Alice et Bob, hors la loi (du chiffre) ?

Le faux débat sur le refus d'Apple d'aider à déchiffrer les données des ordiphones des terroristes de l'attentat de San Bernardino aux autorités judiciaires américaines bat son plein.

Faux débat car il semble évident que les autorités américaines, cyberpuissance affirmée¹, ont les moyens de déchiffrer les données chiffrées dudit téléphone mais évidemment cela demande plus de temps et d'argent que si Apple leur offrait les clés de déchiffrement.

Selon le blogueur Si vis pacem para bellum interrogé à ce sujet, « le problème n'étant pas tant la robustesse de tel ou tel chiffrement mais la façon dont est implémenté le dispositif permettant de générer, envoyer puis récupérer de la donnée que l'on cherche à protéger. Et comme en réalité peu de dispositifs sont à l'état de l'art c'est à dire assurant le plus haut niveau de protection de la source au destinataire, il existe une variété de moyens pour récupérer les infos cibles ». 

Ceci étant dit, il est intéressant de connaître les dispositions juridiques qui existent en France concernant le chiffrement.

Du Big à l’Open Data : aperçu des enjeux juridiques

Le Big Data consiste en la collecte, l’analyse et le traitement d’un ensemble de masses de données. Ces opérations de collecte, d’analyse et de traitement sont rendues possibles par un assortiment de technologies et d’algorithmes qui permettent de trier en temps réel une masse considérable de données sur le Web, et de cerner plus subtilement les comportements des internautes-consommateurs. En effet, les ordinateurs, ordiphones et tablettes génèrent une multitude de fichiers stockés, voire de cookies (témoins de connexion), et d'informations qui permettent de retracer les faits et gestes informatiques de chaque individu afin de recueillir les opérations comportementales et contextuelles de l'utilisateur.

L’analyse et le traitement d’autant de données a pour conséquence directe de s’interroger sur la protection de ces données comme le souligne la note d’analyse relative au Big Data du commissariat général à la stratégie et à la prospective [1]. La protection des données est un enjeu d’autant plus important qu’en novembre dernier, Vinton Cerf, l'un des précurseurs d'Internet et qui occupe le poste de Chief Internet Evangelist Chief (sic !) chez Google a déclaré que sur le web et dans un proche avenir  « la vie privé sera anormale » et qu'il y aura « une difficulté croissante pour y parvenir » du fait de l’évolution des nouvelles technologies.

Le droit de la SSI, quelles sanctions ?

Précédemment,  nous évoquions que le droit de la SSI n’existait pas en tant que tel mais qu’il existait plutôt une multitude de dispositions légales relatives à la SSI, éparpillées dans le vaste corpus juridique français[1].

Toutefois, peut importe de l’existence d’un droit sanctifié de la SSI tant que celui-ci arrive à s’imposer. Ainsi, il s’agit surtout de s‘interroger sur l’applicabilité réelle des aspects légaux de la SSI et, notamment, de l’efficacité des éventuelles sanctions existantes.

L’actualité des derniers mois souligne que certaines de ces sanctions SSI semblent un peu malmenées.

Tout d’abord, dans un arrêt du 5 juillet 2013, le Conseil Constitutionnel saisi d’une question prioritaire de constitutionnalité (QPC) a déclaré inconstitutionnels les 12 premiers alinéas de l’article L36-11 du code des postes et des communications électroniques (CPCE) relatifs aux modalités de sanction par l’ARCEP d’exploitants de réseaux ou de fournisseurs de services de communications électroniques en cas de manquements de ces derniers. Le Conseil Constitutionnel a déclaré que ces dispositions violaient le principe d’impartialité garanti par la Constitution en n’assurant pas « la séparation au sein de l’Autorité entre, d’une part, les fonctions de poursuite et d’instruction des éventuels manquements et, d’autre part, les fonctions de jugement des mêmes manquements »[2].

Cette décision est d’effet immédiat et est donc applicable à toutes les procédures en cours devant l'ARCEP ainsi qu'à toutes les instances non définitivement jugées à cette date. Ainsi, un vide juridique est apparu et l’ARCEP se retrouve, en partie, démunie pour sanctionner les opérateurs.  
Un autre exemple emblématique est la suppression de la sanction phare du dispositif HADOPI à savoir la coupure d’accès à Internet d’un abonné suite à des téléchargements illégaux réitérés. En cause, le décret du 8 juillet 2013[3] qui supprime la peine contraventionnelle complémentaire de suspension de l’accès Internet.  Le texte stipule donc que « seule une peine d'amende [...] pourra désormais être prononcée pour l'infraction de négligence caractérisée. » Officiellement, en quatre ans d’existence de la Haute autorité, seules quatre procédures ont fait l'objet de décisions judiciaires définitives dont une seule avait prononcé, en juin 2013, une suspension de 15 jours de la connexion internet[4].

L’HADOPI ne se retrouve pas, sans cette menace, désarmée dans sa lutte contre le téléchargement illégal mais le symbole de la suppression reste fort. D'autant plus que l’avenir de l’HADOPI apparaît de plus en plus incertain[5].

Ces deux exemples spécifiques ne font que souligner le constat évident que le droit de la SSI est difficilement applicable en raison du manque de sanctions efficaces.

Pourtant, les efforts en matière de cybersécurité sont de plus en plus mis en avant. En témoigne, entre autres, la montée en puissance de l’ANSSI. Sauf que, l’ANSSI, autorité nationale, ne dispose pas de pouvoir de sanction. Or, dans un domaine voisin, celui de la protection des données à caractère personnel, la CNIL, Autorité Administrative Indépendante (AAI) le possède.

En effet, la CNIL a, notamment, recours aux sanctions pécuniaires et pour des motifs de plus en plus large : par exemple, la délibération du 30 mai 2013, a sanctionné, en partie, la présence de mots de passe trop simples (suites de 5 caractères)[6].

Cependant, les contrôles de la CNIL, augmentent mais restent toujours une goutte d’eau dans un océan : 458 contrôles en 2012 soit une augmentation de 19 % par rapport à 2011 avec 173 contrôles relatif au dispositif de vidéosurveillance parmi 8946 déclarations relatives à ce même dispositif de vidéosurveillance soit un pourcentage de contrôle de 2%[7]. C’est déjà ça !

Le Livre blanc de la défense et de la sécurité nationale paru le 29 avril 2013 met en avant le renforcement législatif et réglementaire du domaine cyber et notamment concernant les opérateurs d’importance vitale (OIV) qui devront respecter des standards de sécurité mais surtout, prendre des mesures nécessaires pour détecter et traiter tout incident informatique touchant leurs systèmes d’information sensibles.

Les fondements de ce nouveau dispositif devraient être mis en place dans la prochaine loi de programmation militaire (LPM) dont le vote est prévu pour la fin de l’été. Souhaitons que ce dispositif prévoit des sanctions réalistes, justes et efficaces.

Enfin, dernière proposition : agir sur l’humain.

La bonne application de toute loi s’effectue par une bonne compréhension des dispositions législatives par les juges et avocats, premiers destinataires des lois. Or, force est de constater que les dispositions pénales relatives à la SSI[8] qui devraient être, par principe, assorties de sanctions efficaces sont rarement utilisées. Les jurisprudences sont quasiment absentes et les peines maximales indiquées ne sont que partiellement appliquées.

Ainsi, le levier de la formation et la sensibilisation des professions judicaires à la SSI et à ses problématiques doit être rapidement actionné. Dans un premier temps, la vulgarisation et une bonne pédagogie devront permettre une meilleure compréhension des enjeux stratégiques de la SSI.

---

[1]Cf article du 1^er juillet « le droit de la sécurité des systèmes d’information (SSI) n’existe pas »

[2]Décision n° 2013-331 QPC du 05 juillet 2013 Société Numéricâble SAS et autre-JORF du 7 juillet 2013 page 11356

[3]Décret n° 2013-596 du 8 juillet 2013 supprimant la peine contraventionnelle complémentaire de suspension de l'accès à un service de communication au public en ligne et relatif aux modalités de transmission des informations prévue à l'article L. 331-21 du code de la propriété intellectuelle.

[4]Les trois autres procédures ont abouti à une amende de 150 euros, une  relaxe et une condamnation, assortie d'une dispense de peine.

[5]Le 9 juillet 2013, Madame Fillippetti, ministre de la Culture et de la Communication, aurait déclaré que l’HADOPI allait être supprimée.

[6]Délibération de la formation restreinte n° 2013-139 du 30 mai 2013 SAS PROFESSIONAL SERVICE CONSULTING dite PS Consulting

[7]Rapport annuel 2012 de la CNIL.

[8]Articles 321-1 à 321-4 du code pénal

Protection de la vie privée et sécurité informatique : la difficile conciliation

En 2011, le coût de la perte des données par les entreprises en France a été estimé à 2,5 millions d’euros [1]. Ces pertes de données sont issues des attaques informatiques dont le facteur  humain est le plus souvent la principale cause.

Salariés négligents, salariés malveillants, quelle est la réponse du droit du travail face à ce problème économique majeur ? Le droit suit-il les principes élémentaires de la sécurité informatique ?

La vie privée du salarié au travail est protégée d’une part par le code civil [2] et plus spécifiquement par le droit social [3]. Cette protection s’est adaptée à l’utilisation massive de l’informatique au travail mais a-t-elle également intégré les principes élémentaires d’hygiène informatique?

Un rapide rappel de la jurisprudence sociale et de la CNIL met en exergue une tendance significative à intégrer la vie privée numérique du salarié au travail. Toutefois, une vigilance particulière, autant du côté du salarié que de l'employeur, doit accompagnée cette intégration afin qu'elle reste raisonnable.

Dès 2004, la CNIL a, en effet, estimé qu’une interdiction générale et absolue de toute utilisation d’Internet à des fins autres que professionnelles ne paraissait pas réaliste et semblait même disproportionnée. Ainsi, l’utilisation d’Internet à des fins autres que professionnelles doit être tolérée si l’usage est raisonnable et n’affecte pas la sécurité des réseaux ou la productivité de l’organisme.

De même, pour la CNIL, l’utilisation de keyloggers [4] ne peut être envisagée dans un contexte professionnel qu’en présence d’impératifs forts de sécurité et après avoir fait l’objet d’une information spécifique des salariés. Ce traitement doit également faire l’objet des formalités préalables obligatoires auprès de la CNIL.

Enfin, par un arrêt du 12 février 2013 [5], la Cour de cassation a énoncé qu’un support de stockage connecté au poste de travail professionnel d’un salarié est présumé professionnel permettant ainsi à l’employeur d’accéder à son contenu en l’absence du salarié, sauf si les dossiers sont identifiés comme personnels. 

Le meilleur moyen de concilier les droits et devoirs du salariés et de l'employeur est de réglementer l'usage des nouvelles technologies de l'information dans la sphère professionnelle par la charte informatique de l'organisme qui doit également intégrer des principes de sécurité informatique.

Concernant l’accès des postes de travail à Internet, celui-ci doit être parfaitement maîtrisé et limité autant que possible, nul besoin que chaque salarié ait un accès personnel à Internet. Un poste dédié et maîtrisé pour l’ensemble d’un service suffit [6]. Ceci limite de facto l’usage abusif d’Internet par les salariés, limite les accès de l’extérieur sur le réseau de l’entreprise et cela empêche tout échange de données non maîtrisé.

L'objectif des keyloggers est d'enregistrer et de restituer tout le travail qui a été réalisé par un utilisateur. L’employeur peut avoir accès aux touches enregistrées permettant effectivement de retracer le travail courant du salarié. Mais ce logiciel peut être aisément piraté facilitant la récupération de, notamment, tous les identifiants et mots de passe utilisés sur le poste de travail.

Finalement, l’organisme doit mesurer les risques d’installer de tels dispositifs car, d’une part, la surveillance abusive des salariés est sanctionnée légalement [7] mais, d’autre part, un pirate peut facilement s’en servir pour espionner le travail produit par le salarié.

En outre, la connexion d’un support amovible personnel non sécurisé sur le poste de travail professionnel représente une faille de sécurité majeure [8] .

Dès lors, il est recommandé que l’organisme interdise strictement l’usage de supports amovibles personnels sur les postes contenant des informations considérées comme sensibles par l’organisme et mette à disposition de ses salariés des supports de stockage dédiés au strict usage professionnel. Une sensibilisation du personnel sur les risques de fuite d’informations sensibles, autant pour l’organisme que pour le salarié susceptible d’être licencié [9], doit accompagner ces règles de sécurité.

La protection de la vie privée reste un droit inaliénable de l’individu qui s’exerce et doit continuer à s’exercer, en partie et raisonnablement, dans le monde professionnel afin de préserver la sphère privée et l’identité même de chaque individu. Toutefois, face aux intérêts économiques et stratégiques des entreprises, le droit se doit également de protéger le patrimoine informationnel de chaque entité morale et d’intégrer des obligations de sécurité informatique.

Face à la perte d'informations de l'organisme, la responsabilité peut-elle être partagée entre le salarié négligeant et l’employeur n’ayant pas assez sécurisé ses postes de travail? 

---

[1] Rapport de Symantec : 2011Cost of Data Breach Study : France

[2] L’article 9 du code civil dispose que « Chacun a droit au respect de sa vie privée ».

[3]L’article L1121-1 du code du travail dispose que «  Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ».

[4] Les keyloggers  sont des dispositifs logiciels de surveillance, parfois téléchargeables gratuitement sur le web, qui se lancent automatiquement à chaque démarrage de la session de l’utilisateur, à son insu.

[5] Cass., ch.soc.12 février 2013, Mme X. c.PBS

[6] Règle 4 du guide d’hygiène informatique publié par l’ANSSI : « Limiter le nombre d’accès Internet de l’entreprise au strict nécessaire : Il convient de connaître précisément les points d’accès à Internet (box ADSL, etc.) et les interconnexions avec des réseaux partenaires et de les limiter au strict nécessaire de manière à pouvoir plus facilement centraliser et rendre homogène la surveillance des échanges ».

[7] La loi d’orientation et de programmation pour la performance de la sécurité intérieure du 14 mars 2011 punit de 5ans d’emprisonnement et de 300000 euros d’amende l’utilisation, mais aussi la vente, de certains dispositifs de captation de données informatiques à l’insu des personnes concernées.

[8] Règle 5 du guide d’hygiène informatique publié par l’ANSSI : « Interdire la connexion d’équipements personnels au système d’information de l’organisme ».

[9] Cass., ch.soc.12 février 2013, Mme X. c.PBS