Hadopi se fait voler ses noisettes

Cet article ne concerne pas que les associations, mais il touche tous les utilisateurs d'Internet et nous sommes nombreux. La loi sur la protection pénale de la propriété littéraire et artistique sur Internet (hadopi 2) est en place depuis bientôt 2 ans. Des bilans ont été dressés, pas vraiment flatteurs... Mais, les informations qui nous ont été envoyées ne manquent pas de sel...

Hadopi techniquement, comment ça marche ? Un internaute, lorsqu'il se connecte sur Internet se voit attribuer une adresse IP (une sorte de numéro de téléphone). C'est son identifiant en quelque sorte. Lorsque cet identifiant est repéré en train de télécharger illégalement des films ou de la musique sur Internet, il est enregistré et envoyé au service de répression.

Ces adresses IP sont stockées sur différents serveurs. Un appel d'offre a été réalisé afin de trouver le prestataire chargé (entre autre) de collecter et de conserver (à titre de preuve) ces adresses IP.

C'est la société Trident Media Guard (1) qui a remporté l'appel d'offre. Elle est donc chargée de collecter et stocker les adresses IP des internautes téléchargeant illégalement sur les réseaux P2P.

Or, il apparaît que cette société n'est pas des plus sérieuses... Par exemple, elle a laissé des adresses IP collectées en libre accès sur un de ses serveurs.

Pire, Trident Media Guard (TMG) est reconnu comme l'auteur de négligences très graves de sécurité. C'est en tout cas ce qui ressort du contrôle effectué en mai par la Cnil (2).

Pour rappel, ce contrôle avait été déclenché les 17 et 18 mai 2011 après la divulgation d'une faille de sécurité. Un des serveurs de TMG avait été mis en ligne, sans aucune protection. Et les conclusions de la Cnil, dont une synthèse (3) a été mise en ligne sur son site, sont cinglantes pour TMG et les sociétés de perceptions des droits d'auteurs.

Dans cette synthèse sont cités : "le manque de rigueur dans la mise à jour des équipements informatiques, des mesures de sécurité physique défaillantes", mais aussi l'absence "de procédure formalisée garantissant la bonne application de ces mesures". Ces insuffisances en matière de sécurité concernent non seulement les traitements mis en œuvre par TMG pour son compte, mais également, ajoute la Cnil, "ceux effectués pour le compte de ses clients dans le cadre de la riposte graduée".

Enfin, la Cnil a aussi constaté durant son contrôle une mauvaise application de la loi Informatique et Libertés. Est reproché à la société nantaise un manquement "aux obligations relatives aux formalités préalables et une absence de durée de conservation pour certaines données à caractère personnel".

Bref, cela fait beaucoup pour une société chargée d'empêcher le téléchargement illégal sur internet...

Le ministre de la culture (4) dans une réponse publiée au JO le 13/09/2011, déclarait à propos de cette affaire :
"[... / ...] À l'annonce de cette faille de sécurité, la Haute Autorité pour la diffusion des oeuvres et la protection des droits sur Internet (HADOPI) a décidé, par mesure de précaution, de suspendre l'interconnexion de cette plate-forme avec le système d'information de la commission de protection des droits. [... / ...] Les ayants droit ont actuellement engagé une mission d'audit de sécurité sur la plate-forme mise en oeuvre par le prestataire et la Haute Autorité attend d'avoir l'assurance qu'il n'y a aucun risque pour la protection des données personnelles enregistrées dans son propre système d'information pour remettre en place l'interconnexion. [... / ...] Il appartient à la Haute Autorité d'apprécier la régularité des dossiers qui lui sont soumis avant de les transmettre éventuellement à la justice, seule compétente pour prononcer in fine des sanctions au titre de la contravention de négligence caractérisée."

Outre le fait que l'utilisation d'une adresse IP pour identifier un accès internet ou un lien avec une personne utilisant cet accès internet est une donnée peu fiable (le protocole IP et le routage sur Internet ne vérifient pas l'adresse source), si en plus ces mêmes adresses IP stockées sur un serveur non sécurisé se retrouvent à la portée du premier venu... Elles peuvent être utilisées facilement par un vrai fraudeur et c'est ainsi qu'une petite mémé du Gers se verra inculpée pour avoir téléchargé une chanson de lady Gaga...

En savoir plus
(1) Trident Media Guard (TMG) est une société française spécialisée dans le contrôle d'échange entre utilisateurs d'internet (P2P) et de la protection des droits d'auteur. Créée en 2002 par Alain Guislain et Bastien Casalta, elle est située à Saint-Sébastien-sur-Loire près de Nantes. Elle vise à fournir un service aux grandes sociétés d'édition du disque et du cinéma pour stopper les téléchargements illégaux sur les réseaux peer-to-peer.

En juin 2009, l'acteur Thierry Lhermitte est entré au capital. Il en est aujourd'hui l'administrateur. Trident Media Guard a été choisie, fin janvier 2010, par l'industrie de la musique et du cinéma pour relever les infractions au droit d'auteur sur Internet dans le cadre de la loi Hadopi. Dans ce cadre, elle a pour mission de relever les adresses IP procédant à un téléchargement illicite, puis d'envoyer ces informations à la Haute Autorité.

Petit détail amusant : Trident Media Guard n'a pas déposé de compte aux greffes du tribunal depuis 2008. Or, le dépôt annuel des comptes dans les 6 mois qui suivent la clôture de chaque exercice fiscal est une obligation légale pour tout société enregistrée en France ! Intéressant...

(2) La Commission Nationale de l'Informatique et des Libertés (CNIL) est chargée de veiller à ce que l'informatique soit au service du citoyen et qu'elle ne porte atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques. Elle exerce ses missions conformément à la loi informatique et libertés qui la qualifie d'autorité administrative indépendante. www.cnil.fr

(3) La CNIL met en demeure les sociétés de perception et de répartition des droits d'auteurs et leur sous-traitant, Trident Media Guard - 06 juillet 2011

(4) Question posée par M. Alain Néri (député PS - Puy-de-Dôme) à M. le ministre de la culture et de la communication.