Cette note a été élaborée pour la Commission parlementaire de réflexion et de propositions sur le droit et les libertés à l'âge numérique de l'Assemblée nationale. Elle défend le besoin d'une reconnaissance forte du droit à l'anonymat de l'expression sur internet, inséparable du droit au secret des communications. La note discute enfin les garanties (définitions des cas, contrôle de leur étendue, garanties procédurales) qui doivent exister lorsqu'il existe des raisons irréfutables de lever l'anonymat ou le secret des communications. Le débat sur ces questions se poursuivant dans la commission, cette note n'exprime que le point de vue de son auteur.
Cadrage
Comme déjà mentionné dans une intervention de Daniel Le Métayer, il est nécessaire de distinguer le véritable anonymat et le simple pseudonymat. Le pseudonymat permet à quelqu'un de s'exprimer sous une identité non immédiatement attribuable à une personne physique [1] mais dans un contexte où des données ont été collectées permettant de lever ce pseudonymat. Il n'existe à mon sens aucune raison de modifier le cadre actuel du pseudonymat [2] , si ce n'est pour renforcer les protections dont les individus s'exprimant sous pseudonyme doivent bénéficier [3]. Le cadre fourni par la LCEN a fait la preuve qu'il permet une identification efficace, et semble même excessivement intrusif dans certains cas.
La question à laquelle je me consacre ici porte sur la définition et les limites potentielles d'un droit à l'anonymat et au secret des communications dans un sens beaucoup plus fort, reposant sur des technologies qui permettent de rendre très difficile l'association d'un contenu avec ses producteurs ou récepteurs. J'affirme que ce droit est une condition absolument nécessaire de la survie de la démocratie à notre époque.
Un droit ancien qui est à la fois menacé et étendu à l'âge numérique
Ce n'est pas d'hier qu'on risque sa vie, son intégrité physique ou sa liberté à écrire ce que des pouvoirs en place ne veulent pas voir lu. Et ce n'est pas d'hier que des personnes fort respectables ont utilisé l'anonymat pour s'adresser au public en limitant ces risques.
Il ne s'agissait pas que de publication. Même aujourd'hui, ce n'est pas l'anonymat d'une lettre qui est puni en droit mais son abus pour commettre des délits (menaces, dénonciation calomnieuse, harcèlement). Des affaires judiciaires célèbres ont montré la difficulté très grande à identifier l'expéditeur de lettres et pourtant, on n'a pas songé à interdire l'anonymat. Même les mesures récentes pour éviter l'envoi de colis piégés ou de produits dangereux ont été limitées aux envois dépassant un certain poids.
Il existe bien un droit à l'anonymat, ne serait-ce qu'en vertu de l'article 5 de la Déclaration des Droits de l'Homme et du Citoyen : « Tout ce qui n’est pas défendu par la Loi ne peut être empêché, et nul ne peut être contraint à faire ce qu’elle n’ordonne pas. » Quand au secret des correspondances, il est affirmé par tout un édifice juridique : CEDH, directive 97/66/CE, charte des droits fondamentaux de l'UE, etc. Un grignotage progressif très préoccupant de ce droit s'est développé par exclusion du champ des correspondances de différentes sortes de communications (par exemple dans le cadre professionnel) ou par multiplication des possibilités d'y porter atteinte et affaiblissement des garanties procédurales.
L'âge numérique s'est traduit par une capacité accrue de chacun à créer et publier des contenus accessibles par tous (en théorie) et à correspondre presque instantanément avec d'autres. Mais ces capacités accrues se sont en réalité accompagnées d'un affaiblissement de la confidentialité des communications et de l'anonymat des producteurs de contenus ou correspondants. La centralisation des services Web, la création d'un marché des données personnelles et le développement de techniques de croisement transforment l'idée d'anonymat (et l'intimité qu'elle permet) en une illusion que les dispositions juridiques de protection ne suffisent pas à transformer en réalité. Ce ne sont donc pas seulement les protestataires ou les lanceurs d'alerte qui ont besoin de techniques d'anonymisation, de chiffrement et d'outils décentralisés, mais également tout un chacun qui souhaite préserver son intimité.
L'anonymisation de type Tor (et technologies liées) et le chiffrement des communications doivent être vus comme un semble de techniques (réunies par exemple dans le système Tails [4]) qui rétablissent un équilibre perturbé, reconstituant les conditions technologiques d'un droit à l'anonymat et au secret des correspondances qui est mis en danger notamment par les différents programmes de la NSA et de ses partenaires. Ce rétablissement renforce le pouvoir distribué des individus et des organisations qu'ils forment face aux pouvoirs étatiques et privés.
Une offensive préoccupante contre le droit à l'anonymat
Même si le droit à l'anonymat et au secret des communications est essentiel pour tout un chacun, c'est la tension croissante entre de nouvelles exigences démocratiques et la résistance des États et entreprises privées à l'exposition de leurs pratiques qui conduit à des attaques directes contre ces droits fondamentaux. La divulgation de méfaits et/ou de mensonges, le souci d'y répliquer par des moyens de désobéissance civile non violente lorsqu'ils ne sont pas corrigés sont aujourd'hui des composantes fondamentales de la vie démocratique [5]. Leurs conditions de possibilité sont à préserver d'autant plus que se multiplient des mécanismes visant soit à empêcher ces actes soit à réprimer sauvagement [6] leurs auteurs
Prenant prétexte des menaces terroristes, de la lutte contre la criminalité organisée ou la pédo-pornographie mais aussi de la lutte contre les Anonymous, LulzSec ou des groupes d'action politique radicale, le gouvernement anglais a lancé une campagne contre le chiffrement de bout en bout et les technologies d'anonymisation. Il semble que ce soit le prélude à une offensive plus généralisée d'un grand nombre de pays portée au niveau européen [7]. En parallèle, le simple usage de technologies de chiffrement même moins robustes (celles fournies par le fournisseur d'email riseup) a été considéré dans un cas espagnol comme contribuant à la présomption de participation à une bande organisée [8].
Ces nouvelles atteintes au droit à l'anonymat s'ajoutent à des dispositions existantes par exemple celles qui forcent sous peine de sanctions pénales à révéler ses propres mots de passe et clés de chiffrement au Royaume⁻Uni. Compte-tenu du rôle que la mémoire numérique joue pour un individu contemporain, ces dispositions relèvent de l'auto-incrimination : elles reviennent à criminaliser le fait de refuser de révéler ses pensées intimes.
Une mise hors la loi des technologies solides d'anonymisation et de chiffrement marquerait un pas décisif vers un contrôle autoritaire de chacun par les États et leurs prestataires ou partenaires privés.
Comment reconnaître un droit à l'anonymat et à la confidentialité numériques ?
À l'inverse de cette logique répressive vouée à l'échec sauf dans des régimes qui deviendraient totalitaires, le droit à l'anonymat doit être reconnu par défaut pour toute expression personnelle. Cela signifie que la légalité de la production et l'usage de technologies d'anonymisation et de chiffrement sera réaffirmée, et qu'elle ne sera en aucun cas constitutive, seule ou en association avec d'autres éléments, d'une présomption d'activité illégale. La reconnaissance d'un droit à l'anonymat n'impose bien sûr à personne de s'exprimer anonymement.
Toute politique d'identifiant numérique unique serait prohibée (qu'il soit d'usage obligatoire ou facultatif pour les prestataires de service). De la même façon l'usage de techniques d'identification biométrique (matérielle ou logicielle) pour donner accès à des services serait prohibée [9]. En ce qui concerne les sites hébergeant de telles expressions, les obligations qui leur sont faites de collecter des informations ne doivent pas faire obstacle à l'utilisation par leurs usagers de techniques d'anonymisation de leurs adresses IP ou mail (voir section suivante sur les conséquences pour la mise en œuvre du droit).
Le droit à l'anonymat ne saurait en aucun cas se transformer en droit à usurper une identité et il doit bien sûr être possible de s'assurer de l'identité de quelqu'un par exemple pour ouvrir bénéfice de prestations sociales ou fiscales en ligne. Les services qui souhaitent avoir des politiques dites de « vrai nom » pourront le faire dans les limites du droit [10]. S'il s'agit de services Web ayant une place dominante ou oligopolistique (comme Facebook), il conviendra de s'assurer que l'application d'une politique de vrai nom par un acteur ayant une telle position ne porte pas atteinte au droit à l'anonymat dans l'ensemble de la société.
En ce qui concerne le droit au chiffrement de bout en bout des communications avec des clés générées sur les machines des usagers et sous leur contrôle, au moyen de logiciels libres, ce droit s'impose avec encore plus de force, y compris aux prestataires de service et fabricants de matériels pour qui il ne serait pas permis d'y faire obstacle.
Les conséquences du droit à l'anonymat pour la mise en œuvre du droit
La reconnaissance d'un droit à l'anonymat et à la confidentialité des communications va-t-elle mettre en péril l'application d'autres droits légitimes, par exemple pour la lutte contre la criminalité, la diffamation, les menaces, l'incitation à la haine raciale ?
Le droit à l'anonymat et à la confidentialité n'est évidemment pas sans impact sur les opérations d'enquête et de prévention. Il a pour effet de rendre beaucoup plus coûteuses les opérations de surveillance de masse ou généralisée, sans pour autant empêcher les opérations de surveillance ciblée qui disposent d'outils spécifiques. Comme ces opérations peuvent dans certains cas nécessiter des intrusions informatiques, elles doivent être l'objet d'autorisations judiciaires. Au stade des enquêtes préliminaires, ce sont le plus souvent d'autres approches qui sont susceptibles de conduire au recueil des éléments conduisant à la présentation d'un dossier aux juges. Mais ces approches doivent être limitées à la prévention des risques les plus graves à l'exclusion des extensions de domaines d'application auxquelles risque de conduire l'article 19 de la Loi du 13 novembre 2014. Dans les autres domaines, la validation judiciaire obligatoire à posteriori est la seule compatible avec la liberté d'expression.
Au total, il serait prétentieux de prétendre comparer sur le strict plan de l'efficacité sécuritaire les deux approches. Mais ce qui est certain, c'est que la reconnaissance d'un droit à l'anonymat et au secret des communications sauvegarde la démocratie des dérives autoritaires qui la menacent ainsi que la capacité de chacun à s'exprimer et à participer à l'espace public. Cette sauvegarde la renforce et cela a aussi un impact sur les menaces qui pèsent sur elles.
L'absence de liens vers et depuis les notes est due à une limitation des outils d'édition disponibles.
[1] De nombreux pseudonymes sont en réalité transparents (comme balaitous en ce qui me concerne) : il suffit de quelques secondes à n'importe qui pour leur associer une identité de personne physique. D'autres pseudonymes ne sont pas transparents : il faut disposer d'informations privilégiées pour lever le pseudonymat (email, adresse IP, informations de géolocalisation, croisements divers, etc.). C'est ce qui conduit par exemple Maître Éolas à dire : « c'est sous mon vrai nom que je suis anonyme ».
[2] Comme déjà mentionné dans une intervention précédente, il n'est pas adéquat de raisonner en termes de « blogueurs professionnels » et « blogueurs non professionnels ». Le cadre juridique actuel distingue des personnes responsables de leur propre expression ou de celles d'autres parce qu'elles jouent un rôle d'éditeur (rédacteur, filtre ou sélectionneur) à l'égard des contenus concernés et des personnes qui sont exemptes de responsabilité sur ces contenus parce qu'elles se contentent de les héberger. Ces dernières sont soumises à des obligations limitées de collecte et conservation de données permettant potentiellement d'identifier les contributeurs.
[3] Ainsi, le décret demandant aux fournisseurs d'accès et hébergeurs de conserver les mots de passe des comptes des personnes produisant des contenus qu'ils hébergent me paraît porter atteinte de façon abusive à leur droit à la vie privée, dans la mesure où il permet aux enquêteurs d'accéder à des informations sans lien avec leur identification ou avec les causes qui justifient de les identifier. De la même façon, des dispositions permettant de fournir les données d'identification à des tiers privés (exemple de la directive IPRED et de ses transpositions, de l'HADOPI et de certains textes proposés dans des traités internationaux) sont à mon sens contraires au droit à un procès équitable.
[5] Cela s'explique en particulier par la perception d'une dérive post-démocratique ou oligarchique des démocraties occidentales. Sur ce point, voir Ph. Aigrain, Les actions décentralisées des citoyens peuvent-elles régénérer la démocratie, Eutopia : New Ideas for Europe, version française : http://www.internetactu.net/2014/07/03/les-actions-decentralisees-des-citoyens-peuvent-%C2%ADelles-regenerer-la-democratie/
[6] Cet épithète n'est pas abusif: cf. le traitement infligé à Chelsea Manning, Julian Assange, Aaron Swartz ou Edward Snowden, mais aussi les condamnations de Jeremy Hammond (http://www.20minutes.fr/web/1250607-20131116-20131116-hacker-anonymous-condamne-a-10-ans-prison) ou de nombreux activistes moins connus.
[7] Voir : Nouvelles mesures contre le terrorisme, non au double discours sur les libertés http://www.laquadrature.net/fr/nouvelles-mesures-contre-le-terrorisme-non-au-double-discours-sur-les-libertes#footnote2_3rt7t9m
[8] https://www.eff.org/deeplinks/2015/01/security-not-crime-unless-youre-anarchist
[9] Pour l'usage de telles techniques à des fins de sécurité et maintien de l'ordre, voir la section suivante, l'idée de base étant de ne permettre que des identifications ciblées.
[10] Seuls les policiers, gendarmes ayant la qualité d'officiers, agents ou agents adjoints de police judiciaire et, dans certains cas, les douaniers sont habilités à vérifier une identité ; les personnes assermentées peuvent relever l'identité ; dans les autres cas par exemple pour les déclarations fiscales ou sociales, seuls des recoupements d'information permettent de s'assurer de l'identité de quelqu'un)