Lutte juridique contre le terrorisme sur Internet

 Matt Murphy - EI cyberwar -http://www.leblogducommunicant2-0.com/2014/09/27/terrorisme-reseaux-sociaux-nabandonnons-pas-le-terrain-de-linfluence-aux-integristes/

Le web, nouvel outil d’embrigadement pour les terroristes

Les attentats terroristes subis à Paris en ce début d’année ont mis en exergue l’utilisation du web comme outil et vecteur de la radicalisation terroriste.

En effet, le web est la meilleure vitrine que les djihadistes puissent rêver afin de diffuser leur propagande dans le monde entier et dans toutes les langues ainsi que de recruter le plus facilement possible les candidats au Djihad.

De plus, le web permet aux terroristes de récupérer des informations stratégiques mal protégées et de s’organiser à distance pour la préparation de leurs attentats ainsi que d’agir directement par de simples défigurations de sites Internet ou des dénis de service.

Face à ce phénomène de violence amplifié par la Toile, quelles sont les réponses juridiques existantes en France ?

Un arsenal juridique resserré sur le terrorisme et avec des contrôleurs multiples

En matière de lutte du terrorisme sur Internet, la principale mesure est la chasse aux connexions des internautes sur des sites de propagande terroriste.

Depuis la loi LOPPSI de 2011[1], il possible pour la police dans le cadre d’une procédure judiciaire de récupérer des données informatiques. Cela est permis par les articles 706-102-1 à 706-102-9 du code de procédure pénal qui autorisent la mise en place d’un dispositif technique au domicile de l’internaute à son insu ou par l’installation à distance de ce dispositif.

Depuis la loi de programmation militaire (LPM) du 18 décembre 2013[2], les services de renseignement français, en dehors de toute procédure judiciaire, peuvent collecter auprès de tous les fournisseurs d’accès à Internet n’importe quelle donnée de connexion technique d’une personne désignée.

Enfin, avec la loi du 13 novembre 2014 [3], l’autorité administrative soit les officiers de police judiciaire, a le pouvoir de faire retirer, en demandant directement à l’éditeur ou à l’hébergeur du site, les contenus de sites Internet provoquant directement à des actes de terrorisme ou faisant publiquement l’apologie de ces actes, ou d’en faire bloquer l’accès, à l’instar de ce qui a été prévu par la LOPPSI concernant les contenus à caractère pédopornographiques. A défaut du retrait des contenus illicites dans le délai de vingt-quatre heures, l’autorité administrative peut notifier aux fournisseurs d’accès à Internet la liste des sites Internet concernés afin qu’ils en bloquent l’accès sans délai.

Par ces trois lois, il apparaît clairement que le contrôle judiciaire s’écarte de plus en plus de l’action des autorités administratives. Le débat provoqué par l’adoption de ces textes et qui fut le même lors de l’adoption de la loi HADOPI[4] se situe sur la disparition du contrôle préalable de l’autorité judiciaire qui est supprimé au profit de l’autorité administrative.

Une solution pourrait résider dans le blocage hybride à savoir effectué par la l’autorité judiciaire mais à l’initiative d’une autorité administrative. Ce système existe déjà pour les sites proposant des jeux d’argent ou de hasard où les tribunaux donnent droit ou non à une demande de l’ARJEL[5] concernant le blocage de sites litigieux.

Ces demandes au tribunal pourraient d’ailleurs être facilement alimentées par le dispositif instauré par la loi pour la confiance dans l'économie numérique (LCEN) du 21 juin 2004[6] qui oblige les hébergeurs de mettre en place un mécanisme facilement accessible et visible permettant à toute personne de porter à leur connaissance des données répréhensibles, à l’image de la devenue célèbre plateforme Pharos[7].

Toutefois, au final et concrètement, il appartient de s’interroger sur l’efficacité de cet arsenal juridique. Il est certain qu’il ne sert à rien de se précipiter dans la volonté d’une surveillance généralisée du web car d’une part les contenus de la toile restent avant tout une source de renseignements très précieuse pour les services de renseignements[8] et d’autre part, l’utilisation du chiffrement ou de plateformes d’échanges alternatifs tels RuTube permettra toujours de contourner les mesures de contrôle imposées par la loi française.

Par contre, il est indéniable qu’il faille augmenter les moyens humains et financiers, autant du ministère de l’intérieur que du ministère de la justice ainsi que renforcer la coopération européenne voire internationale en cybercriminalité afin de pouvoir sanctionner les sites terroristes même quand le site se situe à l'étranger.

Le temps législatif ne doit pas être guidé par l’émotion, les meilleures lois ne sont pas celles rédigées dans l’urgence. Avant de se précipiter dans l'écriture de nouvelles législations, il est important dans un premier de réaffirmer simplement les infractions existantes en matière de censure des contenus illicites sur Internet[9] et leurs punitions. Ces dernières doivent être appliquées avec discernement et sans zèle[10] par la justice, première garante, avant la police, du bon équilibre entre les libertés individuelles et la sécurité de la nation.

Sources : « Le terrorisme et les libertés sur l’internet » par Philippe Ségur pp.160-165 ; AJDA  n°3 du 2 février 2015.

 "Loi du 13 novembre 2014 sur la lutte contre le terrorisme : sur le blocage des sites internet, la liberté d'expression et le risque d'abus de la notion de terrorisme" par Antoine Cheron, Avocat

---

[1] Loi n°2011-267 du 14 mars 2011 d’orientation et de programmation pour la performance de la sécurité intérieure (LOPPSI)

[2] Loi n° 2013-1168 du 18 décembre 2013 relative à la programmation militaire pour les années 2014 à 2019 et portant diverses dispositions concernant la défense et la sécurité nationale

[3] Loi n° 2014-1353 du 13 novembre 2014 renforçant les dispositions relatives à la lutte contre le terrorisme

[4] Loi n° 2009-669 du 12 juin 2009 favorisant la diffusion et la protection de la création sur internet

[5] Autorité de régulation des jeux en ligne

[6] Loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique

[7] Le portail officiel de signalement de contenus illicites de l’Internet (internet-signalement.gouv.fr) rattaché  à l’office central de lutte contre la criminalité liée aux technologies de l'information et de la communication (OCLCTIC)

[8] http://www.lexpress.fr/actualite/monde/proche-moyen-orient/un-djihadiste-oublie-de-desactiver-la-geolocalisation-et-se-fait-reperer-sur-twitter_1637021.html

[9] Il existe notamment les articles 227-23 et 227-24 du code pénal qui visent à protéger les mineurs contre la pédopornographie et les articles R624-3 et R625-7 et suivants du code pénal qui sanctionnent des diffamations et injures non publiques présentant un caractère raciste ou discriminatoire et des provocations non publiques à la discrimination, à la haine ou à la violence

[10] Article de Maître Eolas : http://www.dalloz-actualite.fr/chronique/juge-et-guepe#.VM6YFCyKKl7

Le droit de la SSI, quelles sanctions ?

Précédemment,  nous évoquions que le droit de la SSI n’existait pas en tant que tel mais qu’il existait plutôt une multitude de dispositions légales relatives à la SSI, éparpillées dans le vaste corpus juridique français[1].

Toutefois, peut importe de l’existence d’un droit sanctifié de la SSI tant que celui-ci arrive à s’imposer. Ainsi, il s’agit surtout de s‘interroger sur l’applicabilité réelle des aspects légaux de la SSI et, notamment, de l’efficacité des éventuelles sanctions existantes.

L’actualité des derniers mois souligne que certaines de ces sanctions SSI semblent un peu malmenées.

Tout d’abord, dans un arrêt du 5 juillet 2013, le Conseil Constitutionnel saisi d’une question prioritaire de constitutionnalité (QPC) a déclaré inconstitutionnels les 12 premiers alinéas de l’article L36-11 du code des postes et des communications électroniques (CPCE) relatifs aux modalités de sanction par l’ARCEP d’exploitants de réseaux ou de fournisseurs de services de communications électroniques en cas de manquements de ces derniers. Le Conseil Constitutionnel a déclaré que ces dispositions violaient le principe d’impartialité garanti par la Constitution en n’assurant pas « la séparation au sein de l’Autorité entre, d’une part, les fonctions de poursuite et d’instruction des éventuels manquements et, d’autre part, les fonctions de jugement des mêmes manquements »[2].

Cette décision est d’effet immédiat et est donc applicable à toutes les procédures en cours devant l'ARCEP ainsi qu'à toutes les instances non définitivement jugées à cette date. Ainsi, un vide juridique est apparu et l’ARCEP se retrouve, en partie, démunie pour sanctionner les opérateurs.  
Un autre exemple emblématique est la suppression de la sanction phare du dispositif HADOPI à savoir la coupure d’accès à Internet d’un abonné suite à des téléchargements illégaux réitérés. En cause, le décret du 8 juillet 2013[3] qui supprime la peine contraventionnelle complémentaire de suspension de l’accès Internet.  Le texte stipule donc que « seule une peine d'amende [...] pourra désormais être prononcée pour l'infraction de négligence caractérisée. » Officiellement, en quatre ans d’existence de la Haute autorité, seules quatre procédures ont fait l'objet de décisions judiciaires définitives dont une seule avait prononcé, en juin 2013, une suspension de 15 jours de la connexion internet[4].

L’HADOPI ne se retrouve pas, sans cette menace, désarmée dans sa lutte contre le téléchargement illégal mais le symbole de la suppression reste fort. D'autant plus que l’avenir de l’HADOPI apparaît de plus en plus incertain[5].

Ces deux exemples spécifiques ne font que souligner le constat évident que le droit de la SSI est difficilement applicable en raison du manque de sanctions efficaces.

Pourtant, les efforts en matière de cybersécurité sont de plus en plus mis en avant. En témoigne, entre autres, la montée en puissance de l’ANSSI. Sauf que, l’ANSSI, autorité nationale, ne dispose pas de pouvoir de sanction. Or, dans un domaine voisin, celui de la protection des données à caractère personnel, la CNIL, Autorité Administrative Indépendante (AAI) le possède.

En effet, la CNIL a, notamment, recours aux sanctions pécuniaires et pour des motifs de plus en plus large : par exemple, la délibération du 30 mai 2013, a sanctionné, en partie, la présence de mots de passe trop simples (suites de 5 caractères)[6].

Cependant, les contrôles de la CNIL, augmentent mais restent toujours une goutte d’eau dans un océan : 458 contrôles en 2012 soit une augmentation de 19 % par rapport à 2011 avec 173 contrôles relatif au dispositif de vidéosurveillance parmi 8946 déclarations relatives à ce même dispositif de vidéosurveillance soit un pourcentage de contrôle de 2%[7]. C’est déjà ça !

Le Livre blanc de la défense et de la sécurité nationale paru le 29 avril 2013 met en avant le renforcement législatif et réglementaire du domaine cyber et notamment concernant les opérateurs d’importance vitale (OIV) qui devront respecter des standards de sécurité mais surtout, prendre des mesures nécessaires pour détecter et traiter tout incident informatique touchant leurs systèmes d’information sensibles.

Les fondements de ce nouveau dispositif devraient être mis en place dans la prochaine loi de programmation militaire (LPM) dont le vote est prévu pour la fin de l’été. Souhaitons que ce dispositif prévoit des sanctions réalistes, justes et efficaces.

Enfin, dernière proposition : agir sur l’humain.

La bonne application de toute loi s’effectue par une bonne compréhension des dispositions législatives par les juges et avocats, premiers destinataires des lois. Or, force est de constater que les dispositions pénales relatives à la SSI[8] qui devraient être, par principe, assorties de sanctions efficaces sont rarement utilisées. Les jurisprudences sont quasiment absentes et les peines maximales indiquées ne sont que partiellement appliquées.

Ainsi, le levier de la formation et la sensibilisation des professions judicaires à la SSI et à ses problématiques doit être rapidement actionné. Dans un premier temps, la vulgarisation et une bonne pédagogie devront permettre une meilleure compréhension des enjeux stratégiques de la SSI.

---

[1]Cf article du 1^er juillet « le droit de la sécurité des systèmes d’information (SSI) n’existe pas »

[2]Décision n° 2013-331 QPC du 05 juillet 2013 Société Numéricâble SAS et autre-JORF du 7 juillet 2013 page 11356

[3]Décret n° 2013-596 du 8 juillet 2013 supprimant la peine contraventionnelle complémentaire de suspension de l'accès à un service de communication au public en ligne et relatif aux modalités de transmission des informations prévue à l'article L. 331-21 du code de la propriété intellectuelle.

[4]Les trois autres procédures ont abouti à une amende de 150 euros, une  relaxe et une condamnation, assortie d'une dispense de peine.

[5]Le 9 juillet 2013, Madame Fillippetti, ministre de la Culture et de la Communication, aurait déclaré que l’HADOPI allait être supprimée.

[6]Délibération de la formation restreinte n° 2013-139 du 30 mai 2013 SAS PROFESSIONAL SERVICE CONSULTING dite PS Consulting

[7]Rapport annuel 2012 de la CNIL.

[8]Articles 321-1 à 321-4 du code pénal