Le Conseil constitutionnel vient de déclarer contraire à la Constitution une partie du droit de communication de la Hadopi. Celle qui lui permet d’identifier les abonnés derrière les adresses IP. Seulement, l’annulation est à effet différé. Entretemps, le gouvernement pourra donc corriger le tir. Une victoire à la Pyrrhus pour les requérants.

Pour comprendre les ressorts de la décision initiée à la demande de quatre associations – La Quadrature du Net, la Fédération des fournisseurs d’accès à Internet associatifs, Franciliens.net et French Data Network (FDN) – il faut revenir aux textes fondateurs.

Le 5 mars 2010, voilà donc plus de 10 ans, un décret instaurait le « système de gestion des mesures pour la protection des œuvres sur internet ». En pratique, un traitement de données personnelles grâce auquel depuis la Hadopi, la Commission de protection des droits (CPD) peut mitrailler les abonnés d’avertissements pour défaut de sécurisation. Ceux qui n'ont su prévenir les téléchargements illicites depuis leur ligne. 

La loi de 2009 a en effet instauré une amende à l’encontre des abonnés dont les adresses IP sont associées à des échanges illicites sur les réseaux P2P. Les relevés de ces adresses sont effectués par les sociétés de défense de l’univers culturel puis transmises à la CPD. Celle-ci contacte ensuite les FAI pour obtenir les coordonnées personnelles de chacun de ces indélicats.

Un tel traitement exige donc des données personnelles, son carburant. Le décret du 5 mars 2010 en dresse la liste. Dans le lot, on trouve limitativement… :

• Les date et heure des faits
• L’adresse IP des abonnés concernés
• Le protocole pair à pair utilisé
• Le pseudonyme utilisé par l'abonné
• Le nom du fichier tel que présent sur le poste de l'abonné (le cas échéant)
• Son fournisseur d'accès à internet auprès duquel l'accès a été souscrit
• Ses nom de famille et prénom(s)
• Ses adresses postale et électronique
• Ses coordonnées téléphoniques
• L’adresse de l'installation téléphonique
• Les éventuelles précédentes recommandations déjà adressées

C’est avec ce stock que la fameuse riposte graduée peut être mise en marche. Un mail, une lettre recommandée et en cas de persistance une possible transmission au procureur de la République et au-delà, au tribunal de police.

Les quatre associations ont profité d’un recours au Conseil d’État pour soulever une question préjudicielle sur cet écosystème. Elle porte non sur ce décret, mais sur la loi de 2009 elle-même et tout particulièrement l’article L331-21 du Code de la propriété intellectuelle.

Une loi trop généreuse dans l'accès aux données de connexion

Cet article est une pièce centrale, le cœur de la Hadopi disions-nous. Et pour cause, il offre la possibilité pour les agents de la Hadopi d’accéder aux données de connexion détenues par les fournisseurs d’accès. Dit autrement, sans ce feu vert, la Hadopi ne dispose que d’adresses IP sans savoir quelles personnes se « cachent » derrière.

Le souci se retrouve dans ses derniers alinéas. Le texte prévoit qu’ils peuvent se faire communiquer par les FAI « tous documents, quel qu'en soit le support, y compris les données conservées et traitées par les opérateurs de communications électroniques ».

Le texte, très bavard, ajoute qu’ils « peuvent, notamment, obtenir des opérateurs (…) l'identité, l'adresse postale, l'adresse électronique et les coordonnées téléphoniques de l'abonné (…). »

Même le profane sait que la liste des données communicables n’est plus limitative. Pour s’en convaincre, il suffit de retenir l’expression « tous les documents » et l’adverbe « notamment ».

C’est là que le bât blesse. Un retour sur la jurisprudence du Conseil constitutionnel permet de comprendre pourquoi.

Les précédents : Autorité de la Concurrence, AMF, Douanes, ou Sécurité sociale

Le 5 août 2015, le Conseil constitutionnel censurait une des dispositions de la loi « Macron » autorisant les agents de l’Autorité de la concurrence à accéder à un vaste et trop généreux stock de données de connexion dont les FADET (pour FActures DETaillées). Le juge posait alors que « la communication des données de connexion est de nature à porter atteinte au droit au respect de la vie privée de la personne intéressée ». Or le droit de communication des agents n’était assorti « d'aucune autre garantie ». Un vrai accès open bar.

En juillet 2017, rebelote cette fois avec le pouvoir des agents de l’Autorité des marchés financiers, là encore assortis d’aucune garantie. 

En février 2019, c’était pour le droit de communication des agents des Douanes que le Conseil répétait que « le législateur n'a pas entouré la procédure prévue par les dispositions contestées de garanties propres à assurer une conciliation équilibrée entre, d'une part, le droit au respect de la vie privée et, d'autre part, la prévention des atteintes à l'ordre public et la recherche des auteurs d'infractions ». 

Et en juin 2019, c’est la Sécurité sociale qui passait sur le grill constitutionnel non sans souffrance.

Cette jurisprudence désormais constante s’inscrit dans le sillage d’un mouvement né à la Cour de justice de l’Union européenne. Dans le contexte des révélations Snowden, le 8 avril 2014, elle invalidait la directive sur la conservation des données de connexion, en fustigeant l’absence de garanties.

Elle expliquait à cette occasion que les données de connexion « prises dans leur ensemble, sont susceptibles de permettre de tirer des conclusions très précises concernant la vie privée des personnes (…) telles que les habitudes de la vie quotidienne, les lieux de séjour permanents ou temporaires, les déplacements journaliers ou autres, les activités exercées, les relations sociales de ces personnes et les milieux sociaux fréquentés par celles-ci ».

Vie privée et données de connexion

Il ressort de cette jurisprudence qu’un accès à des données de connexion doit être encadré par de sérieuses garanties puisque l’atteinte à la vie privée est réelle et que ces informations permettent de tracer toute la vie numérique d’une personne, graphe social inclus. Problème donc avec la loi Hadopi : d’une part, le spectre des données de connexion n’est pas limitatif. D’autre part, les FAI ont l’obligation de répondre aux demandes des agents sous peine d’amende. C’est cette défaillance qu’a été victorieusement exploitée par les requérants.

Dans ses conclusions au Conseil d’État, lequel a décidé de transmettre la question prioritaire, la rapporteure Anne Iljic avait relevé que « ces données sont de manière beaucoup plus évidente que pour l’Autorité de la concurrence ou l’AMF au cœur même de la mission de la HADOPI, qui est de faire cesser les atteintes aux titulaires de droits d’auteurs sur internet ».

Cependant, c’est justement parce qu’elles sont en son cœur qu’elles méritent un encadrement serré. Un encadrement qui ne peut se limiter à un décret, mais doit être correctement borné au cran supérieur, celui de la loi, qui devrait par ailleurs prévoir les dispositifs de contrôle qui font aujourd’hui sèchement défaut.

Dans ce recours, le gouvernement a malgré tout rappelé que le décret de 2010 dressait une liste exhaustive des données de connexion, espérant satisfaire les exigences constitutionnelles. Vainement. 

Une censure chirurgicale

Au final, le Conseil constitutionnel a censuré les derniers alinéas de l’article précité, en expliquant pourquoi : 

« Toutefois, d'une part, en faisant porter le droit de communication sur « tous documents, quel qu'en soit le support » et en ne précisant pas les personnes auprès desquelles il est susceptible de s'exercer, le législateur n'a ni limité le champ d'exercice de ce droit de communication ni garanti que les documents en faisant l'objet présentent un lien direct avec le manquement à l'obligation énoncée à l'article L. 336 - 3 du code de la propriété intellectuelle, qui justifie la procédure mise en œuvre par la commission de protection des droits.

D'autre part, ce droit de communication peut également s'exercer sur toutes les données de connexion détenues par les opérateurs de communication électronique. Or, compte tenu de leur nature et des traitements dont elles peuvent faire l'objet, de telles données fournissent sur les personnes en cause des informations nombreuses et précises, particulièrement attentatoires à leur vie privée. Elles ne présentent pas non plus nécessairement de lien direct avec le manquement à l'obligation énoncée à l'article L. 336 - 3.»

Une nouvelle fois, « le législateur n'a pas entouré la procédure prévue par les dispositions contestées de garanties propres à assurer une conciliation qui ne soit pas manifestement déséquilibrée entre le droit au respect de la vie privée et l'objectif de sauvegarde de la propriété intellectuelle ».

Cependant, le Conseil a répondu favorablement au gouvernement, qui réclamait un report dans le temps de l’éventuelle décision d’annulation. Il a injecté un effet différé à son annulation aux alinéas litigieux jusqu’au 31 décembre 2020, au motif que « l'abrogation immédiate des dispositions déclarées contraires à la Constitution entraînerait des conséquences manifestement excessives ».

C’est un joli cadeau fait à l’exécutif. Dans ses « commentaires aux cachiers » de la décision du 21 juillet 2017, le Conseil constitutionnel avait déjà évoqué le problème épineux des agents de la Hadopi. En clair, le gouvernement savait que la procédure Hadopi souffrait d’une grosse défaillance au regard de la jurisprudence désormais constante du Conseil. Mais il n’a rien fait. Mieux, les neuf très Sages lui accordent plus de 6 nouveaux mois pour accoler une rustine.

Une rustine bientôt corrigée

« Hadopi est vaincue » indique la Quadrature du Net. Cependant, le patch pourra largement intervenir avant cette issue fatale : projet de loi sur les mesures d’urgence à rendre pendant la pandémie, ordonnance ou future grande loi Arcom attendue dans les prochains mois.

Précisons que la censure n'est pas générale. Si l'on regarde bien, la décision d'annulation porte sur les alinéas 3 et 4 de l'article L.331.21 du Code de la propriété intellectuelle, et le « notamment » du dernier alinéa.

Cela signifie donc que même sans rustine, Hadopi peut continuer à « obtenir des opérateurs de communications électroniques l'identité, l'adresse postale, l'adresse électronique et les coordonnées téléphoniques de l'abonné ». Reste ouverte la question des adresses IP transmises par les ayants droit, horodatage inclus. Si elle ne peut plus y accéder, elle ne pourrait plus identifier les abonnés.  Toutefois, rien n'est moins sûr puisque ces données lui sont techniquement transmises par les ayants droit. En toute logique, la riposte graduée pourrait ainsi perdurer au-delà de l'année 2020, même sans rustine.

Extrait de la décision du Conseil constitutionnel

Le sujet plus tracassant pour l'autorité n’est pas vraiment ce droit de communication, qui sera rapidement corrigé, mais plutôt la question de la conservation généralisée des données de connexion.

Une conservation indifférenciée épinglée par la Cour de justice de l’Union européenne dans son arrêt Télé2, que les juges aimeraient réserver aux seules infractions graves. Est-ce bien le cas du défaut de sécurisation ?