Exclusif : la convention négociée entre l'Hadopi et les FAI

C'était l'un des secrets les mieux gardés. Le décret du 5 mars 2010 qui crée le "Système de gestion des mesures pour la protection des oeuvres sur internet", ou fichier Hadopi, prévoit la signature d'une convention pour encadrer les échanges automatisés de données personnelles entre la Haute Autorité et les fournisseurs d'accès. Elle doit déterminer le protocole à suivre pour réceptionner les listes d'adresses IP à identifier, et renvoyer à l'Hadopi les noms et adresses des abonnés à avertir.

Mais ni les opérateurs ni l'Hadopi n'avaient souhaité s'exprimer le mois dernier sur le sujet, lorsqu'il est apparu que l'identification des premiers abonnés s'était faite en dehors de toute convention signée. Le sujet était tabou de part et d'autre, sans que l'on comprenne bien pourquoi.

Nous avons cependant réussi à nous procurer enfin la fameuse convention, et surtout le "cahier des charges des échanges avec les FAI" (.pdf). Ce dernier, que nous publions intégralement, est daté du 18 mai 2010 et porte le numéro de version 1.1. Rien ne permet de penser qu'il a évolué depuis.

La "convention relative aux modalités d'interconnexion" (.doc) que nous publions également vise ce cahier des charges "v1.1" en annexe, et dit que ses dispositions "tiennent lieu de convention". Or même si le contrat n'est pas daté, ses métadonnées nous donnent une précieuse indication. Le document Word d'origine aurait été créé le 6 octobre 2010 par Eric Walter, le Secrétaire général de l'Hadopi. Etant données nos sources, nous n'avons aucune raison de douter de l'authenticité du document.

Nous ne savons pas, en revanche, si cette convention a bien été signée par un ou plusieurs FAI depuis cette date.

Le cahier des charges qui tient lieu de convention fait l'objet de deux parties, que nous avons analysées séparément :

1. Le protocole d'identification des abonnés entre l'Hadopi et les FAI
2. L'envoi des mails par l'Hadopi via les serveurs SMTP des FAI

En raison de leur caractère confidentiel, la publication de ces documents est en principe interdite. Nous les publions cependant en vertu du droit à l'information, après avoir pris soin de vérifier que la révélation du protocole technique ne faisait pas courir de risque disproportionné à la sécurité des données personnelles.