Coordonnées, IBAN complets, portefeuilles crypto, douze mois de logs : cinq décisions belges réclament aux registrars de quoi remonter jusqu'aux opérateurs de sites pirates. Avec interdiction d'en informer les clients concernés.
Bloquer un domaine ne sert plus à grand-chose quand le service réapparaît quelques heures plus tard sous une autre adresse. La liste belge de blocage dépasse aujourd'hui 1 500 domaines, sans venir à bout du phénomène. D'où un changement de méthode.
Le BAPO, le service antipiratage du SPF Économie, vient de notifier cinq décisions à des intermédiaires techniques : quatre registrars de noms de domaine et un registre. Trois sociétés apparaissent malgré les caviardages, comme l'a repéré TorrentFreak : Hostinger, Hosting Concepts, maison mère d'Openprovider, et Key Systems. Aucune n'est établie en Belgique.
Point essentiel, souvent perdu de vue : le BAPO n'est ici qu'un relais. Les décisions découlent d'une ordonnance du tribunal de l'entreprise francophone de Bruxelles, saisi par un demandeur privé. Le juge a ordonné la divulgation « pour permettre au demandeur d'identifier le contrevenant et de mener des investigations complémentaires ». Ce sont donc des données personnelles susceptibles d'atterrir chez un ayant droit, à l'insu de la personne visée. Le nom du plaignant et les sites concernés restent secrets, sur décision du tribunal.
Sept catégories de données
Chaque décision adressée aux registrars réclame la même chose : toutes les identités, adresses postales, adresses e-mail et numéros de téléphone jamais associés au compte. Puis l'argent : les IBAN complets et le nom exact des titulaires, les cartes utilisées jusqu'à la banque émettrice, son pays et le type de carte. Le crypto est couvert, avec les adresses de portefeuilles, la nature de l'actif et les identifiants de transaction.
Viennent enfin l'adresse IP, le système d'exploitation, le navigateur et le type d'appareil utilisés à la création du compte, puis l'ensemble des logs et données de connexion conservés sur les douze derniers mois. La décision visant le registre est plus étroite : titulaire, registrar, serveurs de noms et historique des modifications. Le tribunal a jugé ces demandes proportionnées.
Reste à savoir ce que les intermédiaires détiennent réellement. Un registrar qui passe par un prestataire de paiement ne stocke ni numéro de carte ni IBAN dans la plupart des cas, et le DSA ne crée aucune obligation de conservation : ce qui a été purgé ne sera pas transmis.
Silence imposé
Enfin, les destinataires ont interdiction de mentionner la procédure à leurs clients comme à tout tiers, presse comprise. Le DSA prévoit normalement que l’utilisateur soit informé lorsqu’une injonction de ce type est exécutée. Cette notification peut toutefois être retardée dans certaines procédures. Le BAPO invoque ici l’exception liée aux enquêtes et poursuites pénales, sans que les décisions publiées permettent de comprendre précisément quels faits pénaux sont visés.
Dernière inconnue, l'exécution. Les décisions s'appuient sur l'article 10 du DSA, mais les pouvoirs du BAPO viennent du droit belge et aucun des intermédiaires nommés n'est établi en Belgique. Le service estime pourtant que ce type d'ordre vaut aussi hors de l'Union, dès lors que le service donne accès à du contenu illégal depuis le territoire belge. Une interprétation particulièrement large, dont la portée reste encore à éprouver en pratique.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.