Résumé

  • La décision finale d’Ofcom sur la panne du 25 juin 2023 retient que British Telecommunications PLC a contrevenu à l’article 105A(1)(c) du Communications Act 2003 et au Regulation 9 des Electronic Communications (Security Measures) Regulations 2022, et inflige une amende de 17 500 000 £.
  • La condition d’accès d’urgence, la General Condition A3.2, figurait dans le périmètre initial de l’enquête ; le dossier d’Ofcom indique pourtant que le régulateur ne se proposait pas de poursuivre une conclusion sur ce point.

La chronologie compte davantage que le montant. Le compte rendu de BT, publié le 29 juin 2023 à 14h30 heure de Londres, décrit un problème logiciel complexe, jamais rencontré auparavant, qui provoquait un défaut de « caching » : les appels touchés n’étaient pas acheminés correctement et la communication de l’appelant était coupée (revue du groupe BT). Le même document situe le début des difficultés à 06h24 et indique que tous les appels d’urgence étaient traités par le système principal du 999 à 16h56 — soit dix heures et trente-deux minutes — avant de confirmer, à 22h14, que le service était rétabli et ne dépendait plus du système de secours. BT a recensé provisoirement 11 470 appels qui n’ont pas abouti au 999.

Ofcom a ouvert son enquête le 28 juin 2023, trois jours après la panne, en décrivant les obligations en jeu comme suit : un accès ininterrompu, la disponibilité la plus complète possible, et des mesures appropriées et proportionnées pour se préparer à des compromissions de réseau, les prévenir, y remédier ou en atténuer les effets. Cette formulation contenait déjà deux objets distincts : une obligation portant sur le service rendu, et une obligation portant sur l’état de préparation.

Le dossier du régulateur montre lequel des deux a porté la décision. Le périmètre initial couvrait la General Condition A3.2 ainsi que les articles 105A et 105C du Communications Act 2003 ; une mise à jour du périmètre, le 13 juillet 2023, y ajoutait les perturbations du relais texto, du relais vidéo d’urgence et de l’accès par SMS mobile, puis les General Conditions C5.8 à C5.12. La conclusion finale, le 22 juillet 2024, tient en une phrase : « BT has contravened section 105A(1)(c) of the Act and Regulation 9 ». Et dans le même dossier, à propos de l’article 105C, de la General Condition A3.2 et des conditions C5, Ofcom écrit : « At this time, we do not propose to pursue making a finding » (dossier d’exécution Ofcom).

Il faut lire cette phrase telle qu’elle est rédigée. Elle ne dit pas que la condition d’accès d’urgence échappait aux pouvoirs d’Ofcom ni qu’elle était absente du raisonnement de la décision. Elle dit ce que le régulateur a choisi de poursuivre — et ce choix est précisément le sujet.

Ce que la règle du 999 énonce réellement. Dans la version consolidée non officielle des General Conditions of Entitlement arrêtée au 15 décembre 2022 — celle qui s’appliquait autour de la panne de juin 2023 — la General Condition A3.2 dispose que « Regulated Providers must take all necessary measures to ensure: (b) uninterrupted access to Emergency Organisations as part of any Voice Communications Services offered » (conditions générales consolidées). Une condition A3.4 distincte traite de l’accès gratuit des utilisateurs finals aux services d’urgence par les numéros 112 et 999.

C’est la phrase que l’on suppose à l’origine de l’amende. Elle ne l’est pas. Le communiqué de sanction du 22 juillet 2024 donne le chiffre sans détour — « As a result of BT’s failures, Ofcom has decided to fine the company £17,500,000 » — et les dispositions visées, l’article 105A(1)(c) et le Regulation 9, relèvent des obligations de préparation, non de la condition d’accès d’urgence.

Alors, que dit le Regulation 9 ? Les Electronic Communications (Security Measures) Regulations 2022 sont le SI 2022/933, pris le 1er septembre 2022, déposés devant le Parlement le 5 septembre 2022 et entrés en vigueur le 1er octobre 2022. Le Regulation 9(1) énonce : « A network provider or service provider must take such measures as are appropriate and proportionate to prepare for the occurrence of security compromises ». Le Regulation 9(2) ajoute des obligations sur les copies en ligne et hors ligne conservées au Royaume-Uni, sur leur remplacement, et sur les moyens et procédures permettant d’identifier, d’évaluer, d’atténuer, de traiter et de surmonter les compromissions de sécurité.

Neuf mois avant la panne, l’instrument qui allait la chiffrer était déjà en vigueur, et il portait sur l’état de préparation.

Pourquoi la distinction n’est pas byzantine. Une obligation de maintenir l’accès d’urgence sans interruption pose une question simple après coup : l’accès a-t-il échoué ? Une obligation de préparation en pose une autre, plus exigeante : l’opérateur était-il prêt, et peut-il le démontrer ? La seconde résiste au désordre d’un incident réel, puisqu’une défaillance peut survenir alors que la préparation était suffisante — et qu’une préparation insuffisante peut coexister avec un service visiblement intact.

Pour qui veut tenir un opérateur du 999 à une norme vérifiable, la conséquence est pratique. Le fait juridique marquant de ce dossier n’est pas une conclusion de manquement à la condition d’accès d’urgence. C’est une conclusion sur la préparation, et elle a coûté 17 500 000 £. Si vous êtes un concurrent, un coroner, un client ou un administrateur à la recherche du document qui prouve qu’un opérateur devait avoir fait quelque chose à une date donnée, regardez du côté de l’obligation de préparation et des preuves qui la sous-tendent.

La condition d’accès d’urgence a fourni à cette enquête son périmètre et une partie de son vocabulaire ; l’obligation de préparation lui a fourni son verdict.

Une précision de périmètre : la formulation citée de l’accès d’urgence vient de la consolidation du 15 décembre 2022. Ofcom tient des consolidations postérieures, dont la numérotation ou la rédaction n’a pas été lue pour cet article ; rien ici ne décrit donc le texte actuellement en vigueur. Le document de décision complet d’Ofcom n’a pas non plus été lu : chaque énoncé du régulateur cité ci-dessus provient du communiqué, de la page de sanction et du dossier d’exécution effectivement consultés.

Fiche de British Telecommunications PLC pour l’entrée opérateur qui porte ce dossier.