OWNI_Live!

Le Groupe de travail Article 29 sur la protection des données (ou G29) s’est réuni les 13 et 14 juillet dernier à Bruxelles. Cet organe consultatif européen indépendant fournit à la Commission européenne des avis sur les questions relatives à la protection des données et la vie privée. Lors de cette session plénière, il a adopté un rapport (pdf) sur la “conformité au niveau national des opérateurs et FAI avec les obligations requises par la législation nationale sur la conservation des données”. Ce, sur les bases des articles 6 et 9 de la directive 2002/58/CE “(Vie privée et communications électroniques) et la directive 2006/24/CE.

“Les conclusions du rapport montrent clairement un manque d’harmonisation (…) dans la mise en œuvre nationale” estime le Groupe 29. Il y fait notamment part de ses inquiétudes quant à la sûreté des transmissions et les catégories de données conservées.

La réglementation européenne exige des fournisseurs d’accès Internet et opérateurs la conservation de données pendant une période allant de six mois à deux ans, en particulier en vue de pouvoir :
- tracer et identifier la source d’une communication
- tracer et identifier la destination d’une communication
- identifier la date, l’heure et la durée d’une communication
- identifier le type de communication
- identifier la machine utilisée pour communiquer
- identifier la location des équipements de communication mobile.

Ces données relatives au trafic “permettent de divulguer les préférences, les opinions et les attitudes (…) et peuvent avoir un impact significatif sur la confidentialité des communications“ écrit le Groupe 29. “Toute restriction sur les droits des individus à la vie privée et à la protection des données doit être nécessaire, appropriée et proportionnée au sein d’une société démocratique et servir à des fins d’ordre public spécifique — la sécurité nationale, la défense, la sécurité publique, la recherche, la détection et de la poursuite d’infractions pénales. Au minimum, de telles restrictions doivent respecter les droits, les libertés et des principes énoncés dans la Charte des droits fondamentaux de l’UE ainsi que dans la Convention européenne pour la protection des droits de l’homme et des libertés fondamentales”.

Car, relève t-il, parfois sont retenues d’autres catégories de données “qui ont un lien avec le contenu des communications, et donc, ne relèvent pas du champ réglementaire actuel”. Par exemple, les urls des sites consultés, les adresses IP de destination, les headers des mails ou la liste des destinataires de mails du champ “CC”.

“Il convient de rappeler que la directive interdit la conservation des données liées au contenu des communications“ rappelle le G29. Et que la liste des données relatives au trafic doit être considérée comme “exhaustive”. Par conséquent, “aucune obligation de conservation de donnée supplémentaire ne peut être imposée aux fournisseurs “. Pas même des autorités de polices. Le groupe 29 précise que ces dernières “ne sont pas autorisées à demander aux fournisseurs de recueillir des données qui ne relèvent pas des catégories mentionnées dans la directive”.

En France, les obligations se trouvent principalement décrites dans le décret du 24 mars 2006 qui fixe la durée de conservation des données à un an. La loi LCEN de 2004 prévoit que soient également conservées des données censées servir à «l’identification de quiconque a contribué à la création du contenu ou de l’un des contenus des services» dont les fournisseurs sont prestataires. Le décret en Conseil d’Etat, devant définir le type de données à conserver, et la durée et les modalités de leur conservation, n’a jamais été publié. Toutefois, en janvier 2007 est paru un projet de décret (pdf) prévoyant la conservation des données tels les “mots de passe” et les “pseudonymes utilisés” pour une durée de trois ans.

Dans le cadre de loi Création et Internet, il a été ajouté que “certaines catégories de données techniques” pouvaient être mise à disposition d’Hadopi en cas de manquement par un abonné à obligation de surveiller à ce que son accès Internet “ne fasse pas l’objet d’une utilisation à des fins de reproduction, de représentation, de mise à disposition ou de communication au public d’œuvres ou d’objets protégés par un droit d’auteur ou par un droit voisin sans l’autorisation des titulaires des droits prévus”.