L'article 6 de la loi pour la confiance dans l'économie numérique est l'objet de beaucoup d'attentions et de débats. C'est lui qui fixe en France les règles juridiques principales en matière de régulation des contenus sur Internet et le rôle des différents acteurs impliqués. Il reste - il faut être honnête - complexe à déchiffrer, aussi je vous en propose une lecture commentée.

Le texte complet est disponible, comme d'habitude, sur Legifrance, vous pouvez vous y rapporter.

Parcours de l'article 6

Première partie (I)

1. Définit les fournisseurs d'accès. Ceux-ci ont pour obligation d'informer leurs abonnés sur l'existence de moyens de filtrage individuels (notamment les logiciels de contrôle parental) et d'en proposer au moins un. Ils doivent aussi informer leurs utilisateurs de la liste des moyens permettant d'éviter que sa connexion soit utilisée pour réaliser des contrefaçons d’œuvres de l'esprit (ces moyens n'ont à ce jour pas été décrits).

2. Définit les hébergeurs (personnes physiques ou morales). Ils ne peuvent pas voir leur responsabilité civile engagée à cause d'un contenu illicite qu'elles hébergeraient si elles n'en ont pas eu connaissance préalablement ou si elles n'ont pas pris de mesures pour rendre le contenu inaccessible ou le retirer quand elles en ont eu connaissance.

3. Évoque les mêmes circonstances quant à la responsabilité pénale des hébergeurs.

4. Présenter un contenu comme étant illicite à un hébergeur, alors qu'on est conscient que le contenu n'est pas illégal est puni d'un de prison et 15.000 € d'amende.

5. Cette section définit la façon dont un contenu illicite doit être notifié à un hébergeur. Toute personne peut procéder à une telle notification. La notification (dont la loi ne prévoit pas qu'elle doive être réalisée par courrier recommandé avec accusé de réception):

  • Il convient de saisir d'abord l'auteur ou l'éditeur du contenu litigieux (si son adresse de contact est fournie par exemple), ou à défaut l'hébergeur à qui il faut indiquer les éléments suivants:
  • La date de notification, ses coordonnées (personnelles ou celles de sa société si on agit à titre professionnel)
  • Le nom et l'adresse de la personne à qui on s'adresse (siège social pour une entreprise)
  • La nature des faits litigieux et leur localisation sur Internet (une URL, un numéro ou autre identifiant d'article ou de commentaire, selon le contexte et la plateforme d'hébergement)
  • La description des bases juridiques et factuelles qui font que le contenu identifié est illégal (citation des articles de loi correspondants et en général des mots qui ou de l'élément précis qui revêt un caractère illégal)
  • Copie de l'échange avec l'auteur ou l'éditeur du contenu, ou à défaut justification de la raison pour laquelle on n'a pas pu le contacter.

6. Cette section précise que FAI ou hébergeurs ne relèvent pas de la législation sur les producteurs de contenu de la loi de 1982 sur la communication audiovisuelle.

7. Cette section vient préciser les missions préventives des hébergeurs et fournisseurs d'accès:

  • Ils n'ont pas d'obligation générale de surveillance des contenus qu'ils transportent ou stockent
  • L'autorité judiciaire peut prescrire des mesures de surveillance ciblée et temporaire
  • Ils concourent à la lutte contre les contenus constitutifs d'apologie des crimes contre l'humanité, d'incitation à la haine raciale, de pédopornographie, d'incitation à la violence - notamment les violences faites aux femmes, ou portant atteinte à la dignité humaine, ainsi que la pornographie lorsqu'elle est susceptible d'être vue ou perçue par un mineur
  • Ils mettent en place un dispositif de signalement de ce type de contenus, facilement accessible et visible (on notera que ce dispositif de signalement de contenus illicites particuliers est totalement distinct de la procédure de notification de contenus illégaux, décrite dans la section 5 au dessus, qui demande a priori plus de formalisme)
  • Ils doivent informer promptement les autorités publiques des contenus illégaux de cette nature qui leur sont signalés.
  • Ils doivent informer publiquement sur les moyens qu'ils mettent en place pour lutter contre ces contenus illicites en particulier (ces moyens ne se limitent donc pas a priori à mettre en place un dispositif de signalement) .
  • Ils informent leurs usagers des sites de jeux en ligne tenus pour répréhensibles (renvoie au rôle de l'autorité de régulation des jeux en ligne)

Cette section prévoit enfin que l'autorité administrative peut prescrire aux fournisseurs d'accès des mesures de blocage de contenus pédopornographiques.

8. Cette dernière section prévoit qu'un juge (saisi en référé ou sur requête) peut prescrire toutes mesures propres à prévenir ou faire cesser un dommage.

Deuxième partie (II)

Cette partie est relative aux données d'identification que doivent détenir et conserver les FAI et hébergeurs. J'évoquais le décret d'application de cette mesure dans un billet précédent.

Dans la partie IIbis qui suit, on retrouve les dispositions quant à l'accès à ces données par les services en charge de la prévention des actes de terrorisme. Cette partie est supprimée par l'article 20 de la loi de programmation militaire votée récemment et remplacée par de nouvelles dispositions du code de la sécurité intérieure, à partir du 1er janvier 2015.

Troisième partie (III)

Cette partie inclut les obligations des éditeurs de sites Web personnels ou professionnels. J'en détaillais les dispositions dans un billet précédent.

Quatrième partie (IV)

Cette partie vient préciser les conditions d'exercice du droit de réponse suite à une publication sur Internet:

  • la demande est adressée par la personne nommée ou désignée dans la publication à l'éditeur du contenu ou, si elle est anonyme, à l'hébergeur
  • elle doit être présentée dans un délai de trois mois suivant la publication
  • la personne contactée a trois jours pour publier le droit de réponse (à défaut il pourrait être condamné à une amende correctionnelle de 3750 €).

Cinquième partie (V)

Cette partie rappelle, pour éviter tout doute, que les dispositions de la loi sur la liberté de la presse s'appliquent quant à la nature des publications illégales (de l'incitation à la haine en passant par l'apologie des crimes de guerre, etc.) ainsi que la durée de la prescription.

Sixième partie (VI)

Cette dernière partie vient préciser les peines encourues par les hébergeurs, FAI ou éditeurs de services de communication au public en ligne qui ne respecteraient pas les dispositions prévues dans cet article (un an d'emprisonnement et 75000 € d'amende, ainsi que des peines spécifiques possibles pour les personnes morales).

Modifications envisagées

Le projet de loi pour l'égalité entre les femmes et les hommes actuellement en débat au Parlement (1ère lecture en cours à l'Assemblée nationale, après le Sénat cet été) propose une modification:

Article 17

Le troisième alinéa du 7 du I de l’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique est ainsi modifié :

  • 1° Après les mots : « haine raciale », sont insérés les mots : « , à la haine à l’égard de personnes à raison de leur sexe, de leur orientation ou identité sexuelle ou de leur handicap, » ;
  • 2° Les mots : « et huitième » sont remplacés par les mots : « , huitième et neuvième » ;
  • 3° La référence : « articles 227-23 » est remplacée par les références : « articles 222-33-3, 227-23 ».

Il s'agit donc de renforcer les obligations des FAI et des hébergeurs dans la prévention des infractions de presse relatives à la haine à l'égard de personnes à raison de leur sexe, de leur orientation, identité sexuelle ou de leur handicap, ainsi qu'en matière de prise ou de diffusion d'images de violence de l'article 222-33-3 du code pénal (ou "happy slapping"). Ainsi, un hébergeur ou un fournisseur d'accès devront prendre des mesures préventives adaptées contre ces infractions (gestion de la modération par exemple, ou sensibilisation du public) et notamment inclure ces infractions dans leur dispositif de signalement facilement accessible et visible (pour beaucoup il s'agira de rajouter une ou deux cases à cocher, et ils se verraient soumettre un nombre de signalements manifestement plus important) et lorsque les agissements sont effectivement illégaux d'en informer les autorités publiques compétentes (très souvent c'est la plateforme interministérielle https://www.internet-signalement.gouv.fr/, déjà compétente pour tout contenu ou activité illicite signalée sur Internet, qui est saisie).

On notera que nonobstant ces dispositions spécifiques, il est déjà possible de recourir à la procédure de notification plus complexe du I - 5 de l'article 6 de la LCEN pour ce type d'infractions (comme pour toute infraction). Il ne s'agit donc pas d'une évolution dans le type d'infractions qui peuvent être notifiées aux FAI et hébergeurs, mais bien d'une extension du dispositif de signalement d'accès facilité, pour permettre à tout internaute de facilement signaler un contenu relatif à ce type de propos discriminatoires, ou au happy slapping, mais aussi d'attirer plus particulièrement l'attention de ces acteurs sur ce type de contenus.

1

Botconf-Poster-WebQuelques mois déjà que je n'ai pas publié sur ce blog, plein de boulot comme beaucoup, mais surtout un événement important à organiser: la première conférence sur la lutte contre les botnets, Botconf. Nous étions ainsi plus de 160 personnes du monde entier rassemblés les 5 et 6 décembre derniers à Nantes (Loire-Atlantique, France).

Les origines

Depuis un peu plus de deux ans je suis engagé dans une thèse de doctorat sur la lutte contre les botnets. Pendant ces travaux je suis amené à rencontrer et échanger avec des spécialistes de toutes origines (chercheurs du monde académique et industriel, mais aussi des chercheurs indépendants et évidemment des spécialistes d'autres services officiels en France et à l'étranger), lire des papiers scientifiques, des articles de blog et assister à des conférences. Une confirmation d'abord: les botnets préoccupent aujourd'hui beaucoup d'acteurs, de nombreuses réflexions, expérimentations et actions sont menées pour lutter conte eux.

Note pour les lecteurs moins assidus de mon blog: les botnets sont des réseaux constitués par des ordinateurs sous le contrôle d'un virus informatique - une fois infectés par ce virus ils se connectent à un système de commande et de contrôle (souvent un site Web, mais ça peut être aussi un système de communication pair à pair ou encore en abusant d'un réseau social tel que twitter comme canal de communication). L'utilisation de ces réseaux de machines est varié: diffusion de spams ou encore d'autres virus, collecte d'informations confidentielles sur les ordinateurs infectés, conduite d'attaques en déni de service coordonnées, etc. Il s'agit de l'infrastructure cybercriminelle la plus utilisée aujourd'hui sur Internet.

Mais pour ce qui est des conférences ouvertes sur la sécurité, beaucoup traitent d'aspects intéressants et en rapport avec les botnets, mais les sujets sont parfois isolés et dans la salle peu sont les participants qui en général travaillent spécifiquement sur cette question - même si elle touche beaucoup d'univers de la sécurité numérique - et donc il y a rarement de vrais débats ou retours. Il existe évidemment des conférences qui touchent aux virus informatiques (on peut citer ECIW 2012 qui était organisé chez nos amis de l'ESIEA à Laval, la conférence de Virus Bulletin qui aura lieu du 24 au 26 septembre 2014 à Seattle ou encore Malcon). Il existe des conférences plus confidentielles où ces questions sont évoquées (à Interpol et Europol évidemment ou encore le Digital crimes consortium organisé chaque année par Microsoft). Il m'a donc semblé, avec un groupe de participants actifs de la communauté Botnets.fr qu'il y avait de la place pour une conférence ouverte traitant spécifiquement de la lutte contre les botnets.

L'organisation

C'est un travail d'équipe avant tout. Ainsi, même si tous n'ont pas pu venir à Nantes, nous avons été une bonne dizaine à participer activement de près ou de loin au succès de cette conférence. Je vais citer leurs pseudonymes sur twitter et par ordre alphabétique: @ackrst@fabien_duchene@FredLB@g4l4drim, @gcouprie@Jipe_@penpyt@_Reza__@r00tbsd@sanguinarius_Bt@Sebdraven, @udgover ainsi que @vloquet pour les relations presse. Plus généralement, c'est la communauté Botnets.fr dans son entier qui s'est beaucoup mobilisée pour nous soutenir - au moins moralement - et bien entendu des sponsors qui nous ont progressivement rejoints pour permettre à l'événement de se réaliser.

En pratique, nous avons déposé les statuts d'une association dès le mois de novembre 2012 pour offrir un cadre juridique clair à l'organisation, monté une évaluation du budget et commencé à rechercher les meilleurs endroits pour organiser cette conférence. Une partie de l'équipe étant basée à Nantes, c'est dans cette ville que nous avons choisi de commencer l'aventure. La Chambre de commerce et d'industrie de Nantes dispose de locaux très adaptés à ce type d'événements, à des coûts particulièrement raisonnables et nous nous sommes donc tournés vers eux (et l'accueil sur place fut excellent). Le comité scientifique a été construit en même temps pour garantir une construction du programme incontestable, je tiens à tous les remercier: Hendrik Adrian (Japon), José Araujo (France), Domagoj Babic (USA), Gilles Berger-Sabbatel (France), Guillaume Bonfante (France), Nicolas Brulez (France), Alexandre Dulaunoy (Luxembourg), Barry Irwin (Afrique du Sud), Denis Laskov (Israël), Corrado Leita (France), Jean-Yves Marion (France), David Naccache (France), Fred Raynal (France).

botconf-header-logo-300x97

Bien entendu, nous avons créé un site Web (sous WordPress pour cette année) et lancé l'appel à papiers : la gestion de la soumission des papiers s'est faite sur Easychair, qui s'est révélé très efficace (et c'est gratuit). Beaucoup de détails ensuite, mais qui ont toute l'importance: conception graphique, impression d'affiches et des t shirts, kakémonos, trouver des restaurants, un traiteur et des chambres d'hôtel pour les conférenciers... Une partie importante du calage du budget portait évidemment sur les frais d'inscription: nous avions prévu un tarif réduit pour les étudiants (que nous avons aussi proposé aux personnes sans emploi) et aux services de police. La gestion de la vente des tickets elle-même s'est fait avec un module additionnel de WordPress (WP Event Ticketing) et les tickets eux-mêmes ont été envoyés par courrier électronique aux participants pour impression, une fois pliés en 4 ils formaient un badge lisible inséré dans une pochette A6.

Le déroulement

BotConf13-30Le déroulement de la conférence fut sans encombre: messages préalables aux conférenciers et participants pour les informer sur la façon d'accéder à Nantes par avion, par train et jusqu'à la salle de la conférence, dîner avec les conférenciers le 4 décembre au soir, l'accueil et la validation des badges au moment de l'arrivée (juste trois cas particuliers à régler sur 168... ouf !) puis respecter le timing tout au long du programme des exposés, gérer les pauses et le repas convivial qui nous attendait dans un restaurant installé sur la Loire, puis faire repartir en sécurité tous nos participants ! Pendant une grosse partie de la conférence, les présentations étaient diffusées en direct par webcast.

Le bilan

Le programme de la conférence était équilibré, vous pouvez le consulter ici avec les présentations et d'ici quelques jours avec les vidéos des conférences. Ainsi, étaient couverts des sujets sur le fonctionnement des botnets, leur détection dans les réseaux, la mitigation et les méthodes de lutte (techniques, mais aussi plus opérationnelles, y compris au travers d'une présentation d'Europol).

Plusieurs blogs ont déjà fait le bilan de la conférence:

et une petite recherche sur twitter vous ramènera quelques retours très sympathiques.

Et après ?

Le succès de la conférence et les nombreux retours positifs nous poussent à renouveler l'aventure en 2014. Après avoir fait le bilan au travers d'un questionnaire de satisfaction diffusé ce week-end aux participants, nous entamerons les travaux de préparation de Botconf 2014. Je peux d'ores et déjà vous annoncer qu'elle devrait se dérouler à Nancy, avec le soutien de l'équipe du Laboratoire de haute sécurité du LORIA, la première semaine de décembre 2014 et que la première étape sera l'ouverture de l'appel à papiers et propositions de conférences dès le début de l'année. Cette année, nous souhaitons voir plus de présentations dans des domaines connexes mais importants dans le champ de la lutte contre les botnets: le droit, l'étude des groupes criminels qui gèrent ces botnets (comment ils se rencontrent, se coordonnent, qui les composent). Merci encore aux participants, aux conférenciers, à nos sponsors et à la super équipe d'organisation ! Si vous souhaitez en suivre l'actualité, connectez-vous à @Botconf et rendez-vous l'année prochaine!