La CNIL raconte son « histoire » avec Hadopi. Action, ou inaction ?

Comme un hasard de calendrier. Lundi, le jour-même où était révélé son rapport troublant sur l’autorisation de collecte des adresses IP destinées à l’Hadopi, la Commission Nationale de l’Informatique et des Libertés (CNIL) a publié sur son site internet un historique de son action en matière de lutte contre le piratage. Il lui permet de se redonner le beau rôle auprès des internautes.

La Commission rappelle en effet que le 18 octobre 2005, la CNIL avait refusé aux ayants droit du secteur musical la mise en œuvre de collectes d’adresses IP sur les réseaux P2P et que c’est le Conseil d’Etat qui a annulé sa décision le 23 mai 2007. La juridiction administrative avait jugé que la CNIL n’avait pas suffisamment pris en compte « l’importance de la pratique des échanges de fichiers musicaux » pour estimer la proportionnalité du dispositif.

Ce rappel permet à la CNIL de se montrer contrainte par le Conseil d’Etat à autoriser la chasse aux adresses IP sur les réseaux P2P. « Le 10 juin 2010, les SPRD (sociétés de gestion, ndlr) du secteur musical – qui avaient déjà été autorisées à collecter les adresses IP – ont été autorisées à ajouter, parmi les destinataires des informations, la HADOPI afin que cette dernière puisse envoyer les recommandations prévues par la la loi n° 2009-669 du 12 juin 2009« , écrit ainsi la Commission.

Elle fait passer l’ajout de l’Hadopi dans les destinataires des adresses IP comme un amendement sans conséquence auquel elle ne pouvait rien, alors que c’est bien là le motif qui aurait dû amener la CNIL a refusé une seconde fois de livrer son autorisation. En effet, avant la mise en place de l’Hadopi, les adresses IP étaient destinées aux ayants droit, qui devaient obligatoirement passer devant un juge pour obtenir l’identité des abonnés correspondants, et les poursuivre en Justice. L’autorité judiciaire était alors garante de l’équité et des droits de la défense.

Or avec l’Hadopi, toutes les étapes d’avertissement par e-mail et lettres recommandées échappent au contrôle du juge. Tout se passe entre le collecteur des adresses IP, TMG, l’Hadopi, et les FAI. Cette spécificité, loin d’être un détail dans l’évaluation de la proportionnalité du dispositif, aurait dû contraindre la CNIL à un maximum de prudence.

Le rapport préalable aux autorisations du 10 juin 2010 le notait pourtant parfaitement. « La Hadopi se limitera à accepter ou refuser les constats transmis (par les ayants droit), sans possibilité de les vérifier« , alors que « les seules procédures d’audit prévues sur le système de TMG sont des audits internes trimestriels » réalisés par les ayants droit eux-mêmes. « Il est impossible que les agents assermentés vérifient les constatations une à une. Pour autant, le système ne prévoit pas de procédure particulière, par exemple par échantillonnage, pour qu’un agent puisse détecter des anomalies dans une session de collecte« .

Malgré ce rapport, accablant, la CNIL a délivré les autorisations, et fait par là la preuve de son inaction plutôt que la preuve de son action.

Elle disposait de toutes les clés pour bloquer la riposte graduée en constatant le caractère automatique, dangereux et incontrôlé du processus. Même l’Hadopi a reconnu que c’était un sujet d’inquiétude, en nous confiant hier qu’elle souhaitait des audits « objectifs et indépendants » de TMG, sans toutefois préciser ni quand ni sous quelle forme. Mais la CNIL, elle, l’a simplement noté sans prendre la décision que ce constat imposait.

La CNIL peut toujours rappeler qu’il y a cinq ans elle avait interdit la riposte graduée encadrée par le juge. La question sera toujours désormais de savoir pourquoi cinq ans après elle a laissé faire un système massif d’avertissement qu’elle savait incontrôlé.

Si vous lisez le petit historique de la CNIL vis à vis de l’Hadopi, nous vous conseillons aussi de lire celui qu’avait écrit Jean-Marc Manach à propos du rôle de son président Alex Türk.