Jour : 22 février 2018

• La surveillance sur Internet, de l’accès Internet et la perquisition de document à distance ou directement sur un espace de stockage informatique sont, dans certaines circonstances, pénalement répréhensibles. Diverses infractions sont donc à considérer.

i. La soustraction de données (art. 143 CP)

• Les données traitées par un ordinateur ne sont ni des choses ni des valeurs patrimoniales, c’est pourquoi le législateur a adopté l’art. 143 CP pour réprimer spécifiquement la soustraction des données informatiques.
• L’objet de l’infraction doit être une donnée, soit une information qui peut faire l’objet d’une communication et qui est stockée sur un ordinateur ou un support électronique similaire, ou qui est transférée[1].
• La disposition légale requiert que la donnée ait comme qualité particulière « [d’être] spécialement protégée« . Dès lors, les données accessibles au public – nous pensons notamment aux informations inscrites sur un forum, un blog ou toutes autres pages internet, ou les données stockées sur un support informatique qui ne sont ni cryptées, ni protégées par un mot de passe –, ou contenues dans une base de données accessible moyennant un paiement sont par conséquent exclues[2].
• Ainsi, le comportement d’un agent infiltré ou d’un observateur sur internet qui recueille des données directement en surveillant un groupe de discussion ou une page internet similaire n’est pas pénalement typique au sens de l’art. 143 CP. De même, l’autorité pénale qui perquisitionne un support informatique non-protégé réalise un comportement pénalement indifférent au sens de ce même article.
• Reste à déterminer si, lorsque les fichiers informatiques sont cryptés, sont protégés par un mot de passe ou sont spécifiquement équipés d’un programme de protection, la perquisition ou la prise de connaissance à distance à l’aide d’un cheval de Troie est constitutive de l’infraction.
• Le comportement punissable consiste dans le fait à se procurer une donnée informatique par n’importe quel moyen. Il suffit donc que l’auteur puisse en prendre connaissance afin de pouvoir l’utiliser[3].
• Cependant, même si objectivement le comportement de l’autorité pénale qui perquisitionne des documents ou les récupère à distance, ou le comportement d’un particulier qui désire obtenir des preuves correspondent à la définition de l’art. 143 CP, l’infraction requiert le dessein d’enrichissement illégitime. Dès lors, la simple curiosité, la simple malveillance et/ou la récolte d’indices ou de preuves n’entrent pas dans le cadre de cet article à défaut d’accomplir le dol spécial[4].

ii. L’accès indu à un système informatique (art. 143bis CP)

• Lorsqu’une autorité de poursuite pénale veut s’introduire dans un espace de stockage – peu importe le type tant que le système repose sur un moyen informatique – qui est sécurisé par un mot de passe ou dont les informations sont cryptées, elle commet a priori un acte typiquement contraire au droit pénal au sens de l’art. 143bis CP[5]. A noter que la jurisprudence a reconnu qu’un tiers employant un mot de passe pour accéder au compte email d’autrui pénètre simultanément dans le système informatique lui-même et viole donc cette norme[6].
• Cependant, l’art. 143bis CP spécifie que l’accès indu au système informatique appartenant à autrui doit être réalisé sans droit. En cas d’investigation répressive, l’art. 245 CPP prévoit la perquisition des systèmes informatiques. Le comportement de l’autorité pénale est par conséquent autorisé. En cas d’investigation préventive, l’art. 18m P-LMSI II[7] vise expressément à rendre non punissable un tel comportement. En revanche, jusqu’à l’acceptation du P-LMSI II et de son entrée en vigueur, la loi fédérale actuelle ne permet pas l’investigation préventive. Au surplus, rappelons encore que les normes cantonales manquent en la matière[8].
• Concernant spécifiquement l’utilisation d’un cheval de Troie pour recueillir les données, nous renvoyons à ce qui a été énoncé à l’aune de l’interception des communications VoIP et de la violation de l’art. 143bis CP[9].
• Quant à la soustraction de données par des particuliers, le comportement est typique, mais peut être justifié par l’état de nécessité ou la légitime défense. En outre, le principe de la Beweisnotstand est également applicable.

iii. La violation des art. 179 à 179quater et 179novies CP en cas de surveillance par l’autorité

• En ce qui concerne les données enregistrées sur un support informatique issues d’une communication électronique, nous devons nous déterminer sur la typicité du comportement d’une autorité pénale ou d’un particulier au regard des art. 179 ss CP.
• Au sens de l’art. 179 CP, la commission de l’infraction suppose l’ouverture d’un pli ou d’un colis. Dès lors, l’objet de l’infraction doit être fermé. Nous l’avons vu, les emails ou autres données – protégées par un mot de passe ou non – en transit ou stockés dans un ordinateur ne font pas partie de la définition de l’objet de l’infraction faute d’être « fermés »[10]. Le comportement de l’autorité pénale ou d’un particulier n’est donc pas constitutif de l’infraction de l’art. 179 CP lorsqu’ils ouvrent des fichiers ou enregistrements informatiques.
• En vertu de l’art. 179bis CP, la protection pénale concerne les « conversations« . Par ce terme, il faut entendre un entretien oral[11]. Ainsi, un échange de messages électroniques à l’aide d’un logiciel de messagerie – par l’entremise d’emails ou d’un groupe de discussion sur Internet – ne peut pas donner lieu à cette infraction. Par conséquent, l’autorité pénale ou un particulier qui enregistre une communication écrite à l’aide d’un historique de conversations ou lit des messages écrits à l’aide d’un moyen informatique ne commet pas d’action typique au sens de l’art. 179bis
• L’art. 179ter CP reprenant largement les principes de l’art. 179bis CP, à défaut de conversation orale, les éléments constitutifs objectifs de l’infraction ne sont pas non plus réalisés.
• Au sens de l’art. 179quater CP, les images relevant du domaine secret ou privé sont spécifiquement protégées[12]. Le comportement punissable peut se présenter sous la forme d’une observation avec un appareil de prise de vues ou de la fixation sur un porteur d’images. Dans le cadre de notre sujet, il faut déterminer si la fonction print screen qui permet d’effectuer une capture d’écran et de l’enregistrer sur un disque dur, et/ou si l’enregistrement sur un support informatique d’une image ou d’une vidéo tombe sous le coup de cette disposition légale.
• Le législateur a formulé l’art. 179quater CP de façon à permettre son application au gré de l’évolution des nouvelles technologies[13]. Thomas Legler estime, notamment, que le disque dur d’un ordinateur contenant des images sous forme numérique constitue un porteur d’images[14]. En conséquence, il nous semble cohérant d’affirmer qu’une personne effectuant une capture d’écran ou enregistrant des images provenant d’un groupe de discussion, d’un email ou de toute autre messagerie électronique réalise l’action incriminée.
• N’oublions toutefois pas que ce comportement n’est pénalement typique que dans l’hypothèse où le fait fixé sur le porteur d’images relève du domaine secret ou privé. Dès lors, toutes les informations obtenues par le biais d’un groupe de discussion ouvert au public ne relèvent pas de ces domaines, puisqu’elles peuvent être perçues par tout un chacun. En revanche, les messages privés, les discussions sur un forum qui restreint l’accès à certaines personnes, les emails, les discussions instantanées privées, etc. fournissent des informations qui peuvent relever du domaine privé ou secret.
• Concernant l’application de l’art. 179novies CP, elle demande à ce que les données soient soustraites d’un fichier – soit d’un ensemble de données personnelles dont la structure permet de rechercher les données par personne concernée – au sens de l’art. 3 let. g LPD. Dès lors, lorsqu’un particulier ou l’autorité pénale soustrait des données sous forme de simple fichier informatique, la disposition légale n’est pas applicable. En revanche, lorsqu’il s’agit de récupérer des données en les soustrayant d’un fichier au sens de l’art. 3 let. g LPD et qu’elles ont le caractère de données personnelles sensibles (art. 3 let. c LPD) ou de profil de la personnalité (art. 3 let. d LPD), alors le comportement est constitutif de l’infraction.
• En toute hypothèse, si le comportement du particulier ou de l’autorité pénale est typique, un motif justificatif – acte autorisé par la loi, légitime défense ou état de nécessité – peut rendre licite le comportement.

[1] Donatsch, Strafrecht, p. 194; Métille-RPS, p. 290; Stratenwerth, Jenny, Bommer, p. 358; Trechsel, Pieth-Trechsel, Crameri, art. 143 N 1.

[2] Métille-RPS, p. 291; Stratenwerth, Jenny, Bommer, p. 360-361; Trechsel, Pieth-Trechsel, Crameri, art. 143 N 6.

[3] Donatsch, Strafrecht, p. 197; Stratenwerth, Jenny, Bommer, p. 361-362; Trechsel, Pieth-Trechsel, Crameri, art. 143 N 7.

[4] Treccani, p. 218.

[5] Donatsch, Strafrecht, p. 199; Métille-RPS, p. 298; Stratenwerth, Jenny, Bommer, p. 363; Trechsel, Pieth-Trechsel, Crameri, art. 143bis N 6.

[6] ATF 130 III 28, 32-33; TF 6B_456/2007 du 18 mars 2008, c. 4.3.

[7] Projet de loi fédérale instituant des mesures visant au maintien de la sûreté intérieure – Moyens spéciaux de recherche d'informations (P-LMSI II).

[8] Supra Partie II, Chapitre 3, I, A, 4, c, ii, n° 1355 ss.

[9] Supra Partie II, Chapitre 3, I, A, 4, c, i, b) et c), n° 1307 ss et 1328 ss.

[10] Supra Partie II, Chapitre 3, I, A, 2, b, n° 1134.

[11] Donatsch, Strafrecht, p. 401-402; Stratenwerth, Jenny, Bommer, p. 266-267; Trechsel, Pieth-Trechsel, Lieber, art. 179bis N 2.

[12] Pour la définition de domaine privé ou secret, voir: Supra Partie II, Chapitre 3, I, B, 2, b, n° 1488 ss.

[13] Hurtado Pozo, art. 179quater N 2265; Schubarth, Strafrecht, art. 179quater N 23.

[14] Legler, p. 147.