SOPA et Megaupload: quelle responsabilité pour les « intermédiaires » de l’Internet?

Retour sur la mobilisation anti-SOPA et le cas Megaupload :

L’accès à Internet comme « droit » face à la responsabilité des intermédiaires

 

Le blocage DNS, par ordre de l’FBI américain, de dix-huit sites de streaming et téléchargement direct de fichiers vidéo parmi lesquels figurent le populaire Megaupload et son « cousin » Megavideo, semble parler clair : l’offensive aux bastions de la piraterie sur Internet, intouchables jusqu’à maintenant, a (re)commencé en grand style. D’autres sites s’apparentant à Megaupload tomberont, et seront certainement « vengés » et rapidement remplacés par des alternatives similaires ; les utilisateurs, quant à eux, vont à court terme digérer l’affaire avec quelques recherches en ligne, à la chasse d’autres sites. Pourtant, on commence à peine à mesurer l’ampleur potentielle des conséquences à moyen terme du blocage. Certes, le Sénat des Etats-Unis a, pour le moment et suite à un important mouvement en faveur de la libre diffusion de la culture guidé par Wikipédia, décidé de différer les discussions sur les controversées lois anti-piratage SOPA et PIPA, après qu’une décision similaire avait déjà été prise par la Chambre des représentants états-unienne. Mais les principaux experts de droit d’auteur sur Internet se trouvent d’accord : la prochaine manœuvre des industries du copyright sera d’essayer de restreindre la liberté d’action de sites qui nous semblent être aujourd’hui entièrement dans le champ de la légalité, comme Google, Facebook, YouTube. De quoi nourrir ultérieurement un débat récemment ravivé par Vint Cerf : l’accès à l’Internet, no strings attached, est-il un droit de l’homme ?

 

Les intermédiaires de l’Internet sous attaque?

L’enjeu central de l’affaire SOPA/PIPA et de la fermeture de Megaupload semble donc être l’ « effet domino » de décisions politico-judiciaires qui, partant d’une action policière nationale (des Etats-Unis dans ce cas), se reflètent au niveau global. C’est l’inquiétude de la commissaire européenne en charge de la société numérique Neelie Kroes, qui note comment l’action unilatérale des autorités états-uniennes ait un impact immédiat et important sur les usagers européens – y compris ceux qui utilisaient Megaupload légalement. En effet, le site avait aussi, pour beaucoup d’internautes partout dans le monde, une fonction de « disque dur virtuel » qui incluait le stockage de fichiers légaux, photos et documents personnels, qui sont au moins pour le moment perdus – sans même que les autorités du pays dont ils sont citoyens ne l’aient décidé. Un des paradoxes des multiples facettes de l’Internet : un instrument d’accès global à de l’information qui est, par ailleurs, contenue et gérée par des serveurs physiques – contrainte par leur matérialité, sujette aux limitations et aux juridictions des pays qui les hébergent.

Les 180 millions d’abonnés de Megaupload ne seront pas en manque d’alternatives suite à sa fermeture. D’ailleurs, ces utilisateurs étaient souvent dirigés vers la musique, les films, les BD de leur choix par des liens présents sur des sites tels que forums et blogs, qui renvoient souvent vers d’autres possibilités de téléchargement direct et de streaming : ceux-ci ne manqueront pas de s’enrichir rapidement et efficacement de contenus et d’utilisateurs ; tout comme il sera facile, pour de nouveaux services du même genre, de voir la lumière et de se substituer aux géants abattus. Pourtant, plusieurs experts partagent l’impression que ces effets immédiats soient loin de résumer à eux seuls l’impact des événements récents. La fermeture de Megaupload et frères serait la preuve du fait que l’industrie du copyright a décidé de lancer une nouvelle offensive, sans précédents depuis les « Napster wars » du début des années 2000, qui impliquerait de s’attaquer à d’autres sites semblables, à l’heure actuelle pleinement insérés dans la « légalité » de la distribution de contenus via l’Internet.

 

Vers des restrictions plus importantes pour les plateformes

Une procédure judiciaire aux résultats incertains suivra maintenant de près la fermeture des sites. Ce qui signifie que, en théorie, leurs administrateurs pourraient être libérés de toute accusation, et les sites ouverts à nouveau. L’ambigu Kim Dotcom (a.k.a. Schmitz), l’un des fondateurs de Megaupload, déclarait par ailleurs à l’audience préliminaire de son procès, le 20 janvier dernier, qu’il n’avait « rien à cacher ». Jusqu’ici, aucun site semblable à Megaupload n’a été condamné par un juge : les fermetures ont toujours été causées par des saisies préventives. Pourtant, une condamnation semble, dans ce cas, plus probable qu’un acquittement. En effet, jusqu’à présent, les sites de streaming et équivalents se sont justifiés en soutenant de n’être que des « purs intermédiaires », et que la responsabilité des actes illicites doit retomber sur les usagers téléchargeant les fichiers piratés sur les sites. Cet argument a déjà été utilisé par le site de torrent The Pirate Bay, qui a pourtant déjà subi une condamnation bien qu’il s’exposât à moins de risques, se limitant à indexer les fichiers sur un moteur de recherche au lieu de les héberger directement sur le site comme fait Megaupload. Les autorités sont en train d’affirmer le principe selon lequel ces sites sont illégaux car l’organisation de leur modèle d’affaires est entièrement centrée – qui plus est, avec profit – sur les activités pirates.

Par ailleurs, l’argument de la « pure intermédiation » et de la responsabilité de l’usager soutient aujourd’hui une bonne partie du modèle Internet dans sa forme actuelle ; c’est l’argument qui permet à des plateformes telles que Google, Facebook, YouTube de poursuivre leurs opérations sans encourir à tout moment le risque d’amendes très importantes à cause des actions que leurs usagers effectuent sur et au moyen de la plateforme. Il en va de même pour les fournisseurs d’accès à Internet (FAI). Il y a donc le risque concret d’une réaction disproportionnée : pour défendre le système de copyright dans sa forme actuelle, les modalités d’accès et d’utilisation de sites Internet non orientés au piratage pourraient être largement réduites, voir carrément empêchées. L’attaque des autorités américaines à Megaupload et aux autres sites serait-il une réaction à la vaste mobilisation de l’Internet contre la proposition SOPA/PIPA – projet de loi qui souhaite précisément augmenter les responsabilités de tous les sites pour la distribution et la diffusion de contenus vis-à-vis le piratage en ligne ?

 

Internet, un « droit » ? Sûrement une opportunité

L’effet principal, à moyen terme, de la chute des géants du streaming pourrait donc dépasser le cadre des copyright wars pour investir un des enjeux fondamentaux de l’Internet : l’accès au réseau des réseaux est-il un droit de l’homme, à problématiser et protéger en conséquence, même et surtout face aux intérêts de certains acteurs ? Cette question, largement débattue dans plusieurs arènes internationales, a été récemment posée par Vint Cerf sous un angle novateur et controversé. En effet, l’ « évangéliste en chef » de Google fait l’argument que l’Internet serait à classer parmi les technologies « facilitatrices » des droits de l’homme, en tant que moyen de poursuivre un but, plutôt que d’être défini en soi comme droit de l’homme.

Si cette perspective est intéressante et invite à poursuivre la réflexion, il nous semble légitime, en suivant Sean Ludwig, de réaffirmer quelque chose de très simple : quelqu’un doté d’un accès non restreint à l’Internet a la possibilité de connaître et changer le monde beaucoup plus que quelqu’un qui n’a pas cet accès. Au delà des débats sur l’Internet comme droit fondamental, ce serait opportun qu’une telle prise de conscience devienne une priorité, ou au moins partie intégrante, des processus de décision politique et judiciaire concernant le réseau des réseaux. Peut-être pourra-t-on ainsi éviter des desseins de loi qui, dans le but de poursuivre des usages partiellement illicites, risquent d’endommager sérieusement l’ « écologie Internet », son ouverture, et ses opportunités d’innovation.

Francesca Musiani

Chercheuse postdoctorale, MINES ParisTech Yahoo! Fellow in Residence, Georgetown University

More Posts - Website

Le Cloud: une architecture virtualisée

Dans l’analyse des modèles d’architecture en réseau, dont l’architecture distribuée est un cas spécifique, il nous a paru intéressant d’explorer les questions de l’architecture du cloud computing qui actuellement pose des questions juridiques de grande ampleur. Nous avons donc participé à un Atelier de l’ADIJ dédié aux problèmes juridiques du Cloud, et qui s’intéresse essentiellement au Cloud d’entreprise.  La question commune d’emblée évidente est que le pair à pair et le cloud essaient de résoudre chacun de leur façon la mutualisation de ressources face aux capacités limitées. Ils ont aussi en commun l’élasticité du modèle, la modulabilité, le self-provisioning. Un deuxième aspect commun est celui du sort des données personnelles. Alors que dans le cas du pair à pair, les données personnelles des utilisateurs sont par nécessité transmises dans un réseau de pairs, dans le cas du Cloud Computing, les données personnelles sont stockés dans des data centers dont la localisation exacte est souvent inconnue aux utilisateurs et dont la sécurité est incertaine. C’est ainsi que la CNIL qui a participé à cet Atelier a aussi mis en place un Groupe de travail interne sur ce thème. Nous reprenons ici les principaux points de cet Atelier qui se rapportent à nos interrogations.

Le 3 novembre 2011, l’atelier « Cloud Computing » de l’Association pour le Développement de l’Informatique juridique (ADIJ) animé par H.F. Jul-Hansen, B. Delmasx-Linel& D. Feldman  a  terminé sa première tranche de réflexions à l’Espace Hamelin.  L’atelier, qui avait été lancé le 23 septembre 2010, a accueilli durant ses séances de nombreux avocats et représentants de sociétés leaders du Cloud Computing (tel que Microsoft, Google, IBM, WMWare, etc) qui se sont réunis tous autour d’une même table pour entreprendre une discussion ouverte et constructive sur les atouts, les risques et les enjeux juridiques du Cloud Computing. L’atelier s’est terminé avec un compte-rendu de ce qui a été dit dans les séances précédentes.

Avant même de se mettre d’accord sur une définition, le groupe était divisé sur la question : s’agit-il  ou non d’une révolution technique ? N’était ce pas plutôt une innovation (voire un coup) commerciale ? Il est dit notamment que le terme « Cloud Computing » ne veut  rien dire en soi, que  c’est un outil de marketing qui fait vendre des services, mais qui fait aussi peur aux clients. Le Cloud Computing est sans doute une révolution mais elle n’est pas technique. La virtualisation de l’architecture et la mutualisation des données permettent une plus grande élasticité et flexibilité des ressources informatiques, mais leur déplacement sur le réseau comporte une perte de maîtrise qui comporte des risques importants. Les problématiques juridiques principales concernent essentiellement le droit à la vie privée, la sécurité des données, et l’encadrement contractuel. La question est de savoir si ces problèmes sont inhérents au Cloud Computing, ou s’ils sont dus simplement à la jeunesse de ces architectures.

I.               Encadrement contractuel

La difficulté majeure est celle de formuler des contrats qui puissent prendre en compte tout problème potentiel. Alors que dans le cas des Clouds publics (versus Clouds privés), l’utilisation de contrats-type est a priori possible, la négociation des contrats pour les Clouds privés est beaucoup plus complexe. Les Clouds hybrides, eux, essaient de trouver un équilibre entre l’exportation des données en dehors de l’entreprise et le maintien de certaines opérations au sein de l’entreprise.

Le problème de fond se trouve dans l’opposition entre les utilisateurs qui exigent un maximum de garanties et les prestataires de services en amont qui ne veulent assumer aucune responsabilité. Les intermédiaires se voient donc obligés de gérer et de mettre en balance les intérêts de tous leurs partenaires. Si le contrat est déséquilibré, il y a souvent un problème au niveau de l’expression des besoins.

L’encadrement contractuel est d’autant plus difficile qu’il n y a pas de transparence entre les opérateurs. Les utilisateurs communiquent exclusivement avec un intermédiaire (e.g. Dropbox), sans connaître l’identité ni des prestataires en amont (e.g. Amazon dans le cas de Dropbox) ni des responsables de l’infogérance et de l’hypervision (e.g. Xen dans le cas d’Amazon).

II.             Sécurité des données

Les problèmes de sécurité concernent  l’accessibilité et la confidentialité des données. Bien que les mêmes problèmes existaient auparavant, les risques sont perçu comme étant beaucoup plus graves dans le cadre du Cloud à cause de la distance et de l’échelle des opérations. Des centres de données  (data centers) accumulent de plus en plus de données qui ne sont accessibles que par l’intermédiaire du service Cloud. Dès lors qu’il y a une panne, de nombreux utilisateurs en souffrent et personne ne peut faire quoi que ce soit, si ce n’est attendre que les prestataires résolvent le problème. Ceci entraine un malaise psychologique du à la perte de maitrise.

Ainsi, bien que le Cloud offre d’énormes avantages en termes de disponibilité et accessibilité des données, il comporte aussi de gros désavantages du à la perte de maitrise et au manque d’interopérabilité. Plusieurs fournisseurs de services, notamment Google et Blackberry, ont déjà été confrontés à de tels risques.

Il ne s’agit là pourtant pas d’une nouvelle ménace, mais plutôt d’une confirmation que ces risques existent toujours. Alors que le Cloud ne multiplie pas la probabilité de perte des données, il en multiplie l’ampleur. Des problèmes, aussi minimes soient-ils, risquent d’entrainer des conséquences très importantes puisque le Cloud opère sur une grande échelle. De plus, bien que ces problèmes se posent à la même fréquence dans le Cloud ou ailleurs, leur nombre est susceptible d’augmenter avec le nombre d’intermédiaires.

Pour  sécuriser les données, il est donc encore plus nécessaire d’investir en redondance, mais aussi d’éduquer les utilisateurs à sauvegarder leurs données dès lors qu’ils ne sont pas prêts à accepter les risques.

III.           Droit à la vie privée

Les problématiques liées à la protection de la vie privée des utilisateurs sont de grande actualité dans le cadre du Cloud Computing. De plus en plus de juristes travaillent sur les questions relatives au Cloud Computing et à la protection des données personnelles. Les enjeux sont essentiellement dus au fait que les règles sur le traitement des données personnelles varient énormément selon des pays. Le cadre règlementaire européen est beaucoup plus strict que celui des Etats-Unis par exemple. Alors que ces problèmes existaient bien avant l’arrivée du Cloud Computing, le Cloud en a été un révélateur efficace.  Ainsi, bien qu’il n’ait pas modifié les comportements habituels des fournisseurs de services en termes de traitement des données, il a cependant acquis une connotation négative dans l’esprit des clients.

Il devient donc nécessaire de rassurer les clients. Alors que certains fournisseurs de service ne se préoccupent pas de contrôler l’emplacement de leurs serveurs ou de leurs prestataires, d’autres se sont engagés à proposer des offres qui garantissent que tous les serveurs soient en Europe, et en font ainsi un atout concurrentiel. De plus, même si rien n’a changé d’un point de vue pratique, les contrats d’infogérance (l’externalisation de tout ou partie de la gestion et de l’exploitation du service informatique à un prestataire informatique tiers)  se voient maintenant obligés de contempler tous les problèmes liés à la sécurité et à la confidentialité des données – bien que cela aurait du être fait bien avant l’arrivée du Cloud Computing.

Ces dangers ne sont pas seulement théoriques, comme l’ont prouvé récemment Sony, Amazon, Google et Blackberry. Avant d’acheter un service, de plus en plus de clients s’interrogent pour savoir si les fournisseurs de services sont bien assurés contre les risques associés au Cloud Computing. Des instituts d’assurance ont donc été appelés à intervenir pour amortir ces nouveaux risques.

La question principale est de savoir si ce sont les prestataires de service ou les utilisateurs finaux qui doivent s’assurer contre la perte ou la fuite des données. Les clients exigent souvent que les prestataires assument tous les risques, bien que cela soit difficile à mettre en œuvre. Plutôt que d’essayer de créer un contrat qui mette les garanties entièrement sur le dos des prestataires, il serait préférable de changer le modèle adopté pour satisfaire les besoins des clients (par exemple, en passant d’un Cloud public à un Cloud hybride). Obliger les fournisseur à s’assurer contre les risques liés à la perte des données et au respect de la vie privée risque de se traduire en une forme de forfaitisation, où le coût de l’assurance est partiellement reversé sur les clients qui se voient donc obligés de payer un premium pour assurer la sécurité de leurs données. De plus, bien qu’il soit important de répartir les responsabilités sur les différents prestataires, l’utilisateur peut aussi s’assurer par ses propres moyens. Ceci permettrait des négociations plus équilibrées entre tous les acteurs qui participent au service.

Enfin, un autre point intéressant porte sur la standardisation. L’idée serait de gérer les problèmes de sécurité et de confidentialité des données en s’appuyant sur une série de normes ou de standards. OVH, par exemple, a annoncé vouloir rechercher une certification ISO pour ses offres de Cloud privé, dans le but de fournir de meilleures garanties de sécurité aux clients.

La standardisation permet aux clients de contrôler la fiabilité des prestataires par l’intermédiaire de l’audit d’un tiers. Différents types de certifications sont déjà utilisés par plusieurs fournisseurs de services Cloud, tel que la certification SAS 70 par exemple, mais la plupart ne couvrent que les aspects financiers du service. Le problème est que les certifications proviennent d’entreprises privées, et il est donc toujours nécessaire de se mettre d’accord sur les standards à utiliser.

Aujourd’hui, le développement de normes ou de standards capables de garantir l’efficacité et la sécurité d’un service n’a pas beaucoup avancé dans le cadre du Cloud Computing. Cela est probablement du au fait que l’on est encore en phase de compétition dans le secteur. La standardisation des offres arrivera probablement à une phase successive, lorsque le marché commencera à se stabiliser. Est-ce que le Cloud est architecture nouvelle qui induit de nouveaux rapports assurantiels et contractuels ?

À la fin de cet atelier, nous avons compris que le Cloud Computing et les réseaux pair à pair ont plusieurs caractéristiques en commun. Tous les deux sont basés sur la virtualisation et la mutualisation des ressources et tous les deux présentent une architecture distribuée, dynamique et élastique – bien que l’architecture du Cloud est déterminée par les besoins des clients, alors que celle des réseaux pair à pair dépend de la disponibilité des ressources. Cependant il nous semble intéressant d’analyser en quoi ces deux architectures, qui sont toutes deux distribuées, se différencient. Il nous semble que, alors que le pair à pair est une architecture distribuée décentralisé, le Cloud est lui une architecture distribuée de façon centralisé.

Danièle Bourcier et Primavera De Filippi

ICAIL 2011: The Thirteenth International Conference on Artificial Intelligence and Law

June 6, 2011 – June 10, 2011

University of Pittsburgh School of Law

3900 Forbes Avenue

Pittsburgh

The 13th International Conference on AI and Law (ICAIL 2011) will be held in Pittsburgh, Pennsylvania, USA, June 6-10, 2011, at the University of Pittsburgh School of Law under the auspices of the International Association for Artificial Intelligence and Law (IAAIL), an organization devoted to promoting research and development in the field of AI and Law with members throughout the world.

The field of AI and Law is concerned with:

  • the study of legal reasoning and argumentation, using computational methods
  • the formal representation of norms, normative actions, normative systems and norm-governed societies and multi-agent systems
  • the investigation of techniques from advanced information technology, using law as the illustrative domain
  • applications of advanced information technology to support tasks in the legal domain.

ICAIL provides a forum for the presentation and discussion of the latest research results and practical applications and stimulates interdisciplinary and international collaboration. Previous ICAIL conferences have been held biennially since 1987, with proceedings published by ACM.

More.

François Huguet

PhD student in Communication Studies at the Codesign Lab & Media Studies at Telecom ParisTech. Supervisor: Annie Gentès / Co-supervisor: Jérôme Denis

More Posts - Website

Follow Me:
TwitterDelicious