La loi « criminalité informatique » est adoptée par la Chambre

Publié le 04/04/2000 par Etienne Wery

Les vertus de l’actualité brûlante des derniers jours ont payé : en quelques semaines – certains disent même trop vite vu les enjeux sous-jacents – la loi « criminalité informatique » a été adoptée par le parlement : ce 31/3/2000 les députés ont voté le texte et l’ont transmis au sénat. La loi introduit quatre nouvelles incriminations…

Les vertus de l’actualité brûlante des derniers jours ont payé : en quelques semaines – certains disent même trop vite vu les enjeux sous-jacents – la loi « criminalité informatique » a été adoptée par le parlement : ce 31/3/2000 les députés ont voté le texte et l’ont transmis au sénat.

La loi introduit quatre nouvelles incriminations : le faux en informatique, la fraude informatique, l’accès non autorisé et le sabotage de données et/ou de systèmes.

Par ailleurs, la loi octroie de nouveaux pouvoirs aux autorités d’instruction. Il s’agit essentiellement de dispositions relatives à la saisie de données, à la recherche sur les réseaux, et d’obligations de collaboration à charge des opérateurs.

Les principales nouveautés sont les suivantes :

Le faux en informatique

Il s’agit de la falsification de données informatiques juridiquement pertinentes par le biais de manipulations de données. Sont cités par les travaux préparatoires : la confection de fausses cartes de crédit ou de paiement, les faux contrats numériques.

Le conseil d’Etat avait relevé dans son avis préalable que le principe d’égalité risque d’être violé, avec la possibilité dans ce cas d’un recours devant la Cour d’Arbitrage (voir notre actualité du 6/12/1999). En effet, le faux informatique ne requiert aucune intention particulière, contrairement au faux en écriture du droit commun. Et le Conseil d’Etat de conclure que « [En matière de faux en informatique] il peut s’agir d’une inattention, d’une simple faute ou d’une négligence. Sur cette question essentielle qu’est l’élément moral de l’infraction, le Conseil d’Etat n’aperçoit pas la raison pour laquelle le faux en informatique répond à de toutes autres conditions que le faux en écriture de droit commun ». Le gouvernement n’a pas jugé utile de tenir compte de l’avis du Conseil d’Etat. L’avenir dira si un recours est intenté contre le texte.

Le faux est puni en tant que tel, et son utilisation l’est tout autant.

La tentative de faux est également punie.

La fraude informatique

Il s’agit de la fraude réalisée au moyen d’un système informatique. Sont cités par les travaux préparatoires : l’utilisation d’une carte de crédit volée pour retirer de l’argent, l’introduction d’instructions de programmation permettant d’obtenir à la suite de certaines transactions d’autres résultats en vue d’un avantage financier illicite, le détournement à des fins lucratives de fichiers ou de programmes informatiques confiés dans un but spécifique.

La tentative de fraude est également punie.

L’accès non autorisé

La loi vise aussi bien le hacking externe – perpétré par des personnes externes à l’organisation – que le hacking interne – perpétré par des personnes qui ont en principe accès à une partie du réseau. Pour le hacking interne, le niveau d’incrimination est toutefois plus élevé, puisque la transgression doit être effectuée dans le but délibéré de nuire.

Le texte adopté n’a pas tenu compte de l’avis du Conseil d’Etat qui avait relevé que la loi érige en infraction le fait d’accéder à un système informatique ou de s’y maintenir sachant qu’on y est pas autorisé, et qu’en conséquence « la simple curiosité devient dès lors un délit ce qui n’est pas le cas hors Internet ». Consulter l’agenda papier de son voisin n’est pas puni, alors que consulter son PalmPilot l’est. Le gouvernement n’a pas jugé bon de revoir sa copie sur ce point, et l’avenir dira si un recours est intenté devant la Cour d’Arbitrage.

Certains actes consécutifs du hacking sont punis sous forme de circonstances aggravantes, tels la soustraction de données (vol de secrets industriels par exemple) ou l’abus de capacité d’un ordinateur (lorsque le hacking diminue les capacités du système au détriment de ses utilisateurs légitimes).

Le recel de données obtenues par le biais d’un hacking est punissable.

La personne qui charge une autre d’effectuer un hacking est passible de sanctions plus sévères que celui qui l’effectue concrètement. Le texte tient compte ici de la réalité : certaines mafias utilisent de jeunes adolescents prodiges pas toujours conscients de la gravité de leurs actes, espérant ainsi échapper à la sévérité de la loi.

Le sabotage de données et/ou de systèmes

Le droit pénal actuel incriminait déjà le sabotage, la destruction ou l’endommagement du matériel, mais pas celui des données. Le but du nouveau texte est de combler cette lacune.

Les nouveaux pouvoirs du juge d’instruction

Le juge d’instruction qui effectue une recherche sur un réseau peut l’étendre à d’autres systèmes informatiques qui se trouvent dans un autre lieu que celui sur lequel il exécute la recherche, même à l’étranger.

La mesure d’extension doit être nécessaire, et il faut que les autres mesures plus habituelles s’avèrent disproportionnées. Le caractère assez flou de cette disposition a été pointé du doigt en commission de la justice du parlement, mais le texte final conserve cette formulation.

Les travaux préparatoires précisent expressément que cette recherche doit être effectuée dans le cadre d’une affaire concrète mise à l’instruction (pas question dès lors de surfer pro activement à la recherche d’infractions), et que les services publics sont limités par le niveau d’accès (pas question dès lors de laisser un juge d’instruction ou la police hacker un système informatique qu’elle croit être illicite.

Si l’extension amène le juge à accéder à un système localisé à l’étranger, il doit seulement aviser cet Etat a posteriori pour autant que cet Etat puisse être raisonnablement déterminé. Le droit international public et le principe de souveraineté des Etats sont ici totalement réinventés unilatéralement par la Belgique, et il faudra voir comment les autres Etats réagiront. S’il s’agit uniquement de surfer sur le web et d’accéder à un site localisé sur un serveur étranger, la mesure ne paraît pas susceptible de poser trop de problème, mais si certains juges s’autorisent des accès à des serveurs étrangers par le biais de l’intranet d’une entreprise, on imagine mal celle-ci ne pas relever l’entorse au droit international dans le cadre d’un éventuelle procédure.

L’obligation de collaboration

La loi crée une espèce de réquisition que le juge d’instruction peut adresser à toute personne dont il estime qu’elle a une connaissance particulière du système examiné, et qui ne peut dès lors refuser son concours. Le cas typique consiste par exemple à devoir fournir au juge la clef de cryptage d’un message.

La loi précise que cette mesure ne vise pas l’inculpé lui-même, ni les personnes visées à l’article 156 du code d’intruction criminelle (ascendants, descendants et conjoint de l’inculpé).La mise en oeuvre de cette nouvelle mesure dans l’arsenal pénal risque de poser des problèmes pratiques collossaux : comment régler les conflits avec le secret professionnel (lorsque la clef est chez le conseil ou dans un coffre bancaire) ? comment imaginer que des employés puissent collaborer aussi pleinement à la perte de leur employeur sans crainte de se voir licencier ensuite ? comment concilier cette mesure avec la protection constitutionnelle de la correspondance privée ? comment régler le problème de la discrimination entre un message papier crypté (auquel la mesure ne s’applique pas) et un message électronique crypté ? etc.

Plus d’infos …

1. en effectuant sur ce site une recherche sur le mot clef « criminalité informatique »;

2. en consultant sur ce site le dossier consacré à l’analyse du projet de loi;

3. en consultant les travaux préparatoires 213 et 214 sur le site de la chambre.

   Droit & Technologies