Thread by @AlexArchambault

@bortzmeyer @huguesdelamure Tempête dans un verre d’eau. Personne n’est obligé de répondre à une demande d’information mais généralement ça aide pour avoir le moment venu des réquisitions exploitables et éviter de flinguer 1 demi journée au comico du coin qui voudra faire un excès de zèle #BeenThereDoneThat

@bortzmeyer @huguesdelamure Pour les FAIs établis en dehors du territoire national, aucune obligation de réponse ou de déférer en direct à une réquisition, même si en face ça brandit avec insistance la Convention de Budapest avec de grands moulinets avec les bras qu’ils le diront à votre chef

@bortzmeyer @huguesdelamure Pour les acteurs établis en France et déclarés auprès de l'@ARCEP, aucune obligation de répondre à une demande d’information (mais une nouvelle fois, ça peut aider à prévenir un excès de zèle), mais *obligation* de répondre (même négativement) à une réquisition judiciaire

@bortzmeyer @huguesdelamure @Arcep Et comme l’explique l'@ARCEP extranet.arcep.fr/portail/Opérat… « l’activité d’opérateur est notamment soumise au respect d’obligations relatives (…) à la fourniture de données de connexion »

@bortzmeyer @huguesdelamure Et selon l’article L.39-3 CPCE « est puni d'un an d'emprisonnement et de 75 000 euros d'amende le fait pour un opérateur de communications électroniques
de ne pas procéder à la conservation des données techniques dans les conditions où cette conservation est exigée par la loi. »

@bortzmeyer @huguesdelamure Et précisons également que pour les personnes morales (donc les associations, car une personne morale n’est pas nécessairement une société commerciale), le taux maximum de l'amende est multiplié par 5 (art. L.131-38 du code pénal) #JDCJDR

@bortzmeyer @huguesdelamure Donc faire le kakou face à une réquisition façon ACAB, c’est tout sauf une très bonne idée : ça peut mener à amende association
+ citation à comparaître (art 62 CPP)
+ perquisition (art 56, 57-1 et 94 CPP). C’est vous qui voyez hein.

@bortzmeyer @huguesdelamure Et d’un autre côté (sinon c’est pas marrant), le fait de porter à la connaissance de tiers qui n’ont pas qualité des données personnelles, y compris par imprudence ou négligence, est réprimé par 300 000 € d’amende (100K € si imprudence/négligence)

@bortzmeyer @huguesdelamure Donc, à l’échelle d’un opérateur associatif, potentiellement 1,5 millions d’euros d’amende (ou 500 000 € en cas d’imprudence ou négligence) pour dévoiler des données personnelles en dehors de toute procédure judiciaire valable.

@bortzmeyer @huguesdelamure Bref, il y a un juste équilibre à trouver entre ignorer superbement une réquisition en s’en vantant publiquement et déférer aveuglément sans chercher à vérifier si la demande est fondée en droit (j’ai dit en droit, pour les faits, ça reste à l’appréciation souveraine des OPJ)

@bortzmeyer @huguesdelamure Pour avoir une idée de ce qui peut être demandé dans le cadre d’une réquisition judiciaire, c’est à l’article A-43-9 du code de procédure pénale legifrance.gouv.fr/affichCodeArti…

@bortzmeyer @huguesdelamure Sachant que la position des autorités Françaises étant que le dispositif issu de l’article L.34-1 CPCE (fourniture des données de connexion) étant antérieur à la directive invalidée par les arrêts DigitalRights / Tele2 de la #CJUE, il n’est donc pas concerné #SurUnMalentendu

@bortzmeyer @huguesdelamure Car en réalité, c’est un peu plus compliqué et c’est un peu la panique pour justifier le maintien de l’obligation de fourniture des données de connexion. Et si quelqu’un a des nouvelles sur la position de la @CNIL sur ce sujet…
questions.assemblee-nationale.fr/q15/15-7361QE.…