GROUPE DE TRAVAIL INTERMINISTRIEL

SUR LA LUTTE CONTRE

LA CYBERCRIMINALIT
Protger les INTERNAUTES
*****
Rapport sur la cybercriminalit
Fvrier 2014
Il sest toutefois refus prendre position avant le terme de ses travaux, considrant quil appartenait
1
au Gouvernement de dcider de la suite donner ses recommandations
L
iminaire
Mi juin 2013, les ministres de la Justice, de lEconomie et des finances, de lIntrieur,
ainsi que la ministre dlgue charge des petites et moyennes entreprises, de linnovation et
de lEconomie numrique constituaient un groupe de travail interministriel charg de faire des
propositions en matire de lutte contre la cybercriminalit.
Cette initiative, qui faisait suite au sminaire gouvernemental sur le numrique du 28
fvrier prcdent (cf. La feuille de route sur le numrique), sinscrivait, plus gnralement, dans
la stratgie dfinie au plan europen, le 7 fvrier.
Bien que le groupe soit, pour lessentiel, form de gnralistes du droit pnal - avocats
gnraux la Cour de cassation et responsables du ministre public - et de spcialistes
policiers, gendarmes et douaniers, le mandat donn son prsident ne se limitait pas aux
questions spcifiquement rpressives, puisquil sagissait dlaborer une stratgie globale de
lutte contre la cybercriminalit intgrant notamment les questions de prvention et de
sensibilisation des publics, afin de contribuer crer un espace de confiance sur Internet.
Trs rapidement, un quadruple constat sest impos :
par-del les dpartements ministriels mandataires, la question de la
cybercriminalit intresse un grand nombre dautres acteurs, tant publics (parlementaires,
administrations techniques, autorits administratives indpendantes...) que privs, ce qui dmontre
le caractre transversal de cette problmatique mais aussi les limites de lorganisation actuelle.
Cest ainsi que, tout au long de ses travaux, le groupe a t sollicit de nombreuses reprises
1
et a lui-mme procd de nombreuses auditions pour tenter de mieux cerner les attentes des
uns et des autres, tout en souvrant un interlocuteur incontournable (la Direction gnrale de la
concurrence, de la consommation et de la rpression des fraudes). Il est toutefois conscient que seule
une enqute gnralise auprs de lensemble des administrations de lEtat et des autorits
indpendantes aurait pu permettre une apprhension exhaustive des dispositifs existants ainsi
que des attentes sectorielles.

Si le mandat donn au groupe de travail laissait penser que lEtat voulait se
donner le temps de la rflexion, les normes destines lutter contre la cybercriminalit
nont cess dvoluer pendant ses travaux, caractristique dun droit en marche qui se
cherche encore.
Cest ainsi que plusieurs questions, ltude parfois depuis des annes, ont reu une
concrtisation, le plus souvent rglementaire, linitiative des dpartements ministriels
concerns.
Paralllement, plusieurs projets de loi, concernant, pour partie, la cybercriminalit, ont t
examins par le Parlement, dans des domaines les plus divers.
3
Dans le mme temps, des propositions de loi, intressant certains aspects de la lutte contre
la cybercriminalit, ont t dposes et discutes.
Dautres projets sont encore ltude.
Au-del mme de la production normative, certaines dcisions juridictionnelles, notamment les
arrts rendus par la chambre criminelle dans le cadre du contrle de la conventionnalit, tant
en matire de rquisitions informatiques que de go-localisation en temps rel, ont aussi revtu
une importance toute particulire.
Il faudrait enfin citer les nombreuses initiatives prises durant la mme priode, sous la forme
de runions, de colloques et de missions diverses.
Ces quelques exemples illustrent, non seulement, lactualit de la question et la richesse
tant des attentes que des analyses, mais aussi lhtrognit des initiatives et la ncessit de
pouvoir disposer tant dune stratgie globale que dune grille juridique cohrente.
La richesse de cette actualit a conduit le groupe tendre quelque peu le champ de
son mandat mais aussi rexaminer, plusieurs reprises et au fil de lactualit, certaines des
questions dont il tait saisi.
- durant la mme priode, de nombreux travaux europens ont rappel quen
matire de lutte contre la cybercriminalit, la solution ne pouvait tre exclusivement franco-
franaise.
Cest ainsi quest entre en vigueur de nouveaux rglement et directive tandis que
diffrents projets sont toujours en discussion.
Le groupe sest ainsi attach entendre certains responsables internationaux et
consulter les spcialistes tant de la coopration internationale que de droit compar, afin de
mieux cerner les synergies actuelles, les perspectives futures, voire les obstacles restant
surmonter.
pour autant et la contradiction nest quapparente avec ce qui prcde,
lapprhension de la cybercriminalit est apparue, en ltat, comme une affaire de
spcialistes, dailleurs en petit nombre, la majorit des acteurs ayant en connatre
connaissant, au contraire, de relles difficults pour cerner ce phnomne, en apprhender le
contenu technique comme les aspects internationaux et encore davantage y apporter des
rponses pertinentes. Telle est la raison pour laquelle le groupe de travail, bien que saisi, ds
lorigine, de nombreuses propositions manant des services spcialiss, a dlibrment fait
le choix dlargir le spectre de ltude en sattachant cerner aussi les attentes des usagers
et consommateurs, des victimes individuelles, du monde de lentreprise, des magistrats,
policiers et gendarmes non spcialiss afin de mieux saisir les difficults quils rencontraient,
mais encore des autorits et instances oeuvrant pour la protection des liberts fondamentales.
Cette prise en compte sest faite, essentiellement, par le biais dauditions, ralises en
runion plnire ou en comits restreints, ou sous la forme de communications crites ou
encore de visites effectues par le prsident du groupe, les dplacements extrieurs tant
exclus pour des raisons tenant aux contraintes de temps.
4
Ce nest que dans un second temps quainsi clair le Groupe interministriel sest
pench sur les propositions susceptibles dtre mises, avec un double souci : une approche
aussi pdagogique que possible et la forte conscience de la ncessit de tenir compte de la
surcharge actuelle des services rpressifs.
Conformment son mandat, le groupe de travail sest focalis sur la seule
cybercriminalit, en cartant les points dj soumis lexamen dautres instances - par
exemple, la rflexion initie, au plan europen, par la Commission nationale de linformatique
et des liberts sagissant de la protection des donnes nominatives, ainsi que celle mene sur
la contrefaon commerciale par un Conseiller dEtat en mission -.
Il lui est toutefois apparu, au cours de ses travaux, dabord quune plus grande synergie
devrait tre recherche entre la lutte contre la cybercriminalit, la cyberdfense et la
cyberscurit. Ensuite que, sagissant des rponses la cybercriminalit elle-mme,
elles devraient rpondre, au-del de la spcificit des contentieux et de la nature,
administrative et judiciaire, du traitement, des rgles communes, harmonises et
cohrentes, que le groupe sest efforc desquisser.

Au total, le groupe de travail a tenu 13 sances plnires, auxquelles il convient
dajouter plusieurs dizaines dauditions en comit restreint et de nombreux entretiens et visites
raliss par son prsident. Dans lintervalle, les communications internes aux membres du
groupe ont t assures par le biais dune liste de discussion spcifique.
A lissue de ces quelques mois de travail, je tiens adresser tous mes remerciements,
non seulement lensemble des membres du groupe et aux secrtariats relevant des cabinets
de lIntrieur et de la Justice, mais aussi aux nombreux interlocuteurs qui ont contribu la
ralisation de cette mission.
Marc ROBERT
5
P
lan du rapport
Pages
Liminaire 2
Introduction : Internet, une nouvelle libert prserver 7
I.- Le CONSTAT : la cybercriminalit, une ralit difficile cerner
et confronte de fortes attentes 9
I.1.- la cybercriminalit : une ralit protiforme mal cerne et non dfinie
10
I.2.- les rponses actuelles la cybercriminalit en
France : de lapprhension normative la spcialisation
de la police judiciaire pour une efficacit encore relative 33
I.3.- les outils europens de lutte contre
la cybercriminalit : ralits et esprances 47
I.4.- les enseignements du droit compar 66
I.5.- les attentes de lopinion publique, des victimes
et des acteurs 71
I.6.- Le contexte de laction : les exigences tenant la
protection de la vie prive et la libert dexpression 81

II. - La Cybercriminalit : de la ncessit dune STRATGIE globale 95
II.1.- un pralable : scurit des systmes dinformation, cyberdfense,
lutte contre la cybercriminalit, des objectifs diffrents
mais interdpendants 96
II.2.- une priorit : la prvention 103
II.3..- une exigence : la formation des acteurs 113
II.4..- une ncessit : le partenariat public-priv 125
II.5.- une condition : la rorganisation des services de lEtat,
la cration dune dlgation interministrielle et dune mission justice 137
II.6.- une consquence : la cration de moyens pour lutter
contre la cybercriminalit 148
6
III.- La Cybercriminalit : Des rponses rpressives plus effectives
et davantage protectrices 151
III.1.- des incriminations suffisantes pour lessentiel 152
III.2.- de la coopration attendue des fournisseurs,
hbergeurs, et autres oprateurs et de son ncessaire
encadrement 163
III.3.- des moyens dinvestigation renforcer 207
III.4.- de la rponse aux contentieux de masse 245
et de la police des noms de domaine
III.5.- de la coopration pnale internationale 255
III.6.- de la rponse aux victimes dinfractions 259
III.7.- de la politique pnale 266
Conclusion : un rapport dtape pour une stratgie globale
Rcapitulatif des recommandations
Annexes au rapport

Elles figurent dans un tome distinct
1.- le mandat du groupe de travail interministriel
2.- la composition du groupe de travail
3.- la liste des personnes entendues, des visites effectues
et des contributions reues
4.- le questionnaire adress aux prestataires techniques
5.- la carte de limplantation des cyber-enquteurs spcialiss
au regard du sige des juridictions inter-rgionales spcialises
6.- ltude de droit compar
7.- les outils pdagogiques : les listes des infractions relevant
de la cybercriminalit
8.- les outils pdagogiques : lbauche dune nomenclature des
cyber-infractions spcifiques
9.- les statistiques judiciaires
10 - les outils pdagogiques : le glossaire
,,,,,
7
I
ntroduction - Internet :
une nouvelle libert
prserver

Mme si la cybercriminalit ne se limite pas Internet, ce dernier en est le
principal vecteur.
Or, Internet, dabord limit aux relations professionnelles puis tendu la sphre
prive avant de revtir un aspect universel, a engendr, en quelques dcennies, une vritable
rvolution des comportements et des faons de faire pour la grande majorit des franais,
dsormais incontournable et irrversible.
Selon lenqute du CREDOC ralise en 2012 sur les franais gs de plus de 12 ans,
- 81% dispose au moins dun ordinateur au domicile, mais la proportion slve 98% pour les 12-17
ans.
- 4 franais sur 5 sont internautes, 78% disposant dun accs fixe Internet leur domicile et 29% dun
smartphone ; 1 foyer sur 10 possde une tablette tactile.
- en moyenne, chaque internaute consacre 13 heures par semaine consulter Internet ; les
possesseurs de tlphones portables adressent, en moyenne, 108 SMS par an, mais la moyenne
slve 435 pour les 12-17 ans.
- les rseaux sociaux rassemblent 42% de la population, soit 23 millions de personnes.
Et ces chiffres sont en constante augmentation.
Au plan conomique, cette rvolution numrique sexprime notamment par le
dveloppement dun nouveau march porteur de perspectives de croissance particulirement
prcieuses en temps de crise.
- lEconomie numrique reprsente dsormais 5,2% du produit intrieur brut, concentre 3,7% des
emplois (900.000) au sein de 100.000 entreprises de 10 salaris ou plus.
- A lui seul, le commerce lectronique concerne 128.000 sites marchands et correspond 75.000
emplois directs ou indirects, pour un chiffre daffaires de 56 milliards deuros en 2012 (FEVAD, janvier
2013).
- la mme anne, 64% des socits disposaient dun site web ou dune page daccueil sur Internet
(INSEE).
Cest sur la base dun tel constat que la feuille de route gouvernementale sur le
numrique, divulgue fin fvrier 2013, entend favoriser la croissance et la cration demplois
dans ce secteur par le dveloppement de technologies, dinfrastructures et de lusage. Le
numrique constitue aussi lun des 5 axes prioritaires des investissements davenir. Enfin, plus
dune dizaine des 34 plans industriels annoncs par le Prsident de la Rpublique en
septembre 2013 portent sur lindustrie du numrique (sant, ducation, objets connects...),
notamment sur les filires stratgiques (donnes volumineuses, informatique en nuage...).

8
Mais, Internet constitue, dabord et avant tout, un formidable espace de libert:
libert dinformation, qui abolit les frontires et les barrires culturelles ; libert dexpression et
dchange, qui contribue lessor de la dmocratie, au droit dassociation et de manifestation
ainsi qu la diffusion de la pense ; libert dentreprendre, qui favorise linitiative individuelle
comme collective.
La volont de lEtat comme des collectivits territoriales de rduire la fracture
numrique, notamment en facilitant laccs au haut dbit, manifeste le souci de faire bnficier
le plus grand nombre et de manire quitable de cette libert.
Toutefois, cette dernire est fragile, compte-tenu mme des grandes possibilits
quoffre ce systme dinformation, la merci de drives tatiques - comme la illustr
rcemment laffaire PRISM - ou de menes malveillantes, voire criminelles inspires par
lidologie, la concurrence ou la recherche de gains illicites.
Fragile, celle libert lest dautant plus pour les internautes les moins protgs,
et en premier lieu les enfants, mais aussi pour tous ceux qui, plus gs, matrisent mal les
prcautions lmentaires prendre, et, par-del, pour les administrations de lEtat et les
entreprises prives que leurs systmes ouverts de communication exposent des risques
dintrusion.
Il importe ainsi davoir les yeux ouverts sur ces dangers nouveaux, sans pour
autant dramatiser, ni prtendre un verrouillage scuritaire dailleurs hors daccs, mais aussi
sans tomber dans un discours lnifiant invoquant une volution inluctable, un risque
acceptable et prconisant le laisser-faire. Lobjectif est bien de mieux cerner ces dangers, dy
sensibiliser tout un chacun et dexaminer la meilleure faon de les prvenir ou de les rprimer,
sans porter atteinte aux liberts fondamentales auxquelles nous sommes tous attachs.
Cet objectif concerne au premier chef les internautes eux-mmes, mais aussi
ceux des dcideurs qui, ntant pas ns avec Internet, ont du mal saisir le bouleversement
culturel quil implique, voire ont tendance y appliquer des schmas de rponse parfois peu
adapts.

,,,,,,

9
L
e constat : la cybercriminalit,
une ralit difficile cerner
et confronte de fortes
attentes
La cybercriminalit apparat comme une nbuleuse, dautant plus difficile cerner quelle
renvoie des procds techniques essentiellement volutifs matriss par les seuls initis et
que peinent cerner les dispositifs statistiques traditionnels. (1).
La France a dj fait beaucoup pour permettre au droit de saisir cette ralit, mais
leffectivit des rponses actuelles prte encore redire (2).
Compte-tenu de laspect essentiellement transnational de cette criminalit, les instruments
et les projets europens sont en premire ligne, mme si le temps de laction internationale
nest pas toujours la mesure des lgitimes impatiences
des acteurs comme des victimes (3).

Lvolution ncessaire doit prendre en compte tant les enseignements du droit compar (4),
que les attentes de lopinion publique, des acteurs et des victimes (5) ainsi que
les exigences tenant la protection des liberts fondamentales (6).

quil sagisse de certaines escroqueries (les escroqueries par faux ordres de virement, les
2
escroqueries sentimentales...) ou du rcent dtournement massif de donnes dont a t victime ORANGE
le terme de cyberdlinquance serait plus juridiquement exact, mais la notion de criminalit
3
recouvre, au plan international, toutes les infractions, indpendamment de leur gravit
on pourrait ajouter aussi un 3 facteur tenant la prolifration des anglicismes pour dcrire les
me 4
mthodes criminelles utilises, anglicisme qui signe dailleurs le produit dexportation, raison pour laquelle il est
apparu utile dinsrer un glossaire en fin de rapport.
10
I.1. - La Cybercriminalit : une ralit protiforme
mal cerne et non dfinie

Comment prvenir la cybercriminalit ? Comment la punir ? Comment la
rparer?
Rpondre de telles question suppose dabord de dcrire le phnomne.
Si, depuis laffaire PRISM, les mdias sintressent la cybercriminalit, rendent
compte des affaires dactualit , multiplient les analyses, il relve de la responsabilit de lEtat
2
de dcrire ltendue comme la complexit de cette dlinquance.
Or, le concept mme de cybercriminalit prte quivoque.
Trouvant son origine dans le droit anglo-saxon et lgitime par la norme
europenne, la cybercriminalit ne renvoie pas une liste dinfractions bien dtermines,
3
puisquelle couvre quasiment lensemble du champ infractionnel.
Il sagit davantage dune manire doprer particulire qui, utilisant ou ciblant un
systme dinformation,
2facilite la commission de linfraction, puisquun simple clic informatique suffit
pour passer lacte ou atteindre distance la victime potentielle, mme si la
mise en scne et les techniques utilises sont souvent trs labores
2en dmultiplie les effets, en permettant, simultanment, dattaquer de
nombreuses cibles et en bnficiant de la rapidit de propagation que permet
loutil
2tout en assurant une certaine impunit son auteur, qui bnficie, le plus
souvent, dun anonymat fortement protg et de lextranit qui rsulte de la
localisation des serveurs et du lieu de stockage des donnes des principaux
prestataires dInternet.
Par voie de consquence, la cybercriminalit se prte mal une dfinition -
celles-ci sont en fait lgion mais aucune ne sest vritablement impose -, comme une
quantification exhaustive, deux difficults qui contribuent au sentiment de flou que suscite ce
concept et donc son apprhension .
4
comme lillustre dailleurs le principal instrument international existant, la Convention sur la
5
cybercriminalit adopte le 23.11.2001 par le Conseil de lEurope, qui fait mention, tout la fois, de
cybercriminalit, de cybercrime ou dinfractions lies la criminalit informatique.
ce qui ne rsiste pas lexamen : comme le souligne un expert Canadien, le fait dassner des coups
6
une personne laide dun ordinateur ne relve, manifestement pas, de la cybercriminalit...
Pour lOCDE, la cybercriminalit renvoie
7
tout comportement illgal ou contraire lthique ou
non autoris qui concerne un traitement automatique de donnes et/ou de transmission de donnes ; pour
lO.N.U., elle a trait tout comportement illgal faisant intervenir des oprations lectroniques qui visent la
scurit des systmes informatiques et des donnes quils traitent ; de telles dfinitions, trop partielles, ne
couvrent toutefois pas lensemble des infractions concernes, telles la pdopornographie
telle est la dfinition donne par les U.S.A. et le Royaume-Uni ; mais se focaliser sur laccs ne
8
permet pas de rendre compte de toute la cybercriminalit, ne serait-ce que lorsquelle prend la forme dune
diffusion de donnes ou de comportements illicites
11
1.- Une dfinition vise exclusivement pdagogique
La cybercriminalit nest pas saisie par le droit interne, mme sil y est fait
rfrence, pour le mandat darrt europen (dcision-cadre du 13.06.2002, art. 695-23 du code de
procdure pnale) et, par renvoi cette dernire disposition, pour les changes europens
relatifs au gel des avoirs (dcision-cadre du 22.07.2003, art. 695-9-3 et 695-9-17 du mme code), aux
sanctions pcuniaires (dcision-cadre du 24.02.2005, art. D.48-24 du mme code), aux confiscations
(dcision-cadre du 6.10.2006, art. 713-2 et 713-20 du mme code), aux informations (dcision-cadre
du 18.12.2006, art. 695-9-38 et R.49-36 du mme code), et aux peines privatives de libert (dcision-
cadre du 27.11.2008, art. 728-27 du mme code).
Pourtant, certaines lois rcentes consacrent des dveloppements particuliers
la lutte contre la cybercriminalit, telles la loi n/ 2004-575 du 21 juin 2004 pour la confiance dans
lconomie numrique ou la loi n/ 2011-267 du 14 mars 2011 dorientation et de programmation
pour la performance de la scurit intrieure.
Pour autant, pas plus que les instruments internationaux, le droit interne ne
dfinit un tel concept.
La raison en est simple et la Commission europenne sen est explique dans
une communication au Parlement europen en date du 22 mai 2007 : Faute dune dfinition
communment admise de la criminalit dans le cyberespace, les termes cybercriminalit, criminalit
informatique ou criminalit lie la haute technologie sont souvent utiliss indiffremment .
5
Ds lors, le plus souvent, cest le contenu de la directive ou de la convention
internationale qui permet, indirectement, de cerner le concept de cybercriminalit ainsi utilis,
mais sans que cela puisse revtir une porte gnrale.
Toutefois, certaines instances officielles ont tent de surmonter cette difficult,
dabord en faisant rfrence lordinateur ou au systme informatique comme objet ou
comme instrument de la cybercriminalit ; ensuite, en visant le traitement, la
6
transmission ou la scurit de donnes ; dautres se focalisent sur le caractre non
7
autoris de laccs un ordinateur, un rseau ou des fichiers donnes
lectroniques ; dautres enfin, et cest le plus grand nombre, dfinissent la
8
cybercriminalit au regard dun systme informatique connect un rseau.
Toujours selon lANSSI, le systme dinformation est dfini comme
9
un ensemble organis de
ressources (matriels, logiciels, personnels, donnes et procdures) permettant de traiter et de diffuser de
linformation
12
Ainsi, dans le cadre du 10/ Congrs des Nations-Unies (2000), la
cybercriminalit tait-elle dfinie comme recouvrant toutes les formes dactivits
criminelles conduites partir dun ordinateur dans lespace dun rseau local ou dune
entreprise, ainsi que dun rseau plus large comme Internet, ou encore toute infraction
susceptible dtre commise laide dun systme ou dun rseau informatique, dans un
systme ou un rseau informatique, ou contre un systme ou un rseau informatique.
La Commission europenne, dans la communication prcite, prcisait que la
cybercriminalit devait sentendre comme des infractions pnales commises laide de
rseaux de communications lectroniques et de systmes dinformations ou contre ces
rseaux et systmes.
Quant lAutorit nationale de scurit des systmes dinformations (ANSSI),
elle vise aussi les actes contrevenant aux traits internationaux ou aux lois nationales,
utilisant les rseaux ou les systmes dinformation comme moyens de ralisation dun
crime ou dun dlit, ou les ayant pour cible .
9
Un point commun essentiel unit lensemble de ces dfinitions : le fait que le
mode de commission de linfraction se fasse distance, sans contact physique entre
lauteur et la victime.
Pour sa part, le groupe de travail, tout en sinspirant des dfinitions prcdentes,
suggre une formule plus ramasse mais suffisamment large pour apprhender tous les
aspects de la ralit actuelle ainsi que lvolution venir, et mettant en exergue Internet comme
le principal systme concern par la cybercriminalit.
Recommandation n/ 1
relative la dfinition de la cybercriminalit
La cybercriminalit regroupe toutes les infractions pnales tentes ou
commises lencontre ou au moyen dun systme dinformation et de
communication, principalement Internet.

Ceci tant, la porte dune telle dfinition est toute relative et, essentiellement,
dordre pdagogique, car elle ne saurait avoir une vocation juridique ; en outre, dans un
domaine qui se caractrise par son caractre transnational et limportance que revtent les
accords internationaux, seule une dfinition commune au plan mondial serait vritablement
oprationnelle.
En pratique, le S.T.A.D. recouvre aussi bien une puce lectronique (de carte de paiement, de
10
tlphone mobile...), un site Web, une base de donnes ou un autocommutateur tlphonique lectronique
13
2.- le contenu du concept de cybercriminalit
Les experts sont plus laise pour dterminer les infractions qui relvent de la
cybercriminalit.
Il y a, en effet, un large consensus pour estimer que ce concept recouvre
2dabord une catgorie dinfractions totalement spcifiques, celles diriges
contre le systme dinformation lui-mme et qui regroupent, principalement,
*les attaques contre les systmes automatiss de traitement de donnes (S.T.A.D. ),
10
qui prennent la forme dintrusion, dentrave, daltration ou de destruction de donnes
(art. 323-1 s. du code pnal franais)
*les atteintes portes aux liberts individuelles par le biais de traitements automatiss
de donnes caractre personnel, qui correspondent, en France, aux infractions
prvues par les art. 226-16 s. du code pnal et rsultant de la loi dite Informatique et
liberts
*des infractions dites prventives relatives, par exemple, au commerce, la fabrication
et la diffusion non autoriss doutils logiciels destins de telles activits illgales,
notamment la cryptologie.
2ensuite, une deuxime catgorie regroupant lensemble des infractions
de droit commun commises au moyen de ces nouvelles technologies de
linformation et de la communication ; mme si cette catgorie est plus ou
moins large selon les systmes juridiques (en fonction de ltendue de la libert
dexpression : cf. les infractions dites de presse en droit franais compares au droit
amricain rsultant du 1 amendement), elle recouvre, en Europe,
er
*lutilisation de telles technologies pour vhiculer des contenus illicites (images
de pdopornographie, apologie de crimes contre lhumanit ou du terrorisme, provocation
la haine raciale, la xnophobie, au ngationnisme, au rvisionnisme : cf., notamment,
le protocole additionnel du 7.11.2002 la Convention de Budapest).
*lutilisation de ces technologies en tant que moyen permettant de faciliter la
commission de toute autre infraction (terrorisme, proxntisme, atteintes la vie
prive, injures et menaces, infractions la lgislation sur les stupfiants, escroqueries,
falsifications et usages de cartes de paiement contrefaites, atteintes au secret
professionnel, atteintes la proprit intellectuelle et aux droits dauteur...).
Dans le langage courant, ces infractions, lorsquelles sont commises au moyen
dun systme dinformation et de communication, sont dites cyber-escroqueries
(par exemple), pour les distinguer des mmes infractions commises par les
moyens traditionnels.
Si ces cyber-infractions relvent, ordinairement, du rgime du droit pnal
gnral (cf. lexemple allemand), certains systmes juridiques, notamment le droit
franais, aggravent les sanctions encourues pour certaines dentre elles
lorsquelles sont commises par le moyen dun systme dinformation.
En ltat, la table NATINF ne prend pas en compte les infractions prvues par larticle 6 de la loi du
11
21.06.2004 sur lconomie numrique, eu gard aux difficults dinterprtation quelles posent, ni celles cres
par la loi du 18 dcembre 2013 relative la programmation militaire, compte-tenu du caractre rcent de cette
dernire.
14
Pour les besoins du groupe interministriel, le ple dvaluation des politiques
pnales de la Direction des affaires criminelles et des grces (ministre de la Justice) a ralis une
extraction de la table NATINF qui, comme son nom lindique (NATure dINFractions), recense
lensemble des infractions dfinies par la norme franaise (loi, dcret-loi, ordonnance, dcret), afin
de mieux cerner les types dinfractions concernes par la cybercriminalit (les listes issues de ces
extractions figurent in extenso dans lannexe terminale du rapport) .
11
L en France, 248 NATINFs. et donc autant dinfractions, concernent
spcifiquement la cybercriminalit, soit par leur objet, soit parce que leur mode
de commission est saisi par la loi, le plus souvent au titre des circonstances
aggravantes.
Sont concernes certaines atteintes aux personnes (infractions du titre 2 du livre 2 du
code pnal, avec la circonstance aggravante de commission par rseau de
communications lectroniques), les atteintes relatives aux traitements de donnes
personnelles (infractions dites Informatique et liberts), les atteintes aux S.T.A.D.,
certaines infractions la loi sur la presse, les infractions techniques et atteintes aux
rseaux (prvues par le code des postes et communications lectroniques ou,
sagissant de la cryptologie, par le code pnal), certaines atteintes la proprit
intellectuelle commises par voie lectronique ou infractions techniques visant la
protection des oeuvres, certaines infractions aux instruments de paiement (tendant
la contrefaon de la monnaie fiduciaire ou scripturale), les infractions aux jeux en
ligne, les infractions relatives la captation frauduleuse de programmes tldiffuss,
et enfin certaines atteintes aux intrts fondamentaux de la Nation (atteintes aux
secrets de la Dfense Nationale, livraison dinformation une puissance trangre,
sabotage).
L 181 autres NATINFs correspondent des infractions pour lesquelles le texte
dincrimination ne fait pas de rfrence expresse la cybercriminalit, mais
dont la commission par ce moyen est constate par les praticiens.
On y trouve les infractions relatives la pdopornographie, partie des menaces contre
les personnes ou contre les biens, dautres atteintes diverses aux personnes, partie
des atteintes la proprit intellectuelle, aux jeux de hasard et dautres atteintes aux
biens.
L enfin, 46 autres NATINFs paraissent aussi relever de la cybercriminalit.
Il sagit, essentiellement, dinfractions concernant les communications lectroniques,
prvues par le code des postes et des communications lectroniques.

15
3.- limportance quantitative de la cybercriminalit : la difficult de la mesure
Jamais, un phnomne criminel na fait lobjet daffirmations autant premptoires
quant son importance et quant au prjudice quil induit, y compris de la part dorganisations
internationales officielles. Pourtant, si lensemble des acteurs saccordent sur cette importance
et cette gravit, les sources dinformation paraissent parcellaires et approximatives.
Dans tous les Etats (cf., notamment, lAllemagne), la quantification du phnomne
se heurte des difficults comparables celles que rencontre la France :
T lapprhension de la cybercriminalit doit dabord tre fonde sur la
dfinition lgale des infractions.
Si le dispositif statistique de la Justice a t conu autour de ce concept
dinfractions, celui du ministre de lintrieur procde de manire plus globale.
En France, au plan judiciaire, le base statisticielle est fournie par la table NATINF
(prcite), dont chacune des quelques 12.000 occurrences rpond ainsi une
incrimination, une circonstance aggravante et une peine spcifique. Cette vocation
exclusivement juridique sexplique par les finalits de cette table, constitue,
lorigine, pour permettre lenregistrement des condamnations au Casier judiciaire
national automatis, puis, pour rgir les systmes informatiques des juridictions
pnales (application Cassiope). Le fait quaujourdhui cette table ait une vocation
interministrielle, puisquelle est utilise par les administrations et services vocation
rpressive, na pas modifi sa conception premire, bien au contraire, puisque le
concept dinfraction constitue le dnominateur commun de laction de lEtat en ce
domaine. Elle est gre par la Direction des affaires criminelles et des grces du
ministre de la Justice.
Au plan policier, la table dite des 107 index de ltat 4001 gr par la Direction centrale
de la police judiciaire est constitue par un regroupement de natures dinfractions,
mme si, la marge et pour les infractions les plus importantes, elle peut parfois
prendre en compte aussi des faons doprer. En ltat, seuls deux de ces 107 index
se rapportent, et encore partiellement, la cybercriminalit.

Le 1 dfi consiste ainsi, pour le ministre de lIntrieur, asseoir son dispositif
er
statistique sur la notion dinfraction, cest--dire sur la table NATINF, ce que ne
permettent pas, en ltat, les applications existantes (Systme de traitement des
infractions constates - STIC - pour la Police, et Systme judiciaire de documentation et
dexploitation -JUDEX - pour la Gendarmerie).
T Toutefois, la dfinition lgale des infractions est, le plus souvent,
insuffisante pour prendre en compte la cybercriminalit lorsquelle ne
constitue que le moyen de commettre une infraction de droit commun.
Si la table NATINF distingue les cyber-infractions spcifiques relevant de la 1 catgorie
re
prcite ainsi que les rares infractions de droit commun (2 catgorie) pour lesquelles
me
le modus operandi propre la cyber est vis par la loi en tant que lun des lments
constitutifs possibles ou encore en tant que circonstance aggravante particulire, il nen
est pas de mme pour la grande majorit des infractions de droit commun : la loi ne
comportant aucun lment distinctif quant leur commission au moyen dun systme
dinformation, la table NATINF ne les isole pas non plus (cf., par exemple, les
16
escroqueries qui constituent pourtant le principal contentieux de masse de la
cybercriminalit).
Ds lors, le 2 dfi, pour les dispositifs statistiques policier et judiciaire,
me
consiste prendre en compte, mme dans le silence de la loi, ce modus
operandi spcifique la cybercriminalit, lorsquil existe ; cela ne peut se faire
que sur la base des constatations faites par les enquteurs.

En rsum, les dispositifs actuels sont donc dans lincapacit dapprhender
lensemble de la cybercriminalit constate et juge, comme la mis en exergue
lObservatoire national de la dlinquance et des rponses pnales (ONDRP).
T les lments de solution actuellement mis en oeuvre par le ministre de
lIntrieur
Ils diffrent, pour des raisons organisationnelles, entre la Police Nationale et la
Gendarmerie Nationale.
Sagissant de la police, elle prvoit dalimenter directement les bases statistiques via
lapplication oprationnelle mise disposition des services pour lenregistrement et la
rdaction des procdures (L.R.P.P.N. : Logiciel de rdaction des procdures de la Police
Nationale), qui intgre, dans la version 3 en cours de dploiement, la table NATINF et
donc les infractions spcifiques la cybercriminalit, mais aussi, sagissant des
infractions dites de droit commun, les indications factuelles (nature de lieu, mode
opratoire) permettant de savoir lesquelles relvent aussi de la cybercriminalit.
Dans la mesure o les champs relatifs la manire doprer sont gnralement pr-
dfinis, il conviendra toutefois de veiller ce que toutes les donnes intressant
spcifiquement la cybercriminalit soient effectivement prises en compte dans cette
application.
Au contraire de la police, la gendarmerie nenvisage pas dexploiter des fins statistiques
sa base oprationnelle ; elle dispose dj dune alimentation statistique particulire,
reposant sur lexploitation des messages dinformation statistique (MIS) dresss par les
units pour chaque fait enregistr, soit doffice, soit la suite dun dpt de plainte.
Depuis 2012, un indicateur spcifique relatif la cybercriminalit a t cr dans les MIS,
qui doit tre slectionn ds que lInternet est utilis comme lieu virtuel de diffusion de
contenus illicites ou lorsque les nouvelles technologies numriques sont utilises comme
moyen principal dans la commission des infractions vises. En consquence, le dispositif
valorise une notion factuelle et non celle dinfraction.
Dans un second temps, un nouveau fichier de police judiciaire se substituera
aux applications existantes et ralisera notamment linterface avec les
applications judiciaires.

17
Le traitement dantcdents judiciaires (T.A.J.)
Cr par le dcret n/ 2012-652 du 4.05.2012 (cf. art. R.40-23 et s. du code de
procdure pnale et la dlibration n/ 2011-204 du 7.07.2011 de la C.N.I.L.), ce fichier de
police judiciaire a pour vocation se substituer, vraisemblablement en 2015, aux applications
oprationnelles existantes (S.T.I.C. et JUDEX) et devenir commun la Police et la
Gendarmerie.
Il a trait aux donnes recueillies dans le cadre des procdures tablies par la Police,
la Gendarmerie ou les Douanes judiciaires. Sagissant des mis en cause, lapplication ne
portera que sur les donnes recueillies sur les personnes lencontre desquelles ont t
runis des indices graves et concordants au sens du code de procdure pnale -. En ce qui
concerne les plaintes, seront enregistres les donnes caractre non personnel qui
concerne les faits, objets de lenqute, les lieux, dates de linfraction et modes opratoires ainsi
que les donnes et images relatives aux objets.... Il doit tre toutefois soulign que, souvent,
le plaignant lui-mme ignore le moyen utilis pour le lser (ex. des fraudes la carte bancaire,
pour lesquelles le dtournement des donnes confidentielles a pu tre opr via Internet mais
aussi de bien dautres faons, ce que la victime ignore dans la grande majorit des cas).
La collecte sopre automatiquement par la mise en relation de ce fichier avec les
traitements de rdaction des procdures LRPPN (Police nationale) et LRPGN (Gendarmerie
nationale) ; toutefois, si les donnes renseignes dans ces logiciels de rdaction des
procdures relatives aux faits et aux plaignants seront transmises en temps rel au T.A.J.,
celles concernant les personnes mises en cause ne le seront qu la clture de la procdure,
loccasion de la validation du compte-rendu denqute (Police) ou du bordereau denvoi
judiciaire (Gendarmerie), afin dviter que les personnes mises en cause par erreur soient
fiches.
En ltat, le T.A.J. est totalement dploy pour la Gendarmerie et en cours de
dploiement pour la Police.
Le T.A.J. a pour ambition de devenir un vritable outil dinvestigation comportant un
rapprochement automatis des donnes contenues dans des procdures diffrentes,
notamment quant au mode opratoire, ce qui intresse directement la lutte contre la
cybercriminalit. En outre, il devrait permettre aux services enquteurs dafficher des alertes
correspondant des enqutes en cours. Enfin, il poursuit des finalits statistiques.
Le nouveau fichier a vocation tre interconnect avec lapplication CASSIOPEE du
ministre de la Justice aux fins de mise jour automatise des suites judiciaires.
Dans la mesure o le dispositif Gendarmerie repose sur un systme dclaratif
distinct des applications oprationnelles, il importe den examiner les effets
quant lalimentation des applications judiciaires. En effet, si lapplication
Cassiope de la Justice a vocation tre interconnecte avec les applications
de la Police ou de la Gendarmerie (la connexion est dj opre, pour partie, avec
cette dernire), encore faut-il quelle puisse aussi disposer des identifiants-cyber
relatifs au modus operandi et au lieu de commission de linfraction afin dtre en
mesure de les exploiter au regard des dcisions judiciaires. Autrement, la
continuit statistique ne pourra tre assure.
Il est toutefois noter, sur un plan plus gnral, que les dispositifs actuels ou
futurs paraissent impuissants rendre compte de deux types de donnes
intressant, au plus haut point, la criminologie : le type de victimes et le montant
du prjudice, lequel nest partiellement apprhend actuellement qu travers
le prisme des socits prives de scurit informatique.
cf. Home Office, Crime against businesses : Headline findings from the 2012 Commercial
12
Victimisation Survey, January 2013 ; cette enqute de victimation, mene en 2012 auprs des entreprises
commerciales dAngleterre et du Pays de Galles, est brivement rsume dans le rapport 2013 de
18
T Mmes rendues exhaustives, les statistiques policires et judiciaires
seraient impuissantes rendre compte des cyber-infractions ne donnant
lieu ni plainte, ni dnonciation, ni saisine doffice.
Pour ntre pas propre la mesure de la cybercriminalit, ce constat prend, la
concernant, une importance toute particulire pour deux raisons :
2 la propension dposer plainte, bien que plus forte en France que dans
nombre Etats trangers, est fonction des attentes des victimes par rapport au
systme rpressif mais aussi de la reprsentation quelles se font des rsultats
attendus.
Ainsi, bon nombre dentreprises sont encore rticentes rendre publiques les cyber-
infractions dont elles sont victimes, essentiellement pour des raisons tenant leur image.
Les victimes individuelles de petites escroqueries peuvent aussi considrer que le
prjudice subi ne justifie pas la dmarche.
Quant aux fraudes la carte bancaire, les dtenteurs sont indemniss par le systme
bancaire sans devoir justifier dune plainte pralable.
Sagissant enfin des professionnels de lInternet, leur obligation de dnonciation est
aujourdhui cantonne quelques infractions graves.
Au surplus, nombre de cyber-dlits sont transparents pour lutilisateur qui peut ignorer
son tat de victime ou sen apercevoir longtemps aprs.
Si la technique des signalements par les internautes, notamment ceux adresss
directement lEtat (cf. la plate-forme PHAROS, dont il sera question par la suite),
permet de pallier, dans une certaine mesure, cette mconnaissance, il nest pas possible
den mesurer exactement limpact.
2 le fait quune partie des infractions relevant de la cybercriminalit sont
traites par dautres modes de rgulation des conflits, en-dehors de
lappareil rpressif (cf. titre I, chapitre 2).
Une premire solution consiste alors prendre en compte aussi les informations
provenant dautres sources que celles de la police, de la gendarmerie ou de la justice :
les administrations spcialises qui disposent de pouvoirs transactionnels, voire de
sanctions administratives (Douane, Concurrence, consommation et rpression des
fraudes...) ; les Autorits indpendantes ; les organismes partenariaux ou professionnels
(G.I.E. cartes bancaires, professionnels du e-commerce, diteurs anti-virus,
assurances...) ; il y a toutefois difficult disposer dune nomenclature commune et
viter les doubles comptages entre les diffrentes sources.
Une autre solution consiste, comme la initi, ds les annes 1970, le C.E.S.D.I.P.
(laboratoire C.N.R.S. de recherche socio-criminologique rattach au ministre de la
Justice) et comme sy emploie lONDRP depuis 2007, mener des enqutes de
victimation ; toutefois, certaines des cyber-infractions se prtent mal une telle enqute
pour les raisons dj exposes tenant labsence de dpossession matrielle et visible;
encore faudrait-il aussi que, comme le font dj les pays anglo-saxons, ces enqutes
visent, non seulement les mnages, mais aussi les entreprises (cf. plus loin, toutefois,
le rle jou par le CLUSIF) .
12
lINHESJ/ONDRP sur la criminalit en France : 180.000 entreprises se sont dites avoir t victimes dintrusion
dans leur systme dinformation, de phishing, de vol en ligne dargent ou dinformations, daltration de leur site
Internet, ou dinfection de leurs machines par un virus ou un programme malveillant ; linfection par virus
savre prdominante (135.000 entreprises victimes) ; dans 86%, linfiltration ou linfection sest faite
distance. Seules 2% de ces infractions ont donn lieu dpt de plainte.
19
2 enfin, les constatations faites doffice, notamment pour les cyber-
infractions qui ne font pas de victimes directes, dpendent de limportance
des enqutes dinitiative et donc, pour une bonne part, des veilles
ralises sur Internet.
Lensemble des dveloppements prcdents expliquent pourquoi la France
ne dispose actuellement que dune vision trs partielle de la ralit de la
cybercriminalit, au risque de minorer son importance. Elle est donc dpendante des
lments diffuss au plan international voire de ceux mis en exergue, pour leurs besoins
propres, par quelques socits de scurit, souvent elles aussi trangres.
Il est vrai que la prise de conscience de limportance dune telle mesure est
rcente. Elle a t initie, il y a deux ans, par lONDRP, dans son rapport 2011sur la
dlinquance. Comme la dj soulign cet Observatoire, il est aujourdhui urgent de se doter
des moyens ncessaires pour apprhender plus prcisment cette criminalit.
Recommandation n/ 2
relative lapprhension statistique de la cybercriminalit
1.- crer, dans le cadre de la Dlgation interministrielle prconise plus
avant, un observatoire charg de rassembler et de mettre en cohrence
toutes les donnes relatives la cybercriminalit, y compris en terme de
prjudice subi,
2.- dfinir, au plan interministriel et sous lgide de la Justice, un agrgat
prcis des infractions relevant de la cybercriminalit, partir de la table dite
NATINF,
3.- mener terme les rformes engages par le ministre de lIntrieur pour
la mesure de la cybercriminalit, en veillant lexhaustivit de lalimentation
judiciaire en terme de donnes,
4.- prvoir une exploitation statistique judiciaire de la cybercriminalit,
reposant, dune part, sur le Casier judiciaire, dautre part sur lapplication
judiciaire Cassiope alimente par la police judiciaire et amnage cet effet,
afin de prendre en compte toutes les manifestations de cette dlinquance et
lensemble des rponses judiciaires qui lui sont apportes,
5.- dvelopper, en liaison avec lONDRP, les enqutes de victimation sur la
cybercriminalit auprs tant des mnages que des entreprises,
6.- favoriser une meilleure apprhension de la cybercriminalit en suscitant,
cet effet, les organismes de recherche.
Source : INHESJ/ONDRP, Rapport sur la dlinquance constate en 2012
13
Source : note dresse par la Direction gnrale de la Gendarmerie Nationale le 18.07.2013
14
20
4.- les donnes statistiques actuellement disponibles sur la cybercriminalit
Sont ici recenses les donnes statistiques les plus importantes dont on dispose
pour la dernire anne de rfrence (2012).
9 les donnes de la Police Nationale et de la Gendarmerie Nationale
Compte-tenu de limpossibilit dexploiter ltat statistique 4001, lONRDP a extraites les
donnes qui suivent des systmes dinformation oprationnels de la Police nationale (STIC) et
de la Gendarmerie Nationale (JUDEX), avec des rserves tenant au fait que ces systmes
nont pas de vocation directement statistique . Mme si les rsultats ne sont pas exhaustifs,
13
il en rsulte les tendances suivantes pour 2012 :
une progression constante des atteintes aux systmes de traitement automatis des
donnes (STAD) : 419 en 2009, 626 en 2010, 1105 en 2011, 1427 en 2012, quasi-
exclusivement sous la forme dun accs ou dun maintien frauduleux.
une augmentation sensible des atteintes la dignit et la personnalit commises par le
biais dInternet (injures, diffamations, discriminations...) : 1.235 en 2009, 1.528 en 2010, 1.691
en 2011, 2.300 en 2012 ; dans ce total, les atteintes aux droits de la personne rsultant des
traitements informatiques (infractions Informatique et libert) progressent moins fortement :
248 en 2009, 245 en 2010, 312 en 2011, 334 en 2012.
une hausse des atteintes sexuelles commises par le biais dInternet (exhibitions, racolage,
agressions sexuelles, pdopornographie) : 385 en 2009, 330 en 2010, 263 en 2011, 455 en
2012 ; parmi elles, les infractions pdopornographiques (diffusion ou dtention dimages
caractre pornographique dun mineur) occupent une place majeure : 277 en 2009, 226 en
2010, 194 en 2011 et 362 en 2012.
un maintien niveau des escroqueries et abus de confiance commises par le biais
dInternet : 28.044 en 2009 ; 27.225 en 200 ; 27.259 en 2011 et 27.928 en 2012
une diminution sensible des falsifications et usages de cartes de crdit commises par le
biais dInternet, consquence directe de la politique pnale mise en oeuvre en la matire :
9.313 en 2009 ; 6.703 en 2010 ; 6.685 en 2011 et 1.868 en 2012.
Toutefois et comme il a dj t indiqu, la Gendarmerie dispose, depuis 2012,
dinformations plus prcises rsultant de la prise en compte dun indicateur propre la
cybercriminalit.
Si lONDRP a dj effectu une premire prsentation des principaux rsultats, le
groupe interministriel a aussi procd leur analyse , tant soulign que les chiffres qui
14
suivent doivent tre interprts avec prudence compte-tenu de lintroduction rcente de cet
indicateur et du temps ncessaire aux enquteurs pour se lapproprier pleinement. En outre,
aucune comparaison avec les annes prcdentes nest possible.
Lextraction ralise en janvier 2014 par la D.C.P.J. (Service central dtude de la dlinquance)
15
porte, aussi bien, sur les donnes 2013 que sur les donnes 2012 ; toutefois, par souci de cohrence avec les
autres donnes disponibles, compte-tenu aussi de la ncessaire consolidation des chiffres de 2013 et de
limpossibilit de procder, pour linstant, des comparaisons entre annes, seuls les lments relatifs en 2012
ont t retenus
la D.C.P.J. intgre aussi dans cette catgorie les fraudes aux cartes bancaires ; il semble toutefois que
16
ces dernires relvent davantage de la catgorie 3 (autres infractions dont les T.I.C. sont utilises comme moyen
principal de commission), qui comprend dj les escroqueries, extorsions et abus de confiance
21
33.428 faits relevant de la cybercriminalit ont t enregistrs par la Gendarmerie en 2012.
L 63% dentre eux concernent des escroqueries et abus de confiance (21.077 soit 34% du
total des escroqueries et abus de confiance constats)
L 5% sont des atteintes la dignit et la personnalit (1703 faits, soit 19% du total)
L 4% ont trait aux falsifications et usages de carte de crdit (1.423 faits, soit 42% du total des
infractions constates)
L 4% concernent des menaces ou chantages (1374 faits, soit 6,4% du total mais la proportion
est bien plus forte pour ceux de ces faits qui sont motivs par une volont dextorsion de fonds
: 22%)
L 2% ont trait des atteintes sexuelles (568 faits, dont 15% du total)
L 2% sont des atteintes aux systmes de traitement automatiss de donnes (775 faits, soit
100% du total)
L les 20% restants correspondant dautres faits dlinquantiels (6.543 faits).


A la demande du groupe interministriel, la Direction centrale de la police judiciaire
(DCPJ) sest livre un exercice similaire en ce qui concerne la Police Nationale ; les donnes
15
ci-dessous sont issues de la base STATS OP, base qui est aujourdhui alimente partie de
manire traditionnelle (par le S.T.I.C.), partie par le logiciel de rdaction des procdures de la
Police Nationale (L.R.P.P.N. version 3) en cours de dploiement dans les services ; le visa du
code NATINF permet dvaluer limportance de la cybercriminalit constate sur la base de la
centaine de codes NATINF identifis comme relevant de cette dlinquance particulire. Il sagit
dune exploitation provisoire jusquau dploiement gnralis du L.R.P.P.N. en juillet 2014,
dautant plus quen ltat la qualification de linfraction sur la base de la table NATINF est celle
retenue en dbut denqute : elle peut voluer par la suite.
Les donnes obtenues sont ainsi fournies titre de simple information.
En 2012, 51.346 infractions concernant la cybercriminalit auraient t ainsi constates, par
la Police Nationale, que lon peut regrouper en trois catgories :
L les infractions spcifiques aux technologies de linformation et de la communication - T.I.C. -
(1.590) , dont :
16
*les atteintes aux S.T.A.D. (1.273)
*les infractions la loi informatique et liberts (282)
*les chiffrements non autoriss : -
*les violations de correspondance (16)
*les infractions la loi sur lconomie numrique : -
*les autres infractions au code des postes et des communications lectroniques (19)

Manifestement, la part des escroqueries relevant de la cybercriminalit est, en ltat, apprcie
17
diffremment par la Police Nationale et la Gendarmerie Nationale
22
L les infractions de diffusion de contenu illicite par voie lectronique (1.327), dont
*les infractions lies la pdopornographie (189)
*les infractions la loi sur la presse (267)
*les usurpations de fonction, de titre et didentit (455)
*les autres atteintes aux personnes (408)
*les atteintes aux biens : -
*les diffusions de procds pour la fabrication dengins explosifs (8)
L les autres infractions dont les technologies de linformation et de la communication sont
utilises comme moyen principal de commission (48.429), dont
*les infractions aux cartes bancaires (39.553)
*les escroqueries, extorsions et abus de confiance (8.780)
17
*les infractions au code de la proprit intellectuelle (38)
*les infractions la lgislation des jeux en ligne (1)
*les violences sexuelles (2)
*la traite des tres humains et le proxntisme (1)
*la mise en pril des mineurs et personnes vulnrables (54)
*les provocations au suicide : -
Mme si ces exploitations propres la Gendarmerie et la Police doivent tre
consolides et mises en cohrence dans le futur, elles permettent dj davoir une image plus
exacte de limportance de la cybercriminalit et de son contenu.
Estimation globale des cyber-infractions constates par les services de
Police et de Gendarmerie en 2012
84.774 infractions,
dont 84% sont constitues par des escroqueries, abus de confiance
et fraudes aux cartes bancaires.
Sur ce total, il nest pas possible de savoir le nombre des infractions constates
que les services de police dclarent avoir lucider.
Toutefois, pour les raisons dj exposes, les infractions constates par les
services de Police et de Gendarmerie npuisent pas la ralit de la cybercriminalit ; il faut
donc se rfrer aussi dautres sources, sans prtendre cependant une quelconque
exhaustivit dans le cadre de ce rapport. Certains des lments qui suivent rendent compte de
lactivit de services ou dautorits ; les autres sont issus denqutes auprs de diverses
catgories concernes.
Source : DGCCRF, Bilan de laction de la DGCCRF sur la Toile en 2012"
18
23
9 la cybercriminalit travers laction des services de la Concurrence, de la
Consommation et de la rpression des fraudes (DGCCRF)
Laction de contrle de la D.G.C.C.R.F exerce dans le e-commerce lui permet de mettre en
vidence un certain nombre dinfractions au droit de la concurrence et de la consommation .
18
-Les 15.199 contrles de sites de commerce lectronique effectus en 2012 ont permis de
constater 3.742 infractions, soit un taux de 24,6% en progression par rapport 2011 (13%).
-30% de ces infractions concernaient la rglementation sur la vente distance, 25% des
pratiques commerciales trompeuses (art. L.121-1 du code de la consommation), 17% des
carences dinformation en matire de commerce lectronique, 9% des infractions aux arrts
en matire daffichage des prix, 4% des clauses abusives (art. L.131-1 du code prcit) et 2%
le non-respect dobligations relatives aux soldes.
-Au total, 226 de ces infractions ont donn lieu ralisation dun procs-verbal, le reste tant
trait par la voie de lavertissement.
9 la contrefaon en ligne travers laction des Douanes
Le Comit national anti-contrefaon (CNAC), loccasion de sa dernire assemble plnire
qui sest tenue le 10 dcembre 2013, chiffrait le manque gagner, sur le plan fiscal, de la
contrefaon en France 6 milliards deuros.
Au plan douanier, les saisies opres dans le fret postal et le fret express - mode privilgi de
la contrefaon vendue via Internet - reprsentaient, en 2012, 30% des saisies totales opres
(correspondant 1,4 millions dobjets saisis) contre peine 1% en 2005.
Outre les contrefaons classiques portant sur la mode ou le tabac, celles relatives aux
mdicaments sont en trs forte augmentation : les saisies en la matire ont augment de 45%
en 2012 (95.000 objets saisis).
Dans lactivit de Cyberdouane pour 2012, la contrefaon correspond 52% de lactivit du
service, bien avant les stupfiants (9%),

9 Les atteintes aux donnes personnelles travers laction de la Commission
nationale de linformatique et des liberts (CNIL)
Comme chaque anne, la C.N.I.L. a dress le bilan de ses actions dans le cadre de son rapport
dactivit 2012. Les lments qui suivent nont trait quaux plaintes reues et aux sanctions
ordonnes par cette Autorit.
Source : OCLCTIC, PHAROS, bilan de lanne 2012", note du 14.06.2013
19
24
-6017 plaintes ont t reues par la C.N.I.L. en 2012 ; ce chiffre est en augmentation
constante.
-31% dentre elles concernaient Internet ou le domaine des tlcommunications,
essentiellement pour revendiquer un droit loubli (sous la forme de suppression de
photographies, de vidos, de commentaires, de coordonnes, notamment sur les rseaux
sociaux ou dans les rfrencements des moteurs de recherche) ; toutefois de nombreuses
plaintes avaient aussi trait la rception de spams non sollicits et au harclement sur les
rseaux sociaux
21% concernaient le secteur du commerce
15% le domaine du travail
10% les organismes bancaires
8% les liberts publiques et les collectivits locales
-Tous domaines confondus, lopposition figurer dans un fichier constituait le principal motif
de saisine de la CNIL.
-43 mises en demeure ont t effectues, 13 sanctions ordonnes lencontre de socits,
de collectivits locales, dcoles...et prenant la forme soit dun avertissement, soit dune
sanction pcuniaire, soit dune injonction de cesser le traitement.
9 Les jeux en ligne illicites travers laction de lAutorit de rgulation des jeux
en ligne (ARJEL)
Cre par la loi n/ 2010-476 du 12 mai 2010 ouvrant la concurrence les jeux dargent et de
hasard en ligne, lARJEL a pour mission de rguler ce secteur - qui concernait, en 2012, 2
millions de joueurs ayant mis 45 millions deuros - et de lutter contre les sites illgaux.
Depuis sa cration, lARJEL a envoy 1.400 mises en demeure correspondant autant
dinfractions, qui ont t suivies dune mise en conformit dans 92% des cas.
Sagissant des rcalcitrants, 85 sites illgaux ont t assigns et 49 dentre eux ont t
bloqus sur dcision judiciaire ; les parquets ont t aussi saisis de plusieurs dnonciations.
9 lexploitation des signalements reus par la Plate-forme PHAROS (Plate-forme
dharmonisation, danalyse, de recoupement et dorientation des signalements, gre par lOffice
central
Mme si cette exploitation na pas de valeur statistique, puisque PHAROS reoit, pour lessentiel,
des signalements effectus dinitiative par les internautes et que les qualifications auxquelles
ces derniers procdent requirent une vrification juridique, limportance des signalements reus
(prs de 120.000 pour 2012 ) mrite que lon y prte attention.
19
25
Extraits du bilan 2012 de la plate-forme PHAROS
56% des signalements ont trait des escroqueries et extorsions, proportion en hausse
par rapport aux annes antrieures ; en valeur absolue, la croissance est forte (67.349 faits
en 2012 contre 49.262 en 2011) ;
12% concernent des atteintes aux mineurs (essentiellement pdopornographie et atteintes
sexuelles), qui sont en forte baisse tant en valeur relative quen valeur absolue(14.696 en 2012
contre 21.912 en 2011) ;
8% ont trait des actes xnophobes ou racistes ou encore discriminatoires, qui sont
un niveau quivalent en valeur relative mais qui continuent crotre en valeur absolue par
rapport aux annes antrieures (9.431 en 2012 contre 8.967 en 2011).
9 les fraudes la carte bancaire selon lObservatoire de la scurit des cartes de
paiement (OSCP)
LObservatoire a t cr par la loi n/ 2001-1062 du 15 novembre 2001. Compos dlus, du
Gouverneur de la Banque de France, de reprsentants des ministres, dmetteurs de cartes de
paiement, du Conseil national de la consommation, dentreprises de commerce, il a
essentiellement pour mission de favoriser la concertation sur la question de la scurit des cartes
de paiement, de sensibiliser les metteurs et commerants, dassurer une veille technologique
en matire de cartes de paiement et de suivre lvolution des fraudes.
Cette volution est mesure annuellement partir des donnes des tablissements financiers.
Extraits du 10 rapport annuel dactivit relatif lexercice 2012
me
de lObservatoire de la scurit des cartes de paiement
-Le nombre de cartes mises en opposition en 2012 suite au moins une transaction
frauduleuse slve 767.000, soit + 3% par rapport 2011, chiffre qui tait dj en forte
progression (+ 16%) par rapport 2010.
-Le montant moyen dune transaction frauduleuse tait de 125 .
-Le taux de fraude la carte bancaire sur lensemble des paiements slevait, en 2011 comme
en 2012, 0,08%, pour un prjudice global valu, respectivement, 413,2 et 450,7
millions deuros.
-La fraude sur les transactions internationales augmente de 11,2%, que lObservatoire
explique par la recrudescence, lors des sjours ltranger, des vols de cartes et des
compromissions des donnes de cartes, mais aussi par une trs forte croissance de la fraude
sur Internet sagissant des sites situs lextrieur des frontires nationales (+ 37%).
Le montant de cette fraude internationale atteint 224 millions deuros.
Le risque de fraude de ce type savre beaucoup plus fort que la fraude nationale, puisquil
reprsente, au regard du montant des oprations en jeu, prs de 0,4%.
La fraude sur les paiements distance auprs de e-commerants trangers raliss avec des
cartes franaises a trs fortement augment, vraisemblablement parce que les sites situs
ltranger sont moins bien protgs que les sites de commerce en ligne situs en France.
Source : GUILLANEUF (Jorik), charg dtudes statistiques lONDRP, les dbits frauduleux sur
20
comptes bancaires dclars par les mnages au cours des enqutes Cadre de vie et scurit, in Repres 20,
publication de lInstitut national des hautes tudes de la scurit et de la justice (INHESJ) et de lONRDP; n/20,
janvier 2013
26
-La fraude sur les transactions nationales saccrot de 7,1%, progression qui serait due une
hausse trs forte des attaques de distributeurs automatiques de billets (+ 73% par rapport
2011) et des points de vente, devenus des cibles privilgies pour les rseaux de fraude
organiss, auxquelles sajoute un nombre lev des vols de cartes avec leur code confidentiel.
Si le taux de fraude sur les paiements distance est en baisse tout en demeurant 20 fois plus
lev que celui constat propos les paiements de proximit, ces fraudes concentrent 61%
des oprations frauduleuses nationales.
Plus prcisment, le taux de fraude de paiement sur Internet diminue, suite au dploiement
de dispositifs dauthentification renforcs du porteur de la carte, mais il continue augmenter
pour les paiements distance effectus par courrier ou par tlphone.
-Lorigine de la fraude dans les paiements nationaux : dans 61% des cas, il sagit de numros
de carte usurps ; les pertes et vols de cartes reprsentent 35% ; la contrefaon nest
lorigine que de 2,6% des fraudes et louverture frauduleuse dun compte que de 1%.

9 les fraudes la carte bancaire rsultant de lenqute nationale annuelle de
victimation mene par lINSEE et lONDRP

Depuis 2011, cette enqute, mene auprs de 17.000 mnages, permet dapprhender les dbits
frauduleux sur carte bancaire dont sestiment victimes les personnes rsidant en France
mtropolitaine (hors litiges avec des cranciers, vols de chque ou de carte bancaire, omissions
de carte dans un distributeur, ou extorsion de donnes confidentielles par la violence ou la
menace) .
20
Extraits de lenqute annuelle de victimation cadre de vie et scurit
ralise en 2013 par lINSEE et lONDRP
-1,8% mnages (soit 501.000 mnages pour 868.000 dbits frauduleux estims) dclaraient
avoir t victimes, en 2010, dau moins un dbit frauduleux sur un de leurs comptes bancaires;
la proportion sest leve 2,3% en 2011 (soit 649.000 mnages ayant dclar 1,134 million
de dbits frauduleux estims), ce qui correspond une augmentation trs significative.
-Pour 52% des mnages, le dbit frauduleux le plus rcent a t effectu dans un commerce
en ligne, localis le plus souvent en France, ce qui signifie que des informations bancaires
confidentielles ont t utilises pour procder un achat sur Internet.
-Pour 13% dentre eux, ce mme dbit a t effectu dans un commerce traditionnel situ,
majoritairement, ltranger et laide, par exemple, dune carte contrefaite.
-Pour 7%, il sagissait dun virement effectu par lauteur depuis leur compte bancaire.
Une proportion identique dclarent avoir t victimes dun retrait frauduleux un distributeur
automatique de billets.
-Le prjudice subi est variable selon les enqutes 2011-2012 cumules : dans 27% des cas,
il est gal ou infrieur 100 ; dans 25% des cas, il est compris entre 100 et 300 ; 29%
entre 300 et 1.000 et 19% suprieur ce dernier montant.
-70% des mnages ont pris conscience de la fraude la consultation de leurs relevs
bancaires, 22% ont t aviss par leur tablissement bancaire.
27
-56% des mnages ignorent les conditions dans lesquelles les informations bancaires
confidentielles leur ont t drobes, mais 15% dclarent que cela a fait suite un achat ou
une rservation sur Internet.
-En 2011, 42% des mnages victimes ont dpos plainte (taux en baisse) et 9% ont fait
une dclaration de main courante.
-77% des mnages victimes ont t rembourss par leur banque (6% taient en attente de
rponse, 7% staient heurts un refus et 9% navaient formul aucune demande de ce
type).
Toutefois la tendance la plainte comme la demande dindemnisation est directement
fonction du montant du prjudice.

9 la cybercriminalit et lenqute annuelle ralise par le CLUSIF
Le Club de la scurit de linformation Franais (CLUSIF) est une association indpendante
rassemblant des entreprises, des collectivits territoriales mais aussi des administrations, qui
sest fixe pour objectif dagir pour la scurit de linformation et de sensibiliser cette question
tous les acteurs concerns ; elle aide les entreprises mieux scuriser leurs rseaux et leurs
systmes dinformation.
Chaque anne depuis 2002, elle publie les rsultats dune enqute sur les menaces
informatiques et les pratiques de scurit effectue auprs des entreprises de plus de 200
salaris, des collectivits dune certaine taille, des hpitaux mais aussi de 1000 internautes ; elle
runit enfin des assises pour dresser un panorama de la cybercriminalit.
Extraits des rsultats de lenqute du CLUSIF sur les menaces informatiques et
pratiques de scurit en France, dition 2012
-la technique du stockage des informations dans linformatique dans les nuages (cloud
computing) est encore peu utilise par les entreprises questionnes (14%), essentiellement
pour des raisons tenant la problmatique de la scurit des donnes.
-les infections par virus restent la premire source dincidents dorigine malveillante pour
les entreprises (23% des entreprises concernes), avant les vols ou disparitions de matriels
(19%). Quant aux attaques logiques cibles, elles nont concern que 3% des entreprises,
de mme que les fraudes informatiques ou touchant aux systmes de tlcommunication.
On dnombre aussi 2% dentreprises concernes par des actes de dnigrement ou
datteintes limage, autant dintrusions sur les systmes dinformation, ainsi qu1%
dentreprises victimes de sabotages physiques.
- seules 6% des entreprises dposent plainte suite un incident de scurit.
Lintgralit de cette exploitation figure dans les annexes terminales du rapport
21
28
9 la cybercriminalit rprime travers les statistiques judiciaires
A la demande du groupe interministriel, le ple dvaluation des politiques pnales dj cit
a mis en exergue, au regard de chacune des infractions dfinies par la loi comme
relevant, par leur objet ou en fonction du moyen utilis, de la cybercriminalit, le nombre
de condamnations prononces en 2008, 2009, 2010, 2011 et 2012, ainsi que les peines
principales . Il sagit donc des infractions lucides, qui ont donn lieu poursuite (les
21
alternatives aux poursuites ne sont pas prises en compte).
En revanche, les condamnations relatives aux nombreuses infractions qui, bien que
souvent commises par le biais dun systme dinformation et de communication, ne font
pas lobjet dune incrimination spcifique au plan lgal nont pas t comptabilises, le
Casier judiciaire national automatis ne disposant daucun moyen pour les isoler.
-En 2012, 2222 condamnations ont t prononces pour des crimes (5) ou dlits
spcifiquement viss par la loi comme faisant partie de la cybercriminalit.
-Un gros tiers concerne des atteintes aux personnes (817 condamnations), en forte
augmentation depuis 2010 compte-tenu dune rpression accrue de la pdopornographie mais
aussi du proxntisme aggrav en cas de contact par le biais dun rseau de communications
lectroniques
-Les infractions la loi sur la presse font quasiment jeu gal (800 condamnations), mais leur
nombre, en augmentation par rapport 2011, rgresse par rapport aux annes antrieures;
prdominent les injures racistes, les diffamations et les autres types dinjures.
-Puis viennent les infractions aux instruments de paiement (321 condamnations), dont le
nombre diminue par rapport la priode 2008-2010 suite la modification de la politique
pnale ; lusage dinstrument de paiement contrefait ou falsifi prdomine, suivi de lusage
dinstrument de paiement contrefait ou falsifi, de la dtention dquipements destins la
contrefaon-falsification ou de la contrefaon-falsification elle-mme
-Les atteintes aux S.T.A.D. (182 condamnations) sont en nombre plus important que les
annes antrieures, lexception de 2010 (252 condamnations) ; cette progression concerne
moins les intrusions que les modifications frauduleuses de donnes.
-La captation frauduleuse de programmes tldiffuss (47 condamnations).
-Les infractions dites Informatique et libert (44 condamnations), qui progressent.
-Toutefois nombre dinfractions ne donnent lieu qu quelques condamnations par an, voire
aucune.
et notamment sur le web profond (Deep web) et les rseaux sombres (Darknets) auxquels
22
sintresse le nouveau Centre europen de lutte contre la cybercriminalit
29
5.- Les tendances actuelles de la cybercriminalit
Nonobstant les difficults de comptage, les principaux acteurs tatiques
spcialiss dans la lutte contre la cybercriminalit relvent que le nombre de cyber-dlinquants
augmente de manire significative et que leurs modes opratoires se sont, tout la fois,
diversifis et complexifis.
Le nombre de cybercriminels augmente en raison, notamment, dune offre technique
qui volue, se vulgarise et savre dsormais facilement accessible : lpoque o le
cybercrime tait le fait de quelques frus dinformatique est dsormais rvolue :
aujourdhui, tout un chacun peut se fournir sur le march parallle dInternet en virus
22
et autres programmes malveillants. En particulier, lutilisation croissante de moyens
danonymisation des connexions (tel TOR) engendre une forte progression des
comportements dlinquantiels du fait du sentiment dimpunit quelle gnre.
La cybercriminalit se diversifie. Schmatiquement, lon peut distinguer
2 les cybercriminels de droit commun, de loin les plus nombreux, parmi
lesquels prdominent :
*Les dlinquants sexuels, avec la pdopornographie, vritable plaie dInternet contre
laquelle le monde entier se mobilise, qui saccompagne parfois de passages lacte ;
par-del, lon trouve aussi du proxntisme organis.
*Les cyberviolents qui sen prennent aux personnes (menaces, insultes,
diffamations, harclements via Internet) : comme lnonce Marc KNOBEL, lInternet
devient, trop souvent, un exutoire la haine contre des catgories entires ou contre une
personne dtermine ; lon y dcle aussi des risques sectaires qui se cachent sous les
nombreuses offres caractre soit-disant thrapeutique ou de dveloppement de la
personnalit.
*Les cyberescrocs motivs par lappt du gain et qui relvent, pour lessentiel,
dune dlinquance grande chelle, trs organise mais aussi trs imaginative:
dune part, toute la masse des escroqueries, qui prennent des formes de plus en plus
diverses pour convaincre linternaute de commettre lerreur qui lui sera fatale (le
hameonnage, lescroquerie aux emplois dappoint, le blocage avec demande de ranon,
lamende fictive payer, lescroquerie la rservation de la chambre dhtel,
lescroquerie la Nigriane ou la fausse loterie, lescroquerie sentimentale, le chantage
la web-cam...et la plus lucrative dentre toutes qui fait actuellement des ravages dans
les entreprises franaises : lescroquerie par faux ordres de virement) ; dautre part, les
fraudes par cartes bancaires avec linterception des donnes sur Internet, le skimming
qui sattaque aux distributeurs automatiques de billets, ou encore le piratage des
terminaux de paiement chez les commerants ; mais aussi, les fraudes tlphoniques
par dtournement des services surtaxs ; et enfin tous les types possibles de
contrefaons lis lextension du commerce en ligne (contrefaons de marques, de
logiciels, de produits relevant de la proprit intellectuelle, de mdicaments...) ; sans
oublier les jeux illgaux.
30
Il faut toutefois prendre aussi en compte les nombreux trafics qui prosprent sur Internet,
tel le florissant march des drogues de synthse ou le blanchiment du produit du crime..
2 les cybercriminels qui concentrent leurs attaques sur les entits
tatiques et les oprateurs dimportance vitale (cf. titre II, chapitre 1 sur la
cyberscurit) ; parmi ces cybercriminalit, la Direction centrale du
renseignement intrieur (DCRI) distingue
*Les cybermercenaires, qui proposent leurs services sur un march Internet
souterrain, afin de perptrer des attaques pour le comptes dEtats, dindividus ou
dorganisations ne souhaitant pas apparatre ou ne possdant pas la technicit ou la
ressource ncessaire; ce systme fonctionne exclusivement par cooptation et sous
contrat. Il ny a toutefois pas de frontires tanches avec la catgorie prcdente
puisque ces mercenaires peuvent se livrer aussi bien des activits despionnage qu
de la criminalit de nature financire.
*Les cyberespions, qui ralisent des intrusions afin de sapproprier des informations
stratgiques et conomiques. Ces attaques sont principalement commandites par des
Etats, allis ou non de la France. En parallle, le cyberespionnage conomique (vol de
donnes par un concurrent) constitue aussi une menace majeure.
*Les cyberterroristes, anims par des idologies extrmistes, qui utilisent Internet,
de manire plus intensive depuis quelques mois, comme une tribune et un moyen de
radicalisation. Ils ont recours, par exemple, des forums islamiques ddis et de plus
en plus scuriss compte-tenu du niveau technique lev de leurs dveloppeurs, pour
diffuser leur propagande, recruter et changer des informations oprationnelles. Suite
au Printemps arabe, la propagande islamiste sest aussi rpandue via les rseaux
sociaux, tels Facebook, Twitter et Youtube, chaque groupe arm et chaque brigade
possdant dsormais un compte quil alimente par lactualit en provenance du terrain.
Les cibles de la cybercriminalit npargnent aucune catgorie de victimes
potentielles, depuis les particuliers eux-mmes, utilisateurs dInternet, jusquau
monde de lentreprise et les services de lEtat.
2Les enfants, les personnes vulnrables et les personnes ges sont
particulirement viss par les dlinquants sexuels et les cyber-escrocs.
2Les petites et moyennes entreprises comme lindustrie sont, quant elles, les
cibles privilgies des cyber-attaques contre les systmes de traitement
automatis de donnes.
Selon une tude rcente ralise par la socit ditrice de logiciels anti-virus
KAPERSKY, plus dun tiers des entreprises franaises de moins de 250 salaris auraient
t victimes de telles attaques en 2013, en augmentation de 42% par rapport lanne
antrieure. Le choix de ces PME comme des sous-traitants nest pas anodin car il permet
aussi datteindre indirectement des grands groupes normalement mieux arms contre
ces menaces.
2LEtat et les entreprises sensibles au titre de la souverainet nationale ne sont
pas davantage pargns, pour les raisons dj mentionnes, ainsi que
lillustrent les attaques menes, ces dernires annes, contre le ministre de
lEconomie et des Finances (dcembre 2010) mais aussi contre AREVA, E.D.F.
31
(Avril 2011), la Gendarmerie, le ministre de la Justice, le Snat (janvier 2012) et
bien dautres, car peu ont t rendues publiques.
Les modes opratoires se diversifient et se complexifient.
2Les attaques contre le matriel ont des vises principalement financires.
Parmi les plus cites, figurent le skimming (copie de carte de paiement par capture
de bande magntique ou vol du support des cartes elles-mmes), le piratage croissant
des terminaux de paiement et des autocommutateurs tlphoniques (afin de
passer des appels surtaxs).
La mise disposition sur le march de moyens de paiement incluant une puce
RFID augmente lexposition cette menace, dans la mesure o le protocole
rgissant ces puces est toujours en cours de scurisation.
La mise en ligne de tutoriaux pour pirater du matriel de loisir (console de jeux,
quipements de communication : tlphone portable, tablette) savre aussi
extrmement lucrative et reprsente un prjudice financier non ngligeable ; en
outre, certains constructeurs paraissent aujourdhui tre les vecteurs de ce type
dattaques, lorsque lon constate que le matriel certifi est diffrent du matriel
rellement mis sur le march, des composants majeurs susceptibles de
favoriser des actes malveillants ayant t introduits.
2Sur le plan logique, si tous les systmes dexploitation sont touchs, Android
est le plus affect car il est majoritairement utilis.
Les architectures informatiques restent vulnrables aux attaques de type
dfiguration ou DdoS, les rseaux dordinateurs zombies tant toujours
facilement accessibles et bon march.
Les cyberdlinquants profitent par ailleurs de lutilisation de matriels personnels
sur les rseaux dentreprise pour attaquer ces quipements connects.
En revanche, la contrefaon de logiciels reste un niveau stable.
2Les donnes sont les cibles finales des attaques organises. A cot du
traditionnel envoi de courriels pigs, les techniques de lhameonnage
(phishing) et du point deau (waterholing) permettent aux cyberescrocs et au
cyberespions, souvent aprs une phase dingnierie sociale, de pntrer plus
ou moins en profondeur les infrastructures, pour en drober des donnes fort
potentiel stratgique ou financier.
Le chantage par la rtention volontaire des donnes de lutilisateur
(ransomwares) est aussi un mode dattaque qui prend de lessor du fait de sa
facilit de mise en oeuvre et des bnfices susceptibles den tre retirs.
Lutilisateur (priv ou professionnel) qui navigue sur un site pig voit ainsi laccs
son ordinateur et/ou ses donnes partiellement ou totalement entrav, et ne
peut esprer obtenir le code de dblocage que contre un paiement en ligne.

Toutefois, certains professionnels dInternet (notamment OVH) ont conu des clouds scuriss,
23
intgrant des solutions de cryptographie ; cf., sur ce point, les analyses et synthses de lAutorit de contrle
prudentiel de la Banque de France sur les risques associs au Cloud computing (n/16, juillet 2013).
32
Sur un plan plus gnral, lavenir de la cybercriminalit sera fonction de
la capacit limiter les effets nfastes dun cyber-espace qui est appel brasser de
plus en plus de donnes, rendues ainsi plus vulnrables.
Dores-et-dj, les donnes personnelles ou professionnelles nont jamais t
aussi nombreuses sur Internet. Le big data connat son ge dor. Larrive, dans les quatre
ans venir, dun milliard et demi dinternautes supplmentaires au plan mondial va encore
accrotre ce march.
Les socits de service de lInternet (les prestataires techniques au sens du droit
franais) stockent, suivent, analysent et recoupent en permanence ces donnes, des fins
conomiques, et en facilitent laccs quelle quen soit la nature.
Parmi ces dernires, les rseaux sociaux sont les grands acteurs du monde
connect. Le rseau Facebook, fond il y a juste 10 ans et qui compte en France 26 millions
dutilisateurs actifs, vient ainsi de mettre en ligne lensemble des 1.273.873.443 profils
existants. Twitter, qui vient de sintroduire en bourse, a comptabilis, depuis sa cration, en
2006, plus de 170 milliards de tweets et 500 millions dutilisateurs au plan mondial.
Au-del de lutilisation qui peut tre faite de ces donnes et des questions de
souverainet quelles posent, leur transport comme leur stockage de masse constitue un point
de faiblesse qui intresse les cyber-dlinquants (cf. le piratage dont vient dtre victime Orange)
comme les Etats (cf. laffaire Prism).
La technologie dite de linternet en nuage (cloud computing), de plus en plus
prise pour des raisons de facilit et de cot par les entreprises et les consommateurs qui
veulent hberger leurs donnes sensibles sur des serveurs extrieurs, constitue aussi un
nouveau dfi, eu gard au risque dintrusion quelle gnre .
23
Paralllement, le nouveau march des objets connects est en pleine expansion.
Appliqu au secteur de lautomobile, au domaine mdical ou des systmes techniques du
quotidien (chauffage central, climatisation...), il va rvolutionner nos modes de vie court terme,
en accentuant le recours la robotisation et lautomatisation. Dores-et-dj, un informaticien
de 28 ans a mis au point un moteur de recherche (SHODAN) qui a repr sur Internet plus de
1,5 milliard dappareils dj connects au rseau. On estime quen 2020, ce chiffre dpassera
les 50 milliards dobjets...
Comme les donnes dj prsentes sur Internet, ces nouvelles techniques poseront la question
de la scurisation de ces outils intelligents mais aussi de leur contrle, car lusurpation de profils
Internet susceptibles de favoriser des prises de contrle distance a dj dbut.

,,,,,,


A noter toutefois que les dispositions de cette loi
24
ne sont pas applicables aux copies temporaires
qui sont faites dans le cadre des activits techniques de transmission et de fourniture daccs un rseau
numrique, en vue du stockage automatique, intermdiaire et transitoire des donnes et seule fin de permettre
dautres destinataires du service le meilleur accs possible aux informations transmises (cf. art.4).
33
I.2.- Les rponses actuelles la cybercriminalit en France :
de lapprhension normative la spcialisation de la police
judiciaire pour une efficacit relative

Confronte ce phnomne nouveau que constitue la cybercriminalit, la
France sest dote dun arsenal juridique important ainsi que de services dinvestigation
performants. Nanmoins, lefficacit de son action reste encore relative.
1.- Un droit riche et souvent novateur
Pionnire en cela au plan europen, la France disposait dj dune loi rgissant
les donnes informatiques au regard de la ncessaire protection des liberts (loi n/78-17 du
6.01.1978 relative linformatique, aux fichiers et aux liberts) quelle a su mobiliser pour faire face
aux nouvelles contraintes gnres par le dveloppement des traitements automatiss de
donnes caractre personnel (cf., notamment, les modifications rsultant de la loi n/ 2004-801 du
6.08.2004 relative la protection des personnes physiques lgard des traitements de donnes
caractre personnel) ; elle sattache aujourdhui adapter ce cadre juridique au nouveau dfi
pos par les systmes dinformation et de communication, notamment Internet et ses diffrents
prestataires .
24
Dix ans plus tard, la loi n/ 88-19 du 5 janvier 1988 relative la fraude
informatique, dite loi Godfrain, dfinissait et rprimait, pour la premire fois, les atteintes aux
systmes de traitement automatis de donnes (cf., depuis la refonte du code pnal, les art. 323-1
s.).
Par la suite, et au fur et mesure que des instruments europens taient
adopts, le lgislateur franais les a transposs en droit franais tout en continuant son travail
dadaptation de la norme cette nouvelle forme de dlinquance.
En 2004, la loi pour la confiance dans lconomie numrique (loi n/ 2004-575 du
21.06.2004) constitua une avance dcisive dans la communication en ligne ; tout en proclamant
le principe de libert de communication, elle dfinissait le rgime juridique des prestataires
techniques, encadrait le commerce et la publicit lectroniques ainsi que le recours aux moyens
de cryptologie, et nonait les bases du dveloppement des technologies de linformation et
de la communication.
Cest aussi en 2004 que furent poss les principes et modalits du systme de
nommage sur Internet (cf. loi n/ 2204-069 du 9.07.2004 relative aux communications lectroniques et
aux services de communications lectroniques et son dcret dapplication n/ 2007-162 du 6.02.2007 relatif
lattribution et la gestion des noms de domaine de lInternet et modifiant le code des postes et des
communications lectroniques).
cf., titre dexemple, le livre blanc publi par la FEVAD (Fdration e-commerce et vente
25
distance) en octobre 2013 sur les moyens de scurisation des paiements sur Internet - la lutte contre la fraude
vue par les e-marchands.
34
Cette mme dcennie 2000 vit plusieurs lois successives adapter le droit pnal
certaines formes de cybercriminalit et crer des moyens dinvestigation spcifiques pour la
combattre (cf. loi n/ 2001-1062 du 15.11.2001 relative la scurit quotidienne, loi n/ 2003-239 du
18.03.2003 pour la scurit intrieure, loi n/ 2004-204 du 8.03.2004 portant adaptation de la justice aux
volutions de la criminalit, loi n/ 2206-64 du 23.01.2006 relative la lutte contre le terrorisme, loi n/ 2007-
297 du 5.03.2007 relative la prvention de la dlinquance, loi n/ 2011-267 du 14.03.2011 dorientation
et de programmation pour la performance de la scurit intrieure, dite LOPSI II...).
Et cela, sans compter les lois spcifiques, relatives, par exemple, la protection
du droit dauteur contre la contrefaon et la copie numrique illicite (loi n/ 2009-669 du 12.06.2009
favorisant la diffusion et la protection de la cration sur Internet ; loi n/ 2009-311 du 28.10.2009 relative
la protection pnale de la proprit littraire et artistique sur Internet - dites loi Hadopi), ou encadrant
louverture Internet de nouveaux produits ou services rglements (cf. loi n/ 2010-476 du
12.05.2010 relative louverture la concurrence et la rgulation du secteur des jeux dargent et de
hasard en ligne), ou encore transposant certaines directives europennes.
Pour lessentiel, la France dispose doutils juridiques abondants, dans tous les
domaines affects par la cybercriminalit.
Les instruments europens, quils manent du Conseil de lEurope ou de lUnion
europenne, ont complt, trs utilement, les normes internes, notamment en terme
dinvestigations transnationales et de coopration (gel des donnes, quipes communes denqute,
mandat darrt europen...). Et la France a aussi souvent jou un rle important dans leur
laboration.

2.- des mcanismes de rgulation varis

Outre le recours au droit pnal et aux institutions rpressives de lEtat, le
lgislateur et lautorit rglementaire firent appel plusieurs types de mcanismes de
rgulation, souvent complmentaires :
2lauto-discipline des professionnels, lEtat les incitant se doter de chartes de
dontologie ou de codes de bonne conduite et mettre en oeuvre des
mcanismes de prvention et de raction adapts
2la co-rgulation de ces mmes professionnels, illustre notamment par le
dveloppement du partenariat public/priv dans le cadre dinstances
spcifiques, le plus souvent sous la forme associative ou dobservatoires,
lexemple du Forum des droits sur Internet cr, dinitiative publique, en dcembre
2004 ; un tel partenariat sest rvl particulirement intense dans les domaines
o les socits prives ont, elles-mmes, conomiquement intrt lutter
contre la cybercriminalit, par exemple dans le domaine du commerce en ligne
ou dans la lutte contre les spams
25
Dans les dveloppements qui suivent, il nest question que des services spcialiss : bon nombre
26
dautres services relevant du ministre de lIntrieur, notamment plusieurs Offices centraux, constituent aussi des
acteurs privilgis dans la lutte contre la cybercriminalit
35
2le renvoi des mcanismes indemnitaires particuliers, comme, par exemple,
en matire de fraudes aux cartes bancaires
2la cration de dispositifs de contrle/sanction mis en oeuvre par certaines
administrations spcialises
2le recours des autorits administratives indpendantes, dont la plus ancienne
mais aussi la plus importante est la Commission nationale de linformatique et des
liberts, dote dun pouvoir davis a priori mais aussi dun pouvoir de contrle a
posteriori ainsi que dun arsenal de sanctions qui vont de lavertissement et de
linjonction jusqu la sanction pcuniaire.
Relvent aussi dun tel dispositif la Haute autorit pour la diffusion des oeuvres et la
protection des droits sur Internet (HADOPI) et lAutorit de rgulation des jeux en ligne
(ARJEL).
2enfin la Justice civile, avec ses procdures de rfr et de requte, en toute
matire o les droits de la personne sont lss, en particulier pour les infractions
en matire de presse.
Evolutifs dans le temps, parfois redondants et laction pas toujours
coordonne, ces dispositifs ont toutefois t lorigine davances dcisives et dune
amlioration progressive de la lutte contre la cybercriminalit prise globalement, sur le plan de
la prvention, de la sensibilisation comme des sanctions.
Il reste, sans doute, mieux dterminer le rle de la Justice - dabord civile,
ensuite pnale - dans la lutte contre la cybercriminalit au regard de lensemble des autres
modes de rponse existants, et notamment des modes alternatifs de rglement des conflits
comme des sanctions de nature administrative dont le champ progresse dans certains
secteurs. Si lon attend plus de ractivit de la Justice pnale, il semble de bonne politique que,
sauf pour les atteintes graves, elle ne soit saisie quen cas dchec ou dineffectivit des autres
modes.
3.- des services dinvestigation spcialiss
Comme la cyberscurit ou la cyberdfense (voir Titre II, chapitre 1., sagissant
notamment de lANSSI), la lutte contre la cybercriminalit repose sur des services spcialiss
trs haute comptence technique .
26
31 - Deux dentre eux relvent, au plan central, du ministre de lIntrieur.
Linforensique ou linformatique lgale dsigne la recherche et lexploitation des donnes prsentes
27
dans un support numrique
36
lOffice central de lutte contre la criminalit lie aux technologies de
linformation et de la communication (OCLCTIC)
Ce service a t par dcret du 15 mai 2000 et plac au sein de la Direction
centrale de la police judiciaire (sous-direction de la lutte contre la criminalit organise
et la dlinquance financire). Il est compos de policiers et de gendarmes.
Il sagit dune structure mixte denqute et dassistance ; en outre, son statut
doffice central national lui confre une mission interministrielle de
centralisation, danalyse et de communication.
2Au plan oprationnel, dot dune comptence judiciaire nationale, loffice peut
procder tous les actes denqute la demande des autorits judiciaires, seul
ou en assistance dautres services dinvestigation. Il a vocation connatre des
affaires prsentant soit une spcificit technologique novatrice, soit un caractre
national ncessitant une vision centralise, soit encore une composante
internationale forte dans laquelle sont impliques des quipes de malfaiteurs
relevant de la criminalit organise.
A cette fin, sa section oprationnelle comprend 4 groupes denqute spcialiss
*dans les atteintes portes aux systmes de paiement et cartes puce
(contrefaon, falsification et utilisation de cartes bancaires falsifies ; acquisition
frauduleuse de donnes bancaires par skimming, carding ou phishing ; nouvelles
attaques technologiques dtectes par le GIE cartes bancaires sur les cartes
puce),
*les fraudes aux oprateurs de communication lectronique (virus sur les
smartphones, escroqueries aux micro-paiements : SMS et numros de
tlphone surtaxs, attaques des standards tlphoniques dentreprise, spams
par sms),
*le piratage via les atteintes aux systmes de traitement automatis de donnes,
*enfin les escroqueries sur Internet (particulirement en ce qui concerne
lidentification dquipes organises svissant sur le territoire national, laide de
rseaux de complices qui hbergent les virements rexpdier ou rceptionnent
temporairement les colis de marchandises acquises frauduleusement, et dont
les commanditaires sont principalement bass dans les pays dAfrique de
lOuest).
2Au titre de lassistance technique, sa section spcialise - qui rassemble des
enquteurs hautement qualifis dans le domaine informatique, dispose dun
matriel informatique performant et qui est dote dun laboratoire Forensic
27
ddi lexploitation et la recherche de la preuve numrique - apporte son
aide aux services denqute, centraux ou territoriaux, relevant tant de la police
que de la gendarmerie ou des douanes, ainsi quaux autorits judiciaires.
Cette section assure en outre la formation des enquteurs spcialiss de police
au plan territorial.
2En tant quoffice centralisant linformation oprationnelle en matire de
cybercriminalit, il a vocation assurer la coordination oprationnelle entre les
services de police judiciaire au niveau national.
37
2Enfin, sa section des relations internationales lui permet dactiver lensemble
des canaux de coopration internationale ncessaires la lutte contre la
cybercriminalit. Elle est aussi le point de contact national pour les demandes
venant de ltranger et redistribue les informations en France et vers ltranger,
par le biais du bureau central national dInterpol, de lunit nationale Europol ou
du groupe dalerte G8-cybercrime institu par la Convention de Budapest..
Depuis janvier 2009, loffice gre aussi la plate-forme publique nationale de
signalement, en provenance tant des Internautes que des professionnels, dite
plate-forme PHAROS (Plate-forme dharmonisation, danalyse, de recoupements et
dorientation des signalements).
Il assure enfin une mission dinformation du public confront des contenus
illicites, travers une autre plate-forme - la plate-forme tlphonique dinformation
et de prvention sur les escroqueries sur Internet, dite Info-escroqueries.
En raison de sa place centrale dans la lutte contre la cybercriminalit, lOffice entretient
des relations suivies avec les autres services denqute de la Police nationale, de la
Gendarmerie nationale, mais aussi des Douanes, de la Direction gnrale de la
concurrence et de la rpression des fraudes et de la Commission nationale informatique
et des liberts.
Il a aussi mis en oeuvre un partenariat troit, en particulier dans le cadre de PHAROS,
avec une centaine dassociations, dhbergeurs et de fournisseurs de services
communautaires sur Internet (OVH, La Centrale, Vivastreet, Overblog, la LICRA, E-
Enfance...), partenariat qui peut prendre une forme conventionnelle.
Il a enfin sign une convention avec une cole dingnieurs (EPITA), qui dveloppe, pour
son compte, des outils spcifiques ddis la lutte contre la cybercriminalit.
Le Plateau dinvestigation cybercriminalit et analyses numriques
(PICyAN) du Ple judiciaire de la Gendarmerie nationale (PJGN)
Il sagit dune structure mixte dinvestigation et de criminalistique coordonnant
le Dpartement informatique et lectronique de lInstitut de recherche criminelle de la
Gendarmerie nationale (IRCGN) et la Division de lutte contre la cybercriminalit du
Service technique de recherches judiciaires et de documentation (STRJD).
Cette structure
2assure la coordination et le pilotage du dispositif global de la Gendarmerie en
matire de lutte contre la cybercriminalit qui, du niveau local au niveau
nationale, associe investigation et criminalistique,
2constitue le point de contact pour la Gendarmerie avec les offices centraux,
pour les affaires traitant de la cybercriminalit.
Son activit est de trois ordres :
8 au plan des investigations, le PICyAN assure
38
*la surveillance, principalement pro-active, des diffrents espaces de lInternet
en vue de dtecter et de caractriser les infractions ; cette surveillance peut
prendre la forme denqutes sous pseudonyme. Il coordonne, en outre, les
enqutes sous pseudonymes ralises par les units territoriales.
*La direction denqutes ou lappui aux offices centraux de la Gendarmerie et
aux units territoriales, ainsi que la direction doprations prsentant une
particulire envergure, gravit ou sensibilit.
*Au plan national, il a la responsabilit du Centre national danalyse des images
de pdopornographie (CNAIP) et administre la base nationale constitue partir
des enqutes de police et de gendarmerie, aux fins didentification des victimes
et de leurs auteurs, cela en lien avec INTERPOL et les homologues trangers
du CNAIP.
8 En matire de criminalistique, le PICyAN ralise, la demande des magistrats
et des enquteurs, les expertises et examens techniques complexes relatifs
la preuve numrique : lextraction de donnes partir de supports lectroniques,
magntiques ou optiques, et lanalyse de systmes et de rseaux.
8 De manire transversale, le PICYAN
*gre un guichet unique tlphonie et Internet (GUTI) assurant linterface entre
les oprateurs et les enquteurs de la gendarmerie ainsi que le lien avec la
future plate-forme nationale des interceptions judiciaires.
*Assure une mission de soutien de la communaut des enquteurs spcialiss
des units territoriales de Gendarmerie en termes de formation, dquipement
et dinformation
*Met en oeuvre une mission de recherche et de dveloppement.
32 - La Direction centrale du renseignement intrieur (DCRI) occupe une
place particulire compte-tenu de sa mission gnrale qui consiste lutter, sur
le territoire de la Rpublique, contre toutes les activits susceptibles de constituer une
atteinte aux intrts fondamentaux de la Nation (cf. art. 1 du dcret n/ 2008-609 du
er
27.06.2008).
Sagissant de la lutte contre la cybercriminalit, elle se concentre ainsi sur les
atteintes relevant de la cyberdfense comme de la cyberscurit (cf. titre II,
chapitre 1), dtectant et identifiant les cyber menaces ; elle est, en outre, charge
spcifiquement de la surveillance des communications lectroniques et
radiolectriques susceptibles de porter atteinte la sret de lEtat ainsi quen ce
domaine de la lutte contre la cybercriminalit.
Cette mission statutaire sillustre travers diffrentes facettes de son activit :

2Les enqutes judiciaires relatives au piratage informatique des systmes
dinformation sensibles
La DCRI a une comptence judiciaire pour les atteintes aux systmes de
traitement automatis de donnes concernant les oprateurs dimportance
vitale, les tablissements disposant de zones rgime restrictif (ZRR) ou les
rseaux gouvernementaux.
En outre, et de manire gnrale, la DCRI met la disposition des autres
services denqute ainsi que de lautorit judiciaire ses capacits de
dchiffrement de contenus crypts, par le biais du Centre technique dassistance
(CTA).
39
2Le recueil du renseignement pour prvenir la menace informatique.
En tant que service de renseignement intrieur, la DCRI a vocation recueillir
et traiter diverses sources dinformation pour permettre lEtat de se prmunir
contre les risques informatiques.
Elle appuie dabord sa stratgie sur son rseau de sources humaines qui lalerte
rgulirement sur lmergence de nouvelles menaces informatiques et leurs
acteurs.
Elle entretient aussi des relations rgulires avec ses partenaires trangers, qui
la prviennent des menaces susceptibles de viser la France, mais qui peuvent
aussi tre mobiliss pour accrotre ses propres moyens dinvestigation.
Elle tire enfin de prcieux renseignements de ses changes avec la
communaut du renseignement franais dans ses diffrentes composantes.
Le renseignement ainsi recueilli est analys par les propres experts de la DCRI
(policiers spcialiss en cybercriminalit, techniciens et ingnieurs) puis donne
lieu des synthses et notes dalerte lattention des autorits tatiques ou des
oprateurs privs.
33 - Au plan des services territoriaux de police et de gendarmerie, seule la
Prfecture de police de Paris dispose, au sein de la direction rgionale de la
police judiciaire, de services spcialiss comptence rgionale
2 au premier rang desquels la Brigade denqute sur les fraudes aux
technologies de linformation (BEFTI), qui a une comptence spcifique
sagissant des atteintes aux systmes de traitement automatis de donnes,
des infractions la loi Informatique et liberts et la loi du 21 juin 2004 pour la
confiance dans lEconomie numrique, la contrefaon numrique logicielle ou
de bases de donnes, les atteintes aux droits dauteur, la captation frauduleuse
de programmes tldiffuss et les usages frauduleux de lignes tlphoniques.
Elle est, en outre, charge dassister les services denqute pour des
investigations informatiques techniques, de sensibiliser les partenaires privs
ou publics et de former les fonctionnaires de la Prfecture de police. Elle assure
enfin de nombreuses interventions, aux fins de sensibilisation du grand public
ou des entreprises.
2 bien quelles ne se consacrent pas exclusivement la lutte contre la cybercriminalit,
dautres structures de la PP y contribuent activement : la brigade des fraudes aux
moyens de paiement (BFMP), comptente pour lutilisation de moyens de paiement par
Internet ; la brigade de rpression de la dlinquance astucieuse (BRDA), ddie la lutte
contre les escroqueries ; la brigade de rpression de la dlinquance contre la personne
(BRDP), qui connat notamment des infractions de presse ; et la brigade de protection
des mineurs (BPM), comptente pour les infractions contre les mineurs commises,
notamment, via Internet, et qui assure de nombreuses actions de sensibilisation auprs
des coles et des collges.
2 Enfin, la Direction de la scurit de Paris et de lagglomration Parisienne (DSPAP)
comprend des brigades des mineurs de la petite couronne, comptence
dpartementale, et deux petites cellules dassistance technique dans les Hauts de Seine
et le Val de Marne.
En province, il nexiste pas de services spcialiss dans la lutte contre la
cybercriminalit. Toutefois, les services territoriaux de la police et de la
gendarmerie (directions interrgionales de police judiciaire, directions dpartementales
40
des srets urbaines, sections de recherche, brigades dpartementales de
renseignements et dinvestigations judiciaires) disposent denquteurs spcialement
forms cette lutte et trs impliqus (voir, pour plus de dtails, le titre II, chapitre 3
sur la formation des acteurs).
34 - Hors ministre de lIntrieur, le ministre de lEconomie et des Finances a
cr, au sein de la Direction gnrale de la concurrence, de la consommation
et de la rpression des fraudes, un service spcialis - le Service national des
enqutes (SNE).
Outre un Centre de surveillance du commerce lectronique (CSCE) bas
Morlaix, qui effectue une veille permanente, ce service est compos
denquteurs spcialiss dans la lutte contre la cybercriminalit sur lensemble
du territoire national, regroups en majorit Paris mais aussi en poste dans
les directions rgionales. Il a vocation procder des investigations sur des
priorits dfinies au plan central, voire lchelon europen, en fonction des
ncessits tenant la rgulation du march mais aussi de lactualit, tandis que
les directions dpartementales de la population, qui ne disposent que dun ou
de deux personnels spcialiss, se focalisent davantage sur les actes de
commerce courants.
En plus de la surveillance des principaux secteurs marchands en ligne, le SNE
assure une action prventive auprs des secteurs identifis risque -
notamment les nouveaux sites du commerce lectronique - et contrle de
manire systmatique les sites faisant lobjet de plaintes ritres ; titre
dexemple, il sest focalis, ces derniers temps, sur les rservations dhtel en
ligne, les prix personnaliss volutifs, les oprations de solde sans rduction, la
vente de billets davion prix casss, dthylotests (aprs lobligation
rglementaire de dtention bord des vhicules) ou de ventes de compteurs
Geiger et de pastilles diode (aprs lincident nuclaire du Japon), les loteries
publicitaires, les applications de go-localisation sur les smartphones, les faux
avis de consommateurs....
Le SNE travaille en liaison troite avec Cyberdouane pour les contrefaons, la
C.N.I.L., la plate-forme PHAROS, les rseaux europens spcialiss, par
exemple, RAPEX sagissant de la scurit des produits alimentaires (le SNE sert
de point de contact national), EUROPOL...et lensemble des professionnels
prsents dans le secteur.
Sur un plan plus global, le projet de loi sur la consommation, actuellement en
discussion, devrait autoriser la DGCCRF utiliser la technique dite du coup
dachat dont dispose dj la Douane.
35 - Au sein du ministre du Budget, la Direction gnrale des Douanes et des
droits indirects (Direction nationale du renseignement douanier et des enqutes
douanires - DNRED) sest dote, elle aussi, dun service spcialis dans la lutte
contre la cybercriminalit : Cyberdouane.
Cest un service de renseignement qui intervient exclusivement en amont de
lenqute, son rle tant de dtecter les transactions illicites sur Internet et de
les transmettre, aprs instruction, un service oprationnel, soit au plan central,
41
soit au niveau territorial, aux fins de contrle douanier et denqute approfondie.
Son action sexerce ainsi dans tous les secteurs intressant laction de la
douane (trafics de contrefaons, de stupfiants, de cigarettes, darmes, de
mdicaments, despces protges, doeuvres dart...), partir des priorits
sectorielles dfinies par le ministre, des dclarations de cible effectus par les
douaniers de terrain ou mme dinitiative. Il dispose dun monopole national
sagissant des investigations oprer sur Internet lorsquelles ont trait des
dossiers importants. Son objectif consiste dceler les fraudes, effectuer des
rapprochements, puis identifier les personnes, physiques ou morales, utilisant
Internet sur le territoire national pour vendre en ligne ou poster des annonces
relatives des marchandises prohibes ou fortement taxes. Enfin, lorsque
plusieurs services sont saisis, il joue un rle dorientation.
Outre les enquteurs spcialiss de la DNRED, Cyberdouane travaille avec
chaque direction rgionale des Douanes, grce un agent relai prsent dans les
cellules rgionales dorientation des contrles. Par-del, il oeuvre en troite
liaison avec PHAROS et lensemble des administrations spcialiss, mais aussi
avec les enseignes du commerce en ligne, les entreprises de fret et les
intermdiaires financiers, avec lesquels ont t conclus des protocoles. Enfin,
Cyberdouane est trs impliqu dans les projets europens relatifs la lutte
contre la cyber-contrefaon.
La DNRED dispose aussi dune Cellule de recueil de la preuve informatique
(CRPI), qui intervient en appui technique des enquteurs douaniers, lorsque ces
derniers effectuent des visites domiciliaires, aux fins dexamen du contenu des
disques durs dordinateurs et de recherche et de conservation des lments de
preuve.
36 - enfin, sur le plan judiciaire, seul le parquet de Paris dispose dune section
spcialise dans la lutte contre la cybercriminalit : la section dite S2 ddie
la lutte contre la dlinquance astucieuse et la cybercriminalit, qui comprend un ple
cybercriminalit compos de plusieurs magistrats et dun assistant spcialis ;
elle a connatre, notamment, de lessentiel des atteintes aux S.T.A.D.
commises lencontre des administrations comme des entreprises ayant leur
sige Paris (en ltat, le parquet de Paris est saisi de 600 affaires de cette nature,
dont 16 ont donn lieu saisine de la JIRS) ; quant aux escroqueries et fraudes aux
cartes bancaires, elles sont aussi traites par la mme section, qui peut ainsi,
les concernant, bnficier du soutien du ple spcialis. Les affaires poursuivies
au titre des STAD relvent ensuite de la comptence de deux chambres
correctionnelles dont les membres se sont forms cet effet.
Quant aux autres parquets des ressorts des cours dappel de Paris et de
Versailles, ils disposent de magistrats rfrents mais pas de services
spcialiss.
En ce qui concerne enfin les parquets de province, si certains peuvent compter
sur les magistrats ayant suivi une formation permanente dans le domaine de la
cybercriminalit, il nexiste pas, proprement parler, ni de rfrents, ni de
services spcialiss, bien que les juridictions inter-rgionales spcialises
(J.I.R.S.) montent, peu peu, en puissance, sagissant de certaines formes de
cybercriminalit (ex. des escroqueries par faux ordres de virement).
42
Grce lensemble de ces services spcialiss, la motivation et au
professionnalisme de leurs membres, mais aussi lensemble des fonctionnaires et magistrats
de terrain qui ont acquis une comptence spcialise, tant laction de renseignement que
laction rpressive ont incontestablement marqu des points ces dernires annes.
4.- La lutte contre la cybercriminalit : une efficacit encore relative
Mme si la monte en puissance des dispositifs de signalement des activits et
contenus illgaux sur Internet constitue une source dinformation prcieuse ; mme si laction
des Autorits indpendantes permet dencadrer de plus en plus les pratiques des
professionnels de lInternet ; mme si nombre de juges civils jouent un rle dcisif dans
lvolution de la jurisprudence ; mme si enfin la mobilisation de lensemble des acteurs
rpressifs aboutit des rsultats non ngligeables, force est de constater que la lutte contre
la cybercriminalit rencontre encore bien des obstacles.
Le constat comme llucidation des formes les plus organises de cette
dlinquance doivent tre renforcs.
Quant aux dcisions judiciaires, les dcisions civiles peinent tre effectives
compte-tenu des difficults rencontres dans leur mise excution ; les rponses pnales,
quant elles, ne sont pas toujours adaptes la gravit de linfraction ou au prjudice des
victimes.
Le constat peut tonner eu gard limportance des outils juridiques disponibles.
Il a toutefois de multiples causes :
linsuffisance de la prvention, dans la mesure o nombre dactes
dlinquantiels reposent sur la contribution involontaire des internautes, sous la
forme, par exemple, de la fourniture de donnes sensibles, ou sur un manque
de prudence des entreprises ou de leurs salaris.
Des mcanismes de veille ou des investigations dinitiative insuffisants par
rapport au volume des donnes circulant sur Internet et qui sont essentiellement
le fait de quelques Autorits ou services centraux spcialiss en fonction des
moyens qui leur sont dvolus.
Des dispositifs de signalement, certes prcieux, mais multiples et ignors de
la majorit des internautes.
La technicit de cette dlinquance, dont lapprhension requiert une
sensibilisation et une formation beaucoup plus gnralises.
Lvolution incessante des procds dlinquantiels, de plus en plus
sophistiqus, par exemple en matire de virus malfaisants ou descroqueries,
qui requirent une adaptation quotidienne de la part des services dinvestigation
et de justice.
Lannexe jointe au prsent chapitre sur le droit en marche illustre ce phnomne en recensant les
28
nombreux textes vots ou en dbat, au plan interne comme international, durant les six mois de travail du groupe
interministriel
43
Au plan juridique, le droit spcifique, qui relve de corpus diffrents, reste peu
accessible aux non initis ; il est, de plus, essentiellement mouvant , les
28
multiples initiatives normatives peinant, au surplus, sinscrire dans un cadre
cohrent et consensuel sur le moyen terme.
Un mode inadapt de traitement dun contentieux qui, souvent massif, exige
des recoupements car il est bien rare quun cyber-escroc se limite quelques
victimes, ce qui ncessite une volution des organisations, qui a commenc
mais qui est loin dtre acheve.
Limpuissance des mcanismes classiques dinvestigation, fonds sur un
accs physique au suspect comme aux lments de preuve, en regard de
lanonymat comme de lextranit des cyber-dlinquants ainsi que de la volatilit
des moyens de preuve qui caractrisent la cyber-dlinquance organise.
Comme la dclar, de manire quelque peu lapidaire, M. Michel QUILLE,
directeur adjoint dInterpol, nous combattons un crime du futur avec des outils du
pass, mme si tout bon enquteur sait tirer le meilleur parti des moyens
juridiques mis sa disposition.
Les rsultats en terme dlucidation illustrent ce dernier constat puisque, si les services
dinvestigation nont aucune difficult pour mener terme leurs enqutes lorsque la
cyber-dlinquance sinscrit dans un cadre inter-personnel (une partie des infractions
al loi sur la presse, certains types dharclements, la dtention dimages
pdopornographiques) ou se limite au territoire franais, les obstacles saccumulent
lorsquil sagit dattaques contre les systmes automatiss de donnes, descroqueries
organises ou encore de fraudes la carte bancaire.
Le caractre transnational tant de la cybercriminalit que de ses acteurs, qui
se jouent de la notion de frontire, alors que les lgislations internes peinent
sharmoniser, sinon en Europe, du moins dans le reste du monde.
Il en rsulte notamment, pour les services de police et de justice, une vritable
dpendance lgard des oprateurs, en particulier des prestataires techniques
dInternet, qui sont les seuls pouvoir faciliter la leve de tels obstacles ; encore
faut-il que tous le veuillent faire...

Un manque de stratgie et de cohrence densemble enfin.
Mais, cest davant tout, dune prise de conscience dont la lutte contre la
cybercriminalit a besoin, qui ne saurait se limiter quelques spcialistes si bon soient-ils, ni
mme aux seuls agents de lEtat. Or, force est de constater quil est plus facile de mobiliser
contre le terrorisme que contre la cybercriminalit dans son ensemble, mme si cette dernire
devient lun des vecteurs privilgis de la dlinquance organise.
------
Cet tat na aucune valeur dexhaustivit et ne vise que les textes ou projets de textes sur lesquels le
29
groupe interministriel a d se pencher dans le cadre de ses travaux ; il faudrait notamment y ajouter les
nombreux forums, colloques, assises, rencontres et dbats portant sur la cybercriminalit qui tmoignent de
lactualit de la question.
44
Annexe
illustrations dun droit en marche
(juin 2013 - fvrier 2014)
29
Finalisation de textes rglementaires ou de circulaires relatifs la lutte contre la cybercriminalit
2 arrt du 24.06.2013 relatif lhabilitation dofficiers ou dagents de police judiciaire mettant en oeuvre des
techniques denqute sous pseudonyme portant sur les infractions mentionnes au 6 alina de larticle 24 de la
me
loi du 29.07.1881 sur la libert de la presse lorsque celles-ci sont commises par le moyen de communications
lectroniques. Cette disposition rglementaire a trait la mise en oeuvre des dispositions des art. 706-25-2 du code
de procdure pnale et 24, al.6. de la loi du 29.07.1881 relatives la cyber-infiltration.
Larrt a t suivi dune circulaire dapplication du ministre de la Justice (Direction des affaires criminelles et des
grces) du 10.09.2013.
2 Circulaire interministrielle du 19.07.2013 relative au dispositif national de signalement des contenus illicites
de lInternet. Son objet concerne la plate-forme dite PHAROS, qui navait pas fait lobjet jusquici dune circulaire
officielle concernant sa saisine et son objet.
2 Arrt du 21.08.2013 pris en application des art. R.213-1 et R.213-2 du code de procdure pnale fixant la
tarification applicable aux rquisitions des oprateurs de communication lectronique. Il comporte, pour la
premire fois, un dbut de tarification concernant la fourniture de donnes relatives Internet qui, jusque l, faisait
lobjet de tarifs htrognes de la part de chaque oprateur.
2 Arrt du 3.10.2013 modifiant larrt du 16.06.2009 portant cration dun systme dnomm Pharos(Plate-
forme dharmonisation, danalyse, de recoupement et dorientation des signalements). Il amplifie le rle de cette
plate-forme.
Projets de loi intressant, pour partie, la lutte contre la cybercriminalit
2 projet de loi devenu la loi n/ 2013-1168 du 18.12.2013 relative la programmation militaire pour les annes
2014 2019 et comportant des dispositions relatives la cyberdfense (cf. art.20 relatif laccs administratif,
notamment en matire de terrorisme et de criminalit organise, aux donnes de connexion et de go-localisation
stockes par les oprateurs de communication lectronique, les hbergeurs et les fournisseurs daccs) et dautres
ayant trait la cyberscurit (cf. art.. 20 25 sur la protection des infrastructures vitales contre la cybermenace,
consacrant le rle de lAgence devenue lAutorit nationale de scurit des systmes dinformation et lui
reconnaissant un droit daccs, des fins de prvention et de protection aux coordonnes correspondantes aux
adresses IP), le rapport annex la loi prvoyant de porter le nombre des agents de cette Autorit 500 en 2015
et daccrotre de 350 le nombre des agents oeuvrant dans la cyberdfense.
2 Projet de loi sur la consommation, qui, lorigine, prvoyait la possibilit dobtenir une dcision judiciaire de
blocage en vue de prvenir ou de faire cesser un dommage pour un consommateur conscutif au contenu illicite dun
site sur internet, mais qui sest traduit par la suppression du blocage administratif rsultant de lart.18 de la loi du
21.06.2004 (art. 25bis et ter) ; en ltat, ce texte rglemente aussi la vente distance et prvoit la rpression
administrative des spams utiliss des fins commerciales, autorise les agents recourir une fausse identit aux
fins de contrle (cf. art. 48, 52) et permet ladministration de saisir la juridiction civile, sur le fondement de lart.
45
6-I.8 de la loi du 21.06.2004, afin quil soit prescrit aux hbergeurs et fournisseurs daccs Internet toutes mesures
proportionnes propres prvenir ou faire cesser un dommage caus par le contenu dun service de communication
au public en ligne pour certaines infractions (art. 25, qui renvoie un dcret dapplication). - texte en ltat aprs
C.M.P. du 6.02.2014
2 Projet de loi pour lgalit relle entre les hommes et les femmes loccasion duquel a t dpos un amendement
concernant la rpression du harclement dans le cadre de la vie prive commis via Internet, amendement qui a t,
dans un premier temps, retir en commission en attendant les propositions du groupe de travail puis, en dfinitive,
adopt (art. 17 quater) : serait constitutif dun dlit le fait de soumettre une personne des harclements ou
intimidations rptes ou des atteintes rptes sa vie prive, lutilisation dun service de communication au
public en ligne tant rig en circonstance aggravante ; en outre, en cours de navette parlementaire, le dlit rprimant
les appels tlphoniques malveillants (art. 222-16 du code pnal) a t tendu aux envois ritrs de messages
malveillants par la voie de communication lectronique (art. 11bis - spams) ; enfin, larticle 6-I-7 de la loi du
21.06.2004 a tendu la surveillance spcifique impose aux hbergeurs et fournisseurs daccs lincitation la
haine lgard de personnes raison de leur sexe, de leur orientation ou identit sexuelle ou de leur handicap.

2 Projet de loi devenu la loi du 6.12.2013 relative la lutte contre la fraude fiscale et la grande dlinquance
conomique et financire, loccasion de lexamen duquel un amendement destin rprimer lincitation la fraude
fiscale commise notamment via Internet par le biais dune modification de la loi du 29.07.1881 sur la libert de la
presse a t repouss (cf. Dbats Assemble Nationale, 20.06.2013) ; en outre, le texte prvoit une protection
spcifique pour les lanceurs dalerte.
2 Loi n/ 2014-56 du 27.01.2014 visant harmoniser les dlais de prescription des infractions prvues par la loi
sur la libert de la presse du 29.07.1881, commises en raison du sexe, de lorientation et de lidentit sexuelle ou
du handicap porte 1 an le dlai de prescription sagissant des dlits de provocation la discrimination, de
diffamation ou dinjure publique commis en raison de lune des circonstances prcites.
2Enfin, le Gouvernement a dpos un projet de loi sur la go-localisation en matire judiciaire, qui fait suite aux
rcents arrts de la Chambre criminelle.
Propositions de loi intressant, pour partie, la lutte contre la cybercriminalit
2 la proposition de loi renforant la lutte contre le systme prostitutionnel, adopte en premire lecture par
lAssemble Nationale en dcembre 2013, prvoit, en son art. 1 , une modification de lart. 6.I.7 de la loi du
er
21.06.2004 afin dtendre la surveillance spcifique impose aux hbergeurs et fournisseurs daccs aux cas de la
traite des tres humains ainsi quau proxntisme et assimil (art. 225-4-1, 225-5 et 225-6 du code pnal) ; en
revanche, les autres dispositions projetes autorisant ladministration notifier ces prestataires les adresses
lectroniques des services illicites aux fins de blocage nont pas t adoptes en lattente du rapport du Groupe de
travail.
2 La proposition tendant renforcer la lutte contre la contrefaon, qui, en son art.9 - vot conforme par les deux
chambres -, prvoit de modifier lart.67 bis du code des douanes afin dtendre linfiltration douanire et la technique
dite du coup dachat..
....
Projet dordonnance intressant, pour partie, la lutte contre la cybercriminalit
Concomitamment, faisant suite la ratification de la Convention MEDICRIM, le projet dordonnance relatif
lharmonisation des sanctions pnales et financires relatives aux produits de sant et ladaptation des autorits
et agents chargs de constater les manquements comporterait des dispositions relatives lenqute sous pseudonyme
pour les infractions dexercice illgal de professions rglementes de sant et de vente illgale ou de contrefaon
de mdicaments.
46
Missions
2 A la demande du ministre de la Culture, Mme. IMBERT-QUARETTA, conseillre dEtat, devrait dposer, courant
fvrier 2014, un rapport de proposition dans le domaine de la contrefaon commerciale.
2 A la demande du gouvernement, la Commission nationale informatique et liberts anime un groupe de travail sur
un programme national de sensibilisation la protection des donnes personnelles.
Instruments internationaux
2 le Rglement de lUnion europenne n/ 611/2013 du 24.06.2013 concernant les mesures relatives la notification
des violations de donnes caractre personnel en vertu de la Directive 2002/58/CE du Parlement europen et du
Conseil sur la vie prive et les communications lectroniques.
2 La Directive 2013/40/UE du 12.08.2013 relative aux attaques contre les systmes dinformation et remplaant
la dcision cadre 2005/222.JAI du Conseil
2 diffrents projets europens sagissant de la protection des donnes nominatives ou de la protection du secret des
affaires :
*la proposition de rglement du Parlement europen et du Conseil relatif la protection des personnes physiques
lgard du traitement des donnes caractre personnel et la libre circulation de ces donnes
*la proposition de directive du Parlement europen et du Conseil sur la protection des savoir-faire et des
informations commerciales non divulgues (secrets daffaires) contre lobtention, lutilisation et la divulgation
illicites.
Ces quelques exemples illustrent, non seulement lactualit de la question et la richesse des analyses, mais
aussi la ncessit dune approche plus coordonne et sans doute plus globale de la lutte contre la
cybercriminalit.
,,,,,,

concernant les infractions visant les systmes de traitement automatis des donnes (STAD), les
30
formes traditionnelles de criminalit, les infractions dites de contenu (diffusion via Internet de
pdopornographie, de messages racistes et xnophobes...)
47
I.3.- Les outils europens de lutte contre la cybercriminalit :
ralits et esprances
Lefficacit de la lutte contre la cybercriminalit repose, en grande partie,
sur une vritable coopration internationale, lment incontournable qui doit sinscrire
dans le prolongement de lactivit oprationnelle des services denqute et des autorits
judiciaires.
Dans ce contexte, lespace europen a vu, depuis le dbut des annes 2000,
le lancement progressif dinitiatives politiques, institutionnelles et juridiques qui, pour beaucoup,
ont permis des premires avances concrtes au niveau international, dans la coopration
contre la cybercriminalit.
Alors que cette menace ignore, par nature, la notion de frontire gographique,
la dimension europenne permet ainsi la France dassurer le prolongement de ses capacits
au plan international avec lmergence progressive, chez ses principaux partenaires, dun
espace-cyber mieux scuris et mieux adapt aux besoins denqutes, dans une vritable
logique de scurit collective.
Ces avances internationales sont dabord le fait du Conseil de lEurope, vritable
prcurseur, qui a produit, ds 2001, la convention internationale de rfrence sur la
cybercriminalit (Convention dite de Budapest), avec son protocole additionnel de 2002.
Au fil des annes 2000, lUnion europenne sest ensuite dote dune succession
de cadres normatifs . Ces textes juridiques ont t intgrs, en fvrier 2013, dans un
30
ensemble cohrent ayant vocation traiter le plus largement possible de la problmatique
cyber : la stratgie de cyberscurit de lUnion europenne, qui ambitionne de devenir une rfrence
mondiale en ce domaine.
Cette volont europenne est dautant plus dactualit depuis laffaire PRISM.
Dsormais, lEurope ambitionne de dvelopper son indpendance technologique (cf. lindustrie
europenne du nuage dans les toiles ou cloud computing notamment) et ngocie avec Washington
un projet daccord sur la protection des donnes.
Les outils europens mis la disposition de la France et des autres membres
de lUnion sont, non seulement des dispositifs permettant la coopration des services rpressifs
et judiciaires, des bases dincriminations pnales communes, mais aussi des services, des
politiques et des structures.
Non exempts de limites et de blocages inhrents la dimension internationale
des travaux, ces moyens, qui sont a minima, restent, par nature, perfectibles et sont lobjet de
ngociations rgulires dans les enceintes Bruxelloises.
Le SGAE nassure pas, toutefois, une telle position dinterface entre les administrations et le Conseil
31
de lEurope, entit compltement distincte de lUnion europenne
entre en vigueur le 1 juillet 2004, elle est ouverte la signature des Etats-membres du Conseil de
er 32
lEurope et des Etats non membres qui ont particip son laboration, Budapest, le 23.11.2001
48
La coordination des positions des administrations franaises dans les
ngociations avec lUnion europenne est assure par le Secrtariat gnral des affaires
europennes (SGAE), dpendant du Premier ministre . Il constitue, ce titre, linterface
31
interministrielle de coordination avec lenvironnement communautaire europen.
1.- des moyens au service des enqutes et de lchange dinformations entre
services
En premier lieu, le Conseil de lEurope et lUnion europenne ont labor, au profit des
Etats-membres, des dispositifs reconnus au plan international pour faciliter la coopration, en
particulier :
2la mise disposition des informations par lobligation de mesures
conservatoires comprenant le gel des donnes, ou par linstauration dun dlai
minimum de conservation en ce qui concerne les donnes de connexion
2un change de ces informations, opr dans le strict respect des liberts
individuelles, notamment grce la lgislation de lUnion sur la protection des
donnes personnelles et au rle jou par la Cour europenne des droits de
lhomme
2un traitement en temps rel garanti par un dispositif oprationnel
2une extradition des mis en cause facilite par le mandat darrt europen.
De manire plus gnrale, les instruments europens dterminent les principes
prvalant pour les relations entre professionnels traitant les donnes et administrations (absence
dobligation gnrale de surveillance des contenus, mais devoir de coopration pour identifier les auteurs).
Elles crent une dynamique de coopration entre les entreprises elles-mmes
(notamment dans le domaine de la lutte contre la contrefaon), avec le souci de la protection du
consommateur/victime.
En rsum, lapproche europenne se veut soucieuse dun certain quilibre entre
liberts individuelles et efficacit des pouvoirs denqute.
11. - la Convention sur la cybercriminalit du Conseil de lEurope
Cette Convention dite de Budapest , seul instrument international contraignant ddi
32
spcifiquement la cybercriminalit, reste, de ce fait, linstrument de rfrence pour tout dveloppement
de la coopration internationale.
Elle a vocation servir de lignes directrices pour tout pays laborant une lgislation exhaustive
en matire de cybercriminalit, mais aussi de cadre de coopration contre cette dlinquance entre les
Etats-parties.
cf., par exemple, laccord de coopration sign, le 3.12.2013, entre le Conseil et Microsoft.
33
concernant les Balkans et les pays du partenariat oriental (Bilorussie, Ukraine, Moldavie, Gorgie,
34
Armnie, Azerbadjan)
49
Ce texte sarticule autour de trois points essentiels :
2 lharmonisation des lgislations nationales, notamment par le biais de la dfinition
dincriminations communes : elle traite des infractions la confidentialit, lintgrit et la
disponibilit des donnes et systmes informatiques ainsi que les nombreuses infractions
connexes souvent facilites par lusage de tels systmes (falsification informatique, fraude
informatique, pornographie enfantine, atteintes la proprit intellectuelle, discriminations - cf.
II).
2 ladaptation des moyens procduraux au support spcifique que constitue, entre autres,
Internet, dans le respect et la garantie des droits et liberts individuelles.
Elle reconnat notamment lEtat Partie une possibilit daccs direct toutes donnes
accessibles au public quelle que soit leur localisation, mais galement la capacit accder ou
recevoir, au moyen dun systme informatique situ sur son territoire, des donnes
informatiques stockes dans un autre Etat, si la Partie obtient le consentement lgal et volontaire
de la personne lgalement autorise lui divulguer ces donnes au moyen de ce systme
informatique (art.32).
Elle impose aussi ladoption de mesures aux fins de conservation et de divulgation rapide des
donnes informatiques stockes (gel des donnes informatiques), si la partie requrante a
lintention de soumettre une demande dentraide en vue de la perquisition, de la saisie, de
lobtention ou de la divulgation de ces donnes informatiques. Elle prvoit galement la collecte
en temps rel des donnes relatives au trafic et dinterception de donnes relatives au contenu
(art. 29).
Enfin, au plan de lentraide pnale internationale, elle facilite lextradition entre les Etats Parties.
Elle constitue mme un fondement possible aux demandes dentraide et dextradition entre ces
Etats lorsquil nexiste pas dautre trait international applicable.
2 la mise en place de moyens daction rapides et efficaces au titre de la coopration internationale
: elle oblige ainsi linstauration dun rseau de points de contact, dit G8/H24, ddis et
disponibles 24h. sur 24 et 7 jours sur 7
En 2002, le Conseil de lEurope a complt son dispositif en adoptant un protocole additionnel,
ainsi que la Convention de Lanzarotte (cf. II).
Depuis ladoption de ces instruments, le Conseil de lEurope sest engag dans un travail
important de mise en oeuvre de ces textes et de traitement de nouvelles problmatiques
intressant la cybercriminalit. Le projet cybercrim/Octopus cherche, notamment, dvelopper les
capacits juridiques (le respect de la protection des donnes personnelles, la promotion de ltat de
droit...) et oprationnelles des pays qui ne se sont pas encore dots de structures adaptes dans la lutte
contre la cybercriminalit ; lapproche sappuie sur un partenariat entre pouvoirs publics et organismes
privs agissant dans le domaine de linformatique (fournisseurs daccs, concepteurs de logiciels...) .
33
La dernire confrence Octopus, qui sest tenue les 4-6 dcembre 2013, a port sur la
sauvegarde et la protection des donnes des fins de justice pnale ou de scurit nationale, ainsi que
sur la protection des enfants contre lexploitation sexuelle en ligne.
En 2013, dans le sillage de Budapest, lUnion et le Conseil de lEurope ont aussi organis,
conjointement, deux projets rgionaux dont lobjectif tait de renforcer les capacits des autorits de
34
justice pnale pour une meilleure coopration contre la cybercriminalit.
50
A ce titre, le Conseil de lEurope demeure actuellement lenceinte internationale majeure
de coopration pour la lutte contre la cybercriminalit.
Problmatique franaise :
La France a promulgu la loi du 19 mai 2005 autorisant lapprobation de la Convention sur la
cybercriminalit et du protocole additionnel cette Convention relatif lincrimination dactes
de nature raciste et xnophobe commis par le biais de systmes informatiques. Un an aprs
cette loi, les dcrets dapplication n/ 2006-580 et 2006-597ont t publis.
La France soutient rsolument le dispositif rsultant de la Convention, quelle a mis en oeuvre
par la loi n/ 2004-575 du 21 juin 2004. La systmatisation de points de contact 24/7 dans les
pays partenaires est, pour elle, essentielle notamment dans les changes en matire pnale avec
les Etats-Unis vers lesquels les demandes dentraide franaise sont en forte augmentation,
puisque, la diffrence de la lgislation franaise, la lgislation amricaine nimpose pas aux
oprateurs privs dobligation de conservation minimale des donnes.

Sil demeure le plus abouti, le dispositif de la Convention nen reste pas moins quun
instrument encore partiel dans sa mise en oeuvre :
2 Mme sil stend au-del des seuls Etats membres du Conseil de lEurope et si 55 pays lont
adopt, il ne couvre que les 40 pays qui lont ratifi
2 il ne concerne quun nombre restreint de types de criminalit
2 la capacit lgale, pour les services enquteurs, daccder aux donnes stockes dans un
autre Etat, dans lhypothse o elles ne sont pas publiques (art. 32) connat des difficults
dapplication en labsence de consensus entre les Etats parties la Convention quant
linterprtation donner au texte. Lenjeu est dimportance, puisquil sagit de lever lun des
principaux blocages la coopration pnale internationale en matire de lutte contre la
cybercriminalit, mais aussi de la capacit des Etats conserver un contrle juridique total sur
les informations non publiques, par nature les plus sensibles
En effet, cette disposition autorise les enquteurs franais consulter, tlcharger ou recevoir
des donnes stockes ltranger en dehors du cadre de lentraide judiciaire la seule condition
du consentement soit du titulaire du compte de messagerie, soit du fournisseur daccs
Internet. Le contrle juridique, prserv dans lhypothse dune demande dentraide, nest, ds
lors, maintenu quen cas du refus de lun ou de lautre..
Telles sont les raisons pour lesquelles lUnion et le Conseil de lEurope prparent actuellement
le lancement dune nouvelle campagne visant la mise en oeuvre de la Convention dans le monde entier.
Sagissant du Conseil de lEurope proprement dit, la priorit consiste, incontestablement, tenter
de trouver un accord en ce qui concerne larticle 32 prcit, accord qui pourrait donner lieu ladoption
dun nouveau protocole additionnel mais spcifiquement consacr la question de laccs
transfrontalier aux donnes lectroniques.
A noter aussi la cration dun bureau du Conseil de lEurope sur la cybercriminalit Bucarest
(Roumanie), annonce en octobre 2013 ; il est destin permettre au Conseil de rpondre de manire
efficace au nombre croissant de demandes dassistance en ce domaine.
51
12.- La directive de lUnion 2000/31 du 8 juin 2000 sur le commerce lectronique
Cette directive dfinit notamment le degr de responsabilit des oprateurs techniques et
fournisseurs daccs dans leur relation avec lautorit publique (art. 15) :
2 elle dispense ces oprateurs de tout devoir de surveillance gnrale des contenus, induisant
leur absence de responsabilit civile ou pnale deux exceptions prs en ce qui concerne
lhbergeur (art. 14.1) : si ce dernier a eu effectivement connaissance de lactivit ou de
linformation illicite ou de faits ou de circonstances selon lesquels lactivit ou linformation illicite
est apparente et quil na pas agi promptement pour retirer les informations ou en rendre laccs
impossible ;
2 elle autorise une obligation dinformation des autorits comptentes en cas de dcouverte
dactivits illicites ;
2 elle oblige fournir aux autorits comptentes des informations permettant lidentification des
clients mis en cause ;
2 elle encourage enfin (considrant 40) llaboration de mcanismes rapides et fiables
permettant de retirer les informations illicites et de rendre laccs celles-ci impossible, mais
sans imposer de notification spcifique aux Etats membres.
Problmatique franaise :
En vertu de cette directive, transpose par la loi n/ 2004-575 pour la confiance dans lconomie
numrique du 21.06.2004, la France na donc pu imposer aux oprateurs quun devoir de
surveillance limit, concernant des infractions limites (pdopornographie, propos racistes,
apologie des crimes contre lhumanit).
Une telle limitation europenne a eu une incidence, plus ou moins directe, sur plusieurs
lgislations franaises adoptes par la suite, notamment lors des dbats sur la loi HADOPI de
2009, concernant la question de la suspension de laccs Internet et le rle imparti aux
oprateurs dans la lutte contre le piratage des oeuvres artistiques ; lors des dbats similaires sur
la loi relative aux jeux en ligne de 2010 ; enfin, lors de lexamen prcdant le vote de la loi n/
2011-267 du 14.03.2011 dorientation et de programmation pour la performance de la scurit
intrieure, qui sest conclu par loctroi, la seule autorit administrative, de la capacit de
bloquer des contenus pdopornographiques.
Sur ce dernier point, la directive, en accordant la possibilit de bloquer des sites, a ouvert en
France un dbat complexe sur loctroi lautorit administrative dune telle capacit, qui est
loin dtre termin compte-tenu de labrogation rcemment dcide par le Parlement.
(cf., sur ce point, le titre III, chapitre 2 in fine).
13.- le protocole daccord du 4 mai 2011 sur la vente de contrefaons sur Internet
Ce protocole avait pour but dtablir un code de bonnes pratiques pour lutter contre la vente de
contrefaons sur Internet et pour renforcer la collaboration entre ses signataires (33 entreprises et
associations professionnelles reprsentant 39 sites diffrents). La Commission europenne assume le
rle de facilitateur dun dialogue voulu transparent et anim par un esprit de confiance mutuelle entre
partenaires.
Il dtermine trois principaux axes de coopration entre les entreprises et les sites :
2la mise en oeuvre de mesures proactives de protection comme de mesures techniques visant
empcher la mise en ligne doffres illicites (par le biais, par exemple, du contrle pralable des
projets dannonce) ;
Rcemment, un avocat gnral de la Cour de justice de lUnion europenne, dans le cadre des
35
recours exercs en Irlande et en Autriche, a ainsi exprim le souhait, au regard du principe de proportionnalit et
au nom de la protection de la vie prive, que la directive soit modifie pour abaisser la dure prvue en-dessous
52
2 linstauration de processus de signalement disposition des entreprises et des consommateurs
(procdures dites de notification et de retrait) ainsi quun mcanisme de partage dinformations
(sous la forme, par exemple, du signalement des personnes vendant des produits de
contrefaon) ;
2 enfin, un processus permettant llimination acclre de loffre en ligne de produits contrefaits,
sur la base de la directive 2000/31 du Conseil de lEurope (chapitre II, section 4).
Il prconise galement des actions dinformation/sensibilisation des vendeurs et acheteurs
potentiels, de protection du consommateur ainsi que des mesures dissuasives lencontre des
contrevenants rcidivistes quil convient didentifier.
La Commission a prorog le protocole de 2 ans et a institu un suivi priodique sous sa propre
gide.
En 2014, la mise en oeuvre de ce protocole devrait voir la poursuite des runions bilatrales entre
les signataires, qui visent dboucher sur des actions concrtes et cibles.
En outre, la Commission se propose, au-del de son rle actuel de facilitateur, dassumer une
fonction de mdiateur sur certaines questions spcifiques.
Enfin, les signataires et la Commission se proposent, toujours en 2014, de renforcer leur action
de communication lgard du public et de tous nouveaux partenaires potentiels (associations de
consommateurs, groupes reprsentatifs de la socit civile, plate-formes Internet non encore
signataires...) afin de trouver de nouveaux partenaires.
14.- Les directives de lUnion 2002/58 du 12 juillet 2002 sur la protection de la vie prive
dans le secteur des communications lectroniques, et 2006/24 sur les conditions de
conservation des donnes
La premire prvoit, en termes gnraux, que la conservation des donnes de connexion est
possible si elle constitue une mesure ncessaire, approprie et proportionne au sein dune socit
dmocratique pour sauvegarder la scurit nationale, la dfense et la scurit publique ou assurer la
prvention, la recherche, la dtection et la poursuite dinfractions pnales ou dutilisation non autorise
dun systme de communications lectroniques, mais cela sans fixer de dlais.
Celle de 2006 oblige, en revanche, les Etats membres contraindre les oprateurs de
tlcommunications de conserver les donnes de trafic pour une dure que les Etats membres peuvent
fixer de 6 mois 2 ans.
Elle reste encore tre transpose dans quatre Etats de lUnion (Allemagne, Autriche,
Rpublique Tchque et Sude), qui invoquent des difficults dordre constitutionnel. Les positions
allemandes pourraient toutefois voluer suite la conclusion rcente dun accord de coalition
gouvernemental qui prvoit expressment la mise en oeuvre de cette directive pour instaurer une
conservation de 3 6 mois.
De 2010 mai 2012, la Commission europenne a initi une srie de consultations en vue de
rformer ce texte. Cette dmarche a t suspendue compte-tenu des fortes rticences de la majorit des
Etats membres remettre en cause le statu quo. Sous la pression de certains fournisseurs europens
daccs Internet mais aussi de dfenseurs des droits de lhomme , une rflexion est toujours en cours
35
dun an.
53
ce sujet aux fins de proposer une minoration du dlai de conservation, vraisemblablement 6 mois. A
cet effet, la Commission a cr, en avril 2013, un groupe dexperts charg didentifier les difficults
rencontres dans lapplication de cette directive.
Problmatique franaise :
La France a instaur un dlai de conservation dun an (art. L.34-1 du code des postes et
tlcommunications lectroniques), donc infrieur au dlai de prescription en matire
dlictuelle.
Dans le dbat europen, notamment dans le cadre du groupe dexperts auquel elle participe,
elle soutient rsolument le maintien, a minima, de la rglementation actuelle, en faisant valoir
que le recours aux donnes de connexion est devenu essentiel pour la rsolution daffaires
particulirement sensibles (crime organis, terrorisme), tant sur le fond que de par leur valeur
probante dans les procdures judiciaires.

15.- Le rglement de lUnion europenne 611/2013 du 24 juin 2013, dit data breach,
concernant les mesures relatives la notification des violations de donnes caractre
personnel en vertu de la directive 2002/58 du Conseil de lEurope
Entr en vigueur le 25 aot 2013, ce rglement encadre lobligation faite au fournisseur de
services de communications lectroniques dinformer tant lautorit nationale de protection des donnes
que le client concern de toute violation de donnes caractre personnel.
Harmonisant les procdures de notification dans les Etats membres, le texte fixe des modalits
de notification, un dlai (si possible 24 h. aprs le constat de la violation) ainsi que lobligation, pour
lautorit nationale prcite, de crer un moyen lectronique scuris pour ces notifications.
Problmatique franaise :
Cette obligation de notification figure lart. 34 bis de la loi du 6 janvier 1978 relative
linformatique et aux liberts, suite lordonnance modificative 2011-1012 du 24 aot 2011,
qui rige aussi en dlit le fait, pour un fournisseur, de ne pas y procder (art. 226-17-1 du code
pnal).
16.- La lgislation de lUnion europenne sur la protection des donnes et la proposition
de directive et de rglement
Compte-tenu de lobsolescence, au regard dInternet, des directives 95/46/CE du 24 octobre 1996
sur la protection des personnes physiques lgard du traitement des donnes caractre personnel,
97/66/CE du 15 dcembre 1997 sur le traitement des donnes caractre personnel et protection de la
vie prive dans le secteur des tlcommunications, lUnion travaille depuis 2012 leur refonte ainsi qu
celle de la Dcision-cadre 2008/977/JAI
Lobjectif est, non seulement, dadapter la lgislation en matire de traitement des donnes
personnelles, mais aussi de renforcer le contrle des transferts de donnes hors de lUnion
europenne.
54
La proposition de rglement du 25 janvier 2012 relatif la protection des personnes physiques
lgard du traitement des donnes caractre personnel et la libre circulation des donnes (COM
(2012) 11 final) vise remplacer la directive de 1995. Ce projet entend notamment sappliquer tout
responsable de traitement de linformation assurant une offre de biens ou de services, mme
tabli hors de lUnion, ds le moment o les donnes gres sont celles dun rsident de lUnion.
A la dcision-cadre prcite est appele succder la proposition de directive prsente le 25
janvier 2012 (COM (2012) 10 final) relative la protection des personnes physiques lgard du
traitement des donns caractre personnel par les autorits comptentes des fins de prvention et
de dtection des infractions pnales, denqutes et de poursuites en la matire ou dexcution de
sanctions pnales, et la libre circulation des donnes.
Cette proposition de directive prvoit, en son article 4, que les donnes caractre personnel
doivent tre
a) traites loyalement et licitement
(b) collectes pour des finalits dtermines, explicites et lgitimes, et ne pas tre
traites ultrieurement de manire incompatible avec ces finalits
(c) adquates, pertinentes et non excessives au regard des finalits pour lesquelles elles
sont traites
(d) exactes et, si ncessaire, tenues jour ; toutes les mesures raisonnables doivent tre
prises pour que les donnes inexactes, eu gard aux finalits pour lesquelles elles sont
traites, soient effaces ou rectifies sans dlai
(e) conserves sous une forme permettant lidentification des personnes concernes
pendant une dure nexcdant pas celle ncessaire la ralisation des finalits pour
lesquelles elles sont collectes
(f) traites sous la responsabilit du responsable du traitement qui veille au respect des
dispositions adoptes en vertu de la prsente directive.
Problmatique franaise :
Ces instruments, une fois adopts, offrent un cadre lgal gnral que le lgislateur se doit
doptimiser et de rendre totalement oprationnel, dans les deux sens, avec nos partenaires
europens. Leur mise en oeuvre, notamment dans le domaine des fichiers utiliss en matire
rpressive, doit permettre de renforcer la lgitimit et la confiance dans laction de lEtat.
Il est noter quun autre projet de rglement a trait la protection des donnes des entreprises.
17. - le mandat darrt europen
Le mandat darrt europen complte utilement les possibilits dextradition dj offertes par la
Convention de Budapest.
La cybercriminalit figure parmi les infractions mentionnes larticle 695-23 du code de
procdure pnale franais, punies dune peine privative de libert dune dure gale ou suprieure trois
ans demprisonnement et permettant la remise des personnes recherches.
18.- la problmatique constante de lquilibre entre liberts individuelles et capacits
denqute
- pour mmoire - (cf. le chapitre I.6. consacr au contexte de laction)
dni de service, piratage, rseaux zombies...
36
cf. Le chapitre II, section 1, titres 1 et 2 : infractions contre la confidentialit, lintgrit et la
37
disponibilit des donnes et systmes informatiques
55
2.- linstauration doutils normatifs communs
Outre linstauration du cadre propice la coopration contre la cybercriminalit, le
Conseil de lEurope et lUnion europenne ont galement oeuvr la cration de bases
communes, a minima, dincriminations spcifiques.
21.- les attaques contre les systmes dinformations et les systmes de traitement
automatis de donnes (STAD)
36
Ds 2001, latteinte aux STAD est la premire des infractions prvues et dfinies par la
Convention de Budapest , qui lapprhende sous langle de laccs illgal, de linterception illgale, de
37
latteinte lintgrit des donnes ou dun systme, de labus de dispositif ou de la falsification de
donnes.
Lapproche spcifique de lUnion sest traduite rcemment par ladoption de la directive
2013/40/UE du 12 aot 2013, qui se substitue la dcision-cadre 2005/222/JAI ; devant tre transpose
par chaque Etat membre avant le 4 septembre 2015, elle leur impose :
- dincriminer laccs illgal des systmes dinformation, latteinte illgale lintgrit dun systme
dinformations et lintgrit de donnes, linterception illgale de transmission non publique de donnes
informatiques, avec des minima de peines
- de rpondre de nouveaux modes datteinte la scurit des rseaux dinformation, telle que lutilisation
de rseaux-zombies.
Elle prvoit aussi, linstar de la Convention de Budapest, la mise en place de contacts
nationaux oprationnels 24 heures sur 24 et 7 jours sur 7 et linstauration de procdures permettant de
rpondre une demande urgente dassistance manant dun autre Etat membre dans les 8 heures
compter de la rception de cette dernire, puisque la clrit des cyber-attaques impose une mobilisation
rapide des services enquteurs.
Problmatique franaise
La France dispose dj, depuis la loi du 5 janvier 1998, dun socle rpressif non ngligeable
(cf. art. 323-1 323-7 du code pnal), qui semble prendre en compte les nouvelles exigences.
Ces dernires prsentent toutefois lintrt dinciter certains de ses partenaires combler leur
retard en la matire.

22.- la protection des rseaux et la directive dite cyber-scurit
La proposition de directive COM(2013) 48 final du 7 fvrier 2013, qui doit assurer un niveau lev
de scurit des rseaux et de linformation dans lUnion Europenne, est en cours de ngociation.
Elle vise renforcer les capacits intrieures des Etats membres de lUnion, la coopration
europenne en matire de gestion de crise cyber et de rponse aux incidents. Elle projette aussi dtendre
des dispositions de la directive-cadre concernant les tlcommunications un ensemble doprateurs
de march, incluant, notamment, les secteurs dimportance critique.
56
Trois moyens sont proposs dans ce but :
2imposer linstauration, dans chaque Etat membre, dune autorit nationale comptente
sur la scurit des rseaux dinformation, dune stratgie nationale de cyber-scurit,
dun C.E.R.T. Computer Emergency Response Team) et dun plan national de rponse
aux crises ;
2crer un rseau europen des autorits nationales de cyber-scurit, instaurer le
principe dune notification obligatoire des incidents de scurit informatique dcels au
niveau national lensemble des homologues europens, adopter un plan europen de
coopration durant les crises cyber, constituer un rseau informatique dchange
dinformations sensibles ;
2instaurer le principe de la notification obligatoire dincidents informatiques significatifs
par les oprateurs conomiques viss par la directive, introduire la possibilit, pour
lautorit nationale de cyber-scurit ou pour des prestataires qualifis, de conduire des
audits rguliers et dexiger la mise disposition par les oprateurs des informations
ncessaires, introduire un principe de sanction en cas de non-respect de ces
dispositions.

Problmatique franaise
La France dispose dj dune agence, devenue autorit nationale suite la loi de
programmation pour la Dfense, sagissant de la scurit des systmes dinformations,
notamment pour les oprateurs dimportance vitale.
Ladoption, au niveau europen, de mesures lgislatives destines renforcer, partout en
Europe, les capacits nationales conforte cette politique. Toutefois, la proposition de directive
savre aussi, en ltat et de lavis de nombreux Etats membres, trop intrusive en terme de
dclaration obligatoire et de rponse oprationnelle coordonne, au regard du principe de
souverainet des Etats en matire de scurit nationale garanti par lart. 346 du Trait de
lUnion.

23.- La protection de lintelligence conomique et le secret des affaires
Le 28 novembre 2013, la Commission europenne a prsent un projet de directive visant
protger les secrets daffaires (technologies ou savoir-faire particuliers) contre le vol par des entreprises
concurrentes. Ce projet devait tre prsent au Parlement ds fvrier 2014 mais son examen sera retard
eu gard aux lections prochaines.
Bien quabordant linfraction de manire gnrale, ce texte prend aussi en considration latteinte
cyber en visant: Laccs non autoris tout document (...) ou ficher lectronique ou copie non autorise
de ces lments.
Outre la remise au dtenteur lgal et la destruction des fichiers concerns, le projet prvoit des
dommages et intrts pour les entreprises victimes dun vol ou dune appropriation illicite dinformations
confidentielles.
Problmatique franaise
Contrairement lAllemagne, lItalie et lEspagne, la France ne dispose pas dune lgislation
spcifique sagissant du secret des affaires. Si une proposition de loi avait t adopte le
23.01.2012 par lAssemble nationale afin de crer, dans un nouvel art. 325-3 du code pnal,
un dlit de violation du secret des affaires, ce texte na pas prospr. La dlgation
lintelligence conomique travaille actuellement sur un projet de texte plus ambitieux.
(cf., sur ce point, le titre III, chapitre 1er)
le droit franais a t adapt en consquence par la loi n/ 2013-711 du 5 aot 2013 (art. 227-23 du
38
code pnal)
57
24.- La vente de contrefaons et le piratage sur Internet
La Convention de Budapest incrimine les atteintes la proprit intellectuelle en renvoyant aux
principaux accords internationaux existants : Convention universelle sur le droit dauteur (Paris,
24.07.1971) ; Convention dite de Berne pour la protection des oeuvres littraires et artistiques ; Accord
sur les aspects commerciaux des droits de proprit intellectuelle ; Trait de lOMPI sur la proprit
industrielle.

Dans le cadre de lObservatoire europen de la contrefaon et du piratage, un groupe de travail
relevant du secteur priv procde, actuellement, une valuation de lensemble de ces instruments.
Suite une consultation ralise fin 2012, la Commission a dcid de ne pas proposer de rvision
de la directive 2004/49/CE relative au respect des droits de proprit intellectuelle, ni de celle relative au
commerce lectronique, afin de privilgier la question de la responsabilit des intermdiaires dInternet.
25.- Les abus sexuels et lexploitation sexuelle des enfants, la pdopornographie
La Convention de Budapest demeure la premire et principale base internationale de rfrence
incriminant, sous ses diffrents angles, la cyber-exploitation de la pornographie infantile (possession,
stockage, mise disposition, diffusion, transmission de contenus pdopornographiques).
Une autre convention du Conseil de lEurope, dite Convention de Lanzarote, a trait la
protection des enfants contre lexploitation et les abus sexuels ; ouverte la signature le 25.10.2007, elle
a t signe et ratifie par 28 Etats, dont la France, mais les Etats-Unis nen font pas partie ; elle est
entre en vigueur le 1 juillet 2010.
er
Elle impose notamment aux Etats Parties dincriminer le fait daccder, en connaissance de cause
et par le biais des technologies de communication et dinformation, de la pornographie enfantine, ou
encore le fait, pour un majeur, de solliciter un mineur des fins sexuelles par lintermdiaire de ces
nouvelles technologies.
Elle constitue, en outre et dfaut dautres instruments, une base lgale adapte pour lentraide
judiciaire en matire pnale.
La directive n/2011/92/UE du 13 dcembre 2011 reprend les dispositions de la convention
prcite, en les approfondissant et en les harmonisant, galement en terme de sanctions encourues.
Elle fait ainsi obligation aux Etats membres dincriminer le fait daccder, en connaissance de
cause et par le biais des technologies de linformation et de la communication, de la pdopornographie,
quand bien mme cet accs ne serait pas habituel , ou encore le fait de solliciter un mineur des fins
38
sexuelles au moyen de ces technologies.
Elle impose ces mmes Etats de prendre les mesures ncessaires pour faire supprimer
rapidement les pages Internet hberges sur leur territoire et contenant ou diffusant de la
pdopornographie, et de bloquer laccs par les internautes aux pages internet contenant ou
diffusant de la pdopornographie.
58
La rsolution du Parlement europen sur la protection des enfants dans le monde numrique, en
date du 20 novembre 2012, si elle souligne le niveau lev de coopration entre les autorits policires
et judiciaires des Etats membres, regrette la lenteur des procdures de notification et de retrait de pages
Internet dans certains Etats membres, souhaite que lUnion se dote dune approche commune en matire
de recevabilit et dadmissibilit des preuves et appelle redoubler defforts pour renforcer la coopration
avec les pays tiers en ce qui concerne le retrait rapide des pages Internet illicites hberges sur leur
territoire.
Enfin, lAlliance mondiale contre la pdopornographie constitue le 5 dcembre 2012 a t lance
linitiative des Etats-Unis et de lUnion europenne et regroupe aujourdhui 48 Etats. Il sagit dune
dclaration politique dintention visant raliser un plan daction comportant 4 objectifs : lidentification
et le soutien aux victimes, la rduction de la prsence de matriel pdopornographique sur Internet,
lidentification des auteurs et leurs poursuites, la sensibilisation du public sur les risques que reprsentent
les activits des enfants sur Internet.
Une valuation sera dresse en juillet 2014, suivie de la tenue dune confrence mondiale aux
Etats-Unis en septembre suivant.
Problmatique franaise
Si la cration dune telle Alliance ne peut qutre accueillie trs favorablement, il reste
ncessaire de prciser les modalits de son articulation avec Interpol, Europol et le nouveau
centre europen contre la cybercriminalit (voir plus loin).


26.- les discriminations
Le protocole additionnel la Convention de Budapest, adopt le 7 novembre 2002, ouvert la
signature en janvier 2013 et immdiatement sign par la France, demande aux Etats de lutter contre la
diffusion de matriel raciste et xnophobe par le biais de systmes informatiques et prconise, ce titre,
une harmonisation du droit pnal et lamlioration de la coopration internationale.
La dcision-cadre 2008/913/JAI du 28 novembre 2008 sur la lutte contre certaines formes et
manifestations de racisme et de xnophobie demande aux Etats-membres dincriminer tout fait, propos
ou comportement constitutif de racisme, dincitation la haine, de ngation ou de banalisation des crimes
de gnocide, et de les rprimer de peines comprises entre un trois ans de prison. Plus prcisment sont
vises lincitation publique la violence ou la race visant un groupe de personnes ou de membres dun
tel groupe, dfini par rfrence la haine, la couleur, la religion, lascendance, lorigine nationale ou
ethnique, en particulier lorsquune telle incitation se fait par diffusion ou distribution publique dcrits,
dimages ou dautres supports (par rfrence Internet), ainsi que lapologie, la ngation ou la
banalisation grossire publique des crimes de gnocide, crimes contre lhumanit et crimes de guerre tels
que dfinis par la Cour pnale internationale.
Toutefois, lensemble des Etats de lUnion nont pas encore transpos cette dcision-cadre dans
leurs lgislations respectives.
Une telle approche a t voulue par la Commission, en dpit de la position de certains Etats-membres
39
prconisant une approche plus quilibre.
cet gard, le projet de directive relative la cyber-scurit (cf. II.2) fait partie intgrante de cette
40
stratgie
cf., notamment, sur cette stratgie la rsolution vote par le Snat le 19.04.2013
41
La dlgation franaise est compose de reprsentants du ministre des Affaires Etrangres, de
42
lANSSI et du ministre de lIntrieur (Direction de la coopration internationale) ; le ministre de la Justice
nest pas reprsent
59
3.- La stratgie de lUnion europenne en matire de cyber-scurit : une rponse
globale au dfi cyber
Outre les acquis juridiques prcits, lUnion europenne a voulu laborer, en fvrier
2013, une stratgie densemble visant toutes les problmatiques cyber, stratgie dans laquelle
la lutte contre la cybercriminalit est toutefois traite comme une composante garantissant une
cyber-scurit collective .
39
La lutte contre la cybercriminalit y est ainsi aborde au ct de quatre autres piliers
que sont la protection/rsilience des rseaux et de linformation , le dveloppement de
40
capacits de cyber-dfense, le partenariat avec le secteur industriel afin de dvelopper une
vritable technologie europenne, notamment pour les produits de cyber-scurit, et
llaboration dune vritable diplomatie europenne en matire de cyber .
41
Si le document stratgique intgre les actions dj engages, il en envisage aussi de
nouvelles de nature soutenir laction des Etats-membres sous la forme doutils europens de
soutien technique, daide la formation et la prvention, de soutien oprationnel aux
enqutes, de financement, daide au dveloppement doutils technologiques...
Cette stratgie, qui sert dsormais de fondement la politique de lUnion en la matire,
fait lobjet dun suivi au sein du Groupe des amis de la prsidence qui entend veiller la
synergie des travaux dans le domaine juridique et dans celui de la dfense . Elle sest dj
42
traduite par un projet de directive sur la scurit des rseaux et de linformation en cours de
ngociation ; une autre priorit concerne la lutte contre les rseaux zombies et les logiciels
malveillants.
Il est noter que le mandat confi au prsent groupe interministriel sinscrit
dans cette stratgie europenne.
31.- Un enjeu global : ladaptation rapide lvolution des technologies de linformation
et la communication
En rponse lmergence de nouveaux modes dutilisation dInternet, lUnion a identifi des
filires stratgiques en terme de protection des donnes (les donnes volumineuses dites big data ou
linformatique en nuage), quil sagit de dvelopper en Europe.
Au sein du Conseil, le groupe COSI, comptent sur les questions de scurit intrieure, est charg de
43
la mise en oeuvre de ce plan qui concerne les annes 2014-2017. La priorit donne par le Conseil la lutte
contre la cybercriminalit a t approuve par le Conseil Justice-Affaires Intrieures des 6 et 7 juin 2013.
60
32.- Des approches sectorielles ddies spcifiquement la lutte contre la
cybercriminalit
Le plan de lutte stratgique pluri-annuel contre la grande criminalit organise rige en action
prioritaire la cybercriminalit ; celle-ci est vise tant au titre des fraudes en ligne et aux cartes de
paiement, de lexploitation sexuelle en ligne des mineurs et des cyber attaques portant atteinte des
infrastructures et des systmes dinformatique critiques de lUnion, que comme vecteur de criminalit
(recours Intranet pour la traite des tes humains, le trafic de drogues de synthse, la contrefaon de
biens, le trafic darmes feu, la fraude aux taxes infra communautaires) .
43
Problmatique franaise
Au sein des groupes de travail, la France, reprsente par lO.C.L.C.T.I.C., lO.C.V.R.P. et le
S.T.R.J.D. de la Gendarmerie, est pleinement implique dans les priorits ainsi dfinies.
Elle mne, galement, et cela en concertation avec la Commission et EUROPOL, une tude
sur les obstacles juridiques handicapant la lutte contre les fraudes aux cartes bancaires ; elle
diligentera aussi une tude, dbut 2014, auprs des services enquteurs de lUnion en vue de
dfinir les possibilits damliorer lentraide pnale internationale au plan europen.

En outre, le 7 plan daction douanier europen fixe, pour 2013-2017, un cadre stratgique
me
daction pour les Douanes, en privilgiant quatre objectifs stratgiques, notamment la lutte contre le
commerce de contrefaons rsultant de la vente sur Internet et le renforcement de la coopration avec
lObservatoire europen des atteintes aux droits de proprit intellectuelle. Ces objectifs sont eux-mmes
dclins en actions concrtes, comme lorganisation dchanges avec les pays tiers ou encore la
production de lignes directrices en matire de lutte contre la vente de contrefaons sur Internet.
33.- La fourniture doutils de formation et de prvention
La stratgie de lUnion intgre un objectif de sensibilisation des entreprises, des administrations
et du grand public (sous langle notamment de la formation en milieu scolaire) qui nest toutefois pas
nouveau.
9 sagissant de la protection de lenfance,
2 Le programme Internet sans crainte (safer internet) cr par la Commission soutient le
dveloppement dun Internet responsable et sr pour les enfants, qui associe, dans 38 pays, les
parents, les enseignants, les ducateurs et les enfants eux-mmes.
Chaque anne, le Safer Internet Day, organis simultanment dans trente pays de lUnion,
permet la mobilisation dun grand nombre de partenaires autour dun thme commun qui, en
2014, sera Ensemble pour un meilleur Internet.
La France est reprsente au sein du conseil dadministration dEUROPOL par la direction centrale
44
de la police judiciaire, mais lensemble des services rpressifs travaille troitement avec cette agence.
Inaugur le 11 janvier 2013 dans les locaux dEUROPOL, EC3 compte actuellement une quarantaine
45
dexperts et dispose dun budget de 4,6 millions deuros.
Programme SOCTA (Serious organized crime threat assessment)
46
61
En France, ce programme est plac sous lgide de la Dlgation aux usages de lInternet et
fdre trois services complmentaires en matire dducation et de protection des mineurs (cf.
titre II, chapitre 4 sur le partenariat public/priv).

2 De manire plus gnrale, la recommandation de lUnion en date du 18 dcembre 2006 incite
chaque Etat, dans le cadre de la lutte contre la fracture numrique, intgrer les comptences
cls dfinies au plan europen dans ses stratgies dducation et de formation tout au long de
la vie ; parmi les 8 comptences cls ainsi dfinies, la quatrime, visant la comptence
numrique, implique lusage sr et critique des technologies de la socit de linformation (TSI)
au travail, dans les loisirs et dans la communication.
9 sagissant de la formation des personnels enquteurs
Le groupe de travail europen ECTEG (Europan cybercrime training and ducation group),
compos de reprsentants des services enquteurs des Etats membres, dorganisations
internationales, duniversits et dindustriels, entend promouvoir lharmonisation des rfrentiels
des mtiers et qualifications.
Son acte vise notamment favoriser des dmarches de formation commune entre les services
rpressifs par la mise disposition de supports de formation et le partage dexpertise en la
matire. Cette approche implique galement les organisations internationales, les partenaires
acadmiques (sous la forme de la cration de formations diplmantes reconnues au plan
international) et les partenaires industriels. Elle bnficie du soutien dEUROPOL et sappuie
notamment sur le Collge europen de police (CEPOL).
34.- La cration dun outil europen de soutien technique et oprationnel ddi la lutte
contre la cybercriminalit
EUROPOL est lune des agences europennes impliques dans le dispositif anti-cybercriminalit
de lUnion Europenne, avec lENISA (Agence europenne charge de la scurit informatique des
rseaux), EUROJUST, le CERT de lUnion Europenne et le CEPOL. Elle est, plus spcifiquement,
charge danalyser la ralit du phnomne par le biais de ses bases de donnes .
44
Dans ce cadre, EUROPOL a cr rcemment le Centre europen de lutte contre la
cybercriminalit (EC3) , qui a pour mission dapporter aux services denqute un soutien dans la lutte
45
contre les fraudes bancaires, les escroqueries financires en ligne, la pdopornographie, les cyber-
attaques contre les infrastructures dintrt vital et le piratage dinformations de lUnion. Il fournit ce titre
conseils et assistance technique, analyse criminelle, soutien technico-lgal, coordination oprationnelle,
analyse stratgique que les nouvelles menaces , formation, mise en rseau dexperts, travail avec le
46
priv et les universits...
Plus prcisment, un groupe de discussion - lEuropean cybercrime task force dEUROPOL -
62
permet aux chefs des units nationales de la lutte contre le cybercrime dvoquer avec les
instances europennes (EUROPOL, EUROJUST, la Commission) les problmes stratgiques
et oprationnels lis aux enqutes et leur poursuite pnale, lintrieur comme lextrieur du
territoire de lUnion.
Les fichiers CYBORG (piratage),TERMINAL (fraudes aux cartes de paiement) et AWF COPY
(contrefaon) facilitent les recoupements pour les enqutes.
Le 10 fvrier 2024, la Commission europenne a prsent le premier rapport sur la
cybercriminalit labor par le centre EC3 ; son service oprationnel a particip, en un an, 19
oprations internationales denvergure contre la criminalit organise
En terme de perspective, EUROPOL entend fdrer un rseau des plates-formes de signalement
des Etats-membres ; dans ce cadre, la plate-forme PHAROS, gre par lO.C.L.C.T.I.C., devrait tre
intgre dans une plate-forme europenne, dnomme I-CROS, dont le projet a t initi par loffice
franais dans le cadre de la prsidence franaise de lUnion en 2008. Ce projet a connu des retards lis
au dmnagement dEUROPOL mais aussi au fait que son contenu exact est encore dbattu, certains
Etats souhaitant se limiter aux contenus pdopornographiques, dautres ltendre plus largement
(racisme, escroqueries...).
35.- Les institutions relais lchelle europenne
Au-del des structures dj nonces, lUnion favorise lmergence de forums ou dobservatoires
destins prolonger les dbats nationaux sagissant des principaux thmes lis la lutte contre la
cybercriminalit.
9 le Forum europen SecurePay sinscrit dans le prolongement europen des dbats
nationaux qui ont lieu dans le cadre de lObservatoire franais de la scurit des cartes de
paiement.
Problmatique franaise
Le champ de comptence de linstance europenne est plus large que celui de son homologue
franais, puisquelle couvre lensemble des instruments de paiement (virements, paiements
mobiles...) - (cf., sur ce point le titre II, chapitre IV).
9 lObservatoire europen des atteintes aux droits de proprit intellectuelle sintresse,
en ce qui le concerne, lensemble des questions relatives la lutte contre la contrefaon. Il a
pour mission damliorer la qualit des informations et des statistiques concernant le march
intrieur de lUnion, la dfinition et la diffusion des meilleurs stratgies et techniques de contrle
mises en oeuvre dans les secteurs public et priv de lUnion, et la sensibilisation de lopinion
publique.

Le projet Union Europenne - Chine IPR2 vise principalement former les acteurs concerns par la
47
proprit intellectuelle et sa mise en oeuvre et amliorer le respect des droits de proprit intellectuelle par la
mise en oeuvre dactions administratives, civiles et pnales. LI.N.P.I. participe la logistique de ce projet.
Quant au programme Union Europenne -Asie du Sud Est (la Birmanie, le Brunei, le Cambodge, lIndonsie, le
Laos, la Malaisie, les Philippines, Singapour, la Thailande et le Vietnam), son troisime volet a t lanc le 1
er
janvier 2010 (UE - ASEAN ECAP III) ; financ par la Commission et lOffice europen des brevets (0EB), il
stale sur 4 ans ; il est pilot, depuis le dbut 2013, par lOHMI
Cette agence (Internet watch foundation) met notamment la disposition de ses partenaires
48
(fournisseurs daccs Internet, fournisseurs de solution de blocage et moteurs de recherche) une liste noire
dURLs pointant vers des sites contenant potentiellement des contenus dabus sexuels sur mineurs, et en
particulier des images.
63
Problmatique franaise
Cet observatoire, initialement coordonn et dirig par la Commission europenne, a t cr
en 2009 suite une initiative de la prsidence franaise de lUnion. Il est rattach lOffice
dharmonisation du march intrieur (OHMI) depuis 2012.
LInstitut national de la proprit intellectuelle (I.N.P.I.), en tant quil assure le secrtariat
gnral du Comit national anti-contrefaon (C.N.A.C.), reprsente la France lobservatoire,
participe aux runions entre les Etats-membres ainsi qu la runion plnire associant le public
et le priv ; lUNIFAB, la DGCIS et la direction gnrale des douanes et des droits indirects
contribuent aussi activement ces travaux en tant prsent dans les diffrents groupes de
travail.

Le CNAC, par lintermdiaire des groupes sensibilisation et cybercontrefaon devrait
lancer en 2014 une campagne de communication sur la contrefaon sur Internet destination
des consommateurs. Il sagira galement, en leur communiquant une liste dindices et de
bonnes pratiques, dviter dtre les victimes dachat de contrefaons sur Internet.
36.- Le soutien la coopration pnale internationale
LUnion sattache largir les possibilits de coopration institutionnelle.
Cette action se concrtise, notamment, dans le cadre de la lutte contre la contrefaon; cest ainsi
que lUnion va lancer un nouveau programme europen sur la protection de la proprit intellectuelle en
Chine comme en Asie du Sud Est .
47
Sagissant spcifiquement de lentraide pnale internationale, la Commission a galement charg
EUROJUST didentifier les obstacles actuels la coopration judiciaire au sein de lUnion en matire de
cybercriminalit.
37.- Les possibilits de financement
Dans le cadre de la stratgie cyber, lUnion met disposition des moyens de financement
(programme MIE, Horizon 2020, Fonds pour la scurit intrieure, PEST et coopration extrieure...).
A titre dexemple, lUnion finance notamment lIWF , agence indpendante de rgulation des
48
contenus sur Internet, qui constitue une autorit internationale de rfrence pour la lutte contre la
pdopornographie sur Internet.
Ce projet COM(2012) 238, en cours de discussion au Parlement europen, traite, entre autres, de la
49
notion dauthentification lectronique mais sous le seul angle de la reconnaissance mutuelle entre Etats.
64
Problmatique franaise
Si les capacits europennes de financement existent bien, elles sont gres par des procdures
long terme, qui rpondent des logiques parfois complexes ou loignes du temps
oprationnel. Le contexte budgtaire actuel conduit aussi la Commission revoir son
engagement dans certains programmes ; cest ainsi quelle envisage, ds 2014, de mettre
progressivement un terme aux subventions quelle alloue aux dispositifs de signalements
europens. Une telle politique pourrait devenir critique pour lAssociation des fournisseurs
daccs (AFA), qui espre que les pouvoirs publics franais prendront le relais en sengageant
financirement pour la protection des mineurs sur Internet et la lutte contre la pornographie
enfantine.
38.- Les perspectives europennes pour 2014
La Commission Europenne nenvisage pas, dans le cadre de sa stratgie cyber, de crer de
nouveaux instruments juridiques internationaux concernant les questions inhrentes au cyberespace.
La priorit est ainsi mise sur ladoption des instruments dj prpars, notamment les projets de
directive dj cits portant sur la protection des donnes ou sur le secret des affaires, ainsi que le projet
de rglement europen sur lidentification lectronique . Toutefois, comme on la vu, lambition consiste
49
aussi amliorer certains instruments existants et leur donner une plus grande porte en terme
dadhsions nouvelles.
En juin 2014, le Conseil de lUnion doit tablir une feuille de route pour le domaine Justice-Affaires
intrieures pour les quatre prochaines annes ; les travaux prparatoires tmoignent dj de la priorit
que les Etats-membres souhaitent donner la lutte contre la cybercriminalit.
Problmatique franaise
Pour la France, les efforts normatifs entrepris par lUnion visant rapprocher les lgislations
nationales des fins dchange dinformations et de coopration policire en matire de lutte
contre la cybercriminalit sont prioritaires.
En outre, suite ladoption des conclusions du Conseil de juillet 2013, les Etats-membres
de lUnion se sont accords, le 30 octobre 2013, pour traduire plus avant la stratgie sous la forme dune
feuille de route dtaille. Au plan stratgique, cette dmarche devrait donc se traduire, dans les mois
venir, par la dclinaison des orientations politiques dj adoptes sous la forme de priorits, dactions
mener et dacteurs impliquer.
Problmatique franaise
Lune des priorits franaises, nonces publiquement par les plus hautes autorits de lEtat,
consiste favoriser lmergence dune industrie europenne spcialise susceptible de fournir,
en matire de cyber, les dispositifs ncessaires toute indpendance technologique.
En outre, lchange de bonnes pratiques que le groupe des Amis de la prsidence de lUnion
europenne, en charge de la mise en oeuvre de la stratgie de cyberscurit, entend
dvelopper, pourrait tre loccasion de promouvoir au plan international les amliorations du
dispositif franais dans la lutte contre la cybercriminalit.
65
Les priorits actuellement arrtes pourraient connatre, en cours de lanne 2014, des
volutions importantes du fait du renouvellement des commissaires de la Commission
europenne et des lections au Parlement europen.

*****
Si lUnion europenne comme le Conseil de lEurope jouent ainsi un rle majeur
dans la lutte mondiale contre la cybercriminalit, les instruments europens adopts dans
diffrents secteurs offrent un cadre lgal gnral que lon se doit de renforcer, tant au plan
international quau plan interne.
En outre, laffaire PRISM a soulign la ncessit dun positionnement europen
plus cohrent et plus volontariste sagissant de la protection des donnes personnelles.
,,,,,,

voir, en annexe, lintgralit du rapport de synthse ; parmi les autres sources utilises, cf.
50
WEIGEND (Thomas), Rapport gnral sur la socit de linformation et le droit pnal au XIXme congrs de
lAssociation internationale de droit pnal, Revue internationale de droit pnal, 2013/1, vol.84, p). 19-47
66
I.4.- Les enseignements du droit compar
La France nest pas seule se heurter des difficults dans lapprhension de
la cybercriminalit et vouloir passer une seconde tape : ltude ralise, la demande du
groupe de travail, par le Service des affaires europennes et internationales (S.A.E.I.) de la
Chancellerie (bureau du droit compar) en atteste, tout en mettant en exergue, ici et l, des
50
prcdents utiles.
9 Dans les Etats comparables, nul ne parat tre parvenu surmonter le dfi que
pose la dfinition de la cybercriminalit ou, lorsque certains lont fait (cf. Grande Bretagne et
U.S.A.), la dfinition donne parat trop restrictive, voire peu oprationnelle (cf. Canada).
Une telle difficult sexplique par le fait que, partout, si certains comportements
spcifiques la cybercriminalit ont t rigs en infractions autonomes - en particulier
sagissant des atteintes aux systmes de traitement automatis de donnes, et lon voit l
linfluence de la directive europenne sur la cybercriminalit -, la majeure partie des poursuites
reste fonde sur les incriminations de droit commun.
Toutefois, la marge, il y a des distinctions dans la mesure o, en matire datteintes
aux biens, la tendance lincrimination spcifique est parfois plus forte quen France (cf.
lAllemagne qui incrimine lescroquerie commise au moyen de la manipulation de donnes informatiques;
certains Etats fdrs des U.S.A. font de mme avec lextorsion en ligne ou lenvoi de spams massifs
quantitativement dfinis en fonction des priodes de temps ; lEspagne qui vise spcialement la diffusion
ou la rvlation de photographies ou dimages sur Internet portant gravement atteinte au droit de la vie
prive de la personne ainsi que la rvlation des secrets dentreprise faisant lobjet de transcriptions
informatiques ; la Belgique qui incrimine le cyber-harclement depuis 2005 ; le Canada sagissant de la
fraude informatique ou du vol largi au crdit dun compte bancaire ou encore de la possession doutils
de piratage informatique...). Une telle tendance est perceptible dans de nombreux Etats lorsquil
est question de cyber-intimidation, de cyber-harclement, de vol didentit, de spamming,
dacquisition ou de distribution de donnes illgales...
Il nen demeure pas moins que, comme en France, on se heurte partout de vritables
difficults lorsquil sagit de dcompter les infractions relevant de la cybercriminalit (cf.,
notamment, lAllemagne, en situation comparable).
Le travail lgislatif dincrimination est lui-mme confront un dilemme difficile,
puisque la cyber-infraction doit tre dfinie de manire assez large pour que lvolution
technologique ne la rende pas immdiatement obsolte ou du moins insuffisante, tout en
respectant le principe de lgalit qui requiert prcision et clart. Selon les systmes, la priorit
est donn lune ou lautre des considrations. Enfin, la difficult prouver llment
intentionnel de la cyber-infraction conduit certains systmes juridiques prconiser des
infractions matrielles ou privilgier la voie administrative qui fait lconomie dune telle
exigence (cf. WEIGEND, op. cit.).
67
Il est noter que les efforts des systmes juridiques ne portent pas seulement sur les
incriminations mais aussi parfois sur ladaptation des sanctions ; ainsi, le droit Belge prvoit-il
la confiscation des dispositifs malveillants et reconnat au procureur du Roi le droit dutiliser tous
les moyens techniques pour rendre les donnes inaccessibles si ces donnes constituent lobjet
de linfraction ou en sont le produit et si elles sont contraires lordre public ou aux bonnes moeurs, ou
constituent un danger pour lintgrit des systmes informatiques ou des donnes stockes, traites ou
transmises par un tel systme , par exemple en ordonnant un fournisseur de services Internet
de supprimer le nom de domaine dun site qui viole la loi (cf. WEIGEND, op. cit.).
9 la place donne la rponse pnale diffre fortement selon les systmes
juridiques (cf. WEIGEND, op. cit.).
Ainsi certains donnent la prdominance des rponses de nature administrative en
reconnaissant des organismes le droit dordonner la suppression de tel ou tel contenu ou de
fermer un site ; un tel dispositif, qui va jusqu ordonner un fournisseur daccs de bloquer
un site, est frquent pour lutter contre la pdopornographie (Finlande, Hongrie, Italie, Roumanie,
Turquie...) ; en sens inverse, en Allemagne, en Grce et en Pologne, les lois votes cette fin
ne sont jamais rentres en vigueur - ce qui un peu aussi la situation de la France.

Dans la plupart des systmes juridiques, les victimes peuvent agir au civil en rparation
de leurs dommages ; mais une telle voie parat souvent complexe et donc peu utilise (Pologne,
Turquie...).
Telle est la raison pour laquelle dautres systmes prconisent une troisime voie,
faisant appel lauto-rgulation des prestataires de service de lInternet, par le biais de
notifications faites par les internautes (cf. Les Pays-Bas, la Hongrie).
A cet gard, certains Etats sinterrogent sur lopportunit dlargir la responsabilit des
fournisseurs daccs Internet.
Un autre moyen de faire du droit pnal lultima ratio consiste en exclure les cas o
linfraction a t autorise ou facilite par la ngligence de la victime en terme dauto-protection
(Allemagne, Espagne, Hongrie, Italie, Pologne).
9 la comptence territoriale lgard de la cybercriminalit pose difficult
mais les systmes juridiques lont rsolu diffremment (cf. WEIGEND, op. cit.).
Ainsi, lorsque lauteur a agi ou de ltranger, la plupart des Etats reconnaissent
comptence leurs propres juridictions si leffet de linfraction sest produit sur le territoire
national (cf. Autriche, Brsil, Allemagne, Italie, Roumanie). Toutefois, cet effet est dfini plus ou
moins largement : dans certains systmes juridiques, la simple visualisation dun contenu
pnalement rprhensible sur un site tranger est attributive de comptence pour la juridiction
concerne (Allemagne, Turquie) ; dautres requirent un prjudice plus direct et plus matriel.
Manifestement, la connexion traditionnelle entre la question de comptence et celle du
territoire dun Etat-nation est, peu peu, bouleverse par la cybercriminalit, comme elle lest
dj dailleurs par la criminalit organise lchelle internationale.
68
9 En ce qui concerne lorganisation des services denqute, les Etats hsitent
entre le recours des enquteurs spcialiss et la cration de vritables services ddis la
lutte contre la cybercriminalit ; toutefois, la croissance de cette dlinquance les incite
actuellement privilgier la seconde solution, quitte crer, dans le cadre de tels services, des
groupes plus spcialement assigns lutter contre telle ou telle forme de cyberdlinquance.
Le cadre constitutionnel savre, en revanche, dterminant lorsquil sagit de confier tout
ou partie de cette lutte un ou des services centraux (Espagne, Pays-Bas, Royaume-Uni) ou,
au contraire, aux Etats fdrs (U.S.A.) aux landers (Allemagne, les services fdraux nayant
comptence quen matire de soutien technique ou pour effectuer une veille permanente), ou aux
provinces (Canada, bien que la Gendarmerie Royale dispose dune direction spcialise).
Certains modles organisationnels mritent attention, tel le service central cr par le
Royaume-Uni pour connatre de toute la dlinquance relative aux cartes bancaires, ou le centre
de gestion des plaintes en ligne que lon trouve aux U.S.A. pour certaines infractions
spcifiques la cybercriminalit (usurpation didentit, intrusion informatique, violation des droits de
proprit intellectuelle, extorsion en ligne...), tant not quoutre les plaintes des victimes dresses
sur la base de formulaires-type, ce centre a aussi vocation recevoir les signalements portant
sur des contenus illicites ou des comportements dangereux. La composition mme de ces
services fait parfois largement appel des analystes privs, voire des hackers susceptibles
dinfiltrer les systmes potentiellement dangereux (Grande-Bretagne).
9 En terme de coordination et de pilotage centraliss, lhtrognit
prdomine, certains pays la confiant larme (cf. le Brsil o la lutte contre la cybercriminalit relve
de la stratgie nationale de Dfense), dautres une agence publique sur le point dtre cre pour
pallier lparpillement des services (cf. le Royaume-Uni), dautres encore la police judiciaire (cf.
les Pays-Bas, mme si, en cas de menace grave, peut intervenir aussi une force interministrielle
regroupant services de police, parquet national et centre de protection des infrastructures nationales),
dautres enfin un procureur gnral spcialis (Espagne, cette autorit disposant dun parquet
autonome comprenant 70 magistrats).
9 Pour ce qui concerne les moyens juridiques dinvestigation, la distinction
la plus notable concerne les Etats - les plus nombreux - qui obligent les gestionnaires
conserver les donnes relatives aux changes sur Internet mais pendant des priodes de
temps trs variables, et ceux qui sy refusent pour linstant (Allemagne, Grande-Bretagne, Japon
et U.S.A. notamment), pour des raisons tenant essentiellement aux droits constitutionnellement
reconnus sagissant de la libert dexpression; les Etats du second groupe tentent de pallier les
difficults qui en rsultent sagissant du recueil de la preuve numrique soit en misant sur la
prvention de la fraude et son signalement rapide (Grande-Bretagne et Pays de Galles), soit en
recourant une veille permanente grande chelle sur Internet et la cyber-infiltration dose
massive (U.S.A.).
Pour autant, la tendance gnrale consiste doter les services denqute de moyens
dinvestigation jugs ncessaires la lutte contre la cybercriminalit.
Certains Etats disposent dj, et parfois depuis une dcennie au moins, de moyens
lgaux rcemment reconnus en France ou qui font toujours discussion, notamment en matire
de blocage de sites en matire de pdopornographie (cf., par ex., le juge dinstruction Belge qui peut
ordonner aux fournisseurs de bloquer leurs services en cas de danger pour la scurit publique, la
69
scurit publique, la scurit nationale, la dfense nationale ou lintrt des consommateurs - (cf.
WEIGEND, op. cit.).
Dautres Etats sont sur le point dintroduire de pareils moyens dans leurs normes
internes, par exemple lEspagne, quil sagisse de lusage de fausses identits et de la cyber-
infiltration ou de la possibilit reconnue au juge dinstruction dordonner la fermeture des sites
de pornographie infantile ou le blocage de leur accs sils sont situs dans un pays tranger,
ou encore le Canada qui, bien que dot dune lgislation depuis 1985, entend renforcer la
coopration des prestataires privs, largir les possibilits dinterception et crer de nouveaux
outils denqute adapts aux dlits informatiques...
Quoiquil en soit, il semble que, de manire gnrale, les dbats sur ce point soient
moins tendus quen France. Nanmoins, le consensus existant consiste parfois rserver
lobligation de stockage des donnes (Espagne, mme si cette limitation est aujourdhui conteste)
ou les mesures les plus intrusives aux infractions dites graves (5 ans demprisonnement encourus
pour lEspagne, lAllemagne se rfrant, quant elle, une liste dinfractions assez plthorique).
9 En ce qui concerne les victimes, rares sont les Etats qui disposent dune
vritable politique en la matire, lexception notable des actions mises en oeuvre en terme
dinformation et de sensibilisation, notamment lgard des mineurs et des entreprises
propos desquelles lon constate partout une certaine rticence dposer plainte pour des
raisons dimage ; ces actions sont conduites soit par la police (Espagne), soit par une autorit
indpendante (Royaume-Uni), soit par des instances public/priv (Canada, sagissant tant du
tlmarketing frauduleux, que de lexploitation sexuelle des enfants, avec des possibilits de signalement
en ligne).
9 La coopration internationale rencontre, dans tous les Etats, des difficults
du mme ordre que celles constates en France et mme davantage pour ceux qui ne sont pas
signataires de la convention du Conseil de lEurope sur la cybercriminalit (Brsil) ou qui ne lont
pas encore ratifi (Canada) ou transpos intgralement dans leur lgislation interne (Espagne).
Certains de ces Etats mnent une politique trs volontariste dans le domaine international
(Pays-Bas, Canada...).
Le pilotage de ces questions est fonction de larchitecture interne retenue ; ainsi, le
ministre fdral de lIntrieur joue-t-il un rle prminent en Allemagne, alors que les
questions de coopration sont confies, par le Royaume-Uni, une agence spcifique.
9 Mais cest sans doute en ce qui concerne la stratgie globale dans la lutte
contre la cybercriminalit que les enseignements du droit compar sont les plus intressants
pour la France, dautant plus que, sagissant des Etats europens qui lont mise en oeuvre, elle
sinspire directement de la stratgie recommande par lUnion europenne lorsquelle ne la pas
prcde.
Ainsi, la stratgie de cyber-scurit mise en oeuvre en Allemagne compter de fvrier
2011 repose sur la dtermination de 10 objectifs qui englobent, aussi bien, des questions de
cyberscurit, de cyberdfense et de lutte contre la cybercriminalit au sens franais de ces
termes.
70
Sur le plan organisationnel, cette stratgie Allemande
-est pilote par un Conseil national de cyber-scurit, associant, outre la Chancellerie,
les ministres fdraux des Affaires trangres, de lIntrieur, de la Dfense, de
lEconomie, des Finances, de la Justice et de lEducation et de la Recherche, avec la
possibilit dassocier les milieux conomiques et des universitaires.
-lequel est assist par un Conseil de cyber-scurit, association compose de
personnalits politiques, conomiques et universitaires
-est mise en oeuvre par lOffice fdral pour la scurit des techniques dinformation,
dj existant, mais dont le rle a t renforc afin, outre la mise au point et la
surveillance de lapplication des protocoles et standards de scurit sagissant de
ladministration fdrale, dinformer le public sur les failles de scurit existant dans les
logiciels ou systmes informatiques et de mener des actions de sensibilisation auprs
des milieux conomiques ou financiers ; cet Office, qui comprend 550 personnes,
essentiellement des informaticiens et scientifiques, est rattach au ministre de
lIntrieur.
- ainsi que par le Centre national de cyber-protection qui, assistant lOffice fdral, traite
des dossiers concernant la scurit nationale, notamment celle des infrastructures dites
critiques, et assure la coopration entre les diffrentes autorits (policires, douanires,
de renseignements ainsi que larme).
Plus rcemment, les Pays-Bas ont cr un Centre national de cyber scurit, structure
associant notamment la Dfense, la police, le ministre public et le laboratoire central de
mdecine lgale ; il est principalement charg de suivre les tendances en matire de
cybercriminalit, de menaces, dincidents et de vulnrabilits.
Le Royaume-Uni prpare, lui aussi, une nouvelle stratgie en matire de lutte contre
la cybercriminalit, principalement axe sur la protection des intrts industriels, financiers et
commerciaux du pays. Il est le fait de lagence dj cite.
Toutefois, cet Etat, a depuis longtemps mis laccent sur la prvention travers une srie
dorganismes permettant au Gouvernement, aux autorits judiciaires et aux entreprises
appartenant aux secteurs conomiques sensibles dchanger les informations utiles sur les
cyber-menaces, lun dentre eux tant plus spcialement ddi aux questions de dfense et aux
industries de larmement.
Une dernire structure, qui prend la forme dune agence publique, laquelle associe aussi des
reprsentants de la socit civile, a pour but de prvenir et de lutter contre la fraude,
notamment sous la forme de campagnes publicitaires et dinformations des usagers.
Le Canada, sil na pas encore dfini de stratgie globale, sauf pour la protection des
infrastructures essentielles, dispose toutefois dun Comit de coordination des hauts
fonctionnaires destin aider la police et les administrations habilites valuer leur capacit
denqute et la prise en compte de la cybercriminalit.
,,,,,,

source : notamment, laudition de Mme. Christiane FERAL-SCHUHL, alors btonnire de lOrdre
51
des avocats de Paris, spcialiste du cyberdroit et prsidente de lAssociation pour le dveloppement de
linformatique juridique
71
I.5.- Les attentes de lopinion publique,
des victimes et des acteurs
Toutes trois sont singulires, raison pour laquelle il convient de les passer
successivement en revue.
1.- Lorsque lon voque Internet et la ncessit de lutter contre la cybercriminalit,lambivalence
domine dans lopinion publique, partage quelle est entre une exigence trs forte que lon
nmarge pas sur les liberts dexpression et dusage dInternet (cf. les dbats qui ont prcd
la loi Hadopi ou certaines ractions suscites par la question de la go-localisation) et une demande
non moins forte de protection lorsque linternaute, lui-mme, devient victime ou se sent menac
(cf. laffaire PRISM).
Une telle ambivalence a notamment pour origine le fait que seul lapport
dInternet est mis en vidence, les internautes ntant pas suffisamment sensibiliss sur les
risques induits par ce nouveau mode de communication et dexpression, que mettent en
exergue tous les experts entendus :
51
2la mmorisation considrable induite par Internet et sans limitation de dure,
niant le droit loubli, et qui fait en sorte que toutes donnes, les plus
personnelles comme celles susceptibles de servir de support un ventuel acte
de dlinquance, seront fiches et exploites, sans possibilit de rcupration ni
deffacement ;
2leffet amplificateur dInternet en terme dinformations, partages linfini
mme si elles sont sensibles, qui peut conduire jusqu la mort sociale, voire au
suicide.
Lducation, la sensibilisation de lopinion la ncessit dadopter de nouveaux
comportements, afin de mettre un terme la confusion existante entre lespace priv et
lespace public, tout en fournissant moins darmes aux dlinquants, revt ainsi une importance
cruciale.

source : Institut national daide aux victimes et de mdiation (INAVEM), rseau regroupant les 135
52
associations daide aux victimes habilites par la Justice, grant la plate-forme tlphonique nationale daide aux
victimes (08victimes) et dont le dernier congrs, qui sest tenu les 20 et 21.06.2013 ROUBAIX, a prcisment
port sur les cyber-victimes.
72
2.- Sagissant des victimes individuelles , leurs attentes, de manire gnrale, dpendent
52
de la nature de latteinte subie, selon quelle porte sur lintgrit physique ou psychique
(pdopornographie, atteinte limage...), sur latteinte la vie prive, lidentit, lintimit, la
rputation (injures, diffamations, harclement...), ou sur le patrimoine (escroqueries...).
Il existe toutefois des facteurs aggravants spcifiques aux cyber-victimes, qui
tiennent aux particularits de cette dlinquance :
2 la peur de linconnu et donc de la ritration, puisqu lexception de certaines
atteintes la vie prive et des pratiques dharclement entre mineurs, lauteur
agit anonymement et le restera pour lessentiel, et que, mme identifi, il est un
tranger pour la victime ;
2 leffet dmultiplicateur du prjudice, puisquun message attentatoire limage
ou la vie prive dune personne peut se rpandre de faon massive et
instantane et toucher ainsi un large public. La victime se sent totalement
dsarme face cette reprise de linformation en chane, dans lespace et le
temps (leffet miroir dInternet).
2 Le sentiment dimpuissance, car la victime na aucune possibilit de matrise
sur lvnement et attend tout de lEtat, sentiment renforc par lefficacit
relative de ce dernier eu gard aux difficults didentification et de preuve qui
font obstacle au principe de responsabilit, mais surtout lorsquil sagit de faire
cesser linfraction ou de la rparer.
2 Parfois mme un sentiment de honte, voire de culpabilit, qui peut faire
obstacle au dpt de plainte, notamment dans lhypothse dune escroquerie
sentimentale qui rvle les failles intimes et les fragilits de la victime ou mme
de lescroquerie banale lorsquelle se fonde sur la navet, la crdulit ou mme
lappt du gain de la victime (ex. des escroqueries lhritage), ou qui rsulte de
la violation de la sphre prive dvoile tout un chacun.
...mais aussi au fait que ces cyber-victimes sont souvent des personnes isoles
socialement et fragiles psychologiquement, rticentes se confier mme leurs proches et
encore davantage des professionnels, silence qui peut tre lorigine de vritables drames.
Un tel constat fonde les attentes des victimes individuelles, telles que rsumes
par lINAVEM :
8 la premire attente des victimes cest quil soit mis un terme linfraction, en
particulier en cas datteinte la vie prive, et cela le plus rapidement possible
et sans attendre de trs ventuelles poursuites. Toutefois, leur mconnaissance
des dispositifs existants, lefficacit rduite de certains dentre eux sagissant
notamment des mcanismes de dnonciation aux hbergeurs, la ncessit
sources : contribution de la Dfenseure des enfants la suite dune runion regroupant, le
53
10.01.2014, de nombreux acteurs, tant publics que privs (cf. aussi le rapport Enfants et crans, grandir dans
le monde numrique, novembre 2012); de lassociation Enjeux e-mdias ; de lEducation nationale...
73
dengager des frais pour le rfr civil, le fait que le systme pnal ne soit pas
en capacit de prendre des mesures provisoires en urgence ne facilitent pas la
situation des victimes.
8 La seconde attente a trait une meilleure prise en considration et une plus
grande reconnaissance, notamment au niveau du dpt de plainte, dans la
mesure o, faute de sensibilisation suffisante ce type de dlinquance mais
aussi eu gard un certain sentiment dimpuissance ressenti par les enquteurs
eux-mmes par exemple en matire descroqueries, certaines plaintes se
heurtent encore des refus denregistrement, voire un accueil inadapt eu
gard ltat de faiblesse ou la honte ressentie par lintress.
8 La troisime attente concerne la rparation, dabord au regard dInternet lui-
mme afin de reconstruire une image salie et dviter quelle continue se
rpandre, ensuite en terme financier, sagissant des escroqueries commises au
prjudice de victimes en situation de dtresse et de fragilit particulire, le peu
defficacit de la rponse rpressive ntant pas compense par les possibilits
dindemnisation sur fonds publics, faute dadaptation de ces dernires ce
nouveau type de dlinquance.
Par-del, le renforcement des actions de prvention et de sensibilisation,
notamment dans les tablissements scolaires, ainsi que lextension des dlais de prescription
pour les infractions dites de presse dans la mesure o les victimes ont souvent connaissance
de linfraction alors que le dlai de trois mois est dj acquis, sont jugs hautement
ncessaires.

La question des mineurs victimes mrite une approche particulire puisque
53
la vie numrique fait dsormais partie intgrante de leur vie relle et que chaque volution
technique en ce domaine a des rpercussions sur leurs droits - celui dtre protg contre les
violences et contre les atteintes leur vie prive, celui de ne pas tre exploit, celui de
sinformer et de penser librement...Or, les enfants et les adolescents, objet de nombreuses
sollicitations, sont directement concerns par les contenus illicites, lusurpation didentit, le
harclement et le dnigrement, le proslytisme et la dsinformation. Les principales attentes
formules en ce domaine se fondent sur les constats suivants :
2 plus que tous autres, les mineurs ont besoin dtre sensibiliss aux risques
numriques et informs de la protection relle dont ils peuvent bnficier, ce
que la Commission nationale consultative des droits de lhomme (CNDH) qualifie de
ncessaire culture de la prudence et de la scurit.
2Mais il faut aussi que leur environnement immdiat (le monde ducatif, les
parents) ainsi que les policiers et les magistrats (afin de faciliter le recueil des
plaintes et leur traitement) soient davantage forms ces questions.
sources : auditions du Dlgu interministriel la lutte contre le racisme et lantismitisme ; de M.
54
Marc KNOBEL, historien-chercheur...
74
2Si, sur ces deux points, de nombreuses actions sont quotidiennement mises
en oeuvre, il faut encore quelles soient values, coordonnes, prennises,
ce qui passe par une implication suffisante des pouvoirs publics.
2Encore faut-il sinterroger sur lefficacit des mcanismes prventifs existants,
tel lavertissement demandant une simple dclaration de majorit pour laccs
et lachat sur les sites proposant des contenus pornographiques, des produits
alcooliss... ; telles les conditions daccs des mineurs au e-commerce et le
recueil de leur consentement et de celui de leurs parents ; telles les conditions
poses aux pratiques de profilage et de go-localisation ; telle la
reconnaissance, toujours attendue, du droit loubli, que revendiquent, entre
autres, la CNDH et la CNIL.
2La spcificit de ces questions comme la multiplicit des acteurs conduisent
la Dfenseure des enfants suggrer la cration dune plate-forme spcifique
de rflexion, de proposition et dintervention, rassemblant lensemble des
acteurs publics et privs, afin dinstaurer une co-rgulation des politiques du
numrique en direction des mineurs.
Ceci rejoint les proccupations de nombreux autres acteurs, qui souhaiteraient
plus de coordination et dimpulsion de la part des pouvoirs publics, de vritables
formations aux mdias pour les personnels travaillant avec les jeunes, une
modification de la classification des contenus sur le web, une meilleure prise en
compte des chartes europennes spcifiques, une incitation la recherche...
2Les attentes ont aussi trait une plus grande responsabilit des oprateurs,
notamment des fournisseurs daccs ou de messages pornographiques ou
haineux afin quils ne puissent plus sexonrer de leur responsabilit vis--vis
dun mineur par le biais dun simple avertissement.
Dautres catgories de victimes mritent une attention particulire, sans
aucune prtention sur ce point lexhaustivit.
Les propos discriminatoires et haineux qui se multiplient sur Internet ont
54
dj t lorigine de la cration de la Dlgation interministrielle la lutte contre le racisme et
lantismitisme, le 25 mars 2012. L encore, est souhaite une plus grande implication des
services de lEtat, notamment de lappareil rpressif. Au titre des propositions mises, lon peut
citer, par del les actions de sensibilisation, de prvention et dducation,
2 lamlioration des outils de mesure statistique du phnomne,
2 une auto-rgulation des fournisseurs daccs et de contenu plus effective, par
exemple par des procds de filtrage en amont, et la cration dun modrateur
qui devrait pouvoir ordonner la suppression des propos haineux ; sur ce point
et de manire gnrale, la CNDH sinquite de limportance prise par les grands
oprateurs, devenus quasiment des rgulateurs et insiste sur le fait que, sil faut
les responsabiliser, il convient aussi dviter une sorte de privatisation du
Une telle cration avait t projete mais elle semble avoir t reporte en lattente des conclusions
55
du prsent groupe de travail
sources : entretien avec les reprsentants du Cabinet de la ministre des droits des femmes ; projet de
56
loi pour lgalit entre les hommes et les femmes...
sources : rapports de la Haute autorit de sant ; rapport de la Mission interministrielle de vigilance
57
et de lutte contre les drives sectaires (MIVILUDES), avril 2013 ; rapport de la commission denqute du Snat
sur linfluence des mouvements caractre sectaire dans le domaine de la sant, 3.04.2013...
75
contrle de la libert dexpression.
2 Ladaptation de la loi de 1881 sur la presse aux nouvelles formes
dexpression, ncessit toutefois conteste par la CNDH soucieuse de lquilibre
pos par cette loi entre la lutte contre le racisme et le respect de la libert
dexpression,
2 une plus grande traabilit de la suite rserve aux signalements la plate-
forme PHAROS afin que cette dernire, dote des moyens ncessaires,
devienne, comme le rsume la CNDH, plus pdagogique,
2 la cration dun Observatoire de lantismitisme et du racisme sur Internet,
runissant professionnels, agents de lEtat et organisations non
gouvernementales ,
55
2 un soutien plus effectif des associations de lutte contre le racisme, qui portent
en justice les atteintes les plus graves dont elles peuvent avoir connaissance
mais qui ne disposent pas suffisamment de moyens pour tre prsentes sur
tous les fronts,
2 une politique plus volontariste de poursuite, avec un recours plus systmatique
par les parquets aux dispositions de lart. 50-1 de la loi du 29.07.1881
permettant dobtenir, en rfr, larrt dun service illicite,
2 une action rsolue sur le plan international pour viter lvasion vers des
paradis Internet, notamment en incitant les Etats-Unis, qui hbergent une part
importante des contenus racistes, ratifier le protocole additionnel la
Convention sur la cybercriminalit.
La discrimination sexiste , travers la multiplication de tweets homophobes,
56
comme les dangers que fait parfois peser le web sur les jeunes filles, avec, notamment, le
dveloppement du proxntisme et de la traite humaine, suscitent des attentes souvent du
mme ordre que celles prcites, mme sil faut y adjoindre la recherche de nouveaux moyens
juridiques destines faire de lInternet un espace plus sr et plus respectueux des femmes
comme des hommes.
Linfluence des mouvements caractre sectaire est aussi loccasion, pour
57
les acteurs concerns, de formuler de fortes attentes lattention des prestataires techniques
de lInternet et notamment des moteurs de recherche, mais aussi en ce qui concerne le
renforcement des moyens publics consacrs la veille et la cyber-patrouille sur Internet et
la lutte contre la cybercriminalit
source : auditions des associations de consommateurs (C.L.C.V., Indecosa-C.G.T., Familles rurales,
58
U.F.C.-Que choisir).
76
Les attentes des associations de consommateurs sont plus aises cerner
58
car elles se situent dans un cadre plus circonscrit, mme si lon retrouve, dans les
dnonciations quadressent les consommateurs leurs associations, nombre dinfractions dj
voques par les associations de victimes (notamment le phishing, les escroqueries en ligne, la
fraude au SMS ou la carte bancaire, ou les usurpations de donnes didentit).
2 Pour elles, la 1 priorit relve de lducation de la population au numrique
re
qui doit tre rige en grande cause nationale en commenant par lcole mais
aussi, avec laide des services sociaux, en direction de certains publics
dfavoriss victimes de la fracture numrique, et qui doit prendre la forme dune
campagne audio-visuelle rpte. Une telle action devrait allier les moyens
publics et privs.
2 Faire de linternaute un acteur pour une meilleure rgulation dInternet
constitue une autre exigence. Encore faut-il que les internautes soient
convaincus que les dispositifs de signalements sont daccs direct et facile pour
eux et efficaces. Or, si de nombreux dispositifs existent dj, certains sont jugs
en dshrence, dautres peu efficaces ou insuffisamment connus, do la
ncessit de fdrer les interfaces sous la forme dun numro dappel simple et
unique destination dune seule plate-forme. Lincitation la rgulation passe
aussi par lamlioration de linformation de linternaute sur les suites donnes
son signalement, une pareille exigence concernant galement les plaintes.
Toutefois, lefficacit dun tel rseau dinformation oprationnel entre la socit
civile et les services de lEtat en charge de la prvention et de la rpression
ncessite de mieux associer les associations de consommateurs, qui, au-del
de leur rle de veille, peuvent jouer un rle de filtre, se substituer ou soutenir
des consommateurs rticents agir, ou fournir un relais utile aux pouvoirs
publics en cas de menace grave.
2 La prvention suppose que les solutions techniques dj existantes, par
exemple pour se prmunir contre les spams, soient configures par dfaut, ou
que la solution 3DSecure destine prvenir les fraudes la carte bancaire soit
gnralise, et que les internautes soient mieux informs par les oprateurs et
les entreprises du e-commerce sur les risques qui psent sur eux et les moyens
de les pallier.
Elle requiert aussi que, par-del une auto-rgulation juge insuffisante, les
pratiques de confiance, mise en place par quelques entreprises - comme celles,
en matire de e-commerce, consistant encaisser le prix dun bien acquis
quune fois que ce dernier a t effectivement expdi - soient gnralises ;
et que les oprateurs mobiles contrlent davantage les prestataires bnficiant
de numros spciaux et avec lesquels sont conclues des conventions de
remboursement avec, la cl, un remboursement systmatique des prjudices
subis du fait des sms frauduleux.
Mais la prvention concerne aussi les nouvelles sources de risque pour les
consommateurs, que constituent le dveloppement des technologies du cloud
enqute portant sur 27.000 personnes dans lensemble des Etats membres de lUnion
59
sources : cf., notamment, laudition de M. Alain JUILLET, prsident du Club des directeurs de
60
scurit des entreprises (C.D.S.E.), qui regroupe les 101 entreprises franaises les plus importantes, tant en
terme demploi quau plan stratgique ; et la contribution du Forum des comptences, qui regroupe les
tablissements de la banque et de lassurance
Selon une rcente tude amricaine, la plupart des attaques ne sont dtectes que trs
61
postrieurement leur commission et une poque o le pillage des donnes a dj eu lieu.
77
en terme de scurit des donnes, les changes en tl-mdecine, les offres
de vente de mdicaments, la multiplication sur les rseaux sociaux doffres de
prts sur gage, les modes de paiement par terminal mobile, lapparition
prochaine des paiements mobiles sans contact...
Encore faut-il que lEtat fixe les rgles et que celles-ci ne soient pas le fait des
prestataires techniques les plus puissants sur le march...
Le dernier sondage Eurobaromtre publi par la Commission europenne en
2012 confirme partie des attentes prcites puisque 59% des utilisateurs dInternet ne
59
sestiment pas bien informs des risques lis la cybercriminalit, que 40% dentre eux
craignent un usage abusif de leurs donnes personnelles et que 38% sestiment proccups
par la scurit lie aux paiements en ligne. La dernire enqute du CREDOC, relative au
dploiement des quipements et usages numriques en France, montre combien les franais
se disent aussi proccups par ces risques.

3.- Quant aux entreprises, victimes dattaques de plus en plus nombreuses prenant pour cibles
soit leurs systmes dinformation, soit les donnes dtenues, soit mme leur image et leur
rputation, alors mme quelles sont de plus en plus dpendantes dun outil numrique et
informatique qui volue la vitesse de la lumire et que leur vritable richesse tient pour une
part dans linformation produite, elles doivent faire face des questions de scurit et de
prjudice nouvelles, tant en interne quen externe, et sinterrogent sur la meilleure faon de
prserver le modle conomique.
Si les plus importantes dentre elles ont dj mis en oeuvre un effort
dinvestissement important, tant en terme dorganisation, de mthode, de formation, de scurit
et dquipements, cest ce mme monde de lentreprise qui formule les attentes les plus
prcises de lEtat, dont il attend une aide tant en terme de prvention, quau plan de la scurit
informatique et de la rponse pnale .
60
A lgard des services tatiques, les attentes exprimes sont de plusieurs ordres:
2 la 1 est dordre technique, sagissant de la prvention, de lidentification par
re
le recours des systmes dalerte efficaces et de la rponse aux agressions,
61
quelle quen soit lorigine (entreprises mafieuses, entreprises concurrentes trangres,
services tatiques trangers, ou criminels motivs par lappt du gain) ; ce rle est en
partie jou par lAutorit nationale de scurit des systmes dinformation, en partie
seulement compte-tenu de ce que linsuffisance de ses moyens actuels ne lui
La rcente loi de programmation sur la Dfense devrait permettre de rpondre cette insuffisance, en
62
ce quelle prvoit une monte en charge significative des effectifs de cette Autorit (360 effectifs en ltat, 500
lhorizon 2015).
mme si, sur ce point, la Direction centrale du renseignement intrieur joue un rle non ngligeable
63
78
permet pas de rpondre toutes les sollicitations et quelle ne couvre pas
62
lensemble du champ entrepreneurial.
2 La 2 est dordre juridique, et renvoie un manque de lisibilit comme
me
dadaptation du droit au regard, notamment, du caractre international de la
menace mais aussi compte-tenu de la superposition de normes dictes par la
loi et par de nombreuses autorits administratives sans recherche suffisante de
cohrence. Sont aussi soulignes des carences dinterface avec le ministre de
la Justice et les juridictions, faute de ples spcialiss et dune suffisante
formation et sensibilisation des magistrats, ainsi que le prononc de peines
juges inadaptes par rapport au prjudice caus par les cyber-attaques.
2 La 3 relve des relations entre les entreprises et les services denqute,
me
dans la mesure o beaucoup dentrepreneurs sont rticents dposer plainte
par souci de leur rputation ou par crainte dun manque de confidentialit, mais
aussi faute, l encore, dune interface suffisante entre les entreprises et les
services denqute - interface indispensable lorsque linfraction dpasse le cadre
dune seule socit ou impacte un grand nombre de clients sur le territoire - ;
63
dautres obstacles mis en exergue tiennent la complexit des procdures et
la lenteur des enqutes souvent juges incompatibles avec les besoins
conomiques.
Enfin, les entrepreneurs souhaitent une meilleure information sur lvolution des
enqutes et les suites donnes, voire un accs direct une base centralise
dinformations des fins de prvention.
De manire gnrale, il est noter que les entrepreneurs rclament davantage
de coordination entre les trois diffrents ples que constituent, en France, la cyberdfense, la
cyberscurit et la lutte contre la cybercriminalit, compte-tenu de la porosit croissante entre
ces thmes, les entreprises tant confrontes concomitamment ces trois types de
problmatiques.
Toutefois, la situation des entreprises moins importantes, et a fortiori des petites
et moyennes entreprises, souvent mal outilles en ressources de scurit et qui ne peuvent
disposer, au plan technique comme juridique, dun rseau de nature leur apporter une aide
efficace en cas dagressions numriques (assistance durgence en cas dattaque, prservation des
preuves, nettoyage des systmes, reconstitution des donnes...), est encore moins enviable.
L, les besoins relvent dabord dune sensibilisation et dune formation aux
risques, souvent mconnus ou minimiss, mais aussi dune aide technique afin de prvenir et
de rpondre aux agressions, ce qui suppose une organisation, inexistante en ltat. Cette
assistance devrait porter sur les questions urgentes qui se posent une entreprise agresse,
sur les mesures de prservation des preuves, de nettoyage des systmes, voire de
reconstitution des donnes.
79
Les rponses attendues pourraient tre le fait de CERT (Computer emergency
response team), dont la cration est suggre en associant les professionnels et les services
tatiques.
4.- Sagissant enfin des acteurs rpressifs, si les services spcialiss appellent
essentiellement de leurs voeux des moyens dinvestigation de nature renforcer leur efficacit
mais aussi une clarification des rgles de comptence comme des obligations des prestataires
techniques notamment trangers, les services de droit commun, tant policiers que judiciaires,
apprhendent encore mal la menace spcifique que fait peser la cybercriminalit ou sestiment,
le plus souvent, impuissants pour rpondre certaines manifestations de cette dlinquance
compte-tenu de sa spcificit et renverraient volontiers ces enqutes aux instances
spcialises, existantes ou souhaites.
Toutefois, entendre ces dernires, certaines formes de cybercriminalit
saccommodent bien dun traitement pnal classique, soit que les services de droit commun
bnficient dj dun processus de tri et dorientation opr en amont (notamment en matire de
pdopornographie o les infractions de dtention dimages illicites font lobjet souvent de dnonciations
de la part de services spcialiss, lchelle nationale ou internationale), soit, plus gnralement,
lorsquelles sinscrivent dans des rapports inter-personnels o lidentification de lauteur relve
de mcanisme denqute traditionnels (une partie notable des atteintes la vie prive ou des
harclements entre mineurs).
Cest donc pour les infractions commises de ltranger par des auteurs
difficilement identifiables car anonymes, a fortiori pour la dlinquance organise et notamment
pour les escroqueries, que les attentes sont les plus fortes, notamment en provenance des
services de police qui souhaitent pouvoir disposer de davantage denquteurs forms aux
technologies numriques et tre mme de travailler en liaison avec des magistrats eux aussi
forms.
Plus gnralement, lensemble des acteurs souhaitent, eux aussi, une action
prventive plus intensive, une meilleure lisibilit de la lgislation applicable et une plus grande
effectivit de lentraide pnale internationale.

exigence que soulignent, par exemple, tant le Forum des comptences que lassociation Cyber Lex
64
et, plus encore, M. Daniel GUINIER
80
En rsum, plusieurs point forts rsultent de ces attentes :
*lexistence dune trs forte demande vis--vis de lEtat, mme si la ncessit
dassocier toutes les parties prives concernes et les internautes eux-
mmes nest conteste par personne ;
*ladaptation de la gouvernance interministrielle au plan national avec,
64
notamment, le renforcement du rle du ministre de la Justice ;
*la ncessit que soit mise en place une stratgie globale de prvention
comme de lutte contre la cybercriminalit mais aussi des stratgies
sectorielles correspondant aux diffrents domaines quelle concerne, et avec
toute la transparence ncessaire ;
*lurgence de mieux cerner le phnomne ainsi que lefficacit des moyens
dj disponibles ;
*le sentiment que, malgr la prolifration des actions de prvention, de
sensibilisation, voire de formation, beaucoup reste encore faire et que la
solution est rechercher dans une meilleure mise en cohrence de laction
des diffrents acteurs ;
*des attentes non satisfaites lgard des oprateurs, dont limplication nest
gnralement pas juge la hauteur de ce que lon serait en droit den
attendre ;
*une action plus efficace des services de police et de justice, qui requiert
dabord de la formation, ensuite ladaptation des moyens dinvestigation et de
coopration internationale dans le respect des principes fondamentaux du
droit (CNDH) et de manire transparente vis-vis du public (association Cyber
Lex), alors mme qu quelques exceptions prs, le droit pnal de fond est
jug adapt quoique peu accessible.
*Enfin, des actions rsolues lgard des diffrentes catgories de victimes.
,,,,,,

81
I.6.- Le contexte de laction : les exigences tenant
la protection de la vie prive et la libert dexpression
Si la lutte contre la cybercriminalit suppose une plus grande effectivit, elle doit,
dans le mme temps, prendre en compte les exigences tenant aux liberts publiques, qui
constituent le cadre dans lequel doit ncessairement sinscrire toute proposition en la matire.
1.- le principe de la primaut du droit europen
Comme on la vu, le droit de fond commandant les rgles du commerce
lectronique sur Internet ou la protection des donnes personnelles sont largement issues du
droit europen
Ainsi, la directive 2000/31 CE du Parlement europen et du Conseil du 8 juin 2000
relative certains aspects juridiques des services de la socit de linformation, et notamment du
commerce lectronique dans le march intrieur a-t-elle nonc les principes directeurs applicables
en cette matire o il sagit dabord de crer un rel espace sans frontires pour les services
de la socit dinformation tout en respectant la libert dexpression consacre par larticle 10
de la Convention europenne et la jurisprudence de la Cour europenne des droits de lhomme
ainsi que les rgles relatives la protection des mineurs et des consommateurs.
Quant au prambule de la Convention de Budapest, il nonce la ncessit de
garantir un quilibre adquat entre les intrts de laction rpressive et le respect des droits
fondamentaux garanti par la Convention prcite du Conseil de lEurope et le Pacte
international relatif aux droits civils et politiques, notamment le droit de ne pas tre inquit
dans ses opinions, le droit la libert dexpression, y compris la libert de rechercher, dobtenir
et de communiquer des informations et des ides de toute nature sans considration de la
frontire, ainsi que le droit la vie prive.
La matire est galement soumise la protection des donnes personnelles
rgie par les directives 95/46 CE du 24 octobre 1995 sur la protection des personnes physiques lgard
du traitement des donnes caractre personnel, 97/ 66 CE du 15 /12/1997 traitement des donnes
caractre personnel et protection de la vie prive dans le secteur des tlcommunications et 2006/24/CE
du 15 mars 2006 sur la conservation des donnes gnres ou traites dans le cadre de la fourniture de
services de communication accessibles au public ou rseau public de communications.
Enfin, les articles 8 et 10 de la Convention europenne des droits de lhomme
justifient les ingrences de lautorit publique dans lexercice du droit au respect de la vie prive
et du droit dexpression, la condition que ces ingrences soient prvues par la loi et quelles
constituent, dans une socit dmocratique, une mesure ncessaire la scurit nationale, au
bien-tre conomique du pays, la prvention des infractions pnales ou la protection des
droits et liberts dautrui.
Ces principes europens revtent dautant plus dimportance que la
jurisprudence de la Cour de Justice des Communaut europennes (C.J.C.E.) puis de lUnion
europenne (C.J.U.E.) dnie aux juridictions nationales, y compris constitutionnelles, le pouvoir
arrts C.J.C.E. 106/77 en date du 9 mars 1978 ; C.J.C.E., 11 avril 1978, C. 100/177 et 6 mai 1980 C
65
102/79
dcision du Conseil constitutionnel 2004-496 D.C. du 10.06.2004 (cons. 6) sur la loi pour la
66
confiance dans lconomie numrique ; cf., dans le mme sens, la dcision n/ 2004-499 DC du 29.07.2004 sur la
loi relative la protection des personnes physiques lgard des traitements de donnes caractre personnel ;
dcision n/ 2004-498 DC du 29.07.2004 sur la loi relative la biothique
De cette dcision du Conseil, il se dduit quil nexiste que deux tempraments qui sont lexistence
67
dune disposition expresse contraire de la constitution, et le cas o les dispositions transposes de la directive ne
sont pas inconditionnelles et suffisamment prcises et laissent une latitude lautorit nationale.
82
de dclarer invalides les actes du droit driv. Dans larrt Simmenthal , la Cour a ainsi
65
nonc le principe selon lequel Le juge national charg dappliquer dans le cadre de sa comptence
les dispositions du droit communautaire a lobligation dassurer le plein effet de ces normes en laissant
au besoin inapplique, de sa propre autorit, toute disposition contraire de la lgislation nationale, mme
postrieure, sans quil ait demander ou attendre llimination pralable de celle ci par voie lgislative
ou par tout autre procd constitutionnel.
En consentant linstauration de lordre juridique communautaire, les Etats
membres ont admis que le rgime contentieux des actes communautaires suivrait des rgles
propres : un acte de droit driv ne peut avoir quun seul juge qui est le juge communautaire.
Il bnficie auprs des juges nationaux dune immunit constitutionnelle.
A loccasion dune contestation de la constitutionnalit des dispositions de la loi
du 21 juin 2004 sur lconomie numrique, dfinissant le rgime de responsabilit des
hbergeurs, dont lactivit consiste stocker les informations fournies par un destinataire du
service de communication au public en ligne, le Conseil constitutionnel en a tir la
consquence que, lorsque les dispositions lgislatives se bornent tirer les consquences
ncessaires des dispositions inconditionnelles et prcises dune directive, le grief
dinconstitutionnalit ne peut tre utilement prsent devant lui .
66
Il rappelle quaux termes de larticle 88-1 de la Constitution la Rpublique participe
aux Communauts europennes et lUnion europenne, constitues dEtats qui ont choisi librement,
en vertu des traits qui les ont institus dexercer en commun certaines de leurs comptences et quainsi
la transposition en droit interne dune directive communautaire rsulte dune exigence constitutionnelle
laquelle il ne pourrait tre fait obstacle quen raison dune disposition expresse contraire de la
constitution , ce qui revient dire quun Etat membre ne saurait exciper de difficults internes
67
ou des dispositions de son ordre juridique national, mme constitutionnel, pour justifier le non
respect des obligations et dlais rsultant des directives communautaires.
Il nappartient quau juge communautaire, saisi, le cas chant, par voie prjudicielle, de
contrler le respect par une directive communautaire des comptences dfinies par les traits
ainsi que des droits fondamentaux garantis par le Trait de lUnion.
Ce principe vaut aussi bien pour le rgime de responsabilit civile que pour le
rgime de responsabilit pnale des oprateurs et le lgislateur national ne peut le modifier.
83
2.- La libert dexpression et de communication
La libert dexpression et de communication est lune des liberts des plus
protges raison du rle fondamental quelle tient dans la vie dmocratique.
Or, et au del des autres usages qui peuvent en tre fait, Internet est devenu
principalement un vecteur dexpression, de communication et de transmission des ides et des
opinions.
Outre ceux dj cits, cette libert est explicitement vise par plusieurs
instruments internationaux.
Larticle 19 du Pacte international relatif aux droits civiques et politiques de
lOrganisation des Nations-Unies dispose que lexercice de la libert d'expression, qui comprend
la libert de rechercher, de recevoir et de rpandre des informations et des ides de toute
espce, sans considration de frontires, sous une forme orale, crite, imprime ou artistique,
ou par tout autre moyen de son choix ne peut tre soumis qu des restrictions qui doivent tre
expressment fixes par la loi et qui sont ncessaires au respect des droits ou de la rputation
d'autrui ou la sauvegarde de la scurit nationale, de l'ordre public, de la sant ou de la
moralit publiques.
Dans la Recommandation 2008/2160(INI), adopte par le Parlement europen le 26
mars 2009, il est expressment dit que les Etats doivent participer aux efforts visant
ltablissement dune dmocratie informatique travers un accs Internet sans rserve et
sr. Le Parlement recommande notamment aux Etats membres de condamner la censure,
impose par le gouvernement, du contenu qui peut tre recherch sur les sites Internet, et il
les invite garantir que la libert dexpression ne soit pas soumise des restrictions arbitraires
provenant de la sphre publique et/ou prive et viter toute mesure lgislative ou administrative qui
pourrait avoir un effet dissuasif sur tous les aspects de la libert dexpression.
Le 4 avril 2012, le Comit des Ministres du Conseil de lEurope a adopt la
recommandation CM/Rec(2012)3 sur la protection des droits de lhomme dans le contexte des moteurs
de recherche, qui souligne limportance de cette libert publique sagissant des moteurs de
recherche, lesquels permettent au public du monde entier de rechercher, de recevoir et de
communiquer des informations, des ides et dautres contenus, en particulier, davoir accs au savoir,
de prendre part des dbats et de participer aux processus dmocratiques.

La mme ide gnrale est nonce, en droit interne, par larticle 11 de la
Dclaration des droits de lhomme et du citoyen de 1789, ainsi libell : la libre communication
des penses et des opinions est un des droits les plus prcieux de lhomme: tout citoyen peut donc parler,
crire, imprimer librement, sauf rpondre de labus de cette libert dans les cas dtermins par la loi.
Cest cette mme libert qui fait lobjet dune jurisprudence protectrice du
Conseil constitutionnel raison du rle fondamental quelle tient dans la vie dmocratique, et
tout particulirement en ce qui concerne Internet.
dcision n/ 2009-580 du 10 juin 2009 relative la loi favorisant la diffusion et la protection de la
68
cration sur Internet
dcision n/ 2009-577 DC du 3 mars 2009
69
84
9La libert daccs internet, partie intgrante de la libert dexpression
Dans la dcision rendue le 10 juin 2009 propos de la loi favorisant la diffusion
et la protection de la cration numrique sur internet , le Conseil
68
constitutionnel affirme que laccs Internet entre dans le champ du droit
constitutionnel de sexprimer et de communiquer librement, ce qui assure la
protection constitutionnelle de la libert de communication et dexpression tant
dans sa dimension passive, le citoyen tant rcepteur dinformation , que
69
dans sa dimension active dexercice dans laquelle le citoyen est metteur
dinformation : le droit de parler, crire, imprimer librement nonc larticle 11
de la Dclaration des droits de lhomme et du citoyen se ralise dans la
transmission du courrier lectronique, le Web 2.0, les blogs
Le Conseil juge que cela implique la libert daccder internet en raison de
ltat actuel des moyens de communication et eu gard au dveloppement gnralis
des services de communication au public en ligne ainsi qu limportance prise par ces
services pour la participation de la vie dmocratique et lexpression des ides et des
opinions.
Cependant la reconnaissance de la libert daccder internet ne revient pas
garantir chacun un droit de caractre gnral et absolu dy tre connect,
mais consiste affirmer qu en ltat, les atteintes la libert daccder
Internet sanalysent, au regard de la Constitution, comme des atteintes la
libert garantie par larticle 11 de la Dclaration de 1789. Cela nexonre pas
toutefois le titulaire de labonnement dexercer une obligation de surveillance sur
lusage de son accs Internet.

Cela induit, sagissant dInternet, une affirmation claire des fondements de
laction de lEtat et de ses limites, comme du rgime de responsabilit des
prestataires.
9Lobligation de surveillance du titulaire de labonnement dun accs un
service de communication du public en ligne
Le Conseil constitutionnel a considr que le lgislateur na mconnu ni la comptence
quil tient de larticle 34 de la Constitution, ni lobjectif de valeur constitutionnelle
dintelligibilit et daccessibilit de la loi, en instituant une obligation de surveillance de
laccs Internet la charge du titulaire de labonnement nonce par le premier alina
de larticle L. 336-3 du code de la proprit intellectuelle ainsi rdig : La personne
titulaire de laccs des services de communication au public en ligne a lobligation de
veiller ce que cet accs ne fasse pas lobjet dune utilisation des fins de reproduction,
de reprsentation, de mise disposition ou de communication au public doeuvres ou
dobjets protgs par un droit dauteur ou par un droit voisin sans lautorisation des
titulaires des droits prvus aux livres Ier et II lorsquelle est requise.
Le non-respect de lobligation de surveillance du titulaire de laccs ne peut cependant
tre sanctionn pnalement que sous certaines conditions.
Depuis sa dcision relative aux pouvoirs de la Commission des oprations de bourse, le Conseil juge
70
que : Le principe de la sparation des pouvoirs, non plus quaucun principe ou rgle de valeur
constitutionnelle ne fait obstacle ce quune autorit administrative, agissant dans le cadre de prrogatives de
puissance publique, puisse exercer un pouvoir de sanction ds lors, dune part, que la sanction susceptible
dtre inflige est exclusive de toute privation de libert et, dautre part, que lexercice du pouvoir de sanction
est assorti par la loi de mesures destines sauvegarder les droits et liberts constitutionnellement garantis.
Dans le mme sens, cf. dcision n/ 89-260 DC du 28 juillet 1989, cons. 6 ; n/ 97-389 DC du 22 avril 1997, cons
3 ; n/ 2000-433 DC du 27 juillet 2000, cons. 50.
dcision n/ 2008-580 DC du 10 juin 2009
71
dcision 2009-590 DC du 22 octobre 2009
72
dcision n/ 2009-580 DC du 10 juin 2009, cons. 38
73
85
9 La limitation de laccs dun titulaire dabonnement internet : une
sanction rserve lautorit judiciaire
En considration de la primaut de la libert dexpression, il ne peut tre confi une
autorit administrative le pouvoir de restreindre ou dempcher laccs au service
Internet.
Sans remettre pour autant en cause le principe mme des sanctions administratives ,
70
le Conseil constitutionnel a dclar non conformes la Constitution les dispositions qui,
dans le but de protger les titulaires du droit dauteur et des droits voisins de la
contrefaon, confiaient la commission de protection des droits de lHADOPI la facult,
aprs avoir mis en oeuvre une procdure davertissement, de prononcer lencontre du
titulaire de labonnement une sanction administrative, consistant en une suspension de
laccs au service Internet.
Une autorit administrative, mme indpendante et soumise dans son activit rpressive
aux exigences de larticle 6, paragraphe 1, de la Convention europenne de sauvegarde
des droits de lhomme et des liberts fondamentales, ne saurait restreindre la libert
dexpression ; or, la limitation de laccs Internet de toute personne depuis son
domicile entrave la libert dexpression et de communication qui est dautant plus
prcieuse que son exercice est une condition de la dmocratie .
71
Tirant les leons de cette dcision, la loi du 28 octobre 2009 relative la protection
pnale de la proprit littraire et artistique sur Internet a confi ce pouvoir de sanction
lautorit judiciaire.
A loccasion de lexamen de cette dernire loi, le Conseil a estim que la peine
72
complmentaire prononce par le juge pour rprimer les contrefaons commises au
moyen dun service de communication en ligne, et consistant dans la suspension de
laccs Internet pour une dure maximale dun an, assortie de linterdiction de
souscrire pendant la mme priode un autre contrat portant sur un service de mme
nature auprs de tout oprateur, ne mconnaissait pas le principe de ncessit des
peines. Rien ne soppose non plus ce que des contraventions soient assorties dune
peine complmentaire de mme nature, pour une dure de un mois, en cas de
ngligence caractrise du titulaire dun accs Internet, ds lors que le pouvoir
rglementaire dfinit prcisment les lments constitutifs de linfraction.
Dans sa premire dcision, le Conseil avait dj considr que le lgislateur ne
73
mconnaissait pas la libert dexpression et de communication en autorisant le tribunal
de grande instance ordonner, lissue dune procdure contradictoire, les mesures
ncessaires pour prvenir ou faire cesser une atteinte aux droits dauteur ou aux droits
voisins, le juge ne devant prononcer que les mesures strictement ncessaires la
prservation des droits en cause.
dcision Ahmet Yildirim c. Turquie 18 dcembre 2012 req n/ 3111/10 57/70
74
dcision n/ 2011-625 DC du 10 mars 2011 (cons 5)
75
Le Conseil a exceptionnellement admis une prsomption de responsabilit du propritaire du
76
vhicule automobile en matire de contraventions routires, mais sous la triple condition que la prsomption
dimputabilit ne revte pas de caractre irrfragable et que la preuve contraire puisse tre rapporte tout
86
Cependant, le Conseil na pas jug contraire la Constitution la facult donne par le
lgislateur lautorit administrative de prendre la dcision de bloquer un site dans le
cadre de la lutte contre la pdopornographie.
9 le blocage dun site
La Cour Europenne des droits de lhomme a jug quune mesure judiciaire prventive
de blocage dun site Internet qui a eu pour effet collatral de bloquer laccs tous les
sites qui y taient hbergs, constitue une violation de larticle 10 de la Convention.
Laffaire concernait la dcision dun tribunal Turc de bloquer laccs Google Sites au
motif quil hbergeait un site Internet dont le propritaire tait poursuivi pour outrages
Ataturk. La mesure de blocage avait eu pour effet de verrouiller laccs tous les autres
sites hbergs par Google Sites. Ainsi, la Cour europenne a rappel quune restriction
daccs une source dinformation nest compatible avec la Convention qu la condition
de sinscrire dans un cadre lgal strict dlimitant linterdiction et offrant la garantie dun
contrle juridictionnel contre dventuels abus. Elle a jug quun tribunal qui dcide de
bloquer totalement laccs Google sites en se rfrant seulement lavis dun organe
administratif, sans rechercher si une mesure moins lourde aurait pu tre prise pour
bloquer spcifiquement un site particulier, viole la libert dexpression en rendant
dautres sites inaccessibles et en privant les internautes de nombreuses informations .
74
En revanche le Conseil constitutionnel a, pour sa part, estim que le dispositif lgislatif
75
cr par la loi dorientation et de programmation pour la performance de la scurit
intrieure, qui permet lautorit administrative de bloquer un site Internet diffusant des
images pornographiques reprsentant des mineurs nest pas contraire aux exigences
constitutionnelles. Le Conseil a pris en considration le caractre limit de la restriction
aux seuls services de communication au public diffusant des images de pornographie
reprsentant des mineurs, et le fait que la dcision de blocage de lautorit administrative
est susceptible dtre conteste, tout moment, devant la juridiction comptente, le cas
chant par voie de rfr.
Le commentaire de cette dcision aux Cahiers du Conseil constitutionnel expose que,
par rapport au dispositif de sanction de la loi HADOPI voqu ci-dessus, il y a une triple
diffrence : premirement, il sagit de protger les utilisateurs dInternet eux-mmes ;
deuximement, il sagit de lutter contre lexploitation sexuelle des mineurs, ce qui peut
justifier des mesures que la prservation de la proprit intellectuelle ne peut fonder ;
troisimement, comme le rapporteur au Snat le rappelait, la disposition propose
prsente une porte beaucoup plus restreinte puisquelle tend, non interdire laccs
Internet, mais empcher laccs un site dtermin en raison de son caractre illicite.
9 La responsabilit pnale personnelle du titulaire de labonnement
Larticle 9 de la Dclaration de 1789 proclame le principe de la prsomption dinnocence,
dont il rsulte que la loi ne saurait, en principe, instituer une prsomption de culpabilit
en matire rpressive .
76
moment, que soit assur le respect des droits de la dfense et que les faits induisent raisonnablement la
vraisemblance de limputabilit.
dcision n/ 2004-496 DC du 10 juin 2004 (cons. 9)
77
dcision 2011-164 QPC du 16 septembre 2011
78
Larticle 93-3 de la loi du 29 juillet 1982 nonce que
79
lorsque l'infraction rsulte du contenu d'un
message adress par un internaute un service de communication au public en ligne et mis par ce service la
disposition du public dans un espace de contributions personnelles identifi comme tel, le directeur ou le
codirecteur de publication ne peut pas voir sa responsabilit pnale engage comme auteur principal s'il est
tabli qu'il n'avait pas effectivement connaissance du message avant sa mise en ligne ou si, ds le moment o il
en a eu connaissance, il a agi promptement pour retirer ce message.
87
Le Conseil a ainsi censur les dispositions de la loi favorisant la diffusion et la protection
de la cration dInternet dont il rsultait que seul le titulaire du contrat dabonnement
Internet pouvait faire lobjet des sanctions institues par la loi. Pour sexonrer, le titulaire
de labonnement devait produire des lments de nature tablir que latteinte porte
au droit dauteur procdait de la fraude dun tiers. Le Conseil a censur ce dispositif au
motif quil oprait un renversement des charges de la preuve et crait une prsomption
de culpabilit lencontre du titulaire de laccs pouvant conduire prononcer contre lui
des sanctions privatives ou restrictives de droit, en mconnaissance des exigences de
larticle 9 prcit.
9 La responsabilit pnale de lhbergeur :
Le principe de responsabilit personnelle fonde galement la rserve dinterprtation de
larticle 6 de la loi pour la confiance dans lconomie numrique qui nonce que les
personnes vises au 2 (les hbergeurs) ne peuvent voir leur responsabilit pnale
engage raison des informations stockes la demande dun destinataire, si elles
navaient pas effectivement connaissance de lactivit ou de linformation illicites ou si,
ds le moment o elles en ont eu connaissance, elles ont agi promptement pour retirer
ces informations ou en rendre laccs impossible..... Le Conseil nonce que ces
77
dispositions ne sauraient avoir pour effet dengager la responsabilit dun hbergeur qui
na pas retir une information notifie comme illicite par un tiers si celle-ci ne prsente
pas manifestement un tel caractre ou si son retrait na pas t ordonn par un juge.
9 La responsabilit pnale des animateurs de blogs :
A loccasion dune question prioritaire de constitutionnalit, le Conseil constitutionnel a
t saisi du rgime de la responsabilit pnale dun animateur de blog. Il a considr
78
que les dispositions de larticle 93-3 de la loi du 29 juillet 1982 ne sauraient, sans
instaurer une prsomption irrfragable de responsabilit pnale en mconnaissance de
l'article 9 de la Dclaration de 1789, tre interprtes comme permettant que le crateur
ou l'animateur d'un site de communication au public en ligne mettant la disposition du
public des messages adresss par des internautes, voit sa responsabilit pnale
engage en qualit de producteur raison du seul contenu d'un message dont il n'avait
pas connaissance avant la mise en ligne.
Le Conseil a tenu compte d'une part, du rgime de responsabilit spcifique dont
bnficie le directeur de la publication qui ne peut pas voir sa responsabilit pnale
engage s'il est tabli qu'il n'avait pas effectivement connaissance du message avant
sa mise en ligne ou si, ds le moment o il en a eu connaissance, il a agi promptement
pour retirer ce message et, d'autre part, des caractristiques d'Internet qui, en l'tat
79
CRIM n/ 11-80.010 du 31.01.2012 ; CRIM n/ 10-88.825 du 30.10.2012
80
Conseil Constitutionnel dcision DC du 10 juin 2004 relative la loi pour la confiance dans
81
lconomie numrique (Petites affiches 18 juin 2004 n/ 122 p 10 Jean Eric SCHOTTL ; S.J, E.G. 14 juillet 2004
II 10116 ,Jean Claud ZARKA et 10117 Philippe BLANCHETIER)
La Cour de cassation juge que
82
lorsque des poursuites pour lune des infractions prvues par la loi
sont engages raison dune diffusion, sur le rseau Internet ,dun message figurant sur un site, le point de
dpart du dlai de prescription de laction publique prvu par larticle 65 de la loi du 29 juillet 1881 doit tre
fix la date du premier acte de publication qui est celle laquelle le message a t mis pour la premire fois
la disposition des utilisateurs (Cass crim 16 octobre 2001 Bull Crim n/211).
dcision 2004-496 DC du 10 juin 2004
83
88
des rgles et des techniques, permettent l'auteur d'un message ainsi diffus de
prserver son anonymat.
Rformant sa jurisprudence antrieure qui tenait le producteur dun blog responsable des
messages affichs pour en avoir permis ou facilit la diffusion, la Chambre criminelle
juge dsormais, au visa de l'article 93-3 de la loi du 29 juillet 1982 modifie sur la
communication audiovisuelle, qu'il s'vince de ce texte que la responsabilit pnale du
producteur d'un site de communication au public en ligne mettant la disposition du
public des messages adresss par des internautes, n'est engage, raison du contenu
de ces messages, que s'il est tabli qu'il en avait connaissance avant leur mise en ligne
ou que, dans le cas contraire, il s'est abstenu d'agir promptement pour les retirer ds le
moment o il en a eu connaissance .
80
9 le rgime de prescription des infractions de presse commises par
diffusion sur Internet
81
1) sur le point de dpart du dlai de prescription

La loi pour la confiance dans lconomie numrique rend applicable aux services de
communication au public en ligne les dispositions pnales et de procdure pnale des
chapitres IV et V de la loi du 29 juillet 1881 sur la libert de la presse. Le lgislateur avait
pens diffrencier le rgime de prescription des infractions de presse selon quelles sont
publies de faon classique ou exclusivement par diffusion par Internet. A cet effet, il
souhaitait allonger le dlais de prescription des messages publis exclusivement par
82
voie informatique, au motif quune personne mise en cause par la seule voie dun
message lectronique na pas facilement, ni naturellement connaissance de ce
message.
La loi distinguait donc le message mis disposition du public en ligne qui reproduit
lidentique le contenu dun message publi sur un support crit, et le message publi par
la seule voie lectronique. Dans le premier cas, le dlai de prescription restait celui du
droit commun de la presse ; dans le deuxime cas, la loi disposait que ce dlai courait,
non compter de la premire publication, mais compter du jour o cesse cette mise
disposition du message au public. Le Conseil Constitutionnel a dclar cette
83
disposition contraire la Constitution au motif que cette diffrence de rgime en matire
de prescription dpassait manifestement ce qui tait ncessaire pour prendre en compte
la situation propre aux messages disponibles seulement sur un support informatique. En
effet, ce rgime pouvait avoir pour consquence, en cas de maintien du message sur
Internet, de fixer le point de dpart du dlai de prescription plusieurs annes aprs la
premire publication.
le commentaire aux cahiers du Conseil expose que ce rgime aurait abouti ce quun message
84
exclusivement accessible en ligne, expos pendant cinq ans, ne serait prescrit quau bout de cinq ans et trois
mois, alors que le message crit naurait t expos que pendant un dlai de trois mois.
Dcision n/ 2013-302 QPC du 12 avril 2013
85
89
Cependant, cest uniquement la disproportion entre les deux rgimes de prescription qui
est sanctionne par le Conseil . Ce dernier rappelle que le principe dgalit ne fait pas
84
obstacle ce qu des situations diffrentes soient appliques des rgles diffrentes ds
lors que cette diffrence de traitement est en rapport direct avec la finalit de la loi qui
ltablit, et il considre que, par elle mme, la prise en compte de diffrences dans les
conditions daccessibilit dun message dans le temps selon quil est publi sur un
support papier ou quil est disponible sur un support informatique nest pas contraire au
principe dgalit.
2) sur lallongement de la dure du dlai de prescription de certaines infractions
Alors que l'article 65 de la loi du 29 juillet 1881 fixe le dlai de prescription de l'action
publique et de l'action civile trois mois pour les infractions prvues par cette loi, l'article
65-3 prvoit que ce dlai est port un an pour certains dlits qu'il dsigne savoir : le
dlit de provocation la discrimination, la haine ou la violence l'gard d'une
personne ou d'un groupe de personnes raison de leur origine ou de leur appartenance
ou de leur non-appartenance une ethnie, une nation, une race ou une religion
dtermine, les dlits de diffamation et d'injure publiques commis aux mmes fins, et le
dlit de contestation des crimes contre l'humanit. Les rgles de la prescription
applicables ces dlits ne se distinguent des rgles applicables aux autres infractions
prvues et rprimes par la loi du 29 juillet 1881 que par la dure de ce dlai de
prescription.
Saisi dune question prioritaire de constitutionnalit, le Conseil a considr que la
85
diffrence de traitement, qui rsulte de la nature des infractions poursuivies, ne revt pas
un caractre disproportionn au regard de l'objectif poursuivi, qui est de faciliter les
poursuites de ces infractions caractre ethnique, national, racial, ou religieux ou
contestant l'existence d'un crime contre l'humanit.
Les lois n/ 2004-204 du 9.03.2004, n/ 2012-1432 du 21.12.2012 et n/ 2014-56 du
27.01.2014 ont ainsi, successivement, port 1 an les dlais de prescription aux dlits
de provocation la discrimination, de diffamations et injures publiques commis raison
de lorigine ou de la religion ; puis aux dlits de provocation directe aux actes de
terrorisme ou leur apologie ; enfin aux dlits de provocation la discrimination,
diffamation et injures publiques commis en raison du sexe, de lorientation, de lidentit
sexuelle ou du handicap.
CEDH Uzun c. Allemagne du 2.09.2010
86
90
3.- les principes rgissant les moyens denqute ou dinstruction
Le rapport explicatif de la Convention de Budapest exposait dj, il y a plus
dune dcennie, dans sa partie droits de procdure, que la croissance ininterrompue des
rseaux de communications ouvrait de nouvelles perspectives la criminalit, quil sagisse des
infractions classiques ou de la nouvelle criminalit technologique ; il nonait que le droit pnal
et les techniques denqute ne devaient pas se laisser distancer. Il rappelait que lun des
problmes les plus difficiles que pose la lutte contre la criminalit dans lunivers des rseaux
est la difficult didentifier lauteur dune infraction et limpact de celle-ci ; quun autre problme
est li la volatilit des donnes lectroniques qui peuvent tre modifies, dplaces ou
effaces en quelques secondes. Il en concluait que le succs dune enqute requiert rapidit
et, parfois, le secret.
La Convention tait ainsi prsente comme ayant pour objet de doter les pays
de moyens de procdure qui permettent de recueillir efficacement les preuves des infractions
pnales commises contre les systmes informatiques ou au moyen dun systme informatique,
et aussi de collecter les preuves informatiques pour toute infraction. Pour ncessaires quils
soient, les nouveaux moyens de procdure nen doivent pas moins respecter les liberts
fondamentales, et donc, pour la France, les principes de la Convention europenne de
sauvegarde des droits de lhomme : les pouvoirs et moyens de procdure crs par le
lgislateur et utiliss par les organes de poursuite doivent tre ainsi, non seulement
ncessaires mais encore proportionnels la nature et aux circonstances de linfraction.
La jurisprudence de la Cour Europenne des Droits de lHomme illustre
cette double exigence.
Ainsi en sa dcision UZUN contre Allemagne , propos de la surveillance
86
dune personne par le biais de son G.P.S. et lutilisation de donnes recueillies par ce moyen,
la Cour a-t-elle constat que cette mesure de surveillance secrte traduit une ingrence dans
lexercice de la vie prive. Elle nonce, en consquence, que la loi qui prvoit ce moyen de
procdure doit tre particulirement prcise pour indiquer tous, de manire suffisante, en
quelles circonstances et sous quelles conditions elle habilite la puissance publique recourir
une telle mesure. Et la Cour indique aussi que, pour apprcier si les mesures de cette
nature bnficient des garanties adquates et suffisantes, il faut se rfrer ltendue
et la dure de ces mesures, aux conditions requises pour les ordonner, la
dsignation des autorits comptentes pour les permettre, les mettre excution, et les
contrler, et au type de recours fourni par le droit interne.

En lespce, pour dire quil ny avait pas eu datteinte aux rgles du procs
quitable, la Cour europenne a tenu compte, principalement, de ce que lemploi de cette
mthode spciale de surveillance tait subordonne la nature particulirement grave de
linfraction et au caractre subsidiaire de son utilisation lorsque dautres mthodes ne pouvaient
tre utilises, et elle a estim que le contrle quun juge pouvait exercer, a posteriori, sur le
bien-fond dune mesure ordonne par le parquet constituait une garantie importante.
Durant la procdure, une loi nouvelle est entre en vigueur en Allemagne qui subordonne la
surveillance systmatique dun suspect lautorisation dun juge lorsquelle dpasse la dure dun
mois, ce que la Cour europenne a salu.
91
De manire gnrale, et concernant tant le droit la vie prive que celui
de la libert dexpression, cette mme Cour a nonc, plusieurs occasions, que si
lEtat a pour obligation de respecter ces droits, il a aussi le devoir de protger les
utilisateurs dInternet et, par-del, la socit toute entire, contre les atteintes de mme
nature utilisant ce systme de communication ainsi que contre toutes activits ou
contenus illicites.
Ainsi, aprs avoir soulign que, si lart.8 de la Convention europenne de
sauvegarde des droits de lhomme avait essentiellement pour objet de prmunir lindividu contre
les ingrences arbitraires des pouvoirs publics, la Cour a soulign quil rsulte aussi de ce
texte des obligations positives pour lEtat inhrentes au respect effectif de la vie prive
et familiale, ce qui peut impliquer ladoption de mesures visant au respect de la vie
prive jusque dans les relations entre les individus entre eux, sous peine, en cas
dabsence ou dinsuffisance, de condamnation sur le fondement de ce mme article (AIREY c.
IRLANDE, 9.10.1979 ; X et Y x. PAYS-BAS, 26.03.1985; AUGUST c. ROYAUME-UNI, 21.01.2003 ; M.C.
c. BULGARIE, n/ 39272/98 ; K.U. c. FINLANDE, 2.12.2008 ; FERET c. BELGIQUE, 16.07.2009...).
De la mme faon mais au titre de lart.10 al.2, leffet amplificateur dInternet a
conduit la Cour souligner que lEtat est lgitime prendre des mesures restrictives au droit
de diffuser des informations, mais cela de manire proportionne eu gard aux intrts
concurrents ; quil avait mme obligation de lutter contre les activits criminelles ou illgales sur
Internet, y compris dans la sphre des relations des individus entre eux.
Sur ce dernier point, elle a estim que les droits des mineurs, des jeunes et des
personnes vulnrables (cf., notamment, K.U. c. FINLANDE prcit) taient protger en toutes
circonstances et que les discours incompatibles avec les valeurs proclames et garanties
par la Convention - comme lappel la discrimination ou la haine (GUNDUNZ c. TURQUIE,
4.12.2003), les discours racistes et xnophobes (FERET c. BELGIQUE prcit : la Cour rappelle quil
importe, au plus haut point, pour les Etats de lutter contre la discrimination raciale sous toutes ses formes
et manifestations), lintolrance religieuse, quelle prenne la forme de lantismitisme ou de
lislamophobie (JERSILS c. DANEMARK, 23.09.1994 ; GARAUDY c. FRANCE, 65831/01, NORWOOD
c. ROYAUME-UNI, 15.11.2004 ; GUNDUNZ prcit), lapologie de la violence (SUREK c. TURQUIE,
26682/95) ou du terrorisme (LEROY c. France, 2.10.2008), la contestation des crimes contre
lhumanit , le rvisionnisme et la ngation de lholocauste (GARAUDY prcit), et, en gnral,
tout acte incompatible avec la dmocratie et les droits de lhomme - ne relevaient pas de la
libert dexpression et ne pouvaient prtendre bnficier des garanties quelle
comprend.
Le Conseil constitutionnel applique aussi le principe de proportionnalit
pour apprcier la conformit aux liberts fondamentales des rgles spciales de
procdure intressant lenqute.
En cette matire, le Conseil se rfre principalement aux principes suivants, qui
sont noncs, par exemple, au considrant 3 de la dcision 2004-492 DC du 2 mars 2004
concernant la loi portant adaptation de la justice aux volutions de la criminalit. :
- l'article 6 de la Dclaration des droits de l'homme et du citoyen de 1789: "La loi est
l'expression de la volont gnrale... Elle doit tre la mme pour tous, soit qu'elle
protge, soit qu'elle punisse... " ;
n/16 des cahiers du Conseil Constitutionnel
87
entre autres exemples, dcision 93-223 DC du 5 aot 1993, cons 5
88
C.C. n/ 2003 DC du 13 mars 2003, cons 54 ; dcision n/ 2004-492 DC du 2 mars 2004
89
92
- larticle 7 : Nul homme ne peut tre accus, arrt ni dtenu que dans les cas
dtermins par la loi, et selon les formes qu'elle a prescrites... " ;
- larticle 8 : "La loi ne doit tablir que des peines strictement et videmment
ncessaires... " ;
- larticle 9 : "Tout homme tant prsum innocent jusqu' ce qu'il ait t dclar
coupable, s'il est jug indispensable de l'arrter, toute rigueur qui ne serait pas
ncessaire pour s'assurer de sa personne doit tre svrement rprime par la loi " ;
- larticle 16 : "Toute socit dans laquelle la garantie des droits n'est pas assure, ni la
sparation des pouvoirs dtermine, n'a point de Constitution " ;
- enfin, l'article 66 de la Constitution : "Nul ne peut tre arbitrairement dtenu. - L'autorit
judiciaire, gardienne de la libert individuelle, assure le respect de ce principe dans les
conditions prvues par la loi " ;
Le commentaire de la dcision prcite rappelle les principes qui rgissent
87
lexamen de constitutionnalit des moyens de procdure : Il est de jurisprudence constante qu'il
incombe au lgislateur d'assurer la conciliation entre, d'une part, l'exercice des liberts
constitutionnellement garanties, et dautre part les besoins de la recherche des auteurs
d'infractions, qui sont lun et lautre ncessaires la sauvegarde de droits et de principes de
valeur constitutionnelle. Et il incombe lautorit judiciaire dexercer un contrle effectif sur le
respect des conditions de fond et de forme par lesquelles le lgislateur a entendu assurer cette
conciliation .
88
En ce qui concerne les actes denqute et dinstruction qui peuvent affecter des
droits constitutionnellement protgs (libert individuelle, inviolabilit du domicile et des
correspondances, secret de la vie prive), le Conseil applique le mme principe de proportionnalit
que celui qui rgit la peine elle mme. Le degr auquel ces actes affectent la libert individuelle
que l'article 66 de la Constitution place sous la surveillance de l'autorit judiciaire doit tre
justifi par la gravit et la complexit de linfraction suspecte. La rigueur non ncessaire est
proscrite non seulement lors de la condamnation ou de larrestation mais au cours de toute la
procdure judiciaire pralable. Le Conseil a tendu les prescriptions de larticle 9 de la
89
Dclaration de 1789, relatives la prsomption dinnocence, aux actes denqute et
dinstruction.
Dans la dcision n/ 2004-492 DC du 2 mars 2004 portant adaptation de la justice
aux volutions de la criminalit, le Conseil nonce ainsi au considrant 6 que, si le lgislateur
peut prvoir des mesures d'investigation spciales en vue de constater des crimes et dlits d'une gravit
et d'une complexit particulires, d'en rassembler les preuves et d'en rechercher les auteurs, c'est sous
rserve que ces mesures soient conduites dans le respect des prrogatives de l'autorit judiciaire,
gardienne de la libert individuelle, et que les restrictions qu'elles apportent aux droits
constitutionnellement garantis soient ncessaires la manifestation de la vrit, proportionnes la
gravit et la complexit des infractions commises et n'introduisent pas de discriminations injustifies ;
qu'il appartient l'autorit judiciaire de veiller au respect de ces principes, rappels l'article prliminaire
du code de procdure pnale, dans l'application des rgles de procdure pnale spciales institues par
la loi.
Cest sur la base de ces critres que, dans la dcision prcite, le Conseil a
apprcie la conformit la Constitution de nombreuses rgles de procdure spciales
nonces par la loi pour la recherche dauteurs dinfractions graves ou complexes :
93
- prolongation du dlai de garde vue (cons.21 ; et dcision n/ 93-326 DC du 11 aot
1993 cons. 6); pour les mineurs sous rserve de leurs rgles protectrices (cons. 37) ;
- perquisitions, visites domiciliaires et saisies en dehors des heures lgales en enqute
de flagrance ou dans le cadre de linstruction (cons.46, 53) ;
- perquisitions, visites domiciliaires et saisies sans consentement en enqute prliminaire
(cons. 48) ;
- interceptions de correspondances par voie de tlcommunication (cons. 58) ;
- sonorisations et fixations dimages de certains lieux ou vhicules (cons. 64) ;
- surveillance lectronique des vhicules (dcision n/2005-532 DC du 19 janvier 2006
cons. 2)
Par une motivation similaire, le Conseil constitutionnel, dans la dcision 2013-
679 DC du 4 dcembre 2013, portant sur la loi relative la lutte contre la fraude fiscale et la
grande dlinquance conomique et financire, a valid lextension la poursuite de dlits de
corruption, de trafic dinfluence, de fraude fiscale aggrave ou de dlits douaniers dune
certaine importance, de certains pouvoirs dinvestigation et de surveillance spciaux, tels
linfiltration, linterception de correspondances ou encore la captation de paroles ou dimages.
Ainsi, lorsquil est envisag de crer ou dtendre des rgles spciales
denqute, il convient de vrifier que les infractions concernes par ces actes prsentent bien
toutes les caractristiques justifiant des procdures drogatoires. Il sagit essentiellement de
la gravit de ces infractions pour la socit ainsi que de leur complexit. Et le
commentaire prcit dajouter que lun ou lautre critre peut appeler la mise en oeuvre des
moyens spciaux denqute ou dinstruction. Il y est indiqu que la dlinquance organise
remplit la condition de complexit en ce que ces infractions sont commises par des groupements
ou rseaux dont le reprage, lanalyse et le dmantlement posent des problmes complexes.
Dans le domaine de la cybercriminalit, il semble que le critre de
complexit doit tre considr comme rempli du fait des difficults didentification des
auteurs tenant lanonymisation des internautes, au caractre volatile des informations
sur internet et la dispersion des acteurs dans lespace.
Cest sur ce fondement de complexit, peut-tre plus que sur le critre de
gravit des infractions, que pourraient tre proposes des procdures spciales
dinvestigation sur Internet, sous rserve cependant de satisfaire aux critres de
proportionnalit par rapport lobjectif poursuivi, et de subsidiarit au regard des
autres moyens de procdure pouvant tre mis en oeuvre, et en plaant lusage de ces
moyens, selon leur degr dimmixtion dans la vie prive et la libert dexpression, sous
le contrle du magistrat du parquet ou du juge.
Dans la mesure o de tels moyens juridiques dinvestigation et de preuve
rpondent ces conditions, ils contribuent, eux aussi, la libert de la vie prive, de la
communication et des changes.
Cest ce qunonait dj, en droit interne, lart. 1-IV prcit de la loi de
2004 sur lEconomie numrique, en prcisant, aprs avoir pos le principe de la libert de
communication au public par voie lectronique, que
L'exercice de cette libert ne peut tre limit que dans la mesure requise, d'une part, par
le respect de la dignit de la personne humaine, de la libert et de la proprit d'autrui,
94
du caractre pluraliste de l'expression des courants de pense et d'opinion et, d'autre
part, par la sauvegarde de l'ordre public, par les besoins de la dfense nationale, par les
exigences de service public, par les contraintes techniques inhrentes aux moyens de
communication, ainsi que par la ncessit, pour les services audiovisuels, de dvelopper
la production audiovisuelle.
,,,,,,
95
L
a cybercriminalit : de la ncessit
dune stratgie globale

Si la France a su se doter de normes qui font autorit, si elle possde, il est vrai
en trop petit nombre, des spcialistes de talent dans les administrations publiques, les autorits
indpendantes et les milieux universitaires, il est temps aujourdhui quelle se dote dune
stratgie globale comme le recommande lUnion europenne et comme y travaillent dj
plusieurs autres Etats.
Cette stratgie commande en premier lieu de mieux identifier la lutte contre la
cybercriminalit par rapport aux concepts souvent voqus de cyberscurit et de
cyberdfense, tout en mettant en exergue des interdpendances encore trop ngliges (1).
Elle passe, dabord et avant tout, par la prvention, linternaute devant tre
lacteur principal de la rponse la cybercriminalit, non seulement parce que de sa
sensibilisation dpendra, pour lessentiel, la capacit de mettre en chec les menes
dlinquantielles, mais aussi pour des raisons tenant aux liberts fondamentales (2).
Au-del des questions de spcialisation, la formation des acteurs constitue une
deuxime exigence, car la cybercriminalit nest pas tout fait une dlinquance comme une
autre, compte-tenu de son aspect technique et de son caractre volutif (3).
Cest cette mme spcificit qui commande de dvelopper le partenariat public-
priv car, en ce domaine, lEtat ne peut agir seul (4).
Mais la stratgie globale passe aussi par la rorganisation des services de lEtat,
afin de rendre laction de ce dernier plus efficiente et plus cohrente (5).
Elle doit enfin saccompagner des moyens ncessaires, notamment en
ressources humaines, pour les services spcialiss (6).
ce concept de scurit nationale devait tre introduit, peu aprs (2009), dans le code de la Dfense
90
cf, notamment, sur lensemble de ce chapitre : lentretien avec M. Patrick PAILLOUX, directeur
91
gnral de lANSSI ; les travaux parlementaires relatifs la rcente loi de la programmation militaire ; les
analyses de la DCRI ; et GUINIER (Daniel), les ples cyber essentiels au cyberespace et leurs liens - approche
systmique et gouvernance, in La revue du GRASCO, n/ 6, juillet 2013
qui prenait toutefois la suite dune prcdente structure, la direction centrale de la scurit des
92
systmes dinformation, lointaine hritire de lancien service du chiffre et de cryptologie
96
II.1.- Un pralable : Scurit des systmes dinformation,
Cyberdfense, Lutte contre la Cybercriminalit,
des objectifs diffrents mais interdpendants
Le livre blanc sur la scurit et la dfense nationale, publi le 17 juin 2008,
a mis en vidence le fait que le concept de dfense ne pouvait plus se concevoir aujourdhui
comme la rponse une agression classique, mais devait aussi englober dautres formes de
menaces dimportance majeure, qui appellent une approche globale et au rang desquelles il
identifiait le risque dune attaque informatique contre les infrastructures nationales, eu gard
leur dpendance de plus en plus forte lgard ses rseaux de communication.
Sur la base dun tel constat, il distinguait la scurit nationale comme devant fdrer, au plan
interministriel, lensemble des politiques publiques destines rpondre ces menaces ,
90
et la dfense du territoire et des populations qui devaient rester lapanage du ministre du
mme nom .
91
A la suite de cette prise de conscience et pour faire face ce dfi dsormais
identifi, fut cre, en juillet 2009, lAgence nationale de scurit des systmes
dinformation (ANSSI) ; deux ans plus tard, cette agence interministrielle, relevant du
92
Premier ministre, se voyait confier aussi une mission de dfense de ces mmes systmes
dinformation.
LANSSI a pour principale mission dassurer la partie technique de la scurit des
systmes dinformation, raison pour laquelle elle est principalement compose
dingnieurs ; elle ne soccupe pas de la recherche du renseignement, qui relve de la
responsabilit des services spcialiss de lEtat, ni des investigations de police judiciaire
pour lesquelles elle ne dispose daucune capacit juridique, renvoyant, cette fin, la
D.C.R.I. ou lO.C.L.C.T.I.C.
Au titre de la scurit nationale, le rle de lANSSI est dordre prventif: elle joue, cette
fin, le rle dexpert tatique sagissant de la scurisation des systmes dinformation
auprs des administrations comme des oprateurs sensibles. A ce titre, elle ralise des
diagnostics (sur les moyens de communication scuriss de lEtat ou, pour prendre des
exemples intressant le systme judiciaire, les bracelets de surveillance lectronique,
la gestion des cls dans les tablissements pnitentiaires, la future plate-forme des
interceptions judiciaires...), fait des recommandations (par exemple, sur les badges
daccs, la vido-surveillance...) qui peuvent se traduire par la publication de vritables
Guide de lhygine informatique en janvier 2013 ; passeport de conseils aux voyageurs se
93
rendant ltranger munis de leurs appareils numriques...
ce qui est parfois complexe et ncessite de gros moyens : lors de lattaque sur BERCY, lopration a
94
ncessit 30 personnes sur deux mois car 150.000 ordinateurs taient relis au systme dinformation attaqu,
sans que lon sache, au dbut, lesquels se trouvaient ou non infects ; en outre, la confidentialit est importante,
notamment lgard du pirate qui peut encore se trouver dans le rseau, mais aussi parfois compte-tenu des
exigences de lentreprise en terme dimage.
Toutefois cette stratgie ne fut rendue publique quen fvrier 2011 ; cf. ANSSI, Dfense et scurit
95
des systmes dinformation : stratgie de la France
97
guides vocation gnrale , et contribue lhabilitation de certains dispositifs (par
93
exemple, en matire de cartes bancaires). Elle assure aussi une mission daudit et
dinspection, la fois au plan organisationnel et sagissant des risques dintrusion
(centrales nuclaires, tunnel sous la Manche, application pnale Cassiope...). Elle
exerce encore un contrle sur les investissements trangers dans le domaine de la
scurit informatique, sur la base des dispositions normatives soumettant autorisation
pralable la fabrication, le commerce et limportation de certains dispositifs (par exemple
la vente de matriel dcoute tlphonique). Elle entretient enfin des relations troites
avec les organismes comparables des pays trangers.
Au titre de la cyberdfense et en tant quautorit centrale de dfense sagissant des
attaques portes contre les systmes dinformations des tablissements et organismes
sensibles, elle dispose dun Centre oprationnel de la scurit des systmes
dinformation (COSSIL), ayant pour vocation prendre, 24h. sur 24, les mesures
durgence en cas de crise, centre relay, au plan rgional, par les Observatoires
rgionaux de la scurit des systmes dinformation, dont les moyens sont toutefois
limits. Alerte par les tablissements, par des partenaires trangers ou agissant
doffice, lANSSI a alors pour tche didentifier lorigine de la menace ou de lattaque et
de les pallier techniquement .
94
Outre le COSSI, lANSSI dispose dune structure dexpertise et de conseil, dun
laboratoire de dveloppement des systmes dinformations scuriss ainsi que dun
centre de formation la scurit des systmes dinformation (CFSSI).
Afin datteindre ces objectifs, il fallait toutefois que lEtat se dote dune stratgie:
les travaux de lANSSI aboutirent, en 2010, la dfinition par la France dune stratgie
nationale de dfense et de scurit des systmes dinformation .
95
Cette stratgie dite de cyberscurit repose sur quatre objectifs :
*Etre une puissance mondiale de cyberdfense, afin de protger les rseaux de
communications lectroniques notamment contre les risques de cyber-espionnage
*Garantir la libert de la dcision de la France par la protection de linformation de
souverainet, quelle soit dordre diplomatique, militaire, scientifique, technologique,
commerciale ou financire,
*Renforcer la cyberscurit des infrastructures vitales nationales, cest--dire des
oprateurs, tant publics que privs, qui concourent la satisfaction des besoins
indispensables la vie des populations, lexercice de lautorit de lEtat, au
fonctionnement de lconomie, au maintien du potentiel de dfense ou la scurit de
la Nation, et qui ont recours, pour ce faire, aux rseaux de tlcommunications et
singulirement Internet
cf. Rapport dinformation n/ 681 sur la cyberdfense de M. Jean-Marie BOCKEL, fait au nom de la
96
commission des affaires trangres, de la dfense et des forces armes du Snat, et publi le 18.07.2012
cf., pour plus de dtails, le titre I, chapitre 1 et ses dveloppements relatifs aux cyber-menaces
97
(DCRI)
98
*Assurer la scurit dans le cyberespace, par la protection des systmes dinformation
et des donnes des administrations, par linformation et la sensibilisation des entreprises
et des particuliers, par enfin le renforcement de la lutte contre la cybercriminalit grce
une meilleure adaptation du droit et une amlioration de lentraide judiciaire
internationale.
A cet effet, sept axes defforts sont associs :
- mieux anticiper et analyser lenvironnement afin de prendre les dcisions adaptes
- dtecter les attaques et les contrer, alerter les victimes potentielles et les accompagner
- accrotre et prenniser nos capacits scientifiques, techniques, industrielles et
humaines dans lobjectif de conserver lautonomie ncessaire
- protger les systmes dinformation de lEtat et des oprateurs dinfrastructures vitales
- adapter le droit afin de prendre en compte les volutions technologiques et les
nouveaux usages
- dvelopper les collaborations internationales en matire de scurit des systmes
dinformation, de lutte contre la cybercriminalit et de cyberdfense pour mieux
protger les systmes dinformation nationaux
- communiquer, informer et convaincre afin de permettre aux Franais de prendre la
mesure des enjeux lis la scurit des systmes dinformation.

A cette stratgie globale, est adosse une organisation spcifique de lEtat,
reposant sur le Premier ministre, assist par le Secrtariat gnral de la dfense et de la scurit
nationale - dont le responsable assure aussi la prsidence du Comit stratgique de lANSSI -,
un Haut fonctionnaire de dfense et de scurit ayant notamment pour mission danimer un
rseau de responsables en charge, dans chaque dpartement ministriel, de la scurit des
systmes dinformation correspondants. En outre, et compte-tenu de son approche globale, elle
associe, comme lensemble de la scurit nationale, les autres dpartements ministriels, en
premier lieu la Dfense, mais aussi lIntrieur (lensemble des services de renseignement et au
premier chef la Direction centrale du renseignement intrieur...comme les services spcialiss chargs
de lidentification des auteurs), la Justice (sagissant de lvolution du droit), les Affaires trangres,
lEconomie numrique, lIndustrie et la recherche...., tout en dveloppant un partenariat avec
les oprateurs, publics ou privs, dinfrastructures et de rseaux vitaux pour la Nation.
Le nouveau Livre blanc publi le 29 avril 2013, et notamment le rapport sur la
cyberdfense , fut loccasion de mieux prciser la cyber-menace, place dsormais au 3
96 me
rang des risques, juste derrire la guerre et les attaques terroristes : lespionnage, le plus
souvent dorigine tatique mais manant parfois dentreprises concurrentes ; la tentative de
dstabilisation loccasion dun conflit international ou dune dcision controverse, qui se
traduit soit par le piratage dun site, soit par un dni de service (blocage du site), soit par un
dtournement des informations livres au public essentiellement des fins de propagande ;
ou encore le sabotage dont les cibles, le plus souvent vitales, peuvent tre prives ou publiques
(menace qui ne semble pas stre encore concrtise sagissant de la France) .
97
De ce constat, dcoulait la ncessit de faire de cette cyberdfense une priorit stratgique
nationale, intgrant notamment une capacit de rponse gradue la cyber-menace. En
qui, de simple agence devient une Autorit, dote de nouveaux pouvoirs dinvestigation auprs
98
des oprateurs de communications lectroniques (cf. art. 25 de la loi), mais aussi de nouveaux moyens :
disposant dune centaine de personnes lors de sa cration, lANSSI en a 360 actuellement mais devrait voir ses
effectifs encore progresser pour atteindre 500 en fin 2015, ce qui la mettrait au niveau des instances comparables
des grands pays Europens et lui permettrait de faire face des attaques simultanes
Il sagit des oprateurs qui grent des tablissements, ouvrages ou installations
99
dont lindisponibilit
risquerait de diminuer dune faon importante le potentiel de guerre ou conomique, la scurit ou la capacit
de survie de la Nation (art. R.1332-1 du code de la dfense) ; leur liste relve du secret confidentiel-dfense
mais recouvre douze secteurs dimportance vitale, qui comprend, notamment, les activits civiles et militaires de
lEtat, les activits judiciaires, lespace et la recherche, la gestion de leau, lnergie, la communication et les
transports, mais aussi les grandes banques. Leur scurit a donn lieu, rcemment, une instruction gnrale
interministrielle en date du 7.01.2014
Selon les rapports parlementaires, 350 personnels des armes supplmentaires viendront sajouter
100
aux 900 dj affects la cyberdfense ; en outre, les ressources du renseignement militaire seront accrues. Cf.,
sur ces questions, le Pacte Dfense Cyber rcemment arrt par le ministre de la Dfense
99
revanche, rien ntait dit dessentiel sur la cybercriminalit, sauf la rfrence aux risques
engendrs par le terrorisme et par la criminalit organise dans ses formes les plus graves.
Ces nouvelles ambitions se sont traduites, rcemment, dans la loi n/ 2013-1168
relative la programmation militaire pour les annes 2014 2019, qui
- renforce la cyberscurit,
*dabord au plan de lorganisation de lEtat, car la responsabilit du Premier ministre dans
la dfinition et la coordination de la mise en oeuvre de la politique en matire de dfense
et de scurit des systmes dinformation est confirme ainsi que la qualit de lANSSI
en tant quautorit nationale de dfense de ces mmes systmes ;
98
*ensuite en ce qui concerne la scurit de ces mmes systmes pour les quelques 250
oprateurs dimportance vitale (OIV) qui se verront imposer des rgles de scurit,
99
avec les audits et contrles affrents, devront obligatoirement notifier tout incident et, en
cas dattaque informatique grave, suivre les prescriptions techniques de lANSSI ;
*aussi en reconnaissant une sorte de droit de lgitime dfense en cas de cyber-attaque
dimportance, autorisant lANSSI accder au systme dinformation qui en est
lorigine, de collecter les donnes utiles, voire de neutraliser lagression ;
*encore en instaurant un rgime dautorisation pralable pour la fabrication, la
commercialisation, la dtention et limportation des quipements susceptibles de
permettre des interceptions afin de mieux lutter contre lespionnage ;
*enfin en augmentant, sensiblement, les moyens de renseignement sagissant de la
future direction gnrale de la scurit intrieure (actuelle DCRI), en hommes et,
sagissant de la prvention administrative du terrorisme, en moyens juridiques (cf. lart.20
de la loi, art. L.246-1 nouveau du code de la scurit intrieure), qui autorise
expressment les agents spcialement dsigns relevant des services spcialiss de
lEtat accder aux donnes didentit et de connexion dtenues par les oprateurs, y
compris en temps rel aux fins de go-localisation, cela sous le contrle de la
Commission nationale de contrle des interceptions de scurit

- renforce aussi les moyens de la cyberdfense, tant en terme de ressources humaines
, comprenant aussi un recours accru la rserve oprationnelle et la rserve
100
cf. les 34 mesures prsentes par le Prsident de la Rpublique, le 12.09.2013, au soutien du
101
dveloppement de filires industrielles en France. Si la France dispose dj dentreprises performantes dans la
cyberscurit (CASSIDIAN, THALES, ou, dans le domaine des cartes puce, GEMALTO, OBERTHUR...), il
sagit aujourdhui de combler les carences existantes qui menacent sa souverainet ; quant linformatique
dans les nuages, afin de restreindre les quasi-monopoles des socits amricaines GOOGLE et AMAZON, la
solution ne peut tre queuropenne. Voir, notamment, sur ce dernier point, le rapport dinformation dpos, le
20.03.2013, par Mme la snatrice MORIN-DESAILLY, au nom de la Commission des affaires europennes du
Snat, et intitul LUnion europenne, colonie du monde numrique ?.
100
citoyenne, quen ce qui concerne lorganisation (depuis 2011, le commandement
oprationnel de cyberdfense est dj assur par un officier gnral) et les
investissements en matire de recherche et de dveloppement (programme SSI-
CYBER).
Toutefois, conformment la stratgie prcite, la cyberscurit revt aussi
dautres formes, comme les programmes spcifiques destins protger lintelligence
conomique, ou le soutien au dveloppement de lindustrie franaise dans le domaine
de la cyberscurit .
101
Si la lutte contre la cybercriminalit nest pas apprhende, ou de manire
trs partielle, voire indirecte, par la cyberscurit et la cyberdfense, cest que celles-ci se
focalisent principalement, car cest leur raison dtre, sur un type de menace (portant sur les
systmes dinformation), un niveau de gravit et des intrts spcifiques protger (les capacits
de Dfense de lEtat, les O.I.V.), toutes questions qui relvent, en priorit, dautres acteurs que
ceux quotidiennement concerns par la cybercriminalit.
Cest peut-tre aussi car elle na pas fait, jusquici, lobjet du mme
investissement que les priorits prcdentes, sans doute car le besoin ne sen faisait pas sentir
et que les interrogations (cf., par exemple, les questions parlementaires y relatives adresses au
Gouvernement) portaient, le plus souvent, sur des questions sectorielles (lusurpation didentit, la
vente de drogue par Internet...), mais, vraisemblablement aussi, car elle se prte moins, du fait de
son caractre diffus et transversal (les difficults la dfinir lillustrent suffisamment), une
approche globale et la dtermination dune stratgie cohrente.
Or, mme si elle est, lheure actuelle, mal quantifie, limpact de la
cybercriminalit ne peut se limiter, malgr toute limportance quil sy attache, la cyber-
menace dfinie plus avant ; cet impact, il se manifeste, aussi, par la masse dinfractions qui lui
est associe ; par la violation de lintimit quotidienne dj dcrite ; par le prjudice financier
quil reprsente pour les dizaines de milliers de personnes qui se font escroquer ; par
linscurit comme le cot conomique quil gnre dans des milliers dentreprise, bien au-del
des OIV. ; par la dstabilisation de ce qui est devenu le principal instrument de paiement
bancaire ;
Mais cest aussi du fait de lefficacit trs relative que revt aujourdhui la lutte
contre la cybercriminalit quil est devenu impratif de dfinir de nouvelles ambitions et
damliorer les moyens de son action.
Telle est dailleurs la raison pour laquelle lANSSI dispose dun officier charg de faire le lien entre
102
son action prventive et celle tant de la DCRI que de lOCLCTIC
LANSSI souligne, en permanence, combien la cyber-menace est facilite par linsuffisante
103
sensibilisation des dcideurs, publics ou privs ; son responsable cite des exemples constats dans le cadre de sa
mission : le recours un mot de passe unique, partag par plus de 200 personnes, pour laccs un systme
dinformation sensible ; la pratique individuelle de lingnieur qui recharge son Iphone personnel non scuris
sur un ordinateur sensible, ce qui revient rendre celui-ci accessible sur Internet... Il insiste aussi sur le fait que
les ingnieurs ne sont aucunement sensibiliss, dans le cadre de leur formation, ces questions de scurit.
101
Toutefois, il est ncessaire quune future stratgie dans la lutte contre la
cybercriminalit intgre, ds le stade de sa conception, les enjeux dfinis par la
cyberscurit, car les deux questions sont interdpendantes.
Interdpendantes, elles le sont dabord car la menace, quelle quelle soit,
renvoie, le plus souvent, la notion dinfraction et donc au droit pnal : ainsi, lauteur dune
attaque informatique contre le systme de traitement automatis dun oprateur dimportance
vitale porte atteinte au dispositif de cyberdfense et de cyberscurit mais commet galement
une infraction relevant de la lutte contre cybercriminalit. En outre, toute rponse, peu importe
sa nature, est borne par les exigences tenant la protection des liberts individuelles, dont
la Justice est, en dfinitive, le garant.
Elles le sont aussi car lefficacit de la lutte contre la cybercriminalit dpendra,
pour une bonne part, de la russite, tant prventive que technique et industrielle (franaise ou
europenne), de la politique de cyberscurit, et que cette dernire a besoin aussi que
saccroisse lefficacit rpressive, notamment dans le domaine des attaques contre les
systmes de traitements automatiss de donnes ou de lintelligence conomique.
Elles le sont encore, car la lutte contre le cyberterrorisme est au centre de toutes
les proccupations et que le monde du renseignement doit autant prvenir que fournir aux
services de police et de justice spcialiss les moyens ncessaires la rpression, ce quil fait
dailleurs. Il en est de mme de la lutte contre la criminalit organise .
102
Elles le sont enfin car toute stratgie face la cyber-menace passe par une
meilleure prise de conscience, lducation, la formation et le soutien des internautes comme
des acteurs ; le renforcement du partenariat public-priv ; la coopration et un meilleur
103
encadrement de ces interlocuteurs indispensables que sont les oprateurs de communication;
une meilleure organisation de lEtat ; le renforcement tant des moyens juridiques que des
ressources humaines ; la coopration internationale enfin, au plan des instruments comme de
lentraide.
Ainsi quy invite lUnion europenne, la dtermination dune stratgie dans
le domaine de la lutte contre la cybercriminalit est donc une condition pour pouvoir
disposer demain dune approche globale du dfi que constitue la cyber et favoriser une
action coordonne de lensemble des acteurs concerns.

A cet gard, deux points mritent, tout particulirement, lattention, car ils ne
seront pas voqus par la suite.
Lune des forces de la Commission nationale informatique et liberts, par rapport toutes les
104
autorits comparables en Europe, consiste, prcisment, disposer dun laboratoire qui lui permet, non
seulement de raliser les diagnostics et les contrles techniques utiles, mais aussi de discuter, dgal gal, avec
les entreprises et oprateurs spcialiss.
102
En France, la stratgie de lutte contre le crime est principalement axe sur loutil
juridique ; cest normal et les dveloppements qui suivent mettront en exergue toute son
importance. Mais, plus que toute autre forme de dlinquance, la cybercriminalit revt des
aspects techniques et appelle, pour sa prvention comme en terme de lutte, des innovations
du mme ordre .
104
Or, force est de constater que police et justice sont insuffisamment dotes des
capacits ncessaires en terme de recherche et, encore davantage de dveloppements, ce
quoi le recours au partenariat ou lexpertise classique ne saurait remdier ; il faut donc que
linterface entre ces dpartements et les ples publics disposant de telles capacits
soit, non seulement, prcise, mais aussi institutionnalise, en terme de remonte
dinformations quant aux nouvelles techniques dceles mais aussi dexpression des besoins
et de rponse. Il serait logique, ne serait-ce que pour ne pas dmultiplier les structures, que
lANSSI joue ce rle.
La politique pnale ou de scurit est traditionnellement tourne vers la
protection de lEtat et des victimes individuelles ; en revanche, il lui est parfois reprocher de
ngliger la dlinquance qui frappe lentreprise, peut-tre par manque de connaissance mais
aussi compte-tenu des rticences des entrepreneurs eux-mmes.
Or, les entreprises, quelles soient grandes ou petites, sont, non seulement une
cible privilgie de la cybercriminalit organise, mais aussi trs exposes des
comportements illicites internes, avec des rpercussions conomiques voire sociales non
ngligeables ; et leurs attentes, en ce domaine, lorsquelles sont confrontes une attaque,
font fi des dcoupages institutionnels, car elles sont essentiellement globales.
En outre, la plupart de ces entreprises, qui ne sont pas vitales au sens de la
scurit nationale, ne bnficient pas directement des dispositifs mis en oeuvre ce titre,
mme si la DCRI sy emploie, et nont pour solution que de se tourner vers des entreprises de
scurit, nombreuses mais dun niveau ingal : le dveloppement des entreprises franaises
en matire de cyberscurit, le recours une labellisation tatique des socits existantes,
voire la cration, lexemple de lAllemagne ou de la Grande-Bretagne, de CERT dans les
diffrentes branches professionnelles afin de favoriser les changes sur les savoir-faire ainsi
que linformation sur les risques et la diffusion de pratiques pertinentes, constituent autant de
solutions dont lEtat ne peut se dsintresser, mme si les diffrentes branches
professionnelles sont directement concernes.
Il est ainsi ncessaire que la thmatique de lentreprise soit spcifiquement
prise en compte, raison supplmentaire pour que linteraction entre les diffrents ples
de lEtat soit aussi efficiente que possible, au plan national comme sur le terrain.

,,,,,,
103
II.2. - Une priorit : la prvention
La rponse judiciaire, garde-fou indispensable pour viter quInternet ne
devienne une zone de non droit, nest pas la panace, quelle soit civile ou pnale.
Tout un chacun, y compris les acteurs rpressifs, en conviennent : Internet
suppose, dabord et avant tout, une ducation, une sensibilisation, une mobilisation qui doivent
tre loeuvre de tous.
Ce constat concerne, tout particulirement, certaines formes de criminalit, telles
les atteintes la vie prive ou les escroqueries, qui pourraient tre endigues par une
sensibilisation plus massive, mieux organise et surtout gnralise, tant sur le plan de la
cyber-scurit quau niveau comportemental. En outre, les professionnels de lInternet
disposent des outils qui permettent dagir au cur du rseau, pour limiter la porte des
infractions et les modes de commission des infractions.
La polysmie de la prvention doit tre pose demble pour en distinguer deux
facettes : prvenir les internautes des dangers quils encourent ; prvenir la commission des
infractions. Mais ces actions complmentaires ne sauraient tre dissocies, reposant sur les
mmes acteurs mme de cerner les risques encourus et disposant des moyens techniques
dagir au coeur du rseau pour prvenir la commission des infractions ou en limiter la porte :
les oprateurs et fournisseurs de services en ligne. Il appartient aux pouvoirs publics de les
engager dans de nouvelles politiques daction.
1.- Prvenir les internautes
Prvenir, cest informer les internautes des risques quils encourent sur Internet
et des moyens de sen prmunir. Comme toute nouvelle technique, Internet suppose une
sensibilisation, voire une ducation contre ses dangers, quil sagisse du grand public - car tout
un chacun, quelque son niveau dinstruction et dducation peut tre victime de cyber-
infractions, de publics cibls - en priorit, jeunes et personnes dun certain ge moins
coutumires de ce mode de communication - ou des professionnels plus exposs.
Informer les internautes, cest dabord les protger contre eux-mmes.
Linternaute nest pas seulement la victime dinfractions, il en est galement
souvent le facilitateur involontaire, notamment lorsquil livre aux rseaux sociaux des
donnes extrmement personnelles sans tre conscient quelles pourront, un jour, se retourner
contre lui, et lon sait que ce risque concerne, tout particulirement, les mineurs.
Cest aussi le cas lorsque, de manire imprudente, linternaute ouvre un courriel inconnu
susceptible dintroduire un virus dans son ordinateur, ou livre ses donnes bancaires la
moindre injonction prsente comme manant dun site officiel.
Cest toujours le cas lorsque lentreprise ou lun de ses salaris rendent accessibles des
donnes susceptibles de nuire leur confidentialit, faute dtanchit suffisante entre
linformation et le contrle, voire entre la vie prive et la vie conomique.
Cest encore le cas lorsque des chercheurs changent, via Internet, sur ltat davancement
de leurs travaux scientifiques ou technologiques.
104
Cest toujours le cas lorsque linternaute choisit, pour protger ses donnes personnelles ou
accder certains comptes, un mot de passe basique (123456 par exemple ou sa date de
naissance), le premier que tentera de faire un cyber-dlinquant, ou utilise le mme mot de passe
pour toutes ses applications.
Cest le cas enfin, mais la liste nest pas close, lorsque tel fonctionnaire, tel avocat, tel
magistrat se dclare, quelque peu navement, ami de tel autre, sans avoir conscience du
risque ainsi port limpartialit ou la neutralit attendue...
Il faut, en rsum, faire de chaque internaute le premier responsable de sa propre
scurit.
Outre les campagnes de sensibilisation, la prvention suppose aussi le
dveloppement despaces dinformation en ligne ou par tlphone, lexemple de INFO
ESCROQUERIES ou de ce qui existe en matire de vente distance ; ces espaces sont
complmentaires des campagnes de sensibilisation en ce quils permettent, dans la dure, de
dlivrer au public une information dynamique, de le conseiller de manire personnalise et de
lorienter au sein de la multiplicit des acteurs publics et privs mme de rpondre ses
attentes. Encore faut-il veiller la cohrence des dispositifs, ce que le champ des principales
infractions commises par Internet soit effectivement couvert ; en outre, le succs de ces
espaces dpend de son accessibilit, qui doit reposer sur une publicit approprie et des
ressources humaines adaptes lenjeu.
Les actions en matire de prvention sont lgion, quelles soient le fait
dadministrations, dorganismes professionnels ou dassociations, et, le plus souvent,
dactions menes en partenariat. Elles ne sauraient tre minores : rien quau niveau de
lEtat, la Dlgation aux usages de lInternet, le ministre de lIntrieur, lEducation Nationale,
la Concurrence et la consommation, la Commission nationale informatique et liberts (C.N.I.L.)
et bien dautres se sont engags dans des actions touchant un large public.
Illustrations dactions de prvention
mises en oeuvre par les dpartements ministriels
participant au groupe de travail
La Dlgation aux usages de lInternet : cre par dcret du 8.12.2013, elle a pour
mission de gnraliser laccs lInternet, notamment au bnfice des foyers plus
dmunis, mais aussi de former les familles, les enfants et le grand public aux usages
des nouvelles technologies.
Elle participe, en particulier, la formation des animateurs/mdiateurs des 5.000
espaces publics numriques, services de proximit dploys dans les services publics
ou les espaces associatifs locaux dont la prvention des conduites risque constitue
un objectif prioritaire.
Elle coordonne aussi la mise en oeuvre du programme europen Safer Internet plus
(cf., sur ce point, le chapitre 4).
La Gendarmerie Nationale intervient, de longue date, auprs des publics scolaires
pour faire de la prvention. Elle a adapt rcemment son dispositif la lutte contre les
cybermenaces en lanant, en dcembre 2013, lopration Permis Internet ; elle
consiste sensibiliser les lves de classes de CM2 aux dangers de lInternet et de
leur donner des conseils pour lutiliser en toute scurit. A cette fin, elle prend contact
avec les coles, prsente lopration en classe et distribue un kit pdagogique, la
formation tant ensuite dispense par les enseignants (3 4 sances de 45 mn).
105
En interne, il faut aussi citer le Guide du bon usage des mdias sociaux au sein de
la Gendarmerie Nationale, qui est une bonne illustration dune dmarche
pdagogique adapte un milieu professionnel.
Les policiers formateurs anti-drogue (FRAD) sont, eux aussi, de plus en plus
sollicits pour parler des dangers de lInternet et sappuient sur des vidos pour
favoriser une prise de conscience.
LOCLCTIC gre, quant lui, depuis 2009, une plate-forme nationale tlphonique,
dite Info Escroquerie, en prise directe avec les particuliers qui exposent au tlphone
des problmatiques trs diversifies (tentative descroquerie sur Internet, escroqueries
en cours, parfois litige commercial ou civil..) ; ces particuliers sont orients, par les
policiers et gendarmes, dans les dmarches suivre en fonction des situations
personnelles. Il sagit dune vritable mission de service public dans laquelle laccueil,
la prvention et lorientation sont dterminantes.
Cette plate-forme reoit, chaque anne, plus de 42.000 appels
La BEFTI (Prfecture de police) multiplie aussi les actions de prvention, qui
peuvent prendre la forme dune participation La Foire de Paris, au salon des
Seniors, aux Journes de la Scurit intrieure, ou de la diffusion de diffrentes
brochures pdagogiques (guide scurit, prvention des fraudes la carte
bancaire...).
LANSSI semploie aussi mettre en ligne du matriel pdagogique, tel le guide
dhygine informatique (avec des consignes de base pour la scurisation des
systmes dinformation) ou des conseils pratiques pour ceux qui voyagent ltranger.
La Protection judiciaire de la jeunesse, au-del de laction quelle mne pour lutter
contre la fracture numrique, sensibilise les mineurs pris en charge aux dangers de
lutilisation de loutil numrique partir de trois cyber-bases justice cres dans trois
rgions de France.
La DGCIS contribue aussi des campagnes de sensibilisation, notamment
destination des entreprises, par le biais de ses correspondants rgionaux spcialiss
dans lintelligence conomique.
....
Comment alors expliquer limpression, largement partage et dailleurs
souvent exprime au titre des attentes, quil reste encore beaucoup faire en terme de
prvention, en particulier de la part de lEtat ?
Dune part, et aux risques sinon dpuiser les acteurs comme les ressources
disponibles tellement le spectre du numrique et de la dlinquance qui y est associe est large,
la prvention doit rpondre une impulsion qui, reposant sur une analyse affine des
besoins mais aussi des cibles prioritaires atteindre, permet de dfinir des objectifs,
des moyens, des dures et de rpartir laction entreprendre entre les diffrents
participants.
Cette impulsion, cet accompagnement doit venir de lEtat, mme si elle doit
tre conduite en partenariat avec les professionnels, les mdias et le monde associatif
programme dvelopp par la Dlgation aux usages de lInternet dans le cadre du programme
105
europen pour un Internet plus sr.
106
Or, la dernire campagne de prvention massive, relaye par de grands mdias,
remonte 2009 ; encore ntait-elle pas exclusivement ddie lInternet puisquil sagissait
dun plan de lutte global contre les escroqueries.
Lancer une grande campagne de sensibilisation en faisant de lducation
au numrique une grande cause nationale pour 2014" rpond ainsi une ncessit ;
elle complterait aussi utilement le plan gouvernemental mis en oeuvre en 2013. La C.N.I.L.
y travaille dj avec 28 partenaires, reprsentants des acteurs conomiques, de la socit
civile, du monde de lducation et des institutions.
Toutefois, cela ne saurait suffire pour trois raisons :
- il faut aujourdhui un pilotage long terme de la prvention,
inexistant en ltat, car cest le genre dactions qui doivent tre fdres et prennises, comme
lillustrent les programmes europens en la matire. Il faut donc quau sein mme de lEtat une
organisation, associant lensemble des partenaires, en ait la charge et pas simplement de
manire ponctuelle.
- une campagne nationale se limite, ncessairement, quelques cibles.
Elle doit tre relaye et accompagne par des actions plus thmatiques concernant des
publics prioritaires. L encore, il faut une organisation, car limpact dactions parcellaires,
parfois dsordonnes et souvent reposant sur des moyens drisoires est limit.
Cest en cela que la prvention ne peut reposer que sur des ples de comptence, en
fonction des catgories de population concernes, de certaines formes particulires de
dlinquance et du savoir-faire des acteurs ; ces ples doivent tre aussi en prise directe avec
la ralit sans cesse renouvele de la technique, de la criminalit et des comportements
risques. Certaines thmatiques donnent dj lieu action prventive, notamment la protection
des mineurs, celle des oeuvres intellectuelles, ou la lutte contre les contrefaons. Mme sil
convient dtablir, secteur par secteur, un tat des lieux des besoins comme de ce qui se fait,
il apparat dj certain que les deux contentieux de masse de la cyber-criminalit - les
escroqueries ainsi que les fraudes de cartes bancaires - ncessitent des campagnes
cibles, et pas simplement auprs des seuls professionnels du e-commerce.
Encore faut-il pour cela identifier les bons acteurs de la prvention : en amont, ceux qui
sont mme de cerner les besoins des internautes, pour slectionner linformation pertinente ;
en aval, ceux qui sont mme de relayer cette information vers le public.
- le dveloppement de la prvention butte aussi sur le manque de
financements adapts, ne serait-ce que pour bnficier du concours : si lUnion europenne,
si lEtat doivent y contribuer, il est normal que soient aussi mises contribution les secteurs
professionnels de lInternet ; le sponsoring lamricaine nest pas non plus carter.
En ce sens, la sensibilisation des mineurs aux bons usages de lInternet ,
105
comme le plan daction rcemment mis en oeuvre par le ministre de lEducation Nationale, en
partenariat avec lassociation e-enfance, afin de prvenir et de rpondre massivement au cyber-
harclement en milieu scolaire, en y associant toutes les parties prenantes et en dfinissant
des rgles et des modes de traitement, constituent des exemples suivre.
107
Agir contre le harclement lcole
campagne du ministre de lEducation national
Cette campagne a t lance le 26 novembre 2013 par le ministre de lEducation
nationale.
Elle rsulte dune prise de conscience rcente (2011) car, si le risque
pdopornographique tait bien identifi, celui du harclement ltait moins : deux
enqutes nationales menes auprs de 30.000 lves ont montr que la cyber-
violence lcole ne relevait pas de la sphre prive et quelle tait moins lie des
phnomnes dintrusion (qui ne reprsentent que 5% des violences subies) qu des
comportements internes, le plus souvent entre lves.
Selon une tude de victimation ralise en 2012,
-40% des collgiens et lycens dclarent avoir t victimes de cyberviolence au
moins une fois pendant lanne scolaire
-20,3% dentre eux ont reu des textes humiliants, insultants ou mme menaants
-12% dentre eux ont t victimes dune usurpation didentit
-11,6% dentre eux ont t exclus dun groupe en ligne
-et 6% des lves se disent tre agresss de manire rpte sur le net, ce qui
correspond la dfinition du cyber-harclement.
Dans un premier temps, la rponse mise en oeuvre a repos sur une convention de
partenariat signe avec lassociation e-enfance qui mne de nombreuses actions de
sensibilisation dans les collges et travaille avec les oprateurs en communications
lectroniques, notamment FACEBOOK, dans le but de faire retirer les contenus
illicites. Laction tait essentiellement cible sur le public adolescent, avant que lon
ne se rende compte que les scolaires plus jeunes taient aussi concerns et quil
fallait aussi sensibiliser les adultes.
La loi dorientation et de programmation pour la refondation de lcole du 8 juillet
2013, qui prvoit la gnralisation lutilisation des outils et des ressources
numriques, notamment une sensibilisation aux droits et aux devoirs lis lusage
de lInternet et des rseaux, dont la protection de la vie prive et le respect de la
proprit intellectuelle (cf. art. L.312-9 du code de lducation), a intgr un plan de
prvention et de prise en charge des phnomnes de harclement au niveau de
chaque tablissement. Le nouveau plan de prvention sest traduit par la ralisation
de vritables outils pdagogiques prpars en concertation avec les associations, les
parents dlves mais aussi des victimes.
Cest dans ce cadre que sest inscrite la campagne actuelle, qui sappuie sur des
outils diversifis : un site Internet rnov, des clips de sensibilisation, des fiches
destines aux lves, aux tmoins, aux parents pour savoir quoi faire face un
harclement ; des dessins anims pour les coliers ; un concours pour mobiliser les
initiatives des lves...
Le plan saccompagne dune formation tale sur trois ans, qui concerne, dans
chaque acadmie, des formateurs et des rfrents afin de pouvoir disposer de
groupes interprofessionnels comptents (200 personnes ont dj t formes) ; il est
ensuite prvu de sattaquer la formation initiale des enseignants.
Mais ce qui caractrise ce plan, cest la cible privilgie que constituent, plus que les
victimes ou les agresseurs, les tmoins des harclements, dans le but que la classe
elle-mme mette hors la loi ce type de comportement ainsi que leurs auteurs, sur le
modle Finlandais qui, par ce moyen, est parvenu diviser par trois le nombre
dharclements.
108
La prise en charge des victimes constitue une autre des priorits affiches, car il suffit
dune ou de deux semaines pour quun mineur-victime dcroche soit sous la forme
dune fuite de lcole (24% des dcrochages scolaires et des absentismes seraient
dus la peur du harclement, mme de la part de bons lves), soit en terme
dimpact sur la sant mentale, voire, exceptionnellement, de tentatives de suicide ou
mme de suicides (3 en 2013 suite des harclements). En ce domaine, les
difficults tiennent dabord au nombre des enfants-victimes (11% des jeunes en
France), au fait que ce sont souvent les mmes enfants qui subissent des violences
ritres via des sms ou les rseaux sociaux, et enfin au silence que gardent la moiti
des victimes.
Enfin, la prise en charge des auteurs repose sur des rponses disciplinaires ou un
travail ralis par les mdiateurs de lEducation Nationale, en partenariat avec la
Protection judiciaire de la jeunesse, ou, si les faits sont graves, si les auteurs ne sont
pas identifis ou si les violences manent de lextrieur de lcole, sur la saisine du
parquet.
Ainsi que lillustre lexemple prcdent, la sensibilisation ne saurait se limiter
des campagnes dinformation ou des plate-forme dinformation.
Il revient aussi lEtat dassurer une prvention spciale e n m e t t a n t
disposition des internautes les informations disponibles concernant certains types dinfractions
dj ralises (en matire de cyber-escroqueries notamment), certains sites ou mme certaines
socits vocation purement criminelle. LOCLCTIC tudie dj la possibilit de mettre en ligne
un moteur de recherche permettant de dtecter, par mots-cls, ce type dinformations.
Afin de complter le service offert par la plate-forme tlphonique INFO-
ESCROQUERIES, lOCTCLIC envisage de mettre en ligne une base de donnes,
directement consultable par le public, qui lui permettrait dobtenir des avis relatifs
des sites Internet, des adresses e-mail supportant des messages ou des petites
annonces suspectes dtre constitutives descroqueries.
Ce projet sinspire du site www.hoaxbuster.com qui permet de comparer un texte
avec une base de donnes de hoax (= fausses nouvelles vhiculs par Internet),
grce une zone de saisie permettant linternaute de copier/coller nimporte quel
texte ou mot-cl afin dobtenir une liste darticles relatifs des hoax identifis ou, au
contraire, des faits reconnus comme tant authentiques.
Un tel outil permettrait aux internautes de tester les adresses de site Internet ou le
contenu de spams pour savoir si ces lments sont associs des escroqueries
connues. La base de donnes pourrait tre tendue aux infractions souvent perues
par le public comme tant des escroqueries, telles les contrefaons.
Ce moteur de recherche aurait vocation tre inclus dans un site Internet officiel
ddi ou dj existant.
Il suppose toutefois des ressources tant humaines quen logiciels non ngligeables
pour assurer la collecte de linformation et la mise jour de la base, conditions de sa
crdibilit.
Dans le mme ordre dides, les Douanes ont dj ngoci avec Microsoft
lobtention dun rfrencement prioritaire sur le moteur de recherche Google des messages
dalerte douaniers relatifs aux sites de contrefaons, de manire ce que ces messages soient
proposs avant les sites litigieux eux-mmes.
cf. le systme de scurisation des paiements sur Internet rsultant de la mise disposition dune
106
carte bancaire spcifique avec lattribution de coordonnes bancaires diffrentes pour chaque transaction - le
code 3D-SECURE - ; il est vrai que le e-commerce lui reproche un certain manque de fiabilit
109
Au-del, le principe devrait tre pos que toute nouvelle ouverture de services
en ligne, laquelle dpend de lEtat dans la majorit des cas, devrait tre prcde ou
accompagne dune vritable tude de risques, prenant en compte les expriences
trangres et dfinissant les mcanismes prventifs spcifiques mettre en oeuvre (cf.
lexemple des jeux et des mdicaments). Les changes en tl-mdecine, la multiplication sur les
rseaux sociaux doffres de prts sur gage, les modes de paiement par terminal mobile,
lapparition prochaine des paiements mobiles sans contact...constituent, on la dit, autant de
nouveaux dfis qui ncessitent que lEtat pose des rgles, faute de quoi elles seront imposes
par le march.
De manire plus gnrale, lexigence de prvention doit aussi reposer sur
ceux qui ouvrent des accs Internet ou les facilitent.
Les responsables des collectivits territoriales, des cyber-cafs, des
espaces numriques publics doivent prendre toute leur part. Cela suppose un plan global
cohrent, reposant sur la conscience de ce que cette ducation est aussi importante que
laccs au haut dbit et doit tre mene au mme pas.
Quant aux prestataires de lInternet, notamment les fournisseurs daccs, ils
ont, bien sur, une responsabilit toute particulire.

Il ne sagit pas dignorer les efforts dj entrepris par le secteur priv -
hbergeurs, fournisseurs de services ou daccs, diteurs... appuys par des associations
actives, notamment dans le domaine de protection des mineurs -. Ainsi lAssociation des
Fournisseurs dAccs (A.F.A.) sengage chaque anne pour relayer en France le programme
europen Safer Internet. Mais on pourrait aussi attendre dun fournisseur, lorsquil livre une
box un nouvel abonn, accompagne dun livret commercial, quil lavertisse non
seulement des possibilits que cet abonnement va lui procurer, mais galement des risques
gnrs par Internet. On pourrait attendre dun site de petites annonces quil avertisse tout
acheteur potentiel, au moment prcis o il consulte une annonce, des modes opratoires
correspondant au bien ou au service quil convoite, la prvention ntant jamais aussi efficace
que quand elle est contextuelle...
En la matire, la bonne volont ne suffit pas car elle est trop souvent
borne, sous couvert de linvocation des liberts fondamentales, par la priorit donne
aux intrts conomiques, raison de lhtrognit des engagements constate dans
ce secteur. Aussi, la prvention doit-elle rsulter galement dobligations mises la charge des
prestataires, telle, par exemple, pour les sites de vente distance, celle consistant faire
figurer au regard de lannonce ladresse IP de lannonceur ou du moins linformation selon
laquelle elle est situe en France, en Europe ou ltranger (dispositif contournable par les
escrocs, mais les obligeant avoir des complicits en France).
Mais les prestataires techniques sont loin dtre les seuls professionnels
concerns, comme lillustrent, par exemple, les rticences des marchands en ligne scuriser
davantage les modes de paiement destins prvenir les fraudes la carte bancaire malgr
lintrt que prsente ce dispositif, ou encore les rticences de nombre dorganismes bancaires
faire de la publicit concernant ce dernier .
106
110
Au regard des professionnels concerns, lexigence de prvention devrait
tre adosse sur un principe de responsabilit pcuniaire en cas dincident.
Sagissant enfin des entreprises industrielles dune certaine importance,
elles devraient tre soumises lobligation de se doter dun plan de prvention numrique,
tant en terme de scurit technique que de comportement interne, qui devrait tre valid par
des instances professionnelles adquates.
Mais il ne faut pas non plus oublier que, par del la dlinquance organise,
linternaute peut tre aussi auteur volontaire dinfractions, quil sagisse dinfractions aux
droits dauteurs (piratage, tlchargement illicite, etc.), de lacquisition de contrefaons, de
harclement, de la diffusion de fausses nouvelles, dincitation la haine, etc. Nombre
dinfractions pourraient tre prvenues si certains internautes ntaient pas dsinhibs par un
double sentiment : lignorance des limites poses par la loi, puisque tout serait permis sur
Internet, du moins lorsquil sagit de caus un prjudice autrui ; la croyance en leur impunit
et donc en leur irresponsabilit. Les internautes et pas seulement les plus jeunes doivent
tre informs des consquences de leurs actes, parfois dramatiques, des limites poses par
la loi commune, des peines encourues et des sanctions prononces.
A ce titre, la Justice doit tre aussi acteur de prvention. Les rponses
judiciaires doivent encore davantage prendre en compte ce ncessaire volet pdagogique,
comme le ministre public le fait dj dans bien dautres domaines, par exemple avec les
stages de citoyennet, qui pourraient tre utilement adapts la citoyennet numrique,
surtout lorsquil sagit de jeunes.
Une synergie doit tre aussi recherche entre les acteurs de la justice et les mdias afin que
les incidences sur les victimes et les condamnations rsonnent au-del de lenceinte des
chambres correctionnelles. Pour que les dcisions de justice aient valeur pdagogique, elles
doivent tre commentes dans la presse. Afin de toucher au mieux le public concern, lidal
est de faire relayer cette information par les rseaux utiliss pour commettre les infractions,
linstar dexprimentations dj mises en uvre par la plate-forme PHAROS avec le forum
franais jeuxvideo.com .
22.- Prvenir la commission des infractions
Linformation, la sensibilisation des internautes ne suffit pas, car les modes
opratoires sont sans cesse renouvels. Ainsi lhameonnage (phishing) revt chaque anne
de nouveaux aspects, sadaptant lactualit et lapparition de nouveaux services mis la
disposition des internautes. Les escrocs renouvellent leurs modes opratoires, de plus en plus
agressifs (chantage la vido intime) ou techniques (blocage des ordinateurs par laffichage dune
page officielle rclamant le paiement dune amende)...
La mobilisation de la recherche et de lindustrie, franaise ou europenne,
sur la conception de logiciels, de scurit ou autres, susceptibles de prvenir, voire de mieux
rpondre ce savoir-faire technologique de la dlinquance organise est dsormais reconnue
comme une ncessit ; encore faut-il crer aujourdhui une interface entre, dune part, les
services spcialiss de police judiciaire ou des administrations comptentes et, dautre part,
ces partenaires du priv, pour faire remonter les diagnostics et les besoins.
111
L encore, les professionnels de lInternet ont les moyens techniques, et
parfois lobligation, de participer la prvention de la commission dinfractions, ou, tout le
moins, den limiter la porte.
La prvention spciale attendue de leur part commande dabord, comme le
prconise le Contrleur europen, une scurisation par dfaut dun certain nombre daccs
informatiques (anti-spam, anti-cookies, filtrages).
Ils peuvent aussi, linitiative ou sur limpulsion des pouvoirs publics, bloquer
certains flux informatiques ou supprimer les outils utiliss pour commettre des infractions (cf.,
sur ce point, les dveloppements ultrieurs).

Ces actions stratgiques reposent, pour une bonne part, sur le signalement des
contenus illicites et reposent tous sur une exigence : faire de linternaute un acteur.
Dores-et-dj, sur le plan partenarial, le Point de Contact, Signal Spam et Phishing Initiative
reoivent des signalements en nombre ; sy ajoutent les formulaires de signalement propres
aux fournisseurs daccs qui ne sont pas membres de lAssociation des fournisseurs daccs (AFA).
Cest aussi le cas pour les pouvoirs publics, avec le site officiel de signalement du Gouvernement
(www.internet-signalement.gouv.fr), le Centre de Surveillance du Commerce Electronique (D.G.C.C.R.F),
le point dentre ouvert par la brigade spcialise de la Prfecture de police (la B.E.F.T.I.) et
surtout la plate-forme PHAROS (qui est passe de 1000 signalements par semaine en 2009 plus
de 2500 en 2013). Il faut encore y ajouter les dispositifs spcifiques mis en oeuvre par des
autorits administratives, indpendantes ou non.

Cependant, linternaute devrait tre encourag dans sa dmarche par des
retours dinformation plus systmatiques afin dtre pleinement convaincu de lintrt de tels
signalements citoyens.
Surtout, aprs la phase des pionniers, il faut maintenant rationaliser les points
dentre de linformation, dont le nombre et la redondance nuisent la lisibilit en donnant au
public le sentiment dactions parcellaires et disperses. Il faut aujourdhui en finir avec de tels
cloisonnements, nuisibles au but recherch et inintelligibles pour la grande masse des
internautes, les moins informs, en dfinissant, comme cest parfois dj le cas ltranger,
un point dentre unique ddi au signalement relatif la cybercriminalit. Cette mise en
cohrence ne pourra se faire que sous limpulsion de lEtat mais dans un esprit de confiance,
associant lensemble des partenaires publics comme privs.
112
Recommandation n/ 3
relative la prvention de la cybercriminalit
1- Impliquer davantage lEtat en terme dimpulsion, de synergie, de dfinition
des objectifs, de pilotage long terme dans la politique de prvention de la
cybercriminalit prise au sens large par
-des campagnes de sensibilisation destines au grand public, sur la
protection des donnes notamment sur les mobiles ou la vigilance contre les
escroqueries
-lorganisation de campagnes-relais en direction de publics plus spcifiques,
en mobilisant, voire en organisant des ples de comptence
-la cration dun 17 de lInternet ouvert au grand public
-la ralisation systmatique dtudes de risque prcdant toute nouvelle
ouverture de service dans les domaines rglements.
2- Faire de linternaute le premier acteur de sa propre scurit et de la lutte
contre les propos, images et comportements illgaux par
-lducation au numrique lcole comme en mobilisant les professionnels
qui oprent dans les 5000 espaces publics numriques et assurent dj un
important effort de formation
-le dveloppement despaces dinformation en ligne ou par tlphone
- lharmonisation et la gnralisation des diffrents supports prventifs utiliss
dans le cadre public
- la mise en ligne dun moteur de recherche facilitant la dtection de sites, de
socits ou de spams associs des cyber-infractions
-la rationalisation des points daccs pour les signalements aux fins dune
meilleure visibilit
-la cration dun 17 de lInternet
-une meilleure association des structures daide aux victimes ou de
consommateurs.
3- Mobiliser les professionnels en
-assurant une meilleure cohrence des actions de sensibilisation
-instaurant un cahier des charges pour les tablissements, publics ou privs,
offrant laccs Internet - en arrtant contractuellement ou en dfinissant en
tant que de besoin les obligations prventives respecter par le commerce
en ligne, les oprateurs - notamment les fournisseurs daccs mais aussi les
plates-formes de tlchargement -, les vendeurs dappareils numriques,
sous peine dune mise en cause financire
-prconisant, pour les grandes entreprises, la ralisation dun plan de
prvention numrique,
-incitant la cration de CERT et en mobilisant les correspondants rgionaux
spcialiss dans lintelligence conomique pour rpondre aux attentes des
petites et moyennes entreprises.
4- Mobiliser enfin la recherche et lindustrie franaises et europennes pour
la dtermination de rponses techniques et technologiques appropries.

,,,,,,
le constat est d'ailleurs gnral au plan europen (cf., sur ce point, les prises de position des
107
Conseils consultatifs des juges et des procureurs, et les manuels de formation spcifiques labors par le
Conseil de l'Europe et le Rseau de Lisbonne en 2009).
113
II.3.- Une exigence : la formation des
acteurs

A l'effort de sensibilisation et de mobilisation massive, auquel le groupe de travail
appelle, doit s'ajouter une prparation des acteurs tatiques la prise en charge de la lutte
contre la cybercriminalit.
Il est en effet erron de prtendre que cette dlinquance est une
dlinquance comme une autre car, mme si elle concerne de nombreux contentieux,
lapprhension de ses manifestations et modes opratoires spcifiques comme des acteurs et
partenaires constitue un pralable une action efficace, en particulier pour les infractions
strictement informatiques et les affaires complexes ou d'envergure, comme lont bien compris
les institutions europennes. De plus, le manque de ractivit est souvent la consquence dun
manque de savoir-faire et de matrise.
En ce sens, la formation concerne, certes, avant tout, les acteurs rpressifs
(policiers, gendarmes, douaniers, autres agents de l'tat, magistrats), mais aussi l'ensemble des
intervenants en prise directe avec les internautes, que ce soit au sein des entreprises,
collectivits locales ou tablissements publics, ou dans les sites d'accs (grants de cyber-cafs,
administrateurs de bornes wifi ..).
Sagissant des services rpressifs - sur lesquels le groupe interministriel s'est
volontairement focalis -, le groupe interministriel entend d'abord insister sur le fait qu'une
telle formation intresse, tout autant, les magistrats que les enquteurs. De nombreux
acteurs auditionns durant les travaux ont d'ailleurs soulign la ncessit daccentuer leur
formation. Or, actuellement, les magistrats sont ingalement forms puisque la formation
existante repose sur le volontariat. Cette absence de formation et donc de spcialisation au
niveau pnal conduit un traitement trs ingal des procdures lies la cybercriminalit,
faute de bien saisir le fonctionnement des technologies de l'information et de la communication,
de savoir manier aisment les preuves numriques et de pouvoir travailler en rseau .
107
L'observation vaut aussi pour les juges civils, notamment ceux spcialiss en matire de
proprit intellectuelle.

Il importe, de manire plus gnrale, de ne pas se limiter la formation de
spcialistes, qui a constitu historiquement la priorit du moins pour le ministre de l'Intrieur,
mais de bien apprhender dsormais lensemble des besoins des services dinvestigation et
des juridictions dans ce domaine.
Il convient, pour cela, de dfinir des niveaux de formation dans une
perspective inter-services voire europenne, afin d'amliorer la lisibilit du dispositif en place
mais galement l'efficacit de la prise en charge des plaintes, tout en s'offrant des opportunits
de mutualisation de moyens de formation.
114
Il est opportun, cet gard, de faire rfrence la dmarche entreprise par le
groupe de travail europen ECTEG (European Cybercrime Training and Education Group) pour
promouvoir le dveloppement des capacits de lutte contre la cybercriminalit et harmoniser
les rfrentiels des mtiers et qualifications. Son action vise notamment favoriser des
dmarches de formation commune entre les services rpressifs et amliorer la coopration
internationale, en particulier avec les organisations internationales.
European Cybercrime Training and Education Group (ECTEG)
N des projets Flacon et Agis et renomm ECTEG en 2009, ce projet est compos de
reprsentants de services enquteurs des pays membres, d'organisations internationales,
d'universits et d'industriels.
Il vise, avec le soutien d'EUROPOL et en lien avec le CEPOL (Collge europen de police),
:
.encourager les initiatives nationales et internationales visant harmoniser
les formations la lutte contre la cybercriminalit,
.partager les connaissances et les expertises dans ce domaine de formation,
.promouvoir une standardisation des mthodes et des procdures dans les programmes de
formation et une coopration avec les autres organisations internationales,
.collaborer avec des partenaires acadmiques pour mettre en place des formations
diplmantes reconnues au plan international,
.collaborer avec des partenaires industriels pour les associer aux processus de formation,
mettre disposition des supports de formation destination des services enquteurs.
Par-del ces travaux europens, une premire clarification des niveaux de
formation s'impose au niveau national afin de pouvoir identifier les priorits d'action conduire.
Trois niveaux devraient tre envisags, dont les contenus seraient adapts
aux diffrents types d'acteur (enquteur, magistrat) :
9 niveau 1 : sensibilisation de tous les acteurs rpressifs la
cybercriminalit,
9 niveau 2 : formation d'acteurs rfrents cybercriminalit , ayant
vocation tre rpartis aux sein des services territoriaux non spcialiss
dans la lutte contre la cybercriminalit,
9 niveau 3 : formation d'acteurs spcialistes cybercriminalit pour les
services et juridictions ayant une comptence spcifique dans ce
domaine.
En outre, des comptences dpassant le niveau 3 renverraient des niveaux
d'expertise concernant des services hautement spcialiss, le plus souvent centraliss, pour
lesquels l'accs des formations spcifiques et parfois coteuses est ncessaire (formations
diplmantes en universit ou cole d'ingnieur ou ponctuellement formations qualifiantes dlivres par
des formateurs externes).
Les dispositifs actuels se focalisent sur le seul niveau 3, et
essentiellement, le concernant, sur la seule formation initiale, alors mme que la
formation continue est indispensable en cette matire.
*****
Contenu : dfinition de la cybercriminalit, visages de la cybercriminalit, dispositifs et acteurs de la
108
lutte contre la cybercriminalit, arsenal juridique, recevoir une plainte, identifier et requrir des services et
prestataires, recherche en sources ouvertes, participer une perquisition en environnement numrique, activits
d'auto-valuation.
115
1.- La sensibilisation de tous les acteurs rpressifs (niveau 1)
Un existant inexistant
A l'heure actuelle, aucune action obligatoire de sensibilisation la
cybercriminalit n'est inscrite au programme des coles de formation initiale de la police, de
la gendarmerie, de la douane et de la magistrature.
Seule l'Ecole nationale de la magistrature (E.N.M.) avait propos il y a deux ans
un colloque exceptionnel sur ce sujet.
L'insertion obligatoire dans les formations pralables d'une action de
sensibilisation la cybercriminalit pourrait prendre diffrentes formes : cours magistraux,
enseignement distance, sminaire ... selon les possibilits offertes dans chacune des coles.
Il pourrait galement tre imagin, s'agissant d'une sensibilisation gnrale, la mise
disposition d'un support de formation commun ces diffrentes coles.
Des initiatives encourageantes
C'est le sens de la dmarche entreprise par le Centre expert contre la cybercriminalit
franais (CECyF), dont la cration est effective depuis janvier 2014 et qui s'inscrit dans le rseau
europen n du projet 2CENTRE (cf. les dveloppements en 4 sur le partenariat public-priv).
Parmi les partenaires franais ce projet, la gendarmerie, la police et l'universit de
technologie de Troyes (UTT) ont en effet ralis la premire version d'un support de sensibilisation la
cybercriminalit, sous la forme d'un ensemble de modules d'enseignement distance (EAD), dont la
spcification avait t ralise lors des travaux du groupe MITICOM en 2010.
Ce support en ligne , dsormais finalis, sera mis la disposition de tous les acteurs
108
rpressifs. Il sera notamment propos l'ensemble des gendarmes sur leur plate-forme de formation
distance ds janvier 2014. Son suivi pour les lves des coles d'officiers et de sous-officiers ou pour les
candidats la formation de niveau 2 (acteur rfrent) sera rendu obligatoire.
En vue de lintgration dun module cybercriminalit lors de la formation initiale des
policiers, une mallette pdagogique est aussi en cours de conception en liaison avec la Direction des
Ressources et des Comptences de la Police Nationale (D.R.C.P.N.).

La Direction gnrale de la Police national dveloppe actuellement une plateforme de
formation distancielle (e-learning), ddie la cybercriminalit, s'appuyant sur l'expertise de la D.R.C.P.N.
pour l'ergonomie et l'intgration pdagogique des contenus d'apprentissage qui eux sont fournis par le
ple de formation de l'O.C.L.C.T.I.C. La plateforme intgre galement des classes virtuelles permettant
de dispenser des cours thoriques distance, en direct avec un formateur de l'Office.
La plateforme en cours de cration respecte les recommandations du programme
europen et offre plusieurs niveaux d'apprentissage, allant de la prise de conscience du phnomne
(niveau 1, prrequis), aux connaissances et savoir-faire relatifs aux premiers actes juridiques et
techniques (niveau2, premier intervenant), pour en dfinitive s'axer sur la spcialit d'investigateur
cybercriminalit (niveau 3, ICC).
contenu intgrant notamment le module "sensibilisation la cybercriminalit" du Centre expert
109
franais contre la cybercriminalit : dfinition de la cybercriminalit, visages de la cybercriminalit, dispositifs et
acteurs de la lutte contre la cybercriminalit, arsenal juridique, recevoir une plainte ou orienter le public,
identifier et requrir des services et prestataires, recherche en sources ouvertes, droulement d'une perquisition
en environnement numrique, connaissances techniques basiques et minimales pour apprhender le phnomne
(l'ordinateur, les supports de stockage numrique, le rseau internet, l'email, les rseaux sociaux...), ressources
documentaires professionnelles (guides), activits d'auto-valuation et examen.

116
L'volutivit et la modularit de la plateforme offrent une grande souplesse, permettant
ainsi d'envisager dans le futur des tapes suprieures et complmentaires d'apprentissage, notamment
aprs validation de la certification ICC (quivalent un niveau Bac +3/4). En effet, il est envisageable, en
s'appuyant sur le partenariat existant avec l'cole d'ingnierie informatique EPITA, que la plateforme
puisse permettre l'lvation des comptences des ICC tendant vers l'expertise (niveau 4, ingnieur).
Les contenus de formation dvelopps par les partenaires acadmiques et industriels
du programme europen sont parfaitement intgrables la plateforme de la D.G.P.N.. Ces contenus sont
d'ordre trs technique et intgrables en majorit partir du niveau 3 de formation (ICC et ICC certifis).
Ce support de formation initiale en ligne la cybercriminalit sera disponible au terme
109
du 1er semestre 2014 et mis la disposition de tous les acteurs rpressifs de la D.G.P.N., notamment
au sein des coles de formation des mtiers de la Police Nationale et constituera une mallette
pdagogique. Cette formation de niveau 1 suscitera des vocations aux mtiers de l'investigation
numrique pratiqus en niveau 2 et 3. L'valuation des forms au niveau 1 permettra de dgager un vivier
et des aptitudes la poursuite du cursus.
L'apprentissage distance ne remplacera toutefois pas la transmission des comptences
et savoir-faire d'un formateur en enseignement direct ; c'est pour cette raison que la formation
pragmatique dveloppe par la D.G.P.N. intgrera un temps d'apprentissage ddi la pratique et la
mise en situation.

2.- La formation des rfrents cybercriminalit (niveau 2)
Un objectif de niveau intermdiaire qui fait consensus ...
La notion de rfrents cybercriminalit revt diffrentes formes selon les
mtiers. Il s'agit toutefois principalement de personnes rparties au sein des services
territoriaux non spcialiss dans la lutte contre la cybercriminalit et en charge des
investigations dans ce domaine qui n'appellent pas une haute spcialisation.
Pour les magistrats, ce modle est appliqu dans les ressorts des cours d'appel de Paris
et de Versailles o un magistrat rfrent en matire de cybercriminalit est dsign. Il est
l'interlocuteur privilgi de ses collgues, des services d'enqute mais galement des acteurs de
l'Internet. Il assure un rle d'appui technique, de suivi, de coordination et de veille juridique des
procdures diligentes dans ce domaine et peut, dans certains parquets, assurer la centralisation du
traitement des procdures d'atteintes aux traitements automatiss de donnes.
En dehors de ces ressorts, les procdures relatives la cybercriminalit sont
gnralement traits dans les services de droit commun (mineurs, stupfiants, presse, conomiques et
financiers pour les fraudes et infractions relatives aux STAD), voire, pour les juridictions de plus petite
taille, par les services de traitement en temps rel.
Les services d'investigation ont, quant eux, des pratiques disparates mais convergentes
en matire d'enquteurs rfrents. Ces enquteurs doivent tre en mesure d'identifier et de comprendre
117
la problmatique de la cybercriminalit et d'apporter un premier niveau de rponse tant dans la prise de
plainte, que dans des actes lmentaires d'enqutes (rquisitions), mais galement dans l'intervention
sur des scnes de crime numriques (identification des traces et indices numriques, mesures
conservatoires en vue du recueil de la preuve, et certaines actes techniques simples). L'objectif commun
poursuivi consiste principalement fournir un service rapide, efficace, fiable, pertinent, et fond sur la
disponibilit quotidienne auprs des enquteurs et ce pour rpondre aux besoins de support technique
croissant. En effet, actuellement il est rare qu'une enqute, qu'une perquisition ou une rquisition n'ait pas
un lien direct ou indirect avec les technologies de l'information et de la communication : elle ncessite
alors un appui technique bas sur des connaissances et savoir-faire spcifiques au recueil de la preuve
numrique. Il est donc capital que le nombre de premiers intervenants soit plus important que le nombre
des spcialistes de niveau 3.
La gendarmerie et la prfecture de police de Paris dispose d'ores et dj de ce niveau
de qualification. La police nationale s'engagera sur cette voie en 2014.
2 La gendarmerie nationale a cr en 2008 ce niveau, appel C-NTECH (correspondant
en technologies numriques), qui s'inscrit dans son dispositif global de lutte contre la cybercriminalit.
Elle dispose aujourd'hui d'un millier de C-NTECH rpartis dans les brigades de recherches, les brigades
territoriales autonomes et les communauts de brigades. Dans chaque dpartement, les enquteurs
NTECH (spcialistes cybercriminalit du niveau 3) des brigades dpartementale de renseignements
et d'investigations judiciaires (B.D.R.I.J.) sont chargs d'animer le rseau des C-NTECH.
Missions des C-NTECH
(cf. circulaire n/ 16000/DEF/GEND/OE/SDPJ/PJ du 16 fvrier 2008)
.recevoir, aprs entente avec les victimes, les plaintes des particuliers et des
entreprises pour les infractions spcifiques (connaissance des phnomnes,
qualification des infractions),
.effectuer les actes techniques simples grce aux outils mis leur disposition et
selon les mthodes prconises (perquisitions, mesures conservatoires, examens
simples),
.enquter sur les infractions spcifiques, pour lesquelles il reoivent
systmatiquement l'assistance d'un enquteur NTECH (rquisitions, investigations
simples).

2 La prfecture de police de Paris poursuit la mme logique et a confi la brigade
d'enqute sur les fraudes aux technologies de l'information (B.E.F.T.I.) la charge de former de tels
rfrents au sein de la direction de la scurit publique de l'agglomration parisienne (D.S.P.A.P.) et de
la direction rgionale de la police judiciaire (D.R.P.J.), dans le but d'apporter une rponse active aux
victimes et de procder aux investigations simples. Toutefois, les personnels ainsi forms - au nombre
de 263, dont 117 la dernire anne de rfrence - ne relvent pas d'un rseau structur.
2 La police nationale s'engage aussi dans le mme processus, par la mise en place d'une
qualification de premier intervenant en cybercriminalit, intgrant les connaissances du niveau 1,
mais surtout disposant de comptences et d'un rel savoir-faire technique dans l'intrt du recueil de la
preuve.
En effet, le premier intervenant au-del de ses connaissances thoriques sera en mesure d'intervenir sur
des scnes de crime numrique (perquisitions) en sachant identifier les traces et indices lectroniques
volatiles ou stocks sur des supports physiques et surtout en sachant prendre les mesures conservatoires
(copies, saisies et scells) adaptes et garantissant la scurit, l'intgrit et l'inviolabilit des preuves
numrique recueillies. Ainsi, son intervention technique se limitera la copie de la mmoire vive d'un
ordinateur allum et la duplication d'un disque dur d'un ordinateur teint ou de tous autres supports
informatiques, l'aide d'une mthodologie et d'outils assurant la validit et la recevabilit des preuves
collectes.
Le dploiement des premiers intervenants devrait se faire un rythme de 144 spcialistes par an. Sur
les 5 ans venir, le nombre des premiers intervenants en fonction devrait atteindre 720, soit 2 fois plus
que le nombre de spcialistes de niveau 3 actuellement en service. Les directions inter-rgionales et les
services rgionaux de police judiciaire, ainsi que les directions dpartementales de scurit publique et
Contenu : informatique (notions de base, micro-ordinateur et supports), enqute (introduction
110
juridique, perquisition chez un particulier, escroqueries sur Internet, recherches en sources ouvertes,
contrefaon de cartes bancaires), GSM (tlphone mobile, analyse de cartes SIM),
118
les commissariats, enfin les directions zonales de la Police de l'Air et des Fontires seront les services
principalement concerns par ce dploiement
Quant aux agents techniques de laboratoire rgionaux ou locaux de la police technique et scientifique
(SRITT et SLITT), ils sont forms l'investigation numrique dans le cadre de leur cursus propre, mais
ils pourront, au cours de leur formation initiale, avoir accs aux contenus de la plateforme, minima au
niveau 1 de celle-ci, puis aux niveaux 2 et 3 aprs valuation et slection.
Missions des futurs Premiers Intervenants de la Police Nationale
*identifier et qualifier des infractions de cybercriminalit,
*recevoir, aprs entente avec les victimes, les plaintes des particuliers et des
entreprises pour les infractions spcifiques,
*identifier et savoir extraire les premiers lments numriques dans une enqute
*conseiller et assister les OPJ lors de leurs enqutes lorsque qu'ils sont confronts
des problmatiques d'identifications sur les rseaux de tlcommunications ou qu'ils
ont besoin de saisir un ICC
*effectuer les rquisitions d'identifications numriques,
*effectuer les actes techniques simples de collecte et prservation de preuve
numrique grce aux outils mis leur disposition, et selon les mthodes prconises,
*rendre un rapport dtaills et circonstancier de son intervention toutes fins utiles
pour un ICC charg ultrieurement d'une analyse des preuves collectes,
*enquter sur les infractions simples de cybercriminalit,
*participer et alimenter de ses expriences le rseau social d'change professionnel
des ICC.


mais qui appelle une structuration de l'offre de formation
La formation du niveau rfrent est peu structure et s'appuie principalement
sur des stages de formation continue.
C'est ainsi que, pour les magistrats, diffrentes formations annuelles sont proposes
dans le catalogue des stages de l'E.N.M.. Il s'agit de modules de formation continue, sur la base du
volontariat. Elles ne rentrent dans aucun cursus obligatoire.
Un stage sur la cybercriminalit, ouvert aux magistrats (62 et 87 magistrats en ont bnfici les deux
dernires annes), mais aussi aux greffiers, aux policiers, aux gendarmes et aux douaniers, et d'une
dure d'une semaine, est ainsi propos.
Par ailleurs un stage de mme dure est organise l'attention des magistrats (8 et 10 d'entre eux en
ont bnfici les deux dernires annes) par l'O.C.L.C.T.I.C.
Enfin, progressivement, lE.N.M. introduit la dimension cybercriminalit dans des sessions sur des
thmatiques diverses comme par exemple la criminalit organise, les violences sexuelles sur mineurs,
le droit pnal conomique et financier, le racisme ou la coopration pnale internationale.
La conception est diffrente pour les services enquteurs puisque la formation continue
se fait au plus prs des services et units. Elle n'existe toutefois, en l'tat, qu'au niveau de la gendarmerie
et de la prfecture de police.
S'agissant de la Gendarmerie, la formation des C-NTECH est dispense au niveau des
rgions et durant une dure de 3 jours .
110
tlphonie (rquisitions aux oprateurs de tlphonie, interprtation des rsultats), rseaux (Internet,
investigations sur Internet, rquisitions aux oprateurs Internet), exercices d'analyse de carte SIM, de
perquisition et de synthse.
Contenu : introduction aux rseaux et l'Internet, droit et scurit juridique, aspects techniques de la
111
scurit des systmes d'information et de la cybercriminalit, aspects juridiques et conomiques de la scurit
des systmes d'information, cybercriminalit : dispositifs juridiques et enjeux conomiques et sociaux,
informatique lgale (techniques d'investigation et de criminalistique numriques).
119
En ce qui concerne la Prfecture de police, la formation d'une journe est assure dans
le cadre de 20 sessions annuelles ; elle est diffrente selon la fonction assure par l'enquteur .
Globalement, l'offre est ainsi assez disparate tant dans les objectifs que dans les
contenus.
Concernant les enquteurs, un rfrentiel commun de comptences pour les rfrents
cybercriminalit pourrait tre tabli, charge pour les organisations de dlivrer les formations de la
manire la plus adapte leur structure.
Concernant les magistrats et les chefs de services d'investigation dont une des
composantes est ddie la lutte contre la cybercriminalit, le principe de formation commune, l'instar
de la session organise par l'ENM, doit tre conserv voire accentu.
Enfin, l'offre se concentre aujourd'hui sur des modules initiaux. Elle devra tre complte
par des modules additionnels permettant une actualisation des connaissances, compte tenu de l'volution
permanente de la cybercriminalit et du droit attach cette matire.

3.- La formation des spcialistes cybercriminalit (niveau 3)
La formation des enquteurs spcialistes cybercriminalit a fait l'objet
d'efforts importants au sein de la police et de la gendarmerie depuis de nombreuses annes;
elle est d'ailleurs directement lie l'effort de spcialisation mis en oeuvre sur le territoire. Elle
s'avre, en revanche, inexistante au plan institutionnel en ce qui concerne la magistrature, qui
ne dispose pas, en l'tat, de services spcialiss, mme si, titre individuel, certains magistrats
ont suivi des formations universitaires qualifiantes dans le cadre de leur formation continue
(notamment le diplme universitaire Cybercriminalit : droit, scurit de l'information et informatique
lgale de l'universit de Montpellier (UM1), dlivr la suite d'une formation de 98 heures : 2 magistrats
ont suivi cette formation en 2012, 4 en 2013 ).
111
Afin d'accompagner la cration de ples juridictionnels plus spcialiss (cf. les
recommandations relatives l'organisation), il sera ncessaire d'assurer une formation de niveau
3 destination des magistrats en charge de ce contentieux. Il ne s'agit aucunement d'envisager
une formation techniquement lourde l'instar de celle des enquteurs spcialiss (voir ce qui
suit) mais elle pourrait prendre la forme d'un module complmentaire celui s'adressant aux
magistrats rfrents (cf. plus haut), d'une dure de quelques jours, afin d'approfondir, par
exemple en collaboration avec l'universit prcite, les questions de cyberscurit (cadre
juridiques, obligations des acteurs, dispositif tatique), l'organisation et le management des systmes
d'information des entreprises Cette formation pourrait s'adresser galement aux chefs de
services d'investigation ou de composantes de services d'investigation exclusivement ddis
la lutte contre la cybercriminalit.
120
Institutionnalise depuis plusieurs annes et lie une qualification reconnue
en interne et au regard du code de procdure pnale (art. D.7 du C.P.P.), la formation des
enquteurs concerne :
2les enquteurs en technologies numriques (NTECH) de la gendarmerie
nationale, institus en 2001 et au nombre de 260 actuellement.
Missions des NTECH
(cf. circulaire n/ 16000/DEF/GEND/OE/SDPJ/PJ du 16 fvrier 2008)
Elles diffrent selon l'unit d'affectation :
9 l'institut de recherches criminelles de la gendarmerie nationale :
.raliser des expertises et des examens techniques complexes (ou ncessitant
l'utilisation d'outils de laboratoire), la demande de l'autorit judiciaire ou des
enquteurs, en se dplaant au besoin sur le terrain, en matire d'extraction de
donnes partir de supports lectroniques, magntiques ou optiques et d'analyse de
systmes et rseaux,
.animer la veille technologique et mener des actions internes ou externalises de
recherche et de dveloppement,
.participer la formation des NTECH (laboration des programmes et des supports,
enseignement, valuation, stages ad-hoc) ou d'homologues trangers,
.participer la dfinition des besoins pour l'quipement des NTECH,
.dfinir ou valider les procdures techniques mettre en uvre par les NTECH et
rdiger la documentation criminalistique associe.
9 le service technique de recherches judiciaires et de documentation :
.surveiller, principalement de manire pro-active, les diffrents espaces de l'Internet
en vue de dtecter et caractriser les infractions : infractions spcifiques (notamment
celles lies l'emploi de botnets ou de malwares), infractions de contenu (notamment
la pdopornographie) et infractions de droit commun (notamment les autres atteintes
aux mineurs et l'conomie souterraine). Cette surveillance peut prendre la forme
d'enqutes sous pseudonyme,
.coordonner les enqutes sous pseudonyme des units territoriales de la
gendarmerie,
.diriger des enqutes ou appuyer les offices centraux de la gendarmerie et les units
territoriales en ayant la direction,
.diriger des oprations prsentant une particulire envergure, gravit ou sensibilit,
.administrer la base nationale des contenus pdopornographiques issus des
enqutes de police et de gendarmerie (identification des victimes et auteurs), en lien
avec INTERPOL et les homologues trangers,
.proposer un guichet unique tlphonie et Internet (GUTI) assurant l'interface entre
les oprateurs et les enquteurs de la gendarmerie et le lien avec la plateforme
nationale des interceptions judiciaires,
.animer la veille technologique et mener des actions internes ou externalises de
recherche et de dveloppement,
.participer la formation des NTECH et des enquteurs sous pseudonyme
(laboration des programmes et des supports, enseignement, valuation, stages ad-
hoc), ou d'homologues trangers,
.participer la dfinition des besoins pour l'quipement des NTECH,
.dfinir ou valider les procdures mettre en uvre par les enquteurs sous
pseudonyme et rdiger la documentation associe.
Contenu : cadre et procdure (46h), technologies et architectures numriques (51h), systmes
112
d'exploitation (60h), Internet et rseaux (55h), recherche d'information (61h), outils forensiques pour
informatique et tlphonie (88h), scurit des systmes d'information (16h),
partenaires industriels (12h), ouverture et soutien (8h), anglais (74h), travaux en tutorat (160h), mmoire
technique (150h).
121
9 les offices centraux de la gendarmerie :
.assister techniquement les enquteurs de leur office,
.participer aux investigations relatives aux infractions NTECH non spcifiques traites par
leur office ou les diriger,
.assurer, dans le cadre d'une enqute judiciaire donne, une surveillance cible de l'Internet
(infractions relevant de l'office), voire une surveillance d'initiative (si ncessaire et si possible,
en enqutant sous pseudonyme), voire une surveillance d'initiative (si ncessaire en enqutant
sous pseudonyme),
.tre en contact privilgi avec l'ensemble des enquteurs NTECH des BDRIJ de leur zone
de comptence.
9 les sections de recherches (SR) :
.assister techniquement les enquteurs de leur unit et, ponctuellement, des autres units de
leur zone de comptence,
.participer aux investigations relatives aux infractions spcifiques NTECH traites par leur
unit ou les diriger,
.assurer , dans le cadre d'une enqute judiciaire donne, une surveillance cible de l'Internet,
9 les brigades dpartementales de renseignements et d'investigations judiciaires (B.D.R.I.J.):
.animer le renseignement judiciaire sur l'ensemble des infractions lies aux technologies
numriques,
.assister les units de leur dpartement pour la ralisation d'actes d'enqute ou l'examen des
lments de preuves numriques ncessitant une comptence technique ou des outils
particuliers,
.assurer , dans le cadre d'une enqute judiciaire donne, une surveillance cible de l'Internet,
voire une surveillance d'initiative,
.assister systmatiquement les C-NTECH pour toute enqute portant sur une infraction
spcifique,
.animer le rseau des C-NTECH de leur dpartement.
La formation des NTECH est assure par la Gendarmerie en liaison avec l'Universit de
technologie de Troyes, dans le cadre de la formation continue. D'une dure de 14 mois,
alternant scolarit et tutorat, chaque session accueille 16 24 stagiaires et se conclut
par la validation d'une licence professionnelle .
112
2les investigateurs en cybercriminalit (ICC) de la police nationale, institus
en 2005, date laquelle ils se sont substitus aux enquteurs spcialiss en
criminalit informatique (ESCI) existant depuis 1999, et au nombre de 366
actuellement.
Contenu : la cybercriminalit et les acteurs de la lutte (2 h), notions gnrales et lmentaires :
113
l'ordinateur, les systmes de fichiers, les supports numriques (16h), procdure et arsenal juridique franais en
matire de cybercriminalit (6h), les rseaux (24h), le traitement des gros volumes de donnes, bases de donnes
(24h), Linux (24h), distributions Live CD forensics Macintosh et produits Apple (24h),sensibilisation la
cyberpatrouille, plateforme de signalements, interceptions, groupes d'enqutes OCLCTIC (24h), X-Ways
Forensics et outils forensics, copies et exploitations de supports numriques, recouvrement de la preuve
numrique (48h).
122
Missions des ICC
9 l'O.C.L.C.T.I.C.
.mener des enqutes de cybercriminalit hautement techniques et lies au crime organis,
ayant un caractre national ou transnational
.assister techniquement les enquteurs du service et galement ceux des autres offices
centraux de la police judiciaire et de la sous-direction anti-terroriste
.participer aux investigations relatives aux infractions spcifiques traites le service,
.participer aux investigations relatives aux infractions spcifiques des autres offices ds lors
qu'il existe un besoin d'investigations numriques et que les ICC de ces services ne sont pas
en mesure de mener ces recherches,
.assurer, dans le cadre d'une enqute judiciaire donne, une surveillance cible de l'Internet,
voire une surveillance d'initiative (si ncessaire en enqutant sous pseudonyme),
.tre en contact privilgi avec l'ensemble des ICC sur le territoire national et le cas chant
leur apporter une assistance technique,
.tre formateur la formation ICC,
.tre formateur auprs de pays sollicitant une coopration axe sur la formation
.tre formateur des magistrats dans le cadre de leur formation continue
.aider la mise en place des interceptions et prochainement la captation de donnes
distance
9 dans les services spcialiss (DCPJ, DCRI, IGPN, BEFTI)
.mener des enqutes de cybercriminalit hautement techniques dans la limite de leur
comptences territoriales. Concernant plus particulirement la DCRI : prendre en compte
attaques cyberntiques visant les oprateurs d'importance vitale.
.assister techniquement les enquteurs de leur service lors de perquisition et d'analyse de la
preuve numrique
.participer aux investigations relatives aux infractions spcifiques traites par leurs services
et apporter conseil et support
9 dans les services territoriaux de l'ensemble des directions (DRPJ, DIPJ, SRPJ, PAF, DDSP,
...)
.recevoir des plaintes et mener les premiers actes d'enqute en matire de cybercriminalit
dans la limite de leurs comptences territoriales,
.participer aux investigations relatives aux infractions spcifiques traites par leurs services,
.assister techniquement, collecter et prserver les preuves numriques lors de perquisitions
et procder des analyses complexes de supports numriques, dans le cadre de leurs
propres dossiers, ou ceux des groupes d'investigations de leurs services,
.conseiller les services d'investigations judiciaires dans les dossiers d'infractions lies ou
facilites par l'utilisation des technologies de l'information et de la communication
.tre l'interlocuteur des partenaires techniques et avoir un rle de facilitateur pour les services
enquteurs et auprs des magistrats locaux entre autres,
Maintenir un lien avec l'OCLCTIC sur le plan du renseignement judiciaire mais aussi sur le
plan technique,

Leur formation, organise par l'O.C.L.C.T.I.C., est assure dans le cadre de 2 sessions
par an, chacune d'une dure de 8 semaines sanctionne par un examen et comprenant
18 20 stagiaires . La certification ICC ouvre droit la reconnaissance d'une
113
certification professionnelle reconnue au RNCP (niveau II, Bac +3/4) l'issue de 3 ans
d'exprience de terrain, et aprs examen d'un mmoire par un jury de 5 experts.

123
La formation de ces spcialistes s'inscrit ainsi dans des cursus de carrire
distincts et comporte des diffrences sensibles en terme de contenu et de niveau diplmant.
Il est loisible de s'interroger sur la raison de l'existence de deux formations aussi distinctes,
mme s'il parat difficile de remettre en cause des spcificits qui s'inscrivent dans des
politiques de formation gnrale et dans des missions distinctes.
A tout le moins, un rfrentiel partag des comptences pourrait tre tabli afin, en particulier,
d'identifier des modules identiques de formation permettant une mutualisation des supports et
des moyens de formation (salle de travaux pratiques, outils d'investigation et forensiques, formateurs).
Il est noter que, ds 2014, la police et la gendarmerie nationales ont pass un march
commun pour l'quipement des ICC et des NTECH, pilot par le service des
technologies et des systmes d'information de la scurit intrieure (STSISI).
De plus, depuis 2008, des formations communes ont t spcifiquement mises en
oeuvre concernant l'enqute sous pseudonyme. D'une dure de 4 jours, elles ont permis
de former une centaine d'enquteurs spcialiss.
*****
Quant aux agents des Douanes et de la Concurrence, de la consommation et
de la rpression des fraudes, le dispositif de formation en vigueur est le suivant :
Les Douanes :
- les agents de Cybderdouane assurent, priodiquement, des actions de
sensibilisation au sein des Douanes, dans le cadre des formation pralable et
continue (niveau 1).
-Depuis 2009, afin de renforcer les comptences techniques des agents, un
rseau spcifique, consacr la cyberdlinquance douanire, a t cr dans
les units de renseignement rgionales douanires par la dsignation d'un
rfrent, principal interlocuteur de Cyberdouane et form par ce dernier (niveau
2).
-S'agissant enfin des fonctionnaires de Cyberdouane, leur niveau d'expertise
rsulte de prestations assures par des intervenants extrieurs ou de
formations organises, sur le plan europen, dans le cadre de l'ECTEG ou du
CEPOL ; au surplus, des passerelles ont t mises en place avec la
Gendarmerie afin de leur permettre de suivre, le cas chant, les formations
des NTECH dispenses par l'universit de Troyes (niveau 3).
La Concurrence, la consommation et la rpression des fraudes
- l'ensemble des formations sont assures par le Centre de surveillance du
commerce lectronique sis Morlaix, dont les agents ont une formation de niveau
3.
- Quant aux autres agents du Service national des enqutes, situs Paris et dans
les 7 antennes interrgionales, ils possdent une formation de niveau 2,
assure par le Centre prcit, et qui est suffisant pour dceler les infractions
aux codes de la consommation ou de commerce sur Internet.
124
Recommandation n/ 4
relative la formation des acteurs pnaux
Eu gard la spcificit de la cybercriminalit, la formation des magistrats,
policiers, gendarmes, douaniers, fonctionnaires des autres administrations
contribuant la lutte contre cette dlinquance rpond une imprieuse
ncessit. A cet gard, il est prconis
1.- au lieu de se limiter la formation de spcialistes, de sensibiliser
l'ensemble des acteurs la cybercriminalit, ses enjeux et aux modes de
traitement existants (civils comme pnaux s'agissant des magistrats), cela ds la
formation initiale et dans les diffrentes coles de formation. Une telle
sensibilisation doit revtir un caractre obligatoire.
2.- A un deuxime niveau, de systmatiser et institutionnaliser la formation de
rfrents dans les diffrents services territoriaux ainsi que dans les juridictions
non spcialises ; s'agissant de la police et de la gendarmerie, un rfrentiel
commun de comptence des rfrents est prconis ; en outre, l'action de ces
rfrents doit s'inscrire dans un rseau structur anim par des spcialistes
de niveau 3.
3.- Au plan des services d'enqute spcialiss, de rapprocher les formations
dispenses par la Police et la Gendarmerie, sous la forme d'un rfrentiel
commun. S'agissant des magistrats affects, soit au plan central, soit au
niveau territorial, dans des services ou juridictions disposant d'une
comptence spcifique dans la lutte contre la cybercriminalit, une formation
plus approfondie doit tre obligatoirement mise en oeuvre ; elle pourrait tre
utilement prolonge par la cration d'un rseau social interne favorisant des
changes inter-actifs ainsi que l'entraide.
4.- A tous les niveaux, d'enrichir la formation continue afin d'assurer, sur la
base du volontariat ou, s'agissant des spcialistes, de manire obligatoire,
l'actualisation des connaissances. Les formations en ligne devraient tre
privilgies cet effet.
Elle devrait, en outre, permettre aux volontaires de poursuivre leur formation
par une qualification de type universitaire.
5.- De manire gnrale, de dvelopper, l'occasion de la formation, les
actions partenariales entre les diffrents coles, ainsi qu'avec les acteurs
privs comptents, afin de favoriser une approche pluridisciplinaire.
6.- A cette fin mais aussi pour dvelopper l'expertise en matire de lutte
contre la cybercriminalit, d'inciter les universits accritre les formations
spcialises en la matire, sur le modle de l'universit de Troyes ou du
diplme universitaire "cybercriminalit : droit, scurit de l'information et informatique
lgale" de l'universit de Montpellier.
,,,,,,
125
II.4.- Une ncessit : le partenariat public-priv

Pour lutter efficacement contre la cybercriminalit, chacun en est convaincu,
lEtat ne peut agir seul, non seulement car il na pas la matrise des outils techniques
concerns, et notamment dInternet, mais aussi parce quil ne possde pas toujours lexpertise
suffisante.
Les enjeux de la lutte contre la cybercriminalit ncessitent donc un dialogue
nourri avec l'ensemble des acteurs concerns et dans certains cas la conduite conjointe
d'actions oprationnelles communes, qu'il s'agisse de l'analyse de la menace, d'change
d'informations, de recherche et de dveloppement, ou encore, comme on la vu, d'actions de
prvention ou mme de formation.
Un tel objectif nest en rien contradictoire avec le souhait dun meilleur
encadrement de certaines prestations prives dont il sera question plus avant.
Sans dvelopper l'ensemble des initiatives de ce type, le prsent chapitre en
prsente un certain nombre qui touchent ce type de partenariats sous diffrentes formes, et
dont certaines ont dj t voques dans les commentaires prcdents sur la prvention, tout
en formulant de nouvelles recommandations.
1.- Dialogue institutionnel
11. L'observatoire de la scurit des cartes de paiement (OSCP)
On l'a dit, l'Observatoire de la scurit des cartes de paiement, cr par la loi
sur la scurit quotidienne de 2001, a t install en 2003. Original par sa composition et son
organisation, il runit dans un cadre institutionnel les pouvoirs publics (dont la Banque de France
qui en assure la prsidence et le secrtariat), les acteurs du monde conomique et social concerns
par la scurit des instruments de paiement, ainsi que des experts nomms au titre de leurs
comptences individuelles.
Il a pour missions (cf. art. L.141-4 et R.141-1 du code montaire et financier)
-de suivre la mise en oeuvre des mesures adoptes par les metteurs
et les commerants pour renforcer la scurit des cartes de paiement
- d'tablir des statistiques en matire de fraude sur la base des
informations que lui adressent les metteurs de cartes de paiement
- d'assurer une veille technologique en la matire, dans le but de
proposer des moyens de lutter contre les atteintes de cette nature la
scurit des cartes de paiement.
Une telle structure permet d'changer dans un espace de confiance (les dbats
sont confidentiels). Trois runions plnires ont lieu chaque anne, dans l'intervalle desquelles
sont runis des groupes de travail (statistiques et veille technologique notamment, ainsi que des
groupes ad hoc comme celui qui suit les difficults de mise en place de 3D Secure). L'OSCP produit un
rapport annuel qui permet d'avoir une base statistique de rfrence sur quasiment l'intgralit
de la fraude aux cartes de paiement en France. Le modle de l'OSCP a t port au niveau
l'AFA regroupe tant des hbergeurs en ligne que des fournisseurs d'accs ou de moteurs de
114
recherche et des plates-formes du web, notamment BOUYGUES TELECOM, GOOGLE France, MICROSOFT,
ORANGE et S.F.I.
En revanche, l'association internationale de hotlines Internet "INHOPE", qui rassemble 44 membres
115
dans 38 pays et notamment Pointdecontact, membre fondateur ds 1999, lutte exclusivement contre la
pdopornographie.
126
europen avec le cration du Forum SecuRe Pay, dont la vocation est toutefois plus large car
il a comptence sur l'ensemble des moyens de paiement.
12. Safer Internet France
La France participe au programme europen Safer Internet financ par la
Commission europenne au travers du programme Safer Internet France plac sous l'gide de
la Dlgation aux usages de l'Internet. Il a pour objectif de mener des actions de sensibilisation
et d'accompagnement des jeunes sur Internet.
Depuis 2005, Safer Internet France est plac sous l'gide de la Dlgation aux
usages de l'Internet et s'appuie sur un comit de pilotage faisant appel des institutionnels,
des associations, des universitaires et des prestataires techniques. Il fdre trois services
complmentaires en matire d'ducation et de protection des mineurs :
2Le programme national de sensibilisation des jeunes aux risques et enjeux de
l'Internet Internet sans crainte http://www.internetsanscrainte.fr/ ;
Il propose un ventail complet d'informations et d'outils destination des enfants,
de leurs parents et de leurs ducateurs et intgre, depuis 2010, une plate-forme
d'auto-formation en ligne destine aux animateurs et ducateurs.
2Le service de signalement en ligne des contenus choquants - Pointdecontact-
gr par l'Association des fournisseurs d'accs et de service sur Internet (AFA)
114
http://www.pointdecontact.net ; ce service, mis la disposition des internautes
depuis 1998 mais qui se limitait alors la pornographie enfantine et la haine
raciale, a t tendu, suite la loi du 21 juin 2004 sur l'Economie numrique,
aux contenus pornographiques violents ou contraires la dignit humaine dans
la mesure o ils sont accessibles aux mineurs, l'incitation la violence, la
discrimiantion ou la haine, l'apologie de crimes de guerre, de crimes contre
l'humanit ou de crimes et dlits de collaboration avec l'ennemi, au
rvisionnisme, la provocation au terrorisme ou la fabrication de bombes,
enfin la provocation au suicide .
115
Pointdecontact est accessible par simple clic depuis le portail de chaque prestataire et
sur l'ensemble des espaces communautaires.
A la rception de tout signalement, il est procd une qualification juridique puis, en
cas de contenu illgal, sa localisation gographique. Si les contenus jugs illgaux sont
hbergs en France ou par un membre de l'AFA, l'hbergeur en est inform aux fins de
retrait, qui intervient, en principe, dans les 48 heures ; quant aux contenus
pdopornographiques hbergs l'tranger par des socits non membres de l'AFA,
l'adresse URL du contenu est transmise au partenaire comptent du rseau INHOPE.
Selon le bilan rcemment dress pour 2013, si le nombre de signalements diminue (5.729 contre
7.195 en 2012), leur taux de pertinence augmente puisque 32% d'entre eux ont t considrs
comme manifestement illicites (soit 1.815). S'agissant de ces deniers, 677 ont t transfrs
l'OCLCTIC (dont plus de la moiti ont donn lieu dnonciation Interpol comme concernant
toutefois PHAROS n'a pas vocation recevoir des signalements portant sur des infractions
116
matrialises ou rvles par des correspondances entre personnes mutuellement identifies (par exemple,
courriels de menace), ni sur des infractions qui supposent un dpt de plainte avant toute poursuite ventuelle
(injures, diffamation...)
127
des sites trangers, en grande majorit pdopornographiques), 193 transmis aux hbergeurs
franais et membres de l'AFA (qui ont effectu 177 retraits) et 325 un partenaire tranger du
rseau INHOPE ( l'origine de 306 retraits).Si, sur le total des signalements qualifis, le tiers a
trait la pdopornographie, l'association constate une forte progression des contenus
connotation raciste ou violente.
Les pratiques de l'AFA reposent sur une charte, signe le 14 juin 2004, dite "Charte
contre les contenus odieux", qui dfinit les contributions des prestataires et laquelle est
associe un label "Net+sr".
2Le numro national d'accueil et d'assistance pour la protection des jeunes Net
Ecoute (0800 200 000) ainsi que son chat en ligne sur http://www.netecoute.fr/,
gr par l'association e-Enfance.
Cette ligne d'assistance, ouverte depuis dcembre 2008, est accessible
gratuitement, et des personnes spcialement formes rpondent toutes les
questions concrtes que se posent les enfants, les adolescents et les parents
sur Internet fixe et mobile (aide l'installation des logiciels de contrle parental,
conseils sur l'utilisation scurise d'Internet fixe et mobile pour les jeunes, aide
psychologique en cas d'images choquantes, de harclement, de mauvaises rencontres,
de pdophilie, de dpendance internet ou aux jeux vidos en ligne).
En outre, chaque anne, le "Safer Internet Day", organis simultanment dans
trente pays de l'Union, permet la mobilisation d'un grand nombre de partenaires autour d'un
thme commun, le thme retenu pour 2014 tant "Ensemble pour un meilleur Internet".
13. PHAROS
Place au sein de l'O.C.L.C.T.I.C., la plate-forme officielle PHAROS de
signalement des contenus illgaux ou des activits illgales sur Internet est anime par des
policiers et des gendarmes qui traitent les signalements des internautes .
116
Cre en 2009, elle prsente l'intrt de mobiliser les internautes qui souhaitent
alerter les pouvoirs publics sur des contenus ou des comportements rprhensibles et
dangereux recenss sur des sites Internet, des blogs, des forums... Au-del des internautes
individuels, ce site s'adresse aussi aux professionnels, actuellement une centaine qu'il s'agisse
d'hbergeurs, de fournisseurs d'accs ou de service, de blogs ou de forums, de rseaux
sociaux, de jeux en ligne, d'annoneurs, d'associations... Avec certains acteurs d'ailleurs, des
accs privilgis ont t mis en place et des protocoles signs pour permettre une transmission
plus efficace des informations (dont la plateforme Pointdecontact.net de l'AFA voque plus haut ou
certains rseaux sociaux franais comme Skylogs, voire, rcemment, certaines associations de
consommateurs).
Elle permet aussi aux pouvoirs publics de disposer d'une vision plus globale de
la cybercriminalit et de ses tendances ainsi que des attentes des internautes..
128
En 2012, PHAROS a reu 119.788 signalements, soit une augmentation de 12% par
rapport 2011. Ces transmissions ont ncessit 321 enqutes prliminaires ou de
flagrance afin d'identifier les auteurs des faits et de dterminer les comptences
territoriales, essentiellement pour des infractions concernant des mineurs. En outre, les
enquteurs habilits de PHAROS ont eu recours, en cas d'anonymisation, la "cyber-
infiltration" dans quelques dizaines de cas. A l'issue de ces investigations, PHAROS a
effectu 7.187 transmissions - dont 1.329 aux fins d'enqute des services de police
judiciaire, 689 aux Douanes, 915 la DGCCRF, 465 la direction centrale du
renseignement intrieur, enfin 3.970 des services trangers via Interpol pour des
contenus pdopornographiques et des sites de phishing.
Il est noter que, mme si PHAROS, qui ne concerne que les infractions supposes, n'a
pas vocation se voir signaler des faits relevant de l'urgence oprationnelle, 484
procdures d'urgence vitale (annonces de suicide) ont t traites en 2012.
La rcente circulaire interministrielle du 19 juillet 2013 et l'arrt du 3 octobre
2013 vont permettre, non seulement de rendre PHAROS accessible aux services d'enqute par
le biais de personnels spcialement dsigns et habilit (Police, Gendarmerie, Douane, DGCCRF),
mais aussi de mieux adapter les rponses juridiques et oprationnelles :
LD'une part, la pratique de la communication d'informations des organisation de
coopration internationale en matire de police judiciaire est officialise.
LD'autre part, l'OCLCTIC pourra, dsormais, son initiative, communiquer des
informations aux services d'enqute, dans le cadre de son travail d'orientation et de
rapprochement, mais aussi aux oprateurs de communication lectronique et
prestataires techniques (hbergeurs et fournisseurs d'accs), enfin aux services de
l'URSSAF.
Les objectifs poursuivis par la communication aux prestataires s'inscriront, pour
partie, dans le processus de notification/action prvu par l'article 6 de la loi du
21 juin 2014, et, pour autre partie, dans un cadre purement partenarial : partant
du constat que le cyber-escroc a recours, un moment ou un autre, aux
courriels pour finaliser les manoeuvres frauduleuses en direction de ses
victimes, courriels qui ont pour origine une mme adresse e-mail quel que soit
le nombre de ces dernires, l'objectif consiste, l'instar des pratiques
Canadiennes, de supprimer ces adresses pour couper les liens avec les
victimes et ainsi prvenir la finalisation de nombreuses escroqueries.
Un projet de convention cette afin a t rdig avec les socits Google pour
les adresses "gmail", Microsoft pour les adresses "hotmail" et Yahoo pour les
adresses du mme nom, tant entendu que, sur le plan juridique, la coupure
des adresses est prvu par les conditions contractuelles d'utilisation liant les
clients et les fournisseurs de messages lectroniques ds lors qu'elles sont
utilises des fins frauduleuses.
Il importe toutefois que, concomitamment, PHAROS soit en mesure de
systmatiser le retour d'information aux auteurs de signalements, d'affiner les traitements de
ces derniers ainsi que les suites donnes.
Il conviendrait enfin d'unifier les plates-formes publiques existantes et de
fusionner le portail officiel "internet-signalement.gouv.fr" avec PHAROS.

129
2.- Dialogue partenarial
21. Signal Spam
http://www.signal-spam.fr
Cre en 2003 sous l'impulsion des services du Premier ministre, l'association
Signal Spam rassemble des reprsentants des pouvoirs publics membres de droit (dont la CNIL
mais aussi la DGCCRF ou les services concerns du ministre de l'intrieur, avec une implication toute
particulire de la DGGN), des oprateurs de communications lectroniques (Orange, SFR, Google),
des routeurs de messagerie lectronique et des entreprises uvrant dans la scurit
numrique. Elle est intgralement finance sur fonds privs.
Cette association gre une plate-forme de signalement par les internautes des spams,
au travers d'une interface Web ainsi que des applications intgres directement aux
principaux logiciels de courrier lectronique du march. Ces informations sont
directement retransmises aux acteurs concerns : ainsi les oprateurs peuvent prendre
des mesures lorsqu'un de leurs abonns met son insu ou non des messages non
sollicits, et les routeurs de messagerie lectronique peuvent identifier certains de leurs
clients qui commettraient des abus et bloquer les campagnes problmatiques ; les
services d'enqute peuvent aussi obtenir sur rquisition des informations trs utiles lors
de certaines investigations judiciaires. A titre d'exemple, la CNIL est destinataire chaque
mois d'une liste des campagnes de courrier lectronique ayant t l'objet du plus grand
nombre de plaintes et l'ANSSI reoit des informations sur diffrentes sources de spams
dans l'administration, qui manifestent, souvent, l'existence d'ordinateurs infects par des
botnets. Signal Spam rpond aussi aux rquisitions des services spcialiss de police
judiciaire. Sa pertinence en matire de partenariat public-priv a t mise en vidence
la fois au plan de l'Union Europenne et par les institutions officielles franaises.
En 2012, selon son rapport d'activit, Signal Spam a reu, en 2012, 2.454.369
signalements concernant des adresses mettrices majoritairement localises en France,
mais aussi aux Etats-Unis, en Allemagne...
Signal Spam a aussi mis en place une charte de dontologie dont la mise en uvre
s'applique l'ensemble de ses membres mais aussi l'ensemble des entreprises
destinataires de boucles de rtroaction. Cette charte ne se contente pas de rappeler la
lgislation existante, mais propose des mesures d'implmentation communes,
conformes aux grands standards internationaux de scurit du courrier lectronique.
Des rapprochements sont envisags entre ce dispositif et Phising Initiative qui suit,
rapprochements qui supposent toutefois de recourir des moteurs d'analyse capables
de dtecter dans les spams les contenus de type Phishing.
Il est souligner que, s'agissant des spams visant les mobiles, l'Association Franaise
du multimdia mobile (AFMM) - fonde par Bouygues Tlcom, Orange France, S.F.R.,
la Fdration Franaise des tlcoms et Mobile marketing Association (MMA) - a cr,
en novembre 2008 et en rponse une initiative gouvernementale, une plate-forme
ddie : 33.700. Au 1er septembre 2012, elle avait reu plus de 5 millions de
signalements , dont 3,7 ont t identifis comme des spams, auxquels s'ajoutent
350.000 autres signalements de spams oraux (incitant, le plus souvent, rappeler un n/
surtax). Aprs examen notamment pour distinguer les spams des promotions ou offres
commerciales licites, chaque oprateur adresse aux diteurs indlicats des rappels ou
des mises en demeure, voire coupe les n/s correspondants et rsilient les contrats.
130
22. Association Phishing Initiative
http://www.phsihing-initiative.com
Cette association, cre en 2011, regroupe MICROSOFT, PAYPAL et le Cert-
Lexsi. Elle a pour but de prvenir les tentatives de hameonnage par lesquelles les escrocs
accdent aux informations personnelles et bancaires d'une victime en usurpant l'identit d'une
organisation publique ou prive digne de confiance.
A cette fin, Phishing Initiative met disposition des internautes un site en ligne,
fonctionnant en permanence, afin de signaler les URL (= adresses) suspectes de
rediriger vers un site de phishing. L'association vrifie chaque signalement en temps rel
(1/4 d'heure en moyenne) et, lorsque la nature malveillante de l'adresse est confirme,
la transmet aux diteurs des principaux logiciels de navigation sur Internet(Firefox,
Internet Explorer, Google Chrome et Safari) aux fins de blocage des sites frauduleux
dans les navigateurs. Les internautes sont aviss du rsultat de l'analyse et, en cas de
sites frauduleux, sont ainsi dissuads d'y rpondre.
Selon le rapport 2012 de l'association, 30.000 signalements avaient t oprs la 1re
anne d'ouverture du site ; leur nombre s'est lev 50.000 en 2012 concernant 37.000
URLs dont 24.699, soit les 2/3, se sont avrs comme hbergeant un contenu frauduleux
de type phishing.
Il s'y est ajout 5.000 autres URLs. frauduleux supplmentaires identifis par le Cert-
Lexsi comme visant le public francophone. Cette croissance est due la plus grande
notorit de la plate-forme mais aussi la multiplication du nombre d'escrocs.
PHAROS, qui reoit aussi des signalements sur les sites de "phishing" (22.000
signalements recenss depuis la cration du dispositif jusqu' fin aot 2013), tudie la possibilit de
transmettre ces derniers Phishing Initiatives sur la base du rcent arrt dj cit ; une
convention est en cours d'laboration.
23. Forum international sur la cyberscurit
D'abord appel Forum international sur la cybercriminalit et organis l'initiative
de la gendarmerie nationale, le Forum International sur la Cyberscurit est devenu une grande
confrence internationale de rfrence. La sixime dition a eu lieu les 21 et 22 janvier 2014
et, outre des confrences et plus de 40 ateliers ou tables rondes, elle a accueilli cette anne
un dfi criminalistique permettant des tudiants de tester leurs capacits dans l'investigation
numrique. Cette confrence permet d'tablir un dialogue riche avec l'ensemble des acteurs
de la cyberscurit. Elle est coorganise par la Gendarmerie nationale, le conseil rgional du
Nord-Pas-de-Calais et la socit CEIS.
131
3.- Recherche et formation
Des relations ont t noues entre les diffrents services de l'Etat et des
tablissements de formation ou de recherche. On peut citer le partenariat liant l'O.C.L.C.T.I.C.
l'EPITA, la licence professionnelle dveloppe par la Gendarmerie nationale avec l'Universit
de technologie de Troyes ou encore l'accueil par l'Universit Montpellier 1 de magistrats dans
son diplme d'universit sur la cybercriminalit, qui figure dsormais dans le catalogue de
formation de l'Ecole nationale de la magistrature. Ponctuellement ou de faon plus prolonge
des changes ont lieu avec beaucoup d'autres entits, l'occasion de projets de recherche et
dveloppement financs par des ressources extrieures (Commission europenne, Agence
nationale pour la recherche) ou par les entreprises elles-mmes, de visite et d'changes ou
d'accueil de stagiaires par les services spcialiss.
Des initiatives partenariales plus larges ont t noues ou sont en cours de
construction, par lesquelles :
31. CECyF Centre expert Franais contre la cybercriminalit
Le projet europen 2CENTRE (Cybercrime centres of excellence network for training,
research and education) est n des changes anims par EUROPOL pour l'harmonisation de la
formation la lutte contre la cybercriminalit. Il a notamment permis en France, grce
l'association de la Gendarmerie, de la Police, de partenaires privs (Thals et Microsoft France)
et d'universits (l'Universit Montpellier 1 et l'Universit de Technologie de Troyes) de dvelopper de
nouveaux outils de formation (formation en ligne sur l'analyse de Windows 7 ou encore destination
des premiers intervenants donc de tous les enquteurs), de consolider la documentation des
formations existantes ou encore de mener plusieurs tudes et un projet de recherche et
dveloppement appliqu. L'Irlande, mais aussi l'Allemagne, l'Angleterre, la Belgique, la
Bulgarie, l'Estonie et la Roumanie poursuivent des projets similaires.
C'est dans ce cadre que le Centre expert contre la cybercriminalit franais
vient d'tre cr en janvier 2014 sous la forme d'une association de la loi de 1901, qui vise
fdrer l'action partenariale en matire de sensibilisation, de formation et de recherche entre
les acteurs privs et publics concerns par la lutte contre la cybercriminalit.
Le CECyF constitue un espace de rencontre pour la cration de projets
collaboratifs contre la cybercriminalit, pour donner de la visibilit ces projets et en
particulier aider trouver le financement de ces projets et support juridique et oprationnel de
certains aspects de ces initiatives (communication, confrences, hbergement de plateformes
collaboratives de dveloppement, etc.) -. Cette structure a vocation accueillir tous les services
d'enqute et les administrations contribuant la lutte contre la cybercriminalit ainsi que
d'autres tablissements d'enseignement (comme l'EPITA qui a dj un partenariat privilgi avec
l'OCLCTIC, mais aussi l'Institut Mines-Tlcom) et des entreprises de diffrents secteurs
concernes par ces questions.
Les premiers projets proposs aux membres au cours de l'anne 2014
tourneront autour des thmatiques suivantes dans l'optique de la lutte contre la
cybercriminalit) :
.dveloppement d'outils opensource d'investigation numrique ;
.contribution la cration de supports de sensibilisation ;
.dveloppement de formations distance (pour les services d'investigation, mais aussi destination des
acteurs du secteur priv ou des collectivits locales) ;
.partage d'information et nouvelles tudes sur les besoins en formation et cartographie des formations
disponibles ;
132
.participation des confrences pour dynamiser les changes entre les diffrentes communauts sur les
diffrents aspects de la prvention et de la lutte contre la cybercriminalit ;
.et enfin, ateliers pour l'identification et la construction de nouveaux projets.
Des sujets comme la cration ou la contribution une revue spcialise, le
soutien ou le lancement d'une confrence francophone sur la rponse incidents pourraient
tre rapidement mis en uvre.
32. AFSIN Association francophone des spcialistes de l'investigation
numrique
Cre en 2006, cette association regroupe des enquteurs spcialiss, des
experts judiciaires et des magistrats de toute la francophonie traitant de l'investigation
numrique au sens large. Pour la France, toutes les administrations sont reprsentes. Elle
organise chaque anne une confrence sur trois jours : les Journes francophones de l'investigation
numrique dont la prochaine dition se tiendra Nancy en partenariat avec le LORIA en octobre
2014. Des tables rondes sont aussi ponctuellement organises au cours de l'anne pour
rflchir sur des sujets divers.
33. ADIJ - Association pour le dveloppement de l'informatique juridique
http://www.adij.fr/association/
Fonde le 23 mars 1970, l'ADIJ - qui regroupe de nombreux professionels du
droit, publics ou privs, mais aussi des professeurs, des chercheurs et des diteurs - est, la
fois, un point de rencontre et d'change interprofessionnel, un lieu d'information et de formation
et un organisme de recherche interdisciplinaire en ce qui concerne les questions juridiques
poses par le dveloppement des technologies et les technologies au service de la diffusion
du droit et du fonctionnement de la justice.
Cette association mne une action dynamique et constante pour la diffusion de
l'information juridique ; elle a, par exemple, ralis, la demande de l'Union europenne,
une importante tude - "EDIJUSTICE" - qui portait sur les problmes poss par les
changes informatiss en matire judiciaire tant en droit franais qu'en droit compar.
Ces services d'information juridique lectronique se diversifient (banques de donnes
tlmatiques, services vidotext, sites internet, systmes experts, rseaux
neuromimtiques...), dans le but de permettre aux praticiens, notamment les avocats,
de disposer et de pouvoir traiter de la documentation utile.
Elle suit en outre l'actualit lgislative franaise et tient des confrences plnires au
Parlement sur les dfis juridiques de la rvolution Internet ou sur la valeur probatoire des
documents lectroniques, notamment l'occasion des "mardis de l'ADIJ" ou dans le
cadre des "ateliers de l'ADIJ".
34. CYBERLEX
http://www.cyberlex.org/
Cette association du droit et des nouvelles technologies, cre en 2006,
regroupe, la fois, des techniciens, des juristes d'entreprise, des avocats, des magistrats, des
professeurs de droit ainsi que des professionnels du march et des technologies numriques.
Elle organise des changes rguliers sur le droit de l'Internet.
133
35. Le CLUSIF
http://www.clusif. asso.fr
Comme il a dj t prcis, il s'agit d'un club professionnel constitu en
association indpendante et ouvert toute entreprise ou collectivit. Sa finalit est d'agir pour
la scurit de l'information et d'y sensibiliser tous les acteurs. Il prsente, tous les ans, un
panorama de la cybercriminalit en terme de tendances et de modes opratoires, et anime de
nombreux groupes de rflexion sur le management des risques, l'intelligence conomique...
36. Dfense et stratgie
http://www.defense-et-strategie.fr
Face au dveloppement des problmatiques de scurit lies aux systmes
d'information et aux enjeux fondamentaux qu'elles comportent pour la dfense et la scurit
de la France, Dfense et Stratgie a cr, en mai 2012, le CyberCercle, qui se veut un lieu
privilgi d'changes autour de ces problmatiques ; sa vocation, outre l'avance de la
rflexion, consiste sensibiliser les dcideurs et les relais d'opinion la problmatique de
scurit des systmes d'information, de cyberdfense et de lutte contre la cybercriminalit.
37. Le CESIN
http://cesin.fr/
Le Club des experts de la scurit de l'information et du numrique (CESIN) est
une association ayant pour objet de favoriser l'change de connaissances, le partage
d'expriences et la coopration entre professionnels de la scurit de l'information et du
numrique. Il est compos d'experts occupant des postes de responsabilit dans la scurit
de l'information et du numrique au sein d'entreprises prives ou publiques, mais aussi des
spcialistes du droit de la scurit ; y sont associs les reprsentants des services de l'Etat .
134
4. Recommandations
Outre les propositions dj faites au titre de la prvention ou de celles qui seront
formules au titre de l'organisation tatique, il est prconis d'tendre le champ du partenariat
public/priv dans deux directions.
L Extension du champ de comptence de l'Observatoire de la scurit des
cartes de paiement
Il est propos d'tendre le champ de comptences de l'OSCP au moins ce qui
est maintenant inclus dans les articles rpressifs du code montaire et financier (cf. article L133-4
du CMF), savoir l'ensemble des instruments de paiement autres que le chque. L'intention
tant notamment de couvrir en plus des cartes de paiement :
- la banque en ligne (cible massivement par la criminalit numrique au travers de
virus informatiques spcialiss), cette question paraissant relever davantage de
la comptence de l'Autorit de contrle prudentiel, qui devrait alors tre modifie
cet effet ;
- les virements SEPA (notamment lorsqu'ils sont cres par voie lectronique) ;
- les monnaies et comptes de paiement lectroniques
- voire la devise numrique que constitue le bitcoin, principalement utilise pour
des transactions, lgales ou illgales, sur Internet, et au sujet de laquelle les
autorits montaires ont rcemment mis une mise en garde compte-tenu du
caractre hautement spculatif de cette devise et des piratages dont font
souvent l'objet les portefeuilles numriques.
Il s'agit, tout la fois, de mieux apprhender ces instruments, la place prise dans
les paiements, les risques qui y sont lis en terme de cybercriminalit, et d'identifier les
rponses, normatives ou partenariales, ncessaires une meilleure protection du
consommateur et de l'usager. Cette proposition est cohrente par rapport la dmarche de
l'Union europenne.
Recommandation n/ 5
relative l'extension des attributions
de l'Observatoire de la scurit des cartes de paiement
Etendre la comptence de l'Observatoire l'ensemble des instruments de
paiement autre que le chque, afin de mieux les apprhender, d'identifier les
risques en terme de cybercriminalit et de proposer les rponses de nature
mieux protger le consommateur et l'usager.
L Cration d'un CERT*FR "tous publics"
Un "CERT" (Computer emergency response team, marque proprit de l'universit
Carnegie Mellon) - parfois aussi appel "CSIRT" (Computer security incident response
team) est un centre d'alerte et de raction aux attaques informatiques ; selon qu'il couvre
notamment par la socit MICROSOFT France
117
135
tout un pays, une rgion, un secteur donn (un secteur conomique particulier, les
membres d'un groupement d'entreprises, un oprateur...), le CERT reoit donc les
alertes relatives aux incidents correspondants, les analyse et, le cas chant, y apporte
une rponse oprationnelle, qui peut aller de la transmission de l'information aux bons
interlocuteurs jusqu'au traitement complet de l'incident. Par-del, le CERT effectue une
veille d'informations sur la scurit et la partage avec la communaut ou le public
concern.
A ce jour, il existe en France un CERT-FR (ancien CERTA), anim par l'ANSSI,
pour les administrations et les oprateurs d'importance vitale (O.I.V.), ainsi que quelques CERT
professionnels pour les grandes entreprises ou certains types de mtiers qui ont clairement
identifi le risque li la cybercriminalit. En revanche, il n'existe pas de CERT gnraliste
relatif aux besoins du grand public ou au secteur des petites et moyennes entreprises en
gnral.
Il est ainsi prconis la cration l'instar de ce qui existe dans d'autres pays
117
comme le Luxembourg, la Finlande ou encore la Suisse d'une structure (associative a priori)
jouant ce rle. Une telle organisation aurait d'abord un rle prventif et de sensibilisation vers
ces publics et ensuite vocation traiter l'ensemble des signalements qui n'auraient pas de
CERT ddi. Il pourrait aussi servir de portail pour orienter (comme le fait le site cert.nl aux Pays-
Bas) vers les CERT chargs des diffrents secteurs ou entreprises (ou encore les services Abuse).
Il aurait vocation enfin accompagner l'mergence de tout CERT sectoriel en France y compris
si celui-ci le dchargeait d'une partie de ses missions propres.
Dans ce contexte, ce CERT*FR pourrait tre l'occasion d'inciter un
rapprochement plus fort ou une coordination plus forte entre les initiatives non
tatiques existantes - Signal Spam, Phishing Initiative et le 33700 - ainsi qu'avec Safer
Internet, dans le but de donner davantage de visibilit aux possibilits offertes aux internautes
(cf. le chapitre 2 relatif la prvention).
Les services officiels auraient une place naturelle aux cts ou au sein de ce
centre. Ce serait l'occasion d'orienter plus rapidement et plus efficacement les victimes et les
partenaires trangers vers la bonne plate-forme en fonction du problme (l'ANSSI comme CERT
des OIV et des rseaux de l'Etat, PHAROS pour les signalements de contenus illgaux, Signal Spam pour
le spam, etc...).
136
Recommandation n/ 6
relative la cration d'un CERT
Crer un CERT (centre dalerte et de raction aux attaques informatiques) afin de
rpondre aux besoins des secteurs conomiques, des populations ou des
territoires non encore couverts par les CERT existants en France :
- sous la forme dune structure associative, associant notamment des grands
oprateurs franais
- travaillant en coopration avec lensemble des CERT franais et notamment
le CERT-FR anim par lANSSI
- ayant notamment pour objectif de diffuser des informations de sensibilisation
au grand publics, aux petites et moyennes entreprises et aux collectivits locales
- et de rediriger les CERTs trangers vers les CERTs franais correspondant
aux secteurs viss ou en transmettant lui-mme les informations provenant de
ltranger aux oprateurs et hbergeurs franais ne relevant pas de lautorit
dun CERT existant.
De manire gnrale, si de tels partenariats sont efficients et riches
davenir, il convient toutefois de veiller dans le mme temps, viter une prolifration
susceptible de gnrer des doublons et, sagissant des dispositifs axs sur les usagers,
un manque de visibilit.

,,,,,,
137
II.5.- Une condition : la rorganisation des services de lEtat,
la cration dune dlgation interministrielle et dune
mission Justice
La prise de conscience de limportance de la cybercriminalit est rcente,
comme le sont, par voie de consquence, les normes en la matire et lorganisation des
services de lEtat.
Cette dernire sest traduite par la cration de services ou de bureaux
spcialiss dans diffrents dpartements ministriels et par lmergence corrlative de
spcialistes motivs et de haut niveau bien quen petit nombre.
Paralllement, diverses autorits indpendantes ou assimiles ont t cres
au fil de leau cot de la plus importante dentre elles, la Commission nationale de
linformatique et des liberts.
Par del, lengouement pour le numrique mais aussi sa forte technicit ont
gnr une multiplication des sachants comme des initiatives diverses, publiques ou prives,
relativement peu coordonnes et parfois concurrentes.
Labsence de toute structure de coordination oblige ainsi chaque service, voire
chaque spcialiste, tenter de compenser cette carence en multipliant les changes inter-
personnels, qui restent toutefois impuissants arrter une stratgie densemble et grer les
inluctables chevauchements et conflits de comptence.
Plusieurs des auditions ralises par le groupe interministriel ont rvl
une forte attente ce sujet, en terme de mise en cohrence et de clarification
stratgique, notamment de la part des victimes individuelles comme des entreprises, mais
aussi des services locaux de police et de gendarmerie comme des parquets.
Les travaux mme du groupe ont aussi mis en exergue, dune part, les liens
troits entre les questions de scurit technique ou dindustrialisation et celles tenant lactivit
proprement rpressive ; dautre part, lintrt dune dmarche commune par exemple en
matire de prvention, de base de connaissance ou dchange des pratiques ; mais aussi pour
ce qui a trait aux relations avec les socits prives participant lhbergement ou la
fourniture des donnes numrises ; ou encore dans le domaine international, particulirement
prgnant en la matire.
Enfin, les contraintes budgtaires plaident en faveur dune bonne gestion des
rares moyens disponibles.
Les attentes sont galement trs fortes lgard de la Justice, en terme de
pilotage juridique, mais aussi de spcialisation, de prsence internationale et de politique
pnale.
Elles ne sont pas non plus absentes sagissant de lorganisation des services
dinvestigation.
.
138
Rien doriginal dans un tel constat puisque lmergence de chaque
nouveau type de criminalit gnre, historiquement, aprs les annes pionnires, un
besoin accru dorganisation. Telle est dailleurs la dmarche que poursuivent, en matire de
lutte contre la cybercriminalit, plusieurs autres Etats, comme le montrent les tudes de droit
compar.
En rsum, la spcificit comme le dveloppement de cette dlinquance,
les enjeux quelle reprsente appellent aujourdhui une nouvelle efficacit de lEtat, qui
passe notamment par une rforme de son organisation trois niveaux.
1.- la question du pilotage tatique
Si, sagissant du dveloppement de lconomie numrique et de la lutte contre
la fracture numrique, ils sont assurs par un dpartement ministriel spcifique, la Dlgation
interministrielle lintelligence conomique et la Dlgation aux usages de lInternet ; si, sagissant de
la cyberdfense, elle est confie au Secrtariat gnral de la Dfense, plac directement sous
lgide du Premier ministre ; si, concernant la scurit technologique et la rponse technique
aux cyber-attaques, ils relvent, du moins pour les entreprises considres comme sensibles,
de lAutorit nationale de la scurit des systmes informatiques (ANSSI), elle aussi place sous la
responsabilit du Premier ministre ; il ny a pas dorganisation comparable pour la lutte contre
la cyber-criminalit, partage entre la police et la justice et de nombreuses administrations
spcialises, tandis que les autorits administratives indpendantes existantes, dont la
comptence est souvent limit un secteur particulier (protection des donnes nominatives, jeux
en ligne, protection des droits dauteur...), nont pas vocation jouer un rle fdrateur.
Or, chacun saccorde considrer quil est aujourdhui ncessaire de
renforcer la synergie dans la lutte contre cette forme de dlinquance et de rpondre
un besoin dimpulsion et de coordination qui ne saurait tre satisfait que dans un cadre
interministriel eu gard la dispersion des acteurs et la multiplicit des comptences.
Enfin, une telle organisation manifesterait , de manire tangible, limportance quattachent les
pouvoirs publics cette lutte ainsi que leur volont daccrotre son efficacit.
La question sest dailleurs pose de savoir sil ne faudrait pas prconiser,
comme dans certains Etats trangers, un pilotage interministriel unique pour le cyber-
espace, rassemblant lensemble des trois ples prcits. Pour des raisons tenant tant au
mandat reu par le groupe, que des organisations dj mises en place, de la spcificit de
chacun de ces ples et de la confidentialit qui sy attache, la solution prconise se limite
lorganisation dun ple interministriel consacr la lutte contre la cybercriminalit.
Le groupe de travail entend toutefois souligner, nouveau, limportance que
revtent les changes entre les diffrents ples, notamment en terme de mise en cohrence
sur le plan de la norme comme des actions de sensibilisation et de soutien, mais aussi
concernant la recherche de solutions techniques aux questions que pose la cybercriminalit,
compte-tenu des interactions videntes mises en exergue.
cf., sur ce point, les prcdents que constituent lexemple de la Mission interministrielle de lutte
118
contre la drogue et la toxicomanie ou la Dlgation la lutte contre le racisme et lantismitisme.
139
A tout le moins, la cration dun niveau interministriel pour la cybercriminalit
devrait favoriser des runions de convergence entre les trois ples.
Concrtement, une telle cration doit prendre la forme dune dlgation
interministrielle spcifique, place sous la responsabilit directe du Premier ministre
et non rattache un dpartement particulier.
Certes, la prolifration de telles structures peut poser problme, notamment
dans le domaine rpressif compte-tenu du rle spcifique assign notamment par la loi
linstitution judiciaire, mais aussi au Garde des Sceaux (cf. lart.30 du C.P.P., modifi par la loi n/
2013-669 du 25.07.2013, qui confie ce dernier la conduite de la politique pnale dtermine par le
Gouvernement), et encore au ministre de lIntrieur (cf. la politique de scurit), mais le besoin
dune stratgie globale et dune coordination des diffrents services tatiques parat devoir
primer. En outre, plusieurs prcdents existent en la matire, notamment en ce qui concerne
la scurit et la circulation routire (dlgation), la lutte contre la drogue et la toxicomanie
(mission), la lutte contre le racisme et lantismitisme (dlgation), ou, plus rcemment, la
prvention et la scurit en milieu scolaire (dlgation)...
Le groupe de travail est toutefois conscient de la ncessit dviter certains
risques inhrents ce type de structures interministrielles ainsi que les critiques qui peuvent
parfois tre adresses certaines dentre elles, en terme de spcificit, voire dutilit relle ;
dautres ont tendance sriger en entits autonomes, dotes souvent deffectifs et de moyens
budgtaires sans comparaison avec ceux des administrations techniques et qui ne coordonnent
pas suffisamment leurs actions avec ces dernires ; dautres sont mme le thtre de luttes
dinfluences entre certains dpartements ministriels qui nuisent laction.
La dlgation prconise doit tre, au contraire, un lieu dimpulsion et de
mise en cohrence ; elle doit oeuvrer en troite liaison avec les administrations et
services afin de leur apporter prcisment ce qui manque aujourdhui laction
commune et dans le respect des missions spcifiques de chacun. Elle peut aussi avoir
vocation se substituer certaines instances existantes.
Les missions de cette dlgation, qui doivent tre strictement dfinies, devraient
porter sur la dfinition dune stratgie densemble, en synergie avec les autorits comptentes
en matire de cyberdfense et de scurit des systmes dinformation ; en liaison avec le
ministre de la Justice, sur la prparation des projets de textes relatifs la lutte contre la
cybercriminalit, en veillant leur harmonisation et leur mise en cohrence ; sur
lapprhension et la connaissance statistique de la cybercriminalit ; sur limpulsion et la mise
en cohrence sagissant de la prvention ; sur un rle de vigilance en terme de formation ; sur
linterface avec le secteur priv, en assurant, tout particulirement, le monopole des
ngociations avec les prestataires techniques de lInternet, mais aussi un rle de mdiation
entre ces derniers et les internautes (voir les dveloppements sur les victimes titre III, chapitre 6) et
de mise excution des dcisions de justice ayant trait Internet ; enfin sur la reprsentation
et la participation aux ngociations internationales ,
118
La dlgation ne devrait, en aucune faon, interfrer avec loprationnel.
Certains de ses points seront dvelopps ultrieurement.
140
Il importe nanmoins dinsister sur la plus-value que devrait apporter cette
dlgation en terme de meilleure articulation des politiques administratives et des politiques
strictement rpressives.
Le groupe interministriel est bien conscient que chaque type de cyber-
criminalit donne lieu de fortes attentes spcifiques, comme lillustre le chapitre consacr aux
attentes. Mais il est convaincu quune plus grande effectivit dans la lutte contre la
cybercriminalit passe, dabord, par la recherche dun meilleur pilotage et dune plus grande
cohrence, en terme de connaissance, dinstruments juridiques, de recours au
partenariat...Cest par rfrence ce cadre global commun que pourront utilement
prosprer des ples spcifiques, existants ou crer, pour tel ou tel aspect de cette
dlinquance.
La problmatique est similaire sagissant du partenariat ; le groupe
interministriel est conscient de ce quon lui doit et des perspectives quil offre pour
lavenir. Il ne saurait, pour autant, tenir lieu de politique de lEtat.
Encore faut-il que la future structure prconise sache, tout la fois, associer
ces ples spcifiques ainsi que les principaux partenaires, tant publics que privs ; telle est la
condition de sa russite.
En terme darchitecture, outre le dlgu et le comit interministriel qui,
classiquement, regroupe les ministres concerns mais qui devrait tre aussi ouvert aux
responsables des principales Autorits indpendantes, cette dlgation devrait comprendre une
structure type observatoire charge spcifiquement de lanalyse de la menace et des questions
statistiques, une structure type agence de rgulation qui aurait la haute main sur tout ce qui
concerne les normes et les relations avec les prestataires techniques dInternet, un collge des
chefs de service spcialiss dans la lutte contre la cybercriminalit afin dinstitutionnaliser, au-
del des relations inter-personnelles, les changes/mtier favoriss par le groupe de travail,
mais aussi un collge scientifique rassemblant les principaux sachants tant du public que du
priv.

141
Recommandation n/ 7
relative la cration dune Dlgation interministrielle
la lutte contre la cybercriminalit
Crer une dlgation interministrielle charge de la lutte contre la cybercriminalit
et place sous la responsabilit directe du 1 Ministre. Elle aurait pour mission
er
1- de dfinir puis dimpulser une stratgie densemble, en synergie avec les
autorits comptentes de cyberdfense et de scurit des systmes dinformation
2.- dassurer, en liaison avec le ministre de la Justice, la mise jour des
instruments normatifs dans une perspective dharmonisation, de mise en cohrence
et de plus grande efficacit
3- de dfinir les conditions ncessaires une meilleure apprhension tant des
menaces que de la ralit de cette dlinquance, par le biais dun observatoire
ayant pour mission de dfinir les objectifs de nature statistique en y associant la
recherche
4- dimpulser et de mettre en cohrence la prvention
5- de veiller la ralisation des plans de formation par les diffrents dpartements
et acteurs
6- dassurer linterface avec le secteur priv, en particulier les prestataires
techniques dInternet, pour ce qui relve de la lutte prcite, dans le cadre dune
agence de rgulation charge de veiller la cohrence comme la mise en
oeuvre des normes applicables les concernant, disposant du monopole de
ngociation avec ces prestataires et du droit de les sanctionner administrativement
en cas de non-respect de leurs obligations lgales aux lieu et place des sanctions
pnales en vigueur et sauf dans lhypothse dinjonctions judiciaires ; cette agence
servirait en outre dinstance de mdiation pour les internautes nayant pu faire
reconnatre leurs droits lss par les prestataires prcits, et mettrait excution
toutes les dcisions de justice relatives au retrait, linaccessibilit, au
drfrencement, au blocage de sites ou de contenus ainsi qu la surveillance
spcifique susceptible dtre ordonne et au droit loubli
Par souci de cohrence, le droit au recours contre les sanctions prcites devrait
tre exclusivement exerc devant la juridiction civile parisienne.
7- De participer lensemble des discussions et ngociations internationales.
Elle serait dpourvue de toute comptence oprationnelle mais comprendrait
toutefois un collge des chefs de service spcialiss dans la lutte contre la
cybercriminalit, destin faciliter les changes en terme de mthodologie, de
technique, dobjectifs de service, de projets comme de difficults gnres par des
problmatiques communes (les rseaux TOR, les bitcoins...).
En outre, la Dlgation comprendrait un collge scientifique rassemblant les
principaux sachants, tant publics que privs.
142
2.- lorganisation judiciaire
Il y a, sur ce point, consensus, aussi bien au plan externe quinterne, pour
considrer quil est aujourdhui temps de mieux structurer le systme judiciaire face la cyber-
criminalit, aussi bien au plan central, quau plan territorial par la cration de parquets et de
juridictions spcialiss composs de magistrats forms cet effet.
En effet, au-del des quelques tentatives de la rgion parisienne, le bilan global
rvle un dficit de sensibilisation et de connaissance tous les niveaux, qui minore la gravit
de cette nouvelle forme de dlinquance et contribue au manque defficacit constat
globalement. En outre, labsence de la Justice dans les organismes europens de concertation
comme linsuffisance de la politique pnale en la matire renforcent cet tat de fait.
Au plan central, les attentes exprimes incitent crer, au sein du ministre de
la Justice, une structure rassemblant lensemble des questions relevant de la cyber-criminalit,
quelle que soit la nature de linfraction concerne, y compris la reprsentation et la ngociation
internationale. Compte-tenu de linterfrence entre le civil et le pnal, notamment pour la
protection des donnes personnelles, il apparat opportun quune telle structure ait aussi des
comptences civiles, mme si elle na pas vocation tout traiter.
Elle devrait prendre la forme dune mission place directement sous
lautorit du directeur des affaires criminelles des grces, qui se verrait confier le soin
de proposer une politique judiciaire cohrente, de veiller lharmonisation des normes et
lvolution des supports statistiques Justice, de participer lensemble des travaux nationaux
comme internationaux, de reprsenter le ministre de la Justice auprs des instances
interministrielles, de dfinir les priorits rpressives, de grer lentraide correspondante et
enfin danimer une plate-forme de veille juridico-technique et de soutien aux autres services
de ladministration centrale, comme aux juridictions et aux services dinvestigation.
Parmi les missions numres ci-dessus, il convient dinsister sur la mise en
cohrence normative, dans la mesure o chaque dpartement, voire chaque autorit
indpendante, initie actuellement des textes comportant des dispositions relatives la
cybercriminalit, tant en droit pnal quen procdure pnale : le rle du ministre de la Justice
en tant que ministre de la loi, garant de sa cohrence mais aussi du respect des liberts
fondamentales, doit tre officiellement raffirm et il doit pouvoir sappuyer sur un rseau de
correspondants dans les autres dpartements comme sur laide du Conseil dEtat.
La mission de reprsentation et de participation aux ngociations internationales
relatives la cybercriminalit est aussi vitale, dans la mesure o la Chancellerie est peu partie
prenante ces travaux, dont dpend pourtant, pour une bonne part, lvolution des normes
internes.
La dtermination des priorits mais aussi des modes de traitement et des
critres tenant la rpartition des affaires entre les diffrents parquets et donc des services de
police judiciaire correspond aussi une ardente ncessit.
Lensemble de ces missions appellent une formation et une technicit de haut
niveau.
Un tel critre de comptence suppose toutefois de dfinir les O.I.V., alors que leur classification
119
relve, jusquici, du Secret Dfense...
143
Au plan territorial, si la gestion des plaintes produit un effet de dissmination au
dtriment de lensemble de juridictions dj surcharges par la criminalit de droit commun,
une certaine spcialisation existe soit de droit, pour les questions de cybercriminalit lies au
terrorisme, voire au crime contre lhumanit (PARIS), soit de fait, compte-tenu de limplantation
des services spcialiss denqute (PARIS et les juridictions limitrophes sagissant des questions
traites par la prfecture de police ; NANTERRE au regard du sige de lOffice central...) ou des siges
sociaux des principales entreprises franaises hbergeant ou fournissant les donnes ou
victimes dattaques.
Dvidence, sagissant dune dlinquance nouvelle et complexe bien des
gards, la comptence territoriale des juridictions ne saurait tre davantage le fait du
hasard...ou de la ncessit, mais elle doit rpondre une organisation rflchie.
Pour autant, lide, parfois avance, dune juridiction spcialise unique ne
saurait tre oprationnelle, puisque, pour lessentiel, les rseaux de communications
lectroniques ne servent que de vecteurs des actes de dlinquance de droit commun ; il
importe, en consquence, de prendre en compte plusieurs types de facteurs :
L partie des infractions commises, en ce quelles concernent des personnes
dj identifies ou identifiables comme se situant dans un cadre inter-personnel
- notamment, de manire gnrale, les menaces et injures, les atteintes la vie
prive, le racisme, la xnophobie, lhomophobie, les infractions la loi
informatique et liberts, la diffusion dimages pdo-pornographiques...- ne
crent pas de difficults particulires.
L en revanche, les contentieux de masse que constituent les escroqueries et
les fraudes aux cartes bancaires, soulvent des problmes spcifiques faute de
recoupements centraliss permettant les regroupements ncessaires ; il
convient de se reporter, sur ce point, aux recommandations figurant au titre III,
chapitre 4 du rapport.
L dautres difficults tiennent linsuffisance des critres classiques de
comptence territoriale ; des recommandations sont faites cet gard dans ce
mme titre III, chapitre 3.
L en dfinitive, la spcialisation judiciaire doit concerner, au 1 chef, les
er
attaques concernant les systmes de traitement automatis de donnes
ainsi que les autres formes de dlinquance les plus organises.
Sagissant des attaques prcites, cette spcialisation doit reposer, dune
part, sur le parquet de PARIS, sagissant des attaques les plus importantes et vises au titre
de la cyber-dfense (les services sensibles de lEtat ainsi que les organismes dimportance vitale ),
119
dautre part, sur les juridictions inter-rgionales spcialises lorsque les autres attaques
sont le fait de bandes organises ; telle est lune des raisons pour lesquelles il est prconis
de crer une circonstance aggravante les concernant (cf. les dveloppements sur le droit pnal de
fond, titre III, chapitre 1). En revanche, en ce qui concerne les autres infractions dimportance, ces
144
mmes juridictions inter-rgionales disposent dj, au titre de la bande organise, de la
comptence ncessaire (cf., titre dexemple, les escroqueries par faux ordres de virement).
Une telle organisation serait toutefois sans porte si elle ne saccompagnait pas
dune formation obligatoire pour les juridictions prcites (voir plus haut), dorientations prcises
de politique pnale quant lorientation des dossiers ainsi que dun renforcement des moyens
spcialiss de police judiciaire correspondants ; la carte policire doit tre ainsi harmonise
avec lorganisation judiciaire.
Sagissant enfin des juridictions non spcialises - le plus grand nombre -, leur
comptence doit pouvoir sappuyer sur un rseau de magistrats rfrents forms (cf. les
dveloppements sur la formation) et anims par la nouvelle Mission de ladministration centrale,
ainsi que sur les informations, notamment juridiques, mises disposition par cette dernire au
titre de la plate-forme documentaire quil est propose de crer, sans omettre le rle primordial
que lEcole nationale de la magistrature sera appele jouer.
Recommandation n/ 8
relative lorganisation judiciaire
1.- Crer, au sein du ministre de la Justice, une mission de lutte contre la
cybercriminalit rattache au directeur des affaires criminelles et des grces,
comptence civile, pnale et internationale. Elle serait charge de veiller
lharmonisation des normes et lvolution des dispositifs statistiques judiciaires,
de participer lensemble des travaux nationaux et internationaux, de mettre en
oeuvre la politique pnale spcifique, dassurer une interface avec lOCLCTIC et
danimer une plate-forme de veille juridico-technique et de soutien.
2.- Reconnatre la juridiction parisienne une comptence concurrente sur
lensemble du territoire national pour les atteintes aux systmes de traitement
automatis de donnes visant les services de lEtat et les oprateurs dimportance
vitale.
3.- Reconnatre aux juridictions inter-rgionales spcialises une comptence
similaire sagissant de lensemble des autres cyber-affaires commises en bande
organise.
145
3.- lorganisation des services dinvestigation, tant administratifs que de police
judiciaire, au plan central comme territorial
Si chacun saccorde constater que le fait que nombre de dpartements
ministriels, voire, pour certains dentre eux, chaque direction, a t amen se doter dun
service spcialis comptent pour connatre, au titre de la police judiciaire ou de la police
administrative, de la cybercriminalit, gnre un certain parpillement des ressources ainsi que
des duplications inutiles, un consensus savre plus difficile trouver quant aux solutions
apporter.
Au plan central, il convient de se garder de toute approche technocratique qui,
mconnaissant le caractre essentiellement transversal de la cybercriminalit ainsi que la
spcificit des problmes techniques et de coopration internationale quelle pose,
prconiserait une simple concentration des structures existantes ; il est, en effet, logique que
chaque corps de contrle entende disposer, dans son secteur de comptence, dune structure
ad hoc, dautant plus que cest souvent le seul moyen de disposer de personnels forms et
motivs susceptibles de soutenir les services territoriaux. Pour autant, cela ne justifie sans
doute pas la multiplication de services spcialiss au sein dun mme dpartement ministriel.
Toutefois, cest en terme de missions et de mise en cohrence et de
coordination, que des solutions doivent tre recherches, compte-tenu notamment du rle
dvolu la dlgation interministrielle quil est propos de crer.
Recommandation n/ 9
relative la coordination des structures administratives spcialises
dans la lutte contre la cybercriminalit
Si le caractre novateur et spcifique de la cybercriminalit a incit de
nombreux dpartements crer des structures spcialises qui assurent
lassistance technique ainsi que la formation des services territoriaux,
exercent une veille sur Internet et jouent un rle oprationnel, tant pro-actif
que sur saisine, pour les affaires les plus importantes, il importe
1- dviter leur multiplication au sein dun mme dpartement, afin dassurer
chacune des structures existantes, un niveau minimal en terme deffectifs
de nature permettre lefficience recherche, des units de trop petites tailles
savrant impuissantes raliser notamment une veille pertinente compte-
tenu de lampleur de la toile.
2- Dans lhypothse o un mme type de cybercriminalit est concern,
mme sous des aspects diffrents (ex. de la contrefaon), de veiller, en
dterminant les critres de rpartition et les mcanismes dchanges et de
coopration par le biais, par exemple, de protocoles inter-administratifs,
viter toute redondance inutile.
3- De renforcer, entre les diffrentes cellules de veille et services spcialiss,
lchange sur les mthodologies, les objectifs et les projets, dans le cadre de
la structure ad hoc prvue cet effet au niveau de la Dlgation
interministrielle projete (objectif de dcloisonnement).
4- De rendre plus cohrent, tant la ngociation avec les prestataires
techniques de lInternet que la production normative et laction prventive, ce
qui constitue lune des raisons dtre de la proposition de cration dune
Dlgation interministrielle.
146
Sagissant, plus spcifiquement, de la police judiciaire, lO.C.L.C.T.I.C. na pas
de comptence oprationnelle exclusive pour les affaires les plus importantes relevant de la
cybercriminalit, compte-tenu, notamment du rle imparti dautres offices (tel, sagissant des
affaires complexes intressant la pdophilie et la protection des mineurs, lOffice central de rpression
des violences aux personnes).
Toutefois, on la vu, il joue, en tant que gestionnaire de la base PHAROS et de
la plate-forme tlphonique relative aux escroqueries, un rle spcifique dinterface tant avec
les internautes quavec les professionnels pour les infractions de droit commun, mais aussi de
recoupements aux fins dorientation pertinente.
Il constitue le point de contact international pour la France dans le cadre de la
convention sur la cybercriminalit, raison pour laquelle il exerce un monopole dans le traitement
des cybercrimes les plus graves prsentant un fort aspect international.
Il exerce enfin, dans le cadre des textes rglementaires applicables, une mission
de centralisation et de coordination.
En revanche, cest le service spcialis de la Gendarmerie qui gre la base
images ncessaire la lutte contre la pdo-pornographie.
Lun comme lautre assurent aussi les missions communes tout service
spcialis dans la cybercriminalit (formation, assistance technique, rle oprationnel pour les
infractions les plus graves, soutien pour le reste...). Lun comme lautre mnent encore des actions
de prvention et assurent, en ordre quelque peu dispers, des ngociations avec les
prestataires techniques dInternet.
Indpendamment des recommandations relatives au traitement des contentieux
de masse (cf. titre III, chapitre IV), il est prconis, outre la mise en cohrence de certaines
missions, de renforcer le rle de coordination de lOffice et de lui donner un contenu
interministriel. En outre, son articulation avec le judiciaire doit tre prcise.
Recommandation n/ 10
relative lorganisation centrale de la police judiciaire
Sagissant de lorganisation centrale de la police judiciaire, il est prconis
1- En terme de missions, et compte-tenu de la Dlgation interministrielle quil est
propos de crer, de dcharger les services de police judiciaire des tches de
prvention et des ngociations avec les prestataires techniques dInternet ; il est,
en outre, opportun dharmoniser la formation des policiers et gendarmes
spcialiss ainsi que les rfrentiels mtiers et la doctrine demploi.
2- Daccrotre la synergie interministrielle, lOffice central devant accueillir des
fonctionnaires tant des Douanes que de la Direction gnrale de la consommation,
de la concurrence et de la rpression des fraudes ; ils auraient vocation participer
la gestion de la plate-forme PHAROS et aux groupes denqute les concernant
plus particulirement.
3- De renforcer le rle de coordination imparti lOffice, notamment par la cration
dune instance de coordination, anime par le chef de lOffice et regroupant les
responsables des diffrents services spcialiss au plan central dans la lutte contre
la cybercriminalit ; la future Mission Justice y serait reprsente de droit.
147
Au plan territorial, il sagit principalement de mieux articuler la carte des services
de police judiciaire spcialiss dans la lutte contre la cybercriminalit avec celle des juridictions
spcialises appeles en connatre.
Si pour PARIS, la prfecture de police, et notamment la Brigade denqute
spcialise dont elle dispose (B.E.F.T.I.), rpondent cette exigence, force est de constater quil
nexiste aucun service spcialis sur le reste du territoire, les fonctionnaires spcialiss (ICC
et NTECH) tant rpartis dans de nombreux services denqute et tant souvent utiliss en force
de soutien, principalement technique (cf., en annexe, la carte des ressources humaines existantes
et leur implantation gographique). Or, si lon entend que les juridictions inter-rgionales
spcialises de province soient en capacit de traiter les affaires de cybercriminalit les plus
graves en relevant, il est indispensable quelles disposent de services dinvestigation
spcialement forms.
Plusieurs modalits sont envisageables comme, par exemple, la cration
dquipes pluridisciplinaires interministrielles spcialises, sur le modle des groupements
dintervention rgionaux, qui, implants sur le mme site que les parquets et juridictions
spcialiss, seraient susceptibles dtre co-saisies avec un service de police judiciaire de droit
commun ; ou encore la cration dunits spcialises directement rattaches aux directions
inter-rgionales de police judiciaire ; ou bien enfin, hypothse qui a la prfrence de la Police
et de la Gendarmerie car elle sauvegarde le modle organisationnel actuel, le renforcement
significatif des personnels spcialiss affects tant aux directions inter-rgionales ou aux
services rgionaux de police judiciaire quaux sections de recherche siges des J.I.R.S.
Sur le reste du territoire, la question de la formation et de lquipement dun plus
grand nombre de policiers et de gendarmes prime, la plupart des spcialistes en fonction tant
accapars par lexploitation des supports numriques saisis loccasion des enqutes de droit
commun.
Enfin, lorganisation territoriale devra prendre en compte les attentes des
entreprises comme des services publics et des collectivits territoriales en terme de rfrents.
Recommandation n/ 11
relative lorganisation territoriale de la police judiciaire
Faire en sorte quau plan territorial, lorganisation de la police judiciaire prenne en
compte la carte des juridictions inter-rgionales spcialises, sous la forme de la
cration de services pluridisciplinaires ou de la constitution dquipes spcialises
dans la lutte contre la cybercriminalit

,,,,,,

En outre, la sous-direction de la police technique et scientifique (quivalent de lIRCGN pour la
120
Gendarmerie) comprend une section de linformatique des tlcommunications et de llectronique compose de
4 ingnieurs et de 10 techniciens
148
II.6.- Une consquence : Des moyens pour lutter contre
la cybercriminalit

Mme si la formation, pralable comme permanente, des magistrats et
des fonctionnaires doit mieux prendre en compte les questions de cybercriminalit, lefficacit
de la lutte contre cette dernire continuera reposer, pour lessentiel, sur des services et
personnels hautement spcialiss.
Or, compar ce dont disposent les Etats trangers voisins, la situation
franaise, en terme de ressources humaines, est proche de lartisanal.
Au plan judiciaire, si le parquet de PARIS dispose de 4 magistrats
spcialiss, si les cours dappel de PARIS et de VERSAILLES ont cr quelques magistrats
rfrents, si la Chancellerie a affect 2 magistrats au suivi de ces questions parmi bien dautres
missions, il nexiste aucune autre ressource judiciaire institutionnelle.
Au niveau de la police judiciaire, les ressources se limitent, au plan
central, aux effectifs de lOffice central (52, dont 1 ingnieur et 2 personnels administratifs) et
120
ceux de la Gendarmerie Nationale (50, dont une quinzaine dingnieurs). Quant au plan territorial,
outre la B.E.F.T.I. (25, dont 5 assistants techniques), un peu plus de 600 personnels spcialement
forms sont disponibles (366 I.C.C. pour la Police nationale, 260 NTECH pour la Gendarmerie
nationale). Les services administratifs spcialiss sont encore moins bien lotis, notamment les
Douanes (10 agents Cyberdouane ; 50 enquteurs et 10 analystes-experts au service spcialis de
la D.G.C.C.R.F.).

Dvidence, la russite des rformes organisationnelles proposes passe
par lattribution de ressources humaines supplmentaires, en priorit au parquet et au ple
dinstruction de PARIS comme dans les juridictions inter-rgionales spcialises, dj en sous-
effectifs ; il en est de mme pour les futurs services spcialiss dinvestigation au sige de ces
juridictions, ainsi que pour les services centraux.
.
Sy ajoute, sagissant des parquets, la ncessit de tenir compte de ce
que lon pourrait qualifier de comptence force, lie limplantation dun service denqute
spcialis dans son ressort (lO.C.L.C.T.I.C. . Nanterre) ou la localisation du sige social dun
gestionnaire, dun oprateur ou dun service de vente distance important, comme Lognes,
Roubaix ou Strasbourg.
Compte-tenu de ltat actuel des effectifs assigns lensemble des
tches rpressives, il parat illusoire de procder, autrement qu la marge, par redploiement,
sauf prendre le risque de gnrer dautres types de difficults. La situation, dj extrmement
difficile, notamment des parquets et des juridictions dinstruction spcialiss, ny rsisterait pas.
En outre, il convient de permettre lO.C.L.C.T.I.C. de recruter des
ingnieurs et techniciens spcialiss, tellement la lutte contre les diffrentes formes volutives
de cybercriminalit exige des comptences dont policiers et gendarmes, malgr leur motivation,
149
ne disposent pas. Quant la Gendarmerie, il est indispensable de conserver et de renforcer
lacquis actuel rsultant, en particulier, du recrutement dofficiers contractuels issus de
formations universitaires spcialises ou ayant dj travaill dans des administrations proches
(ANSSI, CALID, DGA...) et souhaitant poursuivre leur carrire dans lArme.
A titre de comparaison internationale, la structure centrale de la National
cyber crime unit (NCCU), office britannique comptence nationale pour
lutter contre la cybercriminalit, soit en traitant les cas les graves soit
sous la forme dun appui aux autres services de police est compose de
150 personnes, auxquelles sajoutent 60 spcialistes implants dans les
structures territoriales. Aux Pays-Bas, la National cybercrim unit est
compos de plus de 100 fonctionnaires au niveau central. En Espagne,
la nouvelle sous-direction affecte la lutte contre la cybercriminalit,
qui assure des investigations technologiques ainsi que des missions
relatives la scurit des systmes informatiques, comporte plus dune
centaine de fonctionnaires. Quant au parquet spcialis espagnol, il
comporte plus de 70 magistrats et celui de lAllemagne encore
davantage.
Reste aussi doter la future Dlgation interministrielle quil est propos
de crer la hauteur des missions qui lui sont confies, sans affaiblir pour autant les
administrations intresses et sans omettre la Mission Justice dont la ncessit est vidente.
Toutefois, au del des ressources humaines, il convient de prendre aussi
en compte les besoins en quipement, qui se chiffrent en millions deuros. Rien que le
renouvellement, pour 2014-2018, du march cyber relatif lquipement des investigateurs
cyber-criminalit de la Police Nationale (ordinateurs portables, mallettes forensic, logiciels
dexploitation complmentaires) est valu 6,5 millions deuros. Les besoins de la Gendarmerie
sont proches de ceux de la Police Nationale (5 millions deuros sur 4 ans). Mais ces chiffres,
calculs en fonction des effectifs actuels, ne prennent pas en compte la croissance, souhaite,
du nombre de ces investigateurs. Enfin, les besoins spcifiques des services centraux
spcialiss, tant de la Police que de la Gendarmerie, requirent des investissements pour
dvelopper de nouveaux outils de lutte contre la cybercriminalit, de lordre dun million deuros
sur 4 ans pour chacune.
Mme si le groupe de travail est conscient des contraintes budgtaires
actuelles, une politique pluri-annuelle de cration de postes et de crdits dquipements, la
hauteur de celle rcemment adopte, dans le cadre de la loi de modernisation de la Dfense
pour lAutorit nationale de scurit des systmes dinformation ou en faveur de la
cyberdfense, doit tre mise en oeuvre.
Il est craindre que sans cela, les rformes organisationnelles, juridiques
et stratgiques prconises restent sans effet.
150
Recommandation n/ 12
relative au renforcement des moyens affects
la lutte contre la cybercriminalit
Une stratgie globale destine renforcer leffectivit de la lutte contre la
cybercriminalit, compte-tenu des prjudices dont elle est lorigine et des enjeux
quelle reprsente, doit saccompagner dun renforcement significatif, en ressources
humaines et en crdits dinvestissement, des services spcialiss de police
judiciaire, et, pour la Justice, de son administration centrale, comme des parquets
et juridictions dinstruction de PARIS, de NANTERRE et des juridictions inter-
rgionales spcialises.

,,,,,,
151
L
a cybercriminalit : Des rponses
rpressives plus effectives
et davantage protectrices
Lorsque la prvention, la sensibilisation, la formation ne suffisent pas rpondre la
cybercriminalit, vient le temps de la rpression.
Lobjet des recommandations qui suivent poursuit un seul objectif - renforcer leffectivit
dune rpression encore trs lacunaire - tout en assurant une mise en cohrence parfois
perdue de vue et en veillant au respect des liberts fondamentales
comme une meilleure protection des victimes.
Cette recherche deffectivit ne requiert pas des modifications du droit pnal de fond, sauf
la marge pour rpondre certaines questions non encore rsolues ou insuffisamment
prises en compte (1).
En revanche, elle suppose dabord une clarification de la coopration attendue des
prestataires de service, notamment trangers, dans la mesure o leur rle est fondamental
en terme daccs, de stockage et de commerce sur Internet, et, partant, pour lidentification
des mis en cause comme pour le recueil de certains lments de preuve.
Lencadrement normatif existant doit tre mis jour et prcis (2).
Anonymisation, rapidit des transferts et des flux, extranit, autant de caractristiques de
cette dlinquance qui explique, tout la fois, sa croissance et les difficults spcifiques
rencontres par les services denqute : la toute premire des priorits passe donc par le
renforcement des moyens dinvestigation (3).
Mais, sagissant des contentieux de masse que recouvre, pour partie, la cybercriminalit,
ces moyens ne suffisent pas : il faut encore changer de modles organisationnels si lon
entend tre efficace et prserver les capacits des services locaux
tout en rendant plus pertinent la gestion des noms de domaine (4).
La coopration pnale internationale reste incontournable, mme si les instruments dont on
dispose actuellement ne sont pas encore la hauteur des enjeux (5).
Lintrt des victimes doit tre au centre des proccupations avec le souci de mieux
rpondre leurs proccupations (6).
Enfin, la politique pnale doit tre raffirme afin de donner une cohrence lensemble de
laction rpressive (7).
avis n/ 384.892 du 31.03.2011 (section des finances)
121
la Chambre criminelle, en son arrt n/ 07-84.002 du 4.03.2008, assimile au vol le fait de copier
122
sur des supports matriels des donnes et fichiers informatiques appartenant une socit afin de se les
approprier.
152
III.1.- Des incriminations suffisantes pour lessentiel

1 - A quelques exceptions prs, le droit pnal franais permet de saisir lensemble des
agissements rprhensibles relevant de la cybercriminalit, soit par le biais
dincriminations spcifiques, soit en ayant recours des incriminations plus gnrales,
dautant plus que lon a beaucoup lgifr depuis 15 ans en ce domaine et que partie des
nouveaux textes est encore sous-utilise.
En outre, comme la rappel le Conseil dEtat dans un avis rendu en 2011 ,
121
la jurisprudence de la Cour de cassation va dans le sens dune dmatrialisation des lments
constitutifs de certains dlits, par exemple lorsquelle admet que le dlit de vol soit constitu par
le simple fait de sapproprier, linsu de son propritaire, un document, quel quen soit le
support, pour la seule dure ncessaire pour le copier , ou celui dabus de confiance par le
122
dtournement dun bien quelconque pour dautres usages que ceux pour lesquels il a t
confi, ou encore celui descroquerie par lutilisation dun code de carte bancaire.
Plus avant, il doit tre not que, sagissant des attaques contre les systmes
dinformation, la lgislation franaise parat dj rpondre aux obligations rsultant de la
rcente Directive 2013/40 de lUnion europenne du 12.08.2013.
Pourtant, en ce domaine, nombreuses sont les propositions sectorielles ayant
pour objet la cration de nouvelles incriminations. Elles sont principalement motives par la
volont de dnoncer certains comportements proccupants et dafficher la dtermination de
lEtat les rprimer. Or, lon doit constater que, bien souvent, notre lgislation contient dj des
dispositions plus gnrales permettant une telle rpression.
En fait, ces prconisations en faveur de ladoption de dispositions spcifiques
renvoient, pour partie, un phnomne, plus gnral, de parcellarisation du droit pnal, chaque
administration technique, autorit indpendante ou association spcialise dans la dfense de
certaines catgories ayant par trop tendance prtendre ladoption de dispositions
particulires, ce qui nest pas sans consquence en terme de cohrence mais aussi de mise
en oeuvre pour des services de police et de justice essentiellement gnralistes.
Par del, est indirectement mise en cause la mthode traditionnelle de lgislation
la franaise en matire pnale, sur laquelle veillent le ministre de la Justice et celui des
Affaires trangres comme le Conseil dEtat, qui consiste toujours privilgier le recours des
infractions de droit commun et ne recourir des incriminations spcifiques que si les
premires savrent vritablement impuissantes saisir les nouveaux comportements
rprimer, mme lorsque les directives internationales paraissent prconiser plutt la dmarche
inverse.
Si une telle mthodologie requiert parfois du temps pour que la jurisprudence
fasse son oeuvre, elle prsente lavantage de limiter linflation pnale, dviter lobsolescence
153
qui menace des textes trop spcifiques notamment lorsque la criminalit savre
particulirement volutive, et surtout datteindre une plus grande effectivit dans la mesure o
les infractions courantes sont mieux connues et mieux appliques par des enquteurs et
magistrats qui sont, on la dit, pour lessentiel, des gnralistes.
Il nen reste pas moins que de telles propositions soulignent, juste raison, le
manque de lisibilit du corpus pnal existant en matire de cybercriminalit, mais les rponses
y apporter relvent davantage de la pdagogie (voir plus loin) que de ladoption de textes
nouveaux.

En rsum, lefficacit de la rpression passe moins par la cration de nouvelles
infractions que par ladoption de moyens destins renforcer leffectivit de la mise en oeuvre
des dispositions dj existantes, gnralement suffisantes, compte-tenu des obstacles
rencontrs par les services denqute et de Justice.
Recommandation n/ 13
relative au droit pnal gnral et au droit pnal spcial
en matire de cybercriminalit
Eu gard au caractre quasi-exhaustif du droit pnal de fond existant et au
risque de gnrer des incohrences tant en ce qui concerne les lments
constitutifs des infractions que les peines qui leur sont applicables, il est
recommand de limiter ladoption de nouvelles incriminations dans le
domaine de la cybercriminalit aux seules hypothses o les infractions de
droit commun savrent impuissantes saisir certains nouveaux
comportements rprhensibles. Il appartient au ministre du droit que
constitue le ministre de la Justice dy veiller.
Nanmoins, et compte-tenu des diffrentes rflexions en cours dont le groupe
de travail a t saisi, outre la transposition obligatoire en droit interne des plus rcentes
directives europennes, certaines rformes ponctuelles savrent opportunes.
* lusurpation didentit en ligne
Lusurpation didentit concerne plus de 300.000 personnes chaque anne
(source : CREDOC) et elle est, le plus souvent, commise en ligne. Elle est
incrimine soit lorsquelle est loccasion de commettre une infraction (art. 434-23
du code pnal), soit, depuis mars 2011, lorsquil en est fait usage, notamment sur
un rseau de communication au public en ligne, dans le but de nuire la
tranquillit dune personne ou de porter atteinte son honneur (art. 226-4-1 du
code pnal).
Incontestablement, Internet a accru, dans des proportions considrables, le
risque dune telle usurpation, notamment par le biais de la cration de faux
profils sur les rseaux sociaux.

Si lincrimination cre par la loi du 14.03.2011, en ce quelle vise lusage dune
ou de plusieurs donnes de toute nature permettant didentifier (un tiers), est
suffisamment large pour rprimer toute usurpation didentit numrique, y
compris au prjudice des personnes morales et donc des entreprises, les peines
prvues ne paraissent pas la hauteur des consquences subies par les
154
victimes, en terme dimmixtion dans leur vie prive, de prjudice financier et
datteinte la rputation. De plus, la note dorientation n/4 du Comit de suivi de la
Convention cybercriminalit en date du 5 juin 2013 souligne combien
lappropriation frauduleuse dinformations relatives lidentit sert la
prparation de nouveaux agissements criminels sous la forme de fraudes et
assimiles.
Telle est la raison pour laquelle deux propositions de loi ont t dposes,
respectivement le 24.07.2013 par M. Le FUR, dput, et le 10 octobre suivant,
par M. LAZARO, aussi dput ; la premire vise riger en circonstance
aggravante le fait de commettre lusurpation didentit par un rseau de
communication lectronique, la seconde propose une aggravation sensible des
peines encourues.
Recommandation n/ 14
relative lusurpation didentit
Compte-tenu de limportance et de la gravit de cette dlinquance, riger en
circonstance aggravante le fait que lusurpation didentit intervienne sur un
rseau de communication lectronique..
* les dlits datteintes aux systmes de traitement automatis de donnes
(art. 323-1 s. du C.P.).
Si les incriminations sont exhaustives, les dispositions relatives la pnologie
ne prennent pas suffisamment en compte limportance que peuvent revtir
certaines de ces attaques, notamment lorsquelles sont commises en bande
organise ou portent sur des oprateurs dimportance vitale.
Recommandation n/ 15
relative aux atteintes aux S.T.A.D.
Eu gard la gravit particulire que peuvent revtir les atteintes aux
systmes de traitement automatis de donnes (art. 323-1 s. du C.P.) et par
souci de cohrence avec les priorits affiches en matire de cyberdfense,
il est prconis
1- daccrotre le quantum des peines applicables, notamment sous la forme
de la cration dune circonstance aggravante de commission en bande
organise, punie de peines aggraves, le dlit de lart. 323-4 relatif
lassociation de malfaiteurs paraissant insuffisant ; au surplus, cette
incrimination est cohrente avec les propositions organisationnelles tendant
reconnatre une comptence spcifique aux juridictions inter-rgionales
spcialises.
2- de mettre en cohrence la circonstance aggravante tenant au type de
systme de traitement automatique de donnes vis, actuellement limite aux
systmes mis en oeuvre par lEtat, en ltendant, en harmonie avec les
dispositions du code de la Dfense, lensemble des oprateurs
dimportance vitale, quils soient publics ou privs, dans la mesure o les
intrts fondamentaux de la Nation sont en cause.
155
* lenvoi de spams massifs affectant la capacit des utilisateurs se servir
dInternet
Il est dabord noter que le Conseil de lEurope incite incriminer un tel
comportement.
Si la Cour europenne des droits de lhomme na pas eu se prononcer sur de
tels envois massifs, elle a toutefois estim, dans larrt MUSCIO c. ITALIE du
13.11.2007, propos dun spam pornographique reu par un internaute qui
soulevait la responsabilit de lEtat sur le fondement de lart. 8 pour dfaut
dobligations positives, que la rception de communications indsirables peut sanalyser
comme une ingrence dans la vie prive; toutefois, les utilisateurs du courrier lectronique, une
fois connects Internet, ne peuvent plus jouir dune protection effective de leur vie prive, et
sexposent la rception de messages indsirables, quils peuvent rguler par lexploitation de
filtres informatiques.
Si, incontestablement, dans pareille circonstance, lobligation positive de lEtat
nest que relative, il serait toutefois opportun de pouvoir incriminer les envois
massifs qui, non seulement constituent des entraves la libert de
communication par les effets techniques quils produisent, mais aussi
constituent de vritables pratiques dharclement, le plus souvent pour conduire
la faute partie des dizaines de milliers de personnes qui en sont souvent
destinataires et raliser, leur prjudice, de nombreuses escroqueries..
Cette modification serait dautant plus opportune que lenvoi de ces courriels
violent la rgle du consentement pralable instaur par la loi du 21 juin 2004 et
pose par larticle L.121-20-5 du code de la consommation.
Le projet de loi sur la consommation (cf. art. L.34-5 du code des postes et
communications lectroniques et le projet dart. L.121-22 du code de la consommation)
constitue une premire rponse, en prvoyant des sanctions administratives
sagissant des spams constitutifs de publicits commerciales intempestives.
Toutefois les autres pratiques ne sont actuellement aucunement rprimes,
mme si le projet de loi pour lgalit entre les hommes et les femmes - non
dfinitivement adopt ce jour - parat vouloir combler cette carence.
Il conviendra toutefois de dfinir les contours donner cette incrimination
(nombre minimum de spams, nature du message...).
Recommandation n/ 16
relative aux spams
Il est recommand dincriminer spcifiquement la pratique de lenvoi de
spams massifs, conformment aux prconisations internationales et aux
souhaits exprims par les associations de victimes et de consommateurs.
156
* le cyber-harclement, notamment entre adolescents
Dans le cadre de lexamen du projet de loi pour lgalit entre les hommes et les
femmes, un amendement a t dpos ayant pour objet dinstaurer, cot des
dlits de harclement moral et de harclement sexuel, un dlit gnral
dharclement commis par le biais des nouvelles technologies dinformation et de
communication, en vue dhumilier ou dintimider une personne. Vot par le Snat en
1 lecture, le nouvel article projet incrimine le fait, par tout moyen, de soumettre
re
une personne des humiliations ou des intimidations rptes, ou de porter atteinte
de faon rpte sa vie prive, et prvoit plusieurs circonstances aggravantes.
Si, en cours de dbats, la rfrence la notion, contestable sur le plan juridique,
dhumiliation a t carte, il nen reste pas moins quau regard tant de la
jurisprudence du Conseil constitutionnel qu la difficult rencontre dj par les
praticiens pour cerner le harclement moral de larticle 222-33-2 du code pnal,
alors mme quil fait rfrence un lment matriel prcis (la dgradation des
conditions de travail), lincrimination projete peut soulever des rserves.
Au regard toutefois de limportance et parfois de la gravit des pratiques
dnonces, mais qui concernent, il faut le rappeler, majoritairement des mineurs
entre eux (cf., sur ce point, les enqutes ralises par lEducation nationale), il convient
dabord de noter que la Cour de cassation juge dj que lincrimination des
appels tlphoniques malveillants ritrs en vue de troubler la tranquillit
dautrui (cf. art. 222-16 du code pnal) sapplique des SMS. Par ailleurs,
lenregistrement et la diffusion dimages de violence sont dj incrimins en tant
que tels (cf. art. 222-33-3 du code pnal). Les dlits de menaces sont aussi
applicables sous certaines conditions (art. 222-17 et 18 du code pnal). Enfin et
surtout, au regard tant de la jurisprudence que, depuis 2010, de la loi (cf. art. 222-
14-3, modifi par la loi du 9.07.2010), le comportement en question doit sanalyser
comme une violence psychologique, dj punissable.
Si lon entend toutefois sanctionner plus svrement ce type de harclement,
la solution la plus simple consisterait alors, sagissant des infractions de
violences ayant entran ou non une incapacit dune dure suprieure 8 jours
(art. 222-11 et 13 du code pnal), prvoir une circonstance aggravante tenant
leur commission par le biais dun rseau de communication lectronique.

157
Recommandation n/ 17
relative au cyber-harclement
Lincrimination spcifique du harclement par le biais dun rseau de
communication lectronique ne parat pas rpondre une vidente ncessit
eu gard aux incriminations dj existantes, notamment en matire de
violences.
Toutefois, si lon souhaite pouvoir sanctionner plus svrement ce type de
comportements, compte-tenu du prjudice et parfois des drames quil peut
engendrer, il est propos de prvoir une circonstance aggravante en matire
de violences.
Il est noter que, dans la mesure o de tels comportements rprhensibles
sont majoritairement le fait de mineurs sur des mineurs, la dmarche
prventive et pdagogique mise en oeuvre, par exemple, par lEducation
nationale doit tre privilgie.
* la violation du secret des affaires
Les rseaux de communication lectronique, notamment Internet, exposent
davantage les entreprises des risques despionnage industriel ou des
attaques visant rcuprer des donnes sensibles, alors mme que le
patrimoine social est de plus en plus compos de biens immatriels qui vont des
fichiers de clients aux procds de fabrication et aux mthodes de
commercialisation, et dont la valeur conomique est leve. Selon la
Commission europenne, 25% des entreprises de lUnion sestimeraient avoir
t victimes de vol dinformations confidentielles en 2012.
La jurisprudence a, tour tour, fait usage dinfractions de droit commun (vol,
recel, abus de confiance, violation du secret professionnel, espionnage) ou
dincriminations plus spcifiques (violation du secret de fabrication, intrusion dans un
systme de traitement automatis de donnes) pour rprimer cette ralit, mais pas
toujours avec succs eu gard aux conditions poses par certains de ces
textes.
Lintrt accru port la question de lintelligence conomique et les fortes
demandes manant des milieux professionnels ont incit lAssemble Nationale
adopter, le 23.01.2012 en premire lecture, une proposition de loi destine
crer un dlit sui generis datteinte au secret des affaires dune entreprise, texte
qui na toutefois pas prospr.

La question a connu une nouvelle actualit avec le projet de directive sur la
protection des savoir-faire et des informations commerciales non divulgues (secrets
daffaires) contre lobtention, lutilisation et la divulgation illicites, prsent le
28.11.2013 par la Commission europenne.
158
Au plan interne, la nouvelle Dlgation interministrielle lintelligence
conomique propose une rforme densemble du code de commerce, du code
de procdure civile, du code pnal, du code de procdure pnale et de la loi du
29.07.1881 sur la libert de la presse, et prconise notamment des mesures
spcifiques, tant civiles que pnales, pour protger, faire cesser ou rprimer les
atteintes au secret des affaires.
Recommandation n/ 18
relative au secret des affaires
Mme si figurent dj dans le droit positif des incriminations susceptibles
dassurer, pour partie, le secret des affaires, la cration dune incrimination
particulire semble opportune, compte-tenu tant des prescriptions rsultant
de la directive sur le commerce en ligne que des attentes des professionnels.
Une solution simple et directement oprationnelle consisterait incriminer
spcifiquement, au mme titre que le vol dlectricit (cf. art. 311-2 du code
pnal), le vol de biens immatriels que la Cour de cassation a commenc
consacrer.
* la peine de suspension du droit daccs Internet
Prvue par la loi HADOPI pour la protection du droit dauteur (cf., notamment, les
art. L. 335-7 s. du code de la proprit intellectuelle), le principe mme dune telle
peine a donn lieu de vifs dbats.
Comme lavait pourtant implicitement suggr le Conseil constitutionnel, une
telle peine parat tout fait pertinente lorsque des crimes ou dlits graves sont
commis au moyen dun rseau de communications lectroniques.
Il est ainsi prconis de lriger en peine complmentaire pour les infractions
commises par un tel moyen et mettant en pril un mineur soit sous la forme de
propositions sexuelles (art. 227-22-1 du code pnal), soit par le biais de la
pdopornographie (art. 227-23), soit au titre des atteintes sexuelles dans
lhypothse prvue par larticle 227-26 al. 4 du mme code.
Naturellement, leffectivit dune telle peine commande den assurer la
notification lensemble des fournisseurs daccs.
Recommandation n/ 10
relative la peine complmentaire de suspension
du droit daccs Internet
Crer, pour les infractions mettant en pril un mineur commises au moyen
dun rseau de communications lectroniques, une peine complmentaire de
suspension temporaire de laccs Internet, assortie de linterdiction de
souscrire, pendant la mme priode, un autre contrat portant sur un service
de mme nature auprs de tout oprateur.
En ltat, mme les gestionnaires de la table NATINF, qui disposent de la vision la plus prcise du
123
droit pnal franais, ne sont pas assurs du caractre exhaustif de linventaire ralis par leurs soins puisque, en
sus des incriminations existant dans le code pnal, le code montaire et financier (contrefaon des moyens de
paiement), le code de la proprit intellectuelle, le code des postes et des communications lectroniques, le code
de la consommation (cf. altration de marquage sur les produits, technique de la boule de neige...), la loi sur la
libert de la presse, la loi du 21.06.2004 pour la confiance dans lconomie numrique...et dautres encore
comportent des incriminations relatives la cybercriminalit, sans compter leurs textes rglementaires
dapplication.
Une telle duplication, mme si elle oblige renvoyer dans le code pnal des dispositions qui lui
124
sont extrieures, apparat particulirement utile pour les incriminations figurant dans des textes non codifis.
159
12 - Le constat des praticiens, en ce qui concerne le droit pnal de fond, est assez paradoxal
puisque, si la richesse de ce droit est gnralement salue, il est unanimement jug peu
accessible la fois compte-tenu de lparpillement des textes et dun manque
123
dhomognit, voire de cohrence, dans leur conception et leur rdaction, constat qui
renvoie, lui-mme, lhtrognit de limpulsion lgislative en la matire.
Sajoutant aux difficults relatives lidentification des mis en cause et au droit
de la preuve, ce manque daccessibilit contribue une insuffisante effectivit du droit
quattestent les statistiques de condamnations puisque certaines incriminations ne paraissent
gure avoir fait lobjet dapplication pratique.
Si partie de ces dispositions mritent dtre rcrites - notamment lart.6 de la
loi n/ 2004-575 du 21.06.2004 pour la confiance dans lEconomie numrique -, sur un plan
gnral diffrentes solutions peuvent tre envisages pour remdier ces difficults.
, quant au support normatif,
*si la solution de crer un code spcifique la cybercriminalit ne peut tre que
rejete au regard de la transversalit de cette dernire et du nombre
considrable dinfractions de droit commun quelle recouvre, il serait
ncessaire de redonner au code pnal lexclusivit qui tait naturellement
la sienne, conformment lesprit ayant prsid son adoption en 1992,
exclusivit qui pourrait prendre deux formes :
Lfaire figurer les incriminations dans ce seul code ;
L dupliquer lidentique dans ce code les incriminations prvues par dautres
textes (cf., les prcdents en matire routire ou sagissant des infractions la
lgislation sur les stupfiants), ce qui prsente lavantage de ne pas dmembrer
les textes en question tout en assurant une source unique pour les praticiens du
droit et en facilitant au ministre de la Justice le suivi de lvolution des
incriminations dans le temps .
124
Si la Commission suprieure de codification est rserve sur ce principe du
code pilote-code suiveur, le guide de lgistique prconisant de faire un renvoi
sans citation un titre, un chapitre ou des articles dun autre code, le groupe
interministriel estime que tant le principe daccessibilit et de lisibilit de la loi
par les justiciables que la recherche dune meilleure application par les
praticiens du droit commandent dapporter remde lparpillement existant.

ainsi, pour prendre lexemple des atteintes aux systmes de traitement automatise de donnes,
125
lart. 323-5 du C.P. comporte de nombreuses dispositions spcifiques, tant entendu que, sagissant de la peine
daffichage, la modification de lart. 131-35 par la loi du 21.06.2004 autorise laffichage par un service de
communication au public par voie lectronique.
160
*dans limmdiat, il est prconis de raliser une nomenclature unifie de
lensemble des incriminations existantes.
Si, a priori, une nomenclature distinguant, dune part, les infractions relatives
aux technologies de linformation et de la communication (infractions par nature)
et celles de droit commun commises par la voie lectronique (infractions de
contenu) apparat sduisante, elle prsente le dfaut dtre difficilement
accessible pour les non-initis.
Par cohrence avec la suggestion prcdente, il est prconis davoir
recours la nomenclature du code pnal et de mettre en exergue les
infractions spcifiques, tant dj incluses dans ce code que dpendant de
textes extrieurs. Lbauche dune telle nomenclature, renseigne partir du
texte mme des incriminations et comportant les visas de la table NATINF,
figure en annexe du rapport ; elle a t ralise, la demande du groupe
interministriel, par la direction des affaires criminelles et des grces.
Outre une meilleure apprhension des incriminations existantes, elle serait
susceptible de favoriser un plus grand recours aux peines complmentaires
spcifiques dj applicables, notamment pour mieux rpondre aux attentes des
victimes .
125
*dans un second temps, il est prconis de raliser, sur la base de la
nomenclature prcite, un corpus exhaustif, ayant vocation servir de base
la formation et largement diffus lensemble des praticiens du droit.
Un tel corpus aurait vocation regrouper
- les dispositions du droit international applicables,
- linterprtation faite par les Affaires Etrangres du droit franais au
regard des directives internationales : lorsque la France considre que
la cration de certaines incriminations prconises par des textes
internationaux nest pas utile au regard des textes dj existants,
linterprtation officielle faite doit donner lieu publicit ( lexemple de ce
que ralise le comit de suivi de la Convention dite de Budapest).
- Mais aussi, au regard de chaque incrimination - y compris et peut-
tre surtout de droit commun non spcifiquement vise par la loi
au titre de la cybercriminalit -, la jurisprudence, tant internationale
(Cour europenne des droits de lhomme, Cour de justice de lUnion
europenne) que franaise, compte-tenu du rle primordial quelle est
conduite jouer dans linterprtation, tant des nouvelles incriminations,
que des infractions gnrales.
161
A titre dexemple, il peut tre fait rfrence aux interrogations de la doctrine
quant lapplication de lincrimination de vol lhypothse de la soustraction de
donnes informatiques par recopiage, doctrine qui fait souvent rfrence au
jugement du tribunal de grande instance de CLERMONT-FERRAND, en date du
26.09.2011, en omettant de viser larrt prcit rendu en 2008 par la Cour de
cassation...
, quant au manque dhomognit, il est symptomatique, tout la fois, dune
conception clate des textes concerns dans lespace - entre divers
dpartements mais aussi avec une forte initiative parlementaire - comme dans
le temps, de la rapidit avec laquelle ces textes sont conus et examins, et
dune insuffisante reconnaissance du pilotage du ministre de la loi que
constitue la Chancellerie.
Le libell des circonstances qualifiantes ou aggravantes visant la
cybercriminalit mais aussi de certaines dispositions procdurales spcifiques
illustre ce phnomne, puisque, selon les textes en vigueur, lon vise tantt la
voie lectronique (cf. art. 226-15 du code pnal), tantt un moyen de communication
lectronique (art. 227-22-1 du code pnal, art. 706-25-2, 706-35-1, 707-47-3 du C.P.P.)
ou un rseau de communications lectroniques limit parfois un public non
dtermin (cf. art. 227-23 sur la pdo-pornographie, art. 222-24 8/, 225-7 10/, 227-11
al.1, 227-23 al.3, 227-26 4/ du code pnal) , tantt un rseau de communications (art.
225-12-2 du code pnal) ou un rseau de communication au public en ligne (cf. la
contrefaon aggrave rsultant de la loi de mars 2011, lart. 226-4-1 du code pnal),
tantt un service de communication au public en ligne (art. L.335-7 et autres du code
de la proprit intellectuelle)...
Une pareille htrognit suscite des interrogations chez les praticiens quant
aux intentions exactes du lgislateur, puisque ces diffrents concepts ont des
contenus plus ou moins larges.
Il mriterait une mise en harmonie, opre par ordonnance, autour dun
concept suffisamment large pour inclure Internet, mais aussi la tlphonie et
lensemble des technologies numriques en volution rapide, tel que celui de
communications lectroniques et de rseau de communications lectroniques, dj
dfinis par le code des postes et des communications lectronique (cf. art. L.32),
dfinitions auxquelles le code pnal pourrait explicitement renvoyer, sauf dans
lhypothse o lon voudrait spcifiquement viser Internet (mais il serait alors plus
simple den faire directement mention).

Il nen reste pas moins que, pour garantir, lavenir, une meilleure
cohrence des textes relatifs la cybercriminalit, il importe de confier la Chancellerie,
en tant que ministre de la loi pnale et civile, un rle de pilotage dans leur rdaction,
en lien avec les administrations et partenaires concerns : cest lun des buts poursuivis
par la recommandation prcdente ayant pour objet la cration dune mission spcifique
au sein du ministre de la Justice. La Dlgation interministrielle dont la cration est
aussi prconise devrait galement favoriser une meilleure cohrence des initiatives en
la matire et assurer un pilotage en amont.
162
Recommandation n/ 20
relative lamlioration de la lisibilit et de la cohrence
du droit pnal de fond
1.- afin dassurer la cohrence des incriminations tout en renforant leur
accessibilit, insrer lensemble de ces dispositions dans le code pnal,
conformment leur vocation. Cet objectif peut tre atteint soit en rapatriant
dans ce code les dispositions parses dans les autres codes ou les textes non
codifis, soit en les dupliquant systmatiquement.
2.- Concomitamment, veiller une mise en cohrence terminologique,
notamment sagissant tant de lextension de certaines incriminations la
cybercriminalit que des circonstances aggravantes intressant cette dernire.
3.- Dans limmdiat, et afin de favoriser une meilleure effectivit de la loi en
renforant son accessibilit, dresser et rendre accessible en ligne un corpus
exhaustif de lensemble des dispositions en question, avec, au regard, les
principales dcisions jurisprudentielles, internes comme internationales.

4.- Dans lavenir,
*Faire assurer, par la dlgation interministrielle dont la cration est
prconise, la mise en cohrence des initiatives normatives relatives la
cybercriminalit manant des diffrents dpartements ministriels, ainsi quun
dispositif de veille, tant sur le plan interne quau niveau international.
*Raffirmer, loccasion de la constitution dune mission spcifique au sein
du ministre de la Justice, le pilotage du ministre de la loi, qui devrait pouvoir
sappuyer sur un rseau de rfrents au sein des autres dpartements
ministriels.
,,,,,,
163
III.2.- de la coopration attendue des hbergeurs,
fournisseurs, daccs et autres prestataires de lInternet
et de son ncessaire encadrement

La coopration avec les professionnels de l'Internet est au coeur de la lutte
contre la cybercriminalit, puisqu'ils dtiennent les donnes susceptibles de permettre
d'identifier les auteurs d'infractions et de runir partie des lments de preuve et disposent des
moyens techniques de prvenir ces mmes infractions comme d'y mettre un terme.
Elle est aussi au coeur des difficults que rencontrent, quotidiennement, les
praticiens.
Si cette coopration s'est renforce ces dernires annes, bien que de manire
ingale, selon que le prestataire est franais ou tranger, selon aussi l'origine de la demande
(simple utilisateur, service d'investigation dconcentr vocation gnraliste ou service spcialis au plan
central), elle appelle aujourd'hui une clarification, de nature normative.
La loi n/ 2004-575 du 21 juin 2004 pour la confiance dans lconomie numrique,
a constitu une tape dcisive en adaptant au droit interne la directive 2000/31/CE du 8 juin 2000
de lUnion Europenne relative certains aspects juridiques des services de la socit de linformation,
et notamment du commerce lectronique.
Nanmoins, dix ans plus tard, les difficults d'interprtation que gnrent ce
texte fondateur dans son application ne sont toujours pas surmontes, d'autant plus que les
techniques ont volu et que les prestataires se sont diversifis. Par ailleurs, la croissance de
la cybercriminalit a accru les attentes l'gard des diffrents prestataires oeuvrant sur
Internet et commande aujourd'hui une clarification du rle qui leur est assign, afin que l'Etat
puisse jouer pleinement le rle qui lui est dvolu et que les victimes soient mieux protges,
comme le recommande d'ailleurs la directive prcite.
Il est aujourd'hui temps de redfinir un cadre global adapt aux obligations
de ces prestataires.

C'est, d'ailleurs, une dmarche identique que mnent le Conseil de l'Europe et
l'Union Europenne et c'est en tenant compte de leurs rflexions actuelles que les
prconisations qui suivent sont mises, mme si les difficults rencontres par les praticiens
en ont t le fil directeur.
L'irresponsabilit de principe des prestataires techniques n'est pas en cause (1),
mme s'il convient de prciser les hypothses dans lesquelles elle doit s'effacer, ne serait-ce
que pour ramener leurs justes proportions les rserves mises par les plus grandes socits
du march (2).
Le mme souci conduit le groupe interministriel souligner que les formes de
la coopration attendue de ces prestataires ne sauraient relever du seul partenariat, malgr
l'intrt vident qu'il reprsente, la protection de l'intrt gnral comme le principe de libre
concurrence ncessitant que la loi dfinisse et prcise les principes applicables (3).
164
L'tat des lieux dress par le groupe interministriel, la lumire tant des
observations des praticiens que de l'audition des principaux oprateurs, a mis en exergue deux
difficults principales ; l'une tient au fait qu'une partie de ces professionnels ne sont pas saisis
par le droit actuel ; l'autre a trait au positionnement particulier des grands prestataires
amricains qui s'estiment non soumis au droit franais. Le groupe interministriel fait des
prconisations pour y mettre un terme, tout en proposant d'tendre le rle de la future Plate-
forme nationale des interceptions judiciaires (4).
Il faut aussi prciser, sur le plan normatif, le type de mesures aujourd'hui
exigibles de ces prestataires afin que les autorits, tant administratives que judiciaires, puissent
disposer d'un cadre cohrent et stable ; pour dfinir ce cadre, le groupe interministriel a pris
en compte les quelques exemples offerts par le droit ou reposant sur le partenariat ainsi que
la ncessit d'atteindre une plus grande effectivit dans l'application de la loi et des dcisions
de justice (5).
Des dveloppements spcifiques concernent quelques mesures particulires
relatives la go-localisation ou au blocage des sites (6).
Enfin, les difficults relatives certains autres oprateurs sont abordes in fine
de ce chapitre (7).


cf. la dcision 496 DC du 10.06.2004 du Conseil constitutionnel relative la loi du 21.06.2004
126
165
1 - Le principe selon lequel lauteur du contenu, le directeur de publication ou lditeur
sont les responsables, civilement comme pnalement, de ce contenu - avec, en
corollaire, l'irresponsabilit de principe des prestataires techniques - doit tre raffirm
comme lexigent le droit de la responsabilit en matire civile comme pnale, celui de la libert
dinformation ainsi que les rgles internationales .
126
S'agissant des prestataires, ce principe est nonc en droit international,
notamment par la directive 2000 prcite, qui fixe des rgles prcises
dirresponsabilit du fait du contenu sagissant
- du fournisseur daccs Internet (le transporteur, art.12), dfini par l'art. 6.I
1 de la loi de 2004 comme la personne "dont l'activit est d'offrir un accs des
services de communication en ligne", la condition quil ne soit pas lorigine
de la transmission, ne slectionne pas le destinataire de la transmission, et ne
slectionne ni ne modifie les informations faisant lobjet de la transmission
- du transmetteur dinformation (art. 13), - c'est--dire, en droit interne (cf. art.
L.32-15/ du code des postes et communications lectroniques, rsultant de la
loi de 2004) "l'oprateur ou l'exploitant d'un rseau de communications
lectroniques ouvert au public ou fournissant au public un service de
communications" - la condition quil ne modifie pas linformation et quil se
conforme aux conditions daccs linformation et aux rgles de mise jour de
cette dernire ;
- de lhbergeur (art.14), dfini par l'art. 6.I.2.1 de la loi de 2004 comme la
personne physique ou morale qui assure "mme titre gratuit, pour mise
disposition du public par des services de communication au public en ligne, le
stockage de signaux, d'crits, d'images, de sons ou de messages de toute
nature fournis par des destinataires de ces services..."
Une telle irresponsabilit de principe repose sur un double constat : le rle
essentiel que jouent ces prestataires dans la transmission, la circulation,
l'acheminement et enfin l'accs par l'utilisateur des textes, images, sons et
autres donnes circulant sur Internet ; et le caractre purement technique d'un
tel rle, dans la mesure o il n'implique aucune intervention quelque stade que
ce soit sur les contenus ; elle a donc pour finalit dassurer la neutralit et donc
la crdibilit de lInternet (cf., notamment, la communication de la Commission
europenne lInternet ouvert et la neutralit de lInternet en Europe
(19.04.2011)
Lart.6 de la loi de 2004 intgre dans le droit national ces principes
dirresponsabilit pnale et civile, en particulier pour lhbergeur (cf. art.6-I,2 et
3), mais aussi implicitement pour le fournisseur d'accs ainsi que, titre de
consquence, le fait que ces deux catgories de prestataires ne sont pas
soumises une obligation gnrale de surveiller les informations quelles
transmettent ou stockent, ni une obligation gnrale de rechercher des faits
ou des circonstances rvlant des activits illicites (cf. art 6-I.7), cette dernire
disposition reprenant littralement les termes de l'art.15 de la directive.
.
Il appartient aux juridictions, nationales comme internationales, d'y veiller. La
Cour de Justice de lUnion europenne a ainsi rappel, dans une affaire qui
opposait la socit Belge des auteurs compositeurs et diteurs un fournisseur
daccs internet, quimposer un filtrage systmatique et sans limitation de dure
dans lintrt de la protection des droits dauteur un tel fournisseur
cf. arrt Scarlet Extended contre SABAM n/ C-70/10 du 24 novembre 2011, 35 et 36 ; cf. aussi,
127
sur lquilibre assurer entre le droit de proprit et notamment les droits dauteur et les autres droits
fondamentaux, l'arrt Promusicae CJUE C-275/06 du 29 janvier 2008
166
contrevenait labsence de devoir de surveillance gnrale pesant sur ceux-ci
.
127
cf. aussi, titre d'illustration, les polmiques ayant suivi l'arrt rendu, le 15.01.2014, par la cour
128
d'appel du district de COLUMBIA (U.S.A.) dniant au "gendarme" amricain des tlcommunications - la
Fdral communications commission -, la possibilit d'imposer aux fournisseurs d'accs des rgles pour assurer
la neutralit d'Internet, les fournisseurs amricains dsirant surtaxer les plus grands utilisateurs de bande passante
pour continuer les faire bnficier d'une vitesse de connexion maximale sur leurs sites ou services (cf. Le
Monde, 24.01.2014).
la jurisprudence a parfois dcid d'tendre la qualit d'diteur des socits qui se prsentaient
129
comme de simples hbergeurs : ainsi, en son arrt n/ 06-18.855 du 14.01.2010, la 1re chambre civile de la Cour
de cassation a procd une telle extension dans une affaire d'atteinte aux droits de proprit intellectuelle par
un site accessible via TISCALI, qui s'est vue assimile l'diteur pour avoir fourni des services excdant les
simples fonctions technique de recherche. Cette dcision a t toutefois critique. C'est sans doute la raison pour
laquelle cette mme chambre, en son arrt n/ 09-13.202 est revenue une position plus orthodoxe en jugeant que
relevait du seul rgime applicable aux hbergeurs la socit qui, ayant cr un site Internet, se borne structurer
et classifier les informations mises la disposition du public pour faciliter l'usage de son service mais sans tre
l'auteur des titres et liens hypertextes et sans dterminer, ni vrifier les contenus du site, en rsum sans avoir
jouer un rle actif de connaissance ou de contrle des donnes stockes. Mais c'est au niveau des juridictions du
fond, notamment parisiennes, que cette interprtation extensive est la plus forte.
arrt DELFI c. ESTONIE du 10.10.2013 ; une telle dcision rappelle la jurisprudence antrieure de
130
la Chambre criminelle et que cette dernire a d abandonner suite la dcision du Conseil constitutionnel 2011-
164 QPC du 16.09.2011
167
2.- Toutefois, une telle irresponsabilit de principe sefface lorsque, par leur action ou
leur inaction, ces prestataires agissent sur le contenu des informations ou refusent de
cooprer la mise en oeuvre des normes destines protger les droits d'autrui.
21 - Tel est, naturellement, le cas lorsque ces prestataires jouent, de fait,
un rle actif, en contravention avec les rgles prcites qui l'interdisent.
A cet gard, les autorits charges de veiller la protection des donnes
nominatives mettent quelques doutes sagissant du rle purement passif de
ces prestataires compte-tenu des capacits de filtrage quils dveloppent
notamment des fins conomiques (cf., par exemple, l avis du Contrleur
europen de la protection des donnes du 7.10.2011 sur la communication qui
suit) .
128
Un tel contrle revient, en premier lieu, aux juridictions, qui peinent toutefois
l'assumer compte-tenu et de la technicit requise, et de l'absence de
transparence de certains prestataires.
Toutefois, la jurisprudence a tendance aujourdhui interprter largement les
obligations gnrales qui psent sur les prestataires, en retenant ainsi leur
responsabilit, tout le moins au plan civil . Un rcent arrt de la Cour
129
europenne des droits de l'homme illustre aussi, en matire de presse, cette
130
volution, puisque la responsabilit civile dun site dinformation exploitant un
blog a t retenue pour des raisons tenant la fourniture de moyens par
lhbergeur : mme en labsence de connaissance du contenu litigieux, la
responsabilit du chef de diffamation est motive par labsence dun filtrage
suffisant et de modrateur efficace.
Mais, au-del mme du respect, par ces prestataires, de leur obligation
d'impartialit, les normes peuvent leur imposer certaines obligations
positives, et cela pour trois raisons.
168
22 - Le premier fondement est vident puisque, maniant des donnes
personnelles, ces prestataires doivent respecter les normes qui leur sont
applicables pour la protection de la vie prive.
La rcente condamnation de GOOGLE par la CNIL, ainsi que la mise en cause
de cette mme socit par d'autres autorits de rgulation similaires illustrent
de telles exigences comme l'importance qui s'attache un tel contrle, appel
s'accrotre dans le futur.
23 - le deuxime fondement tient au rle jou par ces prestataires qui, bien
que de manire non-intentionnelle, participent matriellement
laccessibilit des contenus contraires aux lois ou le favorisent.
Telle est la raison pour laquelle la directive 2000 prcite fixe deux premires
conditions supplmentaires lirresponsabilit des prestataires :
- sagissant du transmetteur dinformations : il engage sa responsabilit sil nagit
pas promptement pour retirer linformation quil a stocke ou pour en rendre
laccs impossible ds quil a connaissance du fait que linformation lorigine
de la transmission a t retire du rseau ou du fait que laccs linformation
a t rendu impossible, ou du fait quun tribunal ou une autorit administrative
a ordonn de retenir linformation ou den rendre laccs impossible (cf. art.13)
- sagissant de lhbergeur, lirresponsabilit tombe sil a effectivement
connaissance de lactivit ou de linformation illicites et, en ce qui concerne une
demande en dommages et intrts, () de faits ou de circonstances selon
lesquels lactivit ou linformation illicite est apparente et si, ds le moment o
il a de telles connaissances, il nagit pas promptement pour retirer les
informations ou rendre laccs celles-ci impossible (cf. art. 14).
La loi de 2004 en a tir des consquences en terme de suites donner par
l'hbergeur, voire par le fournisseur d'accs, aux signalements qui leur sont faits
(art.6).
24 - Il existe toutefois un dernier fondement aux limites de
lirresponsabilit des prestataires, qui tient ce que l'Etat, au titre de ses
obligations positives pour la dfense de la vie prive et de la libert
d'expression, doit pouvoir les mobiliser et leur assigner certains objectifs
exigs par la prvention ou la rpression des infractions commises via ou
sur Internet, dans la mesure o ils constituent un moyen souvent oblig pour
faire obstacle la poursuite dune violation du droit dautrui lgalement garanti,
et pour identifier ou mme localiser lauteur de ces atteintes ou encore runir
des preuves son encontre.
Une telle exigence relve de l'intrt gnral, qui doit primer sur les intrts
particuliers, y compris ceux des prestataires.
C'est ce que rappelle, sagissant des conditions et sauvegardes de nature
procdurale (cf. art. 15 de la Convention), le rapport explicatif de la Convention
sur la cybercriminalit, adopt le 8.11.2001, en soulignant, sans ngliger pour
autant les contraintes des prestataires, quune grande importance doit tre
accorde lintrt public, et notamment une bonne administration de la
justice... Dans la mesure o cela reste compatible avec lintrt public, les
CIV 1re n/ 07-12.244 du 19.06.2008 : l'obligation faite un fournisseur d'accs, dfaut de
131
l'hbergeur, de rendre inaccessible un site n'est pas subordonne la mise en cause pralable du prestataire
d'hbergement.
169
Parties devraient examiner dautres facteurs, tels que limpact du pouvoir ou de
la procdure sur les droits, responsabilits et intrts lgitimes de tiers, y
compris les fournisseurs de service, qui dcoule des mesures de coercition, et
les moyens pouvant tre mis en oeuvre pour rduire cet impact. En rsum, il
faut dabord prendre en compte la bonne administration de la justice et autres
intrts publics (comme par exemple la scurit et la sant publiques, et
dautres intrts, y compris les intrts des victimes et le respect de la vie
prive)...
25 - Pour autant, l'action de l'Etat n'est pas sans limites sur ce dernier
point :.
T les unes, gnrales, relvent du principe de proportionnalit qui doit
guider toute ingrence dans la vie prive ou la libert de communication
des internautes, ainsi que des garanties qui doivent l'accompagner (cf.,
sur ce point, le titre I, chapitre 6).
T les autres, particulires, rsultent de l'irresponsabilit premire des
prestataires et du principe de subsidiarit qui en rsulte.
Les textes internationaux comme les textes internes tablissent un principe de
subsidiarit, les mesures susceptibles dtre prises, notamment en terme de
filtrage ou de blocage, devant concerner, au 1 chef, les auteurs du contenu
er
illicite et les diteurs, ou, dfaut, les fournisseurs dhbergement et enfin les
fournisseurs daccs distance.
Cela nentrane nullement lobligation de mettre en cause
systmatiquement le niveau prcdent, comme la dj jug la Cour de
cassation , mais signifie simplement que la coopration des prestataires
131
techniques ne doit tre sollicite que si celle de lauteur du contenu ou de
lditeur savre, selon toutes vraisemblances, impossible ou vaine. En pratique,
cest labsence didentification de lauteur ou son extranit rendant impossible
sa mise en cause, qui incitent lEtat se tourner dabord, de prfrence, vers
lhbergeur, et, lorsque ce dernier est l'tranger, vers le fournisseur daccs.
Mais la mobilisation des prestataires peut aussi tre motive par lurgence
faire cesser la diffusion illgale.
170
3.- les formes que doit revtir la coopration des prestataires techniques et leur
encadrement
(31) - Le Conseil de lEurope recommande quau premier chef la coopration
entre, dune part, ladministration ou les services denqute, et, dautre part, les
prestataires de service que sont les hbergeurs et les fournisseurs daccs,
seffectue sur des bases partenariales, compte-tenu de lintrt commun de
crer un environnement informatique plus sr, plus fiable et mieux protg.
Les lignes directrices pour la coopration entre organes de rpression et
fournisseurs de services Internet contre la cybercriminalit adoptes en avril
2008 par la Confrence Octopus - qui nont pas valeur juridique mais doivent
aider appliquer les normes, notamment de procdure, - prconisent, de
prfrence une culture de confrontation, des changes dinformation, des
partenariats formels reposant sur des procdures de coopration crites et
standardises et la dsignation de points de contact (cf. aussi les lignes
directrices visant aider les fournisseurs de services Internet, dveloppes en
coopration avec lAssociation europenne des fournisseurs, 2008).
A titre dillustration, le Conseil de lEurope a rcemment sign avec
MICROSOFT un accord sur la contribution de cette socit au projet Octopus
(3.12.2013).
Au plan interne, des lignes directrices semblables inspirent, depuis prs de dix
ans, la dmarche des pouvoirs publics et des partenaires privs, sans se limiter
aux seuls prestataires nationaux :
- charte de lA.F.A. en matire de lutte contre la pdo-pornographie, le racisme
et la violence (juin 2004)
- charte des fournisseurs daccs dans la lutte contre le piratage de la musique
(Juillet 2004)
- charte des fournisseurs daccs en faveur du contrle parental sur laccs
Internet (novembre 2005)
- charte des plate formes de commerce en matire de commerce lectronique
(juin 2006)
- accords dits de lElyse en matire de lutte contre le piratage de la proprit
intellectuelle et artistique sur Internet (novembre 2007)
- charte dontologique des sites comparateurs de prix (juin 2008)
- charte de lutte contre la contrefaon sur internet (dcembre 2009)
- charte sur la publicit cible et la protection des internautes (30.09.2010)
(32) - Si une telle contractualisation - qui relve du partenariat public/priv
dj abord - a le mrite de mieux motiver lensemble des parties
prenantes, grce une meilleure prise en compte des contraintes de
chacun, elle ne saurait tre fonde que sur ldiction de normes claires,
tablissant les obligations pesant sur les prestataires techniques.
Procder autrement, c'est prendre le risque dtre confront, comme cest
dailleurs le cas actuellement, des situations trs htrognes susceptibles
dentamer leffectivit recherche dans le respect des droits des internautes et
de porter atteinte la concurrence.
Sans nier lvolution positive enregistre ces dernires annes, le constat opr
par le groupe interministriel a ainsi dmontr, en matire pnale,
lhtrognit des pratiques des diffrents prestataires, leur apptence plus ou
moins forte, particulirement sils sont trangers, conclure les engagements
Afin de mieux identifier les politiques suivies par chaque oprateur et prestataire important, le
132
groupe interministriel a tenu entendre leurs reprsentants mais les a saisi dun questionnaire prcis, qui figure
en annexe. Si tous ont accept de rpondre, les rponses des socits amricaines ntaient pas encore
parvenues lors de la clture du prsent rapport.
171
ncessaires la mise en oeuvre de la loi pnale franaise ainsi que les
132
consquences nfastes qui en rsultent pour les victimes, les administrations
techniques, les services de police judiciaire et lautorit judiciaire sagissant du
respect de la loi.
Il a aussi mis en exergue le fait que, si certains prestataires respectent
parfaitement les obligations lgales, d'autres s'en affranchissent pour partie, ce
qui porte, incontestablement, atteinte la concurrence.
Au surplus, il y a quelque paradoxe voir les plus grandes socits invoquer le
principe de neutralit qui les rgit pour refuser l'application de la norme
franaise et europenne, et estimer que les atteintes cette mme neutralit
sont admissibles au titre du partenariat. Seul un cadre normatif est de nature
viter aux prestataires la mise en cause ventuelle de leur responsabilit par les
auteurs de contenus lorsqu'ils portent atteinte ces derniers, sauf lorsque leur
action se fonde sur des dispositions contractuelles prvoyant des sanctions en
cas de commission d'infraction, auquel cas les rticences de ces socits ne
sont pas davantage acceptables.
Telle est la raison pour laquelle le droit international incite les Etats lgifrer
en cas de besoin.
Ainsi, la directive prcite du 8 juin 2000 prserve-t-elle, pour chaque type de
prestataire, la possibilit, pour une juridiction ou une autorit administrative,
conformment aux systmes juridiques des Etats membres, dexiger du
prestataire quil mette un terme une violation ou quil prvienne une violation,
voire, sagissant de lhbergeur, la possibilit, pour les Etats membres,
dinstaurer des procdures rgissant le retrait de ces informations ou les actions
pour en rendre laccs impossible (cf. art. 12, 13 et 14 in fine).
Le mme texte, aprs avoir pos linterdiction dimposer aux prestataires une
obligation gnrale de surveiller les informations quils transmettent ou stockent,
ou une obligation gnrale de rechercher activement des faits ou des
circonstances rvlant des activits illicites, prcise aussitt que les Etats
membres peuvent instaurer, pour les prestataires de service de la socit de
linformation, lobligation dinformer promptement les autorits publiques
comptentes dactivits illicites allgues quexerceraient les destinataires de
leurs services ou dinformations illicites allgues que ces derniers fourniraient
ou de communiquer, leur demande, les informations permettant didentifier les
destinataires de leurs services avec lesquels ils ont conclu un accord
dhbergement (cf. art. 15).
En outre, lexpos des motifs prcise que sont autorises les obligations de
surveillance applicables un cas spcifique rsultant de la lgislation nationale
(cf. 47) ainsi que les obligations de prudence susceptibles dtre imparties aux
hbergeurs et ce afin de dtecter et dempcher certains types dactivits
illicites (cf. 48).
Cest dailleurs cette unique fin que la Directive 2006/24/CE de lUnion du 15
mars 2006 sur la conservation des donnes gnres ou traites dans le cadre
de la fourniture de services de communications lectroniques accessibles au
172
public ou de rseaux publics de communications, a fix le principe dune dure
de conservation obligatoire comprise entre 6 et 24 mois.
Quant au groupe dit de lart.29", il a soulign, dans son avis 1/2008, que la
directive 95/46/CE du 24 octobre 1995 relative la protection des donnes
personnelles ne faisait aucunement obstacle ce que lEtat prvoit une
obligation de retirer ou de bloquer des donnes caractre personnel.
Enfin, la cohrence juridique recherche, doit sajouter une cohrence
institutionnelle.
La dtermination des obligations des prestataires techniques comme les
relations que lEtat doit entretenir avec eux doivent rpondre davantage de
cohrence puisque, actuellement, chaque administration, voire chaque service
spcialis est, sinon lorigine de normes spcifiques, du moins de
ngociations avec ces interlocuteurs de manire non-coordonne.
Cette parcellarisation de laction publique, encore aggrave par un recours
parfois dsordonn au partenariat, est source dhtrognit, voire de
contradiction tant dans lapplication de la norme que dans les pratiques ; elle
laisse aussi un large champ de manoeuvre aux interlocuteurs privs, confronts
une pluralit d'interlocuteurs ; elle gnre, en outre, pour ces mmes
prestataires, beaucoup d'incertitudes si les attentes sont contradictoires ou du
moins non homognes.
Elle introduit enfin une csure entre le droit administratif spcial et la procdure
pnale, dans la mesure o les services denqute comme lautorit judiciaire
nont pas qualit pour ngocier les modalits dapplication de la loi pnale.
Aussi est-il prconis, sous rserve des pouvoirs dj impartis certaines
Autorits administratives indpendantes, de confier la future Dlgation
interministrielle, par le biais dune agence consacre cet unique objet, le soin
dassurer la cohrence des projets normatifs relatifs aux obligations des
partenaires techniques en la matire, de ngocier ou de superviser les
conventions de partenariat utiles la mise en oeuvre de lapplication de la loi,
den contrler lapplication, voire den sanctionner la violation aux lieu et place
des sanctions pnales en vigueur.
173
Recommandation n/ 21
relative la clarification du droit relatif aux prestataires techniques
Clarifier et prciser les normes en vigueur relatives aux prestataires dits
techniques et aux obligations que la loi peut leur imposer, en.
1- raffirmant lirresponsabilit de principe des prestataires techniques au
regard du contenu des donnes figurant sur Internet, dans la mesure o ils
ont un rle passif vis--vis de ces derniers et respectent les obligations qui
leur sont fixes par la norme en terme de protection des donnes
personnelles, ou ayant pour finalit l'identification des auteurs des contenus
illicites, la runion des preuves leur gard et, dans les limites imparties par
la directive europenne, la prvention ou la mise d'un terme ces activits
illicites.
2- Posant expressment le principe que le non-respect de telles obligations
est de nature engager la responsabilit des prestataires, soit au titre de
laction civile entreprise par la personne lse, soit sous la forme de
sanctions administratives ou pnales.
3- Enonant que, lorsque lintrt public et la nature de l'obligation ne sy
opposent pas, la mise en oeuvre des obligations mises par la loi la charge
des prestataires techniques peut prendre la forme de conventions conclues
avec ces derniers.
4- Confiant, pour des raisons de cohrence et sous rserve des pouvoirs
propres de lAutorit judiciaire et des prrogatives dj reconnues par la loi
aux Autorits administratives indpendantes, la future dlgation
interministrielle, par le biais dune agence spcifique de rgulation, le rle
de veiller la mise en cohrence des projets de norme crant de telles
obligations, de ngocier ou de superviser les ventuelles conventions de
partenariat, de surveiller lapplication, par les prestataires, de ces obligations
et conventions, de servir de mdiateur aux internautes qui n'ont pu faire
reconnatre leurs droits par les prestataires et, sauf en cas d'injonction
pnale, de sanctionner administrativement le non-respect de la loi par ces
derniers.
Sagissant de Dailymotion, voir TGI Paris 3 chambre civile 1 section 15.04.2008 ; CASS 1
me re re 133
CIV. 17.02.2011, bull. I n/30 : le rencodage comme la structuration du site en rubriques permettant le
classement et donc la recherche des vidos ne transforment pas lactivit dhbergeur de cette socit en celle
dditeur dans la mesure o il ny a pas de choix ditorial.
Sur ce point, il est noter que, de manire gnrale, lUnion europenne parat estimer actuellement
134
que le statut dhbergeur tel que dfini par la Directive sur le commerce lectronique ne justifie pas dtre rvis
(cf. Communication de la Commission, janvier 2013), aux motifs que devaient tre privilgis des engagements
volontaires pris par les diffrents prestataires ainsi que les procdures de Notice and Take down.
Il nest toutefois pas sr que la jurisprudence suffise, elle seule, faire voluer suffisamment la notion
dhbergeur, bien qu'elle ait commenc le faire pour les sites de partage ou les plates-formes denchre
lectronique et les rseaux sociaux (cf. les dcisions rendues, en mars 2010 et juillet 2011, par la C.J.U.E., dans
les affaires GOOGLE et eBAY ; et celles rendues par la Cour de cassation, le 17.02.2011 Dailymotion et le
3.05.2012 eBAY).
Toutefois, et comme le souligne le ministre de lEconomie numrique, il nest pas certain que lapproche
consistant srier, un par un, et de faon analytique, les nombreux types de services numriques existants, puisse
prosprer au regard du caractre protiforme, multifonctionnel et mouvant de loffre de service en ligne.
174
4.- Ltat des lieux de la coopration entre les services de police et de justice et les
prestataires techniques
Les difficults rencontres sont de deux natures.
41 - la premire tient au fait que la norme actuelle ne rgit pas lensemble
des prestataires techniques
La dichotomie sur laquelle reposent les instruments juridiques actuels - les
hbergeurs et les fournisseurs daccs sagissant des donnes de connexion,
les seuls fournisseurs en ce qui concerne les interceptions de flux - est de plus
en plus battue en brche par lapparition, ces dernires annes, de prestataires
de service de plus en plus varis et hybrides. Outre les fournisseurs de
recherche et le positionnement particulier de Google, des rseaux sociaux
(comme Skyrock), des forums (comme Doctissimo), des plates-formes de
publication participative (telle Dailymotion ) cumulent le statut dditeur et
133
dhbergeur mais en ne fournissant que le cadre de la cration de contenus par
les internautes eux-mmes. Quant aux flux de communication en temps rel,
ils ne sont plus dsormais lapanage des seuls fournisseurs daccs mais
obissent des protocoles varis, mme sils restent domins par de grands
prestataires trangers (Skype notamment).
Sil nest pas de la comptence du groupe de se prononcer sur la question
gnrale tenant la prise en compte de nouveaux types de prestataires dans
les instruments internationaux actuels, question qui fait lobjet, actuellement, de
diverses rflexions au titre de la protection de la vie prive , il lui revient de
134
sinterroger sur lopportunit de soumettre certains dentre eux partie des
obligations positives actuellement applicables aux hbergeurs et aux
fournisseurs en ce qui concerne lapplication de la loi interne.
Si les diteurs de logiciels pour les navigateurs ou pour les messageries
(cf. Internet Explorer, Firefox, Safari...) intressent moins directement lobjet du
prsent rapport puisque les objectifs qui pourraient utilement leur tre impartis
relvent de la scurit informatique et de la prvention gnrale (filtrages anti-
virus, blocages de tentatives dhameonnage...sur la base notamment des listes qui
pourraient tre produites cet effet), il nen est pas de mme des fournisseurs de
moteurs de recherche.
175
En ltat, les fournisseurs de moteurs de recherche ne sont aucunement
rglements par le droit national.
Il en est de mme au regard de la Convention sur la cybercriminalit du Conseil
de lEurope, dans la mesure o cette dernire nvoque explicitement que les
hbergeurs et fournisseurs daccs (cf. art.1).
Toutefois, ils ne sont pas totalement absents de la directive europenne prcite
dont lexpos des motifs rappelle que la dfinition des services de la socit de
linformation, telle que figurant dans les directives 98/34/CE et 98/84/CE, qui
couvre tout service fourni, normalement contre rmunration, distance au
moyen dquipements lectroniques de traitement et de stockage des donnes,
la demande individuelle dun destinataire de services, concerne aussi, dans
la mesure o ils reprsentent une activit conomique, des services qui ne sont
pas rmunrs par ceux qui les reoivent, tels que les services...qui
fournissent des outils permettant la recherche, laccs et la rcupration des
donnes ( 18)...
Et une telle intgration est logique puisque, ainsi que le souligne lavocat gnral
de la Cour de Justice de lUnion Europenne dans ses conclusions en date du
25.06.2013 dans laffaire GOOGLE c. Agencia Espanola de proteccion de
Datos, laccessibilit universelle des informations sur Internet dpend, en ralit
des moteurs de recherche, qui jouent ainsi un rle crucial pour la socit de
linformation mais renforcent aussi, de manire non intentionnelle, la porte des
contenus illicites.
Sil ne cre pas, en principe, de contenu, le moteur de recherche constitue un
intermdiaire entre le fournisseur du contenu et linternaute en extrayant des
sites web des contenus quil indexe sur ses propres machines, ce qui lui permet,
de fournir lutilisateur un hyperlien vers les sites qui comportent les termes
recherchs par ce dernier. Ainsi, le service dun moteur de recherche consiste
en la fourniture doutils, la demande individuelle dun destinataire de services,
permettant de rechercher des informations, dy accder ou de les extraire. Le
fournisseur est rmunr, non par lutilisateur, mais par la publicit quil associe,
sous forme de contenu additionnel, en marge des rsultats de recherche, suite
des contrats passs avec des annonceurs qui, cette fin, se portent
acqureurs de certains thmes de recherche en tant que mots-cls.
En lespce, lAgence espagnole de protection des donnes nominatives avait
enjoint GOOGLE de retirer certaines donnes personnelles de lindex de son
moteur. Si, au regard de la Directive 95/46/UE du 24.10.1995 relative la
protection des personnes physiques lgard du traitement des donnes
caractre personnel et la libre circulation de ces donnes, lavocat gnral,
aprs avoir soulign le caractre inadapt de cet instrument au regard du dfi
actuel que constitue Internet, a mis lavis que linjonction en question ntait
pas, en gnral, juridiquement fonde, il ajoute quune procdure de
notification ou de retrait concernant les liens vers les pages web sources
comportant des contenus illicites relve, par contre, de la responsabilit
du droit national.
A dfaut de texte normatif interne, la jurisprudence a tendance, s'agissant du
droit de la responsabilit, appliquer les mmes critres gnraux quaux
autres prestataires en vrifiant si le fournisseur du moteur de recherches a eu
un rle passif et impartial, ou, au contraire, un rle actif dans la diffusion du
contenu, par exemple, dans la slection des mots-cls et dans la rdaction des
messages publicitaires
Au plan international, lon pourrait aussi citer, sagissant de la responsabilit dun moteur de
135
recherches en ce qui concerne une marque protge, larrt C.J.C.E. C-236-08 C-238/08, Google France
SARL, Google INC c. Louis Vuitton Malletier SA, Viaticum SA, le Centre national de recherche en relations
humaines SARL, Pierre Alexis THONET et autres, du 23.03.2010.
176
Ainsi, la 1 chambre civile de la Cour de cassation, en son arrt n/ 11-20.358
re
du 12.07.2012, a-t-elle cass la dcision dune cour dappel qui avait refus la
mise en cause du moteur de recherche GOOGLE, via la fonctionnalit Google
Suggestion, par une socit de dfense des droits dauteur, laquelle invoquait
le fait que GOOGLE proposait automatiquement dassocier la requte initiale
des termes de recherche portant sur des noms dartistes ou doeuvre, dautres
termes supplmentaires correspondant des systmes de tlchargement
illicites ; la Cour de cassation a considr que, par une telle association, fut-elle
automatique, GOOGLE contribuait au tlchargement illgal, le requrant tant
alors fond en demander la suppression afin de rendre plus difficile la
recherche de tels sites .
135
Au-del de cette question gnrale de responsabilit, rien ne justifie
que les moteurs de recherche soient exclus des obligations pesant
sur les hbergeurs et les fournisseurs daccs ayant pour objet la
prvention et la sanction des contenus illicites figurant sur
Internet.
Telle parat tre aussi linterprtation du Groupe de lUnion dit de larticle 29"
qui, dans son avis 1/2008, prcise que lEtat membre peut prvoir une obligation
de retirer ou de bloquer des donnes caractre personnel, en fonction du droit
de la responsabilit civile dlictuelle, et, sagissant des fournisseurs de moteurs
de recherche, un droit de notification et une obligation de retrait, que ces
socits doivent excuter.
Il est noter que certains de ces fournisseurs contribuent dj, volontairement,
la surveillance du net, soit sous la forme de leur participation lA.F.A. dans
le cadre de la surveillance spcifique dj cite prvue par lart. 6-I.7 (alors que
les moteurs de recherche ne sont pas concerns par ce texte), soit dans le
cadre de la Charte contre la contrefaon, soit mme par le biais dun filtrage
pralable des rsultats de recherche ; ainsi, selon les informations en
provenance de la Cour de justice de l'Union europenne, GOOGLE France
filtrerait dj, sans lnoncer publiquement, les objets de collection nazis, les
ngationnistes de lholocauste, les partisans de la suprmatie blanche et les
sites faisant de la propagande lencontre de lordre constitutionnel
dmocratique, ce qui ne saurait sexpliquer, compte-tenu du principe de
neutralit qui simpose aux prestataires techniques et qui conditionne leur
irresponsabilit, que par le fait que ce fournisseur considre, juste raison, quil
ne fait en cela quappliquer les normes qui simposent implicitement lui.
En outre, tous ces fournisseurs recourrent dj des "listes noires" s'agissant
des sites qu'ils veulent exclus de leur indexation comme mettant en place des
techniques frauduleuses en vue d'augmenter leur position de classement dans
le moteur de recherche.
Enfin, la loi n/ 2010-476 du 12 mai 2010 relative aux jeux d'argent et de hasard
en ligne a ouvert la voie puisque l'ARGEL peut solliciter du juge des rfrs
parisien "toute mesure destine faire cesser le rfrencement du site d'un
oprateur...par un moteur de recherche ou un annuaire" (art. 61).
cf. rapport d'activit 2012
136
177
Si lefficacit dune mesure de dsindexation ou de drfencement est
sujette caution dans certaines hypothses (ex. des spams), elle est
adquate de manire gnrale pour les raisons dj exposes et, tout
particulirement, pour les sites commerciaux. Au surplus, elle est simple
et peu coteuse mettre en oeuvre pour le prestataire requis et fait
lconomie du risque pour les tiers que peut gnrer un blocage. La
Commission nationale de l'informatique et des liberts parat dailleurs
prconiser des mesures similaires afin de protger un nouveau droit
loubli ; il en est de mme du Conseil suprieur de la proprit littraire ou
136
artistique par rfrence aux actuelles dispositions de l'art. L.336-2 du
code de la proprit intellectuelle telle qu'interprte par le tribunal de
Paris. Aussi, il est temps d'en poser le principe dans la loi.
Recommandation n/ 22
relative aux obligations des fournisseurs de moteurs de recherche
Prvoir quau mme titre que les hbergeurs et les fournisseurs daccs, les
fournisseurs de moteurs de recherche doivent contribuer, lorsquils en sont
requis par la loi, la prvention ou la sanction des contenus illicites.
42 - la seconde difficult tient l'extranit juridique revendique par
certains prestataires techniques.
Le constat dress par l'O.C.L.C.T.I.C. et le S.T.R.J.D. montre que, pour
l'essentiel, l'obtention de donnes de connexion comme les interceptions de flux
ne rencontrent pas de difficults de principe s'agissant des oprateurs de
communications lectroniques franais (Orange, SFR, FREEE, Bouygues
Tlcom, Numricable...).
De manire gnrale, la France peut d'ailleurs se rjouir de disposer d'acteurs
majeurs de l'conomie numrique (0VH, Skyrock, Dailymotion...).
Dans l'avenir, un enjeu stratgique pour la lutte contre la cybercriminalit est que
l'Etat puisse garantir les conditions du maintien de ces socits sur son sol, au
triple plan conomique, fiscal et juridique, et favoriser l'essor de nouveaux
acteurs franais ou europens.
En revanche, la coopration avec les entreprises trangres, en majorit
amricaines (Google, Facebook, Twitter, Microsoft, Yahoo...), butte sur le refus
de ces socits de reconnatre et donc de se soumettre tout ou partie du droit
franais, tant pour des raisons d'organisation, que de culture ou pour des motifs
juridiques. Par voie de consquence, cette coopration repose, au principal, sur
le principe du consensualisme, que les reprsentants de ces socits ne
manquent pas d'invoquer dans le cadre des discussions...
La consquence, c'est que, si le niveau de coopration va en s'amliorant du fait
des relations quotidiennes entretenues par l'O.C.L.C.T.I.C., le S.T.R.J.D.,
CyberDouanes et d'autres services spcialiss, les prestations restent trop
htrognes comme dpendant, pour une bonne part, de la politique dfinie par
et qui n'envisagent pas de la supprimer pour des raisons fiscales...
137
Google efface les donnes des comptes devenus inactifs aprs une dure indtermine ; Twitter
138
semble les conserver pendant 2 ou 3 mois, mme s'il invoque une dure maximale lgale de 18 mois ; Facebook
parat donner la priorit la conservation des donnes de cration de compte, au dtriment des donnes de
connexion...
Cette mme stratgie est dfendue devant les juridictions civiles, ce qui a conduit certaines
139
juridictions (cf., notamment, le jugement en rfr rendu par le T.G.I. de Paris le 24.01.2013 dans une affaire
mettant en cause Twitter) faire application des dispositions de l'article 145 du code code de procdure civile
qui, compte-tenu de la jurisprudence de la Cour de cassation, autorise la juridiction civile faire application de
la loi franaise pour ordonner toutes mesures d'instruction utiles : c'est dans ce cadre que la juridiction a ordonn
178
chaque socit, dans la mesure o le droit amricain ne joue pas de rle
d'harmonisation et que les intrts conomiques de chacune prdominent.
Les principales difficults recenses s'agissant des socits amricaines ont
trait :
- l'absence de reprsentation franaise mandate pour les obligations
lgales, ce qui pose, d'vidence, des difficults en terme d'changes et de
ractivit (Facebook, Twitter) ; en outre, celles de ces socits qui disposent
d'une dlgation en France , la limitent un objet commercial et refusent
137
qu'elles puissent tre juridiquement saisies de demandes qui doivent
obligatoirement viser la socit-mre amricaine, sous peine d'tre rejetes.
Il est noter, sur ce point, que la loi du 12.05.2010 sur lautorisation des jeux en
ligne a dj impos que les socits concernes aient une reprsentation en
France. Il serait des plus utiles que les fournisseurs daccs trangers les plus
importants sy rsignent, ne serait-ce que pour donner tout son sens au
partenariat auquel elles sont attaches, dans la mesure o il nest pas simple
de devoir ngocier avec les responsables des services juridiques des filiales
irlandaises de socits amricaines...
- labsence de politique homogne concernant la conservation des donnes.
Alors que le droit franais prvoit une dure dun an, sagissant des donnes
techniques ou de connexion, comme, sous rserve de lautorisation dun juge,
pour les donnes de contenu (voir le chapitre suivant), les socits amricaines
paraissent avoir des pratiques trs diverses, quelles se refusent, pour linstant,
afficher , ce qui est de nature faire obstacle tant au gel des donnes (sur
138
la base dune directive europenne que, pourtant, les U.S.A. ont ratifi) quaux
rquisitions.
- le refus de rquisitions : cest la question la plus proccupante.
Les socits amricaines se fondent, non seulement sur le droit amricain
compte-tenu du lieu suppos de stockage des donnes, mais aussi sur lart.5
de la loi du 6 janvier 1978 relative linformatique, aux fichiers et aux liberts,
qui ne soumet la loi franaise que les traitements de donnes caractre
personnel dont le responsable est tabli sur le territoire franais ou qui, sans
tre tabli sur ce territoire ou celui dun Etat membre de lUnion, recourt des
moyens de traitement situs sur le territoire franais, ainsi que sur le fait que la
loi du 21 juin 2004 est taisante sagissant du champ de comptence franaise
en ce qui concerne les prestataires techniques .
139
la communication aux requrants des donnes d'identification de gestionnaires de sites connotation raciste,
raison pour laquelle certains services d'investigation conseillent, parfois, en dsespoir de cause, aux victimes de
recourir la voie civile.
179
Afin dy pallier, les services denqute ne procdent pas sous la forme de
vritables rquisitions mais sous celle de demandes de renseignements ; la
Chambre criminelle a, rcemment, valid de telles pratiques sur le fondement
du principe de la libre remise, aux motifs que la limitation de la comptence
territoriale dun officier de police judiciaire ne lui interdisait nullement de solliciter
des renseignements lextrieur de sa zone de comptence, y compris
ltranger (CRIM, plnire, 6.11.2003).
Toutefois, mme si elles visent les textes du code de procdure pnale
applicables aux rquisitions, ces demandes nont pas de force coercitive et
sexposent, par voie de consquence, des refus.
Effectivement, mme si elles ne sont pas indiffrentes aux exigences
franaises, les rponses de ces socits sont fonction et des capacits de
traitement dvolues par ces entreprises leurs services juridiques, et de
critres inconnus quelles dterminent elles-mmes, tenant soit la nature des
infractions concernes (Twitter limite ses rponses aux serious crimes, tant
entendu que lensemble des socits amricaines sont aussi rticentes donner suite
aux demandes visant une infraction dite de presse, eu gard la conception amricaine
de la libert dexpression), soit des conditions de territorialit.
Ainsi Google et Facebook ne rpondent-elles aux demandes que lorsque les
utilisateurs concerns sont Europens (pour le premier) ou Franais (pour le
second), par rfrence au seul critre de ladresse IP ; en cas contraire, Google
fait mention du pays concern, afin de permettre aux enquteurs franais de se
retourner vers celui-ci, Facebook avisant, quant elle, les autorits du pays
concern, mais sans dvoiler ce dernier aux enquteurs franais.
Autant dire que de nombreuses enqutes, y compris relatives la
dlinquance organise, se heurtent labsence de coopration de ces
socits, qui font bnficier ainsi les dlinquants concerns, qu'ils
agissent depuis la Chine, de pays Africains ou de cyber-paradis, dune
vritable impunit qu'elles sont, l'vidence, incapables de justifier qu'on
on les invite le faire.
- le non-respect des conditions de confidentialit : lexception de Google,
la majeure partie des autres socits amricaines (notamment Twitter et Facebook)
portent la connaissance des titulaires de comptes les demandes de gel
comme les rquisitions qui les concernent, sauf si lenquteur prcise
expressment, dans sa demande, que les investigations ne doivent pas tre
divulgues. De telles pratiques de notification, dailleurs expressment
contraires la procdure pnale franaise, sont de nature ter toute efficacit
aux investigations.
Il rsulte de tout ce qui prcde que les administrations techniques
comme les services de police judiciaire, sont souvent vous
limpuissance, tant en ce qui concerne lidentification des auteurs de
180
contenu et le recueil des lments de preuve, que pour les mesures
destines mettre un terme linfraction. Une partie des classements sans
suite dcids par les parquets, qui signent l'impossibilit de l'Etat de protger
les cyber-victimes, sexpliquent aussi par une telle difficult. Quant aux
tribunaux, ils se heurtent de vritables obstacles pour faire valoir les droits
individuels et lapplication de la loi, tant civile que pnale.
LLe groupe interministriel estime quun tel positionnement de socits
trangres qui, tout en ayant des millions dabonns ou dutilisateurs sur
le territoire franais et en engrangeant des bnfices substantiels tirs de
l'exploitation des donnes personnelles des ressortissants franais des
fins publicitaires, refusent dlibrement dappliquer certaines obligations
lgales internes ayant pour objet la lutte contre la cybercriminalit et
soumettent leffectivit de cette dernire leur apprciation, nest plus
admissible.
Si loutil Internet facilite lanonymat et lirresponsabilit, sil ne faut pas esprer
une collaboration de la part de dlinquants qui se rattachent la criminalit
organise, au moins peut-on attendre des professionnels que sont les
prestataires techniques concerns exerant leur activit sur le territoire franais
une autre attitude. Mais il y va aussi, comme il a dj t dit, dune concurrence
quilibre entre les socits franaises et trangres, comme au sein mme de
ces dernires.
Au plan international, si tout un chacun saccorde reconnatre que ltat actuel
nest pas satisfaisant et quil ne saurait y tre remdi, sagissant de lobtention
des donnes didentit et de connexion, par lentraide pnale ou civile
internationale, deux moyens sont prconiss pour y pallier.
*les autorits amricaines incitent ainsi leurs interlocuteurs trangers saisir
directement de leurs demandes, lorsquelles portent sur de telles donnes, les
fournisseurs dInternet. Ce processus public/priv, que prconisent aussi - on
la vu - les socits de droit amricain, revient lgitimer le statu quo avec
toutes ses effets nfastes ; en outre, les autorits franaises sont plus que
rticentes accorder la rciprocit aux autorits amricaines sagissant des
prestataires franais - qui, eux, joueraient pleinement le jeu -, pour des raisons
que lactualit rcente conforte sans nul doute.
*Sur le plan Europen, si lUnion apparat rticente effectuer un distinguo
selon la nature des donnes, alors mme que toutes ne sont pas de mme
nature, y compris au regard des liberts individuelles, le Comit de suivi institu
par le Conseil de lEurope au titre de la Convention sur la cybercriminalit y
rflchit actuellement ; mettant en exergue le fait que 80% des demandes de gel
portent sur ladresse IP, il envisage, pour les infractions les plus graves, de
faciliter lchange sur le premier type de donnes, hors le systme dentraide
pnale, sous la forme dune rquisition policire qui pourrait alors donner lieu
validation judiciaire.
Le Comit souligne, cet gard, quun tel dispositif rpondrait lesprit de la
Convention, qui, en son art.30, souligne la ncessit que le gel rapide des
donnes soit suivi dune divulgation aussi rapide des donnes ainsi conserves.
Au plan civil, la comptence de chaque Etat membre s'agissant du traitement des donnes
140
nominatives est actuellement rgie par l'art.4 de la directive 95/46/CE, rdig avant l're d'Internet : il faut que le
traitement soit effectu dans le cadre des activits d'un tablissement du responsable du traitement sur le
territoire de l'Etat-membre ou, si le responsable n'est pas tabli sur le territoire de l'Union, qu'il soit fait recours,
des fins de traitement, des moyens situs sur le territoire de cet Etat.
art. 3.2. du projet de rglement europen sur la protection des donnes personnelles :
141
"Le prsent
rglement s'applique au traitement des donnes caractre personnel appartenant des personnes concernes
ayant leur rsidence sur le territoire de l'Union par un responsable du traitement qui n'est pas tabli dans
l'Union, lorsque les activits de traitement sont lies : a) l'offre de biens ou de services ces personnes
concernes dans l'Union ; ou b) l'observation de leur comportement".
les conclusions prcites en date du 25.06.2013 dans laffaire GOOGLE c. Agencia Espanola de
142
proteccion de Datos sont riches denseignements sagissant de GOOGLE. La socit Californienne GOOGLE
Inc. dispose de filiales dans plusieurs Etats membres de lUnion (BELGIQUE, FINLANDE...), dont les activits
sont coordonnes par sa filiale Irlandaise ; en lespce, la filiale GOOGLE SPAIN est prsente comme une
simple reprsentation commerciale, ne grant aucun traitement de donnes caractre personnel sauf lgard
des annonceurs espagnols. GOOGLE se refuse, dans le mme temps, situer exactement au plan gographique
les traitements de donnes affrentes aux personnes rsidant dans lUnion pour le fonctionnement de son moteur
de recherche. Privilgiant, linstar du Groupe des 29, une approche conomique, lavocat gnral estime que
chacun des tablissements joue un rle significatif dans le traitement des donnes (vente de publicits cibles en
fonction de lEtat considr, fourniture de noms de domaines Internet nationaux, activit du moteur de
recherche tenant compte de la diversification nationale dans laffichage des rsultats de recherche...).
181
*Quant au Groupe de larticle 29", s'agissant de la protection des donnes
personnelles , il a propos, soutenu en cela par la Commission, une
140
interprtation plus large du principe de comptence territoriale destine viser
des oprateurs non tablis en Europe ; ce dernier reposerait sur le ciblage du
public vis, ou, en dautres termes, loffre de biens ou de services aux
personnes rsidant dans lEtat considr . Cette approche est juge aussi
141
compatible avec la jurisprudence de la Cour de justice de l'Union europenne.
Le projet de rglement europen sur les donnes personnelles officialise une
telle approche en appliquant la norme europenne des oprateurs non tablis
en Europe mais ciblant des donnes de rsidents europens (cf. art.3.2, expos
des motifs 20 et 21).
La Cour de Justice de lUnion europenne sintresse aussi cet tat de fait ;
aprs avoir runi des lments d'information intressants sur la stratgie
poursuivie par GOOGLE , elle vient de rendre une dcision qui va aussi dans
142
le sens d'une extension de comptence. En effet, dans l'arrt rendu le 3 octobre
2013 (C-170/12 - Pinckney/KDG Mediatech AG), la Cour de Justice nonce, sur
une question prjudicielle de la Cour de cassation franaise et contrairement
l'avis de l'avocat gnral, qu'est comptente pour connatre d'une violation
allgue d'un droit patrimonial d'auteur la juridiction de l'Etat membre qui
protge les droits patrimoniaux dont le demandeur se prvaut et dans le ressort
de laquelle le dommage allgu risque de se matrialiser, ds lors que cette
violation a t commise "par l'intermdiaire d'un site Internet accessible dans le
ressort de la juridiction saisie".
Toutefois, lvolution des normes internationales sur ces diffrents points
demandera encore plusieurs annes.
Telle est la raison pour laquelle le Groupe interministriel a choisi une
autre solution, relevant de laction souveraine de la France, consistant
A noter que l'actuel projet de loi sur la consommation ouvre d'ailleurs la voie puisque le futur art. L.
143
139-1 du code du mme nom s'apprte dfinir ce qu'il faut entendre par "lien troit avec le territoire d'un Etat-
membre" par rfrence, entre autres, au fait que "le professionnel dirige son activit vers le territoire de l'Etat
membre o rside le consommateur" ou que "le contrat a t prcd dans cet Etat d'une offre...ou d'une
publicit...".
182
soumettre lensemble des prestataires oeuvrant sur le territoire national,
quils soient franais ou trangers, un corpus commun dobligations
fond sur la loi et relatif tant la fourniture des donnes didentit et de
trafic qu des mesures de coopration destines prvenir ou mettre
un terme des agissements ou contenus illicites, cela dans le strict
respect de lexigence de confidentialit .
143

Recommandation n/ 23
relative aux obligations des prestataires techniques trangers
l'gard de la loi franaise
Prvoir que les obligations normatives, tant civiles, que pnales ou
administratives, imposes aux prestataires concernent non seulement les
prestataires franais ou installs en France, mais aussi les prestataires
trangers exerant une activit conomique sur le territoire secondaire, fut-elle
accessoire, par exemple sous la forme dabonnements ou de contrats
publicitaires, ou offrant des biens ou des services, mme titre gratuit, des
personnes de nationalit franaise ou domicilies sur le territoire national, et
cela indpendamment du lieu d'implantation de leur sige social et du lieu de
stockage de leurs donnes.
43 - la troisime et dernire difficult rencontre par les services dinvestigation,
essentiellement territoriaux et non spcialiss, tient la formalisation des
demandes.
Ils rencontrent, en effet, des difficults pour mettre en forme les demandes en
fonction des modalits, dailleurs htrognes, imposes par les prestataires,
mais aussi en ce qui concerne la clrit des rponses souhaites du fait dun
recours trop systmatique la notion durgence ou dun manque de diligence
des destinataires.
Outre leffort de formation dj voqu, il sagit ici de faciliter et dacclrer les
rquisitions adresses aux oprateurs, hbergeurs et fournisseurs daccs, en
les formatant davantage ainsi que les circuits dacheminement.
Dj, le ministre de lIntrieur, par la cration de guichets unique tlphonie et
internet (G.U.T.I.) - dont dispose chaque direction centrale ( lO.C.L.C.T.I.C.
pour la direction de la police judiciaire, au S.T.R.J.D. pour la gendarmerie...) -
a cr une fonction dassistance au bnfice des services et mme de
rsolution des difficults remontes du terrain grce des contacts priodiques
avec chaque prestataire. En outre, une telle centralisation partielle permet de
prioriser les dossiers importants et daider lexploitation des rsultats
techniques les plus complexes.
183
Toutefois, une telle assistance na pas rsolu tous les problmes : faute
dinterphase centralise unique entre les services de police et de justice et ces
prestataires, chaque service territorial reste contraint de procder, par ses
propres moyens, des investigations, souvent lourdes et auxquelles il est mal
form, sil na pas la chance dtre dot dun enquteur spcialis ; une partie
non ngligeable des rquisitions (entre 15 et 25% selon les oprateurs) est
toujours rejete pour des questions de forme ou reste sans rponse ; mme si
une rcente tarification mise en oeuvre par le ministre de la Justice va produire
un effet positif, les frais de justice sont exhorbitants et conduisent les parquets
dfinir une politique malthusienne, faute de crdits suffisants...Autant
dobstacles qui sajoutent aux difficults gnres par lanonymat...Quant aux
prestataires, ils restent confronts des demandes par trop htrognes, tant
dans leur prsentation que dans leur formulation, ce qui ne facilite pas leur
tche.
Pourtant, loutil existe et sera oprationnel dans quelques mois
sagissant des rquisitions adresses aux oprateurs tlphoniques,
tant fixes que mobiles : la future plate-forme des interceptions
judiciaires (PNIJ), conue par le ministre de la Justice.
Tout en prservant la responsabilit de la dcision policire et judiciaire,
elle devrait dcharger les services enquteurs dune partie de leurs
charges ; diminuer les temps de rponse ; favoriser la substitution aux
rquisitions individuelles de demandes multiples transmises en ligne ou
sur support numrique ; contribuer une baisse trs sensible des frais
de justice grce la passation de marchs globaux ; et assurer un
meilleur contrle des prestataires.
Ds lors, la solution consiste confier cette plate-forme la
responsabilit du transit des rquisitions adresses aux prestataires
pour les besoins de la lutte contre la cybercriminalit, du moins pour les
principaux fournisseurs daccs Internet, car la multiplicit des
interlocuteurs, notamment des rseaux sociaux, commande, pour le
reste, de maintenir le rle des guichets existants, qui ont montr leur
pertinence et leur souplesse. Ainsi, les services territoriaux seraient-ils
dchargs de partie des tches administratives qui leur incombe
actuellement, les policiers et les gendarmes affects la PNIJ jouant
d'ailleurs, pour les demandes qui transiteront par l, un rle assimilable
celui des guichets en question.
Recommandation n/ 24
relative l'extension du rle assign la future plate-forme
des interceptions judiciaires
Elargir, par le biais dune modification rglementaire, les missions dvolues
la plate-forme des interceptions judiciaires au traitement des rquisitions
adresses aux principaux fournisseurs dInternet.

,,,,,,
Il est noter que le droit pnal comporte dj implicitement de telles exigences, par exemple lart.
144
227-24 qui incrimine le fait de ...transporter, de diffuser...un message caractre violent ou pornographique
ou de nature porter gravement atteinte la dignit humaine ou inciter des mineurs se livrer des jeux les
mettant physiquement en danger..., mme si le lgislateur a pris la prcaution de renvoyer, en ce qui concerne
la dtermination des personnes responsables aux dispositions particulires des lois qui rgissent ces matires
(?) ; cf. aussi la loi du 16.07.1949 relative aux publications destines la jeunesse....
cf., dans le cadre de la lutte contre la contrefaon sur Internet, la charte signe en dcembre 2009
145
par les titulaires de grandes marques et plusieurs plates-formes de e-commerce, et dans laquelle ces dernires
sengagent mettre en oeuvre des mesures de filtrage par mots-cls des annonces et des profils des vendeurs afin
didentifier les annonces manifestement illicites ; en fvrier 2012, cette opration a t tendue aux sites de petits
annonces entre particuliers ainsi quaux oprateurs postaux.
184
5.- Les mesures exigibles au titre de la coopration des prestataires techniques
Si les prestataires ne sauraient tre astreints une obligation de surveillance
gnrale, tant les instruments internationaux que la loi du 21 juin 2004 prvoient
la possibilit de les soumettre des obligations spcifiques de surveillance
spciale.
Elles ncessitent aujourdhui et un cadrage normatif plus prcis et une mise en
cohrence.
51 - les obligations dites prventives
En ltat, lart.6.I.1 de la loi sur lconomie numrique fait obligation aux fournisseurs
daccs Internet de mettre disposition de leurs abonns un logiciel de filtrage afin de
leur permettre de restreindre laccs certains services ou de les slectionner.
Ces mmes fournisseurs doivent aussi informer leurs abonns des moyens de
scurisation leur permettant de prvenir un manquement aux obligations de larticle
L.336-3 du code de la proprit intellectuelle en terme dutilisation de leur accs
Internet (art.6.I. al.2).
Sagissant enfin des seuls jeux en ligne, les oprateurs doivent informer leurs abonns
des risques encourus par eux du fait dactes de jeux raliss en violation de la loi.
La future Agence dont la cration est prconise devra contrler le respect des
deux premires obligations, lA.R.J.E.L. tant dj comptente pour la
troisime.
Mais les obligations prventives doivent aller plus loin en ce qui concerne
L la dtection dinfractions dune gravit certaine et se prtant une
apprhension technique , telles que celles faisant consensus au niveau
144
international ou vises par les instruments europens ou faisant dj lobjet,
pour partie, dune mesure de filtrage de la part de certains prestataires .
145
Pourquoi faire peser ce type de dtection, comme actuellement le fait la loi, sur
les seuls internautes alors que les prestataires sont en mesure de le faire de
manire beaucoup plus efficace ?
procdure dite de Notice and Stay-down
146
cf., sur ce point, la rserve dinterprtation du Conseil constitutionnel dans sa dcision 2004-496
147
DC du 10 juin 2004 relative la loi en question
En effet, la manire dont l'hbergeur va rpondre la demande est indiffrente : il est frquent qu'il
148
prenne contact, pralablement la fermeture de tout un site, avec l'diteur concern.
185
Recommandation n/ 25
relative la dtection, par les hbergeurs et fournisseurs,
dinfractions graves
Fixer par la loi aux prestataires, en particulier les hbergeurs, les
fournisseurs de moteurs de recherche et les fournisseurs daccs, une
obligation de surveillance prventive sagissant de la dtection des
contenus illicites prsentant un degr de gravit particulier et se prtant
techniquement une telle dtection. Il est recommand, cette fin, de viser
les infractions dj numres lart. 6-I.7 de la loi du 21.06.2004 ou
susceptibles de ltre. Ce contrle devrait donner lieu, ainsi que le prvoit
dj larticle en question, linformation de lautorit publique par le biais
dun point central - lO.C.L.C.T.I.C.
52 - Les obligations relevant de la technique dite de la notification/action
146
En l'tat, la loi sur l'conomie numrique du 21 juin 2004 prvoit deux types de
signalements :
-l'un, qui relve de la responsabilit limite des hbergeurs, rsulte de la
directive europenne sur le commerce lectronique et de sa transposition dans
lart. 6.I.2 et 6.I.3 : le mcanisme mis en oeuvre permet toute personne, y
compris la personne publique, de dnoncer lhbergeur un contenu illicite
quelconque ; la condition que cette dnonciation soit spcialement justifie
dans les conditions prvues par lart. 6.I.5 de la loi du 21 juin 2004 et que le
caractre illicite soit manifeste , lhbergeur doit retirer linformation ou en
147
rendre laccs impossible, sous peine de voir sa responsabilit civile et pnale
retenue.
En fait, ce dispositif savre, en ltat, peu efficace sagissant des personnes
prives, dautant plus que les sanctions prvues par la loi ne sont pas
appliques.
En revanche, il a t investi par lautorit publique ; de telles demandes, qui
relvent alors de la police administrative, peuvent viser aussi bien des
hbergeurs trangers que franais ; elles sont gnralement satisfaites l'heure
actuelle lorsque l'infraction vise concerne le racisme, la pdopornographie ou
l'escroquerie. Il s'agit toutefois d'une simple obligation de moyens, dans la
mesure o l'hbergeur peut s'exonrer de toute responsabilit s'il justifie que
l'auteur ou l'diteur de la page concerne a t inviter retirer ou modifier le
contenu faisant grief .
148
- lautre, qui relve de la surveillance spciale mise la charge tant des
hbergeurs que des fournisseurs daccs (art. 6.I.7), qui doivent apporter leurs
concours la lutte contre (certaines) activits illicites ; en fait, faute de
prcision, cette obligation se limite, en droit,
LAFA regroupe tant des hbergeurs en ligne que des fournisseurs daccs ou de moteurs de
149
recherche, et notamment BOUYGUES TELECOM, GOOGLE France, MICROSOFT, ORANGE et S.F.R.
notamment lorsque linformation figure sur le portail dun oprateur, que personne ne consulte...
150
186
* la mise en place d'un dispositif "facilement accessible et visible" permettant
aux abonns de signaler aux oprateurs techniques les contenus illicites dans
le domaine de la pornographie enfantine, de l'incitation la discirmination ou
la haine, de l'apologie de crimes contre l'humanit ; son champ d'application
vient d'tre tendu, par la loi pour l'galit entre les hommes et les femmes,
la provocation la discrimination ou la haine ou la violence raison du sexe,
de l'orientation ou de l'identit sexuelle ou de l'handicap (art. 24, al.9, de la loi
sur la presse) ainsi qu' l'enregistrement ou la diffusion des atteintes
volontaires l'intgrit humaine (art. 222-1 222-14-1, 222-23 222-31 et 222-
33 du code pnal).
Ce texte, comme la proposition de loi renforant la lutte contre le systme
prostitutionnel (qui souhaite tendre cette mme surveillance la traite d'tres
humains et au proxntisme et assimil - art. 225-4-1, 225-5 et 225-6 du code
pnal), illustre la tendance actuelle largir le dispositif.
* l'information prompte des autorits publiques comptentes, via
l'O.C.L.C.T.I.C.
* la publicit faite aux moyens consacrs la lutte contre ces activits illicites.
Ce flou du droit a gnr, comme il fallait sy attendre, des pratiques
htrognes selon les prestataires.
Ainsi les prestataires membres de lAssociation des fournisseurs daccs
Internet (A.F.A.) ont-ils mobilis leur service de signalement Pointdecontact
149
(cf., sur ce point, le titre II, chapitre 4). Les mcanismes dj dcrits montrent,
en fait, que les fournisseurs daccs nont jamais recours la technique dite du
blocage laquelle ils sont pourtant astreints par la loi, car cest principalement
lhbergeur qui est sollicite pour mettre un terme linfraction.

Les pratiques des prestataires non membres de lAFA varient : si FACEBOOK
comme TWITTER ont mis en place un dispositif de base suite aux pressions
ministrielles, en revanche, dautres prestataires, notamment franais tels que
FREE, refusent toujours de se soumettre une telle obligation. Enfin,
laccessibilit et la visibilit du dispositif sont souvent sujettes caution .
150
Cet tat de fait illustre les propos antrieurs sur les limites du
recours au partenariat lorsquil sagit de lutter contre la
cybercriminalit et les atteintes la concurrence que reprsentent
une telle diversit, atteintes dailleurs fort justement dnonces par
lA.F.A. qui a souvent exprim le souhait que les pouvoirs publics
fassent respecter lart. 6.1.7 prcit par les grandes entreprises
franaises qui sen affranchissent toujours alors quil sagit dune
obligation pnalement sanctionne. Et le constat savre encore
davantage ngatif en ce qui concerne les entreprises trangres non
affilies lA.F.A....
Il dmontre labsolue ncessit tant de prciser les obligations
normatives que dinstituer cette autorit de rgulation dj
voque, afin de sassurer du respect de leurs obligations par
lensemble des prestataires et de sanctionner les manquements
curieusement, seul l'art.6.I.7 fixe une telle obligation
151
noter aussi le droit de rponse ouvert toute personne nomme ou dsigne dans un service de
152
communication au public en ligne, qui, en cas d'anonymat de l'diteur, peut tre exerc via l'hbergeur (cf. art. 6-
VI de la loi du 21.06.2004, dcret n/ 22007-1527 du 24.10.2007) ; comme l'a rappel la Cour de cassation, il
appartient la juridiction civile de dterminer si le refus d'insertion d'un droit de rponse constitue ou non un
trouble manifestement illicite, en fonction de l'existence ou non du prjudice allgu, le plus souvent une
diffamation. L'efficacit d'une telle disposition reste prouver.
la liste des donnes devant accompagner la demande est souvent juge trop importante (cf. art. 6.I.5
153
de la loi de 2004) ; elle revt toutefois un caractre impratif au regard de la dcision du Conseil constitutionnel
et constitue la ncessaire contrepartie de l'absence de procdure contradictoire (cf. CIV 1re n/s 09-67.896 et 09-
15.857 du 17.02.2011).
187
constats, tant entendu que les sanctions pnales prvues par la loi
du 21 juin 2004 ne sont jamais appliques.

Depuis 2004, ces deux dispositifs gnraux ont t enrichis par des mesures
thmatiques, tel le protocole europen sign en mai 2011 avec des plate-formes
commerciales sur la vente en ligne des produits contrefaits, qui prvoit dj,
outre une action envers les infractions rptes et des mesures prventives ou
proactives, un systme de notification et retrait.
En ce qui concerne ces procdures de notification et action - visant les
procdures suivies par les prestataires intermdiaires de lInternet pour agir
contre des contenus illicites suite la rception dune notification -, lUnion
europenne souhaite, tout la fois, inciter les gnraliser, mais aussi unifier
les pratiques existantes ; ainsi la communication de la Commission 2011 (942),
relative un cadre cohrent pour renforcer la confiance dans le march unique
numrique du commerce lectronique et des services en ligne annonait la
mise en place dun cadre europen plus global. Les prconisations qui suivent
sont ainsi faites sous rserve dun tel cadre, tant toutefois soulign quil n'aura
rien d'exclusif et ne devrait tre quincitatif..
Si, de manire gnrale, la technique du signalement contribue la
vigilance des internautes et une manifestation de civisme quil convient
dencourager, il convient toutefois de prciser quel doit en tre le
destinataire compte-tenu de la nature de lintrt en cause, tout en
donnant davantage de cohrence aux dispositifs existants.
9 Sagissant des droits de la personne la protection de sa vie prive
comme, par exemple, de ses droits de consommateur - et de manire
gnrale lorsquest en cause le droit particulier dune personne -, il est cohrent
quils sexpriment, en premier lieu, si la personne qui sestime lse le souhaite,
sous la forme dun demande de retrait adresse lauteur du contenu ou,
dfaut, sous celle dune demande de retrait ou dinaccessibilit adresse
lhbergeur. A cet gard, obligation devrait tre faite aux prestataires de mettre
en place un dispositif facilement accessible en ligne et visible .Il serait
151
dailleurs opportun de recommander quun tel dispositif soit utilis pralablement
au dpt de plainte ou la saisine du juge .
152
Cette demande devra continuer tre spcialement motive afin de permettre
au prestataire d'apprcier "le caractre manifestement illicite" du contenu ou du
comportement dnonc .
153
En outre, l'effectivit de tels signalements parat assez rduite
154
188
Toute demande devra donner lieu rponse de la part de lhbergeur, le rejet
devant tre succinctement motiv (tel est dj le cas dans la Charte relative la
contrefaon).
Dans lhypothse o le demandeur entend contester les motifs du rejet, il aura
lobligation den saisir lagence de rgulation relevant de la Dlgation
interministrielle prconise - ou, en matire de droit de consommation,
un dispositif quivalent que l'actuel projet de loi semble envisager - qui
devra, en fonction de lanalyse laquelle elle se livrera, offrir sa mdiation
en ligne (cf. les recommandations relatives aux victimes, chapitre 6). Tout refus
considr comme abusif de la part d'un prestataire continuera de pouvoir
donner lieu sanction, mais par le biais de l'agence en question, la sanction
pnale existante (art. 6.I.4. de la loi du 21.06.2004) s'tant rvle peu effective.
Ce nest quen cas dchec de cette mdiation, que le demandeur aura la
possibilit dagir en justice, sil le souhaite.

S'il est gnralement souhait que la procdure civile soit rendue, cet gard,
plus effective et plus rapide, il nest pas apparu possible de prconiser la
procdure de saisine sur simple requte, dans la mesure o le contradictoire
doit tre assur lgard du prestataire concern.
Toutefois, le juge civil, qui bnficiera de l'application du droit franais
l'ensemble des prestataires trangers, se verrait aussi explicitement reconnu le
droit dordonner au moteur de recherche le dfrencement du site concern,
droit qui ne rsulte pas, en ltat, des dispositions de lart. 6-I.8 de la loi du
21.06.2004, en ce quelles ne visent que les hbergeurs et les fournisseurs
daccs.
9 Sagissant, en revanche, des infractions relevant de la protection de
lordre public pris au sens large, et de manire gnrale lorsque la personne
qui se prtend lse nest pas linitiative de laction, lapplication de la loi ne
saurait reposer sur le signalement dinternautes-tiers adress directement aux
hbergeurs , le destinataire devant en tre lautorit publique et sur la base
154
d'un point d'accs unique. Tel est dj notamment le cas sagissant de la plate-
forme PHAROS.
Il reviendra lautorit daccuser rception du signalement et d'aviser
l'intress, au besoin par des procds automatiss, des suites donnes.
Par voie de consquence, en pareille hypothse, le dispositif de
notification/action l'gard de l'hbergeur, voire du fournisseur d'accs,
serait le fait de lautorit publique sagissant des contenus manifestement
illicites, et cela quelle que soit la nature de l'infraction. Sauf contester ce
caractre devant lautorit judiciaire civile - et non administrative -, le prestataire
serait tenu, comme actuellement, de rendre linformation inaccessible.

Si une telle distinction devrait contribuer clarifier les dispositifs existants, elle
na toutefois pas vocation premire remettre en cause les dispositifs de
signalements partenariaux actuels. Nanmoins, pour faciliter linformation
189
comme les droits de lutilisateur-consommateur, il serait opportun, l aussi et
comme il a dj t dit, dunifier autant que faire se peut les points daccs. Tel
pourrait tre aussi le rle de lagence de rgulation prcite.
9 Toutefois, le dispositif de notation/action ne saurait se limiter au
signalement des contenus manifestement illicites.
Le droit franais connat dj de deux autres types de dispositions, qui relvent
aussi de la surveillance spciale impose aux hbergeurs et fournisseurs
d'accs.

- s'agissant des jeux d'argent et de hasard en ligne, les hbergeurs et
fournisseurs d'accs doivent aviser leurs abonns des services de jeux en ligne
qui sont considrs comme rprhensibles par les autorits publiques en la
matire (cf. art. 6.I.7 et 6-VI.1 de la loi du 21.06.2004 modifie).
- le mme article 6.I.7 prvoit, de manire sybilline, la possibilit, pour lautorit
judiciaire, de demander une surveillance cible et temporaire aux hbergeurs
comme aux fournisseurs daccs ; faute de prcision, une telle disposition est
reste lettre morte.
Il appartient lEtat de prciser, au regard de lintrt public, des capacits des
prestataires et des initiatives dj prises cet effet, les obligations en la
matire, mme sil importe aussi de laisser la marge lvolution souhaitable
et au partenariat.
Sans prtendre lexhaustivit, quatre types de mesures pourraient tre
requises de ces prestataires ainsi que des fournisseurs des moteurs de
recherche :
L la notification, par l'autorit administrative comptente sur la base des
dcisions administratives prises cet effet, des noms de domaines
interdits ou confisqus (voir, supra, le chapitre 4), ainsi que des sites illgaux,
marques contrefaites et autres aux fins de retrait d'accs ou de
drfencement (pratique dite des "listes noires") ; encore faut-il s'assurer du
respect de ces mesures par les fraudeurs et de la non-rapparition des
contenus illicites.
Lla notification aux mmes fins - mais aussi, le cas chant aux fins de
blocage par les fournisseurs d'accs - par la police judiciaire, agissant
doffice ou sur plainte de la victime, des donnes manifestement illgales
relatives la pdopornographie : si, de manire gnrale, la police judiciaire
ne saurait tre dote d'un pouvoir de sanction qui relve exclusivement de
l'autorit judiciaire, il n'est pas ncessaire, compte tenu du caractre
manifestement illicite de telles images et des instruments internationaux
existants, de soumettre une telle action lapprciation pralable dune autorit
judiciaire. Afin de prserver toutefois les possibilits d'enqute et de poursuite,
la conservation ventuelle des donnes pourrait tre, concomitamment,
ordonne (pour les blocages, voir les dveloppements in fine).
Ces deux types de notifications revtiraient un caractre obligatoire pour les
prestataires, qui pourrait toutefois saisir le juge en cas de contestation.
Il convient d'viter, toutefois, certaines pratiques qui s'apparentent de la surveillance gnrale ; cf.
155
CIV 1re n/ 11-15.165 et 188, qui a jug contraire aux dispositions de lart. 6-I le fait dordonner un
hbergeur et un gestionnaire des services de rfrencement de prendre toutes mesures utiles pour prvenir
toutes nouvelles mises en ligne dune photographie litigieuse, mesure assimilable une obligation gnrale de
surveillance et la mise en place dun dispositif de blocage sans limitation dans le temps ; elle a ainsi jug la
fonction GOOGLE Image non responsable dune remise en ligne. Cf. aussi, sagissant de GOOGLE Vido pour
une remise en ligne dun film CIV 1re n/ 11-13.669 du 12.07.2012 et n/ 11-13.166 du 21.07.2012.
Pour autant, on ne saurait admettre que certaines dcisions de justice relatives la fermeture de sites soient
systmatiquement coutournes par l'ouverture, ds le lendemain de leur rendu, de sites autrement dnomms
mais poursuivant un objet identique
Il est noter qu'une telle possibilit intresse aussi les autorits administratives ; ainsi, dans le cadre
156
des rflexions poursuivies par Mme. IMBERT-QUARETTA sur la contrefaon en ligne des oeuvres protges
au titre de la proprit intellectuelle, il serait envisag de passer des accords cadre avec les professionnels de la
socit de linformation afin dinciter la gnralisation des pratiques de retrait durable volontaires grce
lutilisation des technologies de reconnaissance des contenus, pendant une certaine priode (cf. la Charte de
2009).
cf., titre de comparaison, les pouvoirs dj dvolus au J.L.D. afin dautoriser une visite
157
domiciliaire en enqute prliminaire ; de manire gnrale, dans le cadre d'une procdure pnale, il est plus ais
pour le parquet de saisir le J.L.D. que de recourir au juge des rfrs, raison pour laquelle l'art. 50-1 de la loi du
29.07.1881 sur la presse n'est quasiment pas appliqu.
190
Il est propos, par souci de cohrence, de soumettre l'ensemble des
recours des prestataires au seul juge judiciaire.

L l'injonction, par l'autorit judiciaire, civile comme pnale, consistant en
la notification des mesures, provisoires ou dfinitives, tendant la
suppression ou la limitation d'accs d'activits ou de contenus illicites,
mais aussi de celles destines viter leur ritration pendant une dure
dtermine, si leur nature le permet techniquement . En rsum, il s'agit
155
de davantage mobiliser les prestataires en vue d'une meilleure effectivit des
dcisions de justice
156
Actuellement, seul le juge civil a la capacit de dcider de mesures provisoires.
Afin de mieux prserver les droits des victimes et de rendre plus effective
l'action pnale, il est prconis, s'il y a urgence de mettre fin linfraction, de
crer une procdure pnale comparable celle du rfr civil, consistant,
pour le procureur de la Rpublique saisir, sur simple requte , le juge
157
des liberts et de la dtention ou le juge d'instruction aux fins de retrait
ou, dfaut, de drfrencement, voire, dans les conditions prvues in
fine, de blocage, avec conservation concomitante des donnes
ncessaires la poursuite.
En outre, le juge pnal comptent sur le fond pourrait ordonner, au mme titre
que le juge civil, les mesures prcites.
L toujours au titre judiciaire, l'injonction aux fins de mise excution du
droit loubli quil est propos de reconnatre au bnfice du mineur ou
du jeune majeur, sous contrle du juge (cf., supra, la recommandation n/ ).
191
Il serait vraisemblablement opportun que, tout le moins pour les
injonctions judiciaires, ces dcisions puissent tre ramenes excution
par une autorit centralise, qui, le cas chant, pourrait aussi faire
bnficier les autorits concernes de conseils, voire d'une aide sur le
plan technique, et, sur un plan plus gnral, ngocier avec les prestataires
les modalits techniques affrentes ces diffrentes mesures ; ce devrait
tre le rle de l'agence spcialise au sein de la dlgation
interministrielle dont il est propos la cration.
192
Recommandation n/ 26
relative la procdure dite de notification/action l'gard des
hbergeurs et fournisseurs
1 - Maintenir le droit reconnu toute personne qui sestime personnellement
lse par une activit ou un contenu publi sur Internet, le droit, dfaut de
pouvoir sadresser directement lauteur du contenu, lditeur ou au
directeur de publication, de le signaler en ligne lhbergeur, via un dispositif
appropri mis en oeuvre par ce dernier de manire simple et accessible.
Ce signalement devra continuer tre motiv conformment aux dispositions
de lart. 6-I.5 de la loi du 21.06.2004.
Obligation sera faite l'hbergeur, comme actuellement, deffectuer le retrait
ou de rendre le contenu inaccessible en cas dillgalit manifeste ; en cas
dabsence de rponse ou de rejet, succinctement motiv, le demandeur
devrait pouvoir saisir lagence de rgulation prcite aux fins de mdiation ;
ce nest quau terme de ce processus, quune action civile ou pnale serait
susceptible dtre engage.
2.- Reconnatre toute personne non individuellement lse par une activit
ou un contenu accessible sur le net et qui lui parat illicite ou dangereux, le
droit de le signaler lautorit publique, et cela en ligne et via un point d'accs
unique qui pourrait tre la plate-forme PHAROS.
Cette dernire devra l'aviser des suites donnes.
3.- Reconnatre le droit de l'autorit publique de notifier, dans le respect du
principe de subsidiarit,
- l'hbergeur les contenus manifestement illicites aux fins de retrait ou
d'inaccessibilit, comme c'est dj le cas aujourd'hui
- l'hbergeur, au fournisseur de moteur de recherche, voire au fournisseur
d'accs, aux fins de retrait, d'inaccessibilit, de dfrencement, voire, dans
des conditions prcises plus avant, de blocage,
*les dcisions administratives relatives aux noms de domaine interdits ou
confisqus et aux sites ou contenus illgaux,
*les signalements de la police judiciaire relatifs la pdopornographie
*les dcisions judiciaires civiles relatives la reconnaissance du droit l'oubli
*les dcisions judiciaires, civiles ou pnales, provisoires ou dfinitives,
ordonnant de telles mesures aux fins de mise excution ou/et de prvention
de la ritration des infractions pendant une priode limite dans le temps.
4.- A cette fin, habiliter le juge des liberts et de la dtention et le juge
d'instruction prendre, en cours de procdure pnale, des mesures
provisoires comparables celles du juge des rfrs.
5.- Prvoir que, sous rserve de la saisine par leurs soins du juge judiciaire,
l'inaction et le refus des prestataires feront l'objet de sanctions, soit de nature
pnale lorsque l'injonction est judiciaire, soit de nature administrative dans les
autres cas.

6.- Prciser que les obligations ainsi mises la charge des prestataires
constituent des obligations de moyens dont le contrle devrait relever de la
Dlgation interministrielle future, leur responsabilit, administrative ou
pnale, ne pouvant tre engage sils justifient avoir mis en oeuvre tous les
moyens ncessaires l'accomplissement des missions ainsi imparties.
193
T les propositions qui suivent n'puisent toutefois pas le sujet car il convient
aussi d'encadrer plus strictement les prestataires de paiement comme les
rgies publicitaires, ainsi que le principe en est dj acquis pour les jeux en
ligne.
Par-del, il est aujourd'hui acquis que certains sites et contenus illicites ne
prosprent que grce certains flux financiers mal identifis. Les Etats-Unis ont
su, par exemple, mobiliser les oprateurs de paiement comme Pay Pal,
MasterCard, Visa ou American Express pour bloquer ces flux financiers
destination des sites de jeux illicites ou des sites de piratage (programme "follow
the money" = "frapper au portefeuille").
En interne, ces mmes prestataires ont dja dvelopp en France des
dispositifs internes du mme ordre en cas de pdophilie, ce qui montre leur
capacit procder de l'auto-rgulation qui pourrait aussi tre mobilise
d'autres fins.
La rflexion publique semble plus avance dans le secteur marchand,
notamment sur les contrefaons.
Le groupe interministriel n'a toutefois pas pouss sa rflexion sur ce
point jusqu' son terme, qui aurait ncessit d'entendre les principaux
prestataires concerns.
T Enfin, s'agissant de l'action pnale, les rquisitions et autres mesures
destines permettre lidentification et la localisation de lauteur prsum
ainsi que le recueil des preuves de linfraction, il convient de se rfrer
aux dispositions prvues par le code de procdure pnale ou les textes
spcifiques.

194
6. - De quelques obligations particulires
La go-localisation
Il s'agit d'une technique permettant aux oprateurs de communication lectronique de
dterminer, en temps rel ou de manire diffre, la localisation d'une personne, d'un
vhicule ou de tout autre objet dot d'un terminal de communication.Elles taient
ordonnes jusqu' ces derniers temps, indiffremment par le procureur de la Rpublique
ou le juge d'instruction, sur le fondement des pouvoirs gnraux qui leur taient reconnus
par la loi comme par la jurisprudence (cf. en ce sens, les arrts CRIM. n/ 11-84.315 du
9.11.2011 et n/ 11-84.308 du 22.11.2011).
Les deux arrts rendus par la Chambre criminelle le 22.10.2013 (n/s 13-81.945 et 13-
81.949), en nonant que de telles mesures constituaient "une ingrence dans la vie
prive ncessitant d'tre ordonne sous le contrle d'un juge", ont contraint le
Gouvernement prparer en urgence un projet de loi, actuellement en cours de
discussion parlementaire.
Compte-tenu de cet examen, le groupe interministriel a entendu se borner
souligner l'importance que revt le recours une telle technique ; les difficults
que suscitent de tels revirements de jurisprudence ; l'urgence qui s'attache ce
qu'il soit remdi, dans les meilleurs dlais, la vacuit actuelle ; la ncessit
que les garanties du futur dispositif prennent en compte et la ractivit
indispensable certains types d'enqute, et les enseignements de l'arrt de la
Cour europenne des droits de l'homme du 2.09.2010 (Uzun c. Allemagne) ; et
enfin la diffrence sensible, en terme d'ingrence et mme de couverture
juridique, selon que l'investigation est mene en temps rel ou de manire
diffre.
Toutefois, de manire plus gnrale et eu gard l'importance qui s'attache
aux investigations techniques pour la lutte contre la cybercriminalit, il est
prconis, afin d'viter de devoir lgifrer en urgence, d'une part, de mieux
anticiper les rformes et, d'autre part, que des dispositions lgislatives
couvrent, de manire gnrale et, l'instar de ce qui est, par exemple, mis
en oeuvre en Allemagne, l'ensemble des mesures techniques susceptibles
d'tre mises en oeuvre par les services de police et de justice.
Le blocage
d'un site internet
Compte-tenu des interrogations qu'elle suscite, cette mesure appelle des
dveloppements particuliers.
Un double constat pralable s'impose :
9 le blocage des sites fait l'objet de recommandations ritres dans les
instruments internationaux et se trouve tre appliqu, depuis de
nombreuses annes, dans la majorit des Etats europens et de manire
parfois massive.
l'un des exemples les plus rcents pour origine la Cour de cassation Belge qui, en son arrt du 22-
158
10-2013 The Pirae Bay, vient de valider la possibilit pour la Justice de bloquer un site, en notifiant son url aux
fournisseurs d'accs, et d'obliger ces derniers surveiller toute rapparition sous un autre item.
.
195
En ce sens, l'analyse comparative montre que, dans un premier temps, le
blocage rsultait, pour l'essentiel, d'une dmarche partenariale encourage
parfois par la menace de lgifrer et s'inscrivait gnralement dans le cadre de
la technique dite de "notification action". Toutefois, l'volution des directives
europennes, fonde tant sur le caractre htrogne des situations que sur
l'importance que revt une telle mesure, comme celle de la jurisprudence ,
158
incite aujourd'hui l'ensemble des Etats-membres dfinir un cadre lgal.
Au plan international, les textes sont nombreux prconiser le blocage dans le cadre
de la lutte contre la cybercriminalit.
Le plus important est la Directive du 4.11.2011 relative la lutte contre les abus sexuels
et lexploitation sexuelle des enfants, ainsi que la pdopornographie, qui prvoit, en son
art. 25 intitul mesures contre les sites internet contenant ou diffusant de la
pdopornographie :
1.- Les Etats membres prennent les mesures ncessaires pour faire rapidement
supprimer les pages internet contenant ou diffusant de la pdopornographie qui sont
hberges sur leur territoire et sefforcent dobtenir la suppression des pages hberges
en-dehors de celui-ci
2.- Les Etats membres peuvent prendre des mesures pour bloquer laccs par les
internautes sur leur territoire aux pages internet contenant ou diffusant de la
pdopornographie. Ces mesures doivent tre tablies par le biais de procdures
transparentes et fournir des garanties suffisantes, en particulier pour veiller ce que
les restrictions soient limites ce qui est ncessaire et proportionn, et que les
utilisateurs soient informs de la raison de ces restrictions. Ces garanties incluent aussi
la possibilit dun recours judiciaire.
9 Si la France a beaucoup lgifr sur cette question, le blocage reste peu
usit compte-tenu des difficults dfinir, rglementairement, les
modalits d'application de cette mesure, et d'un manque de consensus.
(1) Le dbat lgislatif sur le blocage a dbut lors de l'examen de la loi relative
la confiance dans l'conomie numrique du 21 juin 2004. La solution alors
retenue fut d'ordre civil.
Si la personne lse s'est vue reconnatre par l'art. 6.I.5 le droit de requrir de
l'hbergeur implant en France le retrait de donnes "manifestement" illicites,
une telle disposition s'avrait sans porte lorsque l'hbergeur tait implant
l'tranger.
Telle fut la raison pour laquelle l'art. 6.I.8 de cette mme loi a reconnu,
implicitement, au juge civil la possibilit d'ordonner notamment le blocage d'un
site : "L'autorit judiciaire peut prescrire en rfr ou sur requte, toute
personne mentionne au 2 ou, dfaut, toute personne mentionne au 1 (les
fournisseurs d'accs), toutes mesures propres prvenir un dommage ou faire
cesser un dommage occasionn par le contenu d'un service de communication
au public en ligne".
La personne ainsi lse, afin de voir prononcer en urgence le blocage du
contenu incrimin, peut ainsi faire une action en rfr, sur la base des
dispositions de l'article 809 du code de procdure civile, qui dispose que "le
196
prsident (du tribunal de grande instance) peut toujours, mme en prsence
d'une contestation srieuse, prescrire en rfr les mesures conservatoires ou
de remise en tat qui s'imposent, soit pour prvenir un dommage imminent, soit
pour faire cesser un trouble manifestement illicite...".
Toutefois, le refus des fournisseurs d'accs trangers de se voir appliquer la loi
franaise a contraint les juges civils faire, de prfrence, application du rfr
conservatoire de l'article 145 du mme code, dans la mesure o, de
jurisprudence constante, la loi franaise est alors applicable au litige, texte qui
prvoit que "s'il existe un motif lgitime de conserver ou d'tablir avant tout
procs la preuve de faits dont pourrait dpendre la solution d'un litige, les
mesures d'instruction lgalement admissibles peuvent tre ordonnes la
demande de tout intress sur requte ou en rfr".
Des difficults identiques sont survenues en ce qui concerne la mise en oeuvre
du rfr spcial prvu l'article 50-1 de la loi du 29 juillet 1881 sur la libert de
la presse, selon lequel "...lorsque les faits viss par les articles 24 et 24 bis
rsultent de messages ou informations mis la disposition du public par un
service de communication au public en ligne et qu'ils constituent un trouble
manifestement illicite, l'arrt de ce service peut tre prononc par le juge des
rfrs, la demande du ministre public ou de toute personne physique ou
morale ayant intrt agir."
Le dbat a rebondi l'occasion du vote de la loi HADOPI de 2009, mme si la
solution retenue en dfinitive fut de mme nature. C'est ainsi que l'article L.336-2
du code de la proprit industrielle dispose que "En prsence d'une atteinte
un droit d'auteur ou un droit voisin occasionne par le contenu d'un service de
communication au public en ligne, le tribunal de grande instance, statuant le cas
chant en la forme des rfrs, peut ordonner la demande des titulaires de
droits sur les oeuvres et objets protgs, de leurs ayants droit, des socits de
perception et de rpartition des droits vises l'article L. 321-1 ou des
organismes de dfense professionnelle viss l'article L. 331-1, toutes mesures
propres prvenir ou faire cesser une telle atteinte un droit d'auteur ou un
droit voisin, l'encontre de toute personne susceptible de contribuer y
remdier".
La loi relative aux jeux en ligne du 12 mai 2010 a t l'occasion de traiter, une
nouvelle fois, de cette question, mme si, en dfinitive, son article 61 a fait le
choix, lui aussi, d'une procdure civile, en prvoyant que "A l'issue de ce dlai,
en cas d'inexcution par l'oprateur intress de l'injonction de cesser son
activit d'offre de paris ou de jeux d'argent et de hasard, le prsident de l'Autorit
de rgulation des jeux en ligne peut saisir le prsident du tribunal de grande
instance de Paris aux fins d'ordonner, en la forme des rfrs, l'arrt de l'accs
ce service aux personnes mentionnes au 2 du I et, le cas chant, au 1 du
1 (les fournisseurs d'accs) de l'article 6 de la loi n/ 2004-575 du 21 juin 2004
pour la confiance dans l'conomie numrique".
Un tel dispositif est effectivement utilis par lA.R.J.E.L. qui la mis en
oeuvre 49 reprises, preuve quun tel dispositif peut savrer
oprationnel; en outre, par dcisions en date des 12 juillet 2013 et 21
janvier 2014, la Chambre commerciale de la Cour de cassation a refus de
saisir le Conseil constitutionnel de la question prioritaire de
constitutionnalit dont elle tait saisie par lun des fournisseurs daccs,
avant de rejeter le pourvoi form par ce dernier.
(2) Le caractre parfois tardif de l'intervention judiciaire, son efficacit relative
ont toutefois incit le lgislateur instituer des mesures de blocage dits
administratifs, en s'inspirant de l'art.3 de la directive 2000/31/CE du 8 juin 2000
dite du commerce lectronique.
197
Telle fut l'origine de l'article 18 de la loi du 21 juin 2004, modifie sur ce point par
la loi du 5 mars 2007 relative la prvention de la dlinquance, qui autorisa
l'administration prendre des "mesures restreignant, au cas par cas, le libre
exercice (d'une activit de commerce lectronique)...lorsqu'il est port atteinte
ou qu'il existe un risque srieux et grave d'atteinte au maintien de l'ordre et de
la scurit publique, la protection des mineurs, la protection de la sant
publique, la prservation des intrts de la dfense nationale ou la protection
des personnes physiques que sont les consommateurs ou des investisseurs
autres que les investisseurs appartenant un cercle restreint dfinis l'article
L.411-2 du code montaire et financier".
L'avant-projet de dcret du ministre en charge de l'Economie numrique, labor
en 2011, soit sept ans aprs la loi, prvoit un mcanisme de mise en demeure
puis d'injonction de faire (allant de l'obligation d'informer les usagers des risques
encourus jusqu'au retrait ou la cession de la diffusion du contenu litigieux)
pnalement sanctionn, visant, en premier lieu, l'diteur du site, dfaut et en
cas de dmarches infructueuses, l'hbergeur de donnes, dfaut encore et
seulement en cas d'extrme urgence, le fournisseur d'accs Internet.
Les autorits administratives numres dans lavant-projet sont nombreuses:
le ministre de la Dfense (atteintes aux intrts de la Dfense nationale), celui
de la Justice (atteintes la protection des mineurs), celui de lIntrieur (ordre et
scurit publics), les ministres de lEconomie et de lEconomie numrique
(protection des consommateurs et des investisseurs), le ministre de la sant
(protection de la sant publique), lAutorit nationale de dfense des systmes
dinformation (ANSSI en cas dattaques informatiques).

Si, selon cet avant-projet, cette procdure a vocation tre applique
lensemble des oprateurs, quel que soit le pays o il se trouve tre tabli, il est
toutefois prvu et cela conformment la Directive, lorsque cet tablissement
concerne un autre Etat de lUnion Europenne, que la France devrait solliciter
de lEtat-membre concern quil prenne les mesures propres prvenir ou
faire cesser le trouble ; ce nest quen cas de carence ou dextrme urgence
quune mise en demeure ou quune injonction pourrait tre adresse directement
lditeur, aprs information de la Commission europenne et de lEtat tranger.
Ces mesures de police administrative doivent tre motives, les personnes
concernes tant mises mme, sauf cas durgence, de prononcer des
observations pralables.
Toutefois, toujours selon ce projet, la mconnaissance dune injonction
nexposerait son auteur quau prononc dune contravention de 5me classe
avec possibilit de confiscation, sanction peu dissuasive pour les diteurs
trangers et, en gnral, pour les fournisseurs d'accs dimportance.
Enfin, le projet de dcret reconnat un droit compensation pour les fournisseurs
d'accs, dont les modalits taient toutefois renvoyes une autre disposition
rglementaire.
Consult sur lavant-projet de dcret, le Conseil national du numrique rendait,
en urgence (juin 2011) un avis mitig en recommandant que le projet soit notifi
pour avis la Commission Europenne ; que son champ dapplication soit
clarifi en visant, en premier lieu, lauteur du contenu aux lieu et place de
lditeur de site, concept non dfini ; que le pouvoir dinjonction auprs des
hbergeurs soit modifi comme contraire la procdure de notification exclusive
de lart. 6.I.5 de la loi sur lconomie numrique, seule labsence du retrait dun
contenu manifestement illicite pouvant entraner sa responsabilit ; que toute
mesure de blocage impose aux fournisseurs d'accs ne puisse tre institue
que par voie lgislative et nintervenir que par la voie judiciaire.
On peut sinterroger sur la raison dtre dun contrle judiciaire, qui serait purement formel
159
puisquil devra porter sur la rgularit de la communication des listes dadresse aux FAI, alors mme que le
Conseil constitutionnel a rappel que la dcision de lautorit administrative tait susceptible dtre conteste
tout moment et par toute personne intresse devant la juridiction comptente, si besoin selon la procdure du
rfr
cf. les dcisions 2000-441 du 28.12.2000 et 2011-625 du 10.03.2011 du Conseil constitutionnel,
160
selon lesquelles le concours apport par des tiers la sauvegarde de lordre public, lorsquils ne sont pas
lorigine du trouble et que ce concours est tranger leur objet, ouvre droit leur profit une compensation
pour les surcots occasionns
198
(3).- Telle fut encore la solution adopte en ce qui concerne les contenus pdo-
pornographiques par la loi du 14 mars 2011.
Partant du constat que, la grande majorit des images en question sont
diffuses par des sites hbergs ltranger, ce qui voue linefficacit le
dispositif conu en 2004 par lart. 6.I de la loi sur l'conomie numrique, le
lgislateur dcidait de faire peser, non plus sur les hbergeurs, mais sur les
fournisseurs daccs, lobligation de faire obstacle aux contenus illicites
pdopornographiques dont les adresses lectroniques seraient dsignes par
le ministre de lIntrieur, et cela sous peine de sanctions pnales.
Lart. 6-I.7 modifi de la loi de 2004 prvoit ainsi quen ce qui concerne la
diffusion des images ou des reprsentations de mineurs relevant de lart. 227-23
du C.P.P., lautorit administrative peut notifier aux fournisseurs daccs les
adresses lectroniques des services de communication au public en ligne
contrevenant ces dispositions afin quils en empchent laccs sans dlai.
En sa dcision n/ 3011-625 DC du 10.03.2011, le Conseil constitutionnel a
estim non contraire la Constitution une telle procdure administrative de
blocage compte-tenu de son caractre proportionn et de la nature de son objet.
Interprtant cette dcision, le Conseil national du numrique, dans son avis
prcit, a considr que lon ne pouvait droger au principe du recours pralable
au juge qu trois conditions :
- la mesure doit protger les utilisateurs dinternet eux-mmes
- la nature des contenus doit justifier les mesures prises
- la mesure doit viser restreindre laccs un site dtermin en raison de son
caractre illicite.
Depuis lors, ce dispositif de blocage - qui devait rentrer en application au plus
tard en mars 2012 - se trouve tre en attente dun dcret dapplication, prpar
par le ministre de lIntrieur, lequel prvoit de confier la charge de
ltablissement et de la transmission des listes dadresses lectroniques dont
laccs doit tre interdit lO.C.L.C.T.I.C., un magistrat se voyant confier une
mission de contrle .
159
En fait, ce dcret a t retard car les ngociations entre ladministration et les
fournisseurs d'accs nont pas encore abouti. sagissant des modalits de
compensation financire qui, prvues en leur principe par lart. 3 du futur dcret
, doivent faire lobjet dune convention passe entre les parties prenantes.
160
Entames depuis le 2 semestre 2011 par le ministre de lIntrieur, le ministre
me
de lEconomie et la ministre dlgue lEconomie numrique sur la base dune
valuation ralise ds 2009 par le Conseil gnral de lEconomie, de lindustrie,
de lnergie et des technologies (C.G.I.E.T.), ces ngociations - menes avec
la Fdration franaise des tlcommunications, lAssociation franaise des
fournisseurs daccs, les socits Orange, SFR et Free -, se sont rvles
complexes, la fois sur le plan technique et financier, compte-tenu des positions
htrognes et parfois exorbitantes des oprateurs.
Sur ce point, les parlementaires font sans doute allusion larrt AHMET YILDIRIM c. TURQUIE
161
rendu le 18.12.2012 par la C.E.D.H. Dans cette affaire, un tribunal Turc avait ordonn le blocage dun site
litigieux ; lautorit charge dexcuter cette dcision, aprs avoir constat que ce site ne pouvait tre bloqu
puisque son propritaire ntait pas titulaire dun certificat dhbergement et se trouvait ltranger, avait dcid
de bloquer tout le contenu du domaine Internet sur lequel il se trouvait, en lespce GOOGLE SITES, rendant
laccs ce dernier impossible. Le propritaire dun site qui se trouvait ainsi dans limpossibilit dy accder
saisissait la Cour qui condamnait lEtat sur le fondement de lart. 10. A noter que larrt, outre des lments de
droit compar sur les restrictions au droit daccs, fait tat dune dcision de la Cour de Justice de lUnion
europenne en date du 24.11.2011, qui a prohib toute injonction gnrale de filtrage impose un fournisseur
daccs.
199
Les principaux dpartements ministriels concerns, suivant en cela une
proposition formule en 2009 par le C.G.I.E.T. s'interrogent aussi sur
l'opportunit de dterminer un dispositif gnral de blocage et de compensation
qui serait applicable, non seulement aux sites pdo-pornographiques, mais
encore tous autres sites illgaux en fonction de lvolution de la loi.
(4) dans le cadre du projet de loi renforant les droits, la protection et
linformation des consommateurs - en cours dexamen -, le projet initial
prvoyait, en son art. 10, de revenir au principe de l'autorisation judiciaire en
reconnaissant le droit la direction gnrale de la concurrence, de la
consommation et de la rpression des fraudesle droit de demander lautorit
judiciaire dordonner les mesures mentionnes au 8 du I de lart. 6 de la loi du
21.06.2004 pour la confiance en lconomie numrique, notamment le blocage
dun site.
Toutefois, loccasion de lexamen de ce projet de loi (cf. art. 25 bis en ltat),
les deux chambres du Parlement ont vot, de manire conforme, une
disposition abrogeant lart. 18 prcit de la loi du 21 juin 2004 ainsi que le
principe du dpt, par le Gouvernement et dans le dlai dun an, dun rapport sur
les effets et la justification des mesures de blocage du contenu dun service de
communication au public en ligne.
Les motifs avancs sont les suivants :
-le constat selon lequel le dcret dapplication na pas t publi depuis 2004
-la ncessit de soumettre la dcision de blocage une dcision de justice
-le caractre attentatoire de la mesure la libert dexpression et de
communication, dautant plus quelle est susceptible de produire des effets
pervers par le blocage de sites de renomme mondiale
161
-l'efficacit contestable de la mesure, puisquelle serait contournable par des
diteurs malveillants ainsi que par les internautes
-enfin le cot de la mesure, compte-tenu du principe du dsintressement pos
par le Conseil constitutionnel.
Mme si cela ne concerne que la disposition prcite et que les partisans
du blocage administratif ne dsarment pas (cf., titre d'exemple, le rapport
dune commission denqute du Snat, dpos en octobre 2013, proposant de
modifier la loi de 2004 afin dobliger les fournisseurs daccs et les hbergeurs
bloquer les sites internet faisant la promotion de lvasion fiscale), il est
penser que la prise de position du Parlement revt une porte gnrale.
L'on en veut pour preuve les dbats parlementaires relatifs une proposition de
loi renforant la lutte contre le systme prostitutionnel, en cours de
discussion au Parlement. Son article 1 prvoyait la modification de lart. 6-I.7 de
er
la loi de 2004 afin dautoriser lautorit administrative, pour les ncessits de la
lutte contre le proxntisme et la traite des tres humains aux fins dexploitation
sexuelle relevant des art. 225-4-1, 225-5 et 225-6 du code pnal, de notifier aux
fournisseurs daccs lInternet les adresses lectroniques des services de
200
communication au public en ligne contrevenant aux dispositions de cet article,
auxquelles ces personnes doivent empcher laccs sans dlai. Les dcisions de
lautorit administrative peuvent tre contestes devant le juge administratif, dans
les conditions du droit commun.
Selon lexpos des motifs, il sagissait clairement de faire obstacle laccs du
public des sites hbergs ltranger.
Le Conseil national du numrique a fait part de son dsaccord avec ce nouveau
dispositif de blocage aux motifs que labsence dautorisation judiciaire constitue
une atteinte disproportionne la libert dexpression et de communication et
que les dispositifs de blocage sont facilement contournables par les usagers. Il
rappelle enfin que le Gouvernement a pris lengagement, en fvrier 2013, de
garantir un contrle indpendant pour les mesures administratives de coupure et
de filtrage

Quant lAssociation des fournisseurs daccs et de services Internet (A.F.A.),
elle considre aussi que cette proposition porte atteinte la libert dexpression
et de communication en attribuant ladministration un rle qui relve du seul
juge, lequel doit apprcier si le contenu est illicite et si le blocage est ncessaire,
proportionn et adapt.
Fin novembre, le Gouvernement a dpos un amendement de suppression de
cette disposition aux motifs que le partage entre les responsabilits respectives
du juge et de lautorit administrative dans ces dcisions est un sujet qui mrite
une rflexion plus approfondie, dans le respect des droits fondamentaux en
termes de liberts dexpression et de communication.
T les difficults normatives ont incit certaines parties prenantes mettre
en oeuvre le blocage sur des bases partenariales, telle la convention conclue
entre l'association Phishing initiatives et les socits Google et Microsoft
s'agissant des sites diffusant des virus ou pratiquant le hameonnage.
Au plan des principes, il est proccupant de voir que le recours au partenariat est
motiv par l'impossibilit de dfinir une norme consensuelle et applicable.
T La fin d'un tel imbroglio suppose, en premier lieu, de mieux cerner les
avantages comme les inconvnients de cette technique dite de blocage,
sans minimiser l'obligation juridique laquelle est confronte la France de
se mettre en conformit par rapport aux instruments internationaux,
notamment pour ce qui a trait la pdopornographie envers laquelle elle
est manifestement la trane par rapport aux Etats comparables.
Ainsi que le rptent l'envie l'ensemble des services de police judiciaire, la
principale raison d'tre du recours au blocage tient au fait que si, pour la majorit
des infractions, les dispositifs de retrait suffisent, ces derniers se rvlent
totalement inefficaces sagissant de la dlinquance organise, qui procde des
stockages de donnes dans les cyber-paradis.
Pour autant, il s'agit moins de sanctionner compte-tenu des possibilits de
contournement existantes - mme si le blocage d'un site est de nature
compliquer la poursuite des activits criminelles - que de diminuer l'impact de
l'action criminelle en prvenant laccs involontaire du plus grand nombre.
les spcialistes distinguent le blocage d'adresses IP, le blocage par redirection utilisant le protocole
162
BGP, le blocage par nom de domaine (DNS), le filtrage par inspection de contenu (DPI), le blocage d'url, le
blocage hybride...
cf. dcision n/ 2000-441 DC du 28.12.2000 ; cf. aussi la dcision n/ 2011-625 DC du 10.03.2011
163
relative la loi dorientation et de programmation pour la performance de la scurit intrieure : s'agissant du
blocage des images pdo-pornographiques, le Conseil observe que en prvoyant que les surcots rsultant des
obligations mises la charge des oprateurs seraient, sil y a lieu, compenss, (le lgislateur) na pas mconnu
lexigence constitutionnelle du bon usage des deniers publics ; cf. enfin, lavis rendu le 6.03.2012 par le
Conseil d'Etat la demande du ministre de lIntrieur sur la possibilit dimposer aux oprateurs de tlphonie
mobile le financement de lacheminement de communications de pouvoirs publics destines au public pour
lavertir de dangers imminents et attnuer les effets de catastrophes majeures et des investissements y affrents
loi du 12.06.2009 dite HADOPI, loi du 28.10.2009 relative la protection pnale de la proprit
164
littraire et artistique sur Internet
201
Elle constitue de plus une mesure adquate vis--vis des victimes, notamment,
sagissant de la pdo-pornographie, des mineurs victimes de viols dont limage
est reproduite sur les sites concerns.
Elle contribue aussi la prvention de la dlinquance, notamment sexuelle.
Elle assure enfin aux dcisions de justice, tant civiles que pnales, une certaine
efficacit dont elles seraient parfois totalement prives.
En rsum, si la technique du blocage n'est pas la panace - mais celle-ci
n'existe que rarement dans le domaine de la lutte contre la cybercriminalit
-, elle constitue un outil, parmi d'autres, dont on aurait tort de se priver
condition de le cantonner strictement.
T Les inconvnients tiennent, d'une part, au risque de surblocage, qui porte
directement atteinte la libert de communication de tiers, et, d'autre part,
l'existence de pratiques de contournement. L'un comme l'autre renvoie, en fait,
au choix de la technique de blocage , question technique qui n'entre pas dans
162
les comptences du groupe interministriel, sauf constater que la Directive
prcite interdit un blocage simple de l'adresse IP compte-tenu des risques qu'il
comporte, que certains Etats ont recours la solution DNS essentiellement pour
des raisons de simplicit de mise en oeuvre (Allemagne, Italie...), mais que la
plupart laissent la technique au choix de chaque fournisseur d'accs. Il semble,
en fait, que le critre du nom de domaine soit gnralement reconnu comme le
plus prcis.
En outre, la question du cot s'avre particulirement prgnante en France, dans
la mesure o le Conseil constitutionnel a pos le principe de l'indemnisation de
l'oprateur ds lors que le concours qu'il apporte la sauvegarde de l'ordre public
est tranger sa mission.
163
Toutefois, si la loi du 14 mars 2011 a prvu une surcompensation des surcots
ainsi gnrs aux oprateurs par le blocage (art. 4), si la loi du 12 mai 2010 en
fait autant en ce qui concerne les sites de jeux ou de paris en ligne (art. 61) selon
des modalits qui ont t fixes par dcret, deux autres lois, qui confrent au
juge, le pouvoir de blocage, ne fixent aucune obligation de cette nature .
164
T Reste une question primordiale, tenant la qualit de l'autorit susceptible
d'ordonner le blocage : l'administration ou l'Autorit administrative indpendante
qui permet une plus grande ractivit dans le respect des principes
constitutionnels compte-tenu du recours possible de l'oprateur devant le juge (cf.
la dcision du Conseil constitutionnel prcit) ou le juge, garant constitutionnel
des liberts individuelles.
202
Les prconisations du groupe interministriel sont les suivantes :
L il ne peut tre recouru un dispositif de blocage, visant d'ailleurs tant le
fournisseur daccs franais que le fournisseur tranger dans les conditions dj
dfinies - qu' titre subsidiaire par rapport au retrait ordonn lauteur du
contenu ou lhbergeur, mais aussi, conformment la recommandation n/ 22,
par rapport au dfrencement ou au retrait d'indexation ordonn au
fournisseur du moteur de recherche, dans la mesure o cette dernire
technique, plus aise mettre en oeuvre et ne faisant pas courir le mme degr
de risque que le blocage, a un impact similaire par rapport l'objectif recherch.
Plus prcisment, il est recommand de recourir largement au
dfrencement, y compris au plan administratif, de prfrence qu'au
blocage, ce qui devrait rendre, le plus souvent, inutile le recours cette dernire
technique.
L Compte-tenu de ce qui prcde et dans la droite ligne de la dcision du
Conseil de 2011, le blocage devrait concerner des infractions graves, se
prtant techniquement une telle mesure et aux seules fins de protger les
utilisateurs dinternet en restreignant laccs un site dtermin.
Tel est dj le cas pour les infractions dj numres dans lart. 6-I.7 de la loi
de 2004, soit
*lapologie des crimes contre lhumanit,
*lincitation la haine raciale,
*lincitation la pornographie enfantine,
*lincitation la violence,
*les atteintes la dignit humaine,
- vises aux art. 24 (al. 5 et 8) de la loi du 29.07.1881 ou 227-23 et 227-24 du C.P.
*les activits de jeux illicites,
*la pdopornographie
* ainsi que, suite la loi pour l'galit entre les hommes et les femmes, la provocation
la discrimination, la haine ou la violence, raison du sexe, de l'orientation ou de l'identit
sexuelle ou du handicap, et l'enregistrement ou la diffusion des atteintes volontaires
l'intgrit humaine
tant soulign que certaines dentre elles font lobjet de recommandations
europennes ou de dcisions de conformit constitutionnelles,
Toutefois, outre ces hypothses de droit lies la nature de l'infraction, la future
loi-cadre devrait prvoir aussi la possibilit, pour le juge, civil (qui en dispose
dj) comme pnal, dans le cadre des mesures provisoires ou des dcisions
au fond, d'ordonner, au cas d'espce, un tel blocage lorsqu'il parat
constituer la seule possibilit de mettre un terme l'infraction et au
prjudice subi par la victime. Un tel pouvoir devrait tre encadr par la loi qui,
outre les conditions gnrales prcites, fixerait le critre de gravit en fonction
du quantum de peine applicable.

L Eu gard aux effets sur les liberts individuelles, la dcision de blocage
devrait ncessairement tre judiciaire et relever, soit d'un juge civil, saisi
en rfr ou sur le fond, soit du juge des liberts et de la dtention, du juge
d'instruction ou de la juridiction pnale de jugement.
cf. la dcision n/ 2011-625 DC du 10.03.2011
165
cf. la dcision C.E.D.H. Ahmet YILDIRIM c. Turquie, 18.12.2012 (dj cite). Sagissant des
166
risques sur les droits des tiers conscutivement une mesure de blocage, il pourrait tre utilement rfr
l'exemple tir du code montaire et financier et, plus prcisment l'art. L.563-4 qui prvoit, en ce qui concerne
les tablissements bancaires, LEtat est responsable des consquences dommageables de la mise en oeuvre de
bonne foi, par les organismes, institutions et services rgis par le titre 1 du prsent livre, leurs dirigeants ou
er
leurs prposs, des mesures dinterdiction mentionnes larticle L. 562-2. Aucune sanction professionnelle ne
peut tre prononce lencontre de ces organismes, institutions ou services, leurs dirigeants ou leurs
prposs.
La Cour europenne des droits de l'homme. a jug que linsertion obligatoire dun avertissement
167
adquat dans les archives Internet indiquant quun article faisait lobjet dune procdure en diffamation et ne
devait ni tre utilis, ni reproduit, ne constitue pas une ingrence disproportionne dans le droit la libert
dexpression (Times Newspaper Ltd c. Royaume-Uni, 10.03.2009)
203
Toutefois, comme il a dj t dit, une exception est prconise pour la pdo-
pornographie, dans la mesure o linfraction est avre par nature et o le
dispositif lgal existe et a t valid par le Conseil constitutionnel et que les
165
textes internationaux nexigent cet gard quune possibilit de recours
judiciaire; il est nanmoins ncessaire, compte-tenu de la nature de ce
contentieux et pour des raisons de cohrence, que les recours ventuels
soient ports devant le juge judiciaire et non devant le juge administratif.
L La dcision judiciaire de blocage pourrait s'accompagner, si le juge en
dcide ainsi et si elle s'y prte techniquement, d'une obligation de surveillance
spcifique mise la charge de l'oprateur et limite dans le temps, destine
prvenir, dans la mesure du possible, un procd de contournement.
L La dcision de blocage devrait prserver les droits des tiers et proscrire
toute mesure assimilable un sur-blocage .
166
L La mise excution de ces dcisions serait dlgue l'agence de la
future Dlgation interministrielle, qui se verrait confre la possibilit de
saisir le juge en difficult d'excution si, pour des raisons techniques avres, le
blocage risquait de lser de tels droits ou si la surveillance ordonne s'avre
techniquement impossible.
L tout blocage devrait saccompagner de la publication dun message
automatis sur le site ou le domaine concern faisant tat de la mesure
judiciaire ainsi que des poursuites auxquelles sexposeraient les personnes qui
ritreraient ou rfrenceraient le contenu prohib .
167
L Le fournisseur daccs pourrait chapper lobligation qui lui est
faite, dans lhypothse o il obtiendrait de lditeur ou de l'hbergeur la
suppression du contenu illicite ou de son accs et en apporterait la preuve
L S'agissant de la compensation financire due aux oprateurs,il importe
de prendre en compte le fait que certains d'entre eux ont dj recours cette
technique de blocage, soit de leur propre initiative, soit dans le cadre d'accords
204
partenariaux, et donc qu'ils disposent des capacits logicielles pour ce faire ; en
tout tat de cause, il conviendrait d'instaurer une tarification rglementaire pour
en terminer avec les palinodies actuelles.
L en ce qui concerne enfin le problme technique, il est suggr de
privilgier une approche europenne, non seulement pour bnficier de
l'exprience dj acquise par certains Etats mais aussi pour harmoniser les
pratiques dans la mesure o elles sont susceptibles de concerner les mmes
oprateurs. Le nouveau Centre europen de lutte contre la cybercriminalit
pourrait utilement en tre saisi.
Recommandation n/ 27
relative au blocage des sites et des noms de domaine
Le cadre gnral suivant est prconis s'agissant du blocage susceptible
d'tre impos sur Interne :
1.- Fixer le principe que le recours au blocage, qui n'a pour finalit que de
protger les internautes en restreignant l'accs un site ou un nom de
domaine illgal et qui ne peut intervenir que de manire subsidiaire aux
mesures susceptibles d'tre requises des hbergeurs ou des fournisseurs des
moteurs de recherche, doit tre limite aux infractions graves qui s'y prtent
techniquement.
2.- Sauf en ce qui concerne la pdopornographie, reconnatre au juge seul,
qu'il soit civil ou pnal, d'ordonner, de manire provisoire ou dans le cadre du
jugement au fond, le recours au blocage d'un site.
3.- Autoriser le juge, afin de limiter les risques de contournement, d'assortir
sa dcision de blocage d'une obligation de surveillance spcifique et limite
dans le temps la charge du prestataire.
4.- Prvoir que la mise excution de l'ensemble de ces dcisions est
assure par l'agence de rgulation relevant de la future dlgation
interministrielle, laquelle pourra saisir le juge en difficult d'excution en cas
de risque de sur-blocage.
5.- Prvoir que toute dcision de blocage devra s'accompagner, l'initiative
de l'agence en question, de la publication d'un message explicatif sur le site
concern.
6.- Autoriser le fournisseur d'accs chapper l'obligation de blocage s'il
apporte la preuve du retrait du contenu ou de l'impossibilit d'y accder.
7.-Recourir une tarification complmentaire s'agissant de la compensation
financire des prestataires.
8.- Saisir les instances europennes comptentes des questions affrentes
au processus technique utiliser pour le blocage.
cf. la dcision de l'A.R.C.E.P. en date du 26 avril 2007 s'agissant des oprateurs de rseaux utilisant
168
la technologie RLAN (radio local area network) sans fil (wi-fi) et l'art. L.34-1 du code prcit modifi par la loi
n/ 2013-1168 du 18.12.2013
compte-tenu de ces dfaillances, la mthode classique d'identification de l'adresse IP n'identifie que
169
le "cyber-caf", tandis que l'absence de sctockage empche les enquteurs de remonter dans le temps.
205
7. - De quelques "oprateurs" particuliers
L'volution numrique permet aujourd'hui de se connecter Internet quasiment
partout et en tout lieu. Toutefois, certains dispositifs, qui ont prcisment pour ambition de
faciliter un tel accs afin d'en faire bnficier le plus grand nombre, rencontrent des difficults
s'insrer dans le cadre lgal.
Il en est d'abord ainsi des oprateurs non commerciaux (collectivits territoriales,
tablissements hospitaliers, scolaires ou universitaires...) qui ngligent souvent les obligations lgales
qui psent pourtant sur eux en terme de conservation des donnes pendant la priode
rglementaire. Une campagne de sensibilisation pdagogique devrait tre mise en oeuvre
leur bnfice afin de leur rappeler ces obligations et surtout les moyens mettre en oeuvre
pour les respecter.
La question s'avre moins aise pour les points d'accs publics que constituent
les "cyber-cafs" et les "offreurs de hot-spots wi-fi publics", ces derniers implants dans
les aroports, gares, restaurants, entreprises, salons..., qui offrent, gratuitement, la possibilit
au public de se connecter sur internet.
L'ensemble de ces oprateurs particuliers sont soumis en tant que tels aux
obligations prescrites par le code des postes et des tlcommunications, s'agissant, notamment,
de la conservation et de la communication des donnes permettant d'identifier, des fins
judiciaires, toute personne ayant contribu la cration d'un contenu mis en ligne , ainsi que,
168
en cas de non-respect, aux sanctions prvues par la loi.
Or, les professionnels qui grent les "cyber-cafs" ne s'assurent pas de l'identit
des utilisateurs et omettent de stocker les donnes requises .Quant aux "hot-spots" libres
169
d'accs, l'on voit mal comment, techniquement, il pourrait tre procd.
Ceci n'aurait qu'une importance limite si des dlinquants professionnels, y
compris en matire de terrorisme, connaissant les failles de ces dispositifs de nature renforcer
leur impunit, n'y avaient pas recours.
La rponse doit relever, avant tout, l encore, de la sensibilisation de l'ensemble
des responsables concerns car, sans doute, l'effort en la matire a-il trop privilgi l'accs du
plus grand nombre en ngligeant les questions de scurit.
Pour les "cyber-cafs", l'identification ne saurait rsulter que de la production d'un
document d'identit pralablement toute utilisation, voire de la traabilit des moyens de
paiement utiliss. Quant au stockage, il ncessite que le professionnel se dote des moyens
matriels ncessaires.
206
Dans un deuxime temps, des contrles inopins, raliss sur rquisition du
procureur de la Rpublique par des enquteurs spcialiss, permettraient de s'assurer du
respect effectif des normes.
Quant aux "hot-spots", ils ncessitent des solutions techniques.
Recommandation n/ 28
relative aux "cyber-cafs" et aux "hots-spot wi-fi"
1.- raliser une grande campagne de sensibilisation, destination des
professionnels concerns, quant aux risques lis l'utilisation de ces points
d'accs, la rglementation respecter et aux moyens d'y parvenir
2.- raliser des contrles inopins des "cyber-cafs" afin de vrifier le respect
de la rglementation
3.- concevoir les solutions techniques ncessaires la gestion des "hot-spots".


,,,,,,
Il est parfois difficile de faire comprendre aux non spcialistes que, sur Internet, lanonymat est la
170
rgle et lidentit lexception, car la fourniture de cette dernire nest jamais un pralable laccs ; la seule
identit est celle du support utilis pour communiquer ; encore cette adresse IP est-elle essentiellement
dynamique, changeant en permanence de titulaire et souvent masque. Comme le rsume M. Michel QUILLE,
directeur adjoint dEUROPOL, la dlinquance par Internet peut tre aujourdhui le fait de nimporte qui, mais
elle peut aussi provenir de nimporte o.
Telle est dailleurs la raison pour laquelle le groupe interministrielle a voulu proposer un cadre
171
densemble cohrent sagissant des prestataires techniques dInternet
207
III.3.- des moyens dinvestigation renforcer
La cyber-infraction se caractrise, gnralement, par sa rapidit et souvent son
instantanit ; par le fait quelle est commise distance, le plus souvent de ltranger o sont
dtenus les avoirs criminels, par des auteurs en gnral anonymes via lutilisation de pseudo
et les relations numriques ; par la volatilit de la preuve numrique, qui rend obsoltes les
170
moyens de droit commun et le temps policier ou judiciaire ; enfin par le recours frquent au
cryptage ou au chiffrement, qui constitue un dfi supplmentaire surmonter.
De telles caractristiques posent, lvidence, de redoutables dfis sagissant
de lidentification des auteurs dinfraction et des modes de preuve, comme en attestent les
difficults dlucidation et limportance des classements sans suite. Les attentes des services
de police et de justice, qui ont parfois le sentiment dtre confronts une mission impossible,
sont, en consquence, fortes en terme dadaptation des moyens procduraux.
Si la production normative de cette dernire dcennie est riche en la matire,
force est de constater quelle na pas rpondu lensemble des besoins, faute de clarification
des attentes lgard des prestataires techniques dInternet ou compte-tenu des difficults tant
traduire au plan rglementaire certains concepts poss par la loi qu mettre en oeuvre, au
plan pratique, partie de ces dispositions.
Par-del, la stratgie de lEtat hsite parfois entre une rponse de nature
administrative, dailleurs encourage par les administrations techniques ainsi que par le monde
du renseignement proccups par le manque defficacit ou le formalisme de laction pnale,
et une rponse de nature judiciaire, dbat qui est souvent lorigine, non seulement de
redondances, mais aussi dun manque de cohrence, ne serait-ce quen terme de garanties
pour les liberts individuelles .
171
Concernant ces dernires, le dbat actuel souffre aussi dun manque de
consensus global sagissant de la traduction concrte donner au principe de proportionnalit
lorsquil sagit de trouver un point dquilibre entre les principes conventionnels et
constitutionnels noncs (principe de lgalit, respect de la libert dinformation, de la vie prive et de
la protection des donnes) et les ingrences justifies par les ncessits rpressives. Les dbats
encore rcents sur la garde vue ou ceux venir sagissant de la traduction en procdure
pnale des rcentes Directives europennes lillustrent au mme titre que lvolution amorce
par la Cour de cassation sur la rpartition des comptences entre le pouvoir dinitiative de
lenquteur, le rle du parquet et celui du juge.
De plus, et comme en attestent les auditions tant des responsables de la
Commission nationale consultative des droits de lhomme et de la Commission nationale informatique et
208
liberts que de la prcdente Btonnire de Paris, mais aussi les dbats parlementaires, rcents
ou actuels, sur le blocage des sites ou la go-localisation, lquilibre parat parfois encore plus
difficile trouver lorsque lon traite dInternet eu gard notamment au caractre contradictoire
des attentes et une forte exigence de transparence.

En outre, comme pour le droit pnal de fond, les dispositions procdurales se
trouvent disperses entre diffrents supports normatifs, ce qui, ajout la complexit ou au
caractre gnral et non spcifique de certaines de ces dispositions, ne facilite pas le travail des
praticiens comme le positionnement des victimes.
En consquence, le groupe interministriel sest attach examiner lensemble
des seules questions de procdure posant dbat, en privilgiant une approche concrte des
difficults et en prconisant des lments de rponse qui se veulent, tout la fois, efficaces et
respectueux des liberts fondamentales.
Si, comme pour le droit pnal de fond, la premire question aborde tient la
lisibilit des dispositions normatives (31), le groupe interministriel sest ensuite pench sur la
question de la comptence territoriale (32) puis sur celle de la prescription de laction publique
(33).
Prcds dune analyse du rgime de la preuve numrique (34), sont ensuite
successivement abords les modes dinvestigation posant difficult : les rquisitions (35),
laccs aux donnes informatiques, leur saisie et leur analyse (36), lenqute sous pseudonyme
(37), la captation des donnes distance (38), enfin le recours aux moyens de lutte contre la
dlinquance organise (39).
Les recommandations du groupe de travail sont guides par le souci dadapter
ces diffrents modes en fonction des difficults inventories par les praticiens.
Il nest toutefois pas certain qu terme cette adaptation suffise, elle seule,
atteindre une efficacit maximale.
Toutefois, combines avec les rformes prconises sagissant des prestataires
techniques, aux rformes organisationnelles et la croissance de ressources humaines mieux
formes, ces prconisations devraient tre de nature apporter une amlioration sensible.
Il conviendra toutefois, si elles sont suivies deffet, den mesurer limpact dans les
annes qui suivent.

*****
209
- La lisibilit du dispositif procdural
Ainsi quil vient dtre dit, les dispositions procdurales souffrent dun manque de
lisibilit et de cohrence semblable celui dj soulign pour le droit pnal de fond. Aussi, les
recommandations susceptibles dtre faites sont similaires et nappellent pas de plus amples
commentaires.
Recommandation n/ 29
relative lamlioration de la lisibilit et de la cohrence du droit
procdural
1.- afin dassurer la cohrence des dispositions procdurales et des moyens
dinvestigation relatifs la cybercriminalit, tout en renforant leur
accessibilit, insrer dans le code de procdure pnale lensemble de ces
dispositions, conformment leur vocation et au rle imparti lAutorit
judiciaire. Cet objectif peut tre atteint soit en rapatriant dans ce code les
dispositions parses dans les autres codes ou les textes non codifis, soit en
les dupliquant systmatiquement.
2.- Concomitamment, unifier les dispositions procdurales ainsi que les
moyens dinvestigation poursuivant le mme objet, afin de mettre un terme
aux doubles-emploi constats.
3.- Dans limmdiat, et afin de favoriser une meilleure effectivit de la loi en
renforant son accessibilit, dresser et rendre accessible en ligne un corpus
exhaustif de lensemble des dispositions en question, avec, en regard, les
principales dcisions jurisprudentielles, internes comme internationales, et
cela en suivant le plan du code de procdure pnale.
4.- dans lavenir,
*la dlgation interministrielle, dont la cration est prconise, devrait
permettre de mieux coordonner les initiatives normatives relatives la
cybercriminalit manant des diffrents dpartements ministriels, tout en
crant un dispositif de veille, tant sur le plan interne quau niveau
international.
*la constitution dune mission spcifique au sein du ministre de la Justice
serait loccasion de raffirmer le pilotage du ministre de la loi, qui devrait
pouvoir sappuyer sur un rseau de rfrents au sein des autres
dpartements ministriels.
*il importe enfin, en matire de cybercriminalit, de mieux articuler le droit
administratif et le droit pnal, lorsquils portent sur le mme comportement,
sagissant des modes dinvestigation ; lintgration, dune manire ou dune
autre, dans le code de procdure pnale, des pouvoirs ainsi reconnus aux
fonctionnaires ou agents chargs de certaines fonctions de police judiciaire
viss aux art. 22 29-1 dudit code faciliterait cette mise en cohrence.

*****
210
.- La comptence territoriale
Bien quaux confins du droit pnal de fond et de la procdure pnale, il a t
estim opportun de traiter de cette question dans le cadre des moyens dinvestigation tant elle
commande laction des parquets comme des services denqute.
La premire question concerne la comptence des juridictions franaises
connatre des infractions affrentes la cybercriminalit, compte-tenu de ce quelles sont
souvent commises de ltranger et par des trangers.
La seconde a trait aux critres de comptence des juridictions entre elles, qui
commandent, le plus souvent, celle des services denqute.
La comptence franaise en matire de cybercriminalit
A premire analyse, les dispositions du code pnal relatives lapplication de la
loi pnale dans lespace, compltes par les art. 689 s. du code de procdure
pnale et par certains instruments internationaux, paraissent de nature justifier
la comptence franaise pour la quasi-totalit des crimes et dlits relatifs la
cybercriminalit, puisque, en particulier,
*son article 113-2 donne comptence aux juridictions franaises pour les
infractions commises sur le territoire national, tant entendu quest rpute
commise sur ce territoire toute infraction dont lun des faits constitutifs a lieu sur
ce dernier
*son article 113-6 fixe le principe dune comptence similaire sagissant des
crimes et dlits commis par un franais ltranger, sous certaines conditions
tenant notamment lexistence dune plainte pralable
*son article 113-7 procde de mme en cas de crime ou de dlit puni
demprisonnement commis hors du territoire sur une personne de nationalit
franaise, sous certaines conditions tenant notamment lexistence dune plainte
pralable.

En consquence, si lon se place au plan de la victime, ds lors quil y a plainte
dune personne de nationalit franaise pour un crime ou un dlit puni
demprisonnement et cela mme si le lieu de commission de linfraction est
extrieur au territoire franais - ce qui nest pas une hypothse dcole en
matire de cybercriminalit -, la loi franaise est applicable.
Toutefois, la plainte pralable est rare dans certains types daffaires.
Or, et sauf exception tenant la nature de la cyber-infraction, il est le plus
souvent peu ais de dterminer son lieu de commission, compte-tenu des
difficults tenant lidentification de la personne ou de la socit en cause,
notamment lorsque lauteur utilise des ordinateurs rebonds (VPN ou proxy)
donnant dans un premier temps une fausse indication quant ladresse IP de
lordinateur responsable de lattaque ; quant la localisation du serveur
informatique utilis par lauteur, il est difficile dans les premiers temps dune
enqute de dterminer, avec exactitude, sa localisation, dautant plus quelle
savre souvent volutive.
cf. le rapport de lI.N.H.E.S.J. sur limpact des nouvelles technologies sur les enqutes
172
judiciaires, 2012-2013, II-7 relatif la problmatique de la comptence territoriale dans les enqutes
judiciaires, qui concerne, spcifiquement, les infractions cybercriminelles et dont est tire une partie du constat
prcit
211
En outre, il nest pas toujours possible de trouver un lment constitutif commis
en France pour fonder la comptence de la loi nationale.
Ds lors, les praticiens se heurtent des difficults dinterprtation et leurs
interrogations sont nombreuses .
172
Mme si la jurisprudence adopte, gnralement, une conception extensive, en
retenant ordinairement la comptence des juridictions franaises ds lors que les
contenus illicites diffuss via Internet sont accessibles en France, des doutes
subsistent encore pour dautres infractions, notamment la contrefaon.
Telle est la raison pour laquelle il est estim opportun, eu gard la spcificit
de cette criminalit, de lever toute quivoque en prconisant un nouveau critre
de comptence.
Recommandation n/ 30
relative la comptence des juridictions franaises
Crer, eu gard la spcificit de la cybercriminalit et aux difficults
rencontres par les praticiens, un nouveau cas de comptence des
juridictions pnales franaises, en nonant que toute infraction commise par
le biais dun rseau de communication lectronique, de nature criminelle ou
de nature correctionnelle mais punissable dun emprisonnement, lorsquelle
est tente ou commise au prjudice dune personne, physique ou morale, de
nationalit franaise au moment de sa commission, est rpute avoir t
commise en France.

Une fois que la comptence de la loi franaise est tablie, se pose la question
de savoir quel parquet est territorialement comptent.
Les critres de comptence entre juridictions
cette 2 interrogation relve tant du droit interne que de la politique pnale (cf.,
me
sur ce dernier point, le chapitre VII).
Concrtement, dans la grande majorit des cas, le parquet est saisi dune cyber-
infraction soit par plainte, soit par dnonciation (par ex. dun professionnel), sans
que lon connaisse ordinairement lidentit de lauteur suppos et, a fortiori, son
lieu de rsidence.
Ds lors, en droit et par rfrence aux dispositions de lart. 43 du code de
procdure pnale, seul le critre du lieu de commission de linfraction peut fonder
la comptence judiciaire.

Or, si les infractions dites de presse peuvent tre souvent considres comme
Curieusement, lidentification positive se traduira ainsi par un dessaisissement, do un
173
investissement jug peu valorisant par les premiers services dinvestigation, sauf recourir, de manire
intensive, des autorisations dextension de comptence territoriale sur le fondement de lart. 18-4 du C.P.P.
comme le pratique le parquet de PARIS ; quant au service et au parquet nouvellement saisi, ils devront prendre
connaissance dune affaire dont ils ignoraient tout
cf. C.A. Paris 9.05.2008
174
212
tant commises sur lensemble du territoire (lieu de diffusion dinternet), si, selon la
nature de certaines infractions, partie des lments constitutifs sont commis
dans un lieu donn (par exemple au sige de lentreprise victime, ou le lieu de livraison
en matire de vente distance), si la comptence spciale reconnue, pour certaines
infractions, la juridiction parisienne ou aux juridictions inter-rgionales
spcialises est aussi attributive de comptence, le critre de comptence de
droit commun li au lieu de commission peut savrer impuissant saisir la
cyber-infraction.
Les difficults qui en rsultent, notamment lorsque linfraction est commise de
ltranger ou encore en terme de dessaisissements obligatoires alors mme
quun premier service denqute est parvenu rcuprer ladresse IP et
identifier lauteur suppos mais quil apparat que ce dernier est domicili dans
un autre ressort , a entran le parquet et la cour dappel de Paris retenir le
173
critre du trouble social .
174
Il est prconis, l encore, de tenir compte de la spcificit de la cybercriminalit,
en crant un nouveau critre de comptence territoriale relatif la victime, de
nature renforcer la scurit des procdures et faciliter le travail des services
denqute et des parquets.
Recommandation n/ 31
relative lextension des critres de comptence territoriale
Modifier le code de procdure pnale afin de reconnatre, sagissant des
infractions commises contre ou via un rseau de communications
lectroniques, la comptence du parquet et de la juridiction du lieu de
domicile ou de rsidence de la victime, personne physique, ainsi que du lieu
du sige social, lorsquil sagit dune personne morale.
*****

213
.- la prescription de laction publique

Si la prescription de droit commun ne soulve pas de difficult, il nen est pas de
mme de celle des infractions dites de presse, compte-tenu des dispositions de lart. 65 de la
loi du 29.07.1881 relatives au dlai de 3 mois et lobligation, pour les rquisitions denqute,
darticuler et de qualifier prcisment linfraction..

Certes, la loi du 9.03.2004 puis celle du 21.12.2012 ont port le dlai de
prescription de 3 mois 1 an, sagissant des infractions de
2 provocation directe ou apologie du terrorisme
2contestation de crime contre lhumanit
2 provocation la discrimination, la haine ou la violence, en raisons
de lorigine, de lethnie, de la nation, de la race
2diffamation et injures pour les mmes raisons,

Lensemble de ces modifications sont, en fait, motives par les difficults
spcifiques aux enqutes relatives aux cyber-infractions et souvent par lincapacit dans laquelle
se trouvent les victimes de ragir temps, faute davoir eu connaissance des propos diffuss
sur Internet les concernant. Et les consquences dune possible inaction sont lourdes en la
matire car, contrairement la presse-papier, audio ou tlvisuelle, les propos restent inscrits
dans le marbre de lInternet ad vitam aeternam.
Le lgislateur, en mettant sur le mme plan tous les types de supports dits de
presse, quitte allonger lensemble des dlais affrents, a tenu compte des exigences de la
jurisprudence constitutionnelle - notamment de la censure partielle de la loi pour la confiance
dans lconomie numrique qui prvoyait le report du point de dpart du dlai de prescription
pour les seules infractions commises sur Internet (cf. 2004-496 DC du 10.06.2004), qui privilgie
(cf. aussi la dcision du 12.04.2013), comme dailleurs la Cour de cassation, lunit de rgime de
la loi de 1881 -.
Pour autant, les retouches successives apportes la loi de 1881 ne rglent pas
entirement la question, dautant plus que lextension de la dure de la prescription fait peser
une responsabilit beaucoup plus importante sur les organes de presse traditionnels et lon peut
sinterroger sur son opportunit.
Deux solutions sont envisageables :
L une solution, radicale, consisterait proposer dinscrire dans le code
pnal lensemble des infractions relevant de la cybercriminalit, aux
motifs que tant la prescription, que les conditions de poursuite de la loi
de 1881 sont inadaptes cette dlinquance et que lassimilation des
messages lectroniques la presse crite ou audio-visuelle apparat
quelque peu artificielle.
Mme si la cohrence de la loi de 1881 se trouve tre peu peu
entame par la cration de dlits dexpression publique dans dautres
textes (cf., par exemple, les propos racistes profrs dans des stades), cette
proposition na pas les faveurs du groupe interministriel, dabord car elle
serait dnonce comme un facteur de rupture dgalit, ensuite parce
quelle savrerait contraire au vritable but poursuivi par la loi de 1881
qui, malgr son titre et son manque de lisibilit, entend protger la libert
214
dexpression au sens de lart. 10 de la Convention europenne des droits
de lhomme
LTelle est la raison pour laquelle une autre solution a t choisie, de
nature viter des modifications incessantes de ce texte et respectueuse
de la jurisprudence du Conseil constitutionnel - lequel a admis la
possibilit de dcider de dlais de prescription plus longs en fonction de
la nature et de la gravit des infractions et donc du concept dordre
public-.
La distinction propose savre, sur ce point, justifie par des lments
objectifs tirs de la spcificit des cyber-infractions dans la mesure o
ni latteinte, ni le prjudice ne disparaissent, et que leur porte (en nombre
de lecteurs) est sans commune mesure avec celle des infractions de
mme nature mais commises par dautres modes. Elle permettrait enfin
de maintenir ou de restaurer le court dlai de prescription pour la presse
crite ou audio-visuelle.
Recommandation n/ 32
relative au dlai de prescription des infractions dites de presse
commises sur Internet
Complter lart. 65-3 prcit en rajoutant un alina supplmentaire nonant
que En outre, ce mme dlai dun an est applicable toute infraction prvue par la
prsente loi lorsquelle est commise au moyen dune rseau de communication
lectronique .

Toutefois, cette recommandation, formule en cours des dbats de ce qui devait
devenir la loi du 27.01.2014, qui a tendu le dlai dun an aux infractions commises
en raison du sexe, de lorientation et de lidentit sexuelle ou du handicap, a perdu
une bonne partie de sa raison dtre, mme si la formule prconise parat toujours
pertinente.

Pour autant, le groupe interministriel est conscient quune telle proposition ne
rsout par toutes les difficults car les rquisitions spcifiquement qualifies de lart. 65 prcit
sont difficilement applicables par des parquets non spcialiss, alors mme quInternet, ne
serait-ce queu gard la masse des donnes quil concerne mais aussi sa nature (blogs),
gnre des infractions de presse dun volume sans prcdent. Il est douteux que si les
propos haineux continuent se rpandre cette vitesse sur le web, les parquets et les
juridictions soient en mesure dy faire face compte-tenu des conditions formelles
auxquels ils sont contraints. Il convient donc de rflchir sur lopportunit de limiter le
formalisme des rquisitions qui, en dfinitive, se retournent contre les victimes que la loi est
cense protger. Cest, vraisemblablement, ce prix que la loi de 1881 pourra continuer rgir
Internet.
*****
par exemple, la saisie dun ordinateur doit respecter des modalits diffrentes selon quil est ouvert
175
ou ferm ; ou encore, lanalyse de donnes contenues dans un support saisi doit respecter un protocole strict
dexamen des supports, notamment en ce qui concerne le blocage en critures, afin de sassurer quaucune
donne nest ajoute.


215
- le rgime de la preuve numrique
La preuve rsultant de lexploitation de donnes contenues dans un systme ou
un rseau de communications lectroniques prend une importance de plus en plus cruciale dans
le procs, compte-tenu du dveloppement de tels outils.
La preuve numrique exige aussi, pour tre recherche et runie, de nouveaux
modes dinvestigation, extraordinaires par rapport au droit commun.
Or, les garanties traditionnelles de procdure pnale ne sont pas toujours
adaptes ces modes spcifiques dinvestigation.
Ainsi, lorsquil y a lieu intervenir sur un serveur soit pour copier les donnes quil
contient, soit pour les exploiter, mme distance, les garanties ordinaires, tenant, par exemple,
la prsence ou au consentement du propritaire ou de lutilisateur des lieux dans lesquels ce
serveur est entrepos, voire des deux tmoins requis pour la perquisition, se rvlent, dabord,
impraticables compte-tenu de la dure de telles oprations ou lorsque la saisie intervient dans
un autre cadre quune perquisition. En outre, elles apparaissent particulirement formelles en
terme de protection contre ventuelles manipulations ; il en serait dailleurs de mme de
lautorisation pralable dun magistrat, dans la mesure o il serait incapable de procder un
quelconque contrle.
Telle est la raison pour laquelle la preuve numrique fait parfois lobjet
dinterrogations, voire de contestations.
Ds lors, il sagit, pour poursuivre sur lexemple prcdent, de dfinir de
nouvelles garanties permettant de sassurer de lintgrit et de la sincrit du support saisi
comme de lexploitation qui en a t faite, voire des captures dcrans raliss ou des
extractions opres, afin tant de scuriser les oprations de police judiciaire que de favoriser
un rel dbat contradictoire sur la preuve numrique et de permettre au juge, saisi de
contestations, de trancher ces dernires.

Certes, lune des garanties fondamentales procde de la qualit dofficier ou
dagent de police judiciaire, de la qualit de magistrat du procureur de la Rpublique, de
lindpendance du juge dinstruction, et, en rgle gnrale, de leurs formations, thiques et
dontologies.
Mais, face une question dordre essentiellement technique, la scurit ne peut
rsulter que de rponses dordre mthodologique et... technique - en terme de matriels et
175
de logiciels notamment -, avec un processus de labellisation et de certification externe,
lexemple de la dmarche ralise pour les laboratoires de police scientifique ou technique, pour
les laboratoires danalyse de lA.D.N., cest--dire par rfrence des normes, si possible
216
europennes ; le protocole interministriel en matire de mdecine lgale pourrait aussi servir
dexemple. Larticle 19c) de la Convention de Budapest, relatif la ncessit de prserver
lintgrit des donnes informatiques stockes, ainsi que le mmento de recueil des preuves diffus
par le Conseil de lEurope confortent une telle dmarche.
La certification technique devrait concerner les matriels destins raliser une
copie du support numrique en cause (bloqueurs en criture et copieurs de supports numriques)
ainsi que les logiciels ddis linvestigation numrique proprement dite (forensic) qui explorent
le support numrique copi afin de mettre en vidence des preuves, y compris des donnes
effaces, des traces de navigation interne...
Le processus de certification lui-mme devrait concerner prioritairement les
fonctionnalits de prservation de lintgrit du support-source.
La solution technique, aux dires des experts, serait de recourir une certification
de scurit dite de premier niveau qui devrait pouvoir tre assure - au titre de la coopration
entre la scurit des systmes dinformation et la lutte contre la cybercriminalit - par un centre
dvaluation agr par lANSSI et selon des critres, une mthodologie et un processus dfinis
par cette autorit et son Centre de certification national (CNN).

Cest une dmarche ambitieuse, qui se veut pionnire en Europe, et qui ne sera
pas aise mettre en oeuvre eu gard notamment aux rticences des praticiens, au caractre
artisanal que revt, trop souvent, linvestigation, la diversit des matriels et logiciels utiliss,
et enfin au cot et la lourdeur des processus de certification, en particulier pour les mises
jour.
Mais cest une dmarche ncessaire afin que la confiance soit au rendez-vous.
Recommandation n/ 33
relative la preuve numrique
Adapter le droit de la preuve la matire numrique en
1.- fixant le principe, par la voie rglementaire, dune modlisation de la
mthodologie devant tre mise en oeuvre par lagent pour la saisie des
supports comme pour toute intervention sur ces supports dans des conditions
assurant lintgrit du matriel saisi aux fins dventuelles exploitations
ultrieures et garantissant le respect effectif des droits de la dfense ; cette
mthodologie aurait aussi pour vocation de traiter du recours aux principaux
types de logiciels utiliss pour les copies et les exploitations, de la
transcription en procdure des lments intressant lenqute, de la
suppression corrlative de tous autres lments temporairement mmoriss
et enfin de la traabilit de lensemble
3.- Prvoyant un mode de certification externe de cette modlisation ainsi
que des principaux matriels et logiciels utiliss,
4.- formant les praticiens cette mthodologie et les aidant la mettre en
oeuvre par la diffusion dun guide mthodologique aux praticiens.
217
Certaines recommandations qui suivent, notamment en terme de saisie,
sinscrivent dans ce devenir.

*****
218
- les rquisitions
Sagissant de la lutte contre la cybercriminalit, le lgislateur a fait le choix
dapporter les modifications ncessaires aux articles rgissant le droit commun des rquisitions
(cf. art. 60-1, 77-1-1 et 99-3 du C.P.P.), tout en y ajoutant des dispositions spcifiques (cf. articles
60-2, 77-1-2 et 99-4 du C.P.P.).
Mme si partie de ces modification sont rcentes, les praticiens se heurtent
certaines difficults eu gard au caractre particulier de loutil de communication que constitue
Internet.
Toutefois, lessentiel des difficults, lourdes de consquence pour la scurit des
procdures et leffectivit des enqutes, a trait aux prestataires techniques et a dj t
examin au titre du chapitre prcdent.
9 la conservation des donnes
Comme il a t dit, la conservation des donnes par les prestataires techniques
est essentielle pour leffectivit du droit de rquisition, du droit de gel de
donnes rsultant de la Convention de Budapest, et du droit de saisie.
Larticle 6 de la Directive 2006/24 de lUnion europenne du 15.03.2006 dispose
ainsi, sous le titre dure de conservation, que les Etats membres veillent ce que
les catgories de donnes vises larticle 5 soient conserves pour une dure minimale
de 6 mois et maximale de 2 ans compter de la date de communication.
En application de cette disposition, la lgislation franaise comporte trois sries
de dispositions :
2 sagissant des oprateurs de communication lectronique, le code des
postes et des tlcommunications lectroniques prvoit, en son article
L.34-1 (III) que
Pour les besoins de la recherche, de la constatation et de la poursuite des
infractions pnales....et dans le seul but de permettre, en tant que de besoin, la
mise disposition de lautorit judiciaire...,il peut tre diffr pour une dure
maximale dun an aux oprations tenant effacer ou rendre anonymes
certaines catgories de donnes techniques.
Les articles R.10-12 et R.10-13, pris en application des dispositions
prcdentes, prcisent les catgories de donnes, intressant tant
lidentification des utilisateurs que les informations de nature technique,
relatives aux communications et la localisation des quipements
terminaux..
2 sagissant des hbergeurs et des fournisseurs daccs, larticle 6-II de
la loi du 21.06.2004 prvoit que
Les personnes mentionnes aux 1 et 2 du I dtiennent et conservent les
donnes de nature permettre lidentification de quiconque a contribu la
cration du contenu ou de lun des contenus des services dont elle est
prestataire.
219
...Lautorit judiciaire peut requrir communication auprs des prestataires
mentionns au 1 et 2 du I les donnes mentionnes au premier alina.
Le dcret du 25.02.2011 relatif la conservation et la communication
des donnes permettant didentifier toute personne ayant contribu la
cration dun contenu mis en ligne, prvoit, au titre des rquisitions
judiciaires fondes sur larticle prcit, une liste extrmement dtaille
des donnes didentit et techniques en question (art. 1 ), la dure de
er
conservation de ces dernires, fixe 1 an (art.3), et prcise enfin que
les conditions de la conservation doivent permettre une extraction dans les
meilleurs dlais pour rpondre une demande des autorits judiciaires (art.4 in
fine).
2 Enfin, les articles 60-2 (al.2), 77-1-2 (al.2) et 99-4 (al.2) du code de
procdure pnale prvoient la possibilit pour lofficier de police judiciaire,
sur rquisition du procureur et aprs autorisation du juge des liberts et
de la dtention ou du juge dinstruction, de requrir des oprateurs de
tlcommunications et des fournisseurs daccs des services de
communication en ligne, de prendre, sans dlai, toutes mesures propres
assurer la prservation, pour une dure ne pouvant excder un an, du contenu
des informations consultes par les personnes utilisatrices des services fournis
par les oprateurs.
Cette dernire disposition, qui ne parat pas avoir t prcise par
lautorit rglementaire ni avoir fait lobjet dapplication pratique, soulve
des interrogations quant lobjet exact poursuivi par le lgislateur
puisque, par son caractre gnral, elle se rapproche du dispositif de gel
des donnes prvu par la Convention de Budapest tout en concernant,
non pas les donnes techniques, mais les donnes de contenu.
Toutefois, la procdure retenue semble privilgier une approche
individuelle en rfrence un dossier prcis, afin, par exemple, de
prserver la possibilit de rquisition ou dinterception ultrieures.

Si, outre la prcision que requiert lalina 2 de lart. 60-2, la principale difficult
en la matire - relative au refus des prestataires trangers de se soumettre au
droit franais - a dj fait lobjet dune recommandation au titre de la coopration
attendue des prestataires techniques, il reste le fait que lensemble des
dispositions prcites, qui concernent directement les services de police
judiciaire et de justice, sont peu accessibles ces derniers comme figurant, pour
lessentiel, dans un code spcifique et dans des textes non codifis, et ne sont
pas cohrentes au regard du niveau normatif fixant le dlai dun an et de la
prcision des lments devant tre stocks, lun visant des catgories de
donnes, un autre des donnes prcises, le troisime ne comportant aucune
dfinition...
220
Recommandation n/ 34
relative la conservation des donnes numrises
Harmoniser, au sein dun mme corpus qui pourrait utilement tre insr
dans le code de procdure pnale comme intressant principalement cette
dernire, les diffrents textes faisant obligation aux prestataires techniques
de conserver, soit de plein droit, soit la demande dun juge, les donnes
ncessaires aux enqutes de justice, en veillant inscrire le dlai dun an
dans la loi et mettre en cohrence le niveau de dtail des donnes en
question.
9 les rquisitions dites informatiques
Certaines prescriptions lgales ne paraissent pas rpondre une vidente
ncessit et nont pas dailleurs reu dapplication effective, alors mme
quelles autorisent une ingrence particulire.
Cest ainsi que le premier alina de lart. 60-2 du C.P.P. prvoit que
Sur demande de lofficier de police judiciaire, intervenant par voie tlmatique
ou informatique, les organismes publics ou les personnes morales de droit priv,
lexception de ceux viss au deuxime alina du 3/ du II de larticle 8 et au 2/
de larticle 67 de la loi n/ 78-17 du 6 janvier 1978 relative linformatique, aux
fichiers et aux liberts, mettent sa disposition les informations utiles la
manifestation de la vrit, lexception de celles protges par un secret prvu
par la loi, contenues dans le ou les systmes informatiques ou traitements de
donnes nominatives quils administrent.
Les art. 77-1-1 et 99-4 du mme code rendent applicables ces dispositions
lenqute prliminaire et linformation judiciaire, sous rserve de lautorisation
pralable du procureur de la Rpublique ou du juge dinstruction.
Lensemble de ces dispositions, difficiles interprter notamment par rfrence
au droit commun des rquisitions au fin de communication de documents, na
pas reu dapplication depuis leur entre en vigueur en 2007.
Lintention du lgislateur tait vraisemblablement, en cas denqute judiciaire
vaste et importante (terrorisme notamment), de mettre la disposition des
enquteurs une mesure dinvestigation de plus grande ampleur que le seul accs
certaines donnes spcifiques. Il sagissait, en fait, de leur permettre de
pouvoir accder tout ou partie dun systme dinformations, dy travailler,
directement et en temps rel, et cela sans risque dendommager les traitements
et en interprtant correctement les donnes. Les art. R.15-33-67 et s. du mme
code en ont dfini les conditions qui supposaient, essentiellement, la conclusion
de protocoles avec les socits concernes, protocoles qui nont jamais t
labors.
Au surplus, le systme anglais, auquel le lgislateur stait sans doute rfr,
repose, non pas sur une pntration ponctuelle dun systme dinformations
inconnu et dont il ne connat rien, mais sur limmersion, demeure, de policiers
chez les oprateurs.
cf., notamment, CRIM n/ 11-84.308 du 22.11.2011
176
titre dexemple, la rquisition de droit commun faite dans le but de connatre lidentit ou la
177
domiciliation dune personne ne vise pas lobtention de documents particuliers
221
Compte-tenu de ce constat, comme du caractre trs intrusif de telles
dispositions, il est prconis de les abroger, purement et simplement.
Recommandation n/ 35
relative labrogation des dispositions autorisant lintrusion dans les
systmes informatiques
Abroger lalina 1 de lart. 60-2 et modifier, par voie de consquence, les art.
er
77-1-2 et 99-4 du C.P.P.
9 la lgalit des rquisitions adresses des prestataires trangers
La question est cite pour mmoire, comme ayant t traite au chapitre
prcdent.
9 lobjet des rquisitions numriques
Il suscite deux interrogations.
Lune a trait la terminologie des articles 60-1 et 77-1-1 prcits, dans la
mesure o la rquisition numrique vise, exclusivement, la remise de
documents, alors que lalina 1 des articles 60-2 et 77-1-2 - dont il est
er
prconis labrogation pour les raisons dj voques - privilgie la notion
dinformations utiles la manifestation de la vrit.
Si la Cour de cassation privilgie une interprtation large du concept de
documents numriques , une telle volution nest pas propre cette matire
176
puisquelle intresse aussi nombre de rquisitions de droit commun .
177
Il apparat aujourdhui ncessaire de modifier les articles rgissant le droit de
rquisition pour tenir compte de ces ralits, comme cela a dj t fait pour les
dispositions procdurales relatives aux saisies (cf. les art. 56, 94 et 97 modifis par
la loi de 2004).
Recommandation n/ 36
relative lobjet de la rquisition
Modifier les articles 60-1 et 77-1-1 du code de procdure pnale afin de
substituer la notion de documents celle dinformations.
cf. CRIM 6.11.2013 sagissant des rquisitions prises sur le fondement de lart. 77-1-1 : la
178
rception dinformations ou de documents remis de plein gr par leurs destinataires ne ncessite pas que
lO.P.J. ait reu lautorisation pralable du procureur de la Rpublique ; dans le mme sens, CRIM n/ 06-80.351
du 28.03.2006 ; n/ 07-88.604 du 12.03.2008 ; 08-81.443 du 20.05.2008...
222
Lautre concerne la protection de la vie prive.
Les dispositions prcites du code de procdure pnale ne tiennent pas compte
de lobjet de la rquisition, selon la nature de lingrence quelle constitue, mais
font reposer la garantie des liberts individuelles sur le type denqute conduite,
lenqute de flagrance, lenqute prliminaire ou la commission rogatoire
consacrant le pouvoir dinitiative de lofficier de police judiciaire -sauf exceptions
destines protger certaines professions ou lieux particuliers - ou le soumettant
lautorisation pralable dun magistrat, du parquet ou du sige.
La Cour europenne des droits de lhomme privilgie, pour sa part, une hypothse
diffrente, en prenant en compte tant le type dingrence et son caractre intrusif
- tant entendu que la rquisition est, par exemple, considre comme beaucoup
moins intrusive que la perquisition ou linterception des communications - que
lobjet mme de la rquisition. Une telle approche explique la raison pour
laquelle, par exemple, la rquisition aux fins de go-localisation, assimile une
ingrence de gravit moyenne, appelle des garanties supplmentaires. Il est
toutefois aussi tenu compte, dans lapproche in concreto de la Cour, du degr
datteinte lordre public en fonction de la gravit, plus ou moins grande, de
linfraction.
Si, de manire gnrale et au regard de lvolution de ces dernires annes,
induite par la jurisprudence de Strasbourg, la distinction franaise
traditionnellement faite entre lenqute de flagrance et lenqute prliminaire se
trouve ainsi, pour une bonne part, frappe de dsutude, le groupe
interministriel sest interrog sur la ncessit de mieux encadrer les rquisitions
en matire de cybercriminalit en fonction de leur objet.
Au-del des prconisations destines assurer une plus grande scurit
juridique sagissant des rquisitions dites techniques (cf. les commentaires sur la
go-localisation), il est un fait que les grandes possibilits de stockage numrique
font courir la vie prive des risques plus importants. Faut-il pour autant
soumettre les rquisitions numriques un rgime particulier lorsquelles portent
sur la vie prive ?
La question ne se pose pas, comme la rappel implicitement la Cour de
cassation lorsque la remise est volontaire, que cette remise intervienne ou non
la demande de lenquteur et quelle soit le fait du propritaire des donnes
concernes ou de leur simple dtenteur . Elle ne se pose pas davantage
178
lorsque lenquteur sest vu reconnatre, explicitement, le droit daccs certains
fichiers.
Sagissant des rquisitions proprement dites, le concept tenant la vie prive
nest pas vritablement oprationnel puisque la plupart dentre elles sont, au
regard des impratifs dordre public qui les motivent, attentatoires, peu ou prou,
la vie prive. Quant faire un sort particulier aux rquisitions numriques, alors
mme que de telles donnes concernent tous les aspects de la vie sociale et la
cf. CRIM n/ 13-81.945 du 22.10.2013 ; CRIM 6.11.2013 ; dans ces deux espces, la Cour a jug,
179
implicitement puis explicitement, que la rquisition fonde sur lart. 77-1-1 et autorise par le procureur de la
Rpublique tait fonde solliciter, dun oprateur de communications lectroniques, la remise des donnes
didentification et de trafic affrentes des changes, mais non le contenu de la correspondance, lequel suppose
lintervention dun juge. En revanche, la saisie, par exemple dun bote de messagerie lectronique dtenue par
une personne ou une entreprise donne, est licite (CRIM n/s 08-87.415 et 08-87.416 du 8.04.2010 ; CRIM n/s
10-81.748 et 10-81.749 du 30.11.2011 ; CRIM n/ 12-85.645 du 27.11.2012 ; CRIM n/s 12-80.331 et s. du
24.04.2013).
223
quasi-totalit des types de criminalit, cest prendre un risque srieux en terme
deffectivit du travail dinvestigation.
En fait, une meilleure protection de la vie prive dans le domaine numrique
passe par lencadrement des rquisitions adresses aux gestionnaires de
stockage numrique de masse (les oprateurs de communications lectroniques ou
les prestataires techniques dInternet).

Ds lors, la solution, dj esquisse par les instruments normatifs comme par
la Cour de cassation , consiste diffrencier, sagissant des rquisitions
179
destines de tels gestionnaires, celles portant sur les donnes de connexion
et de trafic, et celles relatives au contenu des communications.
Recommandation n/ 37
relative aux rquisitions adresses aux oprateurs et prestataires
visant le contenu des changes
Soumettre lgalement lautorisation pralable du juge des liberts et de la
dtention ou du juge dinstruction la rquisition, destine un oprateur de
communications lectroniques, notamment aux prestataires techniques
dInternet, ayant pour objet la communication des changes entre deux
personnes prives.
9 les dlits obstacles relatifs au respect du droit de communication
En matire de cybercriminalit, le respect, par la personne requise, de la
confidentialit des rquisitions revt une importance toute particulire. Par
ailleurs, le refus de rponse ou la simple abstention des professionnels,
notamment lorsquil sagit didentifier une personne sur Internet, rduisent,
souvent de manire dfinitive, limpuissance les services de police et de
justice. Il sagit, en consquence, de renforcer les dispositions actuelles.
L la violation des rgles de confidentialit
Laudition, par le groupe interministriel, des reprsentants des socits
gestionnaires de rseaux sociaux a montr combien lobligation de confidentialit
lgard des demandes qui leur sont faites ntait pas systmatiquement
respecte par lensemble de ces socits.
224
Or, si lon se rfre au plus rcent modle de normes minimales internationales
en matire de lutte contre la cybercriminalit labor avec le soutien de lUnion
Europenne (cf. Cybercriminalit. Modles de lignes directrices politiques et de textes
lgislatifs - HIPCAR - UIT 2012"), il comprend une incrimination de divulgation des
dtails dune enqute, ainsi rdige :
Un fournisseur de service Internet qui, dans le cadre dune enqute pnale,
reoit une injonction stipulant explicitement que la confidentialit doit tre
maintenue ou lorsquune telle obligation est nonce par la loi, et qui, sans motif
ou justification lgitime, divulgue de manire intentionnelle
- le fait quune injonction ait t mise
- toute action ralise aux termes de linjonction
- ou toute donne collecte ou enregistre aux termes de linjonction,
commet (un infraction punissable)...
Une telle incrimination se fonde directement sur les articles 20.3 et 21.3 de la
Convention de BUDAPEST qui prvoit, dans lhypothse de collecte en temps rel
des donnes relatives au trafic et dinterceptions de donnes relatives au contenu que
Chaque Partie adopte les mesures lgislatives et autres qui se rvlent ncessaires pour
obliger un fournisseur de services garder secrets le fait que lun quelconque des
pouvoirs prvus par le prsent article a t excut ainsi que toute information ce sujet.
Etant entendu que si lart. 11 du code de procdure pnale pose le principe du
secret de lenqute et de linstruction, une telle obligation ainsi que lincrimination
de lart. 226-3 du code pnal qui sanctionne latteinte au secret professionnel ne
psent que sur les personnes qui concourent la procdure et qui sont tenues
au secret soit en raison de leur tat, soit en raison de leur profession ; il nexiste
donc, semble-t-il, aucune disposition normative instituant une obligation de
confidentialit pour les autres tiers qui sont requis par un officier de police
judiciaire ; ds lors, ils ne sexposent aucune sanction sils violent ladite
obligation.
Recommandation n/ 38
relative au respect de la confidentialit par les tiers requis
Complter les dispositions relatives aux rquisitions afin de prvoir que les
tiers requis, sils ne sont pas parties la procdure, sont soumis une
obligation de confidentialit et ne peuvent, sous peine de sanctions pnales,
divulguer quiconque une demande ou une rquisition, quel quen soit
lobjet, provenant dun officier de police judiciaire. ou dune autorit judiciaire,
ou le contenu de cette dernire, sauf dans lhypothse o lexcution mme
de cette rquisition lexige.
Les peines doivent tre dissuasives, notamment lencontre des
professionnels et des personnes morales.
L labstention et le refus de rponse par la personne requise
Les art. 60-1 (al.2), 60-2 (al.4)...prcits prvoient que le fait de sabstenir de
rpondre dans les meilleurs dlais ou le fait de refuser de rpondre sans motif lgitime
aux rquisitions prcites expose la personne publique ou prive des
poursuites correctionnelles ; toutefois, le montant de lamende (3.750 ) nest
225
aucunement dissuasif notamment pour une personne morale, supposer
dailleurs quelle soit effectivement poursuivie.
Mme si cette peine est identique celle prvue par lart. 434-15-1 du code
pnal sagissant du tmoin qui refuse de comparatre ou de dposer, elle devrait
tre substantiellement aggrave, notamment lgard des professionnels et des
personnes morales, si lon entend que les rquisitions soient suivies deffet, en
se rfrant, par exemple, aux dispositions de lart. L.39-4 du code des postes et
des communications lectroniques qui punit de 3 mois demprisonnement et de
30.000 damende le fait, pour un utilisateur de rseaux ou un service de
communications lectroniques, de refuser de fournir des informations ou
documents lgaux.
A noter, dans le mme sens, que lart. 6.VI loi du 21.06.2004 rprime dun an
demprisonnement et de 75.000 damende le fait, pour un prestataire de
service, de ne pas avoir conserv les donnes didentification ou de ne pas
dfrer la demande dune autorit judiciaire dobtenir communication de ces
lments.
Recommandation n/ 39
relative la sanction de linaction ou du refus de rponse
du tiers requis
Renforcer substantiellement la peine encourue au titre des articles 60-1 et
60-2 sagissant des professionnels et des personnes morales.

226
- laccs aux donnes informatiques, leurs saisies et leur analyse
Ces questions sont actuellement rgies, sagissant de lenqute de flagrance,
par les articles 56, 57, 57-1 et 60 du code de procdure pnale, ainsi que par les
articles 76, 76-3, 77-1 du mme code en ce qui concerne lenqute prliminaire,
linformation judiciaire faisant lobjet de dispositions similaires.
Dans leur application pratique, ces textes posent de nombreuses difficults aux
services de police et de justice en terme, notamment, de scurit juridique et
dadaptation la lutte contre la cybercriminalit, auxquelles il convient dapporter
rponse pour accrotre lefficacit de laction rpressive. Par ailleurs, la garantie
effective des liberts commande de sortir du flou actuel.
Il est noter que partie de ces difficults trouve leur origine dans un
manque de reconnaissance de la spcificit de la cybercriminalit,
rsultant, techniquement, du mode de rdaction lgislatif retenu.

A titre de comparaison, il est fait mention ci-aprs des plus rcentes normes
minimales internationales en matire de cybercriminalit riges avec le soutien
de lUnion europenne (cf. Cybercriminalit - Modles de lignes directrices politiques
et de textes lgislatifs - HIPACAR - UIT 2012"), lesquelles paraissent plus claires et
plus oprationnelles que les textes internes, vocation trop gnrale :
perquisition et saisie :
1 - Si un juge/magistrat est convaincu quil existe de bonnes raisons de
souponner/croire quil peut exister dans un lieu un objet ou des donnes informatiques
- pouvant tre considrs comme importants pour servir de preuve une infraction
- ou ayant t obtenus par une personne suite une infraction
il peut mettre un mandat autorisant un agent, avec toute lassistance pouvant tre
ncessaire, dentrer dans le lieu pour perquisitionner et saisir lobjet ou les donnes
informatiques en question, notamment perquisitionner ou accder de manire similaire

- un systme informatique ou une partie dun tel systme et aux donnes informatiques
qui y sont stockes
- un moyen de stockage des donnes informatiques dans lequel les donnes
informatiques peuvent tre stockes sur le territoire du pays.
2 - Si un agent qui entreprend une perquisition sur la base de larticle prcdent a des
raisons de penser que les donnes recherches sont stockes dans un autre systme
informatique ou dans une partie de celui-ci situ sur le territoire national, et que ces
donnes sont lgalement accessibles partir du systme initial ou disponibles pour ce
systme initial, il sera en mesure dtendre rapidement la perquisition ou laccs similaire
lautre systme.
3 - Un agent qui entreprend une perquisition a le pouvoir de saisir ou dobtenir de faon
similaire les donnes informatiques auxquelles il a accd en vertu des articles
prcdents.
Assistance :
Toute personne non suspecte de crime mais qui a connaissance du fonctionnement
du systme informatique ou des mesures appliques pour protger les donnes
informatiques qui sy trouvent et qui font lobjet dune perquisition au terme des articles
227
prcdents doit permettre et assister la personne autorise effectuer la perquisition, si
cela est requis et exig de manire raisonnable,
- fournir des informations permettant de prendre les mesures mentionnes aux articles
prcits
- accder et utiliser un systme informatique ou un moyen de stockage de donnes
informatiques pour effectuer une perquisition sur toutes les donnes informatiques
disponibles ou sur le systme
- obtenir et copier ces donnes informatiques
- utiliser lquipement pour faire des copies
- et obtenir un rsultat intelligible dun systme informatique dans un format simple
admissible des fins de procdure lgales.
Ce droit dassistance a pour fondement larticle 19.4 de la Convention de
BUDAPEST relatif aux perquisitions et saisie de donnes informatiques
stockes, qui dispose que Chaque partie adopte les mesures lgislatives et autres qui
se rvlent ncessaires pour habiliter ses autorits comptentes ordonner toute
personne connaissant le fonctionnement du systme informatique ou les mesures
appliques pour protger les donnes informatiques quil contient de fournir toutes les
donnes raisonnablement ncessaires, pour permettre (les perquisitions et saisies).
1.- Le champ des saisies et des perquisitions
les textes actuels, qui constituaient, en 2003, une avance certaine, sont
aujourdhui pour partie obsoltes, comme partant du principe que les
donnes sont entreposes dans un ordinateur fixe ou dans des supports
de stockage informatique (cf. art. 57-1 in fine), saisis dans le cadre de la
perquisition dun domicile, voire sur les lieux du crime ou du dlit (cf. art.
54).
Or, la diversification des supports de stockage numrique (cdroms, clefs USB),
la multiplication des terminaux mobiles (smartphones, tablettes) comme le recours
frquent des supports appartenant des tiers ou leur partage par plusieurs
utilisateurs, rend une telle conception par trop restrictive, mme si la notion de
domicile a t largie par la jurisprudence.
Il est ainsi prconis de mieux distinguer la notion de saisie dobjets numriques
de celle de perquisition.
Recommandation n/ 40
relative lextension du droit de perquisition et de saisie
des terminaux et supports informatiques
1 - Etendre le droit de perquisition tout lieu privatif o se trouvent des objets
ou donnes informatiques utiles la manifestation de la vrit.

2 - Autoriser explicitement la saisie des terminaux et des supports
indpendamment de tout transport sur les lieux de linfraction et de toute
perquisition.

Une telle assimilation de laccs un systme informatique la perquisition dun domicile est
180
dailleurs lorigine du concept, vocateur mais mal dfini, de perquisition informatique, traduction
approximative du terme anglais de search qui a un contenu beaucoup plus large, raison pour laquelle il est
prconis de retenir le terme daccs aussi usit dans la Convention de Budapest.
228
2.- Laccs aux systmes informatiques et lanalyse des donnes informatiques.
Les services dinvestigation se heurtent des difficults de diffrente nature.
21 - la premire difficult concerne les modalits relatives lanalyse des
donnes informatiques saisies et linterrogation des autres systmes
informatiques accessibles partir du systme initial et viss lart. 57-1.
En ltat actuel, les textes (cf. art. 56 du C.P.P.) prvoient soit une analyse sur les
lieux de la perquisition, soit, en prsence des personnes assistant cette
perquisition, la constitution dun scell provisoire - la mise ultrieure sous scells
dfinitifs devant tre alors aussi ralise en la mme prsence - ou la ralisation
dune copie sur un support numrique, afin de permettre implicitement une
exploitation ultrieure .
180

Lanalyse sur place, qui demande un environnement technique, notamment la
prsence sur les lieux dun technicien, saccorde mal avec les possibilits des
services territoriaux et avec un travail en urgence sur les lieux de la perquisition.
Il y a, en effet, des diffrences sensibles entre la prise de connaissance de
documents-papier ou la reconnaissance dobjets, et lanalyse de donnes
informatiques qui peuvent tre volumineuses.
En cas de recours des scells provisoires, la prsence des personnes ayant
assist la perquisition aux fins de constitution des scells dfinitifs savre
souvent impossible en pratique, compte-tenu de la dure que requiert leur
exploitation.
Si la possibilit reconnue aux services denqute de procder une copie des
donnes numriques afin dexploiter plus aisment ces dernires constitue une
avance indniable, la grande capacit de certains supports requiert un temps
de copie souvent important, qui savre incompatible avec la dure de la
perquisition ainsi que, en cas dinterpellation dune personne, avec celle de la
garde vue.
Les services de police judiciaire sont aujourdhui contraints, dans de telles
situations, de profiter de la prsence du mis en cause ou des tiers concerns,
pour placer le support informatique sous scell dfinitif puis de faire appel un
de leurs collgues techniciens en le requrant sur le fondement de lart. 60 du
C. P.P. , puisque la loi autorise cette personne requise briser le scell aux fins
danalyse et le reconstituer, hors la prsence de la personne, compte-tenu de
son indpendance par rapport lenqute...La complexit de la dmarche est
vidente pour un surcrot de garantie limite par rapport celle quoffre tout
officier de police judiciaire.
Enfin, la loi est muette sagissant de lexploitation des supports saisis en dehors
dune perquisition, par exemple sur la personne suspecte ou sur un tiers, ou de
la possibilit de raliser, en pareille hypothse, une copie.
229
Laccs un serveur distant pose les mmes types de difficults.
Indpendamment de la question des garanties qui doivent accompagner
lanalyse (voir les recommandations sur la preuve numrique), il sagit moins dune
difficult de nature juridique que dune insuffisance tenant la conduite tenir
en matire daccs, selon que lon procde des scells ferms provisoires du
support physique des donnes informatiques ou la ralisation de copies, selon
que la personne en cause peut tre ou non prsente, insuffisance lorigine
dune vritable inscurit juridique, en premier lieu pour les enquteurs.
Il est aujourdhui ncessaire dadapter la procdure aux spcificits du support
informatique.
Recommandation n/ 41
relative lanalyse des donnes saisies
1 - Prvoir explicitement que laccessibilit, partir du systme initial ou du
scell provisoire, aux donnes stockes dans ce systme ou dans un autre
systme vis lart. 57-1 peut tre ralise soit sur les lieux de sa saisie, soit
dans les locaux du service denqute ou dans les locaux des techniciens
saisis en application de lart. 60.
2 - Autoriser explicitement la ralisation dune copie sur les lieux de la saisie
du support numrique ainsi que dans les locaux denqute sur la base du
scell provisoire et hors la prsence de la personne.
3.- Autoriser lenquteur, en cas de ralisation diffre de la copie ou dans
lhypothse dune exploitation diffre du scell provisoire, de mettre le
support saisi sous scells dfinitifs hors la prsence de la personne, mais en
prsence dun responsable hirarchique.
Ces trois dispositions doivent saccompagner de garanties spcifiques (voir
les recommandations sur la preuve numrique).

4 - Doter les services denqute, compte-tenu des besoins croissants cet
gard et de lexigence de rapidit qui prvaut en cas dinterpellation du mis
en cause, du matriel technique leur permettant de raliser ces copies dans
les meilleurs dlais.

22. - la seconde de ces difficults tient la mconnaissance des codes
daccs verrouillant laccs au contenu informatique, dans la mesure o
leur dtenteur (suspect ou tiers) est soit absent, soit refuse de les fournir.
Dans la mesure o lart. 56 al.2 lui permet de prendre connaissance sur place
des donnes informatiques avant saisie, lofficier de police judiciaire se trouve
confront une impossibilit difficilement surmontable.
En outre, il importe de rpondre lhypothse de la dcouverte des codes
daccs sur place et de leur utilisation, soit en labsence de lintress, soit
aprs refus de sa part de les fournir. Dans lespce ayant donn lieu larrt
de la Chambre criminelle en date du 6.11.2013, cette utilisation par les
230
enquteurs ne soulevait pas de difficults dans la mesure o lidentifiant avait t
obtenu dans le cadre dune perquisition autorise par le juge des liberts et de
la dtention ; toutefois, dune part, la perquisition ne requiert pas ncessairement
une autorisation dun juge ; dautre part, une telle saisie peut tre opre en tous
lieux.
Enfin, le droit lassistance doit tre spcialement reconnu, au-del de la
possibilit de rtention prvue in fine par lart. 56 du C.P.P. ou de faire appel
une personne qualifie. Une telle disposition complterait harmonieusement les
dispositions de lart. 434-15-2 du code pnal rprimant la personne qui, ayant
connaissance de la convention secrte de dchiffrement dun moyen de
cryptologie susceptible davoir t utilis dans le cadre dun crime ou dun dlit,
refuse de prter son concours alors quil en est requis.
Recommandations n/ 42
relative aux codes daccs
1.- Prvoir explicitement que la saisie peut porter tant sur les terminaux et
supports de stockage que sur les lments permettant laccessibilit aux
diffrents systmes informatiques (identifiants, mthodes de chiffrement...) et que
ces lments peuvent tre utiliss par lofficier de police judiciaire pour avoir
accs aux donnes informatiques, condition den faire mention dans la
procdure.
2.- Inscrire dans le code de procdure pnale le droit, pour lofficier de police
judiciaire, de requrir tout tiers ayant connaissance du systme informatique,
dans la mesure o il ne saurait tre assimil une personne qualifie,
3.- reconnatre explicitement le droit, dj largement mis en oeuvre en
pratique, pour lofficier de police judiciaire de casser lui-mme le code
daccs ou de faire appel une personne qualifie pour ce faire, condition
dassurer lintgrit du systme et den faire mention dans la procdure.
23.- La troisime difficult tient au recours de plus en plus frquent des
logiciels de chiffrement.
Quant aux donnes cryptes ou chiffres, les dispositions des art. 230-1 et s.
du code de procdure pnale permettent, aux seuls magistrats, de requrir toute
personne physique ou morale ainsi que lorganisme technique interministriel
habilit secret dfense - le Centre technique dassistance (DCRI) -. Si, sagissant des
donnes manant des oprateurs de communication lectronique, la future Plate-
forme nationale des interceptions judiciaires devrait apporter des solutions, dans le
cadre de la convention conclue avec le centre prcit, la difficult reste entire
pour laccs aux autres donnes informatiques.
181
art. 57-1 du C.P.P. :
Les officiers de police judiciaire ou, sous leur responsabilit, les agents de police judiciaire peuvent, au cours
dune perquisition effectue dans les conditions prvues par le prsent code, accder par un systme
informatique implant sur les lieux o se droule la perquisition des donnes intressant lenqute en cours et
stockes dans ledit systme ou dans un autre systme informatique, ds lors que ces donnes sont accessibles
partir du systme initial ou disponibles pour le systme initial.
Sil est pralablement avr que ces donnes, accessibles partir du systme initial ou disponibles pour le
systme initial, sont stockes dans un autre systme informatique situ en-dehors du territoire national, elles
sont recueillies par lofficier de police judiciaire, sous rserve des conditions daccs prvues par les
engagements internationaux en vigueur.
231
Recommandation n/ 43
relative au cryptage et au chiffrement des donnes
1 - Autoriser lofficier de police judiciaire, sagissant des donnes chiffres et
lorsque la convention de chiffrement ne peut tre obtenue du matre du
systme ou du tiers dont lassistance est requis, requrir toute personne
qualifie, y compris, par le biais de lO.C.L.C.T.I.C. ou de lI.R.C.G.N., le
Centre technique dassistance.
2 - Compte-tenu des comptences de ce Centre et de lassistance prcieuse
quil peut fournir, gratuitement, aux autorits judiciaires, mieux faire connatre
ce service, en accrotre les capacits afin dacclrer son expertise et en
faciliter laccs en prvoyant la possibilit pour les magistrats de le saisir
directement, sans devoir passer par lintermdiaire de lO.C.L.C.T.I.C,
3 - Rechercher et poursuivre effectivement les personnes, physiques ou
morales, qui se livrent au commerce, limportation et lexportation des
logiciels de chiffrement et de cryptologie, en violation de la rglementation
franaise existante, sans exclure, sagissant des utilisateurs, lapplication de
la circonstance aggravante prvue par lart. 132-79 du code pnal.
3 - les droits daccs un systme informatique second sis ltranger.
Le temps o les donnes intressant lenqute taient toutes stockes dans
lordinateur du mis en cause est dsormais rvolu ; dune part, lvolution de la
technique favorise leur externalisation ; dautre part, les liens informatiques qua
pu entretenir un suspect avec dautres bases de donnes intressent aujourdhui
autant la lutte contre la cybercriminalit que les donnes stockes.
La Convention du Conseil de lEurope sur la cybercriminalit en a tir les
consquences en prvoyant, en son article 32, que, sauf pour celles qui sont
accessibles au public, laccs transfrontalier des donnes stockes sur le
territoire dun autre Etat est conditionn par le consentement lgal et volontaire de
la personne autorise lgalement divulguer ces donnes.
Le lgislateur franais a ainsi modifi les deux premiers alinas de lart. 57-1 .
181
Quant la Chambre criminelle, elle a elle-mme, en son arrt du 6 novembre
2013, donn linterprtation la plus large possible au texte existant en privilgiant
le doute quant la localisation des donnes.
cf. le code dinstruction criminelle belge, le code de procdure pnale portugais...
182
232
Il en rsulte que, pour les donnes non publiques, sil nest pas pralablement
avr que ces donnes sont stockes dans un systme informatique situ en
dehors du territoire national, lofficier de police judiciaire est autoris les
consulter, implicitement selon la loi, explicitement selon la Cour de cassation.
En revanche, lorsquil est avr que le systme informatique en cause est situ
en-dehors du territoire national, le principe est aussi celui de la consultation, sous
rserve du consentement lgal et volontaire de la personne autorise lgalement
divulguer ces donnes, qui suppose de disposer dinformations le plus souvent
inexistantes quant la domiciliation lgale du serveur ou du site concern, et a
fortiori, quant lidentification du pays dans lequel les donnes sont stockes.
Les spcialistes se perdent aussi en conjecture pour dterminer exactement la
personne autorise lgalement dont fait tat la Convention, dautant plus quune
telle dfinition renvoie des ralits propres chaque systme juridique.
A dfaut, la seule solution juridique consiste en louverture dune information
judiciaire aux fins de dlivrance dune commission rogatoire internationale,
solution qui nest pas envisageable dans les affaires de masse et de moindre
gravit et savre inadapte compte-tenu de la clrit qui simpose et du risque
de dplacement ou daltration des donnes.
Si laccs un site ouvert au public ne soulve pas de difficults ( la condition de
sentendre sur ce que recouvre exactement un tel concept, notamment pour les rseaux
sociaux : cf. La notion damis sur Facebook...), la difficult est entire sagissant des
espaces privatifs situs ltranger, qui, linstar du coffre bancaire ou de la
bote lettres, requirent, en terme daccs, des garanties tenant, la fois, la
personne et lEtat, voire la personne seule dans le cadre de la Convention
prcite.

Dvidence, une telle limitation favorise limpunit des dlinquants,
compte-tenu du recours de plus en plus frquent la localisation des
donnes ltranger, au besoin dans des cyber-paradis, voire dans les
nuages. Elle constitue, pour les praticiens, lune des difficults majeures
rencontres dans les enqutes ou les instructions prparatoires portant
sur la cybercriminalit.
Le groupe interministriel a pris acte des rflexions du Conseil de lEurope
susceptibles de dboucher, terme, sur un protocole additionnel destin
autoriser distance, pour les donnes didentit et de trafic, ce type de
consultations dans la mesure o les donnes intressant lenqute sont
accessibles partir du systme initial. Il conviendra toutefois de bien examiner
les effets directs dune telle volution sagissant des socits franaises ainsi
que le temps que va requrir une telle volution.
Le Groupe est davis, vu lurgence et linstar de nombre autres Etats europens
, de procder sur le plan de la lgislation interne.
182
Deux solutions ont t explores.
233
En premier lieu, il pourrait tre envisag de procder de manire similaire ce
qui est recommand pour les rquisitions et dinstituer un droit de suite en
nonant que tout systme informatique accessible partir dun systme initial
prsent sur le territoire franais et en possession ou utilis par une personne
paraissant avoir particip un crime ou un dlit grave est prsum ne faire
quun avec le systme initial et soumis aux mmes modalits de consultation que
ce dernier, en bornant ou non cette possibilit daccs aux seules donnes
personnelles de lintress.
Une telle solution, conforme semble-t-il aux dispositions dj existantes au
bnfice de ladministration fiscale et la dcision prise par la cour dappel de
PARIS en son arrt du 31 aot.2012, serait logique dans la mesure o, si des
agents ont autorit pour accder un ordinateur, ils doivent tre mme de
consulter lensemble des donnes cres par le suspect ou accessibles par lui.
Toutefois, cest une autre solution qui est prconise, comme plus protectrice et
plus cohrente avec les dispositions internationales existantes : recourir
lautorisation pralable dun magistrat lorsque le consentement de la personne
habilite autoriser laccs na pu tre recueilli.
Cette proposition se situe dans la droite ligne des dispositions de la Convention
prcite tout en leur donnant leur pleine effectivit, en positionnant en quelque
sorte le magistrat comme une autorit de substitution lorsque, notamment, la
personne lgale autorise consentir la divulgation nest pas dtermine, se
trouve tre empche ou a pris la fuite.
Recommandation n/ 44
relative laccs en ligne
aux donnes informatiques stockes ltranger
Prvoir, dans la loi franaise, que, lorsquil avr que le stockage des
donnes informatiques a lieu ltranger et que le consentement de la
personne habilite autoriser laccs na pu tre recueilli, leur consultation
puisse tre autorise par un magistrat.


.
4.- le recours des techniciens et experts qualifis

La technicit requise par les analyses numriques suppose le concours de
spcialistes forms cet effet. Les praticiens rencontrent plusieurs difficults
concrtes cet gard.
41 - La premire difficult, rencontre par les enquteurs, a trait au rle
respectif des officiers de police judiciaire habilits procder lenqute,
et des policiers ou gendarmes requis en tant que personnes qualifies sur
le fondement des dispositions de lart. 60 du code de procdure pnale,
notamment les ICC et les NTECH.
234
Pour des raisons pratiques et afin dviter une csure dans les investigations
ncessaires en cours danalyse et dexploitation des matriels, les services
enquteurs souhaiteraient que les policiers et gendarmes requis puissent
exercer, la fois, leur qualit de technicien et leur qualit dofficier de police
judiciaire.
En ltat de la jurisprudence, il nexiste aucune incompatibilit entre les deux
qualits lorsque le technicien appartient au service charg de procder
lenqute. Ainsi, dans larrt n/ 10-84.389 rendu le 4.11.2010 par la Chambre
criminelle, le fait que des fonctionnaires du service local didentit judiciaire aient
effectu des constatations et examens, mmes techniques, pour le compte dun
officier de police judiciaire relevant du mme service rgional de police judiciaire
saisi de lenqute par instructions du procureur de la Rpublique, ne relevait pas
des dispositions de lart. 60 ; vraisemblablement, la Cour de cassation a ainsi
voulu viter quil soit procd des rquisitions internes un mme service et
des prestations de serment, qui revtiraient un aspect purement formel au
regard du principe de lautorit hirarchique. Par-del, il y a la volont dassurer
le respect de la dsignation du service denqute comptent par le procureur de
la Rpublique comme par le juge dinstruction.
En revanche, lorsque le technicien relve dun autre service ou dune autre unit
que celui ou celle saisi de lenqute, le recours lart. 60 simpose avec, comme
corollaire, limpossibilit, pour le technicien, de procder des actes denqute.
Toutefois, linterprtation de larrt prcit tendrait permettre de faire
lconomie dun tel recours si le service ou lunit dont fait partie le technicien -
la condition quil sagisse dun service ou dune unit de police judiciaire et que
le technicien ait lui-mme la qualit dofficier ou dagent de police judiciaire -, est
co-saisi par le magistrat.
En consquence, ce nest que dans lhypothse dune saisine doffice, par
lenquteur, dun technicien relevant dun autre service que le sien, quil devrait
tre fait recours aux dispositions de lart.60 avec les consquences quil
implique.
Le groupe interministriel a estim ne pas devoir revenir sur cette dichotomie
dans la mesure o les examens techniques et scientifiques effectus dans le
cadre de lart.60 requirent, de manire gnrale, sinon une certaine
indpendance institutionnelle, du moins une impartialit fonctionnelle consacre
par la prestation de serment. Cest dailleurs, compte-tenu de cette spcificit
que la personne qualifie de lart. 60 peut, comme un expert dans le cours dune
information, briser les scells et les reconstituer.
Bien entendu, plus la comptence des O.P.J. sera leve sagissant des
constatations opres en cette matire, plus les services et units seront dots
de NTEC ou dICC, moins ils auront besoin de requrir les techniciens
spcialiss en provenance dautres services.

A noter sur ce point quil existe, depuis 1989, une Compagnie nationale des experts de justice en
183
informatique et techniques associes (CNEJITA), qui regroupe environ 110 experts.
235
42 - la seconde difficult, propre aux juges dinstruction, a trait la
comptence comme dailleurs au cot des experts en matire numrique.
183
Si une partie des experts dispose dune vritable comptence, une des difficults
que rencontre la Justice, qui nest dailleurs pas propre la cybercriminalit,
concerne linstruction des demandes dinscription sur les listes des experts
judiciaires.
Elle doit pouvoir bnficier dun avis technique autoris provenant soit de la
profession, soit, si celle-ci nest pas suffisamment organise, dune autorit
externe qualifie.
Une autre difficult tient au recours mme lexpertise. Sil sagit simplement de
procder des constatations sur le fondement de lal. 4 de lart. 81 (consultation
et analyse des donnes existantes sur les supports saisis, y compris avec la mise en
oeuvre de logiciels forensiques), un tel recours ne savre pas ncessaire et les
enquteurs spcialiss peuvent y procder, la condition que leur nombre
saccroisse.
Il convient toutefois de dterminer plus prcisment o sarrtent les
constatations et o dbutent les investigations vritablement techniques
(recherche ou reconstitution de donnes illisibles ou effaces, mise jour de donnes
caches, recherche de mots cls, dimages, de logiciels illgaux...).
La formation comme le soutien apports aux juges dinstruction doit aussi
prendre en compte la ncessit de dterminer de manire prcise les missions
expertales et de veiller ce que les experts ainsi commis aillent bien lessentiel
et prsentent leurs travaux de manire dynamique, sans se limiter une
transcription et une mise plat des donnes recueillies.
Enfin, reste le cot des expertises, souvent dmesur par rapport aux attentes
du juge, et qui ncessiterait dtre mieux encadr, sous peine de peser
lourdement dans le futur sur la dotation alloue aux juridictions.
Si les futures juridictions spcialises seront en mesure de disposer du savoir-
faire ncessaire, il serait opportun que ladministration centrale apporte un
soutien institutionnel sur ces diffrents points.

236
Recommandation n/ 45
relative aux recours aux personnes qualifies et aux experts
1 - prvoir une aide institutionnelle de lAutorit nationale sur la scurit des
systmes dinformation en ce qui concerne linscription des experts en
cybercriminalit sur les listes des cours dappel, soit sous la forme davis, soit
sous celle de labellisations dorganismes ou de laboratoires
2 - prconiser, de prfrence lexpertise, le recours aux techniciens de la
Police ou de la Gendarmerie sil sagit de procder de simples
constatations.
3.- apporter, au plan de ladministration centrale de la Justice avec le
concours de lEcole nationale de la Magistrature, un soutien aux magistrats
instructeurs dans la dtermination des missions dexpertise (diffusion de
missions-type...).
4 - poursuivre la tarification des analyses en matire informatique et examiner
la possibilit de passation de marchs publics.
.
---------
qui se distingue toutefois de la technique dite du coup dachat, prvue par le mme art. 67-I du
184
code des Douanes, et utilise par Cyberdouane pour lutter contre les infractions supposant des transferts dargent
ou de marchandises, notamment dans le domaine de la contrefaon
237
.- lenqute sous pseudonyme
Elle est prvue, pour des infractions strictement dlimites (provocation directe aux
actes de terrorisme, apologie du terrorisme, traite des tres humains, proxntisme assimil, recours
la prostitution de mineurs ou de personnes particulirement vulnrables, mise en pril des mineurs) par
les art. 706-25-2, 706-35-1 et 706-47-3 du code de procdure pnale ainsi que par lart. 59 de
la loi du 12.05.2010 relative louverture la concurrence et la rgulation du secteur des jeux
dargent et de hasard en ligne, et, sagissant de plusieurs dlits douaniers (limportation,
lexportation ou la dtention de produits stupfiants, de tabac manufactur et de marchandises
contrefaites), par le 3/ de lart. 67 bis-1 du code des douanes.
Mme si leurs formulations diffrent, ces dispositions ont pour but dautoriser
certains fonctionnaires nommment dsigns participer sous un pseudonyme des changes
lectroniques, tre en contact, par ce moyen, avec les personnes susceptibles dtre les
auteurs des infractions vises, et dextraire ou dacqurir les donnes didentification ainsi que
les lments de preuve ncessaires lenqute, sans que de tels actes puissent, en aucun cas,
tre constitutifs dune provocation commettre une infraction.
Si une telle interdiction comme la possibilit dacqurir des lments de preuve
constituent des points de similitude avec la procdure dite dinfiltration, prvue en droit
184
commun par les art. 706-32, 706-81 s. du C.P.P. et lart. 67 bis du code des Douanes, parler
de cyber-infiltration pour cette technique denqute mene sous pseudonyme relve dun abus
de langage, juridiquement erron et de nature susciter des rserves quant son utilisation.
En effet, les pouvoirs dvolus aux enquteurs sont bien en-de de ceux dont
disposent les agents infiltrs qui peuvent, eux, acqurir, dtenir, transporter, livrer ou dtenir des
substances, biens produits, documents ou informations tirs de la commission des infractions ou servant
la commission de ces infractions et surtout utiliser ou mettre disposition des personnes se livrant
ces infractions des moyens de caractre juridique ou financier ainsi que des moyens de transport, de
dpt, dhbergement, de conservation et de tlcommunication, cest--dire commettre des
infractions pour la bonne cause.
Telle est dailleurs la raison pour laquelle les conditions de linfiltration sont plus
rigoureuses que celle de lenqute sous pseudonyme.
Paradoxalement, le champ de linfiltration est bien plus large (cf. lensemble
des infractions vises lart. 706-73 du C.P.P.) que celui de lenqute sous pseudonyme.
En outre, par comparaison avec les exemples trangers, la lgislation franaise
parat bien restrictive, puisque, dans plusieurs pays, il est recouru cette technique dans le
cadre des pouvoirs gnraux denqute (Canada, USA, Luxembourg) ; que dautres distinguent
les investigations passives qualifies dobservations, des investigations actives (Suisse) ; enfin,
au Royaume-Uni, qui dispose dune lgislation spcifique, les conditions tiennent la formation
particulire des enquteurs et lautorisation de leurs chefs de service, la technique tant par
ailleurs autorise pour toute infraction si la mesure est ncessaire et proportionne.
En ltat, lobjectif recherch par le lgislateur - faciliter les enqutes pro-actives
des services spcialiss sur Internet - nest pas vritablement atteint pour deux raisons.
une telle veille en mode cach rpond des raisons videntes : le recours ladresse IP du
185
ministre de lIntrieur prviendrait dventuels dlinquants...Encore faudrait-il que lensemble des services
denqute en soient dots.
nombreux sont les services administratifs, autorits administratives indpendantes, associations,
186
groupements professionnels qui ralisent de telle veille sur Internet
238
9 une confusion entre la veille policire sur Internet et lenqute sous
pseudonyme
La veille consiste accder aux espaces ouverts au public sur Internet afin de
dceler lexistence dventuelles infractions. Cest lapplication ce systme de
communication du vieux principe de surveillance prventive que doivent exercer
policiers et gendarmes en tous lieux ouverts au public, qui ne ncessite pas une
autorisation lgale autre que celle qui rsulte des art. 12 et 41 du C.P.P., sauf
a contrario, sagissant de la surveillance des personnes, les dispositions de lart.
706-80 du C.P.P.
Cette veille se ralise sans moyens dinvestigation particuliers autres que le
recours un accs Internet non rattach au rseau Police ainsi qu des
185
moteurs de recherche et ne donne lieu aucun acte denqute.
Elle suppose toutefois, ne serait-ce que pour pouvoir accder aux rseaux
sociaux, forums de discussions, blogs... davoir recours, comme tout un chacun,
un pseudonyme. Un tel recours procde aussi dune ncessaire galit des
armes, compte-tenu de lusage gnralis de pseudonymes sur Internet, mais
aussi dune scurit minimale pour les agents.
Une telle veille tait de pratique courante ; elle se trouve aujourdhui fragilise,
sagissant des seuls officiers et agents de police judiciaire comme des douaniers
, par la rdaction mme des articles prcits qui paraissent soumettre aux
186
mmes conditions lusage dun pseudonyme quil soit ou non accompagn
dinvestigations.
En liant ainsi le recours un pseudonyme avec la prise de contact et lacquisition
ou lextraction de preuve, la veille est limite quelques agents et pour quelques
infractions graves, alors mme que, par nature, elle doit revtir une porte
gnrale et ne requiert pas un encadrement normatif au sens des alinas 2 des
art.8 et 10 de la Convention europenne des droits de lhomme, car elle ne saurait
tre assimile une ingrence dans le droit au respect de la vie prive des
personnes ou dans la libert dexpression.
.
Sauf remettre en cause cet objectif gnral de veille, il importe de modifier les
articles en question afin de lever les interrogations existantes et de permettre aux
membres de la police judiciaire ainsi quaux douaniers de recourir librement un
pseudonyme.
239
Recommandation n/ 46
relative la veille sur Internet
pratique par la police judiciaire
Autoriser, de manire gnrale, le simple usage dun pseudonyme sur
Internet par les officiers et agents de police judiciaire, lorsquil ne
saccompagne pas dinvestigations particulires.
9 le champ dapplication trop restreint de lenqute sous patronyme
Parfois la veille ne suffit pas et il faut passer une phase active didentification
de lauteur dune infraction et la runion dlments de preuve.
Les services enquteurs, quils soient spcialiss ou non, sont tous unanimes
pour souligner combien la phase didentification dun cyber-dlinquant devient de
plus en plus difficile. La mthode reine dinvestigation - lidentification dune
personne par une adresse IP - devient de plus en plus hypothtique et pour
plusieurs raisons mises en vidence notamment par lO.C.L.C.T.I.C. qui ont dj
t mentionnes mais qui mritent dtre prcises :

2 les internautes malveillants ont recours frquemment des techniques,
gratuites et simples, garantissant leur anonymat ; certains sites
fournissent ainsi un service consistant masquer ladresse IP ; dautres
serveurs permettent lenvoi de-mails anonymes ; les rseaux
dcentraliss alatoires (comme TOR) et les serveurs mandataires
(proxies) allouent des adresses IP demprunt ; des navigateurs gratuits (tel
que Firefox) permettent le tlchargement doptions danonymisation
(plugins)...
2 les mmes bnficient du dveloppement de lInternet nomade, qui leur
permet de se connecter, de prfrence, des bornes wifi publiques et
gratuites, dans les gares, les mairies, les aroports...Lorsquils ont
recours des connexions en 3G (Internet mobile), les flux changs
passent par des serveurs intermdiaires des fournisseurs daccs, qui
reoivent des milliers de connexion par seconde, rendant lidentification
dun abonn particulirement complexe.
2 quant aux dlinquants les plus organiss, ils placent leurs traces
informatiques hors de porte des enquteurs franais en jouant sur le
particularisme des lgislations internes : les forums ddis la
consommation et lchange de produits stupfiants sont hbergs
ltranger, dans des cyber-paradis ; les sites incitant la haine raciale
sont hbergs sur des serveurs de socits amricaines...
Ds lors, lenqute sous pseudonyme, malgr labsence de contrainte qui
la caractrise au regard de linfiltration, savre parfois la seule possibilit
encore offerte un service spcialis pour identifier un dlinquant.
240
Certes, les praticiens saccordent reconnatre quune telle technique denqute
nest pas la panace, puisquelle suppose une certaine disponibilit de
lenquteur et une formation pralable et quelle nest pas adapte toutes les
formes de cybercriminalit. Toutefois, de manire gnrale, lefficacit de telles
enqutes est avre.
Telle est dailleurs la raison pour laquelle elle est largement pratique, sous une
forme ou sous une autre, tant par CYBERDOUANE que par des enquteurs de
nombreux pays dEurope (Belgique, Bulgarie, Lettonie, Pays-Bas, Royaume-Uni...).
En France, le caractre extrmement restrictif de son champ dapplication pose
problme.
Deux possibilits dvolution sont envisageables : soit lautoriser pour un plus
grand nombre dinfractions, spcialement vises par la loi, selon une mthode
souvent mise en oeuvre depuis 15 ans en matire de procdure pnale, mais
lon voit mal quel serait le critre dinclusion ; soit la gnraliser mais en la
bornant, cest--dire en lrigeant en rponse spcifique aux difficults
didentification dune personne mise en cause, et en laccompagnant de
garanties supplmentaires au regard des art.8 et 10 dj cits de la Convention
europenne des droits de lhomme. Cest la solution prconise.
Recommandation n/ 47
relative la gnralisation de lenqute sous pseudonyme
Gnraliser la possibilit de raliser des enqutes sous pseudonyme tous
les crimes et dlits punis dune peine demprisonnement commis par le biais
dun rseau de communications lectroniques, lorsque lenquteur est
confront une difficult didentification de la personne susceptible den tre
lauteur, et la triple condition que
- lofficier ou agent de police judiciaire appartienne un service spcialis
dsign et soit spcialement habilit cette fin
- lenqute soit limite une certaine dure, avec une possibilit de
renouvellement soumise lautorisation pralable du procureur de la
Rpublique
- la traabilit des oprations soit assure.

*****
241
- la captation des donnes distance
La loi du 14.03.2011 a reconnu au juge dinstruction la possibilit de
dcider de la captation distance des donnes informatiques, dans le cadre des dispositions
spcifiques relatives la criminalit et la dlinquance organise (cf. art. 706-102-1 706-102-8
du code de procdure pnale).
Ce texte a manifestement t inspir tant par les dispositions relatives
la sonorisation des domiciles que par les lgislations trangres comparables.
A cet gard et titre dexemple, on peut souligner que le plus rcent
modle lgislatif de lutte contre la cybercriminalit dit en 2012 avec le soutien de lUnion
europenne prvoit un dispositif similaire ( cf. Cybercriminalit - Modles de lignes directrices
politiques et de textes lgislatifs - HIPACAR - UIT 2012" - Logiciel de criminalistique), la disposition -
prsente comme une norme minimale -, tant ainsi rdige :
Si un juge/magistrat est convaincu quil existe, dans une enqute relative une
infraction numre au par. 7 ci-aprs, des motifs raisonnables de croire que les
preuves essentielles ne peuvent tre collectes en utilisant dautres moyens,
mais quelles font lobjet dune demande raisonnable pour les besoins dune
enqute criminelle, il peut autoriser un agent utiliser un logiciel de
criminalistique distance pour effectuer la tche spcifique exige pour lenqute
et linstaller sur le systme informatique du suspect afin de recueillir les preuves
pertinentes. ...
La dure de lautorisation est limite 3 mois...
Lautorisation dinstaller le logiciel inclut laccs distance au systme
informatique du suspect....
Deux ans et demi aprs le vote lgislatif et alors mme que les
dispositions rglementaires sont intervenues (dcret 3.11.2011, arrt 4.07.2012), la loi nest
toujours pas en application, ce qui distingue la France des autres Etats comparables qui mettent
dj en oeuvre, souvent depuis des annes, cette technique de la captation.
En fait, les raisons du retard sont exclusivement techniques, le vote de
la loi tant intervenu alors que les solutions techniques navaient pas t suffisamment
expertises, sans doute pour rassurer les socits franaises concernes quant aux
investissements requis.
Si les dispositions prcites prvoient deux moyens de captation - lun par
introduction physique au domicile, lautre distance, permettant soit denregistrer les frappes
du clavier, soit les donnes figurant lcran -, il sest avr ncessaire de faire dvelopper les
outils utiles par des socits franaises, tant pour des raisons de scurit que pour des raisons
de souverainet, et de rpondre aux impratifs de miniaturisation et de contingentement de la
captation par rapport aux donnes autorises par la loi. Cette question technique, dans laquelle
sest implique lA.N.S.S.I., devrait tre dfinitivement rgle pour le dbut de 2014.
Reste rgler lpineuse question du cot de linvestissement et de la
commercialisation de ces produits, lExcutif ayant le choix entre le dgagement dune
enveloppe budgtaire consquente ou le paiement lacte sur les frais de justice, lequel pose,
son tour, le problme dune ventuelle tarification.
Cette question est actuellement examine par le ministre de lIntrieur et celui de la Justice
(Dlgation aux interceptions judiciaires).
242
Recommandation n/ 48
relative la captation distance de donnes informatiques
Le Groupe de travail raffirme lintrt que revt le recours, pour
combattre les formes les plus graves et les plus organises de la
cybercriminalit, la technique de la captation distance - quivalent de la
sonorisation pour les infractions de droit commun -, ainsi que la ncessit de
donner rapidement aux praticiens la possibilit dutiliser cette technique
lgalise ds 2011.
*****

En son considrant 75, le Conseil a valid lextension certains dlits conomiques et financiers de
187
divers pouvoirs de surveillance et dinvestigation propres la dlinquance organise (surveillance tendue de
lart. 706-80 du C.P.P., infiltration de lart. 706-81s., interception de correspondances de lart. 706-95,
sonorisation et captation de donnes informatiques des art. 706-96s.), en considration de la gravit des
infractions concernes et de la difficult dapprhender les auteurs de ces infractions (tenant) des lments
dextranit ou lexistence dun groupement ou dun rseau dont lidentification, la connaissance et le
dmantlement posent des problmes complexes.
En revanche, en son considrant 77, il a jug comme contraire au principe de proportionnalit le fait de prvoir,
pour ces mmes dlits, la possibilit de prolonger la garde vue, sur le fondement de lart. 706-88, de deux
prolongations supplmentaires de 24h. venant sajouter au dlai de droit commun, aux motifs que les infractions
numres constituent des dlits qui ne sont pas susceptibles de porter atteinte en eux-mmes la scurit,
la dignit ou la vie des personnes. Il est noter quun tel revirement de jurisprudence fragilise, pour lavenir,
les atteintes aux biens commises en bande organise vises au titre de la dlinquance organise - et notamment
les escroqueries qui intressent directement la lutte contre la cybercriminalit -, bien que la loi de 2004 ait t
valide par ce mme Conseil.

les J.I.R.S. ont t cres, principalement, pour connatre de lensemble de la criminalit organise
188
(cf. art. 706-75 s. du C.P.P.).
243
- le recours aux moyens de lutte contre la dlinquance organise
Le code de procdure pnale (art. 706-73 s.) prvoit, sagissant de crimes et dlits
graves spcialement viss relevant de la dlinquance organise, des moyens procduraux
exceptionnels, notamment les interceptions et les gardes vue prolonges.

Compte-tenu des difficults, dj soulignes, pour lutter contre la
cybercriminalit, le groupe interministriel sest interrog sur lopportunit dtendre le dispositif
en question aux infractions les plus significatives commises par lintermdiaire ou au moyen dun
systme de communications lectroniques.
Dans sa rflexion, il a tenu compte des rserves dordre gnral mises quant
lopportunit daccrotre encore le recours une procdure pnale spcifique et drogatoire
aux rgles communes ; du fait que la plupart des infractions vises lart. 706-73 sont
rprimes dune peine au moins gale 10 ans demprisonnement, alors que les infractions
incriminant spcifiquement des infractions relevant de la cybercriminalit sont punies de peines
maximales infrieures ; du revirement de jurisprudence rsultant de la dcision du Conseil
constitutionnel du 4.12.2013 portant sur la loi relative la fraude fiscale et la grande
dlinquance conomique et financire .
187
Toutefois, eu gard la gravit exceptionnelle que peut revtir une atteinte aux
systmes de traitements automatiss de donnes (S.T.A.D.), le groupe de travail a dj t
conduit recommander, dune part, des modifications du droit pnal, aux fins notamment de la
cration dune circonstance aggravante tenant lexistence dune bande organise, dautre part,
la reconnaissance dune comptence spcifique aux juridictions inter-rgionales spcialises
les concernant et dune comptence spciale pour Paris sagissant des atteintes portes
188
des sites vitaux.
Par voie de consquence, les atteintes aux S.T.A.D. ainsi aggraves, compte-
tenu et de leur gravit et des difficults tenant lidentification et lapprhension de leurs
auteurs, devraient relever des dispositions procdurales exceptionnelles susvises.
244
Nanmoins, et afin de prendre en compte la dcision constitutionnelle prcite,
il est propos de nautoriser le recours la garde vue prolonge que dans lhypothse o
latteinte prcite porterait sur un service de lEtat ou un oprateur dimportance vitale, induisant
alors la comptence Parisienne ; en effet, dans un tel cas de figure, la dure de la garde vue
de droit commun apparat insuffisante pour rpondre une dlinquance qui, au-del des
difficults gnrales tenant la lutte contre la cybercriminalit, y ajoute la complexit tenant
la bande organise et celle tenant au but recherch. Certes, un tel critre va au-del de celui
rcemment fix par le Conseil, mais la dfense des intrts fondamentaux de la Nation
parat mriter autant dattention que les atteintes la dignit de la personne.

Recommandation n/ 49
relative lextension certaines formes de cybercriminalit
des moyens relevant de la lutte contre la dlinquance organise
1 - Autoriser le recours aux moyens de procdure exceptionnels relevant de
la lutte contre la dlinquance organise sagissant des atteintes aux
systmes de traitements automatiss de donnes, aux motifs que de telles
atteintes peuvent revtir un degr de gravit particulirement important dans
certaines circonstances et que, par nature, la complexit des enqutes
mener en ce domaine ncessite de pouvoir disposer de lensemble des
moyens dinvestigation existants.
2.- Limiter toutefois la possibilit de recourir la garde vue exceptionnelle
de 96h. lhypothse o latteinte en question porte sur un service de lEtat
ou un oprateur dimportance vitale et menace ainsi les intrts
fondamentaux de la Nation.
,,,,,,
245
IIII.4.- De la rponse aux contentieux de masse
et de la police des noms de domaine
La cybercriminalit donne lieu deux types de contentieux de masse qui, pour
des raisons diffrentes, ne sont pas traits de manire satisfaisante et appellent, ds lors, des
modes de traitement spcifiques et totalement novateurs.
1.- Lescroquerie constitue linfraction la plus rpandue, celle qui fait le plus grand nombre de
victimes, quelle prenne la forme dune fraude sur la vente distance, constitutive dun vritable
march parallle qui recourt des intermdiaires plus ou moins complices (les mules dans le
jargon policier), de lescroquerie dite la nigriane, qui exploite la crdulit humaine sous la
forme de mails (faux appels aux dons, fausses loteries, faux hritages, fausses annonces, voire
escroqueries sentimentales) et fait transiter les fonds par lintermdiaire de socits de transfert
dargent incontrles, ou encore de vastes escroqueries soigneusement prpares visant
exclusivement les entreprises (cf. les escroqueries par faux ordres de virement, apparues en France
il y a deux ans, et qui font actuellement lobjet dinformations judiciaires ouvertes Paris, Bordeaux, Lille,
Lyon, Rennes...). Cest aussi celle qui est la plus mal lucide et pour laquelle les services de
police et les parquets rencontrent les plus grandes difficults.
Lorigine de cet tat de fait doit tre recherche dans le mode de traitement mis
en oeuvre.
Par nature, lescroquerie, qui ne peut en ltat faire lobjet dinvestigations pro-
actives car la cyber-infiltration nest pas actuellement autorise pour ce type dinfractions, est
porte, comme nimporte quelle infraction, la connaissance dun service enquteur par la
plainte de la victime, en fonction de son domicile ou de son sige social.
Cette plainte, qui nest pas souvent accompagne des lments ncessaires
lenqute - notamment le courriel qui en est lorigine, voire les rares lments didentification
disponibles -, nest pas non plus toujours recueillie de manire utile, faute de sensibilisation
suffisante des agents concerns.
En outre, ds labord, lenqute se heurte lanonymisation des donnes
personnelles, ce qui ncessite de requrir le fournisseur daccs aux fins dobtention de
ladresse IP.
A ce stade, lenquteur et, a fortiori, le parquet sur le ressort duquel il opre ne
disposent daucune donne pour apprcier si lescroquerie dont il est saisi relve dun acte isol
ou dune dlinquance plus organise, puisquaucun rapprochement ne peut tre opr entre
plaintes similaires, sauf pour celles dposes auprs de la mme sret ou de la mme brigade.
Sauf lexistence dun modus operandi rvlateur dune dlinquance
organise, le parquet apprcie alors la suite donner en fonction du seul prjudice
individuel subi par chaque victime, souvent de peu dimportance ; ds lors, pour des
raisons tant de priorits que dconomies - les dotations en frais de justice tant particulirement
contraintes - il a tendance, en fonction de seuils divers quil a lui-mme fixs, de ne pas requrir
le fournisseur, ce qui entrane le classement sans suite de la plainte.
246
Mme dans lhypothse o ladresse IP est requise et obtenue - ce qui nest pas
toujours le cas, faute parfois de rquisitions pertinentes ou du fait de labsence ou du refus de
rponse de certains fournisseurs -, les services locaux se heurtent une autre difficult tenant
au fait que, le plus souvent, ladresse renvoie une domiciliation trangre, parfois
loigne de lUnion europenne. Le parquet se livre alors une nouvelle apprciation,
tenant lopportunit davoir recours lentraide pnale internationale pour aller plus
loin, voire douvrir une information judiciaire. L encore ce stade de nombreuses plaintes
sont classes sans suite pour des raisons similaires aux prcdentes.
Enfin, lorsque ladresse IP renvoie une domiciliation sur le territoire
national, la plainte est, le plus souvent, transmise au parquet territorialement comptent,
ce qui ncessite la saisine dun nouveau service denqute, avec la dperdition de temps et
dnergie que lon imagine.
En fait, les services dinvestigation territoriaux comme les parquets
manquent dune donne essentielle dapprciation, tenant lexistence de faits similaires
commis selon le mme modus operandi au-del du territoire dans lequel ils oprent, car
les diffrents fichiers existants ne sont pas en mesure, en ltat, de jouer ce rle.
Or, la spcificit de lescroquerie commise par Internet tient ce que lescroc
opre, concomitamment, en direction de milliers ou de dizaines de milliers de victimes
potentielles sur le territoire national.
Policiers, gendarmes et magistrats du parquet sont bien conscients dune telle
carence mais nont aucun moyen dy pallier, raison pour laquelle tous ceux qui ont t entendus
par le groupe de travail sollicitent une rforme.
Quant aux services spcialiss lchelle nationale, faute de remonte
dinformations, ils ne peuvent que raliser des recoupements partiels, fonds sur les seuls
signalements des internautes via la base PHAROS (cette base exclut les plaintes) et des
partenariats mis en oeuvre avec les entreprises prives impactes par la fraude, partenariats
certes importants mais insuffisants ; il est vrai que les 5 6 policiers ou gendarmes dont dispose
le groupe escroqueries de lO.C.L.C.T.I.C. sont dj au maximum de leurs capacits.
En rsum, les modes classiques de saisine et de traitement, en ce quils
reposent sur le traitement individualis et local de chaque plainte, outre quils psent
lourdement sur des services territoriaux impuissants, savrent totalement inadapts
pour les escroqueries commises via Internet.
Il est aujourdhui temps de substituer au traitement local actuel un
traitement centralis, de nature permettre, lissue de la phase didentification opre
par le futur service central crer, deffectuer les regroupements ncessaires entre les
diffrents faits dnoncs et de saisir ensuite, de manire utile, le parquet le plus
comptent pour en connatre.
Ai nsi serai t - i l mi s un t erme un t rai t ement di ffrenci , gure
comprhensible, entre les signalements qui sont traits un niveau
centralis, et les plaintes dpendantes encore du niveau local, alors que
les uns et les autres renvoient une mme ralit criminelle, qui appelle
des recoupements.
En outre, la rforme prconise aurait valeur de test avant dventuelles
extensions.
247
Recommandation n/ 50
relative la cration dune plate-forme centralise
pour le traitement des cyber-escroqueries
Compte-tenu de linefficacit du traitement de ces infractions en fonction du
lieu du dpt de plainte, il est prconis
1.- de substituer au systme actuel un traitement centralis par une plate-
forme nationale de lensemble des escroqueries ralises via Intranet, les
usurpations de carte bancaire relevant toutefois dun traitement spcifique.
2.- Dalimenter cette plate-forme par des plaintes formules en ligne selon
des menus droulants destins sassurer de lexhaustivit des informations
utiles, plaintes qui, contrairement lexprimentation actuelle, feraient
lconomie dune convocation et dune audition de la victime par le service
denqute, et donneraient lieu la dlivrance dun accus de rception
automatis.
Cette nouvelle modalit sera de nature simplifier et favoriser les
dmarches des victimes.
Toutefois, sagissant des victimes qui souhaiteraient pouvoir continuer
dposer plainte localement, les applications informatiques relatives au
traitement des procdures de la Police et de la Gendarmerie devront intgrer
des imprims et conduites-type, afin de sassurer, l encore, de lexhaustivit
des informations recueillies.
3.- Donner pour mission cette plate-forme nationale - qui devrait tre gre
par lO.C.L.C.T.I.C. ou travailler en synergie avec lui, puisque cet Office
assure dj la responsabilit de la base PHAROS qui reoit les signalements
des internautes ainsi que du dispositif INFO-ESCROQUERIE, mais qui
devrait, en tout tat de cause, favoriser une approche interministrielle - de
9 procder une analyse des plaintes, particulirement du modus operandi,
grce un logiciel performant de rapprochement de nature mettre en
vidence les escroqueries relevant dune mme action criminelle
9 dlivrer les rquisitions ncessaires aux prestataires afin dobtenir les
lments didentification et de domiciliation disponibles
9 puis, sur la base de critres pr-dtermins par lautorit judiciaire et avec
son aval, saisir les parquets comptents des affaires ainsi regroupes avec
les lments recueillis par ses soins, tout en en informant les victimes. Ainsi,
chaque parquet et chaque service denqute, tout en faisant lconomie de
la phase didentification, disposera dinformations plus directement
exploitables.
4.- Rendre, comme PHAROS depuis peu, cette plate-forme accessible aux
services denqute, tant pour son alimentation qu des fins de consultation.
5.- Doter cette mme plate-forme des moyens en personnels ncessaires
son action, notamment en analystes, ainsi que des moyens en logiciels utiles.

248
2.- Lautre contentieux de masse concerne le dtournement des moyens de paiement que
constituent les captations des donnes de cartes bancaires et les fraudes associes, qui
sont commises, pour partie, via Internet, et lorigine de partie des escroqueries prcites.
Stant substitues aux chques sans provision, elles sont en constante augmentation depuis
plusieurs annes (cf. le titre I, chapitre 1).
Ainsi que le souligne lO.C.L.C.T.I.C., le principal mode de captation est le
skimming (copie des donnes numriques de la carte bancaire), qui permet aux rseaux criminels
organiss de montiser ces donnes captes frauduleusement soit en les encodant sur des
nouvelles cartes partir desquelles sont ralises des retraits dans les distributeurs de billets
ou des achats chez les commerants, soit par leur revente sur des forums internet ddis et
difficiles daccs (forums de carding), vritables commerces virtuels de coordonnes bancaires
et personnelles.
Toutefois, les techniques de ces rseaux, qui intgrent dsormais des
techniciens de haut niveau exploitant les carences du systme bancaire comme lensemble des
possibilits dInternet, voluent trs rapidement ; perfectionnant sans cesse les dispositifs de
captation, ces rseaux sont aussi lorigine de socits commerciales fictives dont lobjet
consiste exclusivement en lobtention dun terminal de paiement lectronique destin alimenter
un compte bancaire par le passage en masse de cartes bancaires rencodes, les sommes
ainsi acquises tant immdiatement blanchies par exemple par lachat de vhicules ou des
retraits en espces servant lalimentation de cartes bancaires prpayes assurant lanonymat.
En cette matire, le droit comme la politique pnale ont volu.
Au plan juridique, la priorit sest porte sur lindemnisation du titulaire de la carte
bancaire par le prestataire de services de paiement (cf. art. L. 133-18 et L.133-19 du code montaire
et financier).
Quant la politique pnale, elle a volu, puisque le ministre de la Justice,
aprs avoir rappel, dans un premier temps (cf. circulaire du 17.02.2010, Direction des affaires
criminelles et des grces), que la couverture financire par les banques ne saurait se traduire par
un refus denregistrer les plaintes de la part des services denqute, soulignait, dans un second
temps (cf. circulaire du 2.08.2011, id.), la ncessit, pour ces mmes services, de diffrer
lenregistrement des plaintes.
Ce diffr devait saccompagner de la recommandation faite la victime de
solliciter son remboursement auprs de sa banque aux motifs que le rgime dindemnisation
restait encore trop mconnu des utilisateurs de carte bancaire et quune plainte pralable ne
conditionnait pas cette dernire.
Dautres motifs, tenant la volont du ministre de lIntrieur de matriser les
statistiques de la dlinquance conomique et financire, expliquaient aussi un tel revirement.
Toutefois, la mme instruction suggrait que les banques, seules en mesure de
fournir les lments utiles aux investigations, dposent plainte aux lieu et place des titulaires.
Cette volution a, certes, permis de librer les services de police de plaintes
extrmement nombreuses qui, faute de possibilits de recoupements centraliss, parvenaient
rarement leur terme (cf. titre I, chapitre 1 : seuls un peu moins de la moiti des victimes dposeraient
plainte).
Mais elle a entran, dans le mme temps, une mconnaissance par ces mmes
services tant des cartes bancaires pirates que de la ralit de cette criminalit, le plus souvent
249
organise, qui a dautant plus prospr quelle ntait gure rprime, les organismes bancaires
ne stant pas substitus aux dtenteurs pour dposer plainte leur place.
En outre, il est craindre que labandon total du recours la plainte d-
responsabilise une minorit des titulaires de cartes, voire incitent un petit nombre dentre eux
effectuer des fausses dclarations leurs banques.
Enfin, les vritables victimes que sont les commerants ou prestataires de
service, qui supportent in fine lessentiel du prjudice, se sont retrouves sans protection
effective et conduites, leur tour, dposer plainte du chef descroquerie. Cest par ce biais
que, tardivement, les services denqute connaissent dune partie des captations ralises, alors
que la ractivit est une donne essentielle en face dquipes criminelles trs mobiles au plan
international ; ils sont ainsi contraints dadresser des rquisitions diffrents oprateurs
techniques ou bancaires
Si certains ont prconis dabroger la circulaire de 2011 et den revenir,
purement et simplement, au principe du dpt de plaintes individuelles par les dtenteurs
pralablement la demande dindemnisation, le groupe interministriel a considr quun
tel mode ne serait pas opratoire et se heurterait aux mmes difficults que celles
rencontres en matire de cyber-escroqueries, dautant plus que le dtenteur ignore, le
plus souvent, le moment et les circonstances dans lesquelles les lments
didentification leur ont t soustraits, mme sil a tendance en rendre responsables
les paiements sur Internet.
Considrant, au contraire, que la circulaire en question ntait pas alle jusquau
bout de sa logique, il recommande driger en obligation le fait pour les organismes bancaires
de dnoncer la future plate-forme comptente pour les escroqueries les fraudes dont il a
connaissance ainsi que les lments dont il dispose en terme didentification et de
rapprochement. Il est noter que cest aussi lintrt du systme bancaire daccrotre leffectivit
de la lutte contre ce type de dlinquance, qui gnre des incertitudes, parmi les
consommateurs, sur la scurisation du dispositif des cartes bancaires et les rglements
associs.
Recommandation n/ 51
relative la centralisation du traitement des captations des cartes
bancaires et des fraudes qui leur sont associes
Eu gard la dperdition des informations actuelles par rapport une
dlinquance, le plus souvent organise et en forte progression, il est
prconis,
1.- de faire obligation au systme bancaire de dnoncer les captations illicites
et fraudes associes dont ils ont connaissance ainsi que les lments utiles
dont il dispose via ses processus et enqutes internes tenant notamment
lidentit des titulaires des comptes destinataires de fonds, aux victimes
directes ou indirectes, ainsi quau rapprochement des escroqueries
commises selon le mme mode opratoire.
2.- de solliciter le G.I.E. cartes bancaires et les autres oprateurs de moyens
de paiement de produire les points de compromission dont il a connaissance
(commerces principalement viss par les transactions frauduleuses)
3.- doprer de telles dnonciations en ligne et en direction dun point dentre
unique, qui pourrait tre la plate-forme prconise en matire de cyber-
escroqueries, cela afin de favoriser une synergie entre deux natures
dinfractions souvent associes.
identits virtuelles ou pseudos utiliss par les mis en cause, sites ou forums utiliss, adresses
189
lectroniques, adresses de livraisons...
250
Faut-il aller plus loin et gnraliser une 1 phase de centralisation pour
re
lensemble des infractions relevant de la cybercriminalit ?
Cela ne parat, en ltat, ni souhaitable, ni dailleurs ralisable.
En effet, dune part, une telle centralisation napporterait rien sagissant de
certaines infractions, compte-tenu de leur nature, notamment lorsquelles sinscrivent dans des
conflits entre personnes identifies ou identifiables ; dautre part, et sagissant des infractions
les plus graves, les recommandations relatives la spcialisation de certains tribunaux comme
le fait que lenqute soit, le plus souvent, confie des services denqute spcialiss facilitent,
par nature, les recoupements ; enfin, pour les autres infractions, moins importantes
quantitativement, dautres procds techniques devraient permettre de favoriser les
rapprochements ncessaires.

En effet, le futur fichier de traitement dantcdents judiciaires (TAJ), ds lors que
les traitements de rdaction des procdures de la Police et de la Gendarmerie, qui lalimentent,
prendraient effectivement en compte les donnes intressant spcifiquement la cybercriminalit
(cf. la recommandation ), devrait tre en mesure, terme, deffectuer des rapprochements
189
automatiss de donnes, notamment quant au mode opratoire, favorisant ainsi les
rapprochements ncessaires.
*****
251
3.- Ces deux rformes organisationnelles devraient tre combines une troisime, visant,
spcifiquement, les fraudes commises par le biais dentreprises commerciales sur
Internet, par le biais du renforcement de la police des noms de domaine.
Si les adresses IP constituent les identifiants fondamentaux des ordinateurs
proposant des services sur Internet, elles ne peuvent tre aisment mmorises. Le nom de
domaine est un systme permettant linternaute de retenir et de communiquer facilement ces
adresses IP, puisquil suffit de taper ce nom, obtenu le plus souvent par le biais dun moteur de
recherche, pour que le navigateur interroge une base de rfrence et permette laccs direct
de lutilisateur au site concern.
Lattribution dun nom de domaine revt ainsi une importance toute particulire
pour les sites commerciaux sur Internet, ce nom jouant leur gard le rle de vritables
enseignes.
Le systme dadressage Internet (D.N.S.) est compos de deux types de domaines :
2 les domaines nationaux, en fr. (France), re. (La Runion)..., dont les
rgles sont dfinies par la France (2,6 millions de noms de domaine en
fr., intituls ordinairement nomdesocit.fr)
2 les domaines gnriques en com., org. et net., dont les rgles sont
dfinies, au plan international, par lICANN.
Sur le plan franais, lencadrement juridique des noms de domaine rsulte de la loi du
21.06.2004 modifie par celle du 22.03.2011 (cf. art. L.45 L.45-7, art. R.20-44-38
R.20-44-46 du code des postes et tlcommunications lectroniques). Toutefois, faute
dinscription dans un cadre europen, une remise plat doit intervenir courant 2014.
LAssociation franaise pour le nommage internet en coopration (A.F.N.I.C.), personne
de droit priv charge dune mission de service public, assure lattribution des noms des
domaines nationaux via les 480 bureaux denregistrement quelle accrdite (pour
lessentiel, des hbergeurs) ; elle tablit les rgles de nommage qui doivent garantir, selon
la convention qui la lie lEtat, la libert de communication, celle dentreprendre et les
droits de proprit intellectuelle.
Mme si pour certains noms de domaine, lA.F.N.I.C. doit procder un examen
pralable, le principe est que lenregistrement seffectue sous la seule responsabilit du
demandeur et sous la forme dune simple location pluri-annuelle. Par voie de
consquence, lA.F.N.I.C. ne procde pas un contrle pralable et nest pas en mesure
de refuser un enregistrement.
Toutefois, lA.F.N.I.C., outre la diffusion quotidienne des noms de domaine enregistrs,
a pour mission de collecter auprs des bureaux denregistrement les donnes
ncessaires lidentification des personnes titulaires de noms de domaines, qui sont
intgres dans la base de donnes Whois.

Elle contribue aussi la lutte contre la fraude de plusieurs manires :
*la communication aux organismes dEtat qui en font la demande de la liste des
noms de domaine en fr., voire dextractions ralises partir dun certain nombre
de mots clefs.
*la leve danonymat dun titulaire de nom de domaine (identit et coordonnes
des personnes, historique des noms de domaine, portefeuille des noms de
domaine du titulaire vis...) au bnfice des services de lEtat disposant dun droit
de rquisition ou de communication (autorit judiciaire, Police, Gendarmerie,
Douanes, D.G.C.C.R.F., Finances Publiques, C.N.I.L.)
cf. art. L.45-2 du C.P.E. : latteinte lordre public ou aux bonnes moeurs ou des droits garantis
190
par la Constitution ou par la loi, mais lA.F.N.I.C. a tendance interprter restrictivement certains de ces
concepts ; latteinte illgitime et de mauvaise foi un droit de proprit intellectuelle ou de la personnalit ;
lutilisation illgitime et de mauvaise foi dun nom apparent un service public ou une entit publique.
252
* la procdure de vrification des coordonnes dun titulaire de nom de domaine,
lA.F.N.I.C. tant habilite procder des vrifications dligibilit dun titulaire,
soit doffice (chaque anne, un contrle de qualit est effectu sur un chantillon
de 25.000 titulaires), soit suite la demande motive dun tiers (D.G.C.C.R.F. et
Finances Publiques notamment) ; un courrier recommand est adress
ladresse dclare et le titulaire doit fournir les lments justificatifs dans un dlai
de 30 jours, dfaut de quoi le nom de domaine peut tre supprim si les rgles
dligibilit nont pas t respectes.

* le systme de rsolution des litiges (SYRELI), entr en vigueur en novembre
2011, permet tout intress dobtenir la suppression ou la transmission dun
nom de domaine dans un dlai de 3 mois sil justifie que ce nom est soit
susceptible de porter atteinte lordre public, aux bonnes moeurs, des droits
garantis par la Constitution, aux droits de proprit intellectuelle ou de la
personnalit, soit semblable celui dun nom public.
Sur les 317 dcisions rendues depuis un an et demi, 10% des requrants sont
des personnes publiques, tant entendu que la prestation est gratuite pour
certaines dentre elles selon la Convention prcite (D.G.C.C.R.F., Douanes,
Finances publiques, O.C.L.C.T.I.C...).
Ce dispositif savre toutefois insuffisant, comme le montre le constat dress
notamment par CYBERDOUANE :

2 les noms de domaines en fr. constituent un label de qualit. Toute
tromperie en la matire induit en erreur le consommateur quant
certaines qualits attendues du prestataire (socit franaise ou domicilie
en France...).
2 Or, partie des contrefacteurs parviennent obtenir un tel nom de
domaine, en arguant de fausse identit ou de lidentit dun tiers (fausse
domiciliation, domiciliation fictive ou simple bote aux lettres...), le rglement
intrieur de lAFNIC exigeant simplement de justifier dune activit en
France.
2 De telles pratiques sont aussi motives par le souci de fraude fiscale.
2 Les conditions de suppression du nom de domaine sont lacunaires,
dans la mesure o il ne peut intervenir que dans trois circonstances
limitatives qui sont apprcies par lA.F.N.I.C., sauf agir en justice
190
devant le juge des rfrs sur le fondement de lart. 6-1-8 de la loi du
21.06.2004, selon une procdure souvent peu compatible avec la clrit
que requiert la raction sociale.

2 Une fois quun nom de domaine est interdit une entreprise, ce nom
est remis sur le march aux risques de voir les mmes individus le
redposer nouveau quelques instants aprs le prononc de
linterdiction ; en outre, rien ninterdit une personne convaincue de
fraude ou de contrefaon dobtenir un nouveau nom de domaine.
253
LEurope a bien compris lenjeu que reprsentait la police des noms de domaine
(un projet de recommandation est en cours dexamen).
Quant aux U.S.A., ils autorisent, depuis 2010, la saisie des noms de domaines
par lEtat dans le cadre de la protection de la proprit intellectuelle sur Internet ou en cas de
fraude douanire. Cette saisie saccompagne dun renvoi vers une page dinformation officielle.
Cest ainsi quen 2012, une vaste opration a t mene dans le domaine des contrefaons, en
association avec EUROPOL Les juridictions amricaines ont jug rcemment que de telles
saisies taient compatibles avec la libert dexpression.
En liaison troite avec lA.F.N.I.C. qui a mis certaines suggestions en ce sens,
le groupe interministriel sest attach dfinir les conditions dans lesquelles cette police des
noms de domaine devrait tre sensiblement renforce, y compris en cours de procdure pnale,
afin de prvenir et de mettre un terme aux activits pnalement sanctionnes, telles que les
contrefaons ou les escroqueries.
254
Recommandation n/ 52
relative au renforcement de
la police des noms de domaine
Dans le souci de rendre le nom de domaine en fr et assimils plus sr et donc plus
attractif, il est prconis de
1.- Renforcer le contrle a priori dans le processus dattribution, en ce qui concerne
lidentit et la domiciliation, et prvoir une obligation de mise jour de cette
dernire.
2.- Faciliter aux services de lEtat concerns la surveillance des enregistrements
grce la production gratuite de la liste des noms de domaine correspondant
certains mots cls.
3.- Faciliter aux services de lEtat concerns la leve de lanonymat.
4.- Permettre lensemble des services de lEtat concerns de solliciter
gratuitement de lA.F.N.I.C., la suppression du nom de domaine en cas de fausse
dclaration relative lidentit ou la domiciliation, ou, dans le cadre du dispositif
SYRELLI, en cas de violation de la loi par le titulaire du nom ou autres motifs dj
viss par la lgislation actuelle.
5.- Reconnatre aux services de lEtat concerns, en cas de suppression pour lun
des motifs viss en 4, dexiger le transfert de titularit du nom de domaine lEtat,
afin dviter tout nouveau dpt ; cela suppose la cration dun bureau
denregistrement propre lEtat.
6.- Prvoir la possibilit pour les services denqute, avec laccord du procureur de
la Rpublique et lautorisation pralable du juge des liberts, ou celle du juge
dinstruction, de saisir en cours denqute et en cas durgence tout nom de
domaine en cas dactivit contraire la loi, et cela ds linterpellation de son
titulaire et la saisie du serveur.
7.- Reconnatre la facult au juge dinstruction ou au tribunal saisi au fond de
confisquer le nom de domaine saisi, emportant transfert lEtat
8.- Au titre des peines complmentaires obligatoires et sauf dcision contraire du
tribunal, interdire la personne reconnue coupable dune infraction commise au
moyen dun site ainsi dnomm de pouvoir solliciter tout autre nom de domaine de
1 catgorie pendant une certaine dure.
re

9.- Dans tous les cas de suppression et de saisie dun nom de domaine, prvoir
linscription dun message dinformation sur le site concern pour linformation du
public
,,,,,,
Entre en vigueur le 1 juillet 2004, cette Convention a t signe et ratifie par 39 Etats, dont
er 191
certains non europens, tels les U.S.A. ; pour les Etats non parties, lentraide est rgie par des conventions
bilatrales ou multilatrales qui ne comportent aucune disposition spcifique la lutte contre la cybercriminalit.
Toutefois, lensemble des Etats parties la Convention nont pas sign ce protocole, notamment les
192
U.S.A.
255
III.5.- de la coopration pnale internationale
Bien plus que les autres formes de dlinquance, cest lextranit qui caractrise
la cybercriminalit, dabord parce que lessentiel des prestataires techniques dtenteurs des
informations ncessaires lenqute sont eux-mmes trangers et avec eux les principales
bases de donnes, ensuite du fait que les auteurs, du moins ceux relevant de bandes
organises, agissent, pour partie, depuis ltranger, et que les fonds dtourns sont, pour
lessentiel, aussi destins ltranger.
En outre et compte-tenu de la volatilit de certaines informations (cf. lexemple de
ladresse IP) comme des lments de preuve, la clrit de laction savre essentielle, ce qui
nest pas toujours compatible avec le formalisme juridique.
Ces spcificits sont, pour partie, lorigine de lefficacit rduite de laction
rpressive.
Certes, la Convention du Conseil de lEurope sur la cybercriminalit adopte,
BUDAPEST, le 23.11.2001, a permis une avance essentielle, notamment (cf. son art. 29) en
organisant, en pralable dune demande dentraide judiciaire, le gel provisoire des donnes
informatiques stockes dans les Etats-parties qui est opr en urgence comme reposant sur
des points de contact nationaux, disponibles 24 heures sur 24, le plus souvent policiers
(O.C.L.C.T.I.C. en ce qui concerne la France) .Le protocole additionnel adopt le 7.11.2002 a
191
tendu ce dispositif en matire de racisme et de xnophobie sur Internet . Il en a t de mme
192
de la Directive adopte par lUnion europenne en juillet 2013 sagissant des attaques contre
les systmes dinformation, non encore en vigueur.
Encore faut-il que lentraide judiciaire internationale puisse suivre pour que les
donnes ainsi geles puissent tre rcupres et exploites.
Or cette entraide rencontre des difficults jusquici non surmontes.
Elles tiennent, dune part, la lourdeur du processus, qui fait en sorte quil ny
est pas fait recours pour les infractions de masse faible prjudice, chaque parquet dfinissant
des seuils en fonction de son plan de charge et de ses priorits. Les recommandations qui
prcdent sur ces types de contentieux sont de nature, en substituant lapproche individuelle
de chaque plainte un recoupement effectu au plan central, lever cet obstacle en mettant en
vidence le caractre organis des escroqueries.
Mme lorsquil est dcid dy recourir, la simple prparation de la demande
dentraide puis, le plus souvent, sa traduction, gnrent des dlais parfois incompatibles avec
le maintien disposition des donnes geles. Ces contraintes de formalisation se doublent de
difficults organisationnelles car, lexception des grands parquets, le ministre public peine
spcialiser des magistrats cet gard ; sans doute, le rle de soutien des parquets gnraux
est-il appel stendre sur ce point..
cf., sur ce point, le guide en ligne sur lentraide avec les U.S.A. mis en ligne sur le site du B.E.P.I.
193
256
Une autre contrainte tient lhtrognit des conditions fixes lentraide, en
fonction des traits applicables, qui, malgr lincitation de la Convention prcite, ne prennent
gure en compte les contraintes de la lutte contre la cybercriminalit, sauf pour certains types
dinfractions qui font, en gnral, lunanimit (tels la pdo-pornographie, le terrorisme ou la protection
des droits dauteur). Les contraintes sont dautant plus fortes lorsque la demande concerne un
Etat tranger extrieur lUnion europenne. Or, ce sont prcisment de tels Etats qui, soit sont
supposs dtenir sur leur territoire, par le biais des prestataires techniques, les informations
ncessaires laction judiciaire, soit sont utiliss par la criminalit organise comme point de
dpart de lattaque.
Si lon ne dispose pas de donnes quantitatives quant aux demandes dentraide
transmises directement par la voie judiciaire locale, les 136 dossiers qua eu traiter depuis
2009, hors Europe et concernant les seules infractions qualifies par la loi de cybercriminalit,
le Bureau de lentraide pnale internationale (B.E.P.I., Direction des affaires criminelles et des grces,
ministre de la Justice) concernent principalement les U.S.A., sige des principaux gestionnaires
de donnes ; or, les autorits amricaines ont tendance considrer que le trait bilatral qui
lie cet Etat et la France nest ni coercitif, ni exclusif. Au surplus, sagissant des donnes de
contenu, et tout spcialement concernant la libert dexpression protge par le 1 amendement
er
de la Constitution amricaine, le systme juridique amricain savre trs restrictif et trs
formaliste lorsquil sagit danalyser les demandes dont il est saisi, alors quil est lui-mme trs
demandeur des donnes trangres ...
193
Cette htrognit se retrouve aussi dans la dure lgale de conservation,
extraordinairement variable selon les Etats, mme si, l encore, lEurope a fait oeuvre utile en
fixant par directive une dure minimale ; mais nombreux sont encore , y compris en Europe, les
systmes juridiques qui se sont refuss, jusquici, fixer des dures de conservation quelles
quelles soient.
En outre, et par nature, le cybercriminel est essentiellement mobile, mettant en
chec le concept territorial, en voluant, en un espace de temps, dun tat lautre, en fonction
des opportunits comme des couvertures juridiques. Nombreux dailleurs sont les cas o les
services denqute ne savent pas prcisment o se trouvent les donnes utiles.
Un dernier obstacle tient lincapacit de bon nombre des tats requis faire
face, en urgence, aux demandes dentraide pnale qui leur sont adresses, compte-tenu de
linflation gnrale quune telle entraide connat.
Il y a consensus en France comme dans bon nombre dautres tats pour
considrer que, si lon ne remdie pas de telles difficults, la lutte contre la cybercriminalit
continuera gnrer une dbauche dnergie pour des rsultats limits. Faut-il encore pouvoir
traduire un tel consensus dans les faits. Si les solutions sont gnralement rechercher dans
lvolution des instruments internationaux, quelques pistes peuvent tre prconises cet
gard.
LLa premire consiste diffrencier les modes de traitement selon quils
portent sur des donnes didentit et de trafic ou sur des donnes de
contenu (pour mmoire, cf. la recommandation n/ 44 ).
257
L au plan europen, lobligation, faite aux prestataires techniques, de stockage
des donnes durant une certaine dure est, eu gard au temps policier et
judiciaire, une condition sine qua non de lefficacit de laction, tant dailleurs au
plan civil que pnal. A cet gard, les rticences, voire les souhaits de remise en
cause exprims par certains Etats-membres sont des plus proccupants. Il
importe, non seulement de maintenir les instruments existants, mais aussi de
les tendre au plan international.
L au plan europen encore, il est prconis de sinspirer des exemples existants
en instituant un dispositif Schengen de coopration simplifie en matire
de cybercriminalit, sagissant, notamment, de la saisie des donnes de contenu
mais aussi des moyens de mettre fin des contenus ou comportements illgaux,
pour une liste dinfractions graves prcisment numres.
Si un tel processus a pu tre mis en oeuvre, et de manire satisfaisante,
sagissant de larrestation des personnes, sil a pu tre tendu une partie de
lexcution des peines notamment sagissant du recouvrement des amendes, a
fortiori on doit pouvoir aisment sen inspirer pour saisir des lments de preuve,
mettre un terme des infractions et contribuer la mise excution des
condamnations prononces en matire de cybercriminalit en ce quelles ont de
spcifique.
Il est aujourdhui peu comprhensible que la dcision-cadre 2008/798/JAI du Conseil
du 18 dcembre 2008 relative au mandat europen dobtention de preuves visant
recueillir des objets, des documents et des donnes en vue de leur utilisation dans le
cadre de procdure pnale exclut dlibrment, par exemple, les donnes de
communication conserves par les fournisseurs de service (cf. art.4 3e). Il faut
esprer que la future directive relative la dcision denqute europenne qui
va la remplacer lvera ce genre dexceptions.
L hors Europe, outre les actions classiques de coopration policire et judiciaire
notamment lgard de certains pays africains, il est aujourdhui temps davoir
une action rsolue sagissant des Etats constitutifs de vritables cyber-paradis
qui refusent toute coopration et qui nadhreront jamais la convention sur la
cybercriminalit car leurs intrts sont ailleurs ; ces Etats sont aujourdhui bien
connus, ne serait-ce que par le rsultat des enqutes qui ont mis jour de
vritables filires ayant des origines territoriales communes.
Cet objectif participe entirement de la lutte contre la criminalit organise, dont
Internet sert de plus en plus de vecteur, et revt autant dimportance que la lutte
contre les paradis fiscaux et le blanchiment de largent du crime mise en oeuvre
par lOrganisation de coopration et de dveloppement conomique (O.C.D.E.). Les
Etats-parties la convention sur la cybercriminalit devraient prendre des
initiatives cet gard afin que lensemble de la communaut internationale se
dote de normes minimales communes.
258
Recommandation n/ 53
sur lentraide pnale internationale
1- Limiter le recours lentraide pnale internationale aux donnes qui le
mritent. Cette voie nest ni adapte, ni approprie pour lobtention des
donnes relatives lidentit et au trafic, qui, compte-tenu de leur nombre
mais aussi de leur moindre gravit au regard des liberts individuelles,
doivent pouvoir tre directement obtenues des prestataires techniques qui en
disposent, sur le fondement du droit national prconis cet effet.
2- Maintenir lobligation, pour les prestataires techniques, de stockage des
informations dont ils disposent, et tendre sur le plan international cette
obligation, pour les besoins de la coopration policire comme lentraide
pnale internationale suppose de maintenir
3- Dfinir un dispositif Schengen de coopration simplifie en matire de
cybercriminalit, pour lobtention des donnes de contenu comme pour la
mise excution des dcisions propres mettre un terme des activits ou
contenus illgaux via Internet.
4- Conduire, au plan international, une action rsolue contre les cyber-
paradis, par le biais de ladoption de normes minimales, voire dun processus
de sanction.

,,,,,,
Sauf, sans doute, en terme de cyber-harclement en milieu scolaire, compte-tenu des enqutes
194
menes par lEducation nationale.
Seule, en ltat, luniversit de STRASBOURG (Groupe de recherches-actions sur la criminalit
195
organise - GRASCO) parat disposer dun dpartement-recherche consacr aux cyber-victimes
259
III.6.- de la rponse aux victimes
dinfractions
Sur un plan gnral, la politique franaise daide aux victimes, impulse par le
ministre de la Justice, est lune des plus avances au plan international ; elle a dailleurs
inspir, pour partie, la rcente Directive 2012/29 de lUnion europenne concernant les droits, le soutien
et la protection des victimes. Ceci tant, elle na pas encore t adapte aux cyber-victimes. Il est
venu le temps de combler cette lacune.

Nombre de recommandations dj formules dans ce rapport concernent
directement les victimes ; il est apparu nanmoins utile de les mettre en perspective, tout en
formulant de nouvelles prconisations.
Toute politique en matire de victimes est fonde sur une apprhension des
attentes qui, en ltat, nest gure satisfaite alors mmes que ces dernires, sagissant de
194
la cybercriminalit, sont souvent spcifiques. Deux consquences doivent en tre tires : une
association plus systmatique, dans les organismes institutionnels, tant du rseau INAVEM que
des associations de consommateurs et des reprsentants des entreprises ; une mobilisation,
linitiative notamment de la Chancellerie et de ses organismes ad hoc, des organismes de
recherche, en particulier universitaires .
195
La prvention, gnrale ou cible, constitue, on la vu, un lment essentiel
pour viter des passages lacte qui transforment linternaute en victime. La sensibilisation des
victimes potentielles sur le type d'actions malveillantes dont elles peuvent tre la cible et la faon
de s'en prmunir ou den diminuer l'impact, constitue ainsi la seconde des priorits, au mme
titre que la facilitation des signalements en ligne.
Toutefois, en terme de victimes, la sensibilisation npuise pas les exigences de
la prvention. Trop souvent, les atteintes la vie prive sont la consquence des donnes
introduites sur Internet, en particulier sur les rseaux sociaux, par linternaute lui-mme, alors
quil na aucunement conscience que ces donnes, parfois trs intimes, sont condamnes
demeurer en ligne sa vie entire et mme au-del et risquent de lexposer une exploitation
nuisible. Cest la question du droit loubli qui se pose.
La Commission europenne a prsent sur ce point un projet trs ambitieux
puisque le droit loubli concernait toute information contenue dans un traitement concernant
une personne identifie ou identifiable (cf. La communication de la Commission sur la protection de
la vie prive dans un monde en rseau : un cadre europen relatif la protection des donnes, adapt aux
dfis du 21/s.). Eu gard au caractre gnral de ce projet et la mobilisation considrable des
lobbies, notamment de la part de certains prestataires techniques dInternet, il a suscit une
opposition considrable et na pas t adopt.
A noter que ds 1996 la Commission nationale consultative des droits de lhomme proposait la
196
cration dun observatoire avec, notamment, un rle de mdiation entre les professionnels dInternet et les
utilisateurs
260
La prconisation du groupe interministriel sur ce point est plus modre et sans
doute plus raliste, puisquelle consiste limiter le droit loubli aux informations receles
par Internet durant la minorit dun individu, en reconnaissant ce dernier ou ses
reprsentants lgaux, durant cette mme minorit ou une fois devenu majeur pendant un dlai
dterminer, le droit dobtenir du juge des enfants leffacement des donnes le concernant,
sans quil soit fait de distinction, car la preuve est impossible rapporter, entre celles quil a lui-
mme introduites et celles gnres par autrui. Une telle requte pourrait dailleurs tre
dpose, soit titre prventif, soit en raction une utilisation malveillante des donnes en
question.
La protection particulire que requiert un mineur et sur laquelle tout le monde
saccorde, comme les drames gnrs par certaines atteintes, notamment du droit limage,
devrait favoriser un consensus sur ce point.
Une fois linfraction commise, cest linformation qui simpose, sur la faon dy
rpondre et les diffrentes solutions ou dmarches qui soffrent la victime, en terme de prise
de contact avec des structures associatives ou professionnelles susceptibles de lui venir en
aide, de consultation dun avocat en particulier pour certaines atteintes la vie prive, daction
au civil ou de dpt de plainte.
A cet effet, un guide des droits des victimes de la cybercriminalit devrait
tre prpar par la Chancellerie, en liaison avec les autres dpartements ministriels, les
associations des victimes et les entreprises. Il devra prendre en compte les principales
infractions intressant les victimes ainsi que les diffrents types de victimes, dans la mesure o
ceux-ci appelleraient des informations particulires. Une telle action dinformation doit, au
surplus, tre relaye par les structures daccs au droit, car cest bien dun droit nouveau quil
sagit en ralit.
Lune des premires dmarches qui soffre la victime, notamment en cas
dinjure ou de diffamation, consiste, dfaut de connaissance de lauteur ou de lditeur,
dnoncer linfraction lhbergeur, voire au fournisseur daccs, pour quil la retire si elle
savre manifestement illicite.
Force est de constater que lapprciation faite dun tel caractre est, le plus
souvent, restrictive, ne serait-ce que pour des raisons de responsabilit, ce qui oblige la victime
saisir le juge civil, voire dposer plainte, pour faire reconnatre son droit.
Sur ce point, les prconisations du groupe interministriel sont de deux sortes:
lune consiste faire obligation au prestataire concern, outre de faciliter la transmission en
ligne de telles demandes, de rpondre de manire succinctement motive lintress en cas
de rejet ; lautre, plus ambitieuse, consiste crer une autorit de mdiation, sinscrivant dans
la dlgation interministrielle quil est projet de crer ; cette autorit pourrait tre saisie en
ligne du rejet, examiner le caractre manifestement illicite et ordonner au prestataire les
mesures propres faire cesser le dommage ou rejeter, une nouvelle fois, la demande .
196
261
Laction de cette autorit viendrait complter les mcanismes dj mis en oeuvre
dans le cadre du droit de la consommation pour le commerce en ligne ou par certaines autorits
administratives indpendantes (cf. le rle assign au Dfenseur des droits en matire de
discriminations). Il est, en effet, de lintrt de chacun dinstituer un tel mode alternatif de
rglement des litiges, simple et gratuit, en amont de lintervention judiciaire, afin de rendre plus
effectifs les droits des personnes lses, tant entendu que les dispositions de lart. 6-I.2 et 3
de la loi du 21.06.2004 ne font pas actuellement lobjet dun contrle, sauf lhypothse -
relativement rare - dune action civile fonde sur les dispositions de lart. 6-I.8 de la mme loi,
et dviter, dans le mme temps, la surcharge des juridictions civiles.
Vient ensuite souvent le temps de la plainte.
On la vu aussi, certaines infractions lies aux technologies numriques induisent
un nombre de victimes trs important envers lesquelles le traitement pnal classique nest pas
adapt : le processus de dpt de plainte est peru, la fois par les victimes et les services
chargs de les accueillir, particulirement lourd pour un rsultat peu tangible du point de vue
de chaque cas individuel.
La 1re rponse consiste ainsi favoriser le dpt de plainte en ligne ; dj
prconise pour les cyber-escroqueries, la plainte en ligne mriterait dtre largie
lensemble des infractions ralises via Internet.
Certes, il existe dj la possibilit deffectuer une pr-plainte en ligne, mais elle
nest gure aujourdhui utilise, sans doute car elle nentrane pas les effets juridiques dune
plainte en bonne et due forme et ne fait pas lconomie dune convocation et donc dun
dplacement devant le service de police ou lunit de gendarmerie comptent.
Rapide et simple, susceptible dtre ralise ds aprs la constatation de
linfraction, conomique pour les services dinvestigation voire pour les parquets, la plainte en
ligne prsente aussi lavantage dtre oriente, selon les ncessits, soit vers une plate-forme
centralise de traitement (cf. les escroqueries), soit vers le service ou lunit comptentes.
Son efficacit, dj teste par la Commission nationale de linformatique et des liberts
pour ses besoins propres, dpend toutefois de son exhaustivit - do le recours des modles
dimprims CERFA selon la nature de la plainte-, ainsi que dune organisation stricte des
services, en terme denregistrement comme de traitement.
Si elle doit tre encourage et, dans toute la mesure possible, systmatise pour
les atteintes aux biens, la plainte en ligne nest toutefois pas adapte aux atteintes aux
personnes ou aux infractions qui, de par le prjudice subi, demandent une raction immdiate;
au surplus, il faut aussi tenir compte des victimes qui, pour des raisons culturelles, linguistiques
ou tout simplement en raison dun manque de familiarit avec Internet, ne pourront pas ou ne
souhaiteront pas y avoir recours.
Cest l quune 2me rponse en terme de sensibilisation spcifique des
agents prposs au recueil des plaintes revt toute son importance, tant pour sassurer du
caractre exhaustif des lments recueillis - car il manque souvent des prcisions essentielles
aux plaintes actuelles - que pour amliorer laccueil des plaignants en cas de violation grave de
la vie prive, de harclement, ou tout simplement pour les aider surmonter le sentiment de
culpabilit que peut engendrer une trop grande crdulit.
262
Encore faut-il pouvoir dposer plainte au regard de la trop courte prescription
de la loi sur la presse qui ne prend pas encore suffisamment en compte le fait que, trop
souvent, la victime ne prend connaissance des infractions commises sur Internet quune fois
pass le dlai fatidique des trois mois.
Pour les entreprises, qui sont souvent lobjet datteintes graves et aux enjeux
importants, la possibilit de dposer plainte ne suffit pas ; il faut encore savoir auprs de qui et
sous quelles formes, tout en tant assur dune certaine confidentialit, car cest souvent la
crainte de voir laffaire voque dans la presse ds le lendemain de ce dpt qui justifie les
fortes rticences dune partie des chefs dentreprise.
Or, police et justice sont souvent perues comme connaissant mal le monde de
lentreprise, mais linverse est aussi vrai. A cet gard, il est prconis de crer, sur lensemble
du territoire, un rseau de rfrents pour les entreprises, grandes ou petites, victimes de
cybercriminalit, pris parmi les policiers ou gendarmes spcialiss de niveau 3 ; cette dmarche
mriterait dtre coordonne avec la Direction centrale du renseignement intrieur et la cration
prconise dun CERT dans la mesure o les attentes des entreprises concernent aussi le volet
technique de latteinte.
Une telle liste de rfrents pourrait tre utilement diffuse avec le concours des
chambres de commerce et des organisations patronales, en lien avec les ples de comptitivit
qui procdent dj de linformation sur la protection de lintelligence conomique.

Reste une attente commune lensemble des catgories de victimes, mais qui
nest pas spcifique la cybercriminalit : leur information sur les suites donnes leur
plainte, y compris les plaintes en ligne prconises, doit tre amliore.
Si cette information peut tre de deux types - globale sur l'action des services et
les rponses judiciaires apportes la cybercriminalit, et individuelle par rapport chaque
victime -, cest cette dernire qui est la plus attendue. Le groupe interministriel est conscient
des obstacles tenant la masse des infractions dont sont saisis les services rpressifs ainsi que
de la dure des enqutes et des procdures pnales : la rponse ne relve pas de la norme.
Si la possibilit de se constituer partie civile en cas douverture dinformation, si
lavis victime systmatiquement dcern en cas de poursuites rpondent une telle exigence,
cest labsence de toute information pendant lenqute ou en cas de dessaisissement dun
parquet ou encore le caractre strotyp des avis de classement qui posent problme.
Deux solutions sont prconises cet gard : sagissant des plaintes manant
du monde de lentreprise, confier au rfrent policier ou gendarme, avec laval du ministre
public, de tenir inform le plaignant ; en ce qui concerne les victimes individuelles, il revient aux
associations daide aux victimes habilites par la Justice de jouer ce rle dinformation,
notamment dans le cadre des bureaux daide aux victimes.
Il sera toutefois ncessaire, dans lavenir, mais lobservation vaut pour lensemble
des victimes, dtre plus ambitieux et de doter les parquets de ressources humaines de greffe
leur permettant de constituer de vritables services de traitement des requtes, ou, encore
mieux, de permettre chaque victime et, au-del, aux justiciables civils de pouvoir consulter
directement en ligne ltat davancement de leurs affaires.

263
De manire gnrale, les plaignants individuels doivent tre accompagns par
les associations daide aux victimes prcites lorsquelles en font la demande ds aprs
linformation qui leur est obligatoirement dispense lors de leur dpt de plainte - et il faudra
prvoir un mcanisme comparable pour les plaintes en ligne insr dans lavis de rception
automatis -.
Un tel dispositif savre toutefois insuffisant lorsquil sagit dune victime
gravement traumatise soit en raison de la nature de la cyber-infraction (atteintes au respect de
la vie prive, atteintes visant des mineurs, prjudice grave...), soit eu gard la vulnrabilit mme
de la personne : en pareille hypothse, et lexemple des politiques mises en oeuvre dans
certains ressorts, le groupe interministriel prconise que, avec le soutien de lINAVEM, le
parquet, sous la forme dinstructions gnrales ou sur mandat individuel dans le cadre du
traitement en temps rel, oriente ce type de victimes vers les associations en question, afin
quelles leur apportent laide et lassistance, voire le soutien psychologique ncessaires.
Le renforcement de leffectivit de la Justice, tant pnale que civile, grce
laccroissement, dj voqu, des moyens dinvestigation, rpond aussi lattente des victimes.
Toutefois, ce qui importe pour les victimes, tout particulirement en cas de
blocage de leur ordinateur ou datteintes la vie prive, cest la cessation de linfraction dans
les meilleurs dlais, cest--dire sans attendre le terme dune enqute ou dune procdure.
Telle est la raison pour laquelle le groupe interministriel propose, outre les
attributions confres au mdiateur, daccrotre les pouvoirs du juge des rfrs ainsi que du
juge dinstruction ou du juge des liberts et de la dtention en cours denqute, lgard des
prestataires techniques dInternet.
Leffet miroir dInternet, rsultant de la reprise massive en ligne et en temps
quasi rel dune atteinte la vie prive, la rputation ou au droit limage, pose toutefois un
problme particulier puisque, par exemple, le dfrencement ordonn au gestionnaire dun
moteur de recherche ne saurait concerner quun site prcis et non un propos tenu sur un blog,
sauf pouvoir bloquer les interrogations faites partir dune identit particulire, si tel est le cas
(cf. les prcdents sagissant des contrefaons ou des jeux illicites).
Telle est la raison pour laquelle il est prconis, daccompagner linjonction de
retrait, de dfrencement ou de blocage dune obligation, mettre en oeuvre par le prestataire
sous le contrle de lagence de rgulation dj cite, une surveillance spcifique pendant une
certaine dure.
La rparation du prjudice subi par la victime constitue un autre enjeu. En
effet, les victimes de la cybercriminalit sont trs souvent dmunies : pertes financires directes
lies certaines escroqueries en ligne et non garanties par une assurance ou l'obligation de
remboursement des intermdiaires de paiement (en cas de mandat-cash par exemple), dommages
causs leur systme informatique (qu'il s'agisse d'un ordinateur personnel ou d'outils de travail),
impact psychologique ou sur l'image de la personne...
Or, faute didentification ou dapprhension du dlinquant, plus que toute autre
catgorie de victimes, elles ne peuvent obtenir, le plus souvent, des dommages et intrts.
264
En premier lieu, qu'il s'agisse d'un particulier ou d'une entreprise ou toute autre
organisation, il est important, pour la prise en compte sa juste mesure de l'importance de
chaque cas individuel, que les victimes soient en mesure d'valuer et de justifier correctement
leur prjudice. Cela relve des mesures de prvention et d'information du public comme de la
formation et de l'accompagnement des personnes charges de prendre ou de traiter les
plaintes, ou daider les victimes.
En second lieu, sil importe de vrifier la ralit de la couverture du dommage au
titre des assurances, lindemnisation de solidarit doit pouvoir prendre le relais lorsque, comme
cest le cas en matire de cybercriminalit, laction de lEtat dans son rle rpressif ne savre
pas suffisamment effectif : si les fraudes la carte bancaire bnficient dun dispositif
spcifique, les escroqueries sont aussi indemnisables sous certaines conditions, il est vrai
restrictives.
Toutefois, le groupe de travail a estim quune ventuelle modification des
dispositions de lart. 706-14 du C.P.P. ne pouvait tre examine sous le seul angle des cyber-
infractions, mme si une volution de la jurisprudence quant lapprciation de la faute de la
victime lui semble opportune. Reste la question dune possible indemnisation par le commerce
en ligne, lorsque son imprudence est lorigine du dommage, qui mrite dtre attentivement
examine.
En dernier lieu, la pnologie pourrait tre utilement adapte afin de mieux
prendre en compte les attentes des victimes. A ce titre, plusieurs prconisations peuvent tre
faites :
2la facult dordonner la diffusion de la condamnation ou dextraits sur Internet
nest, en ltat, ni juridiquement possible dans toutes les affaires relevant de la
cybercriminalit, ni, en pratique, souvent mise en oeuvre.
A linstar du droit du travail, qui privilgie la publicit et laffichage, la diffusion
des condamnations sur Internet, notamment en ce qui concerne les infractions
la libert de la presse mais aussi les autres atteintes la personne et les
escroqueries, devrait tre, tout la fois, facilite et rendu plus systmatique.
2 par-del, il est propos la cration dune nouvelle peine complmentaire
consistant en la rparation des dommages spcifiques causs la victime, sous
la forme, par exemple, tant de la rparation du systme informatique
endommag par un prestataire habilit que du nettoyage du net sagissant des
atteintes la rputation ou limage dune personne dont la mise en oeuvre
pourrait tre confie lautorit de mdiation dj cite, et cela aux frais du
condamn ou, dfaut, du Fonds de garantie des victimes dinfractions, qui
dispose dune action rcursoire.
2 enfin, au titre de la prvention de la ritration et hors le champ de la
dlinquance organise, il est recommand de recourir soit un stage
dducation civique adapt cette problmatique, soit au module de
sensibilisation prcite, soit des travaux dintrt gnral spcifiques au sein
de structures adaptes, voire de pouvoir soumettre les personnes condamnes
des restrictions temporaires de laccs ou de lusage dInternet (sur le modle
des chques de banque pour les infractions relevant du droit des moyens de paiement),
accompagnes dun dispositif de contrle logiciel, voire dun contrle sur place
par des professionnels. Et cela sans prjudice de la peine complmentaire
dinterdiction dun tel accs pendant une certaine dure dont la cration est
propose pour les atteintes aux mineurs.
265
Recommandation n/ 54
relative aux rponses aux victimes dinfractions
Une politique daide aux cyber-victimes volontariste et adapte suppose de

1- mieux apprhender les attentes des victimes
2- crer un guide des droits des victimes de la cybercriminalit
3- instituer, sous lgide du juge des enfants, un droit loubli sagissant des
donnes relatives aux mineurs
4- faciliter les demandes de retrait adresses par les victimes aux
prestataires techniques dInternet en instituant, au sein de la future dlgation
interministrielle, une autorit de mdiation
5- gnraliser la possibilit de dposer plainte en ligne ; amliorer
concomitamment le recueil des plaintes par les policiers et les gendarmes
6- diffuser aux entreprises une liste denquteurs-rfrents
7- mieux informer les victimes des suites donnes leurs plaintes, par un
dispositif scuris accessible en ligne
8- mobiliser les associations daide aux victimes et les associations de
consommateurs
9- accrotre les pouvoirs du juge des rfrs pour faire cesser linfraction ;
confier des pouvoirs similaires au juge des liberts et de la dtention
10- confier au juge civil comme pnal la possibilit dassocier linjonction
de retrait, de dfrencement ou de blocage, dune obligation de surveillance
spcifique limite dans le temps pour limiter leffet-miroir
11- adapter la pnologie en prenant mieux en considration les besoins des
victimes
12- amliorer la rparation du prjudice, y compris en mobilisant les
professionnels.

,,,,,,
266
III.7.- de la politique
pnale


Il revient au Garde des Sceaux, ministre de la Justice, de conduire la politique
pnale dtermine par le Gouvernement.
Cette politique pnale, qui donne de lintelligence laction de la police judiciaire
et du ministre public, est un lment central de la stratgie prconise pour lutter contre la
cybercriminalit.
Elle doit, tout la fois, dfinir les priorits, prciser les schmas de comptence,
adapter les modes de traitement la spcificit des diffrents contentieux, mobiliser les moyens
procduraux les plus pertinents, mettre en exergue les rponses pnales les plus appropries,
dfinir les conditions dune meilleure effectivit des dcisions, traiter de la coopration pnale
internationale, spcifier la politique daide aux victimes sans ngliger les questions propres aux
entreprises, mobiliser les partenaires indispensables, et valuer les rsultats.
Elle repose ncessairement sur une bonne connaissance des attentes comme
des forces et faiblesses de lexistant ; elle suppose aussi, par nature, une large concertation,
non seulement avec le ministre de lIntrieur, mais avec nombre dautres acteurs, publics
comme privs ; elle requiert encore de prendre en compte des autres types de rglement des
conflits, quils relvent des alternatives, des rponses administratives, des procdures civiles
sur la protection de la vie prive, ne serait-ce que pour dfinir la juste place du pnal ; elle doit
ncessairement enfin tenir compte des capacits des services de police judiciaire comme des
parquets, du sige comme du greffe, ainsi que des pouvoirs propres des procureurs de la
Rpublique et du rle dimpulsion et de coordination imparti aux procureurs gnraux.
Les dveloppements prcdents permettent de faire lconomie dentrer plus
avant dans le dtail.
Certains points mritent toutefois dtre mis en exergue car ils nont pas t
abords jusquici.
1.- le constat de lexistant
Il mrite dtre dress, non pas tant en ce qui concerne les difficults rencontres
car le groupe interministriel sest employ les cerner, mais sagissant de la ralit de la
dlinquance apprhende par chaque parquet, des rponses qui y sont apportes, des
initiatives locales prises.
La diffusion du prsent rapport en pourrait tre loccasion, charge, pour les
parquets dy associer aussi les services de police judiciaire qui oeuvrent sous leur direction ainsi
que les magistrats instructeurs. Il serait aussi opportun, cette occasion, de dresser un bilan
de la coopration pnale se rapportant la lutte contre la cybercriminalit mise en oeuvre
directement par ces magistrats avec leurs homologues trangers.
Le futur rapport de politique pnale rendant compte de lactivit 2014 devra aussi
permettre daffiner le constat et de rendre compte des premires volutions.
267
2.- les critres de comptence territoriale
Certaines des recommandations prcdentes concernent dj cette question,
quil sagisse de la reconnaissance dune comptence concurrente la juridiction parisienne ou
aux juridictions inter-rgionales spcialises (J.I.R.S.), ou du nouveau critre de comptence
territoriale tenant au domicile de la victime ou au sige social de lentreprise. Dautres
prconisent une centralisation des plaintes afin de favoriser les recoupements indispensables
une meilleure orientation et un traitement plus efficace de certains contentieux,
essentiellement les escroqueries et les fraudes aux cartes bancaires.
Toutes ncessitent que soient pralablement fixs, au titre de la politique pnale,
des critres prioritaires dattribution sans lesquels lobjectif deffectivit recherch ne sera pas
atteint.
Sagissant des atteintes aux systmes automatiss de traitement de donnes,
la mise en oeuvre de la comptence parisienne ne devrait pas soulever de difficults
particulires, puisquelle repose sur la nature des cibles (les administrations de lEtat, les oprateurs
dimportance vitale), le principe de la comptence concurrente ntant l que pour permettre le
maintien dun traitement strictement local par le parquet concern lorsque latteinte ne revt
aucun caractre de gravit. Il en est dailleurs de mme pour le cyber-terrorisme.
En ce qui concerne la comptence des J.I.R.S. pour les autres atteintes aux
systmes automatiss de traitement des donnes ou pour lensemble des cyber-crimes ou dlits
commis en bande organise, il importe de dfinir des lignes directrices de saisine, comme pour
tous les autres contentieux dont elles ont connatre. Une telle dfinition apparat dautant plus
importante qu lexception des escroqueries organises commises par faux ordres de virement,
les J.I.R.S. ne paraissent gure saisies des autres cyber-infractions qui, pourtant, le
mriteraient. Or la complexit, la gravit comme le caractre transfrontalier de certains dossiers
commandent une telle saisine.
Une difficult particulire, qui nest dailleurs pas propre la cybercriminalit, a
trait la rpartition des affaires entre J.I.R.S. ; elle est, en particulier, illustre par les
escroqueries prcites pour lesquelles on constate un parpillement des saisines entre de
nombreuses J.I.R.S., sans que lon soit, pour autant, assur quil se fonde sur des bandes
organises diffrentes et donc sur des cibles spcifiques. La diffusion et le partage
dinformations revt ici une importance toute particulire.
Le traitement centralis des infractions, quil soit induit par les signalements que
reoit PHAROS ou, demain, par la centralisation des plaintes relatives aux escroqueries et des
dnonciations requises des organismes bancaires, requiert aussi une adaptation de la politique
pnale en terme dorientation et donc de choix des parquets susceptibles dtre saisis.
En effet, il revient aux organismes centraux de police judiciaire comptents
deffectuer les recoupements ncessaires pour faciliter les orientations pertinentes ; il ne leur
revient pas den dcider. Le parquet territorialement comptent en fonction du sige de ces
organismes ne saurait, non plus, avoir, lui seul, vocation dcider de la rpartition des affaires
concernes sur lensemble du territoire national. La dtermination de critres de rpartition par
la Chancellerie, qui devra aussi, par lintermdiaire de la future Mission Justice, tablir des liens
privilgis et constants avec ces organismes, rpond ainsi une ncessit.
Un constat identique simpose pour les juridictions de droit commun, qui ont
connatre du reste du contentieux.
cet effet, les critres des parquets de CRETEIL et de PARISont t examins
197
268
En ralit et comme cela a dj t soulign, la question ne se pose pas lorsque
la cyber-infraction sinscrit dans des relations inter-personnelles (la majeure partie des infractions
dites de presse comme des atteintes la vie prive), lorsquelle est constate en flagrance (par ex.,
en cas de dtention dimages pdopornographiques), ou lorsque le parquet est saisi aprs
identification de lauteur et de son domicile (par ex., toujours en matire de pdo-pornographie, sur
dnonciation dInterpol ou des services centraux franais, ou, sagissant des signalements de la base
PHAROS, sur dnonciation de lO.C.L.C.T.IC aprs exploitation). Il en sera de mme demain, si les
recommandations sont suivies, sagissant des contentieux de masse dj cits, ceux-l mme
qui posaient le plus de difficults aux services denqute et aux parquets.
Il reste toutefois des hypothses dans lesquelles les services locaux continueront
tre saisis sur plainte de faits commis par un auteur encore inconnu, alors mme quils
ignorent si dautres victimes sont aussi concernes par des faits similaires et imputables au
mme dlinquant. La future application T.A.J. devrait, peu peu, pallier limpossibilit de tels
recoupements.
Encore, la question du critre de comptence peut tre assez aisment rsolue
dans lhypothse de lidentification dun auteur domicili en France, puisque cette dernire
entranera, naturellement, la saisine du parquet correspondant ce domicile, si ltat
davancement de lenqute initiale ne fait pas prfrer le maintien de la comptence premire
sur la base du futur critre li la victime.
Cest, en dfinitive, dans lhypothse, soit dun auteur ou dun site identifi mais
domicili ltranger, soit dun auteur non identifi avec une pluralit de victimes, que des
priorits devront tre dtermines dans le cadre de la politique pnale, tant soulign que de
telles procdures sont actuellement mal traites et que les parquets sont dautant plus rticents
accepter de regrouper des procdures multiples quils ont peu de chance de les mener bien,
sauf dans le strict cadre de lUnion europenne.
Compte-tenu du constat prcdent, il convient, de manire gnrale, dordonner
les diffrents critres qui sont ou seront en concours, afin datteindre une effectivit maximale
et conomiser les forces des services dinvestigation comme des parquets ; les propositions
sont les suivantes :
197
2 en premier lieu, le domicile ou la rsidence de lauteur, sil est identifi
2 en second lieu, la domiciliation ou la rsidence du responsable du site
litigieux sil est en France, indpendamment de la localisation du ou des
serveurs ncessaires son fonctionnement
ou
2 la localisation physique du serveur hbergeant le site litigieux, lorsquil
se situe sur le territoire national
dfaut de tels critres,
2 la domiciliation, la rsidence ou le sige social de la victime (critre
crer)
2 le lieu de commission (disparition de fichier, remise dargent...), qui peut
sassimiler aussi au lieu dans lequel le dommage a t subi (par ex., en
matire de contrefaon)
Elle pourrait utilement tre mise jour
198
269
2 et, en cas de pluralit de parquets potentiellement comptents,
-celui qui cumule le maximum de critres de comptence ou (et)
qui se caractrise par lampleur du prjudice caus ou le plus
grand nombre de victimes domicilies dans son ressort
-celui dans le ressort duquel est situ le service enquteur
linitiative de lenqute suite la plainte de la victime, si le
dessaisissement envisag nest pas de nature apporter une
plus-value
-tout en tenant compte de la capacit du parquet traiter ce
genre denqute.
3.- les critres de saisine des diffrents services denqute
Aux critres tenant la comptence judiciaire, doivent sajouter des critres plus
prcis sagissant de la saisine respective des diffrents services centraux et territoriaux, mme
si la circulaire de la Direction gnrale de la Gendarmerie nationale nonce dj des priorits
cet gard ,si lO.C.L.C.T.I.C. a une comptence exclusive pour les affaires fort contenu
198
international, et si les Douanes ne paraissent pas tre confrontes cette question eu gard
au quasi-monopole reconnu Cyberdouane en terme dinterface avec les oprateurs et les
entreprises du commerce sur Internet.
Cest, naturellement, en fonction des comptences spcifiques de chacun de ces
services, et sur la base des changes que devra avoir cet effet la Chancellerie avec le
ministre de lIntrieur, que devront tre suggres des lignes de conduite.
On constate, en effet, quen matire de cybercriminalit, les saisines de certains
services centraux sont rares ou ne paraissent gure rpondre une logique cohrente, sauf de
la part des parquets qui les ctoient habituellement ; dautres juridictions saisissent des agences
qui nont pas de comptence oprationnelle (par ex., lANSSI). Quant aux critres de rpartition
de comptence entre les S.R.P.J. et les directions dpartementales de scurit urbaine, ils
relvent du protocole de 2007, qui ncessite une mise jour.
Enfin, mais l encore la question ne concerne pas la seule cybercriminalit, les
parquets doivent veiller regrouper les saisines concernant les cyber-infractions les plus graves
ou les plus topiques, afin dviter un parpillement nfaste laction judiciaire. Il revient aux
procureurs gnraux de demander aux S.R.P.J. de tenir un tat de ces infractions et den
assurer la diffusion auprs des parquets de leur ressort.
270
Recommandation n/ 55
relative la politique pnale en matire de cybercriminalit
1- Dresser un constat de lexistant auprs des parquets et des services de
police judiciaire.
2- Arrter, pour la cybercriminalit, les orientations de politique pnale afin de
dfinir les priorits, prciser les schmas de comptence, adapter les modes
de traitement la spcificit des diffrents contentieux, mobiliser les moyens
procduraux les plus pertinents, mettre en exergue les rponses pnales les
plus appropries, dfinir les conditions dune meilleure effectivit des
dcisions, traiter de la coopration pnale internationale, spcifier la politique
daide aux victimes sans ngliger les questions propres aux entreprises,
mobiliser les partenaires indispensables, et valuer les rsultats.
3- Prciser notamment les critres prioritaires de comptence territoriale des
parquets et de saisine des services denqute.
,,,,,,

271
C
onclusion : un rapport dtape
pour une stratgie globale

Pour tre rcente, la cybercriminalit, cette dlinquance distance, savre en
pleine expansion.
Certaines de ses manifestations relvent de la dlinquance organise, menacent
le monde conomique, voire la souverainet nationale ; dautres sont le fait de simples
individualits qui profitent de laubaine pour dverser leur haine de lautre ou assouvir leurs
penchants pervers ; le plus grand nombre cherche, comme toujours, un moyen facile de gagner
de largent en contournant les lois et les interdits.
Toutes constituent des dfis pour une socit qui peine matriser
lextraordinaire volution technologique qui leur sert de support, dfendre des donnes
personnelles mises mal par une mmoire qui noublie jamais, adapter ses rponses un
phnomne qui na pas de frontires, surmonter un anonymat quasiment garanti. Mais sans
doute linvention de limprimerie ou du tlphone a-t-elle gnr des dfis du mme ordre.
...Une socit qui doit pleinement prendre conscience de cette face noire de
lInternet, plus discrte sans doute que le vol main arme ou que lattentat terroriste, mais qui
recle des menaces graves, gnre des prjudices importants, trouble la vie personnelle et
cause parfois la mort.
Cette face noire, mme si elle est le fait dune petite minorit, tout internaute peut
en tre victime, nombreux sont dailleurs qui lont dj t, nul ne peut tre assur quil ne le
sera pas demain.
...Prise de conscience du risque et du chemin parcourir pour le contrer, mais
sans oublier, dans le mme temps, que ce systme dinformation et de communication relve
dsormais de notre quotidien, quil constitue une avance considrable dont peuvent tmoigner
ceux qui ne sont pas ns lre dIntranet et que nul demain ne pourrait sen passer.
Cette prise de conscience collective, lEtat doit sy atteler avec la mme vigueur
que celle quill consacre la lutte contre la fracture numrique ou au dveloppement dune
activit riche en emplois futurs, car tous ces objectifs sont lis.
Il doit pour cela arrter une vritable stratgie, court et moyen terme, qui aurait
vocation sinscrire dans une loi de programmation et qui devra tre accompagne des moyens
ncessaires.
Cette stratgie, elle appelle dabord une organisation. La dlgation
interministrielle la lutte contre la cybercriminalit, place directement sous lautorit du
Premier Ministre, permettra de donner cette impulsion, cette visibilit et cette cohrence qui
manquent aujourdhui, en coopration avec tous les acteurs publics et privs concerns, tout
en renforant les liens avec les deux autres ples que constituent la scurit des systmes
dinformation et la cyber-dfense.
272
Elle devra toutefois sappuyer sur une Mission Justice spcifique, afin que la
Chancellerie joue pleinement son rle de ministre de la loi et dtermine la politique pnale
applicable.
Connatre mieux la cybercriminalit, lapprhender quantitativement, valuer le
prjudice quelle reprsente, la mieux saisir grce la recherche, autant dobjectifs qui
constituent la deuxime priorit.
Prvenir est le troisime mot dordre de la stratgie propose ; il simpose
dautant plus que cette dlinquance, plus que toute autre, joue de nos imprudences, celles des
individus comme celle des entreprises. Linternaute doit tre le premier acteur de sa scurit,
mais aussi de cette lutte contre des propos insoutenables, des images scandaleuses ou des
activits condamnables. Le partenariat y a aussi toute sa place, il la prend dj. Mais il revient
lEtat de donner llan, de conduire cette action sur le long terme, de structurer les ples de
comptence spcifique en fonction des besoins, des catgories, des risques, de mobiliser enfin
lindustrie, la recherche, luniversit.
Former, cest la quatrime priorit, car la mobilisation attendue ne peut tre le
fait que des seuls initis : former les acteurs, au premier rang desquels les agents
dinvestigation et les magistrats, mais, par-del, tous ceux dont la mission est dduquer,
danimer, de faciliter laccs Internet, car on ne peut prvenir et lutter efficacement contre la
cybercriminalit si on ne la connat pas, si on ne la comprend pas.
Mobiliser aussi les professionnels et, au premier rang dentre eux, ceux de
lInternet, dans le cadre dune norme rajeunie dfinissant prcisment leurs obligations ; dune
norme vocation universelle qui doit concerner aussi bien les prestataires trangers que
franais, les fournisseurs de moteur de recherche comme les hbergeurs et fournisseurs
daccs ; dune norme propre faciliter lidentification des cyber-dlinquants, la runion des
lments de preuve ncessaires laction judiciaire, les lgitimes exigences defficacit de
ladministration comme de la justice grce un dispositif de notification/action rnov et enrichi.
Adapter encore les modes de rponse cette dlinquance, car les schmas
traditionnels sont impuissants, sans pour autant crer un droit dexception insupportable au
regard des liberts fondamentales. Cette adaptation, elle passe, l encore, par des rformes
organisationnelles, avec la centralisation du traitement des contentieux de masse que
constituent les escroqueries et les fraudes par cartes bancaires et avec la spcialisation du
tribunal de Paris comme des juridictions inter-rgionales spcialises pour les atteintes les plus
graves ; mais aussi par des pouvoirs dinvestigation prciss et ajusts la recherche dune
nouvelle effectivit ; par une meilleur contrle des noms de domaine ; enfin par une meilleure
lisibilit et une plus grande cohrence de la norme et la cration doutils daide lanalyse et
la dcision.
Rpondre aux cyber-victimes est la septime priorit ; elle passe, entre autres,
par la cration dune mission de mdiation entre les internautes et les prestataires dInternet,
la reconnaissance du droit loubli pour les mineurs, des processus destins assurer
leffectivit de lexcution des dcisions, y compris contre leffet miroir, sans oublier les attentes
particulires des entreprises.
Dvelopper enfin les moyens daction internationaux, telle est la dernire
exigence. La rponse une dlinquance sans frontire dpend, on le sait, dabord et avant tout,
de la capacit de lEurope prsenter un front uni et entraner le reste du monde, y compris
dans la lutte contre les cyber-paradis. La stratgie propose pour la France prend dailleurs
racine dans la stratgie Europenne et sinspire largement des rflexions menes au sein du
Conseil de lEurope comme de lUnion europenne. Rien dutile ne se fera isolment, rien ne
273
se fera non plus sans la mobilisation et le volontarisme des Etats Nations, ainsi que lillustre la
coopration pnale internationale. Cette dernire doit tre recentre sur les objectifs les plus
importants, mais aussi rendue plus effective en crant, dans lespace europen, un Schengen
du numrique.
Protger les internautes, lobjectif est ambitieux mais ralisable.
Pour autant, le prsent rapport na pas lambition de lexhaustivit.
Compte-tenu, tout la fois, du temps dvolu, qui na pas permis dentendre
lensemble des acteurs concerns, du prisme juridique privilgi eu gard la composition du
groupe de travail, mais aussi de la complexit du sujet, de la forte emprise internationale et enfin
du caractre essentiellement volutif de la cybercriminalit, qui ncessitera des ajustements
continus, lapproche se veut forcment modeste.
Telle est dailleurs lune des raisons pour laquelle des outils organisationnels sont
proposs pour lavenir.
Marc ROBERT
Le 16 fvrier 2014

,,,,,,


274
R
capitulatif des Recommandations
n/ objet page
1 la dfinition de la cybercriminalit 12
2 lapprhension statistique de la cybercriminalit 19
3 la prvention de la cybercriminalit 112
4 la formation des acteurs pnaux 124
5 lextension des attributions de lObservatoire de la scurit des
cartes de paiement
134
6 la cration dun centre dalerte et de raction aux attaques
informatiques (CERT)
135
7 la cration dune dlgation interministrielle la lutte contre la
cybercriminalit
141
8 lorganisation judiciaire 144
9 la coordination des structures administratives spcialises dans la
lutte contre la cybercriminalit
145
10 lorganisation centrale de la police judiciaire 146
11 lorganisation territoriale de la police judiciaire 147
12 le renforcement des moyens affects la lutte contre la
cybercriminalit
150
13 le droit pnal gnral et le droit pnal spcial en matire de
cybercriminalit
153
14 lusurpation didentit 154
15 les atteintes aux systmes de traitement automatis des donnes 154
16 les spams 155
17 le cyber-harclement 157
18 le secret des affaires 158
19 la peine complmentaire de suspension du droit daccs Internet 158
20 lamlioration de la visibilit et de la cohrence du droit pnal de
fond
162
21 la clarification du droit relatif aux prestataires techniques 173
275
22 les obligations des fournisseurs de moteurs de recherche 177
23 les obligations des prestataires techniques trangers lgard de la
loi franaise
182
24 lextension du rle assign la future Plate-forme nationale des
interceptions judiciaires
183
25 la dtection, par un hbergeur ou un fournisseur, dinfractions
graves
185
26 la procdure dite de notification/action lgard des hbergeurs et
fournisseurs
192
27 le blocage des sites et des noms de domaine 204
28 les cyber-cafs et les hots-spot wi-fi 206
29 lamlioration de la visibilit et de la cohrence du droit
procdural
209
30 la comptence des juridictions franaise 211
31 lextension des critres de comptence territoriale 212
32 le dlai de prescription des infractions dites de presse commises
sur Internet
214
33 la preuve numrique 216
34 la conservation des donnes numrises 220
35 labrogation des dispositions autorisant lintrusion dans les
systmes informatiques
221
36 lobjet de la rquisition 221
37 les rquisitions adresses aux oprateurs et fournisseurs visant le
contenu des changes
223
38 le respect de la confidentialit par les tiers requis 224
39 la sanction de linaction ou du refus de rponse du tiers requis 225
40 lextension du droit de perquisition et de saisie des terminaux et
supports informatiques
227
41 lanalyse des donnes saisies 229
42 les codes daccs 230
43 le cryptage et le chiffrement des donnes 231
44 laccs en ligne aux donnes informatiques stockes ltranger 233
45 le recours aux personnes qualifies et aux experts 236
46 la veille sur Internet pratique par la police judiciaire 239
47 la gnralisation de lenqute sous patronyme 240
276
48 la captation distance des donnes informatiques 242
49 lextension certaines formes de cybercriminalit des moyens
relevant de la lutte contre la dlinquance organise
244
50 la cration dune plate-forme centralise pour le traitement des
cyber-escroqueries
247
51 la centralisation du traitement des captations de cartes bleues et
des fraudes qui leur sont associes
249
52 le renforcement de la police des noms de domaine 254
53 lentraide pnale internationale 258
54 les rponses aux victimes dinfractions 265
55 la politique pnale en matire de cybercriminalit 270
,,,,,
277
A
nnexes au rapport
Compte-tenu de leur caractre volumineux,
elles sont rassembles dans un tome distinct.
- le mandat du groupe de travail interministriel
- la composition du groupe de travail
- la liste des personnes entendues, des visites effectues
et des contributions reues
- le questionnaire adress aux prestataires techniques
- la carte de limplantation des cyber-enquteurs spcialiss
en regard du sige des juridictions interrgionales spcialises
- ltude de droit compar
- les outils pdagogiques :
la liste des infractions relevant de la cybercriminalit
- les outils pdagogiques :
lbauche dune nomenclature des cyber-infractions spcifiques
- les statistiques judiciaires
- les outils pdagogiques :
le glossaire