Quelles données conserver sur les créateurs de contenu ?

Christiane Féral-Schuhl, avocate à la Cour, associée fondatrice du cabinet Féral-Schuhl/Sainte-Marie, et bâtonnier désigné du Barreau de Paris

Le fait : le décret relatif à la conservation et à la communication des données permettant d'identifier toute personne ayant contribué à la création d'un contenu mis en ligne a été publié le 1^er mars.Dans son article 6-II, la loi pour la confiance dans l'économie numérique du 21 juin 2004 a instauré l'obligation, pour les hébergeurs, de conserver les données relatives aux créateurs des contenus qu'ils hébergent. Il s'agit de permettre l'identification, par l'autorité judiciaire, des personnes à l'origine d'un contenu. Les données stockées peuvent également être mises à la disposition d'agents chargés de la lutte contre le terrorisme.

Les inquiétudes de la Cnil

En l'absence de décret, les juges avaient rendu des décisions contradictoires. En 2008, le tribunal de grande instance de Paris imposait aux hébergeurs de conserver les nom, prénom, adresse et numéro de téléphone quand, en 2009, la Cour d'appel de Paris jugeait que les hébergeurs n'étaient pas astreints à cette obligation.Près de sept ans après, le décret est enfin publié. Il fixe un inventaire précis des données à conserver. Pour les fournisseurs d'accès à internet (FAI), il s'agit notamment de “ l'identifiant de la connexion ” et “ des dates et heures de début et de fin de la connexion ” ; pour les hébergeurs, “ l'identifiant de la connexion, la nature de l'opération, les dates et heures de l'opération ”. Le décret ne distingue pas les données fiables ? adresse d'un client d'un FAI ? de celles à l'authenticité toute relative ? éléments renseignés par l'internaute sur une plate-forme web.La durée de conservation des données est, sauf exception, “ d'un an à compter du jour de la création des contenus, pour chaque opération contribuant à la création d'un contenu ”. On regrettera cette formule alambiquée, la contribution à la création d'un contenu englobant les opérations de création initiale, de modification et de suppression de contenus.Dans son avis du 20 décembre 2007, la Cnil pointe l'imprécision du texte sur les catégories des personnes assujetties à cette obligation et la notion “ d'identifiant ”, ainsi que l'insuffisance du simple renvoi au respect des dispositions de la loi informatique et libertés pour déterminer les modalités de conservation des données.

Ce qu'il faut retenir

Le décret permet de lever les incertitudes jurisprudentielles sur l'étendue de l'obligation de conservation. Néanmoins, on regrettera l'imprécision de certains termes utilisés et que l'impossibilité de vérifier l'authenticité des données renseignées par l'internaute lui-même n'allège pas les obligations des hébergeurs de les conserver.