L APPORT DU DROIT EN MATIERE DE SECURITE

Transcription

1 Afrique du sud Allemagne Argentine Belgique Canada Espagne Etats-Unis France Israël Italie Luxembourg Maroc Mexique Norvège Royaume-Uni Suisse Tunisie MEYRIN, MARDI 27 MAI 2014 L APPORT DU DROIT EN MATIERE DE SECURITE Sébastien FANTI Avocat Notaire & Conseiller en protection des données HEIG-VD sebastien.fanti@sebastienfanti.ch Facebook: facebook.com/sebastien.fanti LinkedIn:

2 Sommaire de l exposé 1. Prolégomènes: la preuve par l exemple! 2. Cadre législatif désirable 3. Conclusions & Conseils Page 2

3 I. Prolégomènes: cf. Revue de l Avocat 11-12/2011, p. 493 Désireux d acquérir un objet immobilier en Valais, un couple consulte les annonces immobilières et pense avoir trouvé l objet de ses rêves. Les époux sollicitent du courtier la possibilité de le visiter. Conquis, ils décident de formaliser leur intention d acquérir l objet et adressent un courriel au courtier au terme duquel ils sollicitent les coordonnées bancaires du Notaire aux fins de verser le premier acompte de 100'000 francs. L adresse électronique du courtier est un compte gmail.com de la société Google. Ils reçoivent alors un courrier électronique qui stipule : concernant l acompte de CHF 100'000.- vous devez le régler comme suit : 1) CHF 4'000.- par Western Union à Me X aujourd hui pour débuter le dossier, Me X se trouvant en ce moment à Londres pour affaires. Voici les références pour le transfert : Nom : Me X, Adresse : Hotel Y, London City Angleterre. 2) CHF 96'000.- à déposer sur le compte bancaire dont je vous transmettrai les coordonnées. Page 3

4 I. Prolégomènes: cf. Revue de l Avocat 11-12/2011, p. 493 S ensuit un échange de courriels relatif aux coordonnées bancaires du Notaire. Le courtier communique l adresse électronique du Notaire pour permettre le paiement de la somme de 4'000 francs en deux temps. Le client confirme par courriel que le versement est intervenu et il reçoit un courriel du Notaire qui le remercie de lui adresser le reçu du paiement Western Union en pièce jointe, ce qui fut fait. Le Notaire a une adresse électronique auprès de Yahoo en France. Le Notaire sollicite alors le deuxième versement du montant de 2'000 francs, lequel est exécuté selon les mêmes modalités. Ils sont alors requis par courriel du Notaire de verser une nouvelle fois une somme de 4'000 francs. Inquiets de cette modification, les époux contactent le Notaire qui leur affirme qu il n est en rien lié à cette affaire. Page 4

5 I. Prolégomènes: cf. Revue de l Avocat 11-12/2011, p. 493 L adresse électronique réelle du Notaire est une adresse exploitée par Bluewin.ch. Les deux tickets client Western Union mentionnent expressément que le Notaire a perçu la somme de 4'000 francs versée par les acquéreurs. Quant au courtier, il n a bien évidemment pas adressé ces courriels. Le compte du courtier a très vraisemblablement été piraté dans le sens commun du terme. Les gredins ont ainsi pu prendre connaissance de l identité du notaire et créer une fausse adresse dont ils se sont servis pour crédibiliser et finaliser leur vol. Le notaire n a rien su de cette opération. Il a été victime d une usurpation d identité numérique, laquelle n est pas punissable en tant que telle en droit suisse. Page 5

6 I. Prolégomènes: cf. Revue de l Avocat 11-12/2011, p. 493 «Ce délit n existe pas tel quel dans le droit suisse. En revanche, différents articles de loi permettent de poursuivre les cas que l on peut assimiler à de l usurpation d identité. Selon les modalités et la gravité de l'atteinte, il peut s'agir d'une infraction contre l honneur (art. 173 et suivants du Code pénal) ou alors d'une atteinte à la personnalité (art. 28 du Code civil). Par ailleurs, suivant les moyens utilisés préalablement à l'usurpation d'identité, on peut être en présence d'un délit de soustraction de données (art. 143 CP), d'accès indu à un système informatique (art. 143bis CP), de détérioration de données (art. 144bis CP) ou de soustraction de données personnelles (art. 179novies CP)». En CH, injure = 400 francs d amende. Ainsi, seuls les actes commis dans le cadre de cette usurpation sont susceptibles de faire l objet d une poursuite sur le plan pénal. Page 6

7 I. Prolégomènes: cf. Revue de l Avocat 11-12/2011, p. 493 Pour la France, art de la LOPPSI II: 1 an d emprisonnement et euros d amende. En droit italien, la sostituzione di persona attraverso una constitue une violation de l article 494 du Code pénal (sostituzione di persona), punissable d une peine de réclusion jusqu à un an. Aux Etats-Unis, depuis 2005, la loi Identity Theft Penalty Enhancement Act punit un tel comportement d une peine pouvant aller jusq à 5 ans de prison. En Angleterre, le Fraud Bill permet d infliger 10 ans de prison à celui qui usurpe l identité d un tiers. Il s agit donc d une lacune en droit pénal! Page 7

8 I. Prolégomènes: RVJ 2006 p. 222 Le Tribunal cantonal valaisan a jugé que celui qui, au bénéfice d un mot de passe communiqué par son employeur, accède à des serveurs lui permettant de disposer de données spécifiques ne se rend pas coupable de soustraction de données, ceci à défaut de protection spécifique! Page 8

9 I. Prolégomènes: En étant simplement au bénéfice du mot de passe lui permettant de s'acquitter de ses obligations contractuelles, X. a pu accéder aux serveurs contenant les données dont il s'est ensuite emparé. Bien que lesdits serveurs aient fait l'objet de diverses protections contre des intrusions de l'extérieur (chambre forte, contrôles d'accès biométriques, pare-feu), cet employé n'a rencontré aucune mesure de sécurité spécifique lui entravant l'accès aux logiciels du "Back Office" recherchés ou encore aux données d'y. SA relatives aux adresses des abonnés au service de messagerie A.ch, de même que celles afférentes à la liste des clients du site B., le tout "logins" et mots de passe compris. Page 9

10 I. Prolégomènes: Il importe peu qu'en fonction de la formation ou des capacités de celuici, voire des renseignements fournis par des collègues mieux aguerris en ce domaine, l'employé indélicat ait mis plus ou moins de temps pour trouver le chemin des données recherchées, dès lors l'intéressé n'a dû surmonter aucun obstacle de sécurité mis en œuvre volontairement par son employeur. Au contraire, faisant prévaloir des raisons de rentabilité dont il n'appartient pas à la cour de vérifier le bien-fondé, les organes d'y. SA ont opté pour une barrière dite morale, qui ne suffit évidemment pas à réunir les réquisits posés à l'art. 143 CP, alors même - tel que déjà évoqué en droit - que cette barrière aurait été assortie d'instructions voire d'interdictions orales ou écrites. Page 10

11 I. Prolégomènes: Avec la société lésée, on peut s'interroger sur le sens de la protection pénale restreinte ainsi accordée par le législateur, dans sa volonté de renoncer à réprimer ce qui équivaut à un abus de confiance au sens large du terme. C'est bien la raison pour laquelle ont déjà été relevés le peu d'incidence pratique de l'art. 143 CP et même le caractère dépassé des moyens légaux mis en œuvre dès 1995 pour lutter contre la criminalité informatique. Il suit de là qu'un renvoi en jugement fondé sur l'art. 143 CP ne saurait se justifier. Pour des motifs similaires, l'application de l'art. 143bis CP n'entre pas en ligne de compte, outre que l'activité de l'employé X. ne peut être assimilée à celle d'un "hacker" qui visite le site d'autrui en vue d'en percer les défenses et d'en violer le domicile informatique. Page 11

12 I. Prolégomènes: La cause pénale concernant X. a en revanche été renvoyée à jugement s'agissant de la violation du secret des postes et des télécommunications. Ainsi, celui-ci ne semble pas avoir échappé à une sanction justifiée; toutefois, cet arrêt signifie clairement que pour éviter tout problème ultérieur, mieux vaut sécuriser «en interne» vos systèmes informatiques. À défaut, toute poursuite pénale fondée sur l article 143 du Code pénal risque fort d être vouée à l échec! Page 12

13 I. Prolégomènes: Quelques enseignements peuvent être tirés de la présentation de ces cas réels: - l adresse de courrier électronique est l un des facteurs d atteinte les plus simples et les plus aisés; - le choix de l adresse est donc fondamental, respectivement stratégique et il conviendrait de ne pas opter pour une adresse sur un site public pour les motifs exposés et des questions de secret professionnel; - Le plus simple et le plus sûr consisterait à faire héberger le site de dans votre pays (avec réservation de son nom de domaine auparavant), avec au préalable une vérification formelle du lieu d hébergement effectif et que les adresses soient créées en relation avec le site Page 13

14 I. Prolégomènes: Les instructions et/ou interdictions orales ou écrites sont insuffisantes. Une barrière électronique et des contre-mesures sont nécessaires. Le règlement informatique et les clauses contractuelles ne sont donc, du point de vue pénal, d aucun secours pour démontrer la réalisation des conditions objectives d infractions, telles que la soustraction de données ou l accès indu à un système informatique. Elles pourront, par contre, fonder une action civile. Les erreurs de vos employés vous seront imputées; ex: un client d une banque voit ses données communiquées au fisc de son pays et dépose une plainte contre X. Il existe un risque que l employeur doive justifier des mesures de sécurité prises et de grands risques qu il doive assumer les conséquences civiles du comportement illicite soient à sa charge (action récursoire possible). Page 14

15 II. Cadre législatif désirable Centralisation des compétences de poursuite pénale: la compétence fédérale se justifie lorsque les faits se caractétisent par une complexité accrue du mode d opération, des ramifications internationales, ainsi que des éléments techniques non négligeables (TPF consid. 2.3) Ediction de normes technologiquement neutres et visant à combler les failles (social engineering, vol de données sans intrusion, usurpation d identité, etc ) Création d une task force au sein de la police fédérale et rémunération adéquate pour éviter le turn over personnel. Page 15

16 III. Conclusions & Conseils La cybercriminalité est tolérée par l Etat. Rainer J. Schweizer, plaidoyer 2/2014 du 31 mars Aucune entreprise privée ne peut actuellement attendre une aide dans la défense de ses intérêts (lacunes, délai de traitement, limitations d accès à la justice ). Le seul conseil opportun est de prévoir sa défense sans jamais compter sur quiconque: Assurances (perte d exploitation, juridique, e-reputation, ) Formation des collaborateurs (veille ) Initiation de processus de réflexion (juridique, économique, etc ) Choix d un prestataire de confiance et de cohérence Page 16

17 Afrique du sud Allemagne Argentine Belgique Canada Espagne Etats-Unis France Israël Italie Luxembourg Maroc Mexique Norvège Royaume-Uni Suisse Tunisie La présentation, ainsi que le texte de la conférence sont accessibles à cette adresse: Merci pour votre attention

18 Afrique du Sud Michalsons Lance Michalson et John Giles Johannesburg Ground Floor Twickenham Building The Campus, 57 Sloane & Cnr Main Road 2021 Bryanston T F Cape Town Boyes Drive St James 7945 Cape Tow T F Allemagne Buse Heberer Fromm Rechtsanwälte Bernd Reinmüller, Tim Caesar et Stephan Menzemer Neue Mainzer Strasse Frankfurt Am Main T F Argentine Estudio Millé Antonio et Rosario Millé Suipacha piso 11 C1008AAW Buenos Aires T F estudio@mille.com.ar Belgique Philippe & Partners Jean-François Henrotte et Alexandre Cruquenaire jfhenrotte@philippelaw.eu Liège Boulevard d Avroy, Liège T F Bruxelles Avenue Louise, Bruxelles T F Canada Langlois, Kronström, Desjardins Richard Ramsay et Jean-François De Rico jean-francois.derico@lkd.ca Montréal 1002, rue Sherbrooke Ouest, 28e étage H3A3L6 Montréal T F Québec 801, Grande Allée Ouest, Bureau 300 G1S1C1 Québec T F Espagne Alliant Abogados Asociados SLP Marc Gallardo Gran Via Corts Catalanes Barcelone T F marc.gallardo@alliantabogados.com Etats-unis IT Law Group Françoise Gilbert 555 Bryant Street #603 Palo Alto, CA T F fgilbert@itlawgroup.com France Alain Bensoussan, Isabelle Tellier et Frédéric Forster Paris 29, rue du Colonel Pierre Avia F75508 Paris cedex 15 T F paris@alain-bensoussan.com Israël Livnat, Mayer & Co Russell D. Mayer Jérusalem Technology Park, Building 9, 4th Floor P.O. Box Malcha Jérusalem T F mayer@lmf.co.il Italie Studio Legale Zallone Raffaele Zallone 31 Via Dell Annunciata Milano T F r.zallone@studiozallone.it Luxembourg Philippe & Partners Marc Gouden, François Cautaerts et Jean- François Henrotte 41 avenue de la Liberté 1931 Luxembourg T F luxembourg@philippelaw.eu Maroc Bassamat & Associée Fassi-Fihri Bassamat 30 rue Mohamed Ben Brahim Al Mourrakouchi Casablanca T F contact@cabinetbassamat.com Grenoble 7, place Firmin Gautier F38000 Grenoble T F grenoble@alain-bensoussan.com Mexique Langlet, Carpio y Asociados Enrique Ochoa Torre Axis Santa Fe Prolongación Paseo de la Reforma # 61, PB-B1 Col. Paseo de las Lomas Mxico, D.F. T F eochoa@lclaw.com.mx Norvège Føyen Advøkatfirma DA Arve Føyen Postboks 7086 St. Olavs pl Oslo T F arve.foyen@foyen.no Royaume-Uni Preiskel & Co LLP Danny Preiskel 5 Fleet Place London EC4M 7RD T F dpreiskel@preiskel.com Suisse Sébastien Fanti Avocat & Notaire 8B rue de Pré-Fleuri, CP Sion T F sebastien.fanti@sebastienfanti.ch Tunisie Cabinet Younsi & Younsi Yassine Younsi 4, Rue Petite Malte 1001 Tunis T cabinetyounsi_younsi@yahoo.fr -monsite.com Réseau mondial des avocats spécialisés en droit des technologies avancées