Décret HADOPI relatif au traitement automatisé de données à caractère personnel
L'un des derniers décrets visant à rendre applicable les lois « HADOPI 1 » et « HADOPI 2 » des 12 juin et 28 octobre 2009 est paru au Journal Officiel le 7 mars 2010. Faisant suite au décret n° 2009-1773 du 29 décembre 2009 relatif à l'organisation de la Haute Autorité pour la diffusion des oeuvres et la protection des droits sur internet, ce décret n° 2010-236 du 5 mars 2010 est relatif au traitement automatisé de données à caractère personnel autorisé par l'article L. 331-29 du Code de la propriété intellectuelle dénommé « Système de gestion des mesures pour la protection des oeuvres sur internet ».
Ce décret précise le régime juridique applicable aux données personnelles exploitées dans le cadre de la protection des oeuvres sur internet menée par la HADOPI. L'article 1 précise la finalité du traitement qui est « la mise en oeuvre, par la commission de protection des droits de la Haute Autorité pour la diffusion des oeuvres et la protection des droits sur internet, de la procédure de recommandations prévue par l'article L. 331-25 du code de la propriété intellectuelle ». Pour rappel, les dispositions de l'article L. 331-25 telles qu'issues de la loi HADOPI 1 du 12 juin 2009 avait été déclarées non conforme à la Constitution par la Conseil Constitutionnel.
Les données seront effacées entre 2 et 36 mois après leur collecte (article 3). Cependant, seuls les agents publics assermentés habilités par le président de la Haute autorité en application de l'article L. 331-21 du code de la propriété intellectuelle et les membres de la commission de protection des droits pourront accéder directement aux données à caractère personnel (article 4).
L'autorité collectera la date et l'heure des infractions, l'adresse IP des abonnés, le protocole P2P utilisé, le pseudonyme utilisé par l'abonné, les informations relatives aux oeuvres protégées concernées par les faits, le nom du fichier présent sur le poste de l'abonné, et le nom du fournisseur d'accès à internet auprès duquel l'accès a été souscrit. De leur côté, les FAI fourniront à la HADOPI le nom de famille et les prénoms des abonnés, leur adresse postale et électronique, leurs coordonnées téléphoniques, ainsi que l'adresse de l'installation téléphonique de l'abonné.
L'article 5 du décret précise que « les consultations du traitement automatisé font l'objet d'un enregistrement comprenant l'identifiant du consultant, la date, l'heure et l'objet de la consultation. Ces informations sont conservées pendant un délai d'un an ». Conformément aux dispositions de la loi informatique et libertés du 6 janvier 1978, un droit d'accès ou de rectification est prévu (article 6) ainsi qu'un droit d'opposition (article 7).
L'une des grandes questions soulevée par les lois HADOPI est la collaboration entre les ayants-droits, la HADOPI et les fournisseurs d'accès à internet. Les traitements de données feront-ils l'objet d'une interconnexion et comment la HADOPI pourra mettre un nom sur les adresses IP collectés ?
Le décret du 5 mars, dans son article 8, précise justement que le traitement opéré fait l'objet d'une interconnexion. Cependant, ce croisement pose la question des coûts relatifs aux traitements. Le ministère de la culture a toujours prétendu que les FAI étaient d'accord pour supporter ces coûts.
Cependant, le décret vise l'article 34-1 du Code des Postes et des Communications Electroniques. Or, cet article prévoit expressément que « les surcoûts identifiables et spécifiques éventuellement exposés par les opérateurs » dans ce type de mission étrangère à l'activité des FAI font l'objet d'une compensation financière. Ce ne sont donc pas les FAI qui supporteront l'intégralité des coûts liés à l'interconnexion des traitements.
Il est également à noter que le décret ne visant que le téléchargement sur les réseaux peer-to-peer, l'hypothèse d'une baisse du téléchargement sur les réseaux P2P mêlée à une hausse du visionnage en streaming et du téléchargement direct n'est pas à écarter.