Legal & Takedown — Retrait des sites de phishing
Deux fronts juridiques que la plateforme traite comme des données de premier rang : le déclenchement du retrait de contenus frauduleux, de la demande jusqu’à la vérification de la disparition effective, et la conformité à la LGPD — la loi brésilienne de protection des données — avec l’enregistrement du consentement et le traitement des demandes des personnes concernées.
Takedown : de la demande à la vérification
Chaque dossier consigne le type (quatorze options, du phishing et du faux profil jusqu’à l’application frauduleuse, la fuite de données, la diffamation et l’atteinte à la vie privée), la plateforme visée parmi 23 fournisseurs cartographiés — dont Registro.br, Locaweb, Mercado Livre, OLX et Shopee, en plus des acteurs mondiaux — et la priorité.
Le cycle comporte dix états : demandé, notifié, accusé réception, en cours, en attente de réponse, escaladé, clos, partiellement retiré, échoué et annulé. Les deux derniers existent par choix de conception : un flux de takedown qui ne sait représenter que le succès ment sur son propre taux d’efficacité.
La base légale est un champ obligatoire, pas une remarque. Les options nomment la loi : DMCA, Marco Civil da Internet (loi brésilienne n° 12.965/2014 sur les droits et devoirs en ligne), LGPD (loi n° 13.709/2018 sur la protection des données), ECA (statut brésilien de l’enfant et de l’adolescent), Code de la consommation, loi sur le droit d’auteur (n° 9.610/1998), Code pénal et conditions d’utilisation de la plateforme. La méthode de notification est enregistrée à part, avec neuf options allant de l’e-mail et du formulaire d’abus jusqu’à la mise en demeure extrajudiciaire et à la décision de justice.
Cette séparation reflète le droit brésilien. Selon le Marco Civil, art. 19, un fournisseur d’applications n’engage sa responsabilité civile pour un contenu de tiers que s’il n’exécute pas une décision de justice spécifique de retrait ; l’exception de l’art. 21 vise les scènes de nudité ou d’actes sexuels à caractère privé, retirables sur simple notification de la personne concernée. En pratique, presque tout takedown hors de ces hypothèses repose sur les conditions d’utilisation de la plateforme — et c’est pour cela que « conditions d’utilisation » constitue une base légale légitime dans le formulaire, et non un raccourci.
Preuves et infrastructure
Le dossier conserve l’URL visée, les autres URL portant le même contenu, les URL de preuve et les captures d’écran. Il conserve aussi ce qui étaie la notification technique : DNS, WHOIS, données du certificat SSL et informations d’hébergement — fournisseur, ASN, IP et contact d’abus. Pour quinze plateformes, un lien mène directement au canal d’abus officiel, ce qui évite de chercher le bon formulaire à la main.
SLA et escalade
Le délai est suivi par un état calculé : respecté, dépassé, critique (moins d’un jour), attention (moins de trois jours) ou dans les temps. Le champ « SLA dépassé » existe précisément pour consigner ce qui n’a pas été tenu.
L’escalade comporte quatre niveaux explicites — initial, superviseur, juridique et judiciaire — avec le motif consigné à chaque palier. Après la clôture, le dossier reste vivant : nombre de tentatives de vérification, date de la dernière et champ « contenu toujours en ligne », parce qu’un site de phishing retiré revient.
Chaque action devient une entrée dans l’historique du dossier : création, changement d’état (avec l’ancienne et la nouvelle valeur), notification envoyée, réponse reçue, escalade, vérification, note, preuve et affectation d’un responsable.
LGPD : consentement et demandes des personnes concernées
Enregistrement du consentement. Quatre catégories — essentiels, préférences, mesure d’audience et marketing — avec une action « accordé » ou « révoqué », la version de la politique en vigueur et l’origine (bandeau, fenêtre, API, correction administrative, migration ou réinitialisation à la suite d’un changement de politique). Les catégories essentielles ne génèrent pas d’enregistrement, puisqu’elles ne dépendent pas du consentement.
L’IP et l’agent utilisateur sont stockés sous forme d’empreinte salée, jamais en clair. Ce choix résout une tension bien réelle : la loi fait peser sur le responsable de traitement la charge de prouver que le consentement a été recueilli valablement (loi n° 13.709/2018, art. 8, § 2), mais conserver l’IP en clair pour prouver sa conformité revient à créer un nouveau fichier de données personnelles. L’empreinte prouve l’association sans retenir l’identifiant.
L’IP du client est déterminée en lisant l’en-tête X-Forwarded-For de droite à gauche, le nombre de proxys de confiance étant configurable — car le client peut préfixer l’en-tête avec n’importe quelle IP.
Demande d’une personne concernée (DSAR). Formulaire public, sans authentification, avec six types : accès, rectification, effacement, portabilité, révocation du consentement et anonymisation. Protégé par Cloudflare Turnstile et par une limite de cinq envois par IP et par heure ; l’enregistrement du consentement a sa propre limite de trente écritures par IP toutes les cinq minutes.
Dès son ouverture, la demande naît avec un délai de 15 jours — celui que l’art. 19, II de la LGPD fixe pour la déclaration claire et complète à la personne concernée — et avec un jeton de vérification d’identité.
Ce que le module ne fait pas
- Il n’envoie pas la notification à votre place. Il consigne le texte envoyé, le contact d’abus utilisé, le numéro de ticket et la réponse de la plateforme. L’envoi reste un acte de l’analyste.
- Il ne fournit pas de bibliothèque de modèles prêts à l’emploi par fournisseur. Le contenu de la notification est rédigé et archivé au cas par cas.
- Il ne garantit ni le retrait ni son délai. Le SLA est celui convenu avec le client, pas un engagement de la plateforme visée.
- Il ne remplace pas un avocat, n’émet pas d’avis juridique et ne rédige pas d’acte de procédure.
- L’e-mail de vérification de la demande publique n’est pas encore envoyé automatiquement — le jeton est généré et la demande entre dans la file de vérification.
- L’historique du dossier est un relevé complet des actions, avec auteur et date. Le chaînage cryptographique et l’export WORM relèvent du module Audit & Compliance.
Intégrations
- Cloudflare Turnstile sur le formulaire public
- Canaux d’abus de 15 plateformes, en lien direct
- OODA URLs (analyse technique de la cible), OODA Investigate, OODA Reports et OODA Audit
SLA et garanties
Base légale et méthode de notification consignées par dossier · SLA avec état de dépassement explicite · vérification récurrente après retrait