Résumé

  • Publication of Information (Draft-2), identifié par AFPUB-2021-GEN-001-DRAFT02, proposait de publier après deux ans un court résumé de la justification de chaque demande de ressources acceptée.
  • Dans l’évaluation datée du 15 novembre 2021, AFRINIC indiquait qu’environ 5 000 dossiers historiques étaient déjà concernés, que leurs données n’étaient pas résumées de façon uniforme et que les membres n’avaient pas consenti à leur publication.
  • L’analyse juridique publiée par AFRINIC affirmait que les informations échangées avant ou pendant le Registration Services Agreement étaient confidentielles en common law et qu’une divulgation exigeait le consentement exprès du membre concerné ou l’ordre d’un juge ; cette position institutionnelle n’est pas un jugement.
  • Un consensus obtenu dans un forum de politique ne constitue ni le consentement de la personne dont les informations seraient exposées, ni une loi, ni une décision d’une juridiction compétente.
  • La voie constructive consiste à publier une preuve minimale de la décision du registre, à protéger les pièces du membre et, pour les demandes futures, à ne prévoir une publication supplémentaire qu’après un accord exprès, précis, volontaire et révocable selon des règles connues.

Le verrou que le consensus ne pouvait pas ouvrir

Le conflit apparaît dès que l’on rapproche la règle proposée de l’état réel des dossiers. Le 9 novembre 2021, Jordi Palet Martinez a soumis la version 2.0 de Publication of Information (Draft-2), sous l’identifiant AFPUB-2021-GEN-001-DRAFT02. Le texte proposait un nouvel article 13.0 du manuel des politiques consolidées d’AFRINIC. Son idée centrale était simple à énoncer : deux ans après l’acceptation d’une demande de ressources, un bref résumé de la justification de cette demande deviendrait public, dans un lieu choisi par AFRINIC.

Le dispositif ne se réduisait pas à une publication automatique sans préavis. Trois mois avant l’échéance, le titulaire devait recevoir un avertissement accompagné d’un projet de résumé. Il disposait ensuite d’un mois pour proposer un autre texte ou solliciter un report d’un an, notamment lorsqu’un brevet ou un service d’une sensibilité exceptionnelle risquait d’exposer l’entreprise à un préjudice. AFRINIC aurait eu un mois pour apprécier cette demande de non-publication. En cas de doute, l’affaire pouvait remonter au conseil d’administration, qui devait décider dans le mois suivant après avoir entendu le titulaire.

Pour les ressources plus anciennes, les notifications auraient été organisées chronologiquement.

Ces aménagements donnent au mécanisme l’allure d’une procédure équilibrée. Pourtant, l’évaluation du personnel affichée sur la page officielle, datée du 15 novembre 2021, révélait que le problème se situait en amont de la procédure. AFRINIC disait avoir attribué depuis 2005 environ 6 500 ressources ASN, IPv4 et IPv6, dont quelque 5 000 avaient déjà dépassé leur deuxième anniversaire. Ces chiffres étaient des estimations du personnel, non le résultat d’un audit publié. Ils suffisaient néanmoins à montrer l’échelle administrative de la proposition.

Les justifications de besoin se trouvaient dans des tickets de demande. AFRINIC n’avait pas conservé, à côté des pièces détaillées, un résumé déjà préparé pour publication. L’information n’avait pas non plus été stockée de façon standardisée. Il aurait donc fallu relire environ 5 000 dossiers, choisir ce qui devait figurer dans chaque résumé, reformuler des matériaux rédigés dans des contextes différents, puis gérer les questions, clarifications, désaccords et demandes de consentement. Le personnel prévoyait des ressources humaines supplémentaires.

Là encore, l’évaluation ne chiffrerait pas une perte économique effectivement subie ; elle décrivait un travail à accomplir et les points de friction prévisibles.

Mais le constat décisif n’était pas quantitatif. AFRINIC disait n’avoir jamais demandé aux membres l’autorisation de publier ces résumés. Les titulaires existants n’avaient donc pas consenti à ce nouvel usage de leurs justifications. Selon l’évaluation, l’article 4(d) du Registration Services Agreement obligeait AFRINIC à respecter les lois mauriciennes applicables en matière de protection des données et de vie privée lorsqu’elle traitait les informations des demandeurs. Publier après trente jours de silence pouvait, indiquait le personnel, exposer l’organisation à un risque de violation de cette obligation.

L’analyse juridique publiée sur la même page allait plus loin. Elle qualifiait les informations de besoin comme des données communiquées au stade précontractuel. Selon cette analyse, les informations échangées avant ou pendant le Registration Services Agreement étaient confidentielles en common law. Elles ne pouvaient être transmises à des tiers sans le consentement exprès du membre concerné ou l’ordre d’un juge. L’analyse ajoutait qu’un tel résultat ne pouvait pas être imposé unilatéralement aux membres individuels au moyen du processus d’élaboration des politiques d’AFRINIC et concluait que la proposition manquait de solidité juridique.

Il importe d’énoncer exactement la valeur de ce passage. Il rapporte la position juridique qu’AFRINIC a choisi de publier dans son évaluation. Ce n’est ni une décision de justice, ni une interprétation indépendante et définitive du droit mauricien, ni la preuve que chaque donnée imaginable serait confidentielle dans toutes les circonstances. Le dossier examiné ne contient aucune décision judiciaire tranchant la validité de Draft 2. Il ne permet pas davantage d’affirmer que la proposition a été adoptée, mise en œuvre ou utilisée pour divulguer le contenu d’une demande réelle.

Aucun membre lésé, aucune violation effective et aucun dommage mesuré ne sont établis ici.

Cette prudence ne diminue pas l’importance institutionnelle du constat. Elle l’affine. L’acte observable est la publication d’une proposition et d’une évaluation qui reconnaît elle-même l’absence d’un élément d’autorisation. Si le contrat existant ne conférait pas clairement un droit de publication, si les membres concernés n’avaient pas expressément accepté la divulgation et si aucun juge n’en avait donné l’ordre, il restait un vide. Le processus de politique pouvait discuter de ce vide ; il ne pouvait pas, par sa seule volonté, le remplir.

La différence entre les dates doit également demeurer visible. Draft 2 a été soumis le 9 novembre 2021. L’évaluation du personnel affichée porte la date du 15 novembre. L’historique des révisions indique que la deuxième version avait été mise à jour à la suite d’éléments provenant de l’évaluation d’impact, alors même que la date affichée de celle-ci est postérieure de six jours au dépôt. Les documents disponibles ne permettent pas de reconstituer avec certitude l’ordre de production interne. Cette discordance ne justifie ni d’effacer l’une des dates, ni d’inventer une séquence qui les réconcilierait.

Une institution privée face à une finalité nouvelle

AFRINIC accomplit une fonction indispensable : tenir des registres techniques, fournir un service à ses membres et coordonner des ressources uniques afin d’éviter les conflits d’usage. Cette position centrale donne à ses décisions des effets opérationnels considérables. Elle ne transforme toutefois pas une entreprise privée fondée sur l’adhésion en souverain, en législateur ou en autorité de police. Une région de service n’est pas un territoire politique. Une liste de discussion n’est pas une assemblée législative. Un conseil d’administration interne ne devient pas une juridiction publique parce qu’il entend un membre avant de décider.

Cette distinction évite deux erreurs opposées. La première consisterait à nier toute possibilité de règles communes au motif que l’organisation est privée. Un registre doit évidemment établir des conditions de service, préserver l’unicité, maintenir des données exactes et auditables, enregistrer les changements de contrôle reconnus, garantir la joignabilité nécessaire et coordonner les incidents de sécurité pertinents. La seconde erreur serait de déduire de cette nécessité technique un pouvoir général de réglementer les entreprises qui dépendent du registre.

La coordination essentielle ne confère pas automatiquement un droit d’exposer des informations collectées pour évaluer une demande.

La présentation de NRS sur AFRINIC souligne précisément le caractère privé et associatif du registre. Ce point n’adjuge pas la proposition et ne remplace pas l’analyse du contrat. Il rappelle simplement le type d’institution en présence. De même, une lettre de Cloud Innovation datée du 7 octobre 2021 et hébergée par NRS soutenait, du point de vue d’un membre, qu’une société privée devait identifier la base contractuelle d’une charge de surveillance et ne devait pas se présenter comme dotée d’un pouvoir policier continental sans intervention d’un tribunal. Cette lettre exprime la position de son auteur.

Elle n’est ni un jugement, ni une preuve de la mise en œuvre de Draft 2, ni le récit central de cette proposition.

Le nœud propre à Draft 2 est plus étroit et plus exigeant : une information remise afin que le registre décide d’une attribution peut-elle être convertie plus tard en contenu public parce qu’un forum collectif le souhaite ? La réponse ne dépend pas seulement du mérite moral de la transparence. Elle dépend de la source du droit de divulguer, de l’identité de celui qui l’accorde et du but pour lequel les données avaient été recueillies.

L’orientation fonctionnelle développée par Heng Lu permet de séparer les plans. Le registre peut exiger ce qui est nécessaire à l’unicité des ressources, à l’exactitude des enregistrements, à la sécurité pertinente, à la traçabilité des changements de contrôle et à la continuité. Il peut également publier des informations qui rendent sa propre décision vérifiable lorsqu’une base appropriée le permet. Mais le fait qu’une donnée soit intéressante, qu’elle puisse aider des observateurs ou qu’une majorité souhaite la voir ne crée pas en soi l’autorité nécessaire. L’utilité répond à la question « à quoi cela servirait-il ?

» ; elle ne répond pas à la question « qui a permis cette publication ? ».

Ce que le silence ne peut transférer

Le mécanisme de délai contenait un risque particulièrement révélateur. Un membre averti trois mois à l’avance devait réagir dans la fenêtre prévue. L’évaluation observait qu’une publication déclenchée après trente jours sans réponse pouvait entrer en conflit avec l’obligation contractuelle de protection des données. Cette difficulté n’est pas une subtilité de calendrier. Elle met en cause la nature même du consentement.

Le silence peut avoir de nombreuses causes : le message n’a pas atteint le bon contact ; l’entreprise a changé d’équipe ; le dossier ancien n’a plus de responsable identifiable ; le titulaire n’a pas compris la portée du résumé ; il pense que ses droits existants ne peuvent être modifiés de cette manière ; il est absorbé par un incident opérationnel ; ou il refuse simplement de participer à une démarche qu’il n’avait jamais acceptée. Aucun de ces scénarios ne transforme l’inaction en autorisation expresse.

Plus le dossier est ancien, moins l’organisation peut raisonnablement inférer de la non-réponse une volonté actuelle, informée et spécifique de publier.

Le consentement véritable porte sur un objet déterminé. Le membre doit voir le texte exact ou les champs précis qui seront rendus publics, connaître l’audience, la date et la finalité, et comprendre les règles de correction, de retrait et de conservation. Il doit pouvoir refuser sans que ce refus ne devienne une sanction sur des droits déjà détenus. Si l’accès continu au service dépend de l’abandon d’une confidentialité antérieure, le mot « consentement » masque une pression exercée depuis un point de passage incontournable.

La proposition reconnaissait partiellement le besoin d’un dialogue en envoyant un projet de résumé et en permettant un texte alternatif ou un report. Mais la possibilité de négocier une formulation ne règle pas la question préalable du droit de publier. Une procédure peut être minutieuse tout en partant d’une autorisation inexistante. Entendre un titulaire avant une décision interne ne transforme pas davantage le conseil d’administration en tribunal compétent pour lever une confidentialité de droit commun.

Voilà pourquoi la collision de novembre 2021 demeure éclairante sans qu’il soit nécessaire d’alléguer un scandale, une fuite ou une victime. Elle montre le moment où un objectif public défendable rencontre une limite d’autorité. La bonne réponse n’est pas d’abandonner toute transparence. Elle consiste à demander à l’institution de rendre compte de ses propres décisions sans s’approprier, par défaut, les pièces privées qui lui ont permis de les prendre.