besoin d’examiner le troisième test car
le premier test fait défaut. Selon l’avocat général, la Belgique n’a pas adopté une loi spécifique qui permettrait un filtrage généralisé de ce type. Or l’adoption d’une loi débattue devant le parlement est la première garantie des libertés dans une société démocratique. En Belgique, il existe une loi autorisant le magistrat à ordonner toute mesure pour mettre fin notamment à des actes de contrefaçon, mais selon l’avocat général cette loi n’est pas suffisamment précise pour permettre la mise en place d’une mesure préventive qui impacterait potentiellement l’ensemble des internautes belges. En ce qui concerne le deuxième test, la poursuite d’un intérêt légitime, l’avocat général rappelle la jurisprudence « Promusicae » (8) : la protection du droit d’auteur est également un droit fondamental et sa poursuite est légitime. Ce test serait facilement rempli.
Quel lien avec la Net neutralité ? L’avis de l’avocat général rappelle que les mesures obligatoires de filtrage ne sont pas impossibles à mettre en oeuvre juridiquement, mais qu’elles doivent s’accompagner de précautions, la première étant l’existence d’un cadre législatif clair. C’est précisément la conclusion des députés françaises Corinne Erhel et Laure de La Raudière dans leur rapport d’information sur la neutralité de l’Internet et des réseaux, déposé le 13 avril 2011 à l’Assemblée Nationale (9).
Dans ce rapport, les députés plaident pour un cadre législatif unique pour toute mesure
de filtrage obligatoire, avec un recours systématique au juge : « Les fournisseurs d’accès à Internet ne devraient pouvoir être obligés de bloquer des communications électroniques, sauf pour des motifs de sécurité, qu’à l’issue d’une procédure unique permettant à l’autorité judiciaire d’ordonner l’arrêt de l’accès à un contenu, un service ou une application » (10). Selon le rapport d’information, l’émiettement de procédures spécifiques (LCEN, Arjel, Loppsi II) est source de confusion. L’établissement d’une procédure unique permettrait d’assurer la cohérence des décisions législatives et de
« consolider » les débats sur le blocage en les ancrant clairement dans un article de code (11). Le rapport souligne surtout l’importance de l’intervention du législateur pour instaurer un cadre équilibré pour le filtrage. Ainsi, le rapport converge avec l’avis de l’avocat général dans l’affaire « Sabam » : sur un sujet aussi sensible, une loi claire est indispensable.
Le rapport d’information souligne également la nécessité d’effecteur une étude d’impact avant d’envisager toute mesure de filtrage. Les députés soulignent les effets pervers
qui peuvent se produire en cas de mise en place généralisée de filtrage, tels que le basculement par un grand nombre d’utilisateurs vers des techniques de cryptage. De tels effets doivent être étudiés en amont.
Une étude d’impact a été justement effectuée avant l’adoption du « Digital Economy
Act » au Royaume- Uni. Cette loi anglaise oblige les FAI anglais à collaborer dans la lutte contre la contrefaçon, notamment en envoyant des messages d’avertissement
aux internautes suspectés de contrefaçon. Deux FAI – TalkTalk et BT – ont contesté la légalité de la loi devant la Haute Cour (High Court of Justice), estimant notamment que ses dispositions ne respectaient pas le principe de proportionnalité. Le tribunal a rendu sa décision le 20 avril 2011 (12) déboutant les demandeurs de la quasi-totalité de leurs demandes. Sur le sujet-clé de la proportionnalité, le tribunal estime que le Parlement britannique avait effectué un équilibre raisonnable entre les divers droits en présence (données personnelles, liberté d’expression, droit d’auteur) sur la base d’une étude d’impact, et qu’en l’absence d’une erreur manifeste, cet équilibre ne devait pas être remis en cause par le tribunal.

Affaire TalkTalk : la loi anglaise confirmée
Le tribunal anglais a souligné la complexité du sujet et la différence des points de vue, notamment sur l’efficacité des notifications devant être envoyées aux internautes et l’impact réel du téléchargement illicite sur la vente des disques, etc. Mais le tribunal a conclu que le Parlement disposait d’une marge d’appréciation sur le poids à accorder
aux différents points de vues, et que le tribunal ne devait pas remettre en cause ces appréciations. @

* Winston Maxwell et Nicolas Curien (membre
de l’Arcep) sont coauteurs de
« La neutralité d’Internet », aux éditions
La Découverte (collection Repères).

e-G8 et e-Europe : Internet devient une affaire d’Etats

En fait. Les 24 et 25 mai, la France a organisé à Paris – la veille du G8 à Deauville
– le forum « e-G8 » consacré à Internet – pour lequel Nicolas Sarkozy veut
« des règles du droit » et « de la morale ». La Commission européenne, elle,
a lancé le 24 mai sa stratégie sur les droits d’auteur à l’heure du Net.