Thread by @AlexArchambault

En 🇪🇺 un service Internet sécurisé ne sera jamais synonyme d’anonymat absolu pour ses utilisateurs. Car les prestataires sont tenus de répondre aux réquisitions judiciaires qui leur sont adressées par les autorités locales, le cas échéant via coopération internationale & Europol

https://twitter.com/OnEstLaTech/status/1434575322465382404

Dans le cas présent le prestataire s’en est expliqué.
La demande des autorités 🇫🇷a été formulée en entraide internationale, via Europol, et relayée par les autorités 🇨🇭: dans ces conditions, requis par ses autorités, le prestataire était tenu de répondre
reddit.com/r/ProtonMail/c…

Donc, non, le prestataire n’a pas communiqué les informations directement à la police 🇫🇷comme on a pu le lire ici ou là , il a fallu passer par cela par un circuit de coopération internationale, que les autorités locales 🇨🇭 ont accepté de relayer.

Et cette demande illustre les conséquences de l’empilement des lois sécuritaires en 🇫🇷 qui ont été modifiées de façon à appréhender les modes d’action radicale en tant qu'atteinte à la sécurité nationale, justifiant la mise en oeuvre de techniques d’investigation + poussées.

Sachant que dans le cas présent, on serait plutôt dans de l’enquête préliminaire relative à de la dégradation aux biens (car oui, même dans le cas d’un mode d’action / expression radicale, la dégradation du bien d’autrui reste passible de poursuites pénales).

Or si pour son enquête un Officier de Police Judiciaire🇫🇷peut tout à fait adresser directement une réquisition à une société établie à l’étranger, "celle-ci reste libre, dans ce cas, de ne pas y répondre".
courdecassation.fr/jurisprudence_…

C’est au demeurant la 1ère réponse apportée par ProtonMail lorsqu’elle a été directement sollicitée : pas de réponse directe, veuillez passer par le canal existant de coopération internationale, si les autorités 🇨🇭 relayent cette demande, nous leur répondrons

Du coup, dans de pareils cas, la procédure d’entraide internationale *lorsqu’elle est relayée par les autorités locales* permet d’obliger le prestataire à y répondre. Car tous les mots d’une précision apportée par la Cour de Cassation ont un sens.

Et dans le cas d’espèce, la 🇨🇭 ayant ratifié la Convention de Budapest il y a 10 ans coe.int/fr/web/cybercr…, les prestataires établis sur son territoire peuvent être tenus de transmettre des informations sur leurs utilisateurs lorsque la demande est relayée par les autorités 🇨🇭

Car même si la Convention de Budapest traite de la cybercriminalité, les outils procéduraux qu’elle met en place concernant le recueil de la preuve électronique ne sont pas cantonnés qu’aux seules infractions relevant de la cybercriminalité
rm.coe.int/168008156d

Et l’utilisation faite par les autorités 🇫🇷 de la Convention de Budapest reste à ce jours assez parcimonieuse.
rm.coe.int/t-cy-2020-16fr…

Quant à ProtonMail, un aperçu des demandes formulées par les autorités concernant ses utilisateurs, est disponible à cette adresse.
protonmail.com/blog/transpare…
Et comme le relève @oliviertesquet c’est loin d’être open bar

https://twitter.com/oliviertesquet/status/1434794404619894786