Conservation des données de connexions (2ème partie)

L’objectif initial de cette enquête était de clarifier de façon précise le périmètre de la loi n° 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme, spécifiquement s’agissant de l’obligation de tout fournisseur d’accès à l’Internet de conserver pendant un an les données de connexions de ses clients.

Dans la première partie nous avions soulignés les difficultés que présente le respect de cette loi, et nous avons tenté de découvrir auprès de qui nous pourrions obtenir d’avantage de précisions vis-à-vis de son application effective.

Les choses ont commencées à se préciser suite à une discussion menée avec un responsable du service des affaires juridiques appartenant à la direction de la gendarmerie nationale. Sa position était plutôt claire. Le rôle des équipes de la gendarmerie était essentiellement de nature investigative. A leurs niveaux, plus il y aura de données et plus ils pourront assurer leurs tâches avec efficacité.

Il s’est avoué malgré tout un peu déçu de ne pouvoir m’assister de manière plus concrète, sachant que ses paroles n’auraient que peu de poids dans un contexte purement juridique. Il m’a cependant recommandé de contacter directement l’instance à l’origine de la rédaction de cette loi : le ministère de l’intérieur.

J’ai profité de cet intermède pour passer au crible l’entête de la loi en question. Indiqué dans la section des contributeurs à ce texte, juste en dessous du ministère de l’intérieur, se trouvait l’ARCEP.

L’Autorité de Régulation des Communications Électroniques et des Postes (ARCEP) était exactement l’interlocuteur qu’il me fallait, j’en étais convaincu.

J’ai donc contacté leur service juridique afin de partager avec eux mes interrogations.

La réponse, cette fois-ci, était ferme et sans équivoque.

En définitive un décret précise les modalités d’application d’une loi. La réponse ne pouvait donc être que ‘oui’!

• Oui, il faut relever le nom et prénom de chaque utilisateur, même dans le cas d’accès gratuits
• Oui, il faut garder une trace permettant de calculer la durée de chaque session
• Oui, il faut, autant que faire se peut, prendre note du type d’appareil utilisé lors de la session
• Et le oui finale, ces données doivent être conservées pendant un an, mais pas plus – sinon c’est vous qui vous retrouverez en tort :

Code Pénal : Section 5 Des atteintes aux droits de la personne résultant des fichiers ou des traitements informatiques
(extrait) Art. 226-20
Le fait de conserver des données à caractère personnel au-delà de la durée prévue par la loi ou le règlement, par la demande
d’autorisation ou d’avis, ou par la déclaration préalable adressée à la Commission nationale de l’informatique et des libertés,
est puni de cinq ans d’emprisonnement et de 300 000 € d’amende, sauf si cette conservation est effectuée à des fins
historiques, statistiques ou scientifiques dans les conditions prévues par la loi.
Est puni des mêmes peines le fait, hors les cas prévus par la loi, de traiter à des fins autres qu’historiques, statistiques ou
scientifiques des données à caractère personnel conservées au-delà de la durée mentionnée au premier alinéa.