Desktop versionMobile version

Abécédaire des architectures distribuées

 | 
Cécile Méadel
, 
Francesca Musiani

2. Anonymat

Primavera De Filippi

Full text

1La transparence et la traçabilité des communications effectuées sur Internet ont encouragé le développement de nombreux outils d’anonymisation, visant à protéger l’identité des internautes. Ces outils sont couramment utilisés, aussi bien par des criminels cherchant à camoufler leur identité afin d’éviter des répercussions juridiques que par des individus qui essaient de se protéger contre les atteintes portées à leur vie privée par des autorités étatiques ou par des organismes privés. La qualification de ces outils dépend essentiellement du lieu d’utilisation et du degré de contrôle opéré par chaque État sur ses citoyens. Une même technologie peut être considérée comme une technologie de libération (liberation technology) dans un pays démocratique tel que la France, et comme un outil de contournement dans un pays plus autoritaire, tel que la Chine par exemple.

2Ces technologies se présentent souvent sous la forme de logiciels, d’applications en ligne, tels que des proxys (HTTP/SOCKS), ou encore de tunnels ou de réseaux privés virtuels (VPN). Un serveur proxy est un système permettant à tout utilisateur de se connecter à un serveur distant sans révéler son identité (i.e. en camouflant son adresse IP). Cela permet aux résidents de certains pays d’accéder à des sites censurés (sites web, serveurs FTP, messageries…) via un site intermédiaire qui en a l’accès. Ce mécanisme n’est cependant pas infaillible : alors que l’utilisation d’un proxy nécessite un paramétrage propre à chaque type de service demandé, les données transférées lors des connexions ne sont pas automatiquement chiffrées. Ainsi, le contenu auquel accède l’utilisateur est en théorie accessible. Le fonctionnement d’un tunnel (VPN par exemple) repose sur les mêmes mécanismes. L’ensemble des données passe automatiquement par un serveur intermédiaire, ne nécessitant qu’un unique paramétrage. Cependant, si la connexion entre l’ordinateur demandeur et l’ordinateur intermédiaire est en pratique toujours chiffrée, celle entre l’ordinateur intermédiaire et le serveur cible ne l’est pas obligatoirement.

3Enfin, un outil d’anonymisation qui a obtenu beaucoup de visibilité dans les dernières années est le réseau TOR* (The Onion Router), un réseau pair-à-pair décentralisé fondé sur un système de « routage en oignon » qui permet de faire transiter l’information par une chaîne d’ordinateurs intermédiaires (routeurs). L’origine des communications n’est connue que des routeurs d’entrée, et la destination des communications n’est connue que des routeurs de sortie. Les autres nœuds du réseau sont des routeurs intermédiaires qui ne connaissent ni la provenance, ni la destination, ni le contenu des paquets qu’ils transfèrent. Dans une approche de privacy by design (Cavoukian, 2009), le logiciel TOR* a été conçu pour promouvoir l’anonymat en rendant extrêmement complexe (voire impossible) la ré-identification des utilisateurs du réseau. On se demandera ici quel est le régime juridique applicable à ces différents outils d’anonymisation, et comment identifier le régime de responsabilité qui s’applique aux fournisseurs de ces outils.

Obligations d’identification

  • 1  Loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique
  • 2  Le décret n° 2011-219 du 25 février 2011 (relatif à la conservation et à la communication des donn (...)

4Les articles 6.I.1 et 6.I.2 de la Loi pour la Confiance dans l’Économie Numérique (LCEN)1 introduisent une obligation de collecte2, de détention et de conservation des données permettant l’identification des usagers, de la part des FAI et des hébergeurs de contenus sur Internet.

5Or, ni les opérateurs qui fournissent des proxys ou des tunnels d’anonymisation, ni les pairs connectés au réseau TOR ne peuvent s’apparenter à des « personnes dont l’activité est d’offrir un accès à des services de communication au public en ligne » (6.I.1 LCEN encadrant les FAI principalement). Ils ne peuvent non plus être associés à des « personnes physiques ou morales qui assurent, même à titre gratuit, pour mise à disposition du public par des services de communication au public en ligne, le stockage de signaux, d’écrits, d’images, de sons ou de messages de toute nature fournis par des destinataires de ces services » (hébergeurs principalement, 6.I.2 de la LCEN).

6Ne répondant pas aux critères des articles 6.I.1 et 6.I.2 de la LCEN, ces acteurs ne sont pas soumis à une obligation de collecte, ni de détention ou conservation des données personnelles des internautes dont ils transfèrent le contenu.

Régime de responsabilité

7Les intermédiaires sont définis par l’article L.32-3-3 du Code des Postes et des Communications Électroniques (CPCE) comme les « personnes assurant une activité de transmission de contenus sur un réseau de communications électroniques ou de fourniture d’accès à un réseau de communications électroniques ». La directive sur le commerce électronique de 2000 à l’origine de l’édition de cet article précise que ces activités de transmission et de fourniture d’accès « englobent le stockage automatique, intermédiaire et transitoire des informations transmises, pour autant que ce stockage serve exclusivement à l’exécution de la transmission sur le réseau de communication et que sa durée n’excède pas le temps raisonnablement nécessaire à la transmission ».

8En l’espèce, les opérateurs de proxys d’anonymisation, les fournisseurs de tunnels VPN, comme les usagers du réseau TOR qui assurent une activité de transmission de contenu (de façon anonyme) entre un internaute et un tiers sur le réseau peuvent être qualifiés d’intermédiaires. Ils répondent donc tous les trois au régime de l’article L.32-3-3, ne pouvant donc voir leur responsabilité civile ou pénale engagée à raison des contenus qu’ils transfèrent que dans trois cas : 1) ils sont à l’origine de la demande de transmission litigieuse ; 2) ils sélectionnent le destinataire de la transmission ; 3) ils sélectionnent ou modifient les contenus faisant l’objet de la transmission.

9S’ils ne peuvent, du fait du principe d’anonymat qui caractérise leurs services, être à l’origine de la demande de transmission, ni sélectionner le destinataire de la transmission, peuvent-ils tout de même sélectionner ou modifier les contenus faisant l’objet de la transmission ? Dans le cas des proxys ou des tunnels VPN, cela dépend si les utilisateurs à l’origine d’une demande de transmission prennent en charge le chiffrement de leurs communications, avant de les transférer à ces intermédiaires. Si les communications sont chiffrées, il sera impossible pour les intermédiaires d’en filtrer ou modifier les contenus. Si elles ne le sont pas, les intermédiaires auront la possibilité, s’ils le désirent, d’altérer les contenus faisant l’objet de la transmission.

10La situation est différente dans le cas du réseau TOR* qui comporte une opération de chiffrage et de déchiffrage automatique. Les utilisateurs qui relaient les communications sur le réseau n’ont jamais accès à leur contenu et ne peuvent donc être envisagés que comme des transmetteurs techniques assurant un « simple transport » des données tel qu’envisagé par la directive susmentionnée, n’altérant donc pas « l’intégrité de l’information contenue dans la transmission » (considérant 43). Il est, de plus, important de remarquer que cette même directive protège le processus technique d’anonymisation opéré par les intermédiaires, puisqu’elle précise ne pouvoir empêcher « l’utilisation anonyme de réseaux ouverts tels qu’Internet ».

  • 3  L’article 706-102 du Code de Procédure Pénale prévoit la mise en place d’un « dispositif technique (...)

11En prévoyant un régime de responsabilité limitée pour ces intermédiaires, le droit ne néglige cependant pas les nécessités de l’enquête et de recherche de la preuve pénale : la loi d’orientation et de programmation pour la performance de la sécurité intérieure, dite loi LOPPSI (n° 2011-267 du 14 mars 2011) autorise la surveillance à distance des ordinateurs3. Cette loi, qui prévoit la mise en place d’un « dispositif technique ayant pour objet, sans le consentement des intéressés, d’accéder en tous lieux, à des données informatiques, de les enregistrer, les conserver et les transmettre » peut être utilisée pour monitorer les adresses IP des internautes qui se connectent à un proxy ou à un tunnel VPN, afin d’obtenir ensuite leurs identités auprès des FAIs. Cependant, les moyens techniques d’investigation dont disposent aujourd’hui les enquêteurs ne permettent pas directement de briser l’anonymat des utilisateurs du réseau TOR.

Application d’une obligation de sécurisation

  • 4  Art. L.336-3 du Code de la propriété intellectuelle

12Depuis 2009, la Loi n° 2009-669 du 12 juin 2009 favorisant la diffusion et la protection de la création sur internet, dite loi HADOPI, prévoit que l’abonné, « titulaire de l’accès à des services de communication au public en ligne a l’obligation de veiller à ce que cet accès ne fasse pas l’objet d’une utilisation à des fins de reproduction, de représentation, de mise à disposition ou de communication au public d’œuvres ou d’objets protégés par un droit d’auteur ou par un droit voisin sans l’autorisation des titulaires des droits prévus aux livres Ier et II lorsqu’elle est requise »4. Cette obligation de vigilance incite celui qui partage sa connexion à prendre des précautions afin que sa connexion ne soit pas à l’origine d’une atteinte aux droits d’auteur (cas du téléchargement illégal). S’il n’existe aujourd’hui pas de mesures techniques spécifiques obligatoires de protection des connexions, il existe en revanche une contravention de « négligence caractérisée » qui est constituée lorsque « l’abonné s’est abstenu, sans motif légitime, de mettre en place un moyen de sécurisation ou a manqué de diligence dans la mise en œuvre de ce moyen ». La loi pourrait-elle ainsi dissuader les utilisateurs du réseau TOR de relayer les communications en sortie, puisque ces derniers doivent s’abstenir de mettre en place un moyen de sécurisation de leur connexion sans motif légitime ?

13En toute vraisemblance, le fait de partager sa connexion, en pleine conscience, avec un pair qu’on ne peut pas identifier traduirait même une volonté de s’abstenir à cette obligation de sécurisation. Or, il serait intéressant d’analyser ici la notion de motif légitime qui pourrait exonérer les usagers du réseau TOR de cette responsabilité. Est-ce que le droit d’accès à Internet reconnu par l’ONU en juillet 2012 pourrait constituer un tel motif, dans la mesure où relayer les communications en sortie permettrait l’accès libre à Internet de certains citoyens soumis à des régimes de censure ? Or, quand bien même ce motif ne pourrait être considéré comme légitime, et la contravention de négligence caractérisée pourrait leur être attribuée, il semble que l’application de telles mesures demeure aujourd’hui en France quasi inexistante. La loi HADOPI ne constituerait donc pas un instrument législatif dissuasif à la création de nœuds de sortie sur le réseau TOR et ne porterait donc pas atteinte à l’anonymat d’un tel réseau.

Notes

1  Loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique

2  Le décret n° 2011-219 du 25 février 2011 (relatif à la conservation et à la communication des données permettant d’identifier toute personne ayant contribué à la création d’un contenu mis en ligne) précise que les hébergeurs et FAI ne doivent conserver le nom, adresses postales et adresses de courrier électronique de leurs clients que dans la mesure où « ils les collectent habituellement ». Cet article a pu être interprété comme créant une réelle obligation de collecte pour ces deux prestataires techniques.

3  L’article 706-102 du Code de Procédure Pénale prévoit la mise en place d’un « dispositif technique ayant pour objet, sans le consentement des intéressés, d’accéder en tous lieux, à des données informatiques, de les enregistrer, les conserver et les transmettre, telles qu’elles s’affichent sur un écran pour l’utilisateur d’un système de traitement automatisé de données ou telles qu’il les y introduit par saisie de caractères ».

4  Art. L.336-3 du Code de la propriété intellectuelle

The text and other elements (illustrations, imported files) may be used under OpenEdition Books License, unless otherwise stated.

Search OpenEdition Search

You will be redirected to OpenEdition Search