La LCEN (Loi pour la confiance dans l'économie numérique) nous livre encore de nouvelles surprises, il fallait s'y attendre... Beaucoup (pas tant que cela en fait) s'étaient émus de cette loi et plus particulièrement de son volet "rétention des logs", sorte de big-brothering à la française. Comme DADVSI , notre gouvernement sous de nobles couverts poursuivait avec cette loi des objectifs trouble, à mi-chemin entre la protection des marques, la délinquance, et surement aussi du terrorisme... En bref toute l'atmosphère nauséeuse du Patriot Act sauce Camembert. Mais cela c'était en 2004, or, va bientôt paraitre le décret d'application dont le JDN s'est procuré une copie. Et ce décret précise aujourd'hui en détail, justement ce que rétention des logs veux dire. Et là, plein de belles choses vous attendent...
Vous n'aviez pas vu ?
Nous le savions tous déjà, La LCEN définissait, dans la section II.6, qui étaient les "prestataires techniques". Il s'agit des FAI, mais aussi, moins de gens le savent, de vous, de moi, de toute personne mettant en ligne un contenu y compris à titre gratuit (article II.6.2). Ah ? Vous ne saviez pas ? Et bien si, la LCEN est une loi pour tous et même si les FAI ont été les seuls à crier les bloggeurs et autres webmestres en herbe sont tout aussi concernés. Pour les septiques, je cite,
La loi votée dit donc que sont aussi soumis à rétention des logsLes personnes physiques ou morales qui assurent, même à titre gratuit, pour mise à disposition du public par des services de communication au public en ligne (...).
Les 15 choses que je sais de vous
Maintenant que le doute n'est plus permis, voyons ce que le décret nous oblige à stocker pour le bien de la nation.... Petite liste à la Prévert qui en commençant par ce qui est somme toute classique.
- l’identifiant de la connexion à l’origine de la communication,
- l’identifiant attribué par le système d’information au contenu, objet de l’opération,
- l’identifiant attribué par le système d’information à la connexion,
- le type de protocole ou de réseau utilisé,
- la nature de l’opération,
- les date et heure de l’opération,
- les pseudonymes utilisés ;
Ouch !! ça fait beaucoup en fait... Mais la chose qui me surprend le plus, ce sont les pseudos. Etant donné qu'ils sont par essence des plus volatiles, à quoi peuvent t-ils donc servir ? En attendant de comprendre, voyons la suite qui concerne seulement les sites permettant à l'utilisateur de saisir du contenu... des commentaires... tous les sites quoi !
- Doit être stocké le contenu :
- des créations initiales de contenus,
- des modifications des contenus eux-mêmes,
- des modifications de données liées aux contenus,
- des suppressions de contenus.
Re-Ouch !! Il va donc falloir à partir de ce décret, historiser l'ensemble des contributions dans leur état actuel mais aussi toutes les modifications qui ont été précédemment apportées. Et aussi celles qui ont été supprimées... Cela va faire du volume tout cela, d'autant plus que techniquement, je connais aucune plate-forme (Drupal, Wordpress, etc...) qui permettent ce genre de choses... Il va y avoir du pain sur la planche pour rendre les systèmes conformes au "bien de la nation"...
Mais ne partez pas, ce n'est pas fini ! Voici maintenant ce qu'il faut stocker pour tout utilisateur lorsqu'il réalise une opération payante sur votre site :
- type de paiement utilisé,
- montant,
- numéro de référence du moyen de paiement,
- date et heure de la transaction.
D'un certain point de vue, la majorité de ces informations ultra-sensibles sont déjà stockées au niveau du fournisseur de service bancaire. Mais combien de webmestres vont se dire Bouh, c'est la loi, au cas où, je veux pas d'ennuis, je stocke moi aussi...
... J'espère que l'on en arrivera pas là, mais cette concentration d'informations personnelles n'est pas faite pour me rassurer...
Et le meilleur pour la fin, toute création d'un compte implique le stockage et l'historisation des informations suivantes :
- nom et prénom ou raison sociale,
- adresses postales associées,
- pseudonymes utilisés,
- adresses de courrier électronique associées,
- numéros de téléphone,
- mot de passe et informations associées ;
Quatre ans d'histoire...
Tout d'abord, je ne sais pas pour vous, mais moi je ne demande pas le dixième de ce qui est énuméré là. Suis-je obligé de le faire maintenant ? Ensuite apparaissent les "mots de passe" et c'est très intéressant pour juger de l'intention de ce texte et de ce décret. A quoi peuvent servir ces informations ? Je suis maitre chez moi et si la police veut des données et me présente un papier signé d'un juge, je n'ai pas besoin du mot de passe utilisateur accéder aux données. La seule utilisation possible de ce genre de données est de ré-utiliser ces informations pour se faire passer par un utilisateur. En tout cas, moi je n'en vois pas d'autres...
Voilà donc ce que l'avenir radieux de l'informatique des libertés nous apporte. Internet est issue d'un réseau militaire (
Confidentialité et Intégrité
Dernier détail "amusant" sur ce que la loi vous impose, je cite :
Les données doivent être conservées sur des supports et dans des formats d’enregistrement conformes aux normes techniques en vigueur. Cette conservation doit s’effectuer dans des conditions garantissant leur confidentialité et leur intégrité, et afin de permettre une extraction dans un bref délai pour répondre à une demande des autorités judiciaires
Si je me place du point de vue stricte du métier de l'informatique ce sont des contraintes très lourdes, beaucoup plus lourdes que le contenu des logs à produire. En effet, quel utilisateur "lambda", possédant un compte chez free et son blog sur ce compte, a en effet la capacité technique de répondre à ces critères ? Même en imaginant que les plate-formes de blog s'adaptent, et elle le feront, quel bloggeur sera en capacité d'assurer la confidentialité et l'intégrité ? C'est à dire être certain et garantir que personne d'autre que le bloggeur peut avoir accés à ces données (dans le cas d'un compte free, free a toute vision sur ces données !!) et aussi garantir qu'en tout circonstance les données ne peuvent être ni altérés, ni perdues...
Pour moi, cet article à lui seul, s'il est interprété comme je viens de le faire, signe simplement la fin des sites personnels... Cela n'est pas sans me rappeler ce que Renaud Donnedieu de Vabres cherche à mettre en oeuvre sur la labélisation des blogs...
Bon... ce sujet date un peu, mais puisque je peux apporter une pierre à l'édifice... J'ai récemment posé une question à ce sujet sur FRnOG, voici le résultat de la discussion (c'est un peu long, mais bon) :
Ma question était :
Dans mon cas, je m'héberge moi-même derrière ma ligne adsl, est-ce que
je suis soumis aux mêmes conditions ? Ou elles ne s'appliquent qu'aux
"vrais" hébergeurs ?
Discussion qui s'ensuivit :
petite connexion adsl, tu es sensé conserver les logs 1 an (ou au moins les ip des
gens ayant ajouté du contenu).
Il me semble que c'est une tolérance d'ailleurs, la lcen oblige me semble il à garder
1 an les logs d'accès... bien sur quand on a plusieurs millions d'accès par jour, c'est
impensable.
Sinon, bien entendu, si tu es toi même ton propre hébergeur, tu peux faire le choix
de ne pas garder les logs (ce que je fais d'ailleurs..), mais c'est à tes risques et péril
est qui est l'hébergeur ? Cette semaine, nous avons une première affaire
juridique qui va loin dans la question et va certainement faire la juriceprudence:
un client à nous, nous loue le serveur, signe le contrat qu'il est désormais
l'hébergeur, se fait hacker le serveur, le hackeur efface tous les logs,
vis à vis de son assurance il doit avoir les logs, se retourne contre nous
pour avoir les logs et nous assigne parce que d'après lui on est l'hébergeur
et on doit avoir les logs de sa propre machine. on va bien voir ce que le TGI
va répondre (mais pourquoi TGI ? on va voir s'il dit qu'il est compétence dans
la question). le réponse courant de la semaine. Si ça passe, tu pourras dire
que derriere ton ADSL tu n'es pas l'hébergeur mais c'est ton FAI et donc c'est
à lui de fournir les logs. Marrant hein ?
Plus largement ce que genre d'assignation c'est le quotidien. on se retrouve
devant le juge dans les affaires où il y a 2 ou 3 "hébergeurs". la loi ne dit pas
qu'il peut y avoir 1 et seulement 1 seul l'hébergeur et pas, allez tous, et celui
qui loue l'infra, celui qui l'administre, l'éditeur du site et celui qui poste
le message sur le forum qu'il loue, tous hébergeur, tous responsable.
Concernant les logs, ça va plus loin. Si tu loues un serveur pendant 1 mois
puis tu arrêtes, tu dois sauvegarder tes logs qqpart avant que tu arrêtes
le serveur et les garder pendant 1 an. C'est ça la loi. Sinon tu peux te
retrouver avec une assignation puis l'obligation de fournir les logs parce
quelqu'un s'est connecté à partir de ton serveur et a posté un propos raciste
et il faut trouver qui c'est. si tu ne fournis pas les logs pourqu'on puisse
trouver qui c'est, bahh c'est toi.
Il reste assez simple pour un avocat de prouver par A+B qu'une ligne de log avancée par la partie adverse ne peut pas etre une preuve irréfutable.
Tout comme le contenu. Si on t'accuse de pirater du contenu protégé en se basant sur une simple ligne de log peer 2 peer mais qu'une perquisition chez toi ne donne rien, tu ne sera pas accusé de recel de contrefacon, tout au plus de ne pas avoir sécurisé ta connexion wifi, si la loi a venir prévoit une peine pour ca.
Bon, ca, evidemment, c'est la théorie .. après, il y'a ce que dit le juge ... et c'est assez amusant a lire en ce moment
structure dédiées.
Idem pour la fourniture de l'accès, qu'elle soit gratuite ou non.
> est qui est l'hébergeur ?
C'est effectivement une des lacunes du cadre actuel qui par défaut englobe
pas mal de monde dans la catégorie hébergeur.
Car ce qui est valable pour du mutualisé où les frontières sont bien
établies (l'hébergeur fournit la connectivité, les bécanes, le soft et garde
la main sur l'interface / l'éditeur fournit les contenus mais n'a pas la
main sur la bécane) l'est beaucoup moins pour le dédié et par extension le
simple housing.
Dans ces derniers cas, la garde (au sens civil, qui est d'une grande utilité
lorsqu'il s'agit de déterminer les responsabilités en cas de silence des
règles spécifiques) "logicielle" du serveur (et des services qui tournent
dessus) échappe à l'hébergeur dès la mise à dispo de la bécane. L'hébergeur
n'a qu'une garde physique de la bécane, et ne peut intervenir sur les logs
des services tournant sur le serveur configuré par le client au risque de se
voir reproché un accès frauduleux à un système automatisé de traitement de
données.
Tout au plus il peut logguer les accès à la configuration du serveur
lui-même (changements d'état, qui a ordonné le reboot...) & console de
gestion du compte, mais il peut difficilement descendre au niveau des
services.
Après, la discussion s'est orientée vers le cas des cybers cafés. Bon, c'est un peu fouillis, et jeté en vrac, mais c'est intéressant... notamment le fait que le type qui a un compte free peut se retourner contre free pour ne pas avoir conservé de logs à sa place...
Poster un nouveau commentaire