Loi sur le renseignement : quel impact pour les hébergeurs français ?
Mise à jour le 02/07/2015
Après avoir passé avec succès la case du Sénat, le projet de loi français sur le renseignement a été définitivement adopté par l'Assemblée Nationale le 24 juin 2015. Sur le modèle du Patriot Act américain, il a pour but d'autoriser les interceptions de communication et l'analyse de données d'hébergement par les autorités, et ce, sans avoir à faire appel à un juge. La lutte contre le terrorisme est mise en avant par le gouvernement pour justifier la démarche. Le mode de collecte d'informations passera par l'installation de boîtes noires chez les opérateurs et hébergeurs. Le Syntec Numérique, l'Afdel, l'Asic et Renaissance numérique viennent d'annoncer avoir déposé un mémoire devant le Conseil constitutionnel en vue d'appuyer plusieurs recours en cours d'instruction, dernier rempart avant la signature du décret d'application.
"Une étude d'impact légère" réalisée dans le cadre du projet de loi
Craignant de voir leurs clients exiler leurs données à l'étranger pour éviter de tomber sous le joug d'une loi jugée liberticide, les hébergeurs hexagonaux se sont très tôt mobilisés pour faire entendre leur voix. Initié par Tristan Nitot de Cozy Cloud, un collectif regroupant 1000 entreprises s'est formé : Ni pigeons, ni espions. Tous les hébergeurs indépendants français sont là : OVH (même si l'entreprise roubaisienne s'est dite plus en phase avec la dernière version de la loi), Gandi, Ikoula, Alter Way...
Des "conséquences économiques significatives" pour l'opérateur Gandi
Mais quelles seraient les conséquences économiques de l'entrée en vigueur de cette loi ? "Une étude d'impact a bien été réalisée par les parlementaires, mais elle est très légère, autant sur le plan des conséquences économiques que sur les questions posées par le texte en matière de libertés individuelles", constate Tristan Nitot. A la lecture de ce vaste dossier, force est de constater qu'aucun chiffre précis n'est évoqué sur la question économique...
Les clients américains des hébergeurs pourraient fuir la France
Gandi figure parmi les hébergeurs français les plus remontés contre le projet. Il faut dire que la société a beaucoup de clients américains qui se sont tournés vers elle au moment où le scandale Prism a éclaté aux Etats-Unis il y a tout juste deux ans. Leur objectif à l'époque : héberger leurs données en France, dans un pays reconnu comme la patrie des droits de l'Homme et de la liberté. "Nous sommes présents aux Etats-Unis depuis 2011. Nous y enregistrons une croissance de 100% par an", constate Stephan Ramoin, CEO de Gandi. "En 2014, quand nous avons proposé à nos clients américains d'être facturés par notre nouvelle filiale américaine, 40 à 50% ont refusé. Nous avons alors bien compris leur motivation à se tourner vers nous."
Dans les rangs des clients américains de Gandi, le projet de loi français suscite donc sans grande surprise de l'inquiétude. Le support de l'hébergeur aux Etats-Unis reçoit une vingtaine d'appels par jour d'entreprises qui se demandent quoi faire. "Nous leur expliquons d'abord que le texte ne concerne que l'hébergement et pas les noms de domaine qui, eux, impliquent toujours une décision de justice. Nous leur proposons de migrer leurs données situées sur nos data centers français vers notre centre du Luxembourg", poursuit Stephan Ramoin. L'impact financier ? Aux dires du CEO de Gandi, il est difficile d'évaluer combien de clients sauteront le pas. "Mais il sera très certainement significatif. Nous pouvons assez aisément anticiper un manque à gagner de quelques centaines de milliers d'euros", confie Stephan Ramoin.
Edward Snowden met en garde la France
Pour les hébergeurs français qui, comme Gandi, sont considérés aux Etats-Unis comme un rempart face aux lois de renseignement américaines, et c'est très probablement aussi le cas d'OVH depuis son installation au Canada, les lendemains risquent d'être douloureux. Mais pour Stephan Ramoin, la désaffection ne concernerait pas seulement les clients américains. "Comme aux Etats-Unis au moment où l'affaire Prism a éclaté, des entreprises françaises se posent, elles aussi, la question d'exiler leurs données. Nous sommes en train de vivre ce que le secteur américain du cloud a vécu en 2013. Ce qui est catastrophique pour l'image de marque du secteur IT français", martèle Stephan Ramoin.
Un projet de loi mis en question
Reste que le projet de loi français sur le renseignement fait encore l'objet de trois saisines du Conseil constitutionnel. La première a été initiée par le président de la République qui avait indiqué vouloir ainsi "vérifier le caractère constitutionnel du texte". La deuxième par le président du Sénat. Enfin, 75 députés (66 Républicains et 8 UDI) emmenés Laure de la Raudière et Pierre Lellouche ont également saisi le conseil des Sages. Quant au mémoire déposé par le Syntec Numérique, l'Afdel, l'Asic et Renaissance numérique, il a pour but d'appuyer l'argumentaire de ces trois saisines. Il pointe notamment le flou du texte quant aux conditions d'installation et d'utilisation des boîtes noires devant être installées chez les opérateurs. Un flou qui pourra faciliter le déploiement d'une surveillance de masse extra-judiciaire, souligne le texte.
Dans une tribune publiée en juin par Libération, Edward Snowden met en garde la France sur "l'impact négatif" de tels textes. "En dehors des Etats-Unis, les chefs des services secrets en Australie, au Canada et en France ont exploité des tragédies récentes afin d'essayer d'obtenir de nouveaux pouvoirs intrusifs, malgré des preuves éclatantes que ceux-ci n'auraient pas permis d'empêcher ces attaques", indique-t-il. Edward Snowden souligne le récent retour en arrière de l'administration Obama quant aux moyens fournis à la NSA. Promulgué le 2 juin, le Freedom Act limite les capacités de surveillance de l'agence de sécurité américaine, en écartant notamment la possibilité de réaliser des écoutes massives. Dans ce contexte politique pour le moins tendu, force est de se demander quelle sera la décision du Conseil constitutionnel...