Actualités

	du 25 octobre 2007	ÉQUIPEMENTS & SERVICES

INTERNET ET WIFI DANS LES LIEUX PUBLICS

IL FAUT CONSERVER LES HISTORIQUES DES CONNEXIONS DE VOS CLIENTS PENDANT UN AN

Pour faire face à l'apparition d'une criminalité liée à l'usage d'internet, le législateur a mis en place une réglementation qui impose en particulier aux opérateurs de conserver les historiques des connexions. Quelles sont les obligations des hôtels, restaurants et cybercafés qui offrent des accès wifi ?

Le 4 octobre dernier, l'association Wireless Link avait réuni des experts autour d'une table ronde pour faire le point sur cette réglementation.
À cette occasion, le commissaire divisionnaire Christian Aghroum a expliqué le rôle de l'Office central de lutte contre la criminalité liée aux technologies de l'information et de la communication (OCLCTIC). Cet organisme, dépendant du ministère de l'Intérieur, est né, en 2000, de la nécessité de réaliser des perquisitions dans le cadre des enquêtes menées auprès des utilisateurs des nouvelles technologies. Ses missions portent sur les infractions issues des nouvelles technologies en '-ING' (phishing, spamming, hacking…), sur les infractions facilitées par les nouvelles technologies en 'cyber' (cyberpornographie, cybercriminalité…), et sur les infractions liées à la carte de paiement (contrefaçon de carte bancaire, vol d'identité…). L'utilisation du wifi à partir des hotspots vient renforcer la complexité des affaires en favorisant l'anonymat. Aujourd'hui, les points d'accès wifi peuvent être mis en oeuvre facilement et à bas coût. De plus, le matériel utilisé se miniaturise, ce qui complique davantage l'identification des usagers.

Le point de vue de la justice
La réglementation sur la conservation des données de connexion repose sur les textes suivants : la loi relative à la sécurité quotidienne du 15 novembre 2001, la directive européenne sur la rétention des données de connexion, adoptée le 21 février 2006 par le Conseil européen et le décret d'application du 26 mars 2006 (de la loi antiterrorisme du 23 janvier 2006).
Au final, ces textes fixent : la durée de conservation de données de trafic (un an pour la France), les catégories de données à conserver (identification de l'utilisateur, des destinataires de la communication, du type d'équipement, de la date, de l'heure et de la durée de chaque échange, des services complémentaires utilisés, des fournisseurs). Christian Aghroum a attiré l'attention sur la question de la durée de stockage des informations. En effet, les équipes de l'OCLCTIC, qui travaillent sur la traçabilité des informations, ont besoin de temps pour mener leurs enquêtes. Dans une affaire complexe, les résultats d'une requête peuvent susciter une nouvelle requête et ainsi de suite. La règlementation définit un délai d'un an pour détenir et conserver les données de trafic et ce délai ne semble pas raisonnable pour mener à bien les enquêtes dans les meilleures conditions. Par ailleurs, la loi établit un compromis entre le respect des libertés individuelles et l'exhaustivité des informations à stocker pour améliorer l'efficacité des recherches. Ainsi, les enquêteurs doivent se contenter des destinataires des mails alors que la connaissance de leur contenu permettrait probablement d'aboutir plus rapidement. De même, l'identification des utilisateurs fait appel à des outils tels que les adresses Mac des terminaux utilisés (adresse physique de l'ordinateur), mais il n'existe pas d'annuaire des adresses Mac. Aussi, lorsque cette information est stockée, elle ne permet pas de retrouver l'utilisateur du terminal, et participe seulement à la constitution d'un faisceau de preuves lorsque cet utilisateur est identifié.

Le point de vue de la CNIL
M. Moulin de la CNIL (Commission nationale de l'informatique et des libertés) a expliqué que l'organisation qu'il représente est consultée sur tout projet de loi ou de décret pour avis. La commission s'est exprimé sur le projet de loi de lutte antiterrorisme et a remis un avis assez sévère. Selon elle, le flou demeure en ce qui concerne le 'qui' (conserve les données), sur la question de savoir 'quelles' données conserver et 'comment' les conserver. Ce flou nuit à la sécurité publique.
Sur le 'qui', la loi s'adresse à tous ceux qui offrent (gratuitement ou non) un accès internet au public (cybercafés, opérateurs wifi, hôtels…). Mais quid des universités ? Des mairies ? Des bibliothèques ? Elles ne sont pas visées dans un premier temps, alors que ces institutions présentent le même caractère de risque qu'un opérateur ou qu'un hébergeur de site. En revanche, s'agissant d'un domaine privé, une entreprise n'a pas à conserver les données des employés qui se connectent dans un cadre non-professionnel. Si l'entreprise ouvre un accès internet à ses visiteurs, la loi s'applique. Concrètement, cette mise à disposition d'un accès internet via un point d'accès wifi, se fait souvent via un opérateur. L'obligation légale s'applique alors à cet opérateur. Dans le cas d'un accès libre, la responsabilité demeure pleine et entière à celui qui fournit l'accès. Le bon sens devrait s'appliquer. Par exemple, dans le cas d'une université ou d'un campus offrant un accès web aux étudiants, il n'existe pas d'obligation d'identifier les utilisateurs. Pourtant, on le sait, les étudiants se repassent fréquemment le login et le mot de passe édité, ce qui multiplie les utilisateurs identifiés sous les mêmes données.
En ce qui concerne 'quelles' données conserver, on peut s'accorder à dire que le contenu du message ou de la communication téléphonique est concerné, ainsi que les adresses IP des sites consultés, l'horodatage, la date de la connexion, la durée, le mode et le type de connexion… L'opérateur ou le cybercafé par exemple n'ont aucune obligation d'identifier l'utilisateur, par le biais d'un fichier nominatif. Des questions s'ajoutent : les destinataires du message doivent-ils être identifiables (dans le cas d'e-mail, de chat, de forum…) ? La directive de 2006 définit bien les données à conserver : il s'agit de l'adresse IP ou n° de téléphone pour identifier l'utilisateur.

Le point de vue de l'avocat
Dans le domaine de la conservation des données, l'obligation d'identification en wifi demeure un véritable problème : il n'y a pas d'obligation positive d'identification. M^e Benoît de la Taille, avocat spécialisé dans ce domaine, précise que les données concernées ne recoupent que celles "susceptibles d'être enregistrées par l'opérateur". Il s'agit là d'une "possibilité" pour l'opérateur, pas d'une obligation. Il rappelle également que le principe en France est celui de la non-conservation des données (effacement des informations), mais pour atteindre l'équilibre entre risque et sécurité, il convient de définir des exceptions. Ce principe concerne les fournisseurs de service internet (ISP) ainsi que ceux qui fournissent l'accès internet au public : les fournisseurs d'accès (FAI) ou les opérateurs wifi. Selon M^e de la Taille, l'insécurité juridique provenant des textes en vigueur réside dans le besoin de compléter la rédaction de l'article 6 de la LCEN (loi pour la confiance dans l'économie numérique, prévue au départ dans le cadre des activités de e-commerce) pour préciser la liste des personnes concernées par ceux qui "détiennent et conservent les données".

Le point de vue du consultant en gestion de projets
Catep, représenté par Yohan Journo, a présenté les différents modes d'accès aux réseaux wifi (tout gratuit, par carte à gratter, en payant en ligne par CB, via son téléphone mobile, par abonnement DATA (multiréseau), etc.). Cette présentation met en évidence que certains réseaux, qui proposent un accès gratuit à internet via un simple routeur wifi, sont dans l'impossibilité d'identifier les utilisateurs et de respecter les obligations légales. Les opérateurs doivent disposer d'un réseau structuré (contrôleur d'accès, serveur proxy, serveur Radius, système d'information…) pour permettre d'identifier les utilisateurs et de stocker les données de connexion. Contrairement à une idée reçue, les difficultés liées au stockage des données de connexion ne sont pas liées aux volumes à stocker mais à la mise en place d'une structure de réseau adaptée, dès le premier hotspot équipé, et la complexité à reconstituer un historique à partir d'une simple information (adresse IP par exemple).

Le point de vue d'un opérateur wifi
Les opérateurs wifi sont confrontés à une réglementation lourde. Le cadre réglementaire (Code des postes et des télécoms, loi antiterroriste, LCEN, loi informatique & libertés) reste flou et les opérateurs sont soumis à une véritable insécurité juridique. Selon François Héry de Meteor Networks, pour agir au mieux, les opérateurs devraient avoir à leur disposition un document de référence précisant les données à conserver. Des moyens humains et techniques sont nécessaires pour être en conformité avec les nouvelles dispositions réglementaires. Dans l'objectif de respecter les règles, Meteor Networks a donc mis en place des moyens adéquats : ressources humaines, chaîne technique, process dédiés aux questions de la conservation des données, de la suppression des données et de leur divulgation. La difficulté réside dans la définition du responsable de la détention et de la conservation des données : les WISP (fournisseurs de services internet wifi) le sont forcément, et, si le réseau est ouvert au public, celui qui donne accès devient opérateur de fait et donc responsable.
Les contraintes sont parfois contradictoires (obligation de conserver les données et obligation de les effacer au bout du délai légal), l'environnement reste flou, les intervenants sont multiples. Des questions ne trouvent pas de réponse : qu'advient-il si les données d'identification lors du log sont modifiées ? Si les données sont divulguées ? Meteor Networks expose la nécessité de fédérer les opérateurs wifi pour travailler ensemble sur ces sujets et présenter un interlocuteur unique face aux différents organismes. Il considère que l'association Wireless Link est idéalement cet organisme fédérateur.
Après ces premiers échanges sur la question, il apparaît que le débat reste encore largement ouvert et qu'une zone d'ombre et de flou persiste dans tous les esprits. Difficultés d'interprétation claire des textes, zones de flou sur le 'qui' conserve et 'quelles données' conserver, insécurité juridique liée à la définition des acteurs concernés… Face à ce constat, l'association Wireless Link prend l'engagement de poursuivre la discussion par le biais d'un atelier de travail réunissant tous les acteurs du marché, pour mettre en commun les idées et les projets. EN607 zzz38

Pour retrouver les articles déjà publiés sur Équipements et nouvelles technologies, cliquez ici

Complément d'article 3052p42

Décret no 2006-358 du 24 mars 2006 relatif à la conservation des données des communications électroniques

Article précédent - Article suivant

Vos questions et vos remarques : Rejoignez le Forum des Blogs des Experts

L'Hôtellerie Restauration n° 3052 Hebdo 25 octobre 2007 Copyright © - REPRODUCTION INTERDITE