Deuxième Partie

Deuxième partie : Les manifestations de la digitalisation comme moyen de lutte
contre la cybercriminalité
Chapitre 1 : Le cadre juridique face à la cybercriminalité au Maroc
Considérant des dangers de la cybercriminalité, le Maroc a encadré aux quatre

vents son cyberespace. En effet, la loi n°07-03 complétant le code pénal en ce qui
concerne les infractions relatives aux systèmes de traitement automatisé des données,
la loi 09-08 relative à la protection des personnes physiques à l'égard du traitement des
données à caractère personnel constituent une étape importante dans la mise à niveau
de notre arsenal juridique. Certes, elles ont pu poser les premières bases d'une lutte
contre la cybercriminalité mais désormais le défi se situe au niveau de l'applicabilité de
ces textes de lois, ainsi qu’en matière de la lutte contre la cybercriminalité le Maroc se
réfère à la convention de Budapest sur la cybercriminalité du 23 novembre 2001. Le
royaume du Maroc a mis en disposition ses texte de lois surtout le code pénal La loi
n°07-03 complétant le code pénal en ce qui concerne les infractions relatives aux
systèmes de traitement automatisé des données; La loi n°09-08 relative à la protection
des personnes physiques à l'égard du traitement des données à caractère personnel.
Section 1 : les dispositions législatives au niveau national
1- La loi n°07-03 complétant le code pénal en ce qui concerne les infractions

relatives aux systèmes de traitement automatisé des données
Jusqu'à octobre 2003, le phénomène de la cybercriminalité au Maroc n'a fait

l'objet d'aucune disposition législative visant à le réprimer. Il s'agissait encore d'un
phénomène mal connu et marginal. Par conséquent, l'arsenal juridique marocain
disposait de lacunes sérieuses empêchant la répression des infractions liées à la
criminalité informatique. De nombreuses dispositions du code pénal se révèlent
parfaitement inadaptées aux spécificités du phénomène. Face à cette situation, le
législateur marocain se trouvait contraint d'enrichir le code pénal par des dispositions
susceptibles de s'appliquer aux infractions commises par voie informatique ou
électronique. C'est ainsi que la loi n°07-03 complétant le code pénal en ce qui
concerne les infractions relatives aux systèmes de traitement automatisé des données a
vu le jour en 2003.
Reproduite à partir de la loi française du 5 janvier 1988 dite loi Godfrain, la loi
n°07-03 constitue un texte fondateur pour la mise à niveau de l'arsenal juridique
marocain afin de tenir compte des infractions imputables à la criminalité informatique.
Elle traite les atteintes aux systèmes de traitement automatisé des données (STAD) et
réprime pénalement de nombreux comportements. Les intrusions ainsi que les atteintes
aux systèmes de traitement automatisé des données demeurent les plus importantes
incriminations contenues dans cette loi.
1. Les intrusions:
La loi n°07-03 permet de sanctionner toutes les intrusions non autorisées dans
un système de traitement automatisé de données. Elle fait la distinction entre l'accès et
le maintien frauduleux dans un STAD. En effet, deux types d'accès illicites peuvent
être envisagés:
- L'accès dans l'espace, qui consiste à pénétrer par effraction dans un système
informatique (accès frauduleux);
- L'accès dans le temps, qui s'agit du fait d'outrepasser une autorisation

d'accès donnée pour un temps déterminé (maintien frauduleux). Les
sanctions prévues varient selon que l'intrusion a eu ou non une incidence sur
le système en cause.
 L'accès frauduleux dans un STAD
Parmi les actes réprimés dans la loi n°07-03, on trouve en premier lieu l'accès
frauduleux. Cette infraction résulte de l'article 607-3 du code pénal qui dispose dans sa
rédaction de 2003: « le fait d'accéder, frauduleusement, dans tout ou partie d'un
système de traitement automatisé des données est puni d'un mois à trois mois
d'emprisonnement et de 2.000 à 10.000 dirhams ou de l'une de ces deux peines
seulement ». Dès lors que le maintien ou l'accès frauduleux entraîne une altération du
système, la loi marocaine prévoit un doublement de la peine. En effet, l'article 607-3,
al. 3 du Code pénal dispose « La peine est portée au double lorsqu'il en est résulté soit
la suppression ou la modification de données contenues dans le STAD, soit une
altération du fonctionnement de ce système».
L'accès au STAD peut se faire1:
- Depuis l'extérieur du système : ainsi, un pirate qui pénètre dans un ordinateur

connecté à l'internet tombe sous le coup de la loi.
- Depuis l'intérieur du système : un salarié qui, depuis son poste, pénètre dans
une zone du réseau de l'entreprise à laquelle il n'a pas le droit d'accéder
pourra être poursuivi2.
- L'accès est sanctionné uniquement s'il est frauduleux. Il convient ainsi, de

préciser que l'accès frauduleux à un STAD, tel qu'il a été précisé par la
jurisprudence française3, est constitué «dès lors qu'une personne, non
habilitée, pénètre dans ce système tout en sachant être dépourvue
d'autorisation, peu importe le mobile». Ce qui recouvre un grand nombre
d'hypothèses. Dans cette perspective, la Cour d'appel de Paris a considéré
dans un arrêt du 5 avril 1994 que « l'accès frauduleux, au sens de la loi, vise
tous les modes de pénétration irréguliers d'un système de traitement
automatisé de données, que l'accédant travaille déjà sur la même machine
mais à un autre système, qu'il procède à distance ou qu'il se branche sur une
ligne de communication.
 Le maintien frauduleux dans un STAD
1
- El azzoui ali la cybercriminalité au Maroc, bishops solution 2010.
2
- L'exemple La Cour d'appel de Paris a considéré l'envoi automatique de messages et l'utilisation de
programmes simulant la connexion de multiple Minitel à un centre serveur, perturbant ainsi les
performances du système et entraînant un ralentissement de la capacité des serveurs, comme étant
constitutif du délit d'entrave au fonctionnement d'un STAD.
3
- la jurisprudence française Etant donné que la loi marocaine n'est que la reproduction de la loi
française, il s'avère important d'analyser les précisions apportées par la jurisprudence française par
rapport à la notion de l'accès.
La loi marocaine incrimine également le maintien frauduleux dans un système
de traitement automatisé de données. L'article 607-3 du code pénal marocain dispose:
«Est passible de la même peine toute personne qui se maintient dans tout ou partie d'un
système de traitement automatisé de données auquel elle a accédé par erreur et alors
qu'elle n'en a pas le droit ». La jurisprudence française précise que l'incrimination
concerne le maintien frauduleux ou irrégulier dans un système de traitement
automatisé de données de la part de celui qui y est entré par inadvertance ou de la part
de celui qui, y ayant régulièrement pénétré, se serait maintenu frauduleusement.
Quant à l'élément intentionnel de cette infraction, la doctrine et la jurisprudence

s'accordent à admettre que l'adverbe "frauduleusement" n'est pas le dol général de
l'attitude volontaire, ni le dol très spécial de l'intention de nuire, mais la conscience
chez le délinquant que l'accès ou le maintien ne lui était pas autorisé. Cette précision
vise le cas du fraudeur habilité à accéder à une partie non autorisée d'un système de
traitement automatisé de données, s'y maintient en connaissance de cause, et au cas du
fraudeur qui ayant eu par hasard accès à un système fermé, s'y maintient
volontairement tout en sachant qu'il n'y a pas de droit.
2. Les atteintes :
Les atteintes au STAD ont tendance à devenir de plus en plus fréquentes de nos
jours, que le but soit le simple vandalisme ou bien encore, de façon plus élaborée, un
but économique (vol ou altération de données dans le but d'en retirer de l'argent). Le
législateur marocain a prévu des incriminations de ces délits dans le cadre de la loi
n°07-03,
 Les atteintes au fonctionnement d'un STAD
L'atteinte au fonctionnement d'un STAD peut être constitué de manières très

diverses, par tout comportement ou toute action qui va entraîner temporairement ou de
manière permanente une gêne dans le fonctionnement du système, une dégradation du
système voire le rendre totalement inutilisable. L'article 607-5 du Code pénal, inséré
en vertu de la loi n°07-03, dispose que «Le fait d'entraver ou de fausser
intentionnellement le fonctionnement d'un système de traitement automatisé des
données est puni d'un an à trois ans D'emprisonnement et de 10.000 à 200.000 dirhams
d'amende ou de l'une de ces deux peines seulement ».
A la lecture de l'article 607-5, il ressort que l'élément matériel d'une atteinte

portée à un STAD lui-même et non pas à ses données peut provenir de l'entrave ou du
faussement de ce dernier. L'exemple le plus connu de ce délit est l'attaque par déni de
service. Au-delà de ces attaques sophistiquées, la jurisprudence française 'a retenu que
le fait pour un employé de changer les mots de passes d'accès à un système dans le but
de la rendre inutilisable pouvait l'exposer aux peines prévues pour l'entrave, à contrario
si le refus de communiquer les mots de passe n'empêche pas le bon fonctionnement du
système le délit n'est pas Constitué.
Alors que l'entrave a pour finalité de perturber le fonctionnement du système, le

faussement pour sa part consiste à faire produire au système un résultat différent de
celui qui était attendu. Il peut suffire de bloquer l'appel d'un programme, d'un fichier
ou encore d'altérer l'un des éléments du système. Le plus courant étant le cas d'une
attaque virale classique. Bien évidemment, pour que l'atteinte au fonctionnement d'un
STAD soit retenue, l'auteur doit avoir conscience que ses actes vont dégrader les
performances d'un système voire le rendre inopérant. Ainsi, lorsqu'un individu pénètre
dans un système informatique sans rien faire d'autre, nous parlerons alors d'accès et de
maintien frauduleux et non de l'entrave.
 Les atteintes aux données
L'article 607-6 du code pénal dispose que «Le fait d'introduire frauduleusement
des données dans un système de traitement automatisé ou de détériorer ou de
supprimer ou de modifier frauduleusement les données qu'il contient est puni d'un an à
trois ans d'emprisonnement et de 10.000 à 200.000 dirhams d'amende ou de l'une de
ces deux peines seulement ».
En réalité, toute manipulation de données, qu'il s'agisse de les introduire, de les

supprimer, de les modifier ou de les maquiller, provoque, en toutes circonstances, une
altération du système. Le fait de modifier les tables d'une base de données, de
déréférencer l'adresse d'un serveur Web dans les moteurs de recherche, ou encore, de
défacer un site web pour y insérer une image indécente, constituent autant d'atteintes
visées par le texte.
Enfin, il convient de signaler que pour tous ces délits, que ce soit pour les
intrusions (accès et atteinte frauduleux au STAD) et pour les atteintes (atteintes au
fonctionnement et atteintes aux données d'un STAD), la tentative est punie des mêmes
peines. En effet, l'article 607-8 du code pénal dispose « La tentative des délits prévus
par les articles 607-3 à 607-7 ci-dessus et par l'article 607-10 ci-après est punie des
mêmes peines que le délit lui-même »4.
2- La loi n°09-08 relative à la protection des personnes Physiques à l'égard du

traitement des données à caractère Personnel.
Inspirée de la célèbre loi française Informatique et Libertés, la loi n° 09-08

relative à la protection des personnes physiques à l'égard des traitements des données à
caractère personnel a été publiée au Bulletin Officiel n° 5744 du 18 juin 2009, après
avoir été promulguée par le Décret n° 2-09-165, en date du 21 mai 2009. Elle introduit,
pour la première fois, dans le paysage juridique marocain, un ensemble de dispositions
légales harmonisées avec le droit européen et, notamment, avec la Directive
Communautaire n° 95/46.
La loi prévoit, des clauses relatives aux objectifs, champ d'application et au

référentiel du concept de protection des données personnelles, des dispositions portant
sur les conditions du traitement de cette catégorie de données, les droits de la personne
concernée et obligations du responsable du traitement, et la création d'une commission
de contrôle de la protection de cette catégorie de données5.
1. La nature des données à protéger :
4
- El azzoui ali la cybercriminalité au Maroc, bishops solution 2010, PAGE 118.
5
- El azzoui ali la cybercriminalité au Maroc, bishops solution 2010, P 125.
La loi n° 09-08 s'applique au traitement des données à caractère personnel, sous
quelque forme que ce soit relatives à une personne physique identifiée ou identifiable.
Le nom, prénom, adresse, courriel, photographie d'identité, numéro d'identification,
empreintes digitales constituent par exemple des données à caractère personnel. Dans
cette optique peut-on considérer une adresse IP comme une donnée à caractère
personnel et par conséquent tombe sous la protection de la loi n°09-08. Compte tenu
du fait que la loi marocaine n'est qu'une reproduction de la loi française, il apparaît
opportun d'apporter les précisions émises par la jurisprudence française concernant
l'adresse IP.
Le traitement qui fait l'objet de la protection des données à caractère personnel

concerne toute opération ou tout ensemble d'opérations portant sur des données à
caractère personnel réalisés ou non par le biais de procédés automatisés. Il s'agit
notamment de la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation
ou la modification, l'extraction, la consultation, l'utilisation, la communication par
transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement
ou l'interconnexion, ainsi que le Verrouillage, l'effacement ou la destruction.
Rappelons, par ailleurs, qu'une seule de ces opérations suffit à constituer un traitement
de données à caractère personnel qui sera soumis aux dispositions de la loi n°09-08. Le
simple fait de collecter les données, sans même les communiquer ou les diffuser, suffit
à caractériser un traitement.
Il convient de souligner par ailleurs que les implications de cette nouvelle loi
concernent non seulement les entreprises et les citoyens établis sur le territoire
marocain mais aussi toutes les entreprises étrangères qui entretiennent des relations
d'affaires avec leurs homologues marocaines ou qui échangent des données avec leurs
filiales ou leurs maisons mères marocaines, tout en utilisant des moyens situés sur le
territoire marocain. Toutefois, le champ d'application de cette loi exclut les données
relatives à l'exercice d'activités personnelles ou ménagères, celles obtenues au service
de la Défense nationale et de la Sûreté intérieure et extérieure de l'Etat, ou encore
celles obtenue dans le cadre du traitement effectué en application d'une législation
particulière6.
2. Les droits de la personne concernée :
Chaque traitement de données à caractère personnel, ou son transfert à des tiers,

nécessite en principe, pour être effectué, le consentement indubitable de la personne
concernée par ledit traitement ou ledit transfert. Toutefois, ledit consentement n'est pas
requis dans certains cas, notamment pour le respect d'une obligation légale, la
sauvegarde d'intérêts vitaux ou l'exécution d'une mission d'intérêt public ou relevant de
l'exercice de l'autorité publiquez. Les personnes physiques disposent au titre des
articles 5 et suivants de la loi précitée de quatre types de droits.
 Le droit à l'information
Ce droit de regard sur ses propres données personnelles vise aussi bien la
collecte des informations que leur utilisation. Ce droit d'être informé est essentiel car il
conditionnel 'exercice des autres droits tels que le droit d'accès ou le droit d'opposition.
Ainsi, Toute personne sollicitée en vue d'une collecte de ses données personnelles, doit
être préalablement informée par le responsable du traitement de celles-ci ou son
représentant d'un certain nombre d'éléments dont principalement les finalités du
traitement auquel les données sont destinées.
 Le droit d'accès
Autre le droit à l'information, la loi précitée donne le droit à la personne

concernée d'être au Courant de la compilation de ses données et d'y avoir accès pour
s'assurer de leur véracité et si elles font l'objet d'un usage sain. L'accès peut se faire à
intervalles raisonnables sans qu'il y ait d'entrave à ce droit, c'est-à-dire sans que la
procédure d'accès soit trop lourde.
 Le droit de rectification
6
- El azzoui ali la cybercriminalité au Maroc, bishops solution 2010, P 128
Le droit de rectification constitue un complément essentiel du droit d'accès. En
effet, les personnes concernées peuvent obtenir l'actualisation, la rectification,
l'effacement ou le verrouillage des données personnelles collectées, notamment du fait
du caractère inexact ou incomplet des informations.
 Le droit d'opposition
Enfin, pour autant qu'elle justifie de motifs légitimes, la personne concernée

pourra s'opposer au traitement des données la concernant. Ainsi toute personne peut
refuser, sans avoir à se justifier, que les données qui la concernent soient utilisées à des
fins de prospection, en particulier commerciale7.
3. Les obligations du responsable du traitement :
La loi n°09-08 définit le responsable du traitement comme « la personne

physique ou morale, l'autorité publique, le service ou tout autre organisme qui, seul ou
conjointement avec d'autres, détermine les finalités et les moyens du traitement de
données à caractère personnel. Lorsque les finalités et les moyens du traitement sont
déterminés par des dispositions législatives ou réglementaires, le responsable du
traitement doit être indiqué dans la loi d'organisation et de fonctionnement ou dans le
statut de l'entité légalement ou statutairement compétente pour traiter les données à
caractère personnel en cause». Selon la nature des informations collectées, le
traitement va nécessiter soit une autorisation préalable, soit une déclaration préalable
de la part de la Commission de contrôle de la protection des données à caractère
personnel. Le responsable de traitement est tenu en outre par des obligations de
confidentialité et de sécurité des traitements et de secret Professionnel
 Déclaration préalable
Tout traitement de données personnelles doit donner lieu à une déclaration

préalable auprès de la commission nationale sauf si la loi en dispose autrement
conformément à l'article 18. Ainsi constitue bien une collecte de données à caractère
personnel devant donner lieu à une déclaration le fait d'identifier des adresses
7
- El azzoui ali la cybercriminalité au Maroc, bishops solution 2010, P 127.
électroniques et de les utiliser, même sans les enregistrer dans un fichier, pour adresser
à leurs titulaires des messages électroniques. La déclaration préalable comporte
l'engagement que le traitement sera effectué conformément aux dispositions de loi. La
dite déclaration a pour objet de permettre à la commission nationale d'exercer les
compétences qui lui sont dévolues et de contrôler le respect des dispositions de la loi.
Le défaut de déclaration est sanctionné par l'article 52 de la loi précitée.
 Autorisation préalable
L'autorisation préalable devra être obtenue par le responsable du traitement

lorsque ledit traitement porte sur des données dites « sensibles ». Par données
sensibles, il est entendu conformément à l'alinéa 3 de l'article premier «données à
caractère personnel qui révèlent l'origine raciale ou ethnique, les opinions politiques,
les convictions religieuses ou philosophiques ou l'appartenance syndicale de la
personne concernée ou qui sont relatives à sa santé y compris ses données génétiques».
En outre, doivent être soumises à autorisation préalable les données utilisées à d'autres
fins que celles pour lesquelles elles ont été collectées, les données relatives aux
infractions, condamnations ou mesures de sûreté, de même que les données
comportant le numéro de la carte d'identité nationale de la personne concernée.
Rappelons cependant, que conformément à l'alinéa 1 de l'article 12, des exemptions de
déclaration sont parfois possibles pour les associations ou tout autre groupement à but
non lucratif et à caractère religieux, philosophique, politique, syndical, culturel ou
sportif. Tout comme pour la déclaration préalable, le défaut de l'autorisation préalable
est sanctionné par l'article 52 de la loi précitée.
 obligation de confidentialité et de sécurité des traitements et de secret

professionnel
Autre l'obligation de procéder à une déclaration préalable ou à une autorisation

préalable, selon les cas, le responsable du traitement est tenu de prendre toutes
précautions utiles, au Regard de la nature des données et des risques présentés par le
traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles
soient déformées, en dommages, ou que des tiers non autorisés y aient accès. Cette
obligation relève de l'article 23 de la loin°09-08 et son défaut est sanctionné. Il peut
être assuré au moyen d'une sécurisation des transferts, des accès par des mots de passe
sur les postes, par l'attribution de niveau d'habilitation ou de profils d'accès variant
avec le niveau des utilisateurs. Mais la sécurité n'est jamais totale et doit être adaptée à
l'état de l'art et à l'importance des données à protéger.
Section 2: Les dispositions législatives au niveau international
La Convention de Budapest en matière de cybercriminalité
La Convention8 et son Rapport explicatif ont été adoptés par le Comité des
Ministres du Conseil de l'Europe à l'occasion de sa 109e Session, le 8 novembre 2001.
La Convention a été ouverte à la signature à Budapest, le 23 novembre 2001, à
l'occasion de la Conférence Internationale sur la Cybercriminalité.
Le texte et son rapport explicatif ne constitue pas un instrument d'interprétation

authentique du texte de la Convention, bien qu'il puisse faciliter la compréhension des
dispositions qui y sont contenues.
La Convention vise pour l'essentiel à harmoniser les éléments des infractions

ayant trait au droit pénal matériel national et les dispositions connexes en matière de
cybercriminalité, à fournir au droit pénal procédural national les pouvoirs nécessaires à
l'instruction et à la poursuite d'infractions de ce type ainsi que d'autres infractions
commises au moyen d'un système informatique ou dans le cadre desquelles des
preuves existent sous forme électronique et à mettre en place un régime rapide et
efficace de coopération internationale.
La Convention comprend donc quatre chapitres:
8
- Khalid Barko, Politique criminelle en matière de lutte contre la cybercriminalité au Maroc, 2016-
2017.
Emploi des termes; 2) Mesures à prendre au niveau national - droit matériel et
droit procédural; 3) Coopération internationale; 4) Clauses finales.
La Section 1du chapitre II (questions de droit matériel) porte sur les dispositions
relatives aux incriminations et les autres dispositions connexes applicables à la
criminalité informatique: il commence par définir 9 infractions groupées en quatre
catégories, puis traite des autres formes de responsabilité et de sanctions. La
Convention définit les infractions ci-après : accès illégal, interception illégale, atteinte
à l'intégrité des données, atteinte à l'intégrité du système, abus de dispositifs,
falsification informatique, fraude informatique, infractions se rapportant à la
pornographie enfantine et infractions liées aux atteints à la propriété intellectuelle et
aux droits connexes.
La Section 2 du chapitre II (questions de droit procédural) - dont la portée

dépasse les infractions définies à la Section 1 en ce qu'elle s'applique à toute infraction
commise au moyen d'un système informatique ou dans le cadre de laquelle des preuves
existent sous forme électronique - commence par fixer les conditions et sauvegardes
communes applicables à tous les pouvoirs de procédure visés dans ce chapitre. Il
énonce ensuite les pouvoirs de procédure suivants: conservation rapide de données
stockées dans un système informatique; conservation et divulgation rapides de données
relatives au trafic, injonction de produire; perquisition et saisie de données
informatiques stockées ; collecte en temps réel des données relatives au trafic;
interception de données relatives au contenu. Le chapitre II s'achève sur des
dispositions relatives à la compétence.
Le chapitre II (articles 2 à 22) contient trois sections: droit pénal matériel

(articles 2 à 13) droit de procédure (articles 14 à 21) et compétence (article 22). Qui
constitue les mesures à prendre au niveau national9.
1- Droit pénal matériel
9
- Chapitre II de la convention de Budapest sur la cybercriminalité: adopté le 23 novembre 2001.
La section 1 de la Convention (article 2 à 13) a pour objet d'améliorer les
moyens de prévenir et de réprimer la criminalité informatique en fixant une norme
minimale commune permettant d'ériger certains actes en infractions pénales. Une
harmonisation de ce type facilite la lutte contre cette criminalité aux niveaux national
et international. La concordance entre les législations internes peut s'opposer à ce que
des actes illicites soient commis de préférence dans une Partie qui appliquait
antérieurement une norme moins stricte. De la sorte, il devient également possible de
stimuler l'échange de données d'expérience communes utiles. La coopération
internationale (en particulier l'extradition et l'entraide judiciaire) est facilitée, par
exemple en ce qui concerne la règle de la double incrimination.
La section est divisée en cinq titres. Le titre 1 englobe les infractions

informatiques les plus essentielles, à savoir les infractions contre la confidentialité,
l'intégrité et la disponibilité des données et systèmes informatiques, qui représentent
les principales menaces qui, d'après le débat conduit sur la sécurité des ordinateurs et
des données, pèsent sur les systèmes de traitement et de transmission automatisés des
données.
2- Droit procédural 10
Les articles de la présente section décrivent certaines mesures de procédure à

prendre au niveau national aux fins d'enquêtes pénales sur les infractions établies dans
la section 1, les autres infractions pénales commises au moyen d'un système
informatique et la collecte de preuves sous forme électronique concernant une
infraction pénale. En application du paragraphe 3 de l'article 39, aucune disposition de
la Convention n'oblige ou n'invite une partie à établir des pouvoirs ou des procédures
autre que ceux énoncés dans la présente Convention, ni ne l’empêche de le faire.
La convention adapte les procédures classiques telles que la perquisition et la

saisie au nouveau milieu technologique. Parallèlement, de nouvelles mesures ont été
mises en place, telles que la conservation rapide de données, de façon à s'assurer que
les procédures classiques de collecte, comme la perquisition et la saisie, demeurent
10
- Renvoi Article 13 de la convention de Budapest adopté le 23 Novembre 2001.
effectives dans un contexte technologique caractérisé par la volatilité. Les données
n'étant pas toujours statiques, mais circulant dans le cadre du processus de
communication, d'autres procédures classiques de collecte se rapportant aux
télécommunications, telles que la collecte en temps réel de données de trafic et
l'interception en temps réel des données de contenu, ont également été adaptées afin de
rendre possible la collecte de données électroniques pendant la processus de
communication lui-même. Certains de ces procédures sont énoncées dans la
Recommandation No R(95) 13 du Conseil de l'Europe relative aux problèmes de
procédure pénale liés à la technologie de l'information.
1. Conservation rapide de données stockées dans un système informatique

(article 16)11
L'article 16 vise à donner aux autorités nationales compétentes la possibilité

d'ordonner ou d'obtenir par un moyen similaire la conservation rapide de données
électroniques stockées spécifiées dans le cadre d'une enquête ou d'une procédure
pénale spécifique.
La conservation exige que les données qui existent déjà et sont stockées soient
protégées contre tout ce qui risquerait d'en modifier ou dégrader la qualité ou l'état
actuel. Elle exige que les données soient maintenues à l'abri de toute modification, de
toute détérioration ou de tout effacement.
2. Conservation et divulgation rapides de données relatives au trafic (article

17)12
Instaure des obligations spécifiques concernant la conservation des données

relatives au trafic visées à l'article 16 et prévoit la divulgation rapide de certaines
données relatives au trafic aux fins d'identification des autres fournisseurs de services
ayant participé à la transmission de communications spécifiées. Les «données relatives
au trafic » sont définies à l'article premier.
11
- Article 16 de la convention de Budapest sur la cybercriminalité, adopte le 23 Novembre 2001.
12
- Article 17 de la convention sur la cybercriminalité adopté le 23 Novembre 2001.
3. Perquisition et saisie de données informatiques stockées (article 19)13
Cet article vise à moderniser et harmoniser les législations internes concernant

la perquisition et la saisie de données informatiques stockées aux fins de recueillir des
preuves se rapportant à des enquêtes ou procédures pénales spécifiques. Toute
législation interne relative à la procédure pénale prévoit des pouvoirs de perquisition et
de saisie d'objets tangibles. Toutefois, dans plusieurs Etats, les données informatiques
stockées ne sont pas considérées en soi comme des choses tangibles et ne peuvent
donc pas être obtenues aux fins d'une enquête ou d'une procédure pénale de la même
façon que des objets tangibles, à moins d'appréhender le support sur lequel ces
données sont stockées. L'objectif de l'article 19 de la Convention est d'établir un
pouvoir équivalent relatif aux données stockées.
4. Collecte en temps réel des données relatives au trafic (article 20)14
Souvent, les données relatives au trafic initiales peuvent ne plus être disponibles
ou n'être plus utilisables parce que l'intrus a modifié le chemin de la communication. Il
s'ensuit que la collecte en temps réel de données relatives au trafic est une importante
mesure d'enquête. L'article 20 traite de la question de la collecte et de l'enregistrement
en temps réel des données relatives au trafic aux fins d'enquêtes ou de procédures
pénales spécifiques.
5. Interception de données relatives au contenu (article 21)15.
La commission de nombreuses infractions informatiques suppose la

transmission ou la communication de données, c'est le cas des communications
envoyées pour accéder de façon illicite à un système informatique ou de la diffusion de
virus informatiques. Il n'est pas possible de déterminer en temps réel la nature
préjudiciable et illégale de ces communications sans intercepter le contenu du
message. Si elles ne pouvaient pas établir et prévenir la commission d'infractions au
moment où elles ont eu lieu, les autorités chargées de l'application de la loi en seraient
13
- Article 19 de la convention sur la cybercriminalité adopté le 23 novembre 2001
14
- Article 17 de la convention sur la cybercriminalité adopté le 23 Novembre 2001.
15
- Article 21 de la Convention de Budapest sur la cybercriminalité adopte, le 23 Novembre 2001.
réduites à enquêter sur des infractions révolues, dans le cas desquelles le préjudice a
déjà été causé. On voit que l'interception en temps réel des données relatives au
contenu des communications informatiques est au moins, sinon plus importante que
l'interception en temps réel des télécommunications.
3- Compétence (article 22)16
Cet article établit une série de critères en vertu desquels les Parties contractantes
sont tenues d'établir leur compétence relativement aux infractions pénales visées aux
articles 2 à 11 de la Convention.
Les lettres b et c du paragraphe 1 s'appuient sur une variante du principe de

territorialité. Ces dispositions imposent à chaque Partie d'établir sa compétence
relativement à des infractions commises à bord de navires battant son pavillon ou
d'aéronefs immatriculés dans cette Partie.
Le paragraphe 1, lettre d s'appuie sur le principe de nationalité. La théorie de la

nationalité est le plus souvent invoquée par les Etats de tradition civiliste. Elle dispose
que les ressortissants d'un Etat sont tenus de se conformer au droit interne même
lorsqu'ils se trouvent en dehors de son territoire.
Les règles de compétence énoncées au paragraphe 1 ne sont pas exclusives. Le

paragraphe 4 de cet article autorise les parties à établir, conformément à leur droit
interne, d'autres types de compétence pénale.
16
- Article 22 de la convention sur la cybercriminalité, adopte le 23 Novembre 2001.
CHAPITRE 2 : Crime électronique, principes fondamentaux de droit
Pénal, règles Procédurales et répression, réalité et perspective future face au
phénomène de cyber criminalité.
Dans le souci d'assure une lutte optimal contre la cybercriminalité, il s'avère

nécessaire une bonne adaptation aux exigence que impose cette nouvelle criminalité
qui se développe en parallèle avec l'expansion des nouvelles technologie qui réunit
pratiquement tout les ingrédients pour réaliser la crime parfait, que se soit tout ce qui
concerne les principes fondamentaux du droit pénal ou on ce qui concerne les regels
procédural, parce que d'une cote certaines principes fondamentaux précieux au droit
pénal Marocain sont battes en branches par la cybercriminalité qui par sa nature
complexe ne peut être embobinée par ces principes.
De l'autre côté les règles procédurales tel que la perquisition, saisies tel que
réglementée par le CPP en vigueur ne cadre nullement l'environnement numérique qui
diffère du monde physique par son immatérialité et la portée de ses étendus et qui par
conséquent sont mis en mal par la cybercriminalité.
Il convient donc de procéder à une légère démonstration de l'inadéquation entre

quelques principes fondamentaux du système pénal Marocain sus énumérés et la
cybercriminalité.
Section 1 : le crime informatique face aux principes fondamentaux de droit

pénal
Le droit pénal obéit à certains principes cardinaux qui fondent son rigorisme;
parmi eux, nous pouvons inventorier les principes ci-après : la légalité criminelle ;
l'interprétation stricte de la loi pénale; l'autonomie du droit pénal ; la territorialité, la
personnalité et l'universalité de la loi pénale. A ceux-ci, nous pouvons joindre les
principes relatifs à la qualification des faits, au concours d'infractions, à la
qualification d'infraction et à la tentative punissable.
Tous les principes sus énumérés, précieux au droit pénal Marocain, sont battus
en brèche par la cybercriminalité qui, par sa nature complexe, ne peut être embobinée
par lesdits principes.
Les règles de procédure pénale relatives aux organes chargés de la répression,

aux pouvoirs et procédures reconnus aux autorités judiciaires, à la preuve, à
l'extradition et à la coopération internationale contre le crime sont mis en mal par la
cybercriminalité.
Il convient donc de procéder à une légère démonstration de l'inadéquation entre

quelques principes fondamentaux du système pénal Marocain sus énumérés et la
cybercriminalité.
1- Le principe de la légalité criminelle face à la criminalité électronique :
Traduit du latin « nullum crimen, nulla poena sine lege » (pas de crime, ni de
peine sans loi), le principe de la légalité des délits et des peines, dispose qu'on ne peut
être condamné pénalement qu'en vertu d'un texte pénal, précis et clair. En d'autres
termes, un acte ne peut être considéré comme infractionnel que s'il était déjà prévu et
qualifié comme tel par le code pénal antérieurement à son exécution. Ainsi donc, une
action ou une abstention, si préjudiciable soit-elle à l'ordre public, ne peut être
sanctionné par le juge que lorsque le législateur l'a visée dans un texte et interdite sous
la menace d'une peine.
Le principe de la légalité criminelle, consacré par des instruments juridiques

internationaux, a été transposé dans l'ordre normatif marocain, notamment dans la
constitution et dans le code pénal. Il constitue un rempart contre l'arbitraire des acteurs
judiciaires et garantit une justice équitable.
La quasi-majorité d'inconduites naissantes de la cybercriminalité, c'est-à-dire

celles qui sont liées à l'essence même des NTIC, restent méconnues de notre arsenal
juridique pénal. Logiquement, ces crimes échapperaient à toute poursuite judiciaire
parce qu'elles ne sont pas encore érigées en infractions ! Cette anachronisme
substantiel du droit pénal face à l'évolution des NTIC et des dangers y afférents, est de
nature à cautionner l'impunité, car qu'on se le dise, la cybercriminalité est déjà une
réalité au Maroc. Une adaptation du code pénal Marocain s'avère fortement nécessaire
et impérieuse
2- Le principe de la territorialité de la loi pénale et le crime électronique :
Le système de droit pénal se fonde sur l'idée de la souveraineté nationale, de

sorte que la portée, directe des décisions judiciaires qu'il génère soit limitée au
territoire national
Le principe de la territorialité de la loi pénale dispose que celle-ci ne peut

s'appliquer que dans les limites du territoire national de l'Etat auquel elle appartient,
c'est-à-dire de l'Etat qui a édicté cette loi.
Néanmoins, Internet est un media véritablement universel. Les aspects

géographiques (tels que l'emplacement où l'information est physiquement stockée)
revêtent une importance mineure. Les données transférées transitent par différents pays
et régions en ignorant les frontières et les lignes de démarcation.
Dès lors, un questionnement suscite une attention particulière : sur base du

principe de la territorialité, quelle suite le Droit pénal marocain réserverait-il à un sujet
étranger résidant dans son pays, qui, par le moyen d'Internet, escroquerait à partir de là
un sujet marocain résidant au Maroc au moment de faits, une somme colossale d'argent
transférée via une compagnie de transfert de fonds; magot transféré en échange d'un
service prétendument légitime ? Quoi qu'il en soit, dans cette hypothèse, il me semble
que le code pénal n'a pas prévu de solution.
3- Le principe de la légalité de la preuve en droit pénal et le crime

électronique :
Selon une expression de Merle et Vitu, La preuve a, en droit criminel, «une

importance fondamentale, c'est autour d'elle que la procédure pénale gravite». La
preuve a pour objet la commission d'une infraction. A cet effet, il s'agit de rassembler
les preuves de l'infraction et d'en rechercher le ou les auteurs. Cette infraction doit être
prouvée dans tous ses éléments constitutifs : matériel, moral et légal.
Dans une procédure pénale, les auteurs d'une infraction doivent être identifiés et
des solides preuves de leur culpabilité doivent être produites.
Ces exigences compliquent les poursuites intentées contre les auteurs des délits
informatiques commis à l'aide de réseaux dans la mesure où l'Internet est difficile à
contrôler et garantit, du moins aux utilisateurs avertis, un niveau élevé d'anonymat.
Les réseaux informatiques internationaux (dotés de relais de messagerie anonymes ou
de dispositifs d'accès libre aux fournisseurs d'accès Internet) assurent aux
contrevenants un anonymat qui ne pourra être levé que si tous les pays que la
communication traverse décident de coopérer.
Le principe est celui de la légalité et de la hiérarchisation de la preuve. Les

modes de preuve sont énumérés d'une manière précise, il s'agit de : la preuve littérale,
la preuve testimoniale, les présomptions, les aveux des parties, et les serments.
Par ailleurs, S'agissant de la preuve en matière pénale, elle est, pour l'essentiel,
fondée sur la jurisprudence faisant application des principes généraux du droit. Sans
doute, qu'il est malséant dans un droit qui se veut légaliste de recourir aux principes
généraux pour suppléer à l'absence de dispositions législatives, lorsque le législateur a
omis de traiter une matière, non pour laisser libre jeu à l'interprète, mais au contraire
pour écarter délibérément cette matière de son droit.
Avec la dématérialisation de l'écrit par Internet qui a apporté des supports

intangibles, il y a une certaine dématérialisation de la preuve devenue électronique, la
notion de preuve implique une d'élaboration et des nouveaux effets juridiques. La
signature électronique, en tant que preuve, elle devra juridiquement être définie pour
permettre au juge et aux parties de s'en servir dans un procés mettant en évidence une
inconduite perpétrée via ou contre des réseaux informatiques en générale et Internet en
particulier.
Toutefois, le législateur marocain à donné une solution à ce problème en
matière civile par la loi n° 53-05 relative à l'échange électronique des données
juridiques et complétant le D.O.C marocain, ainsi, l'article 417-1 de ladite loi stipule
que « l'écrit sur support électronique a la même force probante que l'écrit sur support
papier.. ». Reste à savoir est ce que la liberté de la preuve en matière pénal permet aux
juges de prendre en considération les preuves électroniques.
En effet, outre des dispositions de fond ou de procédure en droit pénal, les

instances de répression doivent disposer des mécanismes et instruments nécessaires
pour instruire les affaires de cybercriminalité. Ce type d'instruction présente plusieurs
difficultés. D'une part, les auteurs de ces infractions peuvent agir à partir de n'importe
quel endroit sur la planète tout en masquant leur identité. Les mécanismes et les
instruments nécessaires pour instruire ce type d'affaire peuvent donc être assez
différents de ceux utilisés pour enquêter sur les infractions classiques. D'autre part, du
fait de la dimension internationale de la cybercriminalité, le cadre juridique national
doit permettre la coopération avec les agences de répression étrangères17.
Section 2: Règles pénales procédurales relatives aux délits informatiques
Anonymat, volatilité des preuves, absence de frontières, contrôle limité par les
autorités, le cyberespace «réunit pratiquement tous les ingrédients pour réaliser le
crime parfait». En outre, la menace en matière de cyber sécurité est liée au
développement inévitable des réseaux numériques. Et Ces derniers sont très
vulnérables face aux interceptions de communications privées et les captations de
données informatiques. En plus, les perquisitions et les saisies, telles que réglementées
par le code de procédure pénale (CPP) en vigueur, ne peuvent appréhender
correctement de tels éléments de preuves. Les dispositions en vigueur élaborées avant
la prolifération des délits informatiques, ne cadrent nullement l'environnement
numérique qui diffère du monde physique par son immatérialité et la portée de ses
étendus.
17
- MASLHA Mohamed professeure a la faculté de droit de Mohammedia, KHALID EN-NASHI
étudiant chercheure au centre d'études doctorales à la faculté de droit de Mohammedia «le crime
électronique face aux principes fondamentaux de droit pénal » revue al manara par les études juridique
et administratives. 13 mai 2020.
En outre, les éléments de preuves dans l'environnement numérique nécessitent
des compétences particulières et adaptées à cet environnement caractérisé par le risque
émanent de la volatilité des éléments de preuves, et qui nécessitent des dispositifs
d'investigation spécialisés.
1- Inadaptation du droit procédural à l'environnement numérique.
Le législateur marocain autorise un large éventail de méthodes d'investigation,

et prévoit le recours à des instruments d'enquête tels que l'interception des
communications, la perquisition et la saisie18.
1. La perquisition
La perquisition est une mesure d'enquête qui consiste à rechercher tous papiers,
effets ou objets pouvant servir à la manifestation de la vérité. Pourtant, cette définition
suscite des observations en ce qui concerne des données se trouvant sur des supports
numériques, D'autant plus que les données informatiques ne sont pas tangibles et la
perquisition au sens de l'article 59 de CPP marocain ne vise que des choses tangibles.
Pour pallier à ceci, le projet de réforme de CPP cite données informatiques parmi les
éléments pouvant faire objet de perquisition. D'un autre côté, la perquisition peut être
effectuée en tous lieux, notamment dans l'espace numérique. Or pour constater des
infractions informatiques, la recherche doit pouvoir s'étendre à des informations et des
systèmes situés ailleurs et en dehors du lieu de perquisition. On peut penser à se
procurer un mandat général permettant de perquisitionner en tout lieu du pays si les
données s'y trouvent. Mais cette solution soulève certains questions auxquelles il
faudra apporter de réponses (partie chargée de livrer le mandat, portées des
compétences, principe de territorialité). En plus, ceci risque de laisser entendre qu'un
système informatique est un lieu au sens physique, alors que le cloud computing
s'impose de plus en plus. Pour cela, la loi doit prévoir de manière explicite une sorte de
perquisition « numérique ».
18
2017.
La perquisition numérique ou cyber perquisition est une analyse «inforensique»
des supports informatiques qui peut s'opérer à distance sur le système informatique
compromis. Elle doit pouvoir s'effectuer à partir du poste de l'officier de police
judiciaire ou du juge d'instruction. Ainsi ils peuvent fouiller un système et les données
qu'il contient, ou même lire les frappes clavier en temps réel par des logiciels «
d'écoute ». Ainsi, la perquisition numérique englobe aussi bien l'accès distant à des
données informatiques que leur captation.
Par ailleurs, les règles du procès équitable exigent que la perquisition soit
restrictive, limitée et non abusive. En effets, la perquisition au domicile d'une personne
est limitée dans le temps. Elle doit en principe être effectuée de jour et en présence de
la personne chez laquelle elle a lieu. Peut-on alors considérer l'espace numérique
comme un domicile auquel on peut étendre les limites prévues par le CPP?
Plusieurs législateurs ont adapté leur droit procédural et intégré des dispositions
régissant la perquisition numérique de manière à ne pas porter atteinte aux droits de la
défense, ou soulever de contestation. Ainsi, le législateur belge permet au juge
d'instruction d'ordonner « une recherche dans un système informatique ou une partie
de celle-ci dans le cadre d'une perquisition»19. Le législateur français, quant à lui,
souligne la possibilité « d'accéder par un système informatique implanté sur les lieux
où se déroule la perquisition à des données intéressant l'enquête en cours et stockées
dans ledit système ou dans un autre système informatique, dès lors que ces données
sont accessible à partir du système initial ou disponibles pour le système initial»20.
La perquisition numérique suscite également un ensemble de questions sur les

données cryptées. Faut-il forcer le suspect à décrypter les données ou à délivrer la clé
de leur déchiffrement sous peine de sanctions pénales? Faut-il en cas du refus ou
d'indisponibilité du suspect recourir à des dispositifs technologiques pour « casser » le
cryptage des données? En France, l'article 230-1 du CPP réglemente la procédure de
déchiffrement appliqué aux données collectées dans le cadre de perquisitions, saisies
19
2017.
20
2017.
ou des interceptions judiciaires. Il permet également de désigner un tiers qualifié «en
vue d'effectuer les opérations techniques permettant d'obtenir la version en clair de ces
informations ainsi que, dans le cas où un moyen de cryptologie a été utilisé, la
convention secrète de chiffrement, si cela apparaît nécessaire».
2. La saisie
Quant à la saisie, elle consiste à mettre à la disposition de l'autorité judiciaire

tous biens ou documents susceptibles de concourir à la manifestation de la vérité, et
empêcher la destruction d'éléments de preuve. Elle s'opère ainsi sur des documents ou
objets. De ce fait, et à moins de considérer que les données informatiques constituent
un « document » pouvant être saisi21, on saisit le support informatique en entier lors
des enquêtes. Les arrêts de la cour d'appel de Rabat en témoignent. En effet, le CPP
n’autorise pas la saisie des données informatiques immatérielles, intangibles sans saisir
le matériel informatique. Ce qui cause préjudice tant pour les chargés de la
perquisition que pour les personnes sujets de cette perquisition. Pour cela, certains
législateurs ont permet de ne saisir que les données stockées sur un support
électronique sans saisir ce dernier, en autorisant leur copie. Cette dernière peut être
accompagnée de mesures complémentaires nécessaires à la poursuite de l'affaire telles
la décision d'effacer les données comme procède le législateur français, ou de les
rendre inaccessibles comme choisi par le législateur belge. Ce dernier prévoit par
l'article 39 bis du CIC la possibilité de l'inaccessibilité des données. Alors que les
articles 56 al. 6 et 97 al. 4 du CPP français permettent l'effacement définitif de
certaines données informatiques après les avoir préalablement copié. Ce sont les
données dont la détention ou l'usage est illégal ou dangereux pour la sécurité des
personnes et des biens.
La position du législateur Marocain en ce sens est différente. En effet, l'article

59 du Projet de CPP permet aux autorités compétentes d’ordonner « la suppression
définitive de la copie originale du support matériel qui n'as pas été mis à la disposition
du tribunal après en avoir pris une copie, lorsque sa possession ou son utilisation est
21
2017.
illégale, lorsqu'il constitue une menace sur la sûreté des individus ou des biens ou
lorsqu'il est contraire à la moralité publique». Mais la suppression des données peut
avoir des conséquences dommageables, et ne doit être faite qu'après décision du juge
du fond. C'est pourquoi le fait de les rendre inaccessibles semble plus prudent, en
raison de son caractère réversible. La copie peut également être faite pour éviter
l'altération de «l'original » des données copiées, ou éviter le risque de les endommager.
Ainsi, elles peuvent ne plus servir à titre probatoire. L'avocat de la défense pourra
rejeter les conclusions tirées à partir de ces données saisies. Le second point que le
Maroc est interpellé à régir pour adapter son code de 33 -60% procédure pénale au
monde numérique est la captation ou « l'écoute informatique » et la conservation des
données informatiques22.
La captation des données est une enquête à distance entamée pour lutter contre
la délinquance économique, technique et informatique. Elle consiste à introduire des
dispositifs techniques ou des logiciels pour capter les données informatiques en liaison
avec une infraction. Il s'agit de capter en temps réel les données à l'intérieur d'un
système d'information, que celui-ci se trouve dans des entreprises ou dans des
domiciles privés, sans le consentement des intéressés. D'un point de vue juridique,
l'opération doit se dérouler sous le contrôle des juges. En effet, lorsque une
information concernant un crime ou un délit le nécessite, il sera possible sous une
autorisation particulière de mettre des systèmes d'informations sous écoute, de telle
manière à pouvoir suivre toutes les opérations effectuées par le cyber délinquant, allant
de ce qui se tape sur son clavier, aux informations auxquelles il accède et s'affichent à
l'écran, et les opérations qu'il réalise. Certains parlent de programmes espions. Mais
force est de constater que leur légalité leur enlève le caractère d'espionnage.
La captation des données peut être opérée lors d'une infraction de type
informatique, même celle qui se commette par des supports informatiques. Les risques
en matière de liberté sont ainsi immédiats. Pour cela, le législateur doit instaurer des
limites contre l'abus d'utilisation de ces dispositifs de captation. D'un point de vue du
droit comparé, le législateur français a décidé de mettre trois limites : sont concernées
22
2017.
seulement certaines infractions parmi les plus graves, une motivation de l'action, et une
limite en termes de temps.
Or l'efficacité des dispositifs de captation est tributaire au fait qu'ils ne soient

pas découverts et neutralisés. Ce qui risque de poser problème quand les investigations
concernent des entreprises. En effet, généralement les entreprises mettent en place des
logiciels de protection de leur système informatique contre les intrusions. Ce qui peut
limiter ou bloquer les logiciels de captation mis en place par l'autorité judiciaire
comme s'il était un virus ou cheval de Troie. Faut-il la considérer alors comme entrave
à l'enquête ou obstacle à la manifestation de la vérité sanctionné pénalement par le
C.P?
2- Inadaptation du droit positif de la preuve23
Le nombre de délits s'est multiplié de manière exponentielle, menaçant ainsi

autant les intervenants que les transactions. Toutefois, le nombre de condamnations
prononcées est faible au regard des milliers d'attaques annuelles. Force est de
reconnaitre alors que sur le plan juridique, l'administration de la preuve, la localisation
des actes dans le temps et l'espace, l'identificateur du fraudeur, sont autant de
difficultés qui entravent la répression de la fraude informatique.
Au Maroc, la preuve en matière pénale est libre selon l'article 286 du CPP: «
Les infractions peuvent être établies par tout mode de preuves, hors le cas où la loi en
dispose autrement, et le juge décide d'après son intime conviction ». Ainsi, on pourra
rapporter devant le juge la preuve de l'élément matériel de l'infraction constatée « par
tout mode ». A cet effet, les données enregistrées sur un système sont bien recevables
devant la justice. Il reste pour le juge à apprécier la recevabilité des preuves fournies et
à déterminer leur force probante.
Un preuve numérique «est une modalité particulière d'établissement de la vérité

qui consiste à avoir recours à des moyens numériques variés qui vont de l'étude des
contenus dans la mémoire d'un disque dur, aux messages électroniques, en passant par
23
2017.
l'enregistrement numérique». Elle est caractérisée par sa volatilité due principalement
à son immatérialité. Elle peut être facilement altérée, déplacée ou effacée, et doit par
conséquent être préservée rapidement.
Sur le plan pratique, l'environnement numérique souffre de la difficulté

d'administrer la preuve du délit, surtout qu'elle est caractérisée généralement par le fait
qu'elle ne se trouve pas à l'endroit où l'on découvre l'infraction. En effet, la preuve peut
se trouver dans un appareil numérique perquisitionné et analysé, ou chez des
fournisseurs d'accès sous forme de logs de connexion, ou chez des prestataires
techniques détenant les données de trafic. Mais force est de constater que si les
investigateurs parviennent assez facilement à identifier des adresses IP, celles-ci
peuvent ne pas correspondre aux auteurs, nécessitant ainsi d'autres méthodes
d'investigation telle l'infiltration numérique ou l'expertise des matériels informatiques.
Cette dernière doit être réalisée en assurant aux investigateurs l'authenticité des
données qui ont été récupérées, et la conservation de l'intégrité de la preuve numérique
en question. Ainsi, avant de manipuler un support informatique, ils doivent calculer
«l'empreinte numérique» sur l'intégralité des données qui s'y trouvent à l'aide d'un
algorithme mathématique de «hash ».
Le problème de fiabilité des preuves se pose également pour les messages

électroniques car le système d'échanges de courriers s'appuie sur le protocole SMTP
qui n'est pas fiable. La faille de ce protocole permet facilement à une personne de se
faire passer pour quelqu'un d'autre. Le problème se pose également pour les SMS qui
peuvent être falsifiés.
Toutes ces évolutions de la preuve numérique créent des défis techniques aux
enquêteurs. En premier lieu, il leur faut garantir la chaîne de la preuve. Ainsi, il leur
faut d'abord tenir compte de l'environnement initial des éléments de preuve et effectuer
éventuellement la copie d'une «image » reprenant l'intégralité des données contenues
sur le disque dur ainsi que des données de contrôle, les systèmes de fichiers, les traces
de fichiers et répertoires. Le second défi est l'interprétation des données informatiques
collectées à partir des éléments de preuve. Il s'agit de présenter les faits en plaçant les
informations cueillies dans leur contexte, tout en respectant les conditions nécessaires
à une interprétation fiable que sont l'authenticité, l'intégrité et la traçabilité.
Par ailleurs, les spécificités du monde numérique rendent difficiles la preuve de

l'infraction et l'identification de son auteur. La difficulté réside dans la localisation du
cyber-délinquant et l'imputabilité de l'infraction.
Pour localiser l'auteur d'une infraction informatique, on recourt généralement à

l'adresse (IP). C'est un numéro d'identification attribué de façon permanente ou
temporaire à une machine connectée à un réseau informatique. Elle est à la base du
système d'acheminement des messages sur Internet. Chaque paquet transmis par le
protocole IP contient l'adresse IP de l'émetteur et celle du destinataire. Ainsi pour
localiser une adresse précise, on analyse les informations contenues dans les paquets
émis par le fraudeur et reçus par le fournisseur d'accès ou le site web.
Mais la localisation d'un fraudeur est limitée par des imprécisions résultant
principalement des adresses IP non fixes et attribuées par les fournisseurs d'accès
d’internet, ou de certains proxys qu'ils utilisent 24. En plus, il est très difficile d'établir
un lien entre la localisation de la machine responsable de l'infraction, et l'identité de la
personne à laquelle le fait incriminé est imputable, c'est-à-dire assurer de rattacher
l'infraction au compte de l'auteur de l'infraction. A cet égard, plusieurs cas de figures
se présentent:
Le premier scénario est que si dans plusieurs cas on arrive à identifier l'origine
de l'infraction, on ne pourrait s'empêcher de se demander si cette origine n'est pas elle-
même victine. D'ailleurs plusieurs types d'attaques commises par les cybers-
délinquants laissent à méditer sur ce point. En premier lieu l'usurpation d'adresse IP ou
l'IP spoofing. C'est une technique qui consiste à utiliser l'adresse IP d'une autre
machine pour en usurper l'identité. Le fraudeur peut ainsi accéder à un réseau sécurisé
sous couvert de l'identité d'un autre. Techniquement parlant, on ne changea pas
l'adresse IP, mais on crée des paquets IP en remplaçant l'adresse IP de l'expéditeur
24
-"Lorsque l'internaute utilise un serveur proxy lors de sa connexion à internet, son adresse IP est
dissimulée par l'adresse du serveur proxy.
contenue dans l'entête des paquets par une adresse IP appartenant à quelqu'un d'autre.
Le fraudeur peut ainsi injecter des données malicieuses dans le Stream des données
existant tout en falsifiant la source de l'attaque pour éviter de localiser sa provenance.
Il peut également rediriger les paquets du réseau vers sa machine en profitant d'une
relation de confiance entre deux machines pour prendre la main sur l'une des deux.
Le second scénario concerne le vol des mots de passes. En effet, certaines

ressources sont protégées par des mots de passe. Mais ce derniers risquent d'être volé
(deviné, craqué, copié, par escroquerie, par les sniffers permettant au fraudeur
d'accéder sans droit à ces ressources. Mais l'usage qu'il peut en faire est imputé au
propriétaire du mot de passe.
Le troisième scenario concerne imputabilité des personnes morales où il est

nécessaire d'établir l'élément moral de l'infraction auchargé de l'organe ou du
représentant avant d'engager la responsabilité de la personne morale. De ce fait, les
dirigeants d'entreprise ne peuvent s'exonérer de la responsabilité résultant des actes
commis par des préposés qu'en rapportant la preuve d'une Délégation de pouvoir. Mais
en réalité, les aléas de la preuve en matière d'infraction informatique limitent ceci en
raison de la difficulté particulière posée par la nature de ces infractions. Les dirigeants
restent néanmoins responsables de leur propre faute.
En outre, la traçabilité devient de plus en plus difficile du fait des outils de

cryptologie permettant de chiffrer les données, celle-ci utilisés par les fraudeurs sont
parfois très difficiles à casser et extrêmement complexes. A cela s'ajoute la limite de
conservation des données qui n'est pas imposée dans plusieurs pays. Rendant difficile
la traçabilité des preuves et l'indentification des fraudeurs. A cet effet, le responsable
du système informatique doit s'assurer de conserver les données non pas en local où ils
risquent d'être altérés par des cyber-délinquants, mais sur un système tiers en
redirigent la sauvegarde vers une machine distante via le réseau, bien que si les cyber-
délinquants sont experts ils peuvent en détourner ceci.
Section 3: la répression des délits et crimes informatique :

La répression des délits et crimes informatique au Maroc se résume dans la loi
No: 07-03 relatives aux systèmes de traitement automatisé des données, du chapitre X
du code pénal qui comprend les Articles 607-3 au Article 607-11.
La dite loi organise des sanctions aux nombreux agissements frauduleux

imputable à l'informatique. Les plus importantes incriminations contenues dans cette
loi sont comme suite : les intrusions qui comprennent aussi bien l'accès et le maintien
frauduleux que les atteintes à savoir les atteintes au fonctionnement et les atteintes aux
données.
1- Les dispositions du code pénal:
1. Les intrusions:
1-1 l'accès frauduleux:
L'article 607-325 du Code pénal, inséré en vertu de la loin° 07-03, dispose : «Le
fait d'accéder, frauduleusement, dans tout ou partie d'un système de traitement
automatisé de données est puni d'un mois à trois mois d'emprisonnement et de 2.000 à
10.000 dirhams ou de l'une de ces deux peines seulement.
Est passible de la même peine toute personne qui se maintient dans tout ou
partie d'un système de traitement automatisé de données auquel elle a accédé par
erreur et alors qu'elle n'en a pas le droit».
Concernant la formule employée par l'article précité, en l'occurrence «tout ou

partie d'un système». Le législateur visait, par l'emploi de la formule précitée, un
logiciel considéré isolément. Par conséquent, ne peut être sanctionnée une atteinte à
des éléments informatiques non intégrés à un système.
Du point de vue de l'élément matériel, l'idée d'accès indu renvoie à toute

pénétration dans un système.
1-2 le maintien frauduleux :

25
2017.
Pour ce qui est du maintien dans le système informatique, certains auteurs 26 le
définissent comme étant «les états de situations anormales telles que connexion,
visualisation ou opération multiple, alors que l'accédant a pris conscience que ce
maintien est anormal».
Le maintien est donc la suite naturelle de l'accès. Il suppose, au-delà de l'instant

de raison qui fait basculer dans le système, une certaine durée.
Le maintien se distingue donc de l'accès par le fait qu'il est réalisé dès lors qu'un
individu non habilité, qui s'est introduit par hasard ou par erreur dans le système, reste
sciemment branché au lieu de se déconnecter immédiatement.
L'accès, en revanche, constitue l'étape préalable, c'est-à-dire celle qui consiste à

s'introduire dans le système. « Le maintien dans un système de traitement automatisé
de données est donc un délit d'abstention tandis que l'accès est un délit d'action ».
En revanche, tout comme l'accès, le maintien n'est punissable que parce qu'il est
frauduleux. Il suffit que l'intrusion aille à l'encontre de la volonté du maître du système
«et il n'est nullement nécessaire qu'une captation de données informatiques soit
réalisée».
Quant à l'élément international de cette infraction, la doctrine el la jurisprudence

s'accordent à admettre que l'adverbe "frauduleusement" n'est pas e dol général de
l'attitude volontaire, ni le dol très spécial de l'intention de nuire, mais la conscience
chez le délinquant que l'accès ou le maintien ne lui était pas autorisé. Cette précision
vise le cas du fraudeur habilité à accéder à une partie non autorisée d'un système de
traitement automatisé de données, s'y maintient en connaissance de cause, et au cas du
fraudeur qui ayant eu par hasard accès à un système fermé, s'y maintient
volontairement tout en sachant qu'il n'y a pas de droit27.
2. Les atteintes:
26
2017.
27
2017.
Le bien immatériel, comme vecteur d'information, peut être pris pour cible, le
fonctionnement du système risque également d'être entravé ou faussé. Aussi, le
législateur a-t-il prévu des incriminations supplémentaires, assorties de peines plus
fortes, pour le délinquant qui ne se sera pas contenté de pénétrer dans le système mais
qui en aura altéré le fonctionnement ou aura porté atteinte aux données qu'il contient.
1. Les atteintes au fonctionnement :
L'article 607-528 du Code pénal, inséré par la loi n° 07-03, dispose que «le fait
d'entraver ou de fausser intentionnellement le fonctionnement d'un système de
traitement automatisé de données est puni d'un an à trois ans d'emprisonnement et de
10.000 à 200.000 dirhams d'amende ou de l'une de ces deux peines seulement»
Aux termes donc de l'article précité, les atteintes au fonctionnement consistent

dans le fait d'entraver ou de fausser le système.
L'entrave est définie par certains auteurs comme étant l'acte visant à «empêcher
le fonctionnement logiciel ou matériel du système en provoquant une paralysie
partielle ou totale, progressive ou instantanée, temporaire ou définitive, ponctuelle ou
permanente et enfin simple ou récurrente de celui-ci»29.
Le fonctionnement pourrait également être faussé. Il convient donc de définir ce

que le législateur entend par l'emploi du verbe « fausser ».
« Fausser », c'est plus positivement faire produire au système un résultat autre

que celui attendu, l'infléchir, le gauchir par rapport à ce qu'il aurait dû être.
A la lecture de l'article 607-5, il ressort que l'élément matériel d'une atteinte

portée à un STAD lui-même et non pas à ses données peut provenir de l'entrave ou du
faussement de ce dernier.
2. Les atteintes aux données:
28
- L'article 607-5 du code pénal de la loi n° 03.07 précité.
29
2017.
L'article 607-630 du code pénal dispose que « le fait d'introduire
frauduleusement des données dans un système de traitement automatisé des données
ou de détériorer ou de supprimer ou de modifier frauduleusement les données qu'il
contient, leur mode de traitement ou de transmission, est puni d'un an à trois ans
d'emprisonnement et de 10.000 à 200.000 dirhams d'amende ou de l'une de ces deux
peines seulement».
La sanction de la suppression et de la modification des données ayant déjà été

prévue par l'article 607-3, le fait de prévoir des sanctions plus lourdes pour les mêmes
faits peut sembler, de prime abord, déroutant.
Le législateur marocain a retenu le caractère intentionnel - que doivent revêtir

l'introduction, la suppression, la détérioration et la modification - pour l'application des
sanctions édictées par l'article 607-6.
S'agissant de l'élément matériel des infractions visées à l'article 607-6, il est

quant à lui constitué de manière alternative des actions suivantes:
 L'introduction de données.
 La détérioration, la suppression ou la modification de données.
 La détérioration, la suppression ou la modification du mode de transmission des
données.
 La détérioration, la suppression ou la modification du mode de traitement des
données.
Il convient enfin de signaler que les atteintes aux données ne se résument pas à
celles qui sont visées par l'article 607-6 et dont on vient de faire état, l'article 607-7
dispose en effet que « le faux et la falsification de documents informatisés, quelle que
soit leur forme, de nature à causer un préjudice à autrui, est puni d'un emprisonnement
d'un à cinq ans et d'une amende de 10.000 à 1.000.000 de dirhams»31.
30
- L'article 607-6 instituée en vertu de la loi N° 03-07 précité.
31
- Article 607-7 du code pénal institué en vertu de la loi N° 03-07 précité.
En fin, il convient de signaler que pour tous ces délits, que ce soit pour les
intrusions (accès et atteinte frauduleux au STAD) et pour (les atteintes du
fonctionnement et atteintes aux données d'un STAD).
La tentative est punie des mêmes peines. En effet, l'article 607-8 du code pénal
dispose « la tentative des délits par les articles 607-3 à 607-7 32 et par l'article 607-10
ci-après est punie des même peine que le délit lui-même ».
En effet la lecture des jugements, que les tribunaux marocains ont prononcés
ces dernières années, affirment une tendance ambigüe quant à l'application des
sanctions prévues par la loi 0703 compétant le code pénal.
2- les organes de répression et les structures organisationnelles

appropriées pour luter contre la cybercriminalité:
Les ripostes juridiques en matière de lutte contre la cybercriminalité, aussi

exhaustives soient-elles, seront insuffisantes si elles ne sont pas accompagnées par la
mise en place d'institutions chargées notamment de la répression, d'investigation et de
veille en matière de cybercriminalité. Dans cette optic, le programme «confiance
Maroc numérique 2013 » a contribué à l'instauration des organismes suivants :
 Le Comité de la Sécurité des Systèmes d'Information (SSI);

 L'Organisme ma-CERT33;
 La commission Nationale de Protection des Données Personnelles (CNDP).
1. Le Comité de la Sécurité des Systèmes d'Information
Conformément à l'article 9 de décret n°2-08-444 du 25 Joumada I 1430 (21 mai

2009) instituant le conseil national des technologies de l'information et de l'économie
numérique dispose que « Le Conseil national peut créer en son sein tous autres comités
spécialisés qu'il estime nécessaires à l'accomplissement de ses missions ». À cet effet,
dans la cadre du « Maroc Numérique 2013» il a été mis en place un comité de la
32
- Article 607-8 du code pénal institué en vertu de la loi n° 03-07 précité.
33
- Le Ma CERT: computer Emergency Response Team of Morocco est le centre de veille, détection
et réponse aux attaques informatique.
sécurité des systèmes d'information dont la mission est l'élaboration de la politique
relative à la protection des infrastructures critiques du Royaume.
Cette initiative, bien que louable, reste insuffisante. En effet, par définition un
comité ne propose que des actions ponctuelles. Or, pour pouvoir piloter la confiance
numérique, il faut un travail structurel. Pour y parvenir, de nombreux pays ont mis en
place des Agences Nationales de sécurité des Systèmes d'Information (ANSSI). C'est
le cas par exemple de la France, du Canda mais aussi de la Tunisie.
Prenons l'exemple du pays le plus proche de nous culturellement et

économiquement. Créée en 2004 sur la base de la loi n° 2004-5, l'agence Nationale de
la Sécurité Informatique en Tunisie, a pour mission d'effectuer le contrôle général des
systèmes informatiques et des réseaux relevant des divers organismes publics et privés
tunisiens. Elle est notamment chargée des missions suivantes34:
 Veiller à l'exécution des orientations nationales et de la stratégie générale en

matière de sécurité des systèmes informatiques et des réseaux;
 Suivre l'exécution des plans et des programmes relatifs à la sécurité
informatique dans le secteur public, à l'exception des applications particulières
à la défense et à la sécurité nationale, et assurer la coordination entre les
intervenants dans ce domaine;
 Assurer la veille technologique dans le domaine de la sécurité informatique;
 Etablir des normes spécifiques à la sécurité informatique, élaborer des guides
techniques et procéder à leur publication;
 Œuvrer à encourager le développement de solutions nationales dans le
domaine de la sécurité informatique et à les promouvoir conformément aux
priorités et aux programmes qui seront fixés par l'agence;
 Participer à la consolidation de la formation et du recyclage dans le domaine
de la sécurité informatique;
 Veiller à l'exécution des réglementations relatives à l'obligation de l'audit
périodique de la sécurité des systèmes informatiques et des réseaux.
34
- EL AZZOUZI Ali, ouvre cité, p. 140-141.
2. L'organisme ma-CERT
Pour assurer une meilleure veille en matière de sécurité et coordonner ainsi les
réponses aux incidents liés à la sécurité des systèmes d'information (ma-CERT) au
niveau national, à pour mission de:
 Répondre aux incidents de sécurité, de coordonner les réponses aux

Incidents au niveau national et de proposer divers services portant sur le
traitement de ces incidents;
 Analyser les vulnérabilités et la restauration des systèmes attaqués. Le ma-
CERT, offre plusieurs services dits « de base», il s'agit notamment de:
 Service de base «réactifs».
 Alertes et avertissement35
 Gestion des incidents
 Services de base «proactifs>>
 Annonces
 Veille technologique
 Audits ou évaluation de la sécurité
 Service de détection des intrusions
 Diffusion d'informations relatives à la sécurité
 Gestion de la qualité et de la sécurité
 Conseil en matière de sécurité

 Sensibilisation
 Formation
Dans le cadre de la création du ma-CERT qui s'inscrit dans le cadre du

renforcement de la sécurité des systèmes d'information dont les objectifs sont : la
disponibilité, intégrité confidentialité et traçabilité.
35
- Ibid p. 142.
L'administration de la défense nationale a élaboré un décret fixant le dispositif
de protection des systèmes d'information sensibles des infrastructures d'importance
vitale. Ledit décret a été examiné en Conseil du Gouvernement tenu le 14 janvier 2016
et a été adopté en Conseil des Ministres le 06 février 2016 et publiée au Bulletin
Officiel n°6458 du 21 avril 201636.
Au sens de ce décret, sont entendus comme secteurs d'activités d'importance

vitale ceux ayant trait soit à la production et la distribution de biens ou de services
indispensables à la satisfaction des besoins essentiels pour la vie des populations, ou à
l'exercice des prérogatives de l'Etat, ou au fonctionnement de l'économie, ou au
maintien des capacités de sécurité du pays.
Les secteurs répondant à ces besoins concernent la sécurité publique, le secteur

financier, l'industrie, les réseaux des transports, la production et la distribution de
l'énergie et les mines, l'approvisionnement et la distribution d'eau, les
télécommunications et les services postaux, l'audiovisuel et la communication, la
santé, la justice et la législation.
Ce décret charge, en outre, l'autorité Gouvernementale chargée de

l'Administration de la défense nationale (Direction générale de la Sécurité des
Systèmes d'Information) d'élaborer et de veiller au respect des règles et standards de
sécurité à appliquer par les infrastructures d'importance vitale ainsi identifiées et arrête
les mesures à prendre par les entités concernées pour la déclaration et le traitement des
incidents informatiques.
A cet égard, il prévoit la mise en place, au sein desdites entités, des moyens de
supervision et de détection des cyber attaques et la remontée au Centre de Veille, de
Détection et de Réaction aux attaques informatiques relevant de la Direction Générale
de la Sécurité des Systèmes d'Information (DGSSI), des informations relatives aux
incidents affectant la sécurité ou le fonctionnement de leurs systèmes d'information
sensibles.
36
2017.
Enfin, le décret met en exergue les exigences de sécurité qui doivent être
clairement formalisées et intégrées dans les dossiers de consultation et dans les plans
de maintenance des systèmes d'information sensibles.
Dans le cadre des actions visant à renforcer la sécurité des systèmes

d'informations des administrations et organismes publiques et infrastructures
d'importances vitales, le Centre de veille de détection et réaction aux attaques
informatiques (inaCERT) propose un service d'assistance à la réponse aux incidents de
sécurité cyber.
Un incident de sécurité cyber est tout acte malicieux ou événement suspect qui
pourrait compromettre ou perturber le bon fonctionnement d'un système d'information.
Cet incident pourrait être:
 Un accès illégitime au système d'information (intrusion);

 Un déni de service ;
 Exfiltration de données;
 Attaque par code malicieux;
 Hameçonnage ou Phishing;
 Défiguration du site web.
Le ma-CERT incite toutes les Administrations, Organismes publiques et

Infrastructures d'importances vitales à déclarer le plutôt possible tout incident de
sécurité cyber.
A cet effet la ma-CERT incite les concernés à se renseigner à la fiche d'incident

élaborer par la Direction générale de la sécurité des systèmes d'Information et
l'envoyer à l'adresse incident@macert.gov.ma.
3. La commission nationale de la protection des données personnelles:
Pour veiller, au respect de ses différentes dispositions, la loi 09-08 a institué la

Commission Nationale de Contrôle de la Protection des Données à Caractère
Personnel. Chargée de veiller à la mise en œuvre des dispositions de la loi, la
commission nationale est un organe doté de prérogatives et de larges pouvoirs
d'investigation, de contrôle et d'intervention. Ses membres sont nommés par Sa
Majesté le Roi afin de Garantir leur autonomie et leur impartialité vis-vis des
différentes parties prenantes.
Notion par ailleurs qu'un décret d'application de la loi 09-08 a été publié au
Bulletin Officiel N° 5744 dans son édition du 18 juin 2009. Ledit décret a fixé
notamment les conditions et modalités de désignation des membres de la Commission
Nationale, ses règles de fonctionnement et ses pouvoirs d'investigation, ainsi que les
conditions de transfert des données à caractère personnel vers un pays étranger.
Section 4: Perspectives envisagées à la délinquance informatique
Il est évident pour lutter efficacement contre la criminalité informatique, qui ne

cesse pas de se multiplier et se développer par des nouvelles technique et
technologique, de passer aussi par la voie de formation et qualification du corps des
magistrats et du corps de la police judiciaire, parce que l'adoptions seul, par le Maroc
des textes législatifs, à savoir la loi N°: 0703 complétant le code pénal en ce qui
concerne Les infraction relatives aux systèmes de traitement automatisé des données.
La loi n°53-05 relative à l'échange électronique de données juridique la loi

N°09-08 relative à la protection des personnes physique à l'égard du traitement des
données à caractère personnel.
Pour faire face à la cybercriminalité qui restent insuffisante si il ne s'alignent

pas complètement au standard international en la matière, inspiré de la convention de
Budapest qui incité les Etats membres d'actualité leur dispositif pénal procédural, et
l'initiative de chaque Etat de reformer le secteur de la Justice via un programme à long
terme, un programme de formation au profit des magistrats, que se soit au niveau de la
qualification du personnel, et la mise en œuvre et la création d'un centre au niveau
national au profit de la police judiciaire qui aura comme objectif la formation
diplomate pour assurer la couverture de cette formation spécialisée pour l'ensemble de
la police judiciaire du Royaume, et ne pas se contenter de la disposition actuel du
Maroc des 2937 Brigade pour lutter contre la cybercriminalité qui certainement n'est
pas capable de lutter convenablement à la criminalité informatique, faute du manque
du personnel qualifier du corps de la police judicaire.
1- Mettre en place des formations à destination des professions juridique:
Durant les prochaines années, le Maroc sera devant un enjeu stratégique Il s'agit
de l'interprétation des impacts juridiques que peuvent avoir les infractions
informatique compte tenu de leurs complexités. Pour le relever, l'Etat doit créer plus
de passerelles entre l'univers informatique et celui des juristes comprennent aussi bien
des avocats, des magistrats que des policiers et des gendarmes, la formation en est un
axe capital. En effet, pour pouvoir faire appliquer la loi, il s'avère indispensable
notamment pour les magistrats et avocats de se mettre à niveau en matière de la
cybercriminalité.
De cette formation, il ne faut pas oublier le cyber enquêteur. Qu'ils soient de la

police ou de la gendarmerie, leurs sensibilisations à la lutte la cybercriminalité par le
biais d'une formation spécifique est indispensable.
Dans cette perspective et dans le cadre de la formation et qualification du corps

des magistrats, on trouve les états vasions comme l'Algérie a déjà entamé, depuis
200338, et dans la cadre de la réforme du secteur de la justice, un programme de
formation lancé par le ministère de la justice au profit de magistrats. Ce programme
avait pour objectif principal la mise à niveau du personnel du corps des magistrats, et
sa qualification à prendre en charge les évolutions juridiques actuelles, dont la
criminalité liée aux TIC.
A cet effet, il a été procédé en premier lieu à l'intégration du module

«cybercriminalité» dans le programme de formation des élèves de l'école nationale de
magistrature sous forme de séminaires animés par des experts.
37
2017.
38
2017.
Par la suite plusieurs cycles de formation dans de multiple domaines dont la
criminalité liée aux TIC, ont été organisé à l'étranger au profit de magistrats et de
cadres du ministère de la justice, dans le cadre de la coopération bilatérale telle que.
La Coopération Algéro-Française:
Le Ministre de la justice algérien initié avec le partenaire français un

programme de coopération important pour l'année 2005, et dont certaines de ses
actions ont connu un début de mise en œuvre, au cours du 3éme trimestre 2004.
Ce programme comportait cinq volets principaux dont : la formation continue

des magistrats dans des matières spécialisées et qui devait toucher, au cours de l'année
2005, un ensemble de 100 magistrats; et la formation des formateurs de l'institut
national de la Magistrature.
Ce même programme a été reconduit au cours des années 2006 et 2007, ou 3

magistrats ont pu bénéficier d'une formation de longue durée en cybercriminalité
La coopération Algéro-Belge:
Dans le cadre de l'accord de coopération entre pays en matière de formation

signé en 2004. Cinq (05) magistrats ont bénéficiés en 2006 d'une formation de courte
durée sur la cybercriminalité.
2- formation et qualification des corps de la police judiciaire :
Dans le cadre du projet de création d'un centre national pour la lutte contre la
cybercriminalité, lancé par le corps de la gendarmerie nationale en 2004, un
programme très riche de formation du personnels du corps a été élaboré en vertu de se
programme plusieurs cadres ont bénéficié de formation diplomate spécialisé dans des
universités suisses, américaines et canadiennes, tant dans le domaine technique
(sécurité informatique) que juridique (cybercriminalité).
Ainsi que dans des organismes nationaux tels que: le CERIST qui propose des
formations sur la sécurité informatique dans le cadre de la formation de PGS qu'il
ouvre chaque année. Ce programme visait le développement des compétences du corps
de la gendarmerie, pour les rendre plus opérationnels en matière de lutte contre la
cybercriminalité. Les cadres de la gendarmerie participent également à plusieurs
séminaires nationaux et internationaux portant sur thème de la cybercriminalité.
Quant aux services de la sureté nationale, et en dépit de l'absence d'une ce

dédiée à la lutte contre la criminalité liée au TIC, plusieurs actions de formation en la
matière ont été lancées depuis la promulgation de la loi incriminé les actes d'atteinte
aux STAD. A travers l'organisation de cycles de formation spécialisée au niveau
international et national, dont la dernière formation de la pensée par des experts en
matière de sécurité informatique et de cybercriminalité au profit de 47 officiers. Cette
formation avait pour objectifs de «habilité les stagiaires à mener des investigations
dans le domaine de la lutte contre la cybercriminalité et, à l'issue du cursus, procéder à
la constitution, au niveau de chaque sureté de Wilaya, de cellules chargées de la lutte
contre la cybercriminalité.
Outre ces cycles de formation, les services de la sureté nationale ont organisée
plusieurs séminaires internes sur le thème, en plus de leur participation à des
séminaires et conférence nationales et internationales portant sur ce thème pu
particulièrement sur la protection des droits d'auteurs dans l'environnement numérique.
Par ailleurs, et toujours dans le cadre de la formation et le perfectionnement des

magistrats et des services de la police judiciaire chargés de la lutte contre la criminalité
liée aux TIC, le Centre de recherche juridique et judiciaire a organisé les 05 et 06 mai
2010 un séminaire international sur la lutte contre la cybercriminalité auquel ont pris
part des expert nationaux et internationaux magistrats chercheurs, FBI, Interpol,...)

Deuxième Partie

Transféré par

Informations du document

Titre original

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

Deuxième Partie

Transféré par

Droits d'auteur :

Formats disponibles

Deuxième partie : Les manifestations de la digitalisation comme moyen de lutte

Chapitre 1 : Le cadre juridique face à la cybercriminalité au Maroc

Considérant des dangers de la cybercriminalité, le Maroc a encadré aux quatre

Section 1 : les dispositions législatives au niveau national

1- La loi n°07-03 complétant le code pénal en ce qui concerne les infractions

Jusqu'à octobre 2003, le phénomène de la cybercriminalité au Maroc n'a fait

- L'accès dans le temps, qui s'agit du fait d'outrepasser une autorisation

 L'accès frauduleux dans un STAD

L'accès au STAD peut se faire1:

- Depuis l'extérieur du système : ainsi, un pirate qui pénètre dans un ordinateur

- L'accès est sanctionné uniquement s'il est frauduleux. Il convient ainsi, de

 Le maintien frauduleux dans un STAD

Quant à l'élément intentionnel de cette infraction, la doctrine et la jurisprudence

 Les atteintes au fonctionnement d'un STAD

L'atteinte au fonctionnement d'un STAD peut être constitué de manières très

A la lecture de l'article 607-5, il ressort que l'élément matériel d'une atteinte

Alors que l'entrave a pour finalité de perturber le fonctionnement du système, le

 Les atteintes aux données

En réalité, toute manipulation de données, qu'il s'agisse de les introduire, de les

2- La loi n°09-08 relative à la protection des personnes Physiques à l'égard du

Inspirée de la célèbre loi française Informatique et Libertés, la loi n° 09-08

La loi prévoit, des clauses relatives aux objectifs, champ d'application et au

1. La nature des données à protéger :

Le traitement qui fait l'objet de la protection des données à caractère personnel

2. Les droits de la personne concernée :

Chaque traitement de données à caractère personnel, ou son transfert à des tiers,

Autre le droit à l'information, la loi précitée donne le droit à la personne

Enfin, pour autant qu'elle justifie de motifs légitimes, la personne concernée

3. Les obligations du responsable du traitement :

La loi n°09-08 définit le responsable du traitement comme « la personne

Tout traitement de données personnelles doit donner lieu à une déclaration

L'autorisation préalable devra être obtenue par le responsable du traitement

 obligation de confidentialité et de sécurité des traitements et de secret

Autre l'obligation de procéder à une déclaration préalable ou à une autorisation

Section 2: Les dispositions législatives au niveau international

La Convention de Budapest en matière de cybercriminalité

Le texte et son rapport explicatif ne constitue pas un instrument d'interprétation

La Convention vise pour l'essentiel à harmoniser les éléments des infractions

La Convention comprend donc quatre chapitres:

La Section 2 du chapitre II (questions de droit procédural) - dont la portée

Le chapitre II (articles 2 à 22) contient trois sections: droit pénal matériel

1- Droit pénal matériel

La section est divisée en cinq titres. Le titre 1 englobe les infractions

Les articles de la présente section décrivent certaines mesures de procédure à

La convention adapte les procédures classiques telles que la perquisition et la

1. Conservation rapide de données stockées dans un système informatique

L'article 16 vise à donner aux autorités nationales compétentes la possibilité

2. Conservation et divulgation rapides de données relatives au trafic (article

Instaure des obligations spécifiques concernant la conservation des données

Cet article vise à moderniser et harmoniser les législations internes concernant

4. Collecte en temps réel des données relatives au trafic (article 20)14

5. Interception de données relatives au contenu (article 21)15.

La commission de nombreuses infractions informatiques suppose la

3- Compétence (article 22)16

Les lettres b et c du paragraphe 1 s'appuient sur une variante du principe de

Le paragraphe 1, lettre d s'appuie sur le principe de nationalité. La théorie de la

Les règles de compétence énoncées au paragraphe 1 ne sont pas exclusives. Le

Dans le souci d'assure une lutte optimal contre la cybercriminalité, il s'avère

Il convient donc de procéder à une légère démonstration de l'inadéquation entre

Section 1 : le crime informatique face aux principes fondamentaux de droit

Les règles de procédure pénale relatives aux organes chargés de la répression,

Il convient donc de procéder à une légère démonstration de l'inadéquation entre

1- Le principe de la légalité criminelle face à la criminalité électronique :