Version classiqueVersion mobile

Abécédaire des architectures distribuées

 | 
Cécile Méadel
, 
Francesca Musiani

31. Responsabilité

Mélanie Dulong de Rosnay

Texte intégral

1Les architectures distribuées, ne disposant pas d’autorité centrale, remettent en question la notion juridique de responsabilité qui alloue traditionnellement une action à un auteur ou un groupe d’auteurs identifiables. Cette entrée propose de discuter l’impact des caractéristiques socio-techniques de fragmentation et d’anonymisation des communications des architectures distribuées sur le droit de la responsabilité. Le contexte du droit positif français, européen et international est prolongé par un éclairage sur le rôle des usagers et leur responsabilité éthique à la pérennité de services sur la base de biens communs. Ces services peuvent en effet s’avérer indispensables, en l’absence d’alternatives publiques ou privées, dans un contexte d’infrastructures défaillantes ou inaccessibles en raison de la crise économique, d’une catastrophe naturelle ou d’une surveillance des réseaux par les gouvernements et les entreprises.

L’impact de la fragmentation et du chiffrement

2L’architecture des applications distribuées rend difficile ou impossible l’identification des parties et des informations qui circulent. Le droit a pour habitude de déterminer des responsabilités, des droits, des devoirs, des interdictions, des conditions entre des personnes physiques ou morales fixes et dans des juridictions déterminées ou localisées. Or, non seulement les AD ne sont pas localisées en un ou plusieurs lieux déterminés, mais elles fragmentent de surcroît les données dans un processus partagé entre des acteurs qui n’ont pas de contrôle ni de visibilité complète sur ce qui circule. Le chiffrement et la fragmentation des données conduisent à l’anonymat relatif des acteurs et à un brouillage des responsabilités si on ne peut pas attribuer un acte à une personne précise, s’il y a une distinction entre la demande de l’action et la mise en œuvre de l’action. Ces services remettent en question la méthode de recherche de la personne « responsable » (Dulong de Rosnay, 2015).

3Dans le cas du stockage distribué*, par exemple, l’utilisateur n’a pas connaissance des fragments qu’il stocke, dans la mesure où ils sont cryptés à la sortie de la machine de l’utilisateur qui demande le stockage, lequel sera la seule personne a avoir accès au mot de passe qui n’est pas stocké par un serveur central du service. Aucune entité extérieure (la police, l’Hadopi ou une major du disque) ne peut surveiller les fichiers qui ne circulent à aucun moment dans un format décrypté et compréhensible, en dehors de la machine du premier pair qui télécharge un par un les fragments encryptés. Dans le cas des réseaux Wi-Fi communautaires à l’AD (voir Mesh* ou Réseaux sociaux*), les utilisateurs reliés ensemble créent un réseau ouvert à d’autres, sans tracer ni stocker les métadonnées des connexions, ni leur contenu. De même, TOR* va dissimuler l’origine et la destination des communications en opérant par au moins trois routeurs intermédiaires qui ne verront pas ce qui transite.

4L’absence de propriétaire et de contrat entre les parties ne donne pas d’indice de relation juridique préexistante. Les utilisateurs ne sont ni enregistrés ni identifiés, leur présence est instable et il est difficile d’assigner une responsabilité à un réseau complexe d’utilisateurs. Il n’est pas possible d’inférer de leur présence en ligne leur connaissance des paquets qu’ils aident à circuler partiellement et par intermittence. Leur présence n’est d’ailleurs pas essentielle, s’ils ne sont pas connectés, le paquet prendra une route différente et la redondance assurera le fonctionnement du service, ce qui diminue encore la responsabilité technique individuelle de chaque nœud. Les AD agrègent et redistribuent des fragments insignifiants ou des paquets encryptés de manière imprévisible, alors que le droit recherche des personnes actives ou pouvant avoir connaissance des faits ou avoir commis une négligence. On peut s’interroger sur la complicité des titulaires ou hôtes des nœuds qui aident autrui à reproduire de manière transitoire et partielle un fichier illicite. Mais il semble impossible d’assigner une intention ou une connaissance de la nature des fichiers qui n’est pas accessible techniquement ni pour les pairs ni pour les développeurs du service.

Responsabilité des intermédiaires techniques et des fournisseurs d’accès

5La responsabilité peut prendre différentes significations : la sécurité des données, la qualité du service, la cybercriminalité, l’atteinte aux données personnelles, la contrefaçon et la circulation de fichiers contenant des données confidentielles ou sans autorisation des titulaires de droit d’auteur. Au regard des caractéristiques techniques des AD, les personnes derrière les nœuds du réseau qui auraient fait circuler un contenu illicite ne voient pas et ne peuvent pas contrôler ou supprimer ce qu’elles font circuler dans la mesure où les données sont fragmentées et chiffrées.

  • 55  Digital Millennium Copyright Act (DMCA) aux États-Unis, 1996, Directive européenne sur le commerce (...)

6Le régime juridique de responsabilité limitée des intermédiaires55 (dénommé le havre de paix ou safe harbour) viendra donc à s’appliquer partiellement : les intermédiaires n’ont pas connaissance des activités illicites, ce qui les qualifie pour l’exonération de responsabilité. Cependant, même s’ils en sont notifiés, ils ne pourraient pas retirer promptement le contenu en cause, ce qui est la deuxième condition d’exonération de responsabilité, dans la mesure où ils n’ont pas le contrôle technique du ou des nœuds en cause. Responsabiliser les nœuds d’un service de stockage ou d’accès nécessiterait de les identifier, et conduirait à condamner des personnes alors que ce sont peut-être d’autres qui ont facilité le relais de l’information illégale, action demandée par un tiers. De plus, s’il n’existe pas d’index répertoriant l’information disponible, il n’y a pas de page à bloquer ou de lien à retirer.

  • 56  Décret anti-terrorisme n.144 du 27 juillet 2005 aboli en 2011.
  • 57  Loi favorisant la diffusion et la protection de la création sur internet, dite loi Hadopi ou loi c (...)

7Le seul moyen de contrôler les AD serait de mettre en place des lois pour les interdire, pour empêcher leur développement en condamnant leurs développeurs ou leurs opérateurs, ou en allouant des devoirs ou responsabilités de manière arbitraire. Cela a été le cas en Italie56 (Voir Mesh*), où une loi, restée valide entre 2005 et 2011, contraignait les fournisseurs d’accès à conserver la carte d’identité et les traces de connexions des utilisateurs. De même, les lois de riposte graduée pour mettre un terme aux échanges pair-à-pair57 visent notamment à responsabiliser les intermédiaires publics, privés ou associatifs qui mettent à disposition une connexion Wi-Fi gratuitement. Ces procédures requièrent soit l’identification de l’utilisateur contrevenant, or l’adresse IP n’est pas une preuve valable car elle peut changer dynamiquement ou être modifiée (Voir Preuve*), soit une obligation de sécurisation, qui est incompatible avec l’architecture des réseaux distribués. Cette disposition de la loi Hadopi, introduite en 2009 pour responsabiliser les utilisateurs afin qu’ils sécurisent leur connexion et ne permettent pas à d’autres d’effectuer des actes illicites, a été révoquée en 2013 après qu’une seule connexion a été suspendue. Les nœuds bénéficieront d’une immunité en tant que simples routeurs (Hatcher, 2007) et la responsabilité des intermédiaires risque de porter atteinte à la liberté d’expression (La Rue, 2011).

Responsabilité socio-économique de service

8On remarque au sein des communautés distribuées* une nécessaire « responsabilisation » des usagers qui par leur présence et leur participation assurent le bon fonctionnement technique des échanges ou du stockage d’information. Mais la collaboration et la responsabilité sociale n’équivalent pas à la responsabilité civile ou pénale.

9La responsabilité de vérifier qu’aucun contenu illicite ne circule peut être distribuée par les services qui prévoient une fonctionnalité de rapport ou de dénonciation par les utilisateurs des contenus contrevenants. Le crowdsourcing ou la production participative de surveillance ne peut s’opérer que sur des services et au sein de communautés qui présentent un certain degré de centralisation technique. Ainsi, Diaspora, le réseau social distribué*, peut contacter les administrateurs des nœuds qui hébergent de la propagande pour des réseaux terroristes58 et les éditeurs de Wikipédia peuvent patrouiller et retirer les images sous droit d’auteur, protégeant ainsi la fondation de tout recours juridique. La mise en place d’une police communautaire, et dans une certaine mesure la coordination d’une action distribuée, peuvent conduire à préserver des biens communs sur la base des principes 4 et 5 d’autorégulation pour le maintien de ressources communes développés par Elinor Ostrom (1990, 2010) : les mécanismes de contrôle et les sanctions graduées pour ceux qui violeraient les règles de la communauté. La privatisation de la police peut aussi mener à la discrimination et l’exclusion de certains utilisateurs sur la base de leur adresse IP59. Mais de manière plus pragmatique, si l’encodage est infaillible, les infractions ne pourront pas être détectées et il est peu probable qu’un sentiment de responsabilité communautaire se développe dans le cadre de services anonymes.

10Les règles juridiques applicables aux architectures distribuées ont été développées pour des personnes individualisées, et non pour des réseaux évolutifs et distribués. La distribution de la responsabilité au sein d’un système complexe nécessiterait de fragmenter la faute entre les membres du réseau, ce qui implique une relation de confiance entre les membres, ou alors le partage du risque collectif par la mise en place de mécanismes d’assurance collective ou de mutualisation.

Notes

55  Digital Millennium Copyright Act (DMCA) aux États-Unis, 1996, Directive européenne sur le commerce électronique, 2000, loi française pour la confiance dans l’économie numérique (LCEN), 2009.

56  Décret anti-terrorisme n.144 du 27 juillet 2005 aboli en 2011.

57  Loi favorisant la diffusion et la protection de la création sur internet, dite loi Hadopi ou loi création et internet, 2009.

58http://www.theguardian.com/technology/2014/aug/21/islamic-state-isis-social-media-diaspora-twitter-clampdown

59http://www.ethanzuckerman.com/blog/2013/02/12/who-let-all-those-ghanaians-on-the-internet-jenna-burrell-on-internet-exclusion/

Auteur

Chargée de recherche au CNRS, chercheuse à l’Institut des sciences de la communication (CNRS/Paris-Sorbonne/UPMC) et chercheuse associée au CERSA.

© Presses des Mines, 2015

Licence OpenEdition Books

Rechercher dans OpenEdition Search

Vous allez être redirigé vers OpenEdition Search