Paris le 27 octobre 2017 - La Quadrature du Net a fait l'objet d'une réquisition judiciaire pour transmettre « toutes les données entre [notre] possession » permettant d'identifier un utilisateur d'un compte hébergé sur Mamot, l'instance de Mastodon que nous tenons. Nous avons remis à la Justice l'unique information que nous conservions : l'adresse email d'inscription. Dans le respect du droit de l'Union européenne, nous ne conservons aucune autre donnée sur nos utilisateurs au-delà de 14 jours.

Au début du mois d'octobre, dans le cadre d'une instruction pénale, la police judiciaire a demandé à La Quadrature du Net de lui remettre toutes les informations qu'elle détenait sur un utilisateur de son instance Mastodon, Mamot.fr. Cet utilisateur s'avère être un organe de presse militante en ligne, dont nous garderons l'identité couverte par le secret de l'instruction.

Or, La Quadrature a choisi de respecter le droit de l'Union européenne en s'abstenant de conserver les données de connexion de l'ensemble de ses utilisateurs1. Ce n'est que pour des raisons techniques que La Quadrature conserve, pendant 14 jours, certaines informations sur les contenus publiés et leur auteur2. Dans le cas présent, l'utilisateur visé par la réquisition n'avait pas utilisé le service depuis au moins 14 jours, et La Quadrature ne disposait donc d'aucune information à son sujet, si ce n'est son adresse e-mail d'inscription (requise pour se connecter à Mamot.fr). Elle a remis cette adresse e-mail à la justice.

Le choix de La Quadrature du Net s'oppose à une pratique qui, héritée d'une loi française aujourd'hui contraire au droit de l'Union européenne3, obligeait les hébergeurs à conserver pendant un an toute information concernant les utilisateurs publiant des contenus en ligne (l'adresse IP depuis laquelle le contenu a été publié, notamment).

Nous appelons tous les hébergeurs à rejeter cette pratique illicite et à se conformer au droit de l'Union européenne : à ne retenir aucune données de connexion concernant leurs utilisateurs pour une durée supérieure à 14 jours.

• 1. L'arrêt Tele2 Sverige AB (C-203/15) rendu le 21 décembre 2016 par la Cour de justice de l'Union européenne conclut fermement que le droit de l'Union « s’oppose à une réglementation nationale prévoyant, à des fins de lutte contre la criminalité, une conservation généralisée et indifférenciée de l’ensemble des données relatives au trafic et des données de localisation de tous les abonnés et utilisateurs ». L'interdiction d'une telle obligation de conservation visait en l'espèce les opérateurs de télécommunications mais s'applique aussi, sans aucun doute possible, aux hébergeurs Internet.
• 2. La version d'Apache distribuée par Debian est configurée pour supprimer ses logs tous les 14 jours, ce que nous considérons être un délai maximum raisonnable pour accéder aux informations nécessaires pour administrer un serveur d'hébergement.
• 3. L'article 6, II, de la loi du 21 juin 2004 pour la confiance dans l'économie numérique exige que les hébergeurs Internet « détiennent et conservent les données de nature à permettre l'identification de quiconque a contribué à la création du contenu ou de l'un des contenus des services dont elles sont prestataires ». La violation du droit de l'Union européenne opérée par cette disposition est au centre d'un des recours conduits par les Exégètes amateurs, qui en demandent actuellement l'annulation devant le Conseil d'État. Consulter leur dossier dédié à ce recours.

Fichier attaché	Taille
mamot.png	60.22 Ko