Cybercriminalité : la loi belge bientôt modifiée

Publié le 18/12/2005 par Thibault Verbiest, Romain Robert

Le 12 juillet dernier, le gouvernement déposait devant le Parlement un « projet de loi modifiant la loi du 28 novembre 2000 relative à la cybercriminalité informatique, la loi du 30 juin 1994 relative au droit d’auteur et aux droits voisins, et la loi du 23 mars 1995 tendant à réprimer la négation, la minimisation,…

Le 12 juillet dernier, le gouvernement déposait devant le Parlement un « projet de loi modifiant la loi du 28 novembre 2000 relative à la cybercriminalité informatique, la loi du 30 juin 1994 relative au droit d’auteur et aux droits voisins, et la loi du 23 mars 1995 tendant à réprimer la négation, la minimisation, la justification ou l’approbation du génocide commis par le régime national-socialiste allemand pendant la seconde guerre mondiale ».

La navette parlementaire ayant ramené le texte du Sénat vers la Chambre, cette dernière devrait le discuter prochainement.

Le projet de loi avait pour but la mise en conformité de la législation belge à la Convention du Conseil de l’Europe sur la cybercriminalité, et à son Protocole additionnel relatif à l’incrimination d’acte de nature raciste et xénophobe.

Pour rappel, la Convention sur la cybercriminalité est le premier instrument de droit international conventionnel contraignant spécifiquement élaboré pour lutter contre la criminalité informatique. Le droit belge était déjà en bonne part en ligne avec les dispositions de la Convention : la loi du 28 novembre 2000 relative à la criminalité informatique devançait la Convention en ce que la majorité des infractions et mesures d’enquête prévues par la Convention étaient déjà couvertes par la loi belge.

Les travaux devaient initialement permettre de mettre à jour plusieurs points que couvraient :

1. la loi du 28 novembre 2000 sur la criminalité informatique
2. la loi du 30 juin 1994 sur le droit d’auteur
3. la loi du 23 mars 1995 tendant à réprimer la négation, la minimisation, la justification ou l’approbation du génocide commis par le régime national-socialiste allemand pendant la seconde guerre mondiale

   Notons que la modification planifiée des deux derniers textes a été abandonnée.

   En effet, le projet de loi entendait modifier l’article 81 de la loi du 30 juin 1994 sur le droit d’auteur en instituant une peine de prison en cas de contrefaçon, alors que ce délit n’était passible d’une peine de prison qu’en cas de récidive uniquement.

   A des fins de cohérence, le législateur a préféré régler la question de la peine prévue en cas de contrefaçon dans la loi du 22 mai 2005 transposant en droit belge la Directive européenne 2001/29/CE du 22 mai 2001 sur l’harmonisation de certains aspects du droit d’auteur et des droits voisins dans la société de l’information, plutôt que dans la loi en discussion actuellement.

   En outre, vu le difficile débat soulevé au Sénat quant à l’adaptation de la loi de 1995, le projet de loi est revenu à la Chambre dépouillé de ses articles 8 et 9 visant à inclure les crimes contre l’humanité et les génocides autres que le génocide nazi dans son champ d’application.

   C’est donc uniquement la loi du 28 novembre 20001 sur la criminalité informatique qui reste visée par le texte en projet. Ce dernier entend modifier en substance les points suivants :

   Hacking : l’intention de nuire disparaît
   

   L’article 550ter du Code pénal, relatif à l’atteinte à l’intégrité des données et des systèmes, requiert une intention particulière, à savoir le but de nuire, qui limite le champ de l’incrimination prévue par la Convention sur la cybercriminalité. Ainsi, le projet de loi omet cet élément constitutif de l’infraction, mais en même temps, fait de l’intention frauduleuse et du but de nuire des circonstances aggravantes, portant la peine d’emprisonnement maximale de 3 à 5 ans.

   L’abus de dispositifs réprimé

   Les interceptions illicites
   

   Après avoir constaté qu’il n’existe pas de dispositions relatives à l’abus de dispositifs dans le Code pénal, le projet de loi entreprend d’ajouter un §2bis aux articles 259bis et 314bis du même Code, sanctionnant déjà l’interception illicite de communications privées.

   Les deux nouveaux paragraphes envisagés sanctionnent d’une peine de prison et d’une amende ceux qui, indûment, possèdent, produisent, vendent, obtiennent en vue de son utilisation, importe, diffuse ou met à disposition sous une autre forme un quelconque dispositif, y compris des données informatiques, principalement conçu ou adapté pour permettre la commission de l’infraction prévue au §1, à savoir l’interception illicite de communications privées. L’article 259bis du Code pénal, visant spécifiquement les interceptions illicites commises par les officiers ou fonctionnaires publics, dépositaires ou agents de la force publique, prévoit des peines plus lourdes à leur égard.

   Les actes préparatoires et les hackers tools
   

   En outre, le projet de loi adapte les articles 550bis §5 et 550ter § 4, concernant la recherche, le rassemblement, la mise à disposition, la diffusion ou la commercialisation de données principalement conçus ou adaptés pour permettre le hacking, le sabotage de données ou le sabotage informatique (à savoir les infractions visées par les articles 550bis et 550ter).

   1. Les actes incriminés sont modifiés, afin de correspondre à ceux visés dans le Convention. La modification vise en effet la possession, la production, la vente, l’obtention en vue de son utilisation, l’importation, la diffusion ou la mise à disposition sous une autre forme d’un quelconque dispositif.
   2. Le projet entend dès lors englober un quelconque dispositif, y compris les données informatiques. Cette notion de dispositif est nouvelle, puisque la loi ne fait actuellement référence qu’à des données. La nouvelle définition envisagée par le projet de loi dépasse donc la notion originelle de « données ». Il est en effet possible que d’autres instruments que de simples données puissent être utilisées pour accéder illégalement à un réseau ou porter atteinte à un système ou à des données informatiques.
   3. En outre, on constatera que, selon le projet, ces dispositifs doivent être principalement conçus ou adaptés pour permettre le hacking, le sabotage de données ou le sabotage informatique (à savoir les infractions visées par les articles 550bis et 550ter). Notons que les termes actuels de la loi renvoient à des données par lesquelles les infractions peuvent être commises.
   4. Enfin, dans le projet, l’intention frauduleuse et le but de nuire ne sont plus des éléments constitutifs de l’infraction. Le texte en projet précise que les actes décrits doivent être accomplis indûment.

      La fraude informatique et l’avantage patrimonial
      

      Afin de se conformer au texte de la Convention sur la cybercriminalité, le projet de loi propose de modifier l’article 504quater du Code pénal, qui exige, pour que l’infraction de fraude informatique soit établie, que l’auteur se procure, pour lui-même ou pour autrui, un avantage patrimonial frauduleux, alors que l’article 8 de la Convention n’exige qu’une intention d’obtenir sans droit un bénéfice économique pour soi-même ou autrui.

      Dès lors, le projet entend viser « celui qui cherche à se procurer, pour lui-même ou autrui, avec une intention frauduleuse, un avantage économique ».

      Notons qu’il est permis de douter de la pertinence de cette modification dès lors que l’article 504quater § 2 condamne déjà la tentative de commettre une fraude informatique. Selon nous, le législateur pourrait se passer de cette adaptation qui n’en est pas vraiment une.

      La tentative de sabotage informatique
      

      La Convention sur la cybercriminalité oblige en son article 11 à incriminer la tentative de commettre certaines infractions prévues par la Convention. Toutefois, la tentative d’atteinte à l’intégrité des données et la tentative d’atteinte à l’intégrité des systèmes n’est pas prévue en droit belge.

      A cet égard, le projet entend insérer un § 6 à l’article 550ter, érigeant en infraction la tentative de sabotage informatique.

      Notons que cette modification répond également au prescrit de l’article 5.2 de la Décision-cadre 2005/222/JAI du Conseil du 24 février 2005 relative aux attaques visant les systèmes d’information, imposant aux Etats de faire en sorte que la tentative de porter atteinte à l’intégrité d’un système ou de données informatiques soit punissable.

      Conclusion
      

      Se dotant d’un appareil pénal plus aiguisé en vue de réprimer les infractions commises contre ou à l’aide de l’informatique, la Belgique souligne encore une fois son souci de ne pas laisser les délits informatiques impunis.

      Toutefois, la pratique nous apprend que, faute de moyens, le Ministère public ne donne pas souvent suite aux diverses informations ouvertes au sujet de fraude ou de piratage informatique.

      Il reste à espérer que la logistique suive et que notamment, la Federal Computer Crime Unit reçoive l’appui nécessaire pour continuer sa difficile mission de traquer le crime sur internet.

      Plus d’infos ?
      

      Le projet de loi
      en ligne sur notre site

      Droit & Technologies