Hadopi : vous avez dit des preuves, quelles preuves ?

Le décret publié dimanche sur la création du fichier Hadopi permet a priori d'en savoir plus sur l'étendue des preuves qui seront collectées pour établir la responsabilité de l'abonné à Internet qui n'aurait pas pris toutes les mesures adéquates pour empêcher le téléchargement ou l'upload de fichiers piratés depuis son accès à Internet. Il établit en effet la liste des "données à caractère personnel et informations provenant des organismes de défense professionnelle régulièrement constitués, des sociétés de perception et de répartition des droits, (et) du Centre national du cinéma et de l'image animée". En clair, toutes les informations recueillies par les chasseurs de pirates au nom des ayants droit, et transmises à l'Hadopi pour sanction :

• Date et heure des faits ;
• Adresse IP des abonnés concernés ;
• Protocole pair à pair utilisé ;
• Pseudonyme utilisé par l'abonné ;
• Informations relatives aux oeuvres ou objets protégés concernés par les faits ;
• Nom du fichier tel que présent sur le poste de l'abonné (le cas échéant) ;
• Fournisseur d'accès à internet auprès duquel l'accès a été souscrit.

Nous avons donc confirmation que l'Hadopi ne s'attachera qu'aux seuls logiciels de P2P, ce qui n'est pas une surprise au regard de la technologie. Seul le P2P permet en effet de collecter les adresses IP des utilisateurs. Mais quelle certitude l'Hadopi aura-t-elle qu'un fichier piraté a bien été téléchargé ou uploadé depuis l'adresse IP d'un abonné ?

Dans le décret, il est simplement prévu de transmettre à l'Hadopi l'adresse IP de l'abonné, le nom du réseau P2P utilisé (eDonkey/eMule, BitTorrent, Gnutella...), le pseudonyme utilisé (qui n'existe pas pour BitTorrent, au passage...), et le nom du fichier tel que présent le cas échéant sur le poste de l'abonné. L'ensemble est censé constituer un relevé de preuves suffisant pour enclencher l'avertissement voire la sanction. Les "informations relatives aux oeuvres et objets protégés concernés par les faits" visent la description juridique de l'oeuvre piratée, avec son nom, sa nature (vidéo, musique...) et ses ayants droit.

Visiblement, il n'est pas prévu à ce stade de transmettre à l'Hadopi une preuve matérielle de l'infraction. Le nom du fichier est censé faire foi, alors qu'un même nom de fichier peut abriter des contenus très différents. On peut très bien appeler "Avatar.avi" une vidéo produite chez soi. Par ailleurs le décret vise le nom du fichier "tel que présent sur le poste de l'abonné", alors qu'il peut être présent sur n'importe quel ordinateur qui utilise la même connexion à Internet, et donc la même adresse IP.

De plus, le risque d'injection d'adresses IP innocentes dans les réseaux P2P est réel. Pour démontrer qu'il y a bien possibilité d'upload d'une oeuvre piratée à partir d'une adresse IP collectée, il faudrait initier un téléchargement du fichier à partir de l'adresse IP suspectée, ce qui selon un expert de la gendarmerie que nous avions interrogé constituerait un coût "colossal".

Dans le cahier des charges de l'Hadopi que Numerama avait révélé l'an dernier, il était prévu une phase de "notarisation et d'échantillonnage" clairement associée au "fichier des saisines". La notarisation devait permettre d'enregistrer les "éléments essentiels de la transaction", c'est-à-dire tous les éléments probants de l'infraction. En principe, donc, y compris un morceau du fichier uploadé. Mais nous avions révélé par la suite qu'il n'était pas prévu au départ de conserver un bout du fichier téléchargé pour vérifier qu'il s'agit bien de l'oeuvre soit-disant contrefaite. "S'il s'avère que les nécessités de la procédure de recours rendaient obligatoire avec l'envoi de la saisine le transfert de "chunk" des fichiers téléchargés, il en serait fait mention dans le cahier des charges de réalisation du système cible", avait simplement précisé le ministère de la Culture à une entreprise candidate à la réalisation du système d'information de l'Hadopi.

Si l'on en croit le décret, et à moins que ça ne soit précisé ensuite dans la phase d'autorisation de la collecte d'adresses IP par la CNIL, il a donc été décidé de ne pas conserver de preuve de la mise à disposition des fichiers contrefaits. Ce qui devrait rendre particulièrement fragile les dossiers devant les tribunaux, et promet aussi d'accuser à tort nombre d'internautes qui ne pourront se défendre qu'après réception de l'ordonnance pénale.