Autistici/Inventati : comment une sanction américaine a provoqué l’arrêt d’un collectif italien

La fermeture annoncée d’Autistici/Inventati (A/I) montre comment une désignation américaine peut se transformer, en quelques jours, en crise d’infrastructure pour une organisation établie hors des États-Unis. Après la mesure prise le 26 août, le collectif italien a perdu des accès essentiels aux paiements, au nom de domaine et à la banque, puis a annoncé l’arrêt de services utilisés par des dizaines de milliers de comptes et de sites. 1749

Ce qu’implique la désignation américaine

Le département d’État et le Trésor des États-Unis ont désigné A/I comme « Specially Designated Global Terrorist » (SDGT), une catégorie américaine de sanctions antiterroristes. Washington affirme que le collectif, basé en Italie, fournissait et exploitait une infrastructure numérique pour des cellules Antifa violentes et d’autres militants d’extrême gauche. Il s’agit d’allégations des autorités américaines. 491

Cette désignation bloque les biens relevant de la juridiction américaine et interdit en règle générale aux personnes américaines de réaliser des transactions avec l’entité inscrite sur la liste. 49

Ses effets pratiques ne se limitent toutefois pas aux actifs présents aux États-Unis. Pour les entreprises ayant recours à des services américains, au système financier américain ou exposées à son cadre de sanctions, elle peut immédiatement devenir un risque de conformité.

La cascade : PayPal, domaine .org et banque

Trois points de dépendance ont été déterminants :

• Les paiements : le compte PayPal d’A/I a été suspendu après la désignation, privant le collectif d’un canal de dons. 2454
• Le domaine : Public Interest Registry (PIR), opérateur américain du registre .org, a placé autistici.org en statut serverHold. Reuters rapporte que le domaine est devenu inaccessible deux jours après la désignation ; une note technique d’A/I identifie elle aussi ce blocage au niveau du registre. 1731
• La banque : Banca Etica a annoncé avoir temporairement suspendu les opérations sur le compte de l’association après son inscription sur la liste de l’OFAC, l’organisme américain qui administre les sanctions, et relevé son niveau de risque. Reuters a ensuite fait état de la fermeture du compte. 2217

Le statut serverHold est crucial : appliqué au niveau du registre, il peut empêcher un nom de domaine de se résoudre sur Internet, quels que soient l’hébergement ou la localisation des serveurs web et de messagerie. Autrement dit, contrôler le registre peut suffire à rendre des services indisponibles au public. 1731

Pourquoi le collectif a annoncé l’arrêt de ses services

A/I a déclaré qu’il mettrait fin à ses services après la perte de son domaine et de son compte bancaire. D’après Reuters, l’arrêt concerne environ 16 000 boîtes mail, 1 500 sites web, 5 500 listes de diffusion et 10 000 blogs. 17

Il ne s’agissait donc pas d’une simple panne d’hébergement. Sans domaine principal, la visibilité publique et l’administration des services deviennent beaucoup plus difficiles ; sans moyens de paiement ni compte bancaire, leur fonctionnement est également fragilisé. La question centrale était aussi celle du risque : après une désignation, des prestataires et partenaires peuvent préférer rompre leurs liens plutôt que d’évaluer leur exposition éventuelle aux sanctions.

Le cas illustre ainsi que la continuité d’un service numérique dépend non seulement de l’endroit où se trouvent ses serveurs, mais aussi des intermédiaires qui contrôlent le nom de domaine, les flux financiers et d’autres couches critiques de l’infrastructure.

Un précédent, selon les défenseurs des droits numériques

European Digital Rights (EDRi), réseau européen de défense des droits numériques, estime que cette désignation constitue une attaque contre l’infrastructure Internet indépendante, les communications sécurisées et les droits fondamentaux. L’organisation alerte sur les conséquences concrètes qu’une mesure unilatérale américaine peut avoir sur une association européenne via des services centralisés, tels que les registres de noms de domaine, les prestataires de paiement et les banques. 28

Cela ne signifie pas que tout prestataire européen serait juridiquement tenu de déconnecter une organisation désignée par les États-Unis. En revanche, l’affaire montre que des décisions de conformité fondées sur le risque peuvent rapidement produire le même résultat opérationnel. Pour les projets d’hébergement indépendants, décentraliser les serveurs ne supprime donc pas la dépendance aux intermédiaires centralisés.

Le règlement de blocage de l’UE peut-il s’appliquer ?

EDRi appelle à une réponse européenne fondée sur le règlement de blocage, le règlement (CE) n° 2271/96. Ce texte vise à protéger les personnes et entreprises de l’Union contre l’application extraterritoriale de certaines lois et mesures de pays tiers. Pour les mesures figurant dans son annexe, il peut notamment interdire aux opérateurs de l’UE de s’y conformer sans autorisation de la Commission, limiter la reconnaissance dans l’UE de certaines décisions étrangères et ouvrir des voies de recours pour certains dommages. 3439

Mais ce règlement n’annule pas automatiquement toute sanction américaine. Son application dépend de l’inscription de la mesure étrangère concernée dans son annexe, ainsi que des circonstances propres à chaque prestataire et transaction. Les éléments disponibles étayent l’appel d’EDRi à un examen et à une action politique ; ils ne démontrent pas que le règlement imposait automatiquement à une banque, un registre ou un prestataire de paiement donné de continuer à fournir ses services à A/I. 3438

L’enseignement durable

L’affaire A/I rappelle que des sanctions peuvent atteindre une organisation numérique par des dépendances parfois sous-estimées : un processeur de paiement, un compte bancaire ou le registre d’un domaine de premier niveau. Pour les responsables européens et les opérateurs d’infrastructure, l’enjeu ne se limite donc pas à l’emplacement des données : il concerne aussi les institutions capables de rendre une organisation inaccessible ou financièrement non viable à la suite d’une décision étrangère.