Navigation – Plan du site
Les personnes et la sécurité à l'ère numérique : quelle éthique ?

Pour une éthique de la révélation de faille de sécurité

Ève Matringe

Résumés

Le développement du recours aux outils numériques engendre des problèmes nouveaux résultant entre autres de l’imperfection inévitable des logiciels, qui a parfois pour conséquence la divulgation de données confidentielles ou personnelles. La révélation des failles de sécurité est nécessaire pour permettre aux éditeurs de logiciels d’y remédier. Cependant, le droit pénal français, sur la base de la Convention européenne sur la cybercriminalité, sanctionne la mise à disposition de « toute donnée conçue ou spécialement adaptée » pour commettre un piratage : le législateur français réprime donc potentiellement la révélation de failles de sécurité, sans pour autant assurer une indemnisation satisfactoire aux victimes de fuites de données personnelles engendrées par l’exploitation de ces défauts de sécurité. L’adoption d’une démarche éthique de la révélation des failles de sécurité pourrait remédier aux défauts du système actuel.

Haut de page

Notes de l’auteur

Je voudrais remercier les rapporteurs anonymes pour leur apport ainsi que tous ceux avec lesquels j'ai pu discuter de cette problématique, notamment Damien Bancal (www.zataz.com), Kitetoa (http://www.kitetoa.com) et Cédric Blancher (http://sid.rstack.org/blog/).

Texte intégral

  • 1  La Commission européenne a lancé en juillet 2011 une consultation sur les règles pratiques de noti (...)
  • 2  Par exemple, l’institution financière Morgan Stanley a envoyé par la poste aux services fiscaux de (...)
  • 3  Deux clefs USB contenant les données d’identification non chiffrées de deux millions d’électeurs c (...)
  • 4  En 2011, le réseau de Sony, PSN (PlayStation Network), a été victime d’attaques. Il s’agit d’un po (...)

1À l’heure actuelle, il ne se passe pas un jour sans que la presse relaie l’exploitation d’une faille de sécurité ayant eu pour conséquence l’accès à des données confidentielles ou la diffusion de données personnelles. La prise de conscience du risque de diffusion de données personnelles est récente, comme en témoignent les derniers projets européens visant à obliger les entreprises à informer les victimes et à verser de substantielles indemnités1. Les fuites de données ne sont pas pour autant forcément la résultante d’une faille logicielle. Le facteur humain intervient dans nombre de cas (oubli ou perte de CD2 ou de clef USB3). En outre, une faille logicielle majeure peut n’avoir aucune conséquence pour le public, tandis qu’un problème mineur – mais non traité – peut avoir des conséquences incalculables4. Le manque de sérieux de certaines entreprises dans la prise en compte de la sécurité informatique n’est pas l’objet de cette réflexion. Il s’agit ici d’envisager le cas où une faille logicielle non encore documentée fait l’objet d’un signalement pour la première fois, étant précisé que bien souvent, la possibilité d’une réponse efficace suppose la description détaillée de la façon dont la vulnérabilité peut être exploitée. Il y a donc confusion nécessaire entre l’information selon laquelle il y a une vulnérabilité et l’information sur la manière d’exploiter cette vulnérabilité. La réaction de l’éditeur du logiciel peut être de prendre au sérieux l’information et de remédier au problème. Il peut aussi réagir négativement et menacer de poursuites judiciaires l’informaticien téméraire qui publierait l’information.

  • 5  Pour une étude sur le contentieux américain, voir Romanosky, Hoffman et Acquisti (2012).
  • 6  Tribunal correctionnel de Nanterre, Jugement du 10 novembre 2011, Greenpeace c. EDF, [En ligne], [ (...)

2En revanche, peu de décisions ont été rendues en France sur les conséquences de l’exploitation de ces failles de sécurité5, sauf cas d’espionnage avéré6. Le problème de la sécurité informatique dépasse aujourd’hui le cadre des banques ou des agences de renseignement du fait de la croissance exponentielle du volume de données personnelles collectées tant par les administrations que par les entreprises : « […] si le nombre de failles de sécurité et la quantité de données personnelles concernées sont difficiles à chiffrer, le phénomène est incontestablement important » (Bloche et Verchère, 2011). Une faille de sécurité ne se traduit pas forcément par une fuite de données personnelles, mais la réalisation de ce risque a fait prendre conscience de la nécessité d’améliorer le traitement de ces questions par les entreprises et les administrations.

3Un récent rapport parlementaire souligne d’ailleurs le problème :

Au silence des sociétés concernées s’ajoutent les craintes dues aux risques juridiques encourus par toute personne quisouhaiterait avertir le public de l’existence de ces failles. Si le défaut de sécurité fait l’objet d’une description suffisamment précise pour que toute personne qui en prend connaissance puisse à son tour exploiter la faille, la responsabilité pénale de l’auteur de l’information peut, en effet, être engagée (Bloche et Verchère, 2011).

4La répression pénale telle qu’elle existe actuellement est-elle la meilleure solution ? Il nous semble que non et qu’au contraire, il y a là un facteur de complication et d’amoindrissement de la sécurité informatique. Pour améliorer la prévention des fuites de données, il convient d’améliorer le traitement des failles de sécurité logicielle, non de punir ceux qui les mettent au jour. Il ne s’agit pas ici d’étudier les méthodes de travail de l’industrie logicielle, mais d’envisager la phase préalable, c’est-à-dire la façon dont une faille logicielle peut être dénoncée et portée à la connaissance du public sans nuire et de la façon la plus efficace possible. Pour cela, le recours à une démarche éthique semble indispensable pour compléter et amender le dispositif législatif actuel.

I. Les solutions actuelles

5La problématique de la sécurité informatique a été depuis longtemps envisagée par les juristes. Toutefois, la réponse apportée par le droit à la révélation de faille logicielle est essentiellement punitive.

1. La répression pénale de la mise à disposition de moyen de piratage

  • 7  Journal officiel de la République (JORF), 6 janvier 1988, p. 231 sqq. [en ligne], [http://legifran (...)

6Le droit pénal de l’informatique résulte globalement de la loi no 88-19 du 5 janvier 1988 relative à la fraude informatique, dite « Loi Godfrain7 ». Mais ce n’est qu’en 2004, à l’occasion de la transcription en droit français de la Convention de Budapest du 23 novembre 2001 relative à la cybercriminalité du Conseil de l’Europe, qu’a été envisagée la répression de la commercialisation de moyen de piratage. La Convention laisse à la discrétion des États la criminalisation de la mise à disposition gratuite de tels moyens.

7La rédaction du texte français adopte la position la plus stricte, car l’article 46 de la loi no 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique a introduit un article L. 323-3-1 dans le Code pénal, aux termes duquel

le fait, sans motif légitime, d’importer, de détenir, d’offrir, de céder ou de mettre à disposition un équipement, un instrument, un programme informatique ou toute donnée conçus ou spécialement adaptés pour commettre une ou plusieurs des infractions prévues par les articles 323-1 à 323-3 est puni des peines prévues respectivement pour l’infraction elle-même ou pour l’infraction la plus sévèrement réprimée.

  • 8  Crim. 27 octobre 2009, no 09-82.346, Bulletin criminel, no 177 : « La constatation de la violation (...)

8Jusqu’à présent, aucune condamnation pour simple diffusion de données n’a eu lieu. Toutefois, un expert informatique ayant mis en ligne un script permettant d’exploiter une faille de sécurité a été condamné. Il est vrai que le débat s’est davantage porté sur le point de savoir s’il pouvait bénéficier ou non de la justification d’un motif légitime au sens de ce texte8. La doctrine semble considérer que « la recherche scientifique et la sécurisation des réseaux peuvent entrer dans le champ des motifs légitimes » (Chopin, 2011 : paragr. 33).

  • 9  Cette définition est également celle adoptée par la Commission de terminologie de l’informatique ( (...)

9La diffusion de données est, en tant que telle, pénalement punissable, encore qu’il y ait sans doute un hiatus entre la notion de droit français et celle de la Convention, dont l’article 1er indique que « l’expression “données informatiques” désigne toute représentation de faits, d’informations ou de concepts sous une forme qui se prête à un traitement informatique, y compris un programme de nature à faire en sorte qu’un système informatique exécute une fonction9 ». Il en résulte qu’un virus informatique est une « donnée » au sens de la Convention, mais non la simple information sur la faille de sécurité d’un logiciel ou d’un procédé de cryptage. Pourtant, l’interprétation du texte français conduit à qualifier la fourniture d’information à fins de piratage, par exemple l’indication de l’adresse électronique de la cible, de mise à disposition d’une donnée conçue ou spécialement adaptée pour commettre un piratage (Caprioli, 2012). A fortiori, la révélation de l’existence d’une faille de sécurité logicielle entrerait dans le champ de l’article L. 323-3-1 du Code pénal étant donné qu’elle attire l’attention sur la faiblesse du système et constitue donc une mise à disposition de moyen d’exploiter une vulnérabilité logicielle.

  • 10  « 1. Chaque Partie adopte les mesures législatives et autres qui se révèlent nécessaires pour érig (...)
  • 11  Arrêté ministériel relatif à l’enrichissement du vocabulaire de l’informatique du 22 décembre 1981 (...)

10Cette interprétation est cependant contredite par les textes nationaux comme internationaux. En effet, l’article 6 de la Convention sur la cybercriminalité prévoit que les États membres incriminent la fourniture à titre gratuit ou onéreux, dès lors qu’elle est commise intentionnellement et sans droit, de tout dispositif, y compris un programme informatique, principalement conçu ou adapté pour réaliser un piratage informatique, ou de mot de passe, code d’accès ou données informatiques similaires permettant d’accéder à tout ou partie d’un système informatique10. La simple fourniture d’information n’est donc pas visée. En d’autres termes, la diffusion de failles n’est pas pénalement punissable selon la Convention. Par ailleurs, le droit interne français définit la notion de « donnée » comme la « représentation d’une information sous une forme conventionnelle destinée à faciliter son traitement11 ».

  • 12  TGI Paris, 17e ch. corr., 7 juillet 2009, [en ligne], [http://www.legalis.net/spip.php?page= juris (...)
  • 13  Le terme d’inventeur aurait pu être employé au sens juridique, pour désigner celui qui découvre un (...)
  • 14  Voir, par exemple, CA Paris, 13e ch. section A, 21 février 2006, [en ligne], [http://www. legalis. (...)

11A priori, la révélation de faille n’est donc pas susceptible de sanction pénale. Toutefois, ces indications textuelles ne sauraient préjuger de l’interprétation que retiendra la jurisprudence à l’avenir (Lepage, 2010 : 10). En outre, l’expérience a montré que certaines entreprises informées de l’existence d’une faille ont cédé à la tentation d’engager une action en diffamation12. S’agissant de logiciel propriétaire, celui qui découvre13la faille ne peut démontrer sa bonne foi, sauf à se rendre coupable de contrefaçon en accédant au code source14.

12Outre les éventuelles poursuites pénales que pourraient déclencher les producteurs des logiciels dont les failles auront été dénoncées, il est envisageable que les utilisateurs du logiciel qui se trouveraient exposés à des risques d’intrusion veuillent engager la responsabilité civile de celui qui aura dénoncé le problème.

13De la même façon que la législation sur les données personnelles a d’abord été conçue pour protéger l’individu des agissements de l’État, la réglementation sur la cybercriminalité a d’abord eu pour objectif la lutte contre la criminalité organisée, avec pour arrière-fond l’idée que les opérateurs commerciaux mettraient tous leurs moyens en œuvre pour assurer la plus grande sécurité possible de leurs logiciels. Or il n’en va pas forcément ainsi en réalité.

2. Les problèmes non résolus par le droit positif

  • 15  Comme dans l’affaire Sony précitée.
  • 16  « Car si j’avais quelque chose à reprocher à cet article, c’est de permettre la rupture d’un équil (...)

14Les failles logicielles sont inévitables. En revanche, ce qui devrait être évité, c’est, d’une part, ce qui relève de la politique de sécurité informatique des entreprises, à savoir la persistance d’un défaut de sécurité résultant d’une faille connue15, d’autre part, la possible légèreté dans la prise en compte d’une faille qui conduirait à ne pas rechercher de solution immédiatement. Il ne s’agit pas ici de la négligence des utilisateurs de logiciels, mais du cas dans lequel certains producteurs de logiciels pourraient préférer ignorer l’alerte sur l’existence d’une faille de sécurité pour économiser les coûts que pourrait représenter l’édition d’un remède (patch)et la mauvaise publicité résultant de la révélation d’un défaut de leur produit16.

15Le premier problème non résolu par le droit pénal est le caractère relativement indolore des failles de sécurité en dehors des hypothèses de fuites massives concernant des moyens de paiement exploitables, comme cela a pu être le cas récemment à propos de Sony.

16Un deuxième problème résulte du risque juridique pesant actuellement sur la révélation de faille. Pour démontrer la réalité d’une faille, il est souvent nécessaire d’exposer la façon de l’exploiter. Cet exposé permet alors de trouver une parade. Mais la divulgation d’une telle possibilité tombe potentiellement sous le coup de l’article L. 323-3-1 du Code pénal, sans certitude sur l’admission de l’existence d’un motif légitime. Et en cas de discrétion forcée, la faille sera connue de quelques-uns et potentiellement exploitable, sans qu’il soit possible d’élaborer une parade efficace.

17Un troisième problème est l’ignorance dans laquelle est tenu le public de cette dialectique entre révélation de faille et élaboration d’un remède. Si ce processus était davantage médiatisé, la révélation d’une faille de sécurité ne serait plus considérée par le grand public comme un scandale manifestant un manquement de la part de l’éditeur de logiciel, mais comme une caractéristique habituelle de cette industrie. Dès lors, les éditeurs de logiciels auraient moins tendance à vouloir imposer le silence à ceux qui révèlent les failles. Ils pourraient même trouver avantage à valoriser leur façon de prendre en compte la révélation de failles en l’élevant au rang de pratiques de déontologie professionnelle.

II.La complémentarité de la démarche éthique

18Comme le relève un auteur, « [l]a démarche éthique permet de prendre en considération des attentes de la société qui souvent précèdent le droit » (Lulin, 2011 : 22 sqq.).

19Le développement des chartes et codes éthiques dans les entreprises est un phénomène récent, qui a davantage pour vocation de régir les relations au sein de l’entreprise ou avec les clients de l’entreprise. Le terme a aussi été employé dans le cadre des discussions relatives à la mise en œuvre de la Loi Sarbanes-Oxley par les sociétés européennes, loi qui a pour vocation de mieux encadrer les sociétés cotées afin de protéger les épargnants par la mise en place de procédure dite « d’alerte éthique » (Merle, 2007 : 4 sqq.).

20En réalité, la démarche éthique qui est ici envisagée est celle par laquelle une entreprise construit son identité par l’affirmation du respect de certaines valeurs, qu’elle concrétise par la promesse de se comporter d’une certaine façon. Pour ce faire, elle incite les personnes qui se trouvent dans sa sphère d’influence à adopter un certain comportement. Alors que le droit procède de la sanction étatique, la démarche éthique responsabilise et engage à adopter un comportement plutôt qu’un autre sous peine de la désapprobation sociale (Lulin, 2011 : 22).

1. Les problèmes qui pourraient être résolus

21Aujourd’hui, la révélation de faille est vécue en soi par les éditeurs de logiciel comme la mise au jour d’une réalité honteuse et gênante qu’il convient d’ignorer et de camoufler. Pourtant, la complexité même de leurs produits implique l’existence de failles logicielles. Dans la mesure où les éditeurs de logiciels sont dans l’impossibilité de garantir la totale sécurité de leur produit, une politique réaliste devrait les conduire à offrir à leurs usagers la plus grande réactivité possible au lieu d’une illusoire promesse d’infaillibilité. Ils adopteraient ainsi une démarche préventive, usant des règles de droit pour s’assurer un avantage concurrentiel, dans la droite ligne de l’École du droit proactif (Masson et Bouthinon-Dumas, 2011). Réciproquement, des règles de droit adaptées seraient au moins aussi efficientes que les dispositions pénales actuelles (Sepi et Westlake, 2009).

22Ainsi, ce qui serait mis en évidence vis-à-vis du public ne serait pas le vice de leur produit, mais la qualité de leur réaction dans le traitement du problème. De la même façon qu’il est aujourd’hui proposé de faire de la Privacy by Design un facteur de compétitivité, la réactivité et l’efficience de la réaction par rapport au signalement de failles devraient constituer une plus-value que les entreprises d’édition de logiciels pourraient valoriser auprès de leurs clients au lieu de se trouver dans la situation actuelle où il est même impossible de quantifier tant le nombre de failles découvertes que celles auxquelles il est remédié. En effet, comme le relèvent les auteurs d’un rapport parlementaire, actuellement « [l]a crainte des préjudices que pourrait causer à l’image des entreprises concernées une politique d’information transparente en cas de faille de sécurité ne contribue pas à une évaluation objective du phénomène » (Bloche et Verchère, 2011 : 197).

23De plus, aujourd’hui, l’issue des quelques procédures judiciaires touchant la recherche de failles logicielles est telle que les experts en sécurité informatique redoutent d’informer le public sur les résultats de leurs travaux, de peur de se voir condamner, ne serait-ce que sur un plan civil. À l’inverse, certaines grandes entreprises de l’Internet (Mozilla, Google, Facebook) annoncent publiquement qu’elles récompenseront ceux qui leur signaleront des failles, ce, afin d’être en mesure d’y remédier (Mindo, 2011 ; Elyan, 2012). Cependant, il ne saurait être question de laisser aux seules entreprises le soin de décider de leur politique en la matière, car les petites entreprises n’ayant pas les moyens de proposer des récompenses avantageuses persisteraient à préférer réduire au silence les chercheurs plutôt que de remédier aux problèmes qu’ils soulèvent.

24Cette démarche active dans la lutte contre les failles logicielles ne concernerait pas seulement les éditeurs de logiciel, mais aussi les utilisateurs. Ceux-ci auraient un rôle à jouer comme détecteur de faille (bug), mais également en ce qui concerne la limitation des dommages dans l’attente de la réalisation des moyens de parade. Impliquer davantage les utilisateurs les sensibiliserait aux impératifs de la sécurité informatique, ce qui devrait permettre d’assurer à la fois une meilleure protection des données personnelles conservées et une réaction plus efficace en cas de fuite de données. Dans tous les cas, la valorisation de la prise en compte d’une révélation de faille inciterait l’ensemble des personnes potentiellement concernées à la vigilance et à une réaction rapide.

  • 17  Art. 226-16 et s. du Code pénal.

25La tendance actuelle des chartes éthiques existant actuellement comporte des dispositions relatives à la confidentialité des données personnelles, mais plutôt sous l’angle de la protection de la vie privée des salariés. L’objectif de sécurisation des données personnelles des tiers est à l’heure actuelle réalisé plus ou moins efficacement par la sanction pénale du défaut de sécurité17. Cependant, le problème de la prise en compte efficace par les entreprises des signalements de faille n’est pas pour autant résolu. L’adoption par les entreprises de principes qui prendraient au sérieux des signalements devrait les conduire à s’approprier effectivement les impératifs de sécurité informatique.

  • 18  Une juridiction américaine a condamné une entreprise à verser des dommages-intérêts du fait d’une (...)

26La démarche éthique permettrait aussi de définir un guide de conduite aux entreprises confrontées à la révélation d’une faille de sécurité ayant permis un accès illicite à des données personnelles. Les entreprises pourraient ainsi valoriser la qualité de leur réaction et en faire un facteur d’attractivité. Elles pourraient également s’engager dans un cadre quasi contractuel à prendre en charge les dommages qui pourraient éventuellement en résulter pour les personnes dont les données auront fait l’objet d’une divulgation involontaire, ainsi que pour les entreprises utilisant les logiciels ayant donné lieu à une fuite de données et dont la responsabilité civile aura été engagée au premier chef18.

2. Modalités concrètes d’une éthique de la révélation de failles

27Le seul ajout dans les chartes éthiques des entreprises de dispositions relatives à la nécessaire vigilance face aux signalements de faille logiciel ne saurait suffire. Si le développement d’une culture de la sécurité dans les entreprises améliorera la prise en compte de ces signalements, d’autres éléments contribueront à améliorer la réaction en cas de révélation de faille logicielle.

28Celle-ci ne peut être efficacement prise en compte que si les entreprises décident de prendre ce problème au sérieux en assurant des réponses immédiates en cas de signalement, tandis que les chercheurs en sécurité prendront soin de ne pas laisser cette information tomber en de mauvaises mains.

  • 19  Par exemple : [http://hal.archives-ouvertes.fr/].

29L’une des motivations des inventeurs de faille est de faire reconnaître leur savoir-faire par la revendication d’un exploit. Pour éviter les révélations sauvages, c’est-à-dire faites sans précaution alors qu’il n’existe pas encore de parade, il conviendrait de mettre en place une procédure permettant de dissocier le moment de la révélation de la faille de celui de la revendication publique de la paternité de l’exploit. Il s’agit de proposer aux intéressés un procédé fiable pour donner date certaine à la découverte et leur permettre ainsi d’en revendiquer la paternité. Il serait envisageable d’organiser un dépôt public à une date différée, comme cela peut se faire pour les publications scientifiques, le tout géré par l’État19. Cette procédure présenterait également l’avantage de mettre en évidence le caractère approprié ou non de la réaction des entreprises en cas de révélation de faille logicielle.

  • 20  Il existe des décisions prononçant des sanctions pénales en raison de la collecte illicite de donn (...)
  • 21  CA Montpellier, 21 janvier 2010, RG no 09/00588.

30Dans le cadre d’engagement déontologique, il serait également envisageable que les entreprises s’obligent à indemniser les victimes de fuite de données personnelles. En l’état du droit, la mise en jeu de la responsabilité civile nécessite la preuve d’un dommage. En effet, la seule preuve de la commission d’une infraction pénale n’ouvre pas droit à réparation civile. Encore faut-il que la victime démontre l’existence et l’étendue du préjudice subi. Or en cas de fuite de données personnelles, le préjudice jugé réparable ne sera bien souvent que la perte financière résultant d’une usurpation d’identité ou bien de l’utilisation frauduleuse d’une carte bancaire. La simple perte de la maîtrise de ses données personnelles par un individu ne semble actuellement pas devoir constituer un préjudice juridiquement réparable. Si l’on pense à l’affaire Sony, il est juridiquement possible d’indemniser les victimes d’utilisation frauduleuse de leur carte bancaire. En revanche, les personnes qui n’ont pas subi de perte matérielle auront vraisemblablement plus de mal à obtenir une indemnisation. Le préjudice moral subi du fait de la diffusion de données personnelles existe néanmoins puisque la personne concernée a été dépossédée de la maîtrise des informations la concernant. Le passage du statut de sujet de droit, maître de son image informationnelle, à celui d’objet entre les mains d’autrui implique une atteinte à la dignité de la personne. Cet aspect fondamental de la problématique du traitement des données personnelles avait déjà été relevé par le législateur en 1978 lorsqu’il faisait figurer à l’article 1er de la Loi informatique et liberté les principes suivants : « L’informatique doit être au service de chaque citoyen. Son développement doit s’opérer dans le cadre de la coopération internationale. Elle ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques. » Les sanctions pénales du défaut de sécurisation comme de la collecte illicite de données personnelles ne trouvent à s’appliquer qu’en cas de négligence avérée du responsable du traitement de données personnelles et n’impliquent pas forcément l’octroi de dommages-intérêts à la personne concernée en raison de l’absence de préjudice matériel et de la difficulté d’évaluer le préjudice moral. Le peu d’importance accordée au problème des fuites de données personnelles se manifeste par l’absence de décisions sur ce point20. Ainsi, une société agira en concurrence déloyale contre celui qui aura piraté sa base de données client21 ; en revanche rien n’est dit quant aux droits desdits clients ni quant à leur éventuelle indemnisation. Au mieux, prévenus du problème, ils n’auront pas vu l’intérêt de se constituer partie civile. Au pire, ils ne sauront jamais que leurs données personnelles ont fait l’objet d’une divulgation à un tiers.

31Dès lors, si le droit n’offre pas forcément de compensation satisfaisante en cas de défaut de sécurisation rendant possible une fuite de données personnelles, les entreprises peuvent néanmoins s’engager, d’une part, à adopter un comportement vigilant et réactif en cas de signalisation de faille de sécurité, d’autre part, à notifier les fuites et à proposer une satisfaction équitable, marquant concrètement l’importance qu’elles accordent à ces questions.

Haut de page

Bibliographie

Bensoussan, Alain (dir.) (2008),  Informatique, télécoms, Internet, Paris, Éditions Francis Lefebvre.

Blancher, Cédric (2009), « LCEN m’a tuer (ou pas) », Ma petite parcelle d’Internet, 29 novembre, [En ligne], [http://sid.rstack.org/blog/index.php/
375-lcen-m-a-tuer-ou-pas] (25 octobre 2012).

Bloche, Patrick, et Patrice Verchère (dir.) (2011), « Rapport d’information déposé en application de l’article 145 du Règlement pour la Mission d’information commune sur les droits de l’individu dans la révolution numérique », Assemblée nationale, 22 juin, [En ligne], [http://www.assemblee-nationale.fr/13/rap-info/i3560.asp] (25 octobre 2012).

Caprioli, Eric (2012), « Sécurité des systèmes d’information et espionnage informatique », Communication Commerce électronique, no 5 (mai), p. 42-44.

Castets-Renard, Céline (2010), Droit de l’Internet, Paris, Montchrestien.

Chopin, Frédérique (2011), « Cybercriminalité », Enc. Dalloz pénal, paragr. 33.

Contributeurs de Wikipédia (2012), « Piratage du Playstation Network », Wikipédia, 12 octobre, [En ligne], [http://fr.wikipedia.org/wiki/Piratage_ du_PlayStation_Network] (25 octobre 2012).

Elyan, Jean (2012), « PayPal va récompenser les chercheurs remontant des failles de sécurité », Le Monde informatique, 25 juin, [En ligne], [http://
www.lemondeinformatique.fr/actualites/lire-paypal-va-recompenser-les-chercheurs-remontant-des-failles-de-securite-49446.html] (28 septembre 2012).

Francillon, Jacques (2010), « Piratage informatique. Révélation de failles de sécurité informatique », Revue de science criminelle, p. 170-181.

LasserreCapdeville, Jérôme (2010), « Délit de trafic de moyens destinés à commettre une atteinte à un système de traitement automatisé de données », Dalloz, p. 806-809.

Lepage, Agathe (2010), « Un an de droit pénal des nouvelles technologies - Octobre 2009 - octobre 2010 », Droit pénal, no 12 (décembre), p. 14-24.

Lulin, Emmanuel (2011), « La démarche éthique de Loréal », Cahiers de droit de l’entreprise, no 5, p. 22-23.

Marchiven, Valéry (2011), « Morgan Stanley perd les données personnelles de 34 000 investisseurs », Le MagIT, 6 juillet 2011, [En ligne], [http://www. lemagit.fr/technologie/securite-technologie/2011/07/06/morgan-stanley-perd-les-donn-eacute-personnelles-000-investisseurs/] (28 septembre 2012).

Masson, Antoine, et Hugues Bouthinon-Dumas (2011), « L’approche “Law & Management” », Revue trimestrielle de droit commercial, p. 233-254.

Merle, Caroline (2007), « L’alerte éthique », Petites affiches, no 60 (23 mars), p. 4-18.

Mindo (2011), rédacteur numérama, « Facebook : la découverte de failles bientôt rémunérée ? », Numérama, 31 mai, [En ligne], [http://www.nume rama.com/f/112498-t-facebook-la-decouverte-de-failles-bientot-remuneree.html] (28 septembre 2012).

Mission d’information commune sur les droits de l’individu dans la révolution numérique, « Rapport d’information » (2011), présenté par MM. les députés Patrick Bloche et Patrice Verchère, p. 197, [en ligne], [http://www.assemblee-nationale.fr/13/rap-info/i3560.asp] (28 mai 2012).

Romanosky, Sasha, David A. Hoffman et Alessandro Acquisti (2012), « Empirical analysis of data breach litigation », Temple University Legal Studies Research, [En ligne], [http://dx.doi.org/10.2139/ssrn.1986461] (28 mai 2012).

Royer, Guillaume (2010), « Communication d’une faille dans un système informatique : le motif légitime exonératoire reste imprécis », AJ Pénal, no 2 (février), p. 79-80.

Sepi, Mario, et Martin Westlake (2009), « Avis du Comité économique et social européen sur “L’approche proactive de la pratique du droit : un pas en avant vers une meilleure réglementation au niveau de l’UE” », Journal officiel de l’Union européenne, C175 (28 juillet), p. 26-33.

Solomon, Howard (2012), « USB drives missing with data of 2 million Canadian voters », Techworld, 18 July 2012, [En ligne], [http://news.
techworld.com/security/3370654/usb-drives-missing-with-data-of-2-million-canadian-voters/] (25 octobre 2012).

Trézéguet, Marlène (2012), Code Lamy droit de l’immatériel, Paris, Wolters Kluwer.

Véron, Michel (2010), « La diffusion d’informations présentant un risque d’utilisation à des fins de piratage », Droit pénal, no 1 (janvier), p. 28-29.

Vivant, Michel (dir.) (2012), Lamy droit de l’informatique et des réseaux, Paris, Wolters Kluwer.

Haut de page

Notes

1  La Commission européenne a lancé en juillet 2011 une consultation sur les règles pratiques de notification des violations de données à caractère personnel. Par ailleurs, la révision de la directive su la protection des données personnelles 95/46/EC a été l’occasion pour la Commission de se saisir de la problématique du droit à l’oubli et du signalement des fuites de données personnelles (COM(2010) 609).

2  Par exemple, l’institution financière Morgan Stanley a envoyé par la poste aux services fiscaux deux CD non cryptés et protégés uniquement par un mot de passe alors qu’ils contenaient les données personnelles de 34 000 investisseurs incluant noms, adresses, numéros de compte, identifiant fiscal, produits d’investissements de 2010 et, pour certains d’entre eux, leurs numéros de sécurité sociale (Marchiven, 2011).

3  Deux clefs USB contenant les données d’identification non chiffrées de deux millions d’électeurs canadiens ont été égarées (Solomon, 2012).

4  En 2011, le réseau de Sony, PSN (PlayStation Network), a été victime d’attaques. Il s’agit d’un portail interactif gratuit, avec certains contenus payants, permettant de jouer en réseau, de surfer et de clavarder. Le cas Sony est l’illustration même de l’absence de prise au sérieux des recommandations en matière de sécurité informatique. Comme l’a admis publiquement Shinji Hasejima, Directeur des services de l’information, lors de la conférence de presse donnée le 1er mai 2011 à Tokyo : « La vulnérabilité du réseau était connue, une des plus connues au monde. Mais Sony n’y était pas assez sensible… n’en était pas convaincu. Nous essayons maintenant de l’améliorer. » Il semble que l’entreprise ait eu des serveurs obsolètes, ait laissé perdurer des failles connues et n’ait pas crypté les données personnelles de ses clients, parmi lesquelles figuraient les informations bancaires des clients ayant souscrit à des contenus payants (Contributeurs de Wikipédia, 2012).

5  Pour une étude sur le contentieux américain, voir Romanosky, Hoffman et Acquisti (2012).

6  Tribunal correctionnel de Nanterre, Jugement du 10 novembre 2011, Greenpeace c. EDF, [En ligne], [http://www.legalis.net/spip.php?page=jurisprudence-decision&id_article=3263] (25 octobre 2012). Une entreprise ayant commandité un piratage informatique au détriment de Greenpeace est condamnée pour recel, complicité d’accès et maintien frauduleux dans un système de traitement automatisé de données. Voir Caprioli (2012).

7  Journal officiel de la République (JORF), 6 janvier 1988, p. 231 sqq. [en ligne], [http://legifrance.gouv.fr/jo_pdf.do?cidTexte=JORFTEXT000000875419], (28 septembre 2012). Les incriminations édictées par ce texte figurent aujourd’hui dans le Code pénal aux articles 323-1 sqq. Pour un recensement des commentaires de la Loi Godfrain, voir Trézéguet (2012).

8  Crim. 27 octobre 2009, no 09-82.346, Bulletin criminel, no 177 : « La constatation de la violation, sans motif légitime et en connaissance de cause, de l’une des interdictions prévues par l’art. 323-3-1 C. pén. implique de la part de son auteur l’intention coupable exigée par l’article 121-3 du même code ; justifie sa décision la cour d’appel qui retient qu’un prévenu ne pouvait arguer d’un motif légitime tiré de la volonté d’information dès lors que, du fait de son expertise, il savait qu’il diffusait des informations présentant un risque d’utilisation à des fins de piratage. » Voir Francillon (2010 : 178) ; Lasserre Capdeville (2010 : 806) ; Royer (2010 : 79) ; Véron (2010 : 28-29).

9  Cette définition est également celle adoptée par la Commission de terminologie de l’informatique (Bensoussan, 2008 : 809-810).

10  « 1. Chaque Partie adopte les mesures législatives et autres qui se révèlent nécessaires pour ériger en infraction pénale, conformément à son droit interne, lorsqu’elles sont commises intentionnellement et sans droit :

a) la production, la vente, l’obtention pour utilisation, l’importation, la diffusion ou d’autres formes de mise à disposition :

i) d’un dispositif, y compris un programme informatique, principalement conçu ou adapté pour permettre la commission de l’une des infractions établies conformément aux articles 2 à 5 ci-dessus ;

ii) d’un mot de passe, d’un code d’accès ou de données informatiques similaires permettant d’accéder à tout ou partie d’un système informatique,

dans l’intention qu’ils soient utilisés afin de commettre l’une ou l’autre des infractions visées par les articles 2 à 5 ; et

b) la possession d’un élément visé aux paragraphes a.i ou ii ci-dessus, dans l’intention qu’il soit utilisé afin de commettre l’une ou l’autre des infractions visées par les articles 2 à 5. Une Partie peut exiger en droit interne qu’un certain nombre de ces éléments soit détenu pour que la responsabilité pénale soit engagée.

2. Le présent article ne saurait être interprété comme imposant une responsabilité pénale lorsque la production, la vente, l’obtention pour utilisation, l’importation, la diffusion ou d’autres formes de mise à disposition mentionnées au paragraphe 1 du présent article n’ont pas pour but de commettre une infraction établie conformément aux articles 2 à 5 de la présente Convention, comme dans le cas d’essai autorisé ou de protection d’un système informatique.

3. Chaque Partie peut se réserver le droit de ne pas appliquer le paragraphe 1 du présent article, à condition que cette réserve ne porte pas sur la vente, la distribution ou toute autre mise à disposition des éléments mentionnés au paragraphe 1.a.ii du présent article. »

11  Arrêté ministériel relatif à l’enrichissement du vocabulaire de l’informatique du 22 décembre 1981, JORF, 17 janvier 1982, p. 624.

12  TGI Paris, 17e ch. corr., 7 juillet 2009, [en ligne], [http://www.legalis.net/spip.php?page= jurisprudence-decision&id_article=2737], (14 novembre 2012) ; et l’arrêt d’appel rendu sur cette ordonne de référé, CA Paris, 2e ch., réf., 9 septembre 2009, [en ligne], [http://www.legalis.net/spip. php?page=jurisprudence-decision&id_article=2738] (14 novembre 2012), Expertise des systèmes d’information, no 341, novembre 2009.

13  Le terme d’inventeur aurait pu être employé au sens juridique, pour désigner celui qui découvre un trésor (CORNU, vocabulaire juridique), en l’espèce l’existence d’une faille, celle-ci étant bien évidemment préexistante. Toutefois, le risque de confusion avec l’inventeur au sens du droit du brevet et le sens que donne à ce mot le langage courant imposent de ne pas l’employer.

14  Voir, par exemple, CA Paris, 13e ch. section A, 21 février 2006, [en ligne], [http://www. legalis.net/spip.php?page=jurisprudence-decision&id_article=1655](14 novembre 2012).

15  Comme dans l’affaire Sony précitée.

16  « Car si j’avais quelque chose à reprocher à cet article, c’est de permettre la rupture d’un équilibre de forces entre certains éditeurs pas forcément de bonne foi et ceux qui voudraient s’assurer de la sécurité de leurs produits, en particulier ceux qui n’ont pas les connaissances et les compétences pour constituer leur propre arsenal. Car si on a retiré à ces derniers une partie de leur capacité à auditer ces produits et publier leurs résultats, on n’a pas, dans le même temps, soumis ces éditeurs à des contraintes plus strictes sur la sécurité de leurs produits. On leur a carrément fourni une arme supplémentaire pour faire taire les empêcheurs de coder salement » (Blancher, 2009). Un éditeur de logiciel n’a en effet pas hésité à poursuivre en justice sur la base du droit de la propriété intellectuelle un chercheur qui, pour démontrer l’inefficacité d’un antivirus, avait désassemblé le logiciel : CA Paris, 13e ch., 21 février 2006, Guillaume T. c/ Eyal D. et Tegam International, RG no 05/03075, [En ligne], [http://www.legalis.net/spip.php?page=breves-article&id_article=1659] (28 septembre 2012).

17  Art. 226-16 et s. du Code pénal.

18  Une juridiction américaine a condamné une entreprise à verser des dommages-intérêts du fait d’une faille ayant entraîné la diffusion de données personnelles : [http://law.justia.com/cases/federal/appellate-courts/ca1/10-2384/10-2384p-01a-2011-10-20.html] (25 octobre 2012).

19  Par exemple : [http://hal.archives-ouvertes.fr/].

20  Il existe des décisions prononçant des sanctions pénales en raison de la collecte illicite de données personnelles, mais le plus souvent, les personnes concernées ne sont pas partie civile. Voir par exemple Cass. crim. 14 mars 2006, [http://www.legalis.net/spip.php?page=jurisprudence-decision&id_ article=1604] : l’auteur de la collecte est condamné à une amende de trois mille euros.

21  CA Montpellier, 21 janvier 2010, RG no 09/00588.

Haut de page

Pour citer cet article

Référence électronique

Ève Matringe , « Pour une éthique de la révélation de faille de sécurité », Éthique publique [En ligne], vol. 14, n° 2 | 2012, mis en ligne le 23 août 2013, consulté le 23 mars 2017. URL : http://ethiquepublique.revues.org/1038 ; DOI : 10.4000/ethiquepublique.1038

Haut de page

Auteur

Ève Matringe

Ève Matringe est docteur en droit à l’Université de Strasbourg. Elle a dispensé des cours en droit de l’informatique et en droit commercial au CNAM Alsace. Actuellement élève de l’Ecole des avocats du Grand Est, stagiaire au sein du cabinet Saint-Germain, elle est membre du Centre de droit privé fondamental (EA 1351, http://cdpf.unistra.fr/) et s’intéresse au droit de l’informatique et au droit comparé. Elle a soutenu, le 27 mars 2010, une thèse intitulée « La réforme de la responsabilité civile en droit suisse : modèle pour le droit français ? », sous la direction du professeur Jacqueline Flauss-Diem. Ses écrits sont accessibles sur la plate-forme HAL.

Haut de page

Droits d’auteur

Tous droits réservés

Haut de page
  • Revues.org