Première parution le 16 septembre 2005

Le projet de loi sur le terrorisme va être présenté par Nicolas Sarkozy. Il devrait préconiser une conservation des données de connexion au Net pendant un an. Tous les fournisseurs d'accès Internet sont concernés, jusqu'aux cybercafés et aux entreprises. Mais cette rétention de données a un coût, que les acteurs du secteur aimeraient voir assumé par l'Etat.

Savoir quel numéro a appelé quel autre numéro et où. Conservées pendant un an, les données de connexions téléphoniques sont aujourd'hui un des grands classiques des investigations policières. Un statut que la future loi française sur le terrorisme aimerait bien étendre aux données de connexion à Internet.

Le projet de loi, présenté par le ministre de l'Intérieur, Nicolas Sarkozy, devrait, selon l'AFP, être dévoilé début octobre en Conseil des ministres pour une adoption rapide par le Parlement, d'ici à la fin de l'année. Il devrait fixer à un an la durée de conservation des données de communication (des discussions au niveau européen partent plutôt sur une piste de trois ans). Cette mesure s'appliquerait en premier lieu aux FAI, mais aussi aux cybercafés et aux entreprises qui mettent à la disposition de leurs employés un accès au Web.

Elle se révèle beaucoup plus contraignante que ce que la loi impose aujourd'hui aux acteurs d'Internet. « La loi sur la sécurité quotidienne (LSQ) [votée en 2001, NDLR] dit seulement que les FAI n'ont pas le droit de conserver les données de connexion plus d'un an, explique Benoît Louvet, avocat et directeur du département sécurité numérique au cabinet Alain-Bensoussan. Certains FAI les conservent donc trois mois, d'autres six mois, d'autres encore, la majorité, un an. » En plus de cette disposition, la loi pour la confiance dans l'économie numérique (LCEN, adoptée en 2004) stipule que les FAI et les hébergeurs ont l'obligation d'identifier leurs utilisateurs.

Certains flous juridiques restent toutefois à lever. Les décrets d'application de la LSQ attendent ainsi toujours d'être publiés. Paradoxalement, la loi sur le terrorisme pourrait entrer en application bien avant. Une lenteur surtout due à des considérations financières. « La conservation des données a un coût, dont la LSQ a d'ailleurs prévu la prise en charge par l'Etat, explique Stéphane Marcovitch, le délégué général de l'AFA (Association française des fournisseurs d'accès). Aux dernières nouvelles, le décret prévoirait de ne rembourser que les demandes effectuées par la police auprès des FAI, pas les investissements et la maintenance qui permettent de répondre à ces demandes. S'il reste en l'état, nous l'attaquerons devant le Conseil d'Etat. »

Les FAI ont sans doute en tête l'exemple des opérateurs mobiles. Habitués aux demandes de la police, ceux-ci auraient, selon un bon connaisseur du dossier, habilement négocié avec le ministère de la Justice pour obtenir d'importantes compensations financières dans le cadre de la rétention des données de communication.

Mais la fourniture d'accès à Internet ne se limite pas aux habituels Wanadoo, Free ou AOL. Ainsi des opérateurs Wi-Fi. Regroupés dans l'association Wireless Link, les principaux acteurs français de ce secteur ont pris les devants. « La conservation des données de connexion est une des clauses obligatoires dans les accords d'interopérabilité entre nos membres », explique Joël Gaget, son directeur général. Qui reconnaît que les réquisitions judiciaires dans le monde du Wi-Fi sont pour l'instant très rares.

Les cybercafés sont eux aussi concernés. Selon Le Figaro, un article du projet de loi sur le terrorisme les obligerait explicitement à conserver les données de connexion de leurs visiteurs. XS-Arena, un des plus gros acteurs français, réagit vivement à l'évocation de ce texte : « Quelle horreur ! Jusque-là, nous n'avions pas ce genre d'obligation. D'autant plus que je ne vois pas quelle solution technique utiliser et que, même si elle existe, elle sera certainement très chère. »

Mais, aux yeux de Benoît Louvet, le problème des cybercafés est un faux problème. « Déjà dans le texte de la LEN, il est bien dit que fournisseurs et hébergeurs doivent retenir l'identifiant de leur client. Il n'y a aucune raison que les cybercafés n'entrent pas dans ces catégories. D'ailleurs, la jurisprudence tend même à considérer les entreprises comme des fournisseurs d'accès. »

Et en particulier un jugement datant de mars concernant la BNP. Dans une affaire de diffamation remontant à l'adresse IP d'un PC appartenant au réseau informatique de la banque, la cour d'appel de Paris a considéré que la société avait les mêmes devoirs qu'un FAI. Cette décision de justice pourrait théoriquement s'appliquer à toutes les entreprises installées en France.