Droit pénal - La protection des données numériques et des S.T.A.D par la loi Godfrain.

La loi du 5 janvier 1988, dite Godfrain, a inséré dans le titre II du livre III de l’ancien Code pénal un chapitre 3 intitulé « De certaines infractions en matière informatique ». Ce texte avait pour objectif de protéger les systèmes de traitement automatisés de données (S.T.A.D) contre une entrave à son fonctionnement et un accès ou un maintient frauduleux. Le texte visait également la protection des données contre une action frauduleuse. Lors de la création du nouveau Code pénal le titre du chapitre 3 a été modifié pour devenir « Des atteintes aux systèmes de traitement automatisés de données ». Par la suite les nouveaux article 323-1 à 7 du Code pénal ont été révisés par la Loi pour la confiance en l’économie numérique du 21 juin 2004 qui a aménagé les sanctions de leur violation. Ces nouvelles dispositions ont permis la mise en œuvre d’une protection pénale des données numériques des 1988, malgré le fait que la première condamnation au visa de ces articles ne soit intervenue que bien des années après. Cette particularité peut s’expliquer par les difficultés de preuve que rencontrent les victimes (le plus souvent, des entreprises). Pourtant, les entreprises et les administrations ne sont pas encore toujours conscientes de la nécessité de protéger leurs échanges d’information ce qui facilite parfois la commission de ce délit. Dans les faits, l’atteinte aux S.T.A.D est le plus souvent un moyen pour commettre une infraction plus importante. On est en présence d’un délit « obstacle » qui a la particularité d’être constitué par la réunion d’un élément moral et d’un élément matériel à deux facettes. Soit l’auteur accède ou se maintient frauduleusement soit, il porte atteinte au fonctionnement du S.T.A.D ou à l’intégrité des données. Les sanctions sont proportionnées à la gravité de cet élément matériel, l’auteur encourra une peine d’un à deux ans d’emprisonnement et de 15.000 à 30.000 euros d’amende.

1- Champ d’application.

Pour déterminer le champ d’application de la loi il faut délimiter les notions de donnée, de S.T.A.D et avant tout déterminer les personnes concernées.

A l’origine, l’ancien Code pénal ne prévoyait qu’une sanction pour les personnes physiques. Le nouveau Code pénal ayant écarté le principe de spécialité, la responsabilité pénale des personnes morales s’est généralisée. Ainsi, tout groupement public[1] ou privé doté d’une personnalité juridique est désormais visés ce qui étend le champ d’application aux acteurs de la vie d’affaires.

La notion de S.T.A.D n’est pas explicitée par la loi cependant, elle est définie par les travaux parlementaires de M. Thyraud comme étant « tout ensemble composé d’une ou plusieurs unités de traitement, de mémoire, de logiciel, de données, d’organes entrées-sorties et de liaisons qui concourent à un résultat déterminer ». Grâce à cette définition techniquement neutre le législateur a étendu cette notion pour appréhender le plus de comportements possible. Elle se rapproche même d’une notion cadre qui garanti une adéquation aux évolutions techniques futures. Sont ainsi protégés les ordinateurs (portables ou de bureau, serveurs…), les réseaux (Internet, Intranet…), les périphériques de stockage (CD-ROM, DVD-ROM…) mais aussi tout appareil fonctionnant grâce à la technologie numérique.

La notion de donnée n’est pas définie clairement par le texte. Selon M. Latreille, les données sont des informations stockées sous forme binaire. Ainsi, il faut différencier la donnée du logiciel qui est « l’ensemble des programmes, procédés et règles, et éventuellement de la documentation, relatif au fonctionnement d’un ensemble de traitement de données [2]». En d’autres termes le logiciel permet le traitement des données. Il faut également distinguer la donnée de la base de donnée qui est, selon l’article L.112-3 du Code de propriété intellectuelle « un recueil d’œuvre, de données ou d’autres éléments indépendant, disposé de manière systématique ou méthodique, et individuellement accessible par des moyens électroniques ou par tout autre moyen ». La donnée est le contenu d’un ensemble plus vaste et pas nécessairement incorporel qu’est la base de données.

A travers ces deux distinctions on voit que la protection est large car elle existe même sans que les données ne fassent l’objet d’un traitement ou d’une organisation particulière.

2- L’élément matériel.

Les faits pouvant caractériser la matérialité de ce délit sont nombreux. Il peut s’agir d’un accès, d’un maintient (on parlera d’intrusion) mais aussi d’une altération du S.T.A.D ou des données (on parlera de sabotage).

L’accès au S.T.A.D a été définit en jurisprudence comme étant « tout mode de pénétration irrégulier d’un S.T.A.D, que l’accédant travaille déjà sur la même machine mais à un autre système, qu’il procède à distance ou qu’il se branche sur une ligne de télécommunication [3]».

Le même arrêt précise que le maintient et l’accès sont sanctionnés indépendamment de la volonté de pénétrer dans le système. Le maintient est toujours précédé d’un accès qui, effectué en pleine connaissance de cause ou par inadvertance, est frauduleux. Les notions d’activité ou de passivité sont indifférentes. En cas de maintient sans droit, il est impossible de se justifier par la prétendue légalité de l’accès.

Une controverse oppose la doctrine sur l’interprétation de deux arrêt de la Cour d’appel de Paris du 05 janvier 1994 et du 25 septembre 2002. Le premier a écarter l’obligation pour le S.T.A.D d’être protégé par un dispositif de sécurité pour pouvoir constater le délit mais impose au web master de signifier sa volonté de limité l’accès à certaines personnes. Le second écarte toute condamnation lorsque le prévenu a eu accès au données ou s’est maintenu dans le S.T.A.D en utilisant les fonctionnalités de base d’un navigateur, alors même qu’aucun dispositif de sécurité n’était mis en place. Au regard de ces décisions il est difficile de déterminer si il peut être reproché à une personne un accès dans un S.T.A.D par le biais d’un navigateur ordinaire alors qu’il ne faisait l’objet d’aucune protection autre qu’un avertissement du web master. Il faut toutefois s’accorder sur le fait que la protection du système n’est pas un élément de mise en œuvre du délit ; c’est davantage un outil permettant de prouver l’accès frauduleux.

L’article 323-2 du Code pénal vise le fait d’entraver ou de fausser le fonctionnement d’un S.T.A.D. On voit ici que les éléments matériels et immatériels du S.T.A.D sont protégés. La matérialité de l’atteinte n’en existe pas moins même si les comportements divergent selon la nature de l’élément visé. Est constitutif d’entrave le fait, de ralentir les performances d’un système, le fait d’introduire un virus ou une bombe logique ou le fait d’effacer un programme.

L’application du délit est-elle envisageable pour les atteintes logiques seulement ou peut on l’étendre à d’autres atteintes ? Il semble que le délit soit également constitué en cas de destruction matérielle au S.T.A.D.
La loi vise également le fait de fausser le fonctionnement du système. Il est difficile de voir une réelle différence entre l’ « entrave » et l’action de « fausser », compte tenu que ces notions ne sont pas empruntées au vocable juridique. Malgré tout, on peut penser que « c’est le caractère intentionnel qui caractérise le verbe fausser alors que la notion d’altérer couvre aussi bien les résultats involontaires que les résultats délibéré. »[4] . Lors des débats parlementaires, plusieurs comportements ont été visés. Ainsi, une attaque par bombe logique, virus, cheval de Troie, spyware peut fausser le fonctionnement d’un S.T.A.D.

Enfin, l’article 323-3 sanctionne le fait d’introduire, de supprimer ou de modifier des données. Ces actes peuvent être accompli sans que ne soit nécessairement caractérisé un accès frauduleux. La notion de donnée est entendue largement dans le sens où l’introduction d’un logiciel parasitaire est également prohibé. La copie de données n’est pas visée sauf si elle entraine une altération des capacités du système.

Il faut noter que la loi L.C.E.N sur la confiance en l’économie numérique réprime les agissements de ceux qui mettent à disposition des outils pour commettre les délits prévus aux articles 323-1 et suivant du Code pénal. Le nouvel article 323-3-1 vise « le fait de détenir, d’offrir, de céder ou de mettre à disposition un équipement, un instrument, un programme informatique ou toute donnée conçus ou spécialement adaptés pour commettre une ou plusieurs des infractions prévues par les articles 323-1 à 323-3… ».

3- L’élément moral.

En matière d’accès ou de maintient dans un S.T.A.D c’est le terme « frauduleusement » qui caractérise l’élément moral du délit. Ce terme implique que l’atteinte soit volontaire. La cour d’appel de Paris a montré que l’accès ou le maintient « doit être fait sans droit et en connaissance de cause » ce qui fait ressortir le dol général. On peut donc en déduire qu’aucun dol spécial n’est requis contrairement à ce qui a parfois été avancé par certains avocats [5]. Il est toutefois nécessaire d’établir la preuve que l’auteur du délit agit sans autorisation d’accès.

On peut se demander si la connaissance du caractère illicite de l’accès se déduit de la présence d’un avertissement légal ? Dans la mesure ou nul n’est censé ignoré la loi on pourrait écarter l’argument fondé sur l’absence d’avertissement.

En ce qui concerne les atteintes aux données et au fonctionnement des S.T.A.D, la consommation du délit suppose une intention au sens du droit pénal général.

La dématérialisation des espaces et la révolution numérique ont permis l’apparition d’un nouveau type de biens incorporels auquel la protection du code pénal n’est pas adaptée. Les infractions contre les biens étant transposables dans cet univers incorporel, il est impératif que le juge, interprète de la loi, adapte les infractions pénales contre les biens, en dépit de nombreux obstacles.