Pour peu que l'on puisse admettre le bienfondé théorique de la riposte graduée, sa mise en oeuvre reste un véritable casse-tête au regard des droits civiques. Le projet de loi Création et Internet prévoit en effet d'avertir puis de sanctionner les internautes dont l'accès à Internet est utilisé pour télécharger ou mettre à disposition sans autorisation des oeuvres protégées par le droit d'auteur. Dans l'esprit du gouvernement, le texte doit inciter les internautes à protéger leur accès pour empêcher le piratage. C'est d'ailleurs le défaut de surveillance et de protection qui est condamné, et non pas l'acte de piratage en tant que tel. Dès lors, le projet de loi prévoit trois cas d'exonération de responsabilité :

• Le fait d'avoir mis en oeuvre des moyens de sécurisation pour prévenir les manquements à l'obligation de surveillance ;
• Le fait d'avoir été victime d'une intrusion frauduleuse d'un tiers, autre qu'une personne "placée sous l'autorité ou la surveillance du titulaire de l'accès". Concrètement, si l'accès WiFi est piraté par un voisin malgré la présence des outils de sécurisation, l'abonné ne sera pas sanctionné par l'Hadopi ;
• Les cas de force majeure.

Mais pour actionner le premier cas d'exonération, encore faut-il pouvoir prouver que l'on avait bien protégé son accès à Internet si l'on est condamné à tort par la Haute Autorité chargée de mettre en oeuvre la riposte graduée, l'Hadopi.

Questionné sur ce point, le ministère de la Culture avait dans un premier temps réagi en indiquant qu'il serait possible de fournir son disque dur comme preuve de bonne foi à la Haute Autorité. S'il n'y avait pas trace des fichiers contrefaits, alors l'internaute serait blanchi. L'idée était évidemment absurde, puisqu'il est très simple de substituer un disque dur par un autre, ou d'effacer les traces. Elle posait aussi son lot de problèmes pratiques et de respect de la vie privée. Cette proposition a été rapidement enterrée, mais le problème de la preuve de la bonne foi reste entier.

La Commission des affaires culturelles du Sénat s'est donc saisie de la question. La rapporteur Michel Thiollière propose par une série d'amendements du Sénat que les logiciels de sécurisation de l'accès à Internet soient d'abord agréés par l'Hadopi. Si l'internaute utilise un moyen non agréé, il n'est pas protégé par le cas d'exonération. Or l'un des critères d'obtention de l'agrément serait que puisse être établi une communication régulière entre l'internaute et l'éditeur du logiciel de sécurisation, pour savoir si le système est activé ou non. Les données d'activation ou de désactivation seraient alors conservées pendant 12 mois.

"Certaines licences d’utilisation de ces logiciels (de sécurisation) prévoient un dialogue à distance automatique et régulier entre le logiciel et le serveur de l’éditeur, pour vérifier l’état des mises à jour. Cela comprend l’envoi, par l’ordinateur de l’utilisateur, de données précisant son identifiant et son état de fonctionnement", écrit le rapporteur.

"Dans le cas présent, le serveur de l’éditeur du logiciel vérifierait, à chaque connexion, que les dernières mises à jour ont été installées. Les informations recueillies, conservées douze mois, attesteraient de l’activité du logiciel. Le titulaire de l’accès invoquant la cause d’exonération pourrait ainsi, dans l’hypothèse où l’HADOPI lui adresserait une demande de justificatifs, produire le fichier de « logs » qu’il aurait alors demandé à l’éditeur de son logiciel."

Si l'internaute refuse une mise à jour ou choisit de désactiver l'outil de surveillance, il devra d'abord suivre "une étape dans le processus de désactivation où il serait demandé à l’utilisateur de certifier qu’il a bien pris connaissance des risques encourus en cas de désactivation".

C'est alors un dilème du prisonnier pour le Parlement. Soit il refuse les amendements proposés par la Commission des affaires culturelles et il supprime toute possibilité de prouver sa bonne foi (ou de la contester), soit il les accepte et il institutionnalise la mise en place d'un spyware chez tous les citoyens français, ce qui serait sans doute contraire à la Constitution.

Reste une troisième voie possible : rejeter purement et simplement le projet de loi.