Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Novembre 2017 - n°429 - 387

sont toutefois relatifs, comme en témoignent
la fermeture de blackmarkets du darknet et
la récente condamnation à la prison à vie
de Ross Ulbrecht, fondateur de Silk Road,
la plus célèbre de ces places de marché
occultes, par la Cour d'Appel de New York18.
Cette fragilisation de l'anonymat est
rendue possible par des erreurs des darkonautes dans la mise en Suvre d'un processus d'operation security19 (OPSEC) et par
l'exploitation de métadonnées. Tandis
que les heures de connexion permettent
de cibler un fuseau horaire, barbarismes
et solécismes contribuent à l'identification de la nationalité du darkonaute. Les
failles d'OPSEC - telles que l'utilisation de
pseudonymes identiques sur le darknet et
le clearnet ou l'utilisation de cryptomonnaies acquises auprès d'établissements
de monnaie électronique agréés par les
autorités20 - permettent in fine de remonter
à l'identité réelle du darkonaute négligent.
Autant d'éléments que la division de lutte
contre la cybercriminalité (DLCC) du
service central de renseignement criminel (SCRC) de la gendarmerie nationale
pourra exploiter dans le cadre des cyberpatrouilles sur le darknet permises par un
logiciel de détection des contenus illicites21.
La question qui se posera alors rapidement est celle de la licéité du traitement des
données à caractère personnel relatives
aux darkonautes. En effet, sur le plan de
la loi Informatique et libertés et du RGPD,
les utilisateurs de Tor devraient en principe être considérés comme des personnes
identifiables. En tant que tels, ils pourraient
se prévaloir des jurisprudences limitant la
collecte d'adresse IP sur le clearnet, par
exemple.
Autre élément fragilisant l'anonymat, la
nécessaire matérialisation de certains
services et produits. Le droit français autorise l'exploitation de cette faille dans le
cadre de la lutte contre le crime organisé, le
terrorisme et leur financement ainsi que de
trafic d'armes, en autorisant « de diligenter des coups d'achat sur le « darknet » en
ayant recours à une identité d'emprunt ».
La France n'est pas le seul Etat à autoriser
de telles actions, comme ont pu l'apprendre
à leurs dépens les darkonautes ayant voulu
louer les services d'assassins qui n'étaient
autres que des agents infiltrés du FBI.
La Terre d'Onions ne saurait être dépeinte
comme la terre d'asile des cybercriminels,

l'utilisation de protocoles de communication anonymes pouvant poursuivre des
finalités parfaitement légitimes. L'existence
de places de marché dédiées aux produits
et services illicites est indéniable. Mais les
trafics n'ont pas attendu l'avènement des
darknets pour se développer et il n'est pas
illogique que ces protocoles de communication servent de nouveaux vecteurs
de propagation, comme le clearnet aux
origines ou dans certains Etats souverains22.
Se connecter à un darknet n'est pas illégal.
Et sauf à vouloir imposer une transparence
absolue des communications électroniques
vis-à-vis des autorités, ce qui ne paraît
pas possible en France, cela ne devrait
jamais le devenir. En revanche, les caractéristiques propres aux darknets mettent
en évidence l'inadéquation des critères de
compétence législative et juridictionnelle à
la Terre d'Onions. En effet, faute de pouvoir
géolocaliser un serveur, un blog ou une
place de marché et ses vendeurs et acheteurs, l'application du droit de l'Internet au
darknet est vouée à l'échec.
Légiférer pour remédier serait toutefois
vain. La décorrélation entre le monde réel
et la Terre d'Onions est telle qu'une intervention législative ne serait pertinente
qu'au niveau international. En admettant
même que l'on puisse y parvenir, comment
assurer le respect de cette législation ? A
quelle juridiction donner compétence ? Les
problématiques juridiques s'accumulent au
fur et à mesure de la réflexion...
Si le darknet n'est assurément pas la terre
d'asile des cybercriminels, il semble en
revanche bel et bien être une terra incognita pour les juristes.

Pierre DESMARAIS
Desmarais Avocats
Avocat - Analyste Risque IT

Notes
(1) https://metrics.torproject.org/hidserv-dir-onionsseen.html.
(2) Les termes désignent des réalités différentes, celui
de darknet étant plus large que celui de darkweb
- qui désigne les seuls sites internet dotés d'une
extension « .onion ». Et il existe plusieurs autres
darknets (ex : Freenet, I2P, etc.) que Tor, accessibles
par le biais d'autres portails.
(3) Ces trois textes sont : la résolution du Parlement
européen du 11 mars 2015 sur la lutte contre la
pédopornographie sur l'internet (2015/2564(RSP)),
l'avis du Comité européen des régions du
18 janvier 2017 (« Combattre la radicalisation et
l'extrémisme violents : mécanismes de prévention

EXPERTISES NOVEMBRE 2017

au niveau local et régional ») et la Circulaire du
18 octobre 2016 de présentation des dispositions de
la loi n° 2016-731 du 3 juin 2016 renforçant la lutte
contre le crime organisé, le terrorisme et leur financement, et améliorant l'efficacité et les garanties
de la procédure pénale, relatives au renforcement
du dispositif en matière de lutte contre le trafic
d'armes.
(4) Comme par exemple une messagerie ou un
service d'hébergement de fichiers
(5) On peut éviter le référencement de différentes
pages d'un site internet en ajoutant un fichier norobot.txt à sa racine.
(6) Question écrite AN n° 85014, 14/07/20
(7) A l'origine, Tor était un projet de l'US Naval
Research Labs (NRL).
(8) C'est d'ailleurs en réaction à cette impossibilité théorique d'identifier les darkonautes que le
18 janvier 2017, Comité européen des régions s'est
déclaré « conscient de la nécessité de mettre en
place des instruments efficaces de contrôle du web
invisible et du darknet ».
(9) https://metrics.torproject.org/userstats-relay-table.
html
(10) https://rsf.org/fr/kit-de-securite-numerique.
(11) GAFA / Teemo
(12) Le terme hacker désigne une « personne passionnée d'informatique qui, par jeu, curiosité, défi
personnel ou par souci de notoriété, sonde, au
hasard plutôt qu'à l'aide de manuels techniques,
les possibilités matérielles et logicielles des
systèmes informatiques afin de pouvoir éventuellement s'y immiscer » et non pas un pirate informatique (Avis de la Commission de Terminologie du
16 mars 1999, NOR : CTNX9903444K).
(13) https://www.facebookcorewwwi.onion.
(14) https://3kyl4i7bfdgwelmf.onion.link/.
(15) Définition du dictionnaire Antidote.
(16) h t t p : / / m a s h a b l e . f r a n c e 2 4 . c o m /
monde/20170807-mannequin-kidnappe-darknet-rancon-bitcoins-instagram.
(17) « La nétiquette est une règle informelle, puis une
charte qui définit les règles de conduite et de politesse recommandées sur les premiers médias de
communication mis à disposition par Internet. Il
s'agit de tentatives de formalisation d'un certain
contrat social pour l'Internet. » https://fr.wikipedia.
org/wiki/Nétiquette
(18) United States of America v. Ulbricht, May 31, 2017,
15-1815-cr
(19) Application of the operations security (OPSEC)
process promotes operational effectiveness by
helping prevent the inadvertent compromise of
sensitive or classified U.S. Government activities,
capabilities, or intentions. » NATIONAL SECURITY
DECISION DIRECTIVE NUMBER 298, 28 juillet 1992
(20) Contrairement à ce qui est fréquemment indiquée,
la cryptomonnaie n'est pas anonyme. Au mieux
est-elle pseudonymisée afin de permettre de rattacher une transaction financière à un acheteur et
un vendeur. En France, ce pseudonymat est d'autant plus relatif que depuis l'introduction dans le
Code Monétaire et Financier de dispositions spécifiques à l'acquisition de monnaie électronique, un
lien entre l'identité réelle et l'identifiant du détenteur d'un portefeuille de monnaie virtuelle existe
nécessairement.
(21) Question écrite AN n° 73986, 17/02/20
(22) La souplesse de la justice russe à l'égard des
pirates informatiques opérant depuis son territoire mais à destination de pays étrangers est telle,
que les pirates locaux échangent sur le deepweb,
sans même rechercher l'anonymat du darknet. De
même, le droit argentin a longtemps autorisé le
piratage informatique, du fait d'une constitution
élaborée sur la base du principe selon lequel « tout
ce qui n'est pas interdit est autorité ».

387

https://metrics.torproject.org/userstats-relay-table.html https://www.rsf.org/fr/kit-de-securite-numerique https://www.facebookcorewwwi.onion https://3kyl4i7bfdgwelmf.onion.link/ https://fr.wikipedia.org/wiki/Nétiquette https://metrics.torproject.org/hidserv-dir-onions-seen.html

Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Novembre 2017 - n°429