Doc. 9031

10 avril 2001

Projet de convention sur la cyber-criminalité1

Rapport

Commission des questions juridiques et des droits de l’homme

Rapporteur: M. Ivar Tallo, Estonie, Groupe Socialiste

Résumé

Le rapport reconnaît l’importance et l’enjeu du projet de convention sur la cyber-criminalité, qui sera le premier traité international en la matière.

Il souhaite cependant que les exigences de la liberté individuelle soient garanties de façon plus substantielle dans le projet de convention.

Plus spécialement, le rapport estime que des limites dans le temps devraient être posées à la conservation des données, que le niveau des sanctions, des mesures pénales ou non pénales devrait être précisé, et que le principe de proportionnalité devrait systématiquement être pris en compte à côté de la protection adéquate des droits de l’homme.

Enfin, le rapport conclut qu’un protocole additionnel à la future convention devrait être négocié immédiatement entre les parties afin d’inclure la propagation d’idées racistes et xénophobes au nombre des crimes retenus.

I.       Projet d’avis

1.        L’Assemblée considère que la lutte contre la criminalité cybernétique constitue un enjeu de toute première importance au regard du développement des nouvelles technologies que cette forme de criminalité peut entraver.

2.        L’Assemblée constate qu'il existe un consensus sur le souhait de voir entrer en vigueur un instrument juridique contraignant, partant du principe qu’une réglementation internationale spécifique et une harmonisation des lois nationales suppléeront aux carences de la seule régulation par les opérateurs concernés, comme à la répression à tout crin menée par certains pays. Elle se félicite donc de la préparation du projet de convention, premier texte international en la matière.

3.        L’Assemblée reconnaît que la future convention répondra en grande partie aux exigences immédiates, mais fait remarquer que celle-ci nécessitera de conserver une certaine souplesse en raison du caractère relativement changeant des formes de criminalité cybernétique et de la rapidité avec laquelle évoluent les nouvelles technologies. Elle constate que le projet de convention a été négocié et sera adopté par les Etats disposant de la technologie requise pour lutter contre la cyber-criminalité, et que cet état de faits influera obligatoirement sur le choix des politiques des autres Etats.

4.        L’Assemblée estime essentiel que des définitions communes des crimes soient retenues, que le secteur privé continue de travailler à la sécurisation informatique des réseaux, que les gouvernements édictent des lois nationales adaptées et proportionnées, qu’une réflexion commune soit poursuivie entre le monde des affaires, les autorités répressives et la société civile, qu’un effort de normalisation des techniques de sécurisation soit entrepris, enfin que des campagnes de sensibilisation soient lancées.

5.        L’Assemblée soutient le projet de convention sur la cyber-criminalité présenté par le comité d’experts sur la criminalité dans le cyber-espace (PC-CY), dans la perspective de "mener une politique pénale commune destinée à protéger la société de la criminalité dans le cyberespace, notamment par l’adoption d’une législation appropriée et par l’amélioration de la coopération internationale", tout en maintenant les exigences de la liberté individuelle.

6.        Elle considère que ce texte, en établissant une obligation pour les Parties de criminaliser certains comportements délictueux, s’aligne à juste titre sur les différentes recommandations du Comité des Ministres, et se félicite de ce que la communication de la Commission européenne "créer une société de l’information plus sûre en renforçant la sécurité des infrastructures de l’information et en luttant contre la cyber-criminalité" s’en soit inspirée, apportant ainsi la preuve aux cyber-criminels que ce combat est mené de concert.

7.        L’Assemblée est d’avis que le défi posé par le projet de convention aux ordres juridiques nationaux, en ce qui concerne la protection des données à caractère personnel, requiert la plus grande vigilance de sa part. A cet égard, elle exprime sa préoccupation quant à la différence de degré dans le respect des garanties entourant l’ingérence des autorités publiques entre les Etats membres du Conseil de l’Europe et des États non membres, même si ce fossé tend à se résorber grâce à l’adoption de lois adaptées dans ces derniers Etats.

8.        L’Assemblée estime nécessaire d’assurer une protection effective des droits garantis par le projet de convention également lors des échanges transfrontières de données à caractère personnel vers les pays tiers, en entourant ces transferts des garanties appropriées. Elle prend acte à ce propos de l’accord intervenu entre la Commission européenne et les États-Unis sur les "ports sécurisés", malgré les réserves du Parlement européen.

9.        L’Assemblée réitère son appel au Comité des Ministres d’aider les Etats qui ne sont pas encore parties à la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel à se doter des normes pertinentes en la matière.

10.        Par conséquent, l’Assemblée recommande au Comité des Ministres d’apporter les amendements suivants au projet de convention:

       

i.        dans le préambule, supprimer les crochets enchâssant "tel que le confère, par exemple, la Convention de 1981 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel" et les crochets enchâssant "la Recommandation N° R (87) 15 visant à réglementer l’utilisation de données à caractère personnel dans le secteur de la police", et après ces mots, ajouter "la Recommandation N° R (97) 18 concernant la protection des données à caractère personnel collectées et traitées à des fins statistiques" ;

       

ii.        à l’article 2, après la première phrase, ajouter la partie de phrase suivante: "

"lorsqu’il s’agit de systèmes protégés et reconnus comme tels par la législation de l’État";

       

iii.        à l’article 3, à la fin du paragraphe, ajouter la phrase suivante: "

"Les communications privées et les communications professionnelles à caractère confidentiel des employés des sociétés privées sont couvertes par le présent article";

       

iv. à l’article 5, ajouter à la fin du paragraphe la phrase suivante:

"L’envoi de courriers électroniques non sollicités et entravant le fonctionnement des systèmes informatiques, ainsi que l’inscription non sollicitée sur des mailing listes sont couvertes par le présent article";

v. à l’article 6(1)(a)(1), remplacer le mot "principalement" par le mot "spécifiquement";

vi. à l’article 6(3), remplacer les mots "au paragraphe 1(a)(2)" par les mots "au paragraphe 1(a)(1)";

vii. à l’article 10(3), supprimer les mots "que d’autres remèdes efficaces soient disponibles et";

viii. à l’article 11(1), remplacer "en vertu des articles 2 à 10" par "en vertu des articles 2 à 9";

ix. à l’article 11(2), remplacer "en vertu des articles 3 à 5, 7, 8, 9(1)a et 9(1)c" par "en vertu des articles 3 à 5, 7, 8, 9(1)a, 9(1)b, 9(1)c et 9(1)d"

x. à l’article 13(1), remplacer les mots "en vertu des articles 2 – 11" par les mots "en vertu des articles 2 – 9 et 11", et à la fin du paragraphe, ajouter "et des sanctions pécuniaires";

xi. Après l’article 13(1) ajouter un nouvel alinéa (2):

"Chaque Partie prend des mesures législatives et autres qui se révèlent nécessaires pour faire en sorte que les infractions pénales établies en vertu de l'article 10 soient passibles de sanctions effectives, proportionnées et dissuasives";

xii. à l’article 13(1) et (2 nouveau) ainsi amendé, préciser quelles sont les sanctions effectives, proportionnées et dissuasives comprenant des peines privatives de liberté, et les sanctions pécuniaires permises;

xiii. à l’article 13(3) nouveau, préciser quelles sont les sanctions ou mesures pénales ou non pénales effectives, proportionnées et dissuasives, y compris les sanctions pécuniaires permises;

xiv. à l’article 15, note de bas de page 29, à la fin du paragraphe, ajouter "et la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel de 1981";

xv. à l’article 15, remplacer les mots "et, le cas échéant, à la proportionnalité du pouvoir ou de la procédure" par les mots "à la proportionnalité du pouvoir et de la procédure ou à un principe équivalent";

xvi. à l’article 16(1), supprimer les crochets enchâssant "spécifiées";

xvii. à l’article 16(2), remplacer les mots "aussi longtemps que nécessaire" par les mots "soixante jours au minimum et un an au maximum";

xviii. à l’article 18(3), remplacer le mot "utilisateurs de ses services" par le mot "abonnés";

xix. à l’article 27(4)(b), à la fin du paragraphe, ajouter les mots "et dans le respect des garanties généralement acceptées relatives à la protection des données";

xx. à l’article 27 bis, supprimer les crochets, et aux paragraphes 2 et 4, remplacer le mot "peut" par "doit";

xxi. à l’article 29(7), remplacer les mots "au moins soixante jours" par les mots "soixante jours au minimum et un an au maximum";

xxii. à l'article 39, après le paragraphe 2, ajouter le nouveau paragraphe suivant:

"L'application dudit accord ou traité ou l'établissement d'une autre manière des relations quant aux questions réglées par la présente Convention doivent respecter les principes de cette Convention."

xxiii. enfin, donner une définition claire et précise des mots "données relatives au trafic";

11.        L’Assemblée recommande par ailleurs au Comité des Ministres d’inviter les Etats membres qui ne l’ont pas encore fait, et les Etats non membres qui souhaitent adhérer à la future convention:

i.        à signer et ratifier la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, puis le protocole additionnel, le plus rapidement possible;i

ii.        à légiférer dans le domaine de la protection des données à caractère personnel en s’inspirant des principes contenus dans la convention.1

12.        L’Assemblée recommande au Comité des Ministres de s'assurer que la nouvelle convention et la législation de la Communauté européenne en la matière soient compatibles.

13.        Enfin, l’Assemblée recommande la rédaction sur-le-champ d’un Protocole additionnel à la future convention intitulé "Élargissement du champ d’application de la Convention à de nouvelles formes d’infractions", qui définisse et incrimine: la diffusion de propagande raciste, l'hébergement abusif de communications haineuses, l’utilisation d’Internet aux fins de trafic d’êtres humains, et l’entrave au fonctionnement du système informatique au moyen des SPAM (courriers-poubelles).

14.        L'Assemblée invite le Comité des Ministres à lui renvoyer à nouveau le texte du projet de convention, après s'être prononcé sur ce texte, au cas où des changements substantiels autres que ceux proposés par l'Assemblée y auraient été apportés.

II.       Exposé des motifs par M. Tallo, Rapporteur

A.       Historique

1.        Le 9 novembre 2000, la Commission des questions juridiques et des droits de l’homme a été chargée par le Bureau de préparer l’avis de l’Assemblée sur le projet de convention sur la cyber-criminalité, sur la base de la version 22 rév. 2 du projet de convention transmise par le Comité des Ministres (Doc 8875). Entretemps ce projet a subi des modifications et le présent avis portera sur le document PC-CY (2000) Projet n° 25 rév.2

2.        Le projet de convention sur la criminalité dans le cyberespace sera la première convention internationale à s’intéresser, sous l’angle du droit pénal et des procédures criminelles, aux différents types de comportements délictueux visant les systèmes, les réseaux et les données informatiques ainsi qu’à d’autres abus de même nature. Il devrait être finalisé par un groupe d’experts avant l’été 2001 et le Comité des Ministres pourrait l’adopter et l’ouvrir à la signature à l’automne 2001. Des Etats non membres du Conseil de l'Europe ainsi que la Commission européenne participent activement aux négociations. Ce projet fait suite à deux recommandations émises en 1989 et 1995 par le Comité des Ministres pour encourager ses Etats membres à adapter leurs législations aux défis de la criminalité informatique3.

3.        Suite à la diffusion publique du projet de convention, la Commission a emboîté le pas à la Direction générale des affaires juridiques, en décidant d’organiser pour la première fois une audition publique sur le projet de convention qui s’est tenue à Paris le 6 mars 20014. Elle a invité une dizaine d’experts qu’elle remercie ici pour leurs contributions très pertinentes, et a permis à de nombreux groupes, organisations et personnes intéressées d’assister à l’audition en tant qu’observateurs. L’audition a permis d’avoir un échange d’informations fécond.

4.        Votre rapporteur a pour sa part également participé à une audition publique à laquelle a procédé le 7 mars 2001 la Commission européenne, où il a pu intervenir pour exposer les objectifs du projet de convention et les conclusions de notre audition. La Commission européenne entend mettre sur pied en mai 2001 un "Forum européen du crime informatique", relayé par des forums dans les Etats membres, pour poursuivre la discussion avec toutes les parties intéressées, avant d’aller plus avant et soumettre des définitions communes aux Etats membres en décembre de la même année. Votre rapporteur a été le destinataire de commentaires de plusieurs opérateurs d’Internet et de télécommunications, qu’il tient ici à remercier d’avoir répondu à son invitation de lui faire connaître leurs points de vue.

5.        Le présent exposé des motifs reprend à peu de choses près l’ordre d’examen des chapitres saillants du projet de convention par la Commission à son audition du 6 mars 2001.

B. La raison d’être de la Convention

6.        La Commission salue l’aboutissement au terme de quatre années de négociations du futur premier traité international sur la criminalité cybernétique. Cet instrument répond à un triple objectif: harmoniser le droit matériel, rapprocher les droits procéduraux, et mettre en œuvre un régime efficace de coopération internationale.

7.        Un grand nombre de critiques se sont élevées en réaction au prétendu manque d’équilibre entre les différents opérateurs concernés; les principales concernaient la vie privée des individus et le fait d’imposer des obligations soi-disant trop lourdes à l’industrie. Certaines critiques sont cependant le fait de malentendus. D’autres expriment des divergences réelles. Il nous semble que l’adoption du projet de convention ne doit pas être retardé. Le Ministre belge de la justice s’est exprimé devant la Commission le 6 mars 2001 pour défendre avec vigueur le projet, et a indiqué qu’il mettrait à profit la présidence belge de l’Union européenne au deuxième semestre 2001 pour aider à accélérer les ratifications par les pays membres de l’Union.

8.        Parallèlement, l’Union européenne soutient le projet de convention du Conseil de l'Europe. Les Quinze ont adopté en mai 1999 une position commune sur ce texte, en approuvant l’introduction de mesures pour faciliter les enquêtes et les poursuites. Ils appuient notamment l’idée de points de contact dans chaque pays dans le domaine de la cyber-criminalité, et la possibilité de recherches informatiques transfrontalières pour les enquêtes sur les infractions pénales graves. L’Union européenne a soutenu l’inclusion dans le projet de convention des atteintes à la confidentialité et à l’intégrité des données informatiques, de la fraude et la falsification informatique, et des infractions en relation avec le contenu, notamment dans le domaine de la pornographie exploitant des enfants.

C.       La protection de la vie privée et la conservation des données

9.        L’une des critiques les plus virulentes à l’égard du projet de convention est qu’elle tend à protéger les intérêts économiques bien plus qu’elle ne protège les droits des individus. Dans le projet de convention, la propension des Etats à s’ingérer dans la vie privée est même plus choquante encore en regard du respect de la même vie privée et des responsabilités qui incombent aux milieux industriels.

10.        L’ordre juridique européen doit être respecté lorsque le projet de convention en vient à toucher à la protection des données personnelles (Convention européenne des droits de l’homme, et en particulier son article 8 pertinent, différentes conventions sur la protection des données à caractère personnel, jurisprudence des tribunaux européens). Ainsi, l’interception des communications n’est envisageable que dans le respect de l’article 8 de la CEDH. Il faudra que les moyens envisagés s’appuient sur des bases juridiques claires, et que des possibilités de recours efficaces existent. Toute intrusion dans la vie privée devra être justifiée, et être menée sous le strict contrôle du juge. Certaines opérations de routine, mais aussi les modalités d’intrusion sont telles qu’elles représentent des violations de la vie privée. Il s’agit de prévoir des mesures de conservation ciblées, proportionnées et limitées. Des dispositions dérogatoires ne peuvent être prévues que si des arguments solides peuvent être avancés, que si les demandes de données peuvent être étayées. Le problème de l’anonymat sur Internet est aussi posé: ainsi, les utilisateurs doivent pouvoir choisir de travailler dans l’anonymat.

11.        Du point de vue de la vie privée, il est important que les opérateurs en ligne qui collectent l’information annoncent l’utilisation qu’ils comptent en faire. Le droit à l’anonymat est donc remis en question par le projet de convention.

12.        Une autre critique fréquemment entendue vient des fournisseurs de services sur Internet, qui estiment que trop de pouvoirs sont donnés à un seul acteur: les autorités répressives. Les différents intérêts en présence sont les droits des individus à la vie privée et à la liberté d’expression; les droits de la collectivité de limiter ces droits de façon proportionnée, afin d’appliquer la loi et de poursuivre les criminels; la nécessité pour la société tout entière de disposer de services fiables et de réseaux de communication et d’information continus, enfin les intérêts économiques de l’industrie des nouvelles technologies.

13.        Une discussion a surgi au sujet des données relatives au trafic. Plusieurs experts estiment notamment que le champ de la définition est trop large, et couvre presque toute la communication sur Internet, de telle manière que les fournisseurs de service sur Internet ne sont pas en mesure de retenir ou de préserver ces données. Il a donc été suggéré qu’une définition claire de ce type de données soit incluse dans le projet de convention, et que celle-ci soit limitée au numéro d’appel, à la durée d’appel et à l’adresse du fournisseur d’accès à Internet. La distinction marquée par le projet de convention entre abonné et utilisateur n’est pas non plus très nette, or les fournisseurs de services sur Internet devraient pouvoir communiquer des informations sur leurs abonnés et non sur des utilisateurs.

14.        Concernant la conservation de données, plusieurs problèmes ont été soulevés, en l’occurrence: la quantité de données (seulement une quantité limitée de données relatives au contenu), les difficultés liées à leur rétention (elle nécessite un personnel qualifié), le temps de conservation (la quantité de capacité de stockage est énorme et coûte très cher), les conditions nécessaires à la conservation des données pour que la police et le parquet puisse les utiliser (niveau de confidentialité et sécurité contre l’altération), les coûts et les risques inhérents au stockage des données (plus il existe de données stockées, et moins elles sont en sûreté; les coûts sont d’autre part exorbitants pour les fournisseurs de services sur Internet). En tout état de cause, les possibilités techniques semblent surestimées et les coûts au contraire sous-estimés. Il s’ensuit que des limites devraient être placées à la nature et la quantité de données à conserver et à la durée de leur conservation.

15.        La Commission est d’avis que seules des données "spécifiées" doivent être conservées (ce terme doit donc être retenu par le projet de convention), que la définition des données relatives au trafic doit être revue, ainsi que le temps de conservation des données. En réalité, il faudrait que les données soient stockées dans un délai maximum d’un an. Il faudra décider si l’est opportun d’inclure une mention relative à la limite des possibilités techniques des fournisseurs de services sur Internet. Par contre, la Commission n’est pas favorable au remboursement d’une partie des coûts par les Etats (comme cela est déjà prévu aux États-Unis). De même, les articles sur la tentative et la complicité et sur la responsabilité sont laissés inchangés par la Commission. Une référence aux SPAM dans l’article sur les atteintes à l’intégrité du système serait par contre utile.

16.        Une inquiétude relevée par le groupe de travail "article 29" de l’Union européenne sur la protection des données, qui a fait connaître sa position sur le projet de convention le 22 mars 2001, est que la future convention s’appliquera à des pays non membres du Conseil de l’Europe, et qui ne supportent par conséquent pas les mêmes obligations face à la protection des données. Une préoccupation souvent manifestée est que l’on risque d’aller vers un monde à deux vitesses, où la protection des données n’est pas identique. Il faut donc renforcer les points de la future convention où la protection des données est presque absente. Il faut également demander aux Etats non membres de signer la Convention sur la protection des données (STE n° 108) du Conseil de l’Europe. Parmi les critères généraux qui doivent être respectés, figure celui que les mesures législatives doivent être conformes aux critères de protection des données. Les citoyens manifestent un intérêt croissant pour la protection des données sur Internet.

17.        La Commission souhaite qu’une référence claire à la sauvegarde de la protection des données personnelles lors des échanges transfrontaliers de données soit faite dans le projet de convention.

D.       La sécurité des réseaux

18.        Sur Internet, la fugacité des informations échangées dans le cadre des messageries, l’absence de conservation de preuves afférentes aux informations échangées, les messages échangés l’étant le plus souvent en temps réel, ou encore l’absence de modérateur chargé de contrôler, voire d’intercepter les messages licencieux, risquent, en pratique, de rendre difficiles les actions en responsabilité délictuelle.

19.        La carte d’identité électronique se développe depuis plusieurs années dans le cadre de la sécurisation du courrier et du commerce électroniques. Lors d’opérations sensibles, il est en effet indispensable de déterminer avec certitude l’identité de l’internaute, et non, simplement, celle de l’ordinateur qu’il utilise. Les pirates informatiques, qui dérobent des mots de passe, peuvent prendre le contrôle d’une machine qui ne leur appartient pas.

20.        Aux États-Unis, un Centre de plaintes contre la fraude sur Internet a été créé le 8 mai 2000 à l’initiative de la Sûreté fédérale et du Centre national contre la criminalité en col blanc. Le Japon a adopté en février 2000 une loi anti-pirates. La police britannique commence seulement à s’organiser: une unité nationale de lutte contre les crimes utilisant la haute technologie vient d’y être créée.

21.        Face au développement de la fraude sur Internet, les assureurs ont choisi de lancer des garanties et des protections pour les personnes désireuses de faire des achats sur la Toile, notamment en France, en Grande-Bretagne et aux États-Unis La peur d’être escroqué est aujourd’hui un frein majeur au développement du commerce électronique. En Grande-Bretagne, une personne sur trois n’achèterait rien sur Internet de peur de se faire voler son numéro de carte de crédit, indique une étude demandée par l’entreprise de relations publiques Shandwick International. En France, la fraude représenterait entre 0,2 et 0,5% du chiffre d’affaires du commerce électronique, tandis qu’aux États-Unis elle serait douze fois plus élevée sur la Toile que dans les magasins, selon une étude du cabinet de conseil Gartner. Pour l’heure, le marché reste encore embryonnaire. Selon le Lloyd’s de Londres, plus des trois quarts des entreprises britanniques ne sont toujours pas assurées pour leurs activités de commerce en ligne.

22.        La Commission européenne, qui veut promouvoir la coopération entre Etats membres dans le domaine de la sécurité sur Internet, a publié le 30 janvier 2001 une communication sur la cyber-criminalité qui définit l’ensemble de sa politique, et qui s’inspire largement des travaux du Comité d’experts du Conseil de l’Europe. Elle propose des pistes pour augmenter la sécurité des transmissions électroniques avec l’objectif d’améliorer la confiance des utilisateurs et des investisseurs, notamment dans le commerce électronique. Le document a été préparé conjointement par les services de la Commission chargés de la société de l’information et ceux du secteur "justice et affaires intérieures". Il incite notamment les fournisseurs de services à prendre des mesures de sécurité plus efficaces et à recourir aux technologies les plus récentes, y compris en matière de cryptage. La Commission européenne encourage aussi le développement de la coopération entre services de police et judiciaires dans les affaires de cyber-criminalité transfrontalière. Actuellement, la collaboration dans les enquêtes relevant de la criminalité informatique se fait au coup par coup entre les services spécialisés concernés des Etats membres, mais il n’existe pas d’institution spécifique au niveau européen. Une possibilité serait de faire entrer la cyber-criminalité dans le champ de compétences d’Europol ou Interpol. Sur le plan juridique, la communication énumère enfin les types d’incriminations qui pourraient être retenus dans les affaires de délits concernant Internet, ainsi que les juridictions compétentes et les sanctions applicables.

23.        La Commission européenne insiste d’autre part sur les mesures non législatives, qu’elle considère comme étant aussi efficaces et importantes. La sécurité des réseaux joue un rôle majeur, en ce sens que les dommages qui sont causés aux systèmes sont souvent accidentels, même si leurs conséquences sont aussi graves que s’ils étaient commis intentionnellement. D’autre part, l’importance de la sécurité des réseaux se ressent quand on admet que la prévention est plus recommandable que la répression (en termes de pornographie enfantine, piratage, accès aux services en ligne rendus impossibles, effets des virus informatiques). Enfin, la lutte contre le crime informatique passe par d’autres moyens que l’utilisation de moyens de surveillance projetée dans le projet de convention. La sécurité des réseaux n’est pas seulement le fait de procédures techniques, mais encore du degré de responsabilité des utilisateurs, d’où la nécessité de mettre en place des techniques à la périphérie des réseaux, avec la participation des utilisateurs. Il s’agit d’une approche dynamique fondée sur la perception que le choix des technologies de sécurisation doit s’inscrire dans un véritable choix de politique. Par conséquent, les gouvernements devraient initier un processus de normalisation internationale destiné à assurer l’interopérabilité entre les solutions choisies. Le projet de convention ne devrait par contre pas conduire à adopter des règles qui portent atteinte à la sécurité et à la confiance des utilisateurs (c’est là une des critiques les plus souvent rencontrées). Parmi les principales mesures non législatives, la Commission européenne est d’avis qu’il sera très utile de créer des unités spécialisées de crime informatique dans chaque pays, comprenant un personnel formé et équipé. La Commission soutient ce point de vue.

24.        D’autre part, il paraît essentiel à la Commission qu’avant qu’une infraction pour accès illégal apparaisse, les propriétaires d’ordinateurs installent les systèmes de sécurité propres à éviter la commission de telles infractions; une alternative serait de prévoir que l’accès illégal ne couvre que les systèmes que État doit définir comme étant protégés. La pénalisation de l’interception illégale doit maintenir l’équilibre entre les intérêts économiques et les libertés de l’individu, en définissant qui exactement peut autoriser l’interception, et en protégeant les communications confidentielles des employés d’une entreprise (privées ou en relation avec le travail).

25.        Les dérangements causés aux personnes privées ont été ignorés par le projet de convention, et les entraves à l’usage des ordinateurs (SPAM, utilisation de courriers électroniques non autorisés et perturbants, ajout que des listes de mailing) devraient être inclus. En ce qui concerne la catégorisation des moyens techniques destinés à commettre les infractions citées dans le projet de convention, la Commission a les plus grandes réserves quant à son efficacité. L’inclusion de la responsabilité des personnes morales est louable. Enfin, la Commission veut faire remarquer que des limites devraient être placées au niveau des sanctions, et le projet de convention devrait au moins indiquer comment ces sanctions devraient être imposées.

E.       La criminalisation de nouveaux délits

26.        Le projet de convention prévoit, entre autres, que le piratage informatique et les dispositifs qui le rendent possible tomberont sous le coup du droit pénal des Etats parties à la Convention, tout comme l’interception illégale de données, l’interférence avec des systèmes informatiques, la fraude et la falsification informatiques. Il interdit également la "pornographie enfantine" en ligne, y compris la détention de documents téléchargés de cette nature, ainsi que la reproduction et la diffusion d’œuvres protégées par le droit de propriété intellectuelle. Le projet de convention traite également des questions relatives à la responsabilité des contrevenants, qu’il s’agisse de particuliers ou d’entreprises, et détermine des normes minimales pour ce qui est des peines encourues. Le projet de convention s’intéresse aussi à la répression: les parties auront l’obligation d’habiliter leurs administrations respectives à perquisitionner les systèmes informatiques et à saisir des données, à imposer aux personnes concernées de leur fournir les données en leur possession, de conserver les données vulnérables ou de les faire conserver par les personnes concernées. La possibilité d’intercepter les données transmises par l’intermédiaire des réseaux de télécommunication est à l’examen. Les méthodes d’enquête spécifiques à l’environnement informatique nécessiteront la coopération des opérateurs de télécommunication et des fournisseurs de services Internet.

27.        Il est intéressant de noter que relativement peu d’Etats possèdent une législation qui incrimine globalement toutes les formes de la criminalité informatique. A cet égard, on notera en effet que sur 52 pays ayant fait l’objet d’une enquête de la part d’une firme de consultants en politique des technologies et en gestion, dix pays seulement ont révisé leur législation, neuf ont réalisé des mises à jour et trente-trois n’ont fait aucune mise à jour. L’autorégulation n’est de l’avis de la plupart des experts pas suffisante, et le droit doit aussi être appliqué, mais lors de l’élaboration des lois, la plus grande prudence doit être observée, ont-ils fait remarquer.

28.        La plupart des observateurs sont prompts à souligner que la pénalisation de nouveaux délits pour s’attaquer à ceux qui transgressent l’intégrité des réseaux et des ordinateurs n’est qu’une partie de la solution au problème. L’industrie et les administrations nationales devront s’efforcer de coopérer à une échelle plus large, comme nous l’avons vu plus haut, en sécurisant davantage les réseaux et les ordinateurs. A cet égard, la responsabilité qui incombe au milieu de l’industrie est patente. Une partie du système d’autocontrôle devra être développée par les milieux industriels.

29.        Selon le projet de convention, la responsabilité pénale des fournisseurs de services peut être engagée, mais à condition d’établir qu’ils ont eu connaissance du caractère délictueux de l’information installée sur le portail. En l’absence de cette preuve, seuls les fournisseurs de services et ceux d’informations, d’œuvres ou de données, ayant la maîtrise du site ou des pages incriminées, seront pénalement responsables. Un utilisateur peut également être reconnu pénalement responsable d’un délit commis par l’intermédiaire d’Internet, dès lors qu’il aurait sciemment conservé une donnée, une oeuvre ou une information, illégalement installées sur ce réseau.

30.        Si les juristes et les policiers réclament de nouvelles législations, nationales et internationale, pour combler des vides juridiques, en revanche les entrepreneurs sont beaucoup plus méfiants. Ralentir les technologies serait selon eux une grande erreur. Ils se déclarent hostiles à l’adoption de lois qui rendraient difficile ou impossible l’utilisation de leurs technologies par leurs clients. Ceux-là donc restent partisans d’un maximum de liberté sur la Toile, arguant que les gouvernements ne connaissent rien aux problèmes technologiques. L’alliance d’entreprises de la "nouvelle économie" WITSA (World Information Technology and Services Alliance = Alliance des technologies et des services du monde de l’information), et d’une manière générale, les associations de fournisseurs de services sur Internet, dénoncent par exemple l’obligation pour les opérateurs Internet de conserver les données, compte tenu du coût exorbitant lié à la rétention de ces données. De nombreux industriels réclament le partage des coûts avec les Etats, ce qui indigne particulièrement la Commission. Les instruments d’interception seraient selon les détracteurs du projet de convention également hors de prix, et conduiraient à la faillite de nombreuses entreprises, au moment où les jeunes pousses subissent de plein fouet la crise du marché. Les principes qui doivent encadrer la recherche de solutions à la cyber-criminalité selon les entrepreneurs sont: 1° assurer la protection des libertés individuelles et de la vie privée, 2° préserver la capacité des gouvernements à combattre le crime "high-tech", 3° faciliter une formation adaptée pour tous les acteurs concernés, 4° définir un cadre clair et transparent pour traiter de la cybercriminalité, 5° soutenir des codes de conduite et des normes initiés volontairement par l’industrie.

31.        Un dialogue entre les gouvernements et le secteur privé s’avère essentiel, les deux partageant un intérêt commun dans la lutte contre l’utilisation illégale ou préjudiciable des technologies de l’information et de la communication. Certaines solutions relèvent des Etats eux-mêmes, requérant l’adaptation des structures opérationnelles, des systèmes légaux et des procédures de coopération internationale; d’autres appellent au développement de principes de coopération entre le secteur privé et les gouvernements, et d’autres encore appellent à une action du secteur privé lui-même. Les industriels estiment souvent qu’ils sont, grâce à leur expertise technologique, les mieux placés pour combattre la cyber-criminalité. Ils redoutent la mise en oeuvre de réglementations trop contraignantes ou une relation trop étroite avec les pouvoirs publics qui les amènerait à collaborer aux enquêtes sur les "cybercriminels".

32.        Le projet de convention enjoint les parties à s’accorder l’entraide. L’entraide répressive internationale trouve ses limites dans la règle de la double incrimination (le délit doit être qualifié de la même manière dans les deux pays), qui ne facilite la poursuite que pour les infractions répondant à une qualification pénale dans les deux Etats concernés. Dès lors, le risque d’apparition de "paradis électroniques", comme il existe des paradis fiscaux n’est pas à négliger. Le projet de convention apporte la réponse à ce problème en demandant aux Etats parties de mettre en place des infractions harmonisées. Le projet de convention prévoit aussi qu’un réseau de correspondants opérationnel 24 heures sur 24 et 7 jours sur 7 sera mis en place de manière à accélérer les enquêtes internationales.

33.        La Commission est favorable aux principes suivants: coopération internationale dans le respect de la protection de la vie privée et refus absolu d’une "cyberpolice" transcendant les frontières et les souverainetés nationales. Il s’entend qu’une "cyberpolice" qui dépasserait le cadre des Etats et de leurs compétences souveraines devrait être exclue. A cet égard, le Directeur général des affaires juridiques du Conseil de l’Europe a pu donner des assurances à la Commission, estimant que la Convention ne visait pas à créer un régime de surveillance électronique de type "orwellien". Ainsi, un État peut effectuer une enquête pour le compte d’un autre, mais ne peut mener d’enquêtes ni de perquisitions transfrontalières. Contrairement aux craintes exprimées, les téléperquisitions ne seraient par conséquent pas prévues par le projet de convention. Cette prise de position est en opposition avec celle des États-Unis qui estiment que les enquêteurs spécialisés dans Internet doivent disposer de libertés en rapport avec le caractère international du réseau des réseaux. Sur le point de la poursuite dans l’urgence des "cyber-pirates", la position des États-Unis et celle des Etats européens divergent, ces derniers étant attachés aux voies légales habituelles qui permettent de maintenir un haut degré de protection de la vie privée.

F.       Les infractions relatives au contenu: les infractions existantes   

34.        Les droits d’auteur sont les premiers droits à devoir être protégés, du fait des moyens offerts par Internet pour les transgresser. La numérisation puis l’installation d’une oeuvre sur un site Internet supposent l’autorisation du(des) titulaire(s) des droits d’auteur. L’absence de consentement exprès des auteurs caractérise le délit de contre-façon. La spécificité d’Internet résulte du fait que l’utilisateur voyage vers les sites d’accueil et en consulte les différentes pages ou documents. Il peut télécharger le document et éventuellement en faire des reproductions matérielles. L’autorisation de prendre copie est implicitement contenue dans le droit de visiter le site.

35.        Certains se sont émus de la criminalisation même de la transgression de ce droit, et tout particulièrement de la criminalisation de la copie privée, qui ferait de chaque internaute un criminel en puissance. Il a également été avancé que la protection excessive des droits d’auteur sur Internet compromettait l’accès au développement des pays les moins avancés. Or il est indéniable que l’effet de la Convention se fera ressentir bien au-delà des frontières du Conseil de l’Europe.

36.        En ce qui concerne les droits d’auteur et d’autres droits connexes, la portée de la Convention est très large. On se situe là dans un domaine nouveau par rapport aux infractions qui étaient prévus par la recommandation R (89) 9 du Conseil de l’Europe sur la criminalité en relation avec l’ordinateur. L’incrimination des infractions étend également notablement la portée du projet de convention à d’autres domaines que ceux que d’autres conventions, notamment de l’OMPI, avaient déjà définis. Sur la question de l’harmonisation requise des législations nationales, un orateur à l’audition a clairement exprimé que le consensus international sur les questions de droit de la propriété intellectuelle n’était qu’en partie atteint, et souligné que la protection des droits d’auteur (pour des raisons purement économiques) semble être en conflit avec le but originel du droit d’auteur de promouvoir le progrès. En ce qui concerne la restriction du piratage "à l’échelle commerciale", qui viserait si l’on en croit un expert à criminaliser la copie privée si l’on excipait de son impact commercial, la Commission laissera à l’Assemblée le soin de se prononcer sur l’opportunité de l’exclusion explicite du champ d’application de la Convention, de la copie privée.

37.        Le piratage informatique à des fins commerciales reste un problème endémique. La Convention criminalise les atteintes aux droits d’auteur et à d’autres droits connexes de la propriété intellectuelle, ce qui constitue une première. Les atteintes aux droits d’auteur sont celles déjà définies dans l'Acte de Paris de 1971, la Convention de Berne pour la protection des œuvres littéraires et artistiques de 1886, le Traité de l’OMPI sur de 1996 et des accords TRIPS (Trade-Related Aspects of Intellectual Property Rights) ou ADPIC de 1993. Ce qui paraît remarquable, c’est que la complicité soit aussi couverte par la Convention. La Commission est d’avis que ceci est inacceptable, dans la mesure où la protection des droits définie dans ces instruments juridiques est déjà fort étendue, et que le projet de convention devrait au contraire limiter fortement les sanctions pour ces infractions et se limiter à enjoindre de cesser ces actions, afin d’éviter la commission de nouvelles infractions. D’une manière générale, la complicité risque de prendre dans les filets de la criminalité des personnes qui se trouvent à la périphérie des infractions. La Commission regrette d’autre part que les droits d’auteur et la pornographie enfantine aient été mis sur le même plan.

38.        La Convention donne une définition de la pornographie enfantine, qui requiert une certaine harmonisation des lois nationales se rapportant à la pornographie enfantine en ligne. La production, l’offre, la distribution, la transmission, la mise à disposition et la détention de matériel de pornographie enfantine sont criminalisés par la Convention. En ce sens l’on estime généralement que la Convention est allée aussi loin qu’elle le pouvait, et la Commission s’en félicite. Encore faudrait-il songer à ce qu’une organisation comme Europol ou Interpol puisse héberger une hotline capable de centraliser les informations transnationales et de les communiquer aux services judiciaires des pays concernés, afin d’éviter que différents organisations s’occupent des mêmes infractions.

39.        Par contre, la détermination de l’âge de l’enfant pose problème; en cas de doute, les enquêteurs pourraient en effet ne pas poursuivre plus avant leurs investigations. En Belgique, le service de police fédéral s’attaque aux images représentant la simulation d’actes sexuels impliquant des enfants de moins de seize ans. Il est cependant dans de nombreux cas difficile de reconnaître l’âge réel des enfants. Il faudrait néanmoins que l’âge minimum retenu soit de 18 ans, et non pas inférieur, comme la Convention en prévoit la possibilité. Ainsi, l’harmonisation des lois serait plus complète. De plus, la commission de crimes qui violent la protection des mineurs n’a pas été retenue, ce qui milite encore davantage pour l’inclusion de cette limite d’âge.

40.        D’autres crimes ne sont pas retenus dans la dernière version de la Convention, ainsi la pornographie qui ne met pas en scène des enfants, le racisme ou tout attentat à la dignité humaine, dont le trafic d’être humains; l’envoi excessif de courriers électroniques multiples et non sollicités (SPAM) n’est pas davantage couvert. L’inclusion d’un article large sur la propriété intellectuelle prête à discussion, et dans ce domaine les seules sanctions possibles devraient être des avertissements ou des amendes très modestes. L’élargissement de la liste des infractions liées au contenu pourrait être une exigence supplémentaire de la Commission (incitation à la haine raciale, utilisation d’Internet en vue d’attenter à la dignité de l’individu, utilisation d’Internet pour le trafic d’êtres humains).      

G.        Les infractions relatives au contenu: le problème de la criminalisation de la propagande à caractère raciste et xénophobe

41.        La question de l’inclusion ou non de la diffusion de la haine raciale au travers d’Internet a fait l’objet de discussions au sein du Comité d’experts du Conseil de l’Europe. La Commission déplore que le Comité d’experts n’ait finalement, "faute de temps", pu se mettre d’accord sur cette question pourtant cruciale, comme l’illustre la jurisprudence récente. Sans doute faut-il y voir la mainmise de quelques pays traditionnellement hostiles à une quelconque restriction de la liberté d’expression. La Commission regrette le manque de courage du Comité d’experts. De même que la Commission européenne (point 7.1 de sa communication), la Commission est d’avis que le racisme doit aussi être punissable en ligne. Contrairement à la Commission européenne qui souhaite qu’une référence à la haine raciale soit incluse dans le projet de convention, elle privilégie la mise au point immédiate par le Comité d’experts d’un protocole additionnel à la future convention, afin de ne pas retarder l'ouverture à la signature de celle-ci.

42.        Un réseau européen de hotlines financé par l’Union européenne a récemment était mis en place. Ce réseau a notamment permis de conduire des perquisitions et de démanteler un réseau de pornographie enfantine en Suède. L’utilisation des hotlines pourrait être étendu au bénéfice de la répression du racisme sur Internet, comme le suggère la Commission européenne dans sa communication. Il doit être rappelé à tous qu’en Europe, le racisme n’est pas une opinion, c’est un délit. Les hotlines sont un point de contact pour les utilisateurs qui rencontrent des contenus illégaux sur des sites web. Les contenus illégaux proviennent en grande partie des États-Unis

43.        Les contenus racistes sont de plus en plus importants. S’il n’existait qu’un seul site raciste en 1995, il y en avait 600 en 1997, 1200 en 1999 et on en dénombre 4000 à l’heure actuelle. Internet permet de contacter un grand nombre de gens à un coût très faible. Les États-Unis sont malheureusement devenus un "cyber-paradis" d’où peuvent opérer les criminels racistes (rien moins que 2500 sites sont hébergés aux États-Unis, et 85% des symboles racistes sont abrités par des sites américains).

44.        Les extrémistes de droite allemands transfèrent massivement leurs sites Internet vers des fournisseurs d’accès américains pour échapper aux autorités allemandes. Selon l’Office fédéral de protection de la Constitution, les extrémistes de droite utilisent intensivement depuis la mi-1997 Internet comme moyen de communication (la radio NDR a indiqué que quelque 90 groupes néo-nazis avaient déplacé courant août 2000 leurs sites pour les faire héberger aux États-Unis).

45.        Un site raciste peut être compris comme toute image, texte, vidéo, son ou autre qui a pour but de promouvoir la supériorité d’une race. Le problème technique qui se pose est de savoir comment se focaliser sur un territoire particulier. Dans l’affaire Yahoo !, il s’agissait de sites négationnistes adressés à des Français à partir d’un portail américain. Les fournisseurs d’accès devraient obéir aux requêtes des autorités judiciaires quant à l’identification de l’auteur ou à la suppression de certains contenus. Les États-Unis d’Amérique ont fait une réserve à la Convention des Nations Unies contre l’élimination de toute forme de discrimination raciale, en ce sens que les États-Unis se considèrent exonérés de l’adoption de tout texte législatif ou de toute autre mesure incompatible avec les termes de la Constitution américaine. Ainsi, les États-Unis ne possèdent pas de normes pénales pour sanctionner le discours raciste. Cette situation n’empêche cependant pas la condamnation des sites racistes frauduleusement expatriés à l’étranger, comme le montre l’exemple cité plus haut. Selon un expert, rien ne permet pourtant d’affirmer à l’heure actuelle que les tribunaux américains accorderaient la protection de la Constitution américaine à des messages racistes qui feraient un détour par un serveur situé aux États-Unis pour échapper aux règles moins permissives d’un État étranger.

46.        L’expert qui est intervenue pendant l’audition a proposé que la future convention interdise la diffusion de propagande raciste depuis des serveurs informatiques situés à l’étranger, utilisés à titre "d’hébergement abusif", autrement dit empêcher le contournement des règles nationales applicables par la pratique de "l’hébergement abusif". La notion "d’hébergement abusif" devrait être définie comme s’entendant de l’hébergement aux fins de diffusion on-line de sites contenant des communications haineuses sous forme de textes, images, sons ou autres, dans le seul but de tirer parti du régime plus permissif de État d’hébergement pour échapper à des poursuites pénales dans un autre État Les indices d’un "hébergement abusif" ont été définis par l’expert comme étant: les sites dont la langue est différente du pays d’accueil, les sites où la provenance des connexions est essentiellement étrangère, les sites où la domiciliation du fournisseur de contenu et l’indication d’adresses de contact ou de paiement sont situées dans un autre pays que le pays d’hébergement.

H.       Conclusions

47.        La révolution numérique crée-t-elle une révolution juridique ? Cette question est d’actualité, puisque depuis trois ans, la Toile a quitté la sphère du non marchand pour entrer de plain-pied dans l’ère du commerce électronique. Une évolution qui n’est pas sans poser le problème de la sécurité du réseau et surtout de la protection des données personnelles des internautes sur la Toile.

48.        Les nouvelles technologies de l’information entraînent une révolution à laquelle se préparent les Etats du monde entier, qui se livrent dans ce domaine une concurrence acharnée. Déjà, un risque de décalage existe en Europe, dû dans les Etats "en retard de développement technologique" à des causes diverses et multiples: sous-équipement, usage restreint de l’ordinateur, manque de valorisation de la recherche, fuite des cerveaux. Il est urgent que les Etats moins avancés accèdent, avec l’aide des Etats "en pointe", aux nouvelles technologies, et que ceux bénéficiant de ce potentiel ne sous-utilisent pas la technologie en leur possession.

49.        Il est urgent aussi que les entrepreneurs européens mesurent l’importance de la sécurisation du monde des affaires sur Internet, et ne sous-estiment pas l’urgence de se lancer dans la mise en sécurité des réseaux et des données. Afin de les rassurer, les efforts en vue de l’élaboration d’une réglementation répondant aux besoins du commerce électronique doivent être poursuivis aux niveaux national et européen.

50.        Les problèmes posés par la criminalité électronique trouvent certaines réponses dans le projet de Convention sur la cyber-criminalité du Conseil de l'Europe. Ce texte doit être soutenu par les administrations nationales. La réussite de ce projet dépendra en grande partie de l’adhésion des pays non européens qui ont participé aux négociations.

51.        Enfin, l’affaire Yahoo! a révélé les différences de comportement entre pays. La notion de frontière n’est plus la même sur le réseau. De par l’absence d’un centre d’Internet, il est difficilement envisageable de bloquer l’accès à du contenu pour une partie déterminée du public sans devoir l’éradiquer entièrement du cyberespace. Le projet de convention apporte des réponses pour déterminer la loi applicable et la juridiction compétente. La question que pose l’affaire Yahoo! fournit l’occasion de réfléchir sur la nature du cyberespace en train de se construire. La mise en cause par la justice française des pratiques de Yahoo! aux États-Unis met en évidence l’émergence d’une éthique de la société en réseau.

ANNEXE

Programme de l'audition sur la cyber-criminalité

Paris, 6 mars 2001

9 h 30       Introduction

10 h 45       Thème 1:

11 h 30       Thème 2:

12 h        Thème 3:

12 h 45       Pause déjeuner

14 h 30       Thème 4:

15 h 15       Thème 5:

16 h        Thème 6:

17 h        Clôture de l'audition

Commission chargée du rapport: commission des questions juridiques et des droits de l'homme

Renvoi en commission: Doc 8875, Renvoi n° 2257 du 9 novembre 2000

Projet d'avis adopté à l'unanimité par la commission le 6 avril 2001

Membres de la commission: M. Jansson (Président), M. Magnusson, M. Frunda, Mme Gülek (Vice-Présidents), M. Akçali, M. G. Aliyev, M. Andreoli, Mme van Ardenne-van der Hoeven, M. Attard Montalto (remplaçant: M. Asciak), M. Bartumeu Cassany, M. Bindig, M. Bordas, M. Bruce, M. Bulavinov, M. Cilevics, M. Clerfayt, M. Contestabile, M. Demetriou, M. Dimas, M. Enright, Mme Err, M. Floros, Mme Frimansdóttir, M. Fyodorov, M. Guardans, M. Gustafsson, Mme Hadjiyeva, M. Holovaty, M. Irtemçelik, M. Jakic, M. Jaskiernia, M. Jurgens, M. Kelemen, Lord Kirkhill, M. Kostytsky, M. S. Kovalev, M. Kresák (remplaçant: M. Tkác), M. Kroupa, Mme Krzyzanowska, M. Lacão, M. Lento, M. Lintner, M. Lippelt, M. Loutfi, Mme Markovic-Dimova, M. Marty, M. McNamara, M. Michel (remplaçant: M. Hunault), M. Moeller, Mme Nabholz-Haidegger, M. Olteanu, M. Pavlov, M. Pollo, Mme Pourtaud, M. Rodeghiero, Mme Roudy, Mme Serafini (remplaçant: M. Provera), M. Simonsen, M. Shaklein, M. Skrabalo, M. Solé Tura, M. Spindelegger, M. Stankevic, M. Stoica, Mme Süssmuth, M. Svoboda, M. Symonenko (remplaçant: M. Khunov), M. Tabajdi, M. Tallo, Mme Tevdoradze, M. Uriarte, M. Vanoost, M. Vera Jardim, M. Wilkinson, Mme Wohlwend, M. Wojcik, Mme Wurm (remplaçante: Mme Stoisits)

N.B. Les noms des membres qui ont participé à la réunion sont indiqués en italique.

Secrétaires de la commission: M. Plate, Mme Coin, Mme Kleinsorge et M. Cupina

1 Voir Doc. 8875 rev.

2 Voir Doc. 8875 rev.

3 Recommandation R (89) 9 sur la criminalité en relation avec l’ordinateur et Recommandation R (95) 13 relative aux problèmes de la procédure pénale liés à la technologie de l’information.

4 Le programme de l'audition figure en annexe.