Voici la décision telle que je la comprends à la lecture des articles de presse qui en parlent. Un homme de cinquante-trois ans se retrouve accusé d'avoir défacé un blog. C'est manifestement de l'adresse IP qui lui était attribuée au moment des faits qu'est venue l'attaque. Pour se défendre, il a recourt à ce que les anglophones appelle la "plausible deniability". Dans ce cas, il veut montrer que puisqu'il est possible de contourner le mécanisme qui a servi à l'identifier, ce qu'il fait en exhibant de nombreuses pages sur Internet explicant comment pirater une Livebox, alors la preuve ne tient pas. Et par effet domino, qu'on ne peut pas lui attribuer les faits reprochés. Discours qui a manifestement fait mouche auprès du juge. Tant mieux pour lui.

D'aucuns y voient un torpillage en règle de l'assise même des décisions que rendra la future Commission de Protection des Droits chargée d'envoyer les quelques quinze-mille remontrances quotidiennes, puisque toutes basés sur l'identification des présumés contrevenants à partir de leur adresse IP. Je crains que cela ne soit malheureusement pas aussi simple que cela, car ce serait oublier un peu rapidement le fameux article L. 336-3, lequel est sorti du Sénat rédigé en ces termes :

Article L. 336-3
La personne titulaire de l'accès à des services de
communication au public en ligne a l'obligation de veiller
à ce que cet accès ne fasse pas l'objet d'une utilisation à
des fins de reproduction, de représentation, de mise à
disposition ou de communication au public d'oeuvres ou
d'objets protégés par un droit d'auteur ou par un droit
voisin sans l'autorisation des titulaires des droits prévus
aux livres Ier et II lorsqu'elle est requise.
Le fait, pour cette personne, de manquer à l'obligation
définie au premier alinéa peut donner lieu à sanction, dans
les conditions définies par l'article L. 331-25.
La responsabilité du titulaire de l'accès ne pourra peut être
retenue dans les cas suivants :
1° Si le titulaire de l'accès a mis en oeuvre les l'un des
moyens de sécurisation définis en application de figurant sur
la liste mentionnée à l'article L. 331-30 ;
2° Si l'atteinte visée aux droits visés au premier alinéa est
le fait d'une personne qui a frauduleusement utilisé l'accès
au service de communication au public en ligne, à moins que
cette personne ne soit placée sous l'autorité ou la
surveillance du titulaire de l'accès ;
3° En cas de force majeure.

Ce qui veut dire grosso modo que tout un chacun doit veiller à ce que son accès ne serve pas à pomper du DivX et du MP3 illégalement. Pour dégager sa responsabilité en cas de soucis, on peut néanmoins mettre en œuvre un ou plusieurs dispositifs de sécurisation mentionnés à l'article L. 331-30 que voici, verbatim :

Article L. 331-30
Après consultation des parties intéressées ayant une
expertise spécifique dans le développement et l'utilisation
des moyens de sécurisation destinés à prévenir l'utilisation
par une personne de l'accès à des services de communication
au public en ligne, la Haute Autorité peut établir la liste
des spécifications fonctionnelles pertinentes que ces moyens
doivent présenter pour être considérés comme exonérant
valablement le titulaire de l'accès de sa responsabilité au
titre de l'article L. 336-3.
Au terme d'une procédure d'évaluation certifiée prenant en
compte leur conformité aux spécifications visées au précédent
alinéa et leur efficacité, la Haute Autorité peut labelliser
les moyens de sécurisation dont la mise en œuvre exonère
valablement le titulaire de l'accès de sa responsabilité au
titre de l'article L. 336-3. Cette labellisation est
périodiquement revue.
Un décret en Conseil d'État précise la procédure d'évaluation
et de labellisation de ces moyens de sécurisation.

Ce qui, vous en conviendrez, reste quelque peu fumeux. C'est promis, on fera une liste. On ne sait pas ce qu'on va mettre dedans, on ne sait comment on va faire pour le savoir, mais juré, on va faire une. Et au vu des premières idées qui ressortent, ça ne sent pas très bon, dans la mesure où ce texte, plutôt que s'orienter vers la diffusion de bonnes pratiques et de logiciels adaptés, comme pousser à l'utilisation de WPA/WPA2 pour son accès Wi-Fi ou installer un firewall personnel, un antivirus et le tenir à jour, semble aller plus dans le sens de jolis mouchards filtrant[1] :

le rapport prolonge la cinquième recommandation pour
expliciter l'article L.336-3 en préconisant de mener à
bref délai une expérimentation portant sur le filtrage
sur le poste client synchronisé avec un serveur central

Mouchards qui n'auraient donc rien à voir avec la protection de votre accès, mais plus avec la surveillance active par une entité externe de ce que vous en faites, et in fine d'en filtrer votre utilisation. Moi, je n'appelle pas ça de la sécurisation, j'appelle ça du flicage. Et si je me posais déjà des questions quant à la faisabilité technique d'imposer d'éventuels moyens de sécurisation, des vrais, là c'est clair, je ne m'en pose plus...

Vous noterez que tel que rédigé, et à ce que j'en comprends, le texte n'impose aucune obligation de sécurisation, contrairement à ce qu'on en dit çà et là. Il dit qu'on doit veiller à ce que son accès ne serve pas à accéder à des contenus mis à disposition illégalement sous peine de se faire taper sur les doigts, mais qu'on peut dégager sa reponsabilité si on déploie des mesures et/ou des outils labélisés ou qu'on arrive à prouver une éventuelle compromission. Considérant qu'il est en pratique extrêmement difficile de surveiller son accès en permanence, qu'il en va de même pour apporter la preuve d'une intrusion et qu'enfin on imagine mal ce que peut pourrait être un cas de force majeure dans ce contexte, les utilisateurs se tourneront évidemment vers la sécurisation de l'accès. Ce n'est donc pas, à ce que j'en comprends, une obligation légale, mais très certainement une obligation pratique.


Mais bref, revenons à notre quinquagénaire. Toute la plaidoirie qui a conduit à sa relaxe s'appuie sur la possible compromission de son accès par des techniques décrites comme connues et simples à mettre en œuvre. On parle très probablement de cassage de clé WEP ou de passphrase WPA, mais ça m'étonnerait que ça aille tellement plus loin. Ce qui sous-entend quelque part que son accès n'était pas décemment protégé, en tout cas pas autant qu'il aurait pu l'être.

Plaçons-nous maintenant dans le cadre de l'HADOPI. Supposons que ce quinquagénaire produise le même raisonnement pour échapper à une condamnation pour contrefaçon. Ça risque d'être plus difficile à mener à son terme. Car on va très vite lui rétorquer que si son accès a été compromis, c'est qu'il n'était pas protégé correctement, comprendre en utilisant les moyens labélisés par l'HADOPI. Et qu'à partir de là, il ne peut s'exonérer de sa responsabilité de surveillance... Je vous laisse imaginer la suite. À moins évidemment qu'il puisse démontrer qu'il s'est réellement fait compromettre, ce qui revient à se donner préalablement les moyens techniques de surveiller son accès. Compte tenu de ce qui est mis à la disposition de l'internaute lambda en la matière, je n'ai qu'une chose à lui dire : Good luck Jim...

On sent bien le cercle vicieux. Soit on se plie au déploiement de mesures de sécurité pour s'exonérer de sa responsabilité[2], et il va être relativement difficile de contester quoi que ce soit en sortant l'argument de la compromission, puisqu'on imagine que les moyens en question seront de facto considérés comme inviolables. Soit on a un accès qui n'implémente pas ces fameuses mesures, auquel cas on ne pourra contester l'accusation qu'en apportant la preuve de la compromission de l'accès[3], ce qui revient de toute façon à implémenter une surveillance étroite de l'accès.

On rappellera enfin que comme la notion d'interopérabilité a été rejetée, vous n'avez aucune garantie qu'un produit implémentant ces mesures sera disponible pour votre plate-forme, ou qu'il pourra être développé sur la base de spécifications ouvertes. Mon petit doigt me dit que pour les utilisateurs d'OS libres ou peu attractifs pour les gros éditeurs, ça risque de se finir dans la joie et la bonne humeur tout ça...

Ce qui m'amène, comme beaucoup, à m'interroger sur la faisabilité pratique de cette exonération. Ce qui est un point crucial pour l'utilisateur, mais un point de détail pour les rapporteurs dont le but n'est autre que de fliquer les accès Internet en France...


Sinon, ce jugement me semble intéressant parce qu'il rejoint une réflexion que je faisais quant à l'utilisation frauduleuse d'un hotspot Wi-Fi à base de portail captif. Dans la mesure où il n'est pas très compliqué de spoofer un utilisateur dûment enregistré dans ce genre de configuration, n'importe qui pourrait mettre à profit le même raisonnement...

L'histoire ne dit pas encore si le plaignant ou le parquet a fait appel et si on peut considérer cette décision comme une jurisprudence, mais je pense qu'elle a le mérite de soulever des questions intéressantes sur un point parfois négligé, l'imputabilité.


Maintenant, je ne suis pas juriste, donc je vous recommande de prendre tout ce que vous venez de lire avec les pincettes d'usage... Ou d'aller consulter des avis plus éclairés...

Par contre, sur ce genre de sujet, j'accepte bien volontiers les trolls, romantiques ou pas... ;)

Notes

[1] C'est tout au début du rapport en PDF linké précédemment, en page 2.

[2] Exception numéro 1.

[3] Exception numéro 2.