- 1 La Commission européenne a lancé en juillet 2011 une consultation sur les règles pratiques de noti (...)
- 2 Par exemple, l’institution financière Morgan Stanley a envoyé par la poste aux services fiscaux de (...)
- 3 Deux clefs USB contenant les données d’identification non chiffrées de deux millions d’électeurs c (...)
- 4 En 2011, le réseau de Sony, PSN (PlayStation Network), a été victime d’attaques. Il s’agit d’un po (...)
1À l’heure actuelle, il ne se passe pas un jour sans que la presse relaie l’exploitation d’une faille de sécurité ayant eu pour conséquence l’accès à des données confidentielles ou la diffusion de données personnelles. La prise de conscience du risque de diffusion de données personnelles est récente, comme en témoignent les derniers projets européens visant à obliger les entreprises à informer les victimes et à verser de substantielles indemnités1. Les fuites de données ne sont pas pour autant forcément la résultante d’une faille logicielle. Le facteur humain intervient dans nombre de cas (oubli ou perte de CD2 ou de clef USB3). En outre, une faille logicielle majeure peut n’avoir aucune conséquence pour le public, tandis qu’un problème mineur – mais non traité – peut avoir des conséquences incalculables4. Le manque de sérieux de certaines entreprises dans la prise en compte de la sécurité informatique n’est pas l’objet de cette réflexion. Il s’agit ici d’envisager le cas où une faille logicielle non encore documentée fait l’objet d’un signalement pour la première fois, étant précisé que bien souvent, la possibilité d’une réponse efficace suppose la description détaillée de la façon dont la vulnérabilité peut être exploitée. Il y a donc confusion nécessaire entre l’information selon laquelle il y a une vulnérabilité et l’information sur la manière d’exploiter cette vulnérabilité. La réaction de l’éditeur du logiciel peut être de prendre au sérieux l’information et de remédier au problème. Il peut aussi réagir négativement et menacer de poursuites judiciaires l’informaticien téméraire qui publierait l’information.
- 5 Pour une étude sur le contentieux américain, voir Romanosky, Hoffman et Acquisti (2012).
- 6 Tribunal correctionnel de Nanterre, Jugement du 10 novembre 2011, Greenpeace c. EDF, [En ligne], [ (...)
2En revanche, peu de décisions ont été rendues en France sur les conséquences de l’exploitation de ces failles de sécurité5, sauf cas d’espionnage avéré6. Le problème de la sécurité informatique dépasse aujourd’hui le cadre des banques ou des agences de renseignement du fait de la croissance exponentielle du volume de données personnelles collectées tant par les administrations que par les entreprises : « […] si le nombre de failles de sécurité et la quantité de données personnelles concernées sont difficiles à chiffrer, le phénomène est incontestablement important » (Bloche et Verchère, 2011). Une faille de sécurité ne se traduit pas forcément par une fuite de données personnelles, mais la réalisation de ce risque a fait prendre conscience de la nécessité d’améliorer le traitement de ces questions par les entreprises et les administrations.
3Un récent rapport parlementaire souligne d’ailleurs le problème :
Au silence des sociétés concernées s’ajoutent les craintes dues aux risques juridiques encourus par toute personne quisouhaiterait avertir le public de l’existence de ces failles. Si le défaut de sécurité fait l’objet d’une description suffisamment précise pour que toute personne qui en prend connaissance puisse à son tour exploiter la faille, la responsabilité pénale de l’auteur de l’information peut, en effet, être engagée (Bloche et Verchère, 2011).
4La répression pénale telle qu’elle existe actuellement est-elle la meilleure solution ? Il nous semble que non et qu’au contraire, il y a là un facteur de complication et d’amoindrissement de la sécurité informatique. Pour améliorer la prévention des fuites de données, il convient d’améliorer le traitement des failles de sécurité logicielle, non de punir ceux qui les mettent au jour. Il ne s’agit pas ici d’étudier les méthodes de travail de l’industrie logicielle, mais d’envisager la phase préalable, c’est-à-dire la façon dont une faille logicielle peut être dénoncée et portée à la connaissance du public sans nuire et de la façon la plus efficace possible. Pour cela, le recours à une démarche éthique semble indispensable pour compléter et amender le dispositif législatif actuel.
5La problématique de la sécurité informatique a été depuis longtemps envisagée par les juristes. Toutefois, la réponse apportée par le droit à la révélation de faille logicielle est essentiellement punitive.
- 7 Journal officiel de la République (JORF), 6 janvier 1988, p. 231 sqq. [en ligne], [http://legifran (...)
6Le droit pénal de l’informatique résulte globalement de la loi no 88-19 du 5 janvier 1988 relative à la fraude informatique, dite « Loi Godfrain7 ». Mais ce n’est qu’en 2004, à l’occasion de la transcription en droit français de la Convention de Budapest du 23 novembre 2001 relative à la cybercriminalité du Conseil de l’Europe, qu’a été envisagée la répression de la commercialisation de moyen de piratage. La Convention laisse à la discrétion des États la criminalisation de la mise à disposition gratuite de tels moyens.
7La rédaction du texte français adopte la position la plus stricte, car l’article 46 de la loi no 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique a introduit un article L. 323-3-1 dans le Code pénal, aux termes duquel
le fait, sans motif légitime, d’importer, de détenir, d’offrir, de céder ou de mettre à disposition un équipement, un instrument, un programme informatique ou toute donnée conçus ou spécialement adaptés pour commettre une ou plusieurs des infractions prévues par les articles 323-1 à 323-3 est puni des peines prévues respectivement pour l’infraction elle-même ou pour l’infraction la plus sévèrement réprimée.
- 8 Crim. 27 octobre 2009, no 09-82.346, Bulletin criminel, no 177 : « La constatation de la violation (...)
8Jusqu’à présent, aucune condamnation pour simple diffusion de données n’a eu lieu. Toutefois, un expert informatique ayant mis en ligne un script permettant d’exploiter une faille de sécurité a été condamné. Il est vrai que le débat s’est davantage porté sur le point de savoir s’il pouvait bénéficier ou non de la justification d’un motif légitime au sens de ce texte8. La doctrine semble considérer que « la recherche scientifique et la sécurisation des réseaux peuvent entrer dans le champ des motifs légitimes » (Chopin, 2011 : paragr. 33).
- 9 Cette définition est également celle adoptée par la Commission de terminologie de l’informatique ( (...)
9La diffusion de données est, en tant que telle, pénalement punissable, encore qu’il y ait sans doute un hiatus entre la notion de droit français et celle de la Convention, dont l’article 1er indique que « l’expression “données informatiques” désigne toute représentation de faits, d’informations ou de concepts sous une forme qui se prête à un traitement informatique, y compris un programme de nature à faire en sorte qu’un système informatique exécute une fonction9 ». Il en résulte qu’un virus informatique est une « donnée » au sens de la Convention, mais non la simple information sur la faille de sécurité d’un logiciel ou d’un procédé de cryptage. Pourtant, l’interprétation du texte français conduit à qualifier la fourniture d’information à fins de piratage, par exemple l’indication de l’adresse électronique de la cible, de mise à disposition d’une donnée conçue ou spécialement adaptée pour commettre un piratage (Caprioli, 2012). A fortiori, la révélation de l’existence d’une faille de sécurité logicielle entrerait dans le champ de l’article L. 323-3-1 du Code pénal étant donné qu’elle attire l’attention sur la faiblesse du système et constitue donc une mise à disposition de moyen d’exploiter une vulnérabilité logicielle.
- 10 « 1. Chaque Partie adopte les mesures législatives et autres qui se révèlent nécessaires pour érig (...)
- 11 Arrêté ministériel relatif à l’enrichissement du vocabulaire de l’informatique du 22 décembre 1981 (...)
10Cette interprétation est cependant contredite par les textes nationaux comme internationaux. En effet, l’article 6 de la Convention sur la cybercriminalité prévoit que les États membres incriminent la fourniture à titre gratuit ou onéreux, dès lors qu’elle est commise intentionnellement et sans droit, de tout dispositif, y compris un programme informatique, principalement conçu ou adapté pour réaliser un piratage informatique, ou de mot de passe, code d’accès ou données informatiques similaires permettant d’accéder à tout ou partie d’un système informatique10. La simple fourniture d’information n’est donc pas visée. En d’autres termes, la diffusion de failles n’est pas pénalement punissable selon la Convention. Par ailleurs, le droit interne français définit la notion de « donnée » comme la « représentation d’une information sous une forme conventionnelle destinée à faciliter son traitement11 ».
- 12 TGI Paris, 17e ch. corr., 7 juillet 2009, [en ligne], [http://www.legalis.net/spip.php?page= juris (...)
- 13 Le terme d’inventeur aurait pu être employé au sens juridique, pour désigner celui qui découvre un (...)
- 14 Voir, par exemple, CA Paris, 13e ch. section A, 21 février 2006, [en ligne], [http://www. legalis. (...)
11A priori, la révélation de faille n’est donc pas susceptible de sanction pénale. Toutefois, ces indications textuelles ne sauraient préjuger de l’interprétation que retiendra la jurisprudence à l’avenir (Lepage, 2010 : 10). En outre, l’expérience a montré que certaines entreprises informées de l’existence d’une faille ont cédé à la tentation d’engager une action en diffamation12. S’agissant de logiciel propriétaire, celui qui découvre13la faille ne peut démontrer sa bonne foi, sauf à se rendre coupable de contrefaçon en accédant au code source14.
12Outre les éventuelles poursuites pénales que pourraient déclencher les producteurs des logiciels dont les failles auront été dénoncées, il est envisageable que les utilisateurs du logiciel qui se trouveraient exposés à des risques d’intrusion veuillent engager la responsabilité civile de celui qui aura dénoncé le problème.
13De la même façon que la législation sur les données personnelles a d’abord été conçue pour protéger l’individu des agissements de l’État, la réglementation sur la cybercriminalité a d’abord eu pour objectif la lutte contre la criminalité organisée, avec pour arrière-fond l’idée que les opérateurs commerciaux mettraient tous leurs moyens en œuvre pour assurer la plus grande sécurité possible de leurs logiciels. Or il n’en va pas forcément ainsi en réalité.
- 15 Comme dans l’affaire Sony précitée.
- 16 « Car si j’avais quelque chose à reprocher à cet article, c’est de permettre la rupture d’un équil (...)
14Les failles logicielles sont inévitables. En revanche, ce qui devrait être évité, c’est, d’une part, ce qui relève de la politique de sécurité informatique des entreprises, à savoir la persistance d’un défaut de sécurité résultant d’une faille connue15, d’autre part, la possible légèreté dans la prise en compte d’une faille qui conduirait à ne pas rechercher de solution immédiatement. Il ne s’agit pas ici de la négligence des utilisateurs de logiciels, mais du cas dans lequel certains producteurs de logiciels pourraient préférer ignorer l’alerte sur l’existence d’une faille de sécurité pour économiser les coûts que pourrait représenter l’édition d’un remède (patch)et la mauvaise publicité résultant de la révélation d’un défaut de leur produit16.
15Le premier problème non résolu par le droit pénal est le caractère relativement indolore des failles de sécurité en dehors des hypothèses de fuites massives concernant des moyens de paiement exploitables, comme cela a pu être le cas récemment à propos de Sony.
16Un deuxième problème résulte du risque juridique pesant actuellement sur la révélation de faille. Pour démontrer la réalité d’une faille, il est souvent nécessaire d’exposer la façon de l’exploiter. Cet exposé permet alors de trouver une parade. Mais la divulgation d’une telle possibilité tombe potentiellement sous le coup de l’article L. 323-3-1 du Code pénal, sans certitude sur l’admission de l’existence d’un motif légitime. Et en cas de discrétion forcée, la faille sera connue de quelques-uns et potentiellement exploitable, sans qu’il soit possible d’élaborer une parade efficace.
17Un troisième problème est l’ignorance dans laquelle est tenu le public de cette dialectique entre révélation de faille et élaboration d’un remède. Si ce processus était davantage médiatisé, la révélation d’une faille de sécurité ne serait plus considérée par le grand public comme un scandale manifestant un manquement de la part de l’éditeur de logiciel, mais comme une caractéristique habituelle de cette industrie. Dès lors, les éditeurs de logiciels auraient moins tendance à vouloir imposer le silence à ceux qui révèlent les failles. Ils pourraient même trouver avantage à valoriser leur façon de prendre en compte la révélation de failles en l’élevant au rang de pratiques de déontologie professionnelle.
18Comme le relève un auteur, « [l]a démarche éthique permet de prendre en considération des attentes de la société qui souvent précèdent le droit » (Lulin, 2011 : 22 sqq.).
19Le développement des chartes et codes éthiques dans les entreprises est un phénomène récent, qui a davantage pour vocation de régir les relations au sein de l’entreprise ou avec les clients de l’entreprise. Le terme a aussi été employé dans le cadre des discussions relatives à la mise en œuvre de la Loi Sarbanes-Oxley par les sociétés européennes, loi qui a pour vocation de mieux encadrer les sociétés cotées afin de protéger les épargnants par la mise en place de procédure dite « d’alerte éthique » (Merle, 2007 : 4 sqq.).
20En réalité, la démarche éthique qui est ici envisagée est celle par laquelle une entreprise construit son identité par l’affirmation du respect de certaines valeurs, qu’elle concrétise par la promesse de se comporter d’une certaine façon. Pour ce faire, elle incite les personnes qui se trouvent dans sa sphère d’influence à adopter un certain comportement. Alors que le droit procède de la sanction étatique, la démarche éthique responsabilise et engage à adopter un comportement plutôt qu’un autre sous peine de la désapprobation sociale (Lulin, 2011 : 22).
21Aujourd’hui, la révélation de faille est vécue en soi par les éditeurs de logiciel comme la mise au jour d’une réalité honteuse et gênante qu’il convient d’ignorer et de camoufler. Pourtant, la complexité même de leurs produits implique l’existence de failles logicielles. Dans la mesure où les éditeurs de logiciels sont dans l’impossibilité de garantir la totale sécurité de leur produit, une politique réaliste devrait les conduire à offrir à leurs usagers la plus grande réactivité possible au lieu d’une illusoire promesse d’infaillibilité. Ils adopteraient ainsi une démarche préventive, usant des règles de droit pour s’assurer un avantage concurrentiel, dans la droite ligne de l’École du droit proactif (Masson et Bouthinon-Dumas, 2011). Réciproquement, des règles de droit adaptées seraient au moins aussi efficientes que les dispositions pénales actuelles (Sepi et Westlake, 2009).
22Ainsi, ce qui serait mis en évidence vis-à-vis du public ne serait pas le vice de leur produit, mais la qualité de leur réaction dans le traitement du problème. De la même façon qu’il est aujourd’hui proposé de faire de la Privacy by Design un facteur de compétitivité, la réactivité et l’efficience de la réaction par rapport au signalement de failles devraient constituer une plus-value que les entreprises d’édition de logiciels pourraient valoriser auprès de leurs clients au lieu de se trouver dans la situation actuelle où il est même impossible de quantifier tant le nombre de failles découvertes que celles auxquelles il est remédié. En effet, comme le relèvent les auteurs d’un rapport parlementaire, actuellement « [l]a crainte des préjudices que pourrait causer à l’image des entreprises concernées une politique d’information transparente en cas de faille de sécurité ne contribue pas à une évaluation objective du phénomène » (Bloche et Verchère, 2011 : 197).
23De plus, aujourd’hui, l’issue des quelques procédures judiciaires touchant la recherche de failles logicielles est telle que les experts en sécurité informatique redoutent d’informer le public sur les résultats de leurs travaux, de peur de se voir condamner, ne serait-ce que sur un plan civil. À l’inverse, certaines grandes entreprises de l’Internet (Mozilla, Google, Facebook) annoncent publiquement qu’elles récompenseront ceux qui leur signaleront des failles, ce, afin d’être en mesure d’y remédier (Mindo, 2011 ; Elyan, 2012). Cependant, il ne saurait être question de laisser aux seules entreprises le soin de décider de leur politique en la matière, car les petites entreprises n’ayant pas les moyens de proposer des récompenses avantageuses persisteraient à préférer réduire au silence les chercheurs plutôt que de remédier aux problèmes qu’ils soulèvent.
24Cette démarche active dans la lutte contre les failles logicielles ne concernerait pas seulement les éditeurs de logiciel, mais aussi les utilisateurs. Ceux-ci auraient un rôle à jouer comme détecteur de faille (bug), mais également en ce qui concerne la limitation des dommages dans l’attente de la réalisation des moyens de parade. Impliquer davantage les utilisateurs les sensibiliserait aux impératifs de la sécurité informatique, ce qui devrait permettre d’assurer à la fois une meilleure protection des données personnelles conservées et une réaction plus efficace en cas de fuite de données. Dans tous les cas, la valorisation de la prise en compte d’une révélation de faille inciterait l’ensemble des personnes potentiellement concernées à la vigilance et à une réaction rapide.
- 17 Art. 226-16 et s. du Code pénal.
25La tendance actuelle des chartes éthiques existant actuellement comporte des dispositions relatives à la confidentialité des données personnelles, mais plutôt sous l’angle de la protection de la vie privée des salariés. L’objectif de sécurisation des données personnelles des tiers est à l’heure actuelle réalisé plus ou moins efficacement par la sanction pénale du défaut de sécurité17. Cependant, le problème de la prise en compte efficace par les entreprises des signalements de faille n’est pas pour autant résolu. L’adoption par les entreprises de principes qui prendraient au sérieux des signalements devrait les conduire à s’approprier effectivement les impératifs de sécurité informatique.
- 18 Une juridiction américaine a condamné une entreprise à verser des dommages-intérêts du fait d’une (...)
26La démarche éthique permettrait aussi de définir un guide de conduite aux entreprises confrontées à la révélation d’une faille de sécurité ayant permis un accès illicite à des données personnelles. Les entreprises pourraient ainsi valoriser la qualité de leur réaction et en faire un facteur d’attractivité. Elles pourraient également s’engager dans un cadre quasi contractuel à prendre en charge les dommages qui pourraient éventuellement en résulter pour les personnes dont les données auront fait l’objet d’une divulgation involontaire, ainsi que pour les entreprises utilisant les logiciels ayant donné lieu à une fuite de données et dont la responsabilité civile aura été engagée au premier chef18.
27Le seul ajout dans les chartes éthiques des entreprises de dispositions relatives à la nécessaire vigilance face aux signalements de faille logiciel ne saurait suffire. Si le développement d’une culture de la sécurité dans les entreprises améliorera la prise en compte de ces signalements, d’autres éléments contribueront à améliorer la réaction en cas de révélation de faille logicielle.
28Celle-ci ne peut être efficacement prise en compte que si les entreprises décident de prendre ce problème au sérieux en assurant des réponses immédiates en cas de signalement, tandis que les chercheurs en sécurité prendront soin de ne pas laisser cette information tomber en de mauvaises mains.
- 19 Par exemple : [http://hal.archives-ouvertes.fr/].
29L’une des motivations des inventeurs de faille est de faire reconnaître leur savoir-faire par la revendication d’un exploit. Pour éviter les révélations sauvages, c’est-à-dire faites sans précaution alors qu’il n’existe pas encore de parade, il conviendrait de mettre en place une procédure permettant de dissocier le moment de la révélation de la faille de celui de la revendication publique de la paternité de l’exploit. Il s’agit de proposer aux intéressés un procédé fiable pour donner date certaine à la découverte et leur permettre ainsi d’en revendiquer la paternité. Il serait envisageable d’organiser un dépôt public à une date différée, comme cela peut se faire pour les publications scientifiques, le tout géré par l’État19. Cette procédure présenterait également l’avantage de mettre en évidence le caractère approprié ou non de la réaction des entreprises en cas de révélation de faille logicielle.
- 20 Il existe des décisions prononçant des sanctions pénales en raison de la collecte illicite de donn (...)
- 21 CA Montpellier, 21 janvier 2010, RG no 09/00588.
30Dans le cadre d’engagement déontologique, il serait également envisageable que les entreprises s’obligent à indemniser les victimes de fuite de données personnelles. En l’état du droit, la mise en jeu de la responsabilité civile nécessite la preuve d’un dommage. En effet, la seule preuve de la commission d’une infraction pénale n’ouvre pas droit à réparation civile. Encore faut-il que la victime démontre l’existence et l’étendue du préjudice subi. Or en cas de fuite de données personnelles, le préjudice jugé réparable ne sera bien souvent que la perte financière résultant d’une usurpation d’identité ou bien de l’utilisation frauduleuse d’une carte bancaire. La simple perte de la maîtrise de ses données personnelles par un individu ne semble actuellement pas devoir constituer un préjudice juridiquement réparable. Si l’on pense à l’affaire Sony, il est juridiquement possible d’indemniser les victimes d’utilisation frauduleuse de leur carte bancaire. En revanche, les personnes qui n’ont pas subi de perte matérielle auront vraisemblablement plus de mal à obtenir une indemnisation. Le préjudice moral subi du fait de la diffusion de données personnelles existe néanmoins puisque la personne concernée a été dépossédée de la maîtrise des informations la concernant. Le passage du statut de sujet de droit, maître de son image informationnelle, à celui d’objet entre les mains d’autrui implique une atteinte à la dignité de la personne. Cet aspect fondamental de la problématique du traitement des données personnelles avait déjà été relevé par le législateur en 1978 lorsqu’il faisait figurer à l’article 1er de la Loi informatique et liberté les principes suivants : « L’informatique doit être au service de chaque citoyen. Son développement doit s’opérer dans le cadre de la coopération internationale. Elle ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques. » Les sanctions pénales du défaut de sécurisation comme de la collecte illicite de données personnelles ne trouvent à s’appliquer qu’en cas de négligence avérée du responsable du traitement de données personnelles et n’impliquent pas forcément l’octroi de dommages-intérêts à la personne concernée en raison de l’absence de préjudice matériel et de la difficulté d’évaluer le préjudice moral. Le peu d’importance accordée au problème des fuites de données personnelles se manifeste par l’absence de décisions sur ce point20. Ainsi, une société agira en concurrence déloyale contre celui qui aura piraté sa base de données client21 ; en revanche rien n’est dit quant aux droits desdits clients ni quant à leur éventuelle indemnisation. Au mieux, prévenus du problème, ils n’auront pas vu l’intérêt de se constituer partie civile. Au pire, ils ne sauront jamais que leurs données personnelles ont fait l’objet d’une divulgation à un tiers.
31Dès lors, si le droit n’offre pas forcément de compensation satisfaisante en cas de défaut de sécurisation rendant possible une fuite de données personnelles, les entreprises peuvent néanmoins s’engager, d’une part, à adopter un comportement vigilant et réactif en cas de signalisation de faille de sécurité, d’autre part, à notifier les fuites et à proposer une satisfaction équitable, marquant concrètement l’importance qu’elles accordent à ces questions.
Flux RSS