Hors collection - Quels droits face aux innovations numériques ? - 1re - 138

138

QUELS

DROITS FACE AUX INNOVATIONS NUMÉRIQUES

d'un site Internet ou d'applications, après la découverte d'exploits - mais qui poursuivent un but légitime visant à inciter l'exploitant à améliorer la sécurité de son système.
Ils sont à distinguer clairement des black hats, pirates informatiques dont le but premier est de causer
un préjudice à l'entité visé par l'attaque, le plus souvent afin d'en tirer un profit. À noter qu'existent
également les greys hats dont l'action n'est pas motivée par une espérance de gains mais qui ne craignent pas de causer un préjudice à l'entité visée par l'attaque. Il peut notamment s'agir de pirates agissant dans un but politique.
250. Analyse juridique du phénomène - Jusqu'en 2016, le phénomène n'était aucunement appréhendé par les textes. Le sort de ces pirates informatiques « bienveillants » était réglé par les dispositions relatives aux infractions aux STAD.
L'affaire la plus emblématique concernait un blogueur surnommé « Bluetouff » qui, après s'être introduit dans le système d'information de l'Agence nationale de sécurité sanitaire de l'alimentation, de
l'environnement et du travail (ANSES), y avait extrait puis avait publié sur son blog, de nombreux
fichiers confidentiels. Le blogueur fut condamné par la Cour d'appel de Paris11, décision confirmée
par la Cour de cassation le 20 mai 201512. Celle-ci rejetait le pourvoi du blogueur au motif qu'il était
démontré qu'il s'était « maintenu dans un système de traitement automatisé de données après avoir
découvert que celui-ci était protégé et a soustrait des données qu'il a utilisées sans le consentement
de leur propriétaire ».
Il existe un autre exemple emblématique : l'affaire Kitetoa contre Tati où il était apparu qu'en utilisant
un logiciel grand public (navigateur Netscape) il était possible d'accéder depuis Tati.fr à des informations confidentielles. Kitetoa avait averti les administrateurs du site, sans réaction de leur part, conduisant à la publication de l'information plusieurs mois après le signalement. La Cour d'appel de Paris
concluait à l'absence d'infraction puisque le site Internet et les informations qu'il contenait ne
faisaient l'objet d'aucune protection et devaient donc être réputées non confidentielles à défaut de
toute indication contraire et tout obstacle à l'accès13.
251. Loi pour une République numérique - À l'occasion d'une proposition en date du 15 janvier
2016, dit amendement « Bluetouff », le sujet du traitement juridique des white hats était relancé. Il
était proposé d'ajouter un nouvel alinéa à l'article 323-1 du Code pénal rédigé comme il suit :
« Toute personne qui a tenté de commettre ou a commis le délit prévu au présent article est exempte
de peine si elle a immédiatement averti l'autorité administrative ou judiciaire ou le responsable du
système de traitement automatisé de données en cause d'un risque d'atteinte aux données ou au fonctionnement du système ». Le texte péchait toutefois par imprécision : quelle était l'autorité administrative ou judiciaire à saisir ? Selon quelles modalités ? Quid de l'action publique initiée antérieurement à l'avertissement ?
C'est donc un texte plus précis et plus exigeant qui était finalement adopté à l'occasion de la loi
nº 2016-1321 pour une République numérique du 7 octobre 2016. Dans le but d'améliorer la cybersécurité et afin d'inciter la révélation des failles sécurité, l'article L. 2321-4 du Code de la défense
prévoit désormais que toute « personne de bonne foi » qui transmet à l'ANSSI uniquement une information portant sur l'existence d'une vulnérabilité concernant la sécurité d'un STAD ne fera pas
11. CA Paris, pôle 4, 10e ch., 5 févr. 2014, nº 13/04833.
12. Cass. crim., 20 mai 2015, nº 14-81336.
13. CA Paris, pôle 4, 10e ch., 5 févr. 2014, nº 13/04833.

http://www.Tati.fr

Hors collection - Quels droits face aux innovations numériques ? - 1re

Table des matières de la publication Hors collection - Quels droits face aux innovations numériques ? - 1re