Allez au contenu, Allez à la navigation



 

Retour Sommaire Suite

CHAPITRE II
LUTTE CONTRE LA CYBERCRIMINALITÉ

Article 30
(art. 56 du code de procédure pénale)
Perquisitions en flagrant délit -
Modification de la liste des pièces susceptibles
d'être saisies et des modalités de leur conservation

Dans sa rédaction actuelle, l'article 56 du code de procédure pénale, relatif aux perquisitions, dispose que : « Si la nature du crime est telle que la preuve en puisse être acquise par la saisie des papiers, documents ou autres objets en la possession des personnes qui paraissent avoir participé au crime ou détenu des pièces ou objets relatifs aux faits incriminés, l'officier de police judiciaire se transporte sans désemparer au domicile de ces derniers pour y procéder à une perquisition dont il dresse procès-verbal ».

Cet article prévoit également que l'officier de police judiciaire a seul, à l'exception des témoins qui peuvent être sollicités pour assister aux perquisitions et des personnes désignées pour procéder à des examens scientifiques et techniques, le droit de prendre connaissance des papiers ou documents avant de procéder à leur saisie. Il doit provoquer toutes mesures utiles pour que soit assuré le respect du secret professionnel et les droits de la défense.

Les objets et documents saisis sont immédiatement placés sous scellés, ou sous scellés provisoires lorsque leur inventaire sur place présente des difficultés.

Avec l'accord du procureur de la République, l'officier de police judiciaire ne maintient que la saisie des objets et documents utiles à la manifestation de la vérité.

Enfin, l'article 56 prévoit des dispositions spécifiques, d'une part lorsque la saisie porte sur des espèces, lingots, effets ou valeurs dont la conservation en nature n'est pas nécessaire à la manifestation de la vérité, d'autre part lorsque la saisie porte sur des billets de banque ou pièces de monnaie libellés en euros contrefaits.

L'essentiel des dispositions de cet article a été adopté par le législateur avant l'apparition des technologies de l'information. L'article 56 ignore donc purement et simplement la question des données informatiques, qui doivent pouvoir être saisies au même titre que les « papiers, documents ou autres objets ». Dans ces conditions, les officiers de police judiciaire sont contraints de saisir l'ensemble du support informatique, ce qui est à la fois contraignant et disproportionné.

Le présent article tend à mettre fin à cette situation en prenant en considération le cas des données informatiques dans l'article 56 du code de procédure pénale.

Les 1° et 2° de cet article tendent à compléter les deux premiers alinéas de l'article 56 pour mentionner les « données informatiques » dans la liste des pièces susceptibles d'être saisies et de viser, non seulement les pièces, mais aussi les « informations » relatives aux faits incriminés.

Le 3° tend à préciser les conditions de saisie des données informatiques, en remplaçant le cinquième alinéa de l'article 56, qui dispose que l'officier de police judiciaire ne maintient que la saisie des objets et documents utiles à la manifestation de la vérité, par trois nouveaux alinéas.

Le texte proposé prévoit que la saisie des données informatiques nécessaires à la manifestation de la vérité peut être opérée en plaçant sous main de justice, soit le support informatique des données, soit une copie de celles-ci. Dans ce dernier cas, la copie devrait être réalisée en présence des personnes qui assistent à la perquisition.

Rappelons qu'aux termes de l'article 57 du code de procédure pénale, les perquisitions doivent en principe être effectuées en présence de la personne au domicile de laquelle elles ont lieu. A défaut, l'officier de police judiciaire doit inviter cette personne à désigner un représentant de son choix. A défaut, il doit choisir deux témoins en dehors des personnes relevant de son autorité administrative.

Il est tout à fait logique de prévoir que la copie des données informatiques est réalisée en présence des personnes qui assistent à la perquisition, afin de garantir l'authenticité des données copiées.

Le texte proposé précise fort logiquement que si une copie est réalisée, il peut être procédé, sur instruction du procureur de la République, à l'effacement définitif, sur le support physique qui n'a pas été placé sous main de justice, des données informatiques dont la détention ou l'usage est illégal ou dangereux pour la sécurité des personnes ou des biens.

A titre d'exemple, en cas d'investigations relatives à une affaire de pédopornographie, il paraît indispensable que la copie des données soit accompagnée d'un effacement de celles-ci sur les supports informatiques des personnes chez lesquelles se déroulent les perquisitions.

Enfin, le texte proposé reprend, pour l'essentiel, les dispositions actuelles prévoyant qu'avec l'accord du procureur, l'officier de police judiciaire ne maintient que la saisie des objets et documents utiles à la manifestation de la vérité tout en ajoutant les données informatiques parmi les pièces mentionnées.

Les dispositions du présent article ont vocation à s'appliquer non seulement en cas d'enquête de flagrance, mais également en cas d'enquête préliminaire. L'article 76 du code de procédure pénale, qui régit les perquisitions au cours des enquêtes préliminaires, renvoie en effet à l'article 56 du même code (qui régit les perquisitions en enquête de flagrance et est modifié par le présent article) en ce qui concerne les formes de la perquisition.

Votre commission vous propose d'adopter l'article 30 sans modification.

Article 31
(art. 94 du code de procédure pénale)
Perquisitions au cours d'une instruction -
Coordination

Le présent article tend à compléter l'article 94 du code de procédure pénale, qui prévoit la possibilité d'effectuer des perquisitions au cours d'une instruction. Dans sa rédaction actuelle, cet article prévoit que les perquisitions sont effectuées dans tous les lieux où peuvent se trouver des objets dont la découverte serait utile à la manifestation de la vérité.

Par coordination avec les dispositions prévues par l'article 30 pour les perquisitions au cours de l'enquête, le présent article tend à ajouter aux objets dont la découverte serait utile à la manifestation de la vérité les données informatiques.

Votre commission vous propose d'adopter l'article 31 sans modification.

Article 32
(art. 97 du code de procédure pénale)
Perquisitions au cours d'une instruction -
Modification de la liste des pièces susceptibles d'être saisies
et des modalités de leur conservation

L'article 97 du code de procédure pénale définit les formes des perquisitions conduites au cours d'une instruction et contient des dispositions très similaires à celles de l'article 56 du même code, qui définit le régime des perquisitions au cours de l'enquête.

Il prévoit ainsi que lorsqu'il y a lieu de rechercher des documents, le juge d'instruction ou l'officier de police judiciaire par lui commis a seul le droit d'en prendre connaissance avant de procéder à la saisie. Tous les objets et documents placés sous main de justice doivent être placés sous scellés ou sous scellés provisoires si leur inventaire sur place présente des difficultés.

Comme en matière d'enquête, le texte prévoit que l'officier de police judiciaire, avec l'accord du juge d'instruction, ne maintient que la saisie des objets et documents utiles à la manifestation de la vérité.

Le présent article tend à apporter à l'article 97 du code de procédure pénale les mêmes modifications que l'article 30 tend à apporter à l'article 56.

Les 1°, 2°, 3° et 4° tendent à compléter la liste des objets pouvant être saisis pour y mentionner les données informatiques, afin d'éviter que les officiers de police judiciaire agissant sur commission rogatoire du juge d'instruction soient contraints de saisir systématiquement le support informatique.

Le 5° tend à insérer dans cet article deux nouveaux alinéas, pour prévoir qu'il est procédé à la saisie des données informatiques nécessaires à la manifestation de la vérité en plaçant sous main de justice soit le support physique de ces données, soit une copie réalisée en présence des personnes qui assistent à la perquisition. Le texte précise que si une copie est réalisée, il peut être procédé, sur ordre du juge d'instruction, à l'effacement définitif des données informatiques dont la détention ou l'usage est illégal ou dangereux pour la sécurité des personnes ou des biens.

Ces dispositions sont strictement identiques à celles que prévoit l'article 30 du projet de loi en matière de perquisitions au cours de l'enquête. Les attributions du procureur de la République sont cependant dévolues au juge d'instruction, conformément aux règles générales qui prévalent au cours d'une instruction.

Votre commission vous propose d'adopter l'article 32 sans modification.

Article additionnel après l'article 32
(art. 227-23 du code pénal)
Incrimination de la tentative de production d'images
pédopornographiques et de l'offre de telles images

Le présent projet de loi, comme d'autres textes déjà adoptés par le Parlement (en particulier la loi pour la sécurité intérieure) doivent permettre à la France de mettre son droit en conformité avec la convention sur la cybercriminalité signée le 23 novembre 2001 dans le cadre du Conseil de l'Europe.

Par un article additionnel, votre commission vous propose de compléter le projet de loi pour mettre en oeuvre deux stipulations de la convention sur la cybercriminalité, qui figurent également dans une proposition de décision-cadre renforçant la lutte contre l'exploitation sexuelle des enfants et la pédopornographie en cours de négociation au sein du Conseil de l'Union européenne.

Ces deux instruments juridiques font obligation aux Etats d'incriminer la tentative de production d'images pédopornographiques en vue de leur diffusion, y compris les images de synthèse ou images virtuelles. Or, l'article 227-23 du code pénal, s'il incrimine la fixation, l'enregistrement ou la transmission de l'image ou de la représentation d'un mineur lorsque cette image ou cette représentation revêt un caractère pornographique, n'incrimine pas la tentative de cette infraction.

Certes, la tentative de production d'images pédopornographiques de mineurs existant réellement peut être poursuivie sous le chef de corruption de mineurs, mais cette incrimination ne peut être utilisée en ce qui concerne la tentative de production d'images pédopornographiques de synthèse.

Par ailleurs, la convention sur la cybercriminalité fait obligation aux Etats d'incriminer l'offre de matériel pédopornographique. Or, notre droit n'incrimine que la diffusion, l'importation ou l'exportation d'un tel matériel. Le fait d'offrir de telles images constitue un agissement différent de ceux réprimés par l'article 227-23 du code pénal, puisqu'il s'agit d'une proposition sans diffusion simultanée.

Votre commission vous propose donc, par un amendement, d'insérer un article additionnel après l'article 32 pour compléter l'article 227-23 du code pénal afin d'incriminer la tentative de production d'images pédopornographiques ainsi que le fait d'offrir de telles images.

Article 33
(art. 323-1 à 323-3 du code pénal)
Aggravation des peines encourues par les auteurs
d'atteintes aux systèmes de traitement automatisé de données

Le chapitre III du titre II du livre troisième du code pénal est consacré aux atteintes aux systèmes de traitement automatisé de données. Les infractions qu'il contient ont été insérées dans l'ancien code pénal par la loi du 5 janvier 1988 et reprises dans le nouveau code pénal entré en vigueur en 1994.

Lors de l'élaboration du nouveau code pénal, le Sénat avait proposé de définir le système de traitement automatisé de données comme « tout ensemble composé d'une ou plusieurs unités de traitement, de mémoire, de logiciel, de données, d'organes d'entrées-sorties et de liaisons, qui concourent à un résultat déterminé, cet ensemble étant protégé par des dispositifs de sécurité ». Le législateur n'a finalement retenu aucune définition.

L'article 323-1 punit d'un an d'emprisonnement et de 15.000 euros d'amende le fait d'accéder ou de se maintenir, frauduleusement, dans tout ou partie d'un système de traitement automatisé de données.

La jurisprudence a précisé les éléments constitutifs de cette infraction. Si l'incrimination vise tous les modes de pénétration irréguliers d'un système de traitement automatisé de données, l'accès ne tombe sous le coup de la loi pénale que s'il est le fait d'une personne qui n'a pas le droit d'accéder au système ou n'a pas le droit d'y accéder de la façon dont elle y a accédé.

L'article 323-2 punit de trois ans d'emprisonnement et de 45.000 euros d'amende le fait d'entraver ou de fausser le fonctionnement d'un système de traitement automatisé de données.

L'entrave du fonctionnement d'un système de traitement automatisé de données correspond parfois à une impossibilité totale d'utiliser le système, par exemple le blocage d'un code d'accès ou la paralysie de son fonctionnement. Elle peut également consister en une simple diminution de la capacité de traitement. Le trouble peut être permanent, par exemple lorsque le système est infesté d'un virus, il peut également se reproduire à échéance régulière, notamment lorsqu'une « bombe logique » a été insérée pour paralyser régulièrement le fonctionnement du système.

L'article 323-3 punit de trois ans d'emprisonnement et de 45.000 euros d'amende le fait d'introduire frauduleusement des données dans un système de traitement automatisé ou de supprimer ou de modifier frauduleusement les données qu'il contient.

Enfin, l'article 323-4 dispose que la participation à un groupement formé ou à une entente établie en vue de la préparation, caractérisée par un ou plusieurs faits matériels, d'une ou de plusieurs des infractions prévues par les articles 323-1 à 323-3 est punie des peines prévues pour l'infraction elle-même ou pour l'infraction la plus sévèrement réprimée.

Le présent article tend à aggraver l'ensemble des peines prévues par les articles 323-1 à 323-3 du code pénal.

Le paragraphe I tend à porter les peines prévues par l'article 323-1 d'un an d'emprisonnement et de 15.000 euros d'amende à deux ans d'emprisonnement et 30.000 euros d'amende en cas d'accès frauduleux à un système de traitement automatisé de données et de deux ans d'emprisonnement et 30.000 euros d'amende à trois ans d'emprisonnement et 45.000 euros d'amende lorsque l'accès frauduleux a provoqué la suppression ou la modification de données ou une altération du fonctionnement du système.

Le paragraphe II tend à porter les peines prévues en cas d'entrave au fonctionnement d'un système de traitement automatisé de données de trois ans d'emprisonnement et 45.000 euros d'amende à cinq ans d'emprisonnement et 75.000 euros d'amende.

Le paragraphe III tend à porter les peines prévues en cas d'introduction, de suppression ou de modification frauduleuse de données, de trois ans d'emprisonnement et 45.000 euros d'amende à cinq ans d'emprisonnement et 75.000 euros d'amende.

Votre commission vous propose d'adopter l'article 33 sans modification.

Article 34
(art. 323-3-1 nouveau du code pénal)
Création d'une nouvelle incrimination
en matière de droit de l'informatique

Le présent article tend à compléter les dispositions du code pénal réprimant les atteintes aux systèmes de traitement automatisé de données pour créer une nouvelle incrimination.

En effet, si notre droit pénal réprime l'accès frauduleux dans un système de traitement automatisé de données ou l'introduction frauduleuse de données, il ne sanctionne pas la détention ou la mise à disposition d'équipements conçus pour commettre les faits déjà réprimés par les articles 323-1 à 323-3 du code pénal, modifiés par l'article 33 du présent projet de loi.

Le paragraphe I du présent article tend à insérer dans le code pénal un article 323-3-1 pour punir le fait de détenir, d'offrir, de céder ou de mettre à disposition un équipement, un instrument, un programme informatique ou toute donnée conçus ou spécialement adaptés pour commettre les faits prévus par les articles 323-1 à 323-3 du code pénal.

Cette nouvelle infraction pourrait permettre de sanctionner la détention ou la mise à disposition de virus informatiques, sans qu'il soit besoin que ledit virus ait été introduit frauduleusement dans un système de traitement automatisé de données.

La nouvelle infraction serait punie des peines prévues pour l'infraction pour laquelle le programme ou équipement a été conçu ou des peines prévues pour l'infraction la plus sévèrement réprimée lorsque le programme pouvait servir à commettre plusieurs des infractions mentionnées aux articles 323-1 à 323-3 du code pénal.

Le texte proposé est assez proche, dans ses éléments constitutifs, de l'article L. 163-4-1 du code monétaire et financier qui punit de sept ans d'emprisonnement et de 750.000 euros d'amende le fait de détenir, d'offrir, de céder ou de mettre à disposition des équipements, instruments, programmes informatiques ou toutes données conçus ou spécialement adaptés pour commettre les délits de contrefaçon ou de falsification de cartes de paiement.

Le texte proposé pour l'article 323-3-1 prévoit dans un second alinéa que la nouvelle infraction n'est pas applicable lorsque la détention, l'offre, la cession et la mise à disposition de l'instrument, du programme informatique ou de toute donnée sont justifiées par les besoins de la recherche scientifique et technique ou de la protection et de la sécurité des réseaux de communications électroniques et des systèmes d'information.

Cette exception doit notamment permettre aux laboratoires scientifiques en informatique de poursuivre leurs recherches.

A l'initiative du rapporteur pour avis de la commission des Lois, Mme Michèle Tabarot, l'Assemblée nationale a prévu que l'exception prévue ne s'appliquerait qu'aux organes ayant procédé à une déclaration préalable auprès du Premier ministre selon les modalités prévues par l'article 18 du projet de loi.

Cet article, qui concerne la cryptologie, prévoit notamment que la fourniture, le transfert depuis un Etat membre de la Communauté européenne ou l'importation d'un moyen de cryptologie n'assurant pas exclusivement des fonctions d'authentification ou de contrôle d'intégrité sont soumis à une déclaration préalable auprès du Premier ministre. Il dispose également que le fournisseur ou la personne procédant au transfert ou à l'importation tiennent à la disposition du Premier ministre une description des caractéristiques techniques de ce moyen de cryptologie, ainsi que le code source des logiciels utilisés.

La même procédure serait donc applicable aux instruments, programmes informatiques ou données pouvant servir à commettre des infractions, mais dont la détention est justifiée par les besoins de la recherche scientifique et technique ou de la protection et de la sécurité des réseaux de communications électroniques et des systèmes d'information.

Dans son rapport pour avis, Mme Michèle Tabarot a justifié cette modification en jugeant « le champ de l'exclusion de la responsabilité pénale proposée excessivement large. En effet, les notions de « besoins de la recherche scientifique et technique » ou de « protection et de la sécurité des réseaux de communication » sont particulièrement imprécises, susceptibles de recouvrir des organismes irréprochables et d'autres qui le seraient moins, certains pouvant être tentés de développer des virus informatiques en excipant de leur mission de sécurisation des réseaux ».

La préoccupation exprimée par l'Assemblée nationale est tout à fait légitime. Pour autant, la solution proposée pourrait susciter de sérieuses difficultés d'application. Le texte proposé par l'Assemblée nationale pourrait en effet exposer des organismes détenant des virus à des fins de recherche à des poursuites si elles omettaient de procéder à la déclaration tout en utilisant les virus à des fins légitimes.

Dans ces conditions, votre commission vous propose, par un amendement, une nouvelle rédaction du texte proposé pour l'article 323-3-1 du code pénal, afin d'incriminer le fait, « sans motif légitime », d'importer, de détenir, d'offrir, de céder ou de mettre à disposition un équipement conçu pour commettre des atteintes aux systèmes de traitement automatisé de données.

Naturellement, la recherche scientifique et la sécurisation des réseaux pourraient entrer dans le champ des motifs légitimes. Il reviendrait au juge d'apprécier la légitimité des motifs, dès lors qu'il est impossible dans la loi d'envisager toutes les hypothèses dans une telle matière.

Le paragraphe II tend à opérer des coordinations dans les articles 323-4 et 323-7 du code pénal, respectivement relatifs à la participation à un groupement conçu en vue de commettre des atteintes aux systèmes de traitement automatisé de données et à la tentative de commettre des atteintes aux systèmes de traitement automatisé de données.

Votre commission vous propose d'adopter l'article 34 ainsi modifié.

Retour Sommaire Suite