Contributions

Paroles d'experts

Sécurité des données : quels droits, quelles obligations ?

Etienne Papin - Avocat associé du cabinet Féral-Schuhl / Sainte-Marie

La sécurité des données est déjà encadrée depuis plusieurs années aux titres, notamment, de la Loi Informatique et Libertés, du Secret-Défense ou d'infractions connexes. Une nouvelle réglementation, voulue plus répressive et étendue, est envisagée. Mais le remède pourrait être pire que le mal.

Les entreprises qui possèdent des systèmes d'information toujours plus ouverts sur les réseaux publics comme internet sont victimes quasi quotidiennement de tentatives d'intrusion. Leur intérêt évident est de lutter contre ces intrusions et de protéger leurs données contre un accès frauduleux. Ce n'est qu'exceptionnellement que la loi impose une véritable obligation de sécurité des données.

Ainsi, lorsque les données détenues se rapportent à des personnes physiques, la loi informatique et libertés du 6 janvier 1978 impose au responsable du traitement une obligation générale de sécurité des données qu'il conserve. Lorsque ces données sont, de surcroît, relatives à la santé des personnes, le code de la santé publique va imposer également des obligations spécifiques de sécurité. Autre exemple, lorsque les données sont publiques, dans le sens où elles se rapportent au patrimoine informationnel de l'Etat, le code de la défense nationale peut alors imposer au détenteur de ces données des obligations particulières de confidentialité.

En dehors de législations spécifiques, c'est à l'entreprise de veiller à la confidentialité de ses données, sans qu'elle ne supporte, en la matière, de véritable obligation. Envisageons la question sous un autre angle, celle de la protection qu'offre le droit contre l'atteinte frauduleuse aux données.

La protection pénale contre l'atteinte aux données

Il n'existe pas dans notre droit pénal d'infraction qui vienne, de manière spécifique, protéger les données ou l'information contre la soustraction frauduleuse. La seule exception est l'infraction venant réprimer la révélation d'un secret de fabrication, prévue à l'article L1227-1 code du travail, mais son champ d'application est limité. Elle ne protège que le secret de fabrication que la jurisprudence a toujours entendu comme étant un secret portant sur une méthode de fabrication d'un bien corporel. Elle ne permettrait donc pas de rendre compte de la soustraction frauduleuse d'informations commerciales, financières, comptables, etc.

L'infraction pénale qui protège principalement la propriété est le vol, défini par l'article 311-1 du Code pénal comme « la soustraction frauduleuse de la chose d'autrui ». Le substantif « chose » est-il suffisamment accueillant pour rendre compte de la soustraction d'un élément incorporel comme des données ou une information ? La jurisprudence de la cour de cassation est encore aujourd'hui hésitante sur cette question mais va dans le sens d'une reconnaissance toujours plus large du vol de « choses » incorporelles.

Lorsque la soustraction de l'information s'opère par le biais de la soustraction d'un bien corporel, qui en est le support, la jurisprudence est venue confirmer que l'on était bien en présence d'un vol. L'arrêt de principe remonte à 1979. Le vol en question avait été commis par un employé ayant réalisé une photocopie de documents confidentiels appartenant à son employeur. La cour de cassation retint qu'« en prenant des photocopies des documents en cause à des fins personnelles, à l'insu et contre le gré du propriétaire de ces documents, le prévenu, qui n'en avait que la simple détention matérielle, les avait appréhendés frauduleusement pendant le temps nécessaire à leur reproduction ».

Après le vol par photocopie, la cour de cassation a reconnu le vol par reproduction de...

. Web-profils.com, la place de marché du conseil et de l'ingénierie