1) L'adresse IP n'est plus une donnée privée
10/02/09

C'est le débat juridico-technico-webesque de la semaine : la cour de cassation a estimé que la Sacem n'avait pas besoin de demander à la Cnil d'autorisation avant de relever les adresses IP d'internautes s'adonnant aux plaisirs coupables du téléchargement illégal, à condition que cette collecte s'effectue à la main.
L'histoire commence en 2004. A l'époque, le téléchargement se pratique essentiellement au moyen de logiciels comme eMule, Shareaza ou Limewire. C'est grâce à ce dernier qu'un internaute de 47 ans pratique assidûment: 22.000 fichiers partagés.
La Sacem, qui protège les droits des auteurs, n'aime pas le téléchargement illégal. Elle emploie donc des gens pour détecter les "pirates". L'un de ces agents - assermentés par le ministère de la Culture - tombe sur notre internaute de 47 ans. Pour le repérer, cet agent est bêtement passé par Limewire, ce qui lui a permis de tracer notre internaute au moyen de son adresse IP.
[Petit rappel : une adresse IP est un numéro à plusieurs chiffres, qui change le plus souvent régulièrement, et indique l'emplacement sur le réseau de chaque ordinateur, routeur, imprimante, etc., connecté au Net. Seul le fournisseur d'accès (Free, Orange...) connaît le nom de l'abonné auquel correspond une adresse IP]
Or, notre zélé agent, tout à sa fougue justicière, fait une bourde : il oublie de demander à la Commission nationale informatique et libertés (Cnil) l'autorisation d'utiliser cette adresse pour remonter à l'internaute, comme le demande l'article 25 de la loi informatique et libertés.
Il transmet les données de sa collecte à la gendarmerie, qui se tourne vers le fournisseur d'accès, seul à pouvoir faire correspondre à cette adresse IP un nom. Celui de notre internaute, qui se trouve être originaire de Saint-Brieuc.
Voilà donc l'internaute Briochain aux prises avec la justice. Qui le condamne et lui réclame 2.000 euros d'amende, dont 1.000 avec sursis, ainsi que la confiscation de ses CD et de son ordinateur. Plus évidemment le versement de 30.000 euros de dommages et intérêts à la Sacem.
Malin, l'internaute use de l'argument de l'adresse IP pour se porter en appel. Le tribunal agrée: le protocole n'a pas été respecté par la Sacem. Relaxe. Mais la Sacem ne l'entend pas de cette oreille. Têtus, ses juristes tentent une nouvelle fois leur chance, cette fois devant la Cour de cassation.
Une décision qui conforte la future loi Hadopi
Et celle-ci vient de leur donner raison. Dans un arrêté du 13 janvier, elle annule le jugement et renvoie l'affaire en cour d'appel. Motif : l'agent de la Sacem n'a pas utilisé de "traitement préalable de surveillance automatisé", c'est à dire un programme chargé de faire la collecte des IP automatiquement, mais obtenu l'adresse manuellement. La requête de la défense ne tient donc plus.
Pour la cour de cassation, il est possible de collecter des IP à la main sans demander l'autorisation de la Cnil pour ce faire, car une adresse IP n'est pas, en soi, une donnée personnelle. Selon elle, en effet, c'est suite à la réquisition de l'autorité - la gendarmerie - que le fournisseur d'accès a donné le nom de l'internaute propriétaire de cette adresse, qui n'indique pas en soi qui se cache derrière l'ordinateur incriminé.
Etonnante coïncidence : l'argument de la vie privée était l'un de ceux avancées par les opposants à la loi Hadopi, qui autorise, pour le coup, une collecte automatisée des adresses IP. A partir de fin mars, si tout va bien, la Sacem pourra en effet procéder à un balayage automatisé de tous les réseaux peer-to-peer pour localiser les vilains pirates. Et leur envoyer des mails comminatoires, des lettres recommandées, puis des avis de coupure de ligne internet s'ils continuent à pratiquer.
L'argument disant qu'une adresse IP est une donnée personnelle est donc sérieusement ébranlé par la justice. Du moins si la cour d'appel de Paris, devant laquelle la cour de cassation a renvoyé le jugement, confirme le verdict de cette dernière sur le fond.
Jusqu'ici, rien de contestable, que du juridique. Mais lorsqu'on entre dans le technique, les choses se corsent un peu : Car une adresse IP n'est pas toujours précise. Un pirate peut par exemple, c'est même un classique, se servir de PC infectés (dits "PC Zombies", les hackers étant des geeks, et les geeks aimant les zombies) dont il a le contrôle pour lancer des attaques ou télécharger illégalement.
2009, année de la chasse aux pirates
Le site The Pirate Bay s'amuse aussi à narguer les gouvernements dans leur lutte anti-téléchargement en polluant son "tracker", le fichier qui coordonne les transferts de données dans le protocole de téléchargement bittorrent, avec des adresses ip aléatoires. But de la manoeuvre: montrer les limites des lois instaurant une traque des IP.
Pour l'instant en effet, les procédures se bornent à associer à un fichier téléchargé une adresse IP.  La justice postule le plus souvent que le piratage est avéré, sans vérifier la présence du fichier sur l'ordinateur du flibustier en herbe.
Avec les fausses adresses de Pirate Bay, le traitement automatisé que se propose de mettre en place la loi Hadopi pourrait aboutir à des condamnations d'internautes innocents, mais peu chanceux, dont l'IP aurait été générée par Pirate Bay sans qu'ils aient pour autant téléchargé quoi que ce soit. C'est même ce qu'espèrent les hackers suédois, qui comptent ainsi empêcher la loi de fonctionner.
De manière plus générale, un internaute suffisamment nerd pour s'y intéresser peut sans trop de problèmes filtrer, crypter et anonymiser son IP pour télécharger sans crainte. Les plus concernés par Hadopi seront donc les internautes "lambda" qui continueront d'user et d'abuser de Kazaa et autres logiciels "basiques" de peer-to-peer.
L'année 2009 devrait être celle de la grande chasse aux pirates, avec son lot de procès et de protestations organisées. On imagine d'avance les bons pères de famille privés de web à cause du fiston qui télécharge à leur insu et autres problématiques touchant les entreprises dont un employé indélicat aura usé de la connexion pour se faire une collection de musique.
On l'a déjà écrit ici, le problème de la législation anti-piratage, depuis ses débuts, c'est qu'elle a toujours deux wagons de retard. Aujourd'hui, le téléchargement comme thésaurisation de fichiers acquis illégalement, le téléchargement "de stock", cède le pas au flux : la musique et la vidéo consommée directement sur Internet sans avoir besoin de télécharger. C'est ce que proposent légalement Deezer ou Youtube. Un peu moins légal, mais quasiment intraçable : le visionnage de séries et de film en streaming direct sur des sites comme Megavideo, qui se fait de plus en plus. Bref, on légifère sur la vitesse des attelages de chevaux alors que les internautes sont déjà passés à l'automobile.

2) Un internaute mis à nu à partir de ses traces sur le web
16/01/2009

 .Le bimestriel «Le Tigre» a réalisé un «portrait google» d'une personne prise au hasard, en retraçant sa vie à partir des informations qu'il avait laissées sur le web. Une éclatante démonstration de l'importance de gérer son identité numérique.
C'est un beau coup de buzz pour le Tigre, «curieux magazine curieux» bimestriel : depuis jeudi, tout le web francophone commente sa performance. L'un des deux fondateurs, Raphaël Meltz, a en effet inventé le «portrait Google», qui consiste à raconter la vie d'un internaute pris au hasard à partir de ses traces numériques.C'est un certain Marc L. qui a eu la surprise de se découvrir dans les pages du magazine. Une expérience traumatisante, selon le récit qu'il en a fait à Presse-Océan. «Immédiatement j'ai enlevé toutes les informations me concernant sur Internet», explique Marc, qui dit n'avoir pas dormi pendant «plusieurs nuits» après cette expérience. Une preuve, selon Raphaël Meltz, que «rendre publique sa vie sur Internet est dangereux».
Le travail du journaliste est, il est vrai, impeccable : parti d'une photo de Marc laissée sur le site de partage d'images Flickr, il parvient à reconstituer dans le détail son séjour au Canada, avant d'évoquer son travail, qu'il a trouvé sur son profil Facebook. Sur Facebook toujours, Raphaël Meltz a pu retracer les liaisons amoureuses de Marc à partir de l'historique de son «statut», une petite phrase indiquant ce qu'on fait et visible par ses amis. Le portrait se poursuit par l'évocation de la carrière de musicien amateur de Marc, trouvé sur les archives Google de la presse locale, où Raphaël Meltz a également déniché le numéro de portable du jeune homme.
Internet n'est plus anonyme
De quoi inquiéter ? A l'heure des réseaux sociaux, dans une France qui compte six millions d'inscrits sur le plus connu d'entre eux, Facebook, la gestion de l'identité numérique devient il est vrai une question dont chaque internaute doit se soucier.
L'expérience menée par Le Tigre, pour édifiante qu'elle soit, ne surprendra pas grand-monde parmi les plus assidus des internautes. Il est aujourd'hui extrêmement facile d'obtenir des renseignements sur une personne à partir d'une simple recherche Google. Des sites spécialisés, comme CVgadget.com, permettent même d'effectuer à partir des nom et prénom d'une personne une recherche sur toute une série de sites et de réseaux sociaux. Et la plupart des directeurs de ressources humaines ne font pas mystère du fait qu'ils tapent le nom d'un candidat à une embauche dans un moteur de recherche « juste pour voir ».
Faut-il pour autant paniquer et se désinscrire de tous les sites où l'on a laissé un profil ou crier à l'émergence du «big brother numérique» ? Pas nécessairement. Certes, Internet n'est plus, comme il y a dix ans, un lieu d'anonymat. Toutefois, rechercher autant d'informations que l'a fait le Tigre prend du temps et demande une connaissance correcte du web.
La plupart des réseaux sociaux ont mis en place des paramètres permettant de déterminer qui peut voir tel ou tel élément de son profil. Sur les résultats d'une recherche Google en revanche, nul n'est à l'abri de voir apparaître un élément qu'il ne souhaiterait pas. Le plus simple, pour se sentir un minimum à l'abri, reste donc sans doute de se demander, à chaque fois qu'on publie quelque chose sur le web, si l'on est prêt à ce que tout le monde puisse le voir…

3) Vers le dépôt de plainte sur Internet