Informatique

Intrusion dans un système informatique

Le piratage informatique est aujourd’hui un problème quotidien qui affecte notamment de nombreuses entreprises. Pour lutter contre ce fléau, le législateur est intervenu.  Avec la loi Godfrain du 5 janvier 1988 qui est venue créer des infractions nouvelles comme l’accès et le maintien frauduleux dans un système de traitement automatisé de données. Cependant, des problèmes nouveaux en lien avec le numérique apparaissent constamment.

NOUVEAU : Utilisez nos services pour vous défendre en cas de piratage informatique en passant par le formulaire !

A titre d’exemple, l’aspiration d’un site web est aujourd’hui une technique répandue. Elle consiste à récupérer entièrement ou en partie, le contenu d’une surface interactive et de l’archiver dans le disque dur de son ordinateur. Ainsi, l’internaute peut y avoir accès même lorsqu’il se trouve  hors connexion.

On remarque de nombreuses similitudes entre la technique d’intrusion dans un système informatique et celle de l’aspiration de site. Notamment en ce qui concerne le mode d’exécution. Pour les deux techniques, des programmes ou logiciels spécifiques sont utilisés, que ce soit pour accéder dans un système de traitement automatisé de données ou pour  » aspirer  » un site web. Néanmoins, les deux techniques ne font pas l’objet des mêmes poursuites.


Besoin de l’aide d’un avocat pour un problème de piratage informatique?

Téléphonez-nous au : 01 43 37 75 63

ou contactez-nous en cliquant sur le lien


Concernant le cas de l’accès et maintien frauduleux dans un système informatique, on parle bien ici d’une infraction pénale. Elle se caractérise par le fait d’entrer dans un système informatique en forçant l’accès. Les dispositions du Code pénal permettent de lutter contre les intrusions frauduleuses (connexion pirate, appel d’un programme ou d’un fichier sans autorisation etc), le maintien frauduleux, l’entrave d’un système ou l’altération de son fonctionnement (virus, mail bombing etc), ainsi que l’altération, la suppression ou l’introduction de données pirates.

Dans le cas de l’aspiration de site, il n’existe pas de disposition légale spécifique. Cependant, copier une partie ou intégralement un site web qui ne nous appartient pas dans l’objectif de visualiser le contenu sans être connecté, peut porter atteinte aux droits d’auteur du créateur dudit site.

I. L’intrusion dans un système informatique.

Le hacker dans le monde informatique, ne cherche pas nécessairement à entrer dans un système pour y voler des données ou les supprimer. Il existe différents types de hacker, certains ont juste pour objectif de démontrer l’existence d’une faille de sécurité. Dans tous les cas, le fait de s’introduire dans un système informatique est susceptible de poursuite pénale.

Afin de s’introduire dans un système, le hacker peut utiliser un programme cachant lui-même un programme « net »  (par exemple reçu dans la boite aux lettres ou téléchargé). Il sera par exemple possible de tenter d’accéder au Back office pour pouvoir administrer l’ordinateur à distance. Également, l’objectif du hacker peut porter sur le fait d’obtenir par le biais d’un programme le mot de passe du système informatique, il pourra également utiliser des programmes de déchiffrage.

Une fois que le pirate a accès au système il pourra : modifier les données, supprimer des données, copier les données ou encore installer des programmes malveillants tels que des virus.

A) La responsabilité pénale

Dès 1988 le législateur s’est emparé de la question de l’intrusion dans un système avec la loi Godfrain du 8 janvier 1988.

Aujourd’hui les dispositions de cette loi ont été reprises et améliorées. On retrouve dans le code pénal un chapitre intitulé  » Des atteintes aux systèmes de traitement automatisé de données « ,

Ainsi, les intrusions non autorisées seront sanctionnées. Les sanctions prévues varient selon que l’intrusion a eu ou non une incidence sur le système en cause.

Il est prévu à l’article L.323-1 du Code pénal que  » le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de deux ans d’emprisonnement et de 60 000 € d’amende » « .

1) Accès frauduleux

Dans un arrêt rendu le 5 avril 1994, la Cour d’appel a considéré que  » l’accès frauduleux, au sens de la loi, vise tous les modes de pénétration irréguliers d’un système de traitement automatisé de données, que l’accédant travaille déjà sur la même machine mais à un autre système, qu’il procède à distance ou qu’il se branche sur une ligne de communication « .

Mais alors, quand est-il si le système en question n’est pas protégé ? Dans un arrêt rendu le 30 octobre 2002, la Cour d’appel de Paris a énoncé que le fait de pouvoir accéder à des données qui sont stockées sur un site en utilisant un simple navigateur, dès lors que des failles de sécurité existent, n’était pas répréhensible.

Le Tribunal de grande instance de Paris avait quant à lui estimé que l’existence de faille de sécurité ne constituait  » en aucun cas une excuse ou un prétexte pour le prévenu d’accéder de manière consciente et délibérée à des données dont la non-protection pouvait être constitutive d’une infraction pénale « .

Il est à noter que l’article 226-17 du Code pénal réprime « Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures » de sécurité et toute les précautions utiles pour préserver la sécurité de ces informations.

2) Le maintien frauduleux

Également, le simple fait de se maintenir dans un système de traitement automatisé de données est réprimandé. Sur l’élément intentionnel de l’infraction, la doctrine et la jurisprudence s’accordent sur le fait que même si une personne s’est retrouvée par erreur dans un système informatique, le simple fait de s’y être maintenue constitue un maintien « frauduleux ». En effet, dès lors le délinquant à conscience qu’il n’a pas le droit de se trouver ici car ni l’accès ni le maintien ne lui a été autorisé.

En ce sens la Cour d’appel de Paris dans un jugement rendu le 5 avril 1994 a énoncé que « le maintien frauduleux ou irrégulier dans un système de traitement automatisé de données de la part de celui qui y est entré par inadvertance ou de la part de celui qui, y ayant régulièrement pénétré, se serait maintenu frauduleusement »

3) Les intrusions avec dommages

L’article 323-1 du Code pénal a prévu des sanctions plus importantes lorsque l’intrusion dans le système et le maintien frauduleux à des conséquences. L’alinéa 2  prévoit un renforcement des sanctions, lorsque l’intrusion et le maintien frauduleux ont certaines conséquences :

 » Lorsqu’il en résulte soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de deux ans d’emprisonnement et de 30 000 euros d’amende  »

Ne sont concernées par cet article que les altérations involontaires. L’entrave volontaire au système ou l’entrave volontaire aux données sont visés par les articles 323-2 et 323-3 du nouveau Code pénal.

Les entraves volontaires au système ou aux données s’y trouvant.

L’entrave volontaire au système est définie à l’article 323-2 du Code pénal comme  » Le fait d’entraver ou de fausser le fonctionnement d’un système de traitement automatisé de données « . Le peine encourue est de cinq ans d’emprisonnement et de 150 000 € d’amende. »

Est notamment visé par cette infraction : l’introduction des programmes susceptibles d’entraîner une perturbation au système, tels que les virus, les bombes logiques etc.

Est sanctionné par l’article 323-3 nouveau du Code pénal : l’introduction, l’extraction, la détention, la reproduction, la transmission dans un système informatique.

Ainsi, l’article s’applique pour des faits très nombreux. Les infractions peuvent être par exemple l’introduction afin de réduire le prix d’une marchandise sur un site de e-commerce ou de supprimer intégralement le contenu d’une base de données d’une entreprise.

Les agissements du hacker constituent généralement une perte financière très importante pour l’entreprise ciblée.

B ) La responsabilité civile

1) La responsabilité civile délictuelle

La notion de faute est au fondement du droit commun de la responsabilité civile délictuelle. On l’a retrouve à l’article 1382 du Code civil.

Pour que la responsabilité civile délictueuse soit engagée, il faut : une faute, un dommage et un lien de causalité entre la faute et le dommage.

Dans cette infraction, la faute correspond au fait de s’introduire dans un système informatique sans y avoir été autorisé préalablement. En ce qui concerne le dommage, celui-ci pourra par exemple être caractérisé par une perte financière, une altération des données ou encore par la communication d’informations privées à des tiers. Il faudra ensuite établir de manière claire le lien de causalité.

Que se passe-t-il si le hacker n’est pas de nationalité française ou si ce dernier commet l’infraction de l’étranger ? Qui dispose de la compétence juridique et quelle loi est applicable ?

En droit français, par principe le tribunal compétent est celui du domicile du défendeur. , à moins que le demandeur, s’il est français, ne souhaite invoquer le privilège de juridiction des articles 14 et 15 du Code civil. Or, ce dernier privilège est interdit dans le cadre de la Communauté européenne par la Convention de Bruxelles de 1973, devenue en 2000 un règlement « , puis, en 2012, le règlement  » concernant la compétence judiciaire, la reconnaissance et l’exécution des décisions en matière civile et commerciale « .

S’il s’agit d’un délit ou d’un quasi délit, au regard des articles 5§3 et 7§2 de la Convention de Bruxelles et du règlement n° 1215/2012 de la Convention de Bruxelles et du règlement 44/2001 précité, il existe une règle de compétence spéciale en faveur du tribunal où le fait dommageable s’est produit ou risque de se produire.

Ce lieu peut être aussi bien celui où le dommage est survenu qui celui de l’événement causal qui est à l’origine de ce dommage (CJCE, 30 novembre 1976, aff. C-21/76, Mines de potasse d’Alsace : Rec. CJCE, p. 1735).

Si le dommage qui a été causé par l’intrusion est survenu au sein système informatique d’une société domiciliée en France, les juridictions françaises seraient sans doute compétentes pour juger le litige.

Quant à la loi applicable, le juge applique, de manière générale la lex loci delicti, c’est à dire la loi où le fait dommageable s’est produit. Dans un arrêt rendu par La Cour de Cassation en sa première chambre civile le 14 janvier 1997, il a été jugé que le lieu où le fait dommageable s’est produit s’entend aussi bien de celui du fait générateur du dommage que du lieu de réalisation de ce dernier.

2) La responsabilité civile contractuelle.

La responsabilité civile contractuelle de l’hébergeur du site peut être engagée. Tout dépendra des clauses prévues dans le contrat d’hébergement, notamment en ce qui concerne les clauses de sécurité du site et de la mise en place de systèmes informatiques de protection contre toute forme d’intrusion.

Si une telle clause existe, il convient de qualifier l’obligation de l’hébergeur. Est-ce une obligation de résultat ou seulement de moyen. Généralement, il s’agira d’obligation de moyen, ainsi le prestataire devra être en mesure d’apporter la preuve qu’il n’a pas manqué aux obligations normales qui lui incombaient, en cas d’intrusion informatique non autorisée. S’il rapporte une telle preuve, alors sa responsabilité ne sera pas retenue.

Il convient de parler de la blockchain. Il s’agit d’un outil numérique permettant de sécuriser un réseau informatique. Différentes opérations peuvent être enregistrées par le biais de cette plateforme numérique. Initialement elle était utilisée pour enregistrer toutes les opérations financières effectuées en bitcoin. Dès lors qu’une vente était réalisée à partir du Bitcoin, la transaction apparaissait automatiquement sur un registre blockchain.

Pour imager la blockchain, il suffit de penser un gigantesque livre numérique ou un tableau Excel qui liste chacune des actions entreprises dans l’ordre chronologique dans lesquelles elles ont eu lieu. Une blockchain est donc comparable à un historique de compte d’une banque sur lequel toutes les opérations financières sont recensées.

Toute la sécurité de la blockchain repose notamment sur le fait qu’elle soit décentralisée, il est donc beaucoup plus difficile de la pirater. Car pour ce faire, il faudrait déjouer le système de sécurité de tous les utilisateurs du registre en même temps. Par conséquent, à l’inverse des moyens classiques de stockage (USB, disque dur, cloud etc) qui sont gérés par un membre en particulier ou une entité (entreprise, état, banque etc), ici, la gestion de la blockchain sera partagée entre tous ses membres sans tiers intermédiaire.

Un nouveau bloc se crée à chaque nouvel utilisateur intégré à la blockchain. Ce block s’ajoutera au précédent. Ils contiennent chacun les informations partagées avec chaque utilisateur. Ces blocs sont scellés les uns aux autres ce qui forme donc une chaîne de blocs. Ainsi, dès lors qu’ un acte malveillant est détecté les autres participants appelés aussi nœuds du réseau sont immédiatement informés et peuvent empêcher cette intrusion.

Des mineurs sont nommés parmi les nœuds pour participer à la sécurisation du système. Ces derniers devront résolver des énigmes cryptographiques ce qui permet la validation des opérations.

La véracité de l’information est automatiquement garantie dès lors qu’elle est enregistrée sur un registre de la blockchain. Elle ne pourra donc plus être supprimée ou modifiée. La seule et unique possibilité sur cette base de données est donc d’ajouter des éléments.

Pour protéger des données sensibles, la blockchain s’avère particulièrement utile. C’est notamment le cas avec les données de santé. Ici, les informations pourront être protégées car elles seront décentralisées ce qui empêchera le risque lié aux données dès lors que la base de données d’un hôpital est attaquée. En effet, aujourd’hui les hôpitaux sont souvent la cible d’attaque. Actuellement, les dossiers médicaux de chaque patient, les laboratoires les résultats d’analyse, les généralistes et les pharmaciens ont aussi leurs propres données comme le dossier pharmaceutique.

Ainsi, une confiance maximale pourrait être instaurée entre le médecin et son patient avec l’utilisation de la blockchain. . Le patient peut ainsi nouer en toute quiétude un contact avec différents professionnels de santé qui représentent chacun un bloc du réseau de la blockchain. Ces derniers peuvent alors apporter des informations supplémentaires au registre du patient avec son consentement. Le consentement du patient permet d’accéder au registre, de consulter les informations qui s’y trouvent ou d’ajouter de nouveaux blocs.

En effet si la blockchain fonctionne sans intermédiaire, les données appartiennent quand même à un « propriétaire » qui doit plus être considéré comme un gestionnaire des données, en l’occurrence dans cette hypothèse c’est le patient. Pour sécuriser son dossier blockchain, le patient dispose de deux clés de sécurité, une clé publique et une clé privée.

Une clé privée permet de déchiffrer une clé publique, elles fonctionnent ensemble, mais l’inverse n’est pas possible. Cela permet une sécurité très importante du moment que la clé privée reste avec son propriétaire. La clé publique est une adresse de réception. Elle est comparable à une adresse postale permettant de recevoir du courrier dans sa boîte aux lettres. La clé privée est dans cet exemple le seul moyen d’ouvrir cette boîte.

La blockchain a d’abord été utilisée pour le bitcoin. Mais cette technologie peut servir dans bien d’autres cas. Elle possède de nombreuses qualités : Immutabilité, sécurité, traçabilité, intégrité.

Son intérêt pour les professionnels, les clients ou encore les patients n’est plus à prouver. Aujourd’hui la sécurité est essentielle et il est difficile de cacher des informations confidentielles sur internet, cet outil pourrait bien s’avérer être la meilleure solution pour lutter efficacement contre les fraudes, les cyberattaques ou le piratage de données.

D’autant que d’un côté l’utilisation d’internet et des appareils connectés s’accroît d’année en année, mais de l’autre la méfiance qu’ils suscitent aussi. Les bases de données centralisées contiennent énormément d’informations concernant leurs utilisateurs et le seul moyen de les protéger est de faire confiance au site, à l’entité qui détient toutes ces données.

Les utilisateurs leur sont donc complètement dépendants et n’ont d’autre choix que de se fier à la protection offerte par ces tiers. Si celle-ci est insuffisante, défaillante ou inexistante alors l’utilisateur ne pourra rien faire pour protéger ses données. La blockchain apparaît donc comme l’outil idoine pour remédier à toutes ces carences.

II. Les mesures préventives

Bien qu’il soit possible d’intenter une action a posteriori contre le responsable de l’intrusion existe. Est-ce, pourtant, une solution efficace ?

Toute la difficulté de l’action réside dans la preuve de l’intrusion. Surtout si celle-ci a été effectuée à partir d’un réseau ouvert de type Internet.

Bien que l’on puisse détecter l’origine de cette intrusion, identifier la personne à l’origine de celle-ci peut s’avérer particulièrement compliqué.

Il est à rappeler l’importance des dommages qu’une intrusion dans un système informatique peut causer, tant sur la crédibilité de l’entreprise que sur ses finances. Ainsi, avant tout, il convient de mettre en place des mesures de sécurité.

Il est donc nécessaire d’insérer dans tous les contrats techniques une clause concernant la sécurité du contenu du système en cause, sous le double angle de la sécurité physique et logique.

Dans le premier cas, il s’agira de déterminer les conditions d’accès au serveur en tant que matériel informatique (contrôle des personnes ayant accès dans l’espace où sera localisé le serveur, conditions d’intervention en cas de panne etc).

Dans l’hypothèse de la sécurité logique, le prestataire devra assurer la mise en place de systèmes informatiques de protection conformes aux technologies disponibles (sécurité logicielle, fire wall, anti-virus etc). A cet effet, une des solutions les plus efficaces consiste à isoler l’ordinateur connecté à l’Internet, afin d’empêcher les utilisateurs de s’en servir pour naviguer sur l’ensemble du système informatique. Les systèmes de signature électronique et de cryptologie permettent également d’assurer la sécurité des échanges.

Une entreprise pourrait souscrire une assurance contre le risque d’attaque informatique, ici, le dédommagement dépendra alors du type d’assurance souscrite.

III. L’aspiration de site

Comme expliqué précédemment, l’aspiration d’un site correspond à copier en partie ou entièrement un site web sur le disque dur de son ordinateur pour y avoir accès même hors connexion. Une fois le site « aspiré » l’utilisateur pourra l’ouvrir sans aucun problème, il n’aura plus de risque de coupure de connexion.

Certains logiciels tels que Mémoweb permettent de récupérer les images, les sons, de préserver les liens entre les pages, et offrent de multiples capacités de traitement supplémentaires (mise à jour automatique des sites et des changements éventuels, comparaison périodique de pages…).

Cette technique d’aspiration de site pose de nombreux problèmes, notamment au regard du droit d’auteur. On verra que les réponses données par l’application du droit de la propriété intellectuelle peuvent varier selon la catégorie à laquelle l’œuvre en cause s’attache.

A) L’aspiration de site face aux droits de propriété intellectuelle

1) Droit d’auteur

En France, l’auteur d’un œuvre bénéficie d’une protection importante. La protection est prévue dans le code de la propriété intellectuelle. Également, au niveau européen, la directive CE 2001/29 du 22 mai 2001 porte sur l’harmonisation de certains aspects du droit d’auteur et des droits voisins dans la société de l’information.

Le tribunal de commerce de Paris a énoncé dans un arrêt rendu le 9 février 1998 que le contenu des pages web est protégeable au titre des droits d’auteurs. Pour cela, il faut que les critères posés par le CPI – création originale, fixée sur un support- soient remplis. Ainsi, l’art. L.122-4 du CPI dispose que  » Toute représentation ou reproduction intégrale ou partielle faite sans le consentement de l’auteur ou de ses ayants cause est illicite  » et elle est donc punie à titre de contrefaçon.

Il est à souligner que l’interdiction de reproduction intégrale ou partielle de l’œuvre réaliser dans le consentement de son auteur ne s’applique pas pour  » les copies ou reproductions réalisées à partir d’une source licite et strictement réservées à l’usage privé du copiste et non destinées à une utilisation collective  » selon l’article 122-5 2° du CPI

Ainsi, il est tout à fait possible de considérer que l’aspiration d’un site puisse être considérée comme l’exercice par l’utilisateur de son droit de copie privée d’une œuvre déjà divulguée.

En d’autres termes, la légitimité de la technique d’aspiration d’un site, face au droit d’auteur qu’on présume applicable, dépend, comme c’est le cas pour tous les œuvres de l’esprit bénéficiant de la protection par ce dernier, de l’utilisation qu’en est faite. Ainsi, la projection d’un site aspiré devant un publique serait, sans doute, considérée comme une utilisation collective de l’œuvre et serait, donc, interdite, à moins que le titulaire des droits n’ait pas donné préalablement son accord.

2) La protection des bases de données

L’article L.341 du Code de propriété intellectuel énonce que « Le producteur d’une base de données, entendu comme la personne qui prend l’initiative et assure le risque des investissements correspondants, bénéficie d’une protection du contenu de la base lorsque la constitution, la vérification ou la présentation de celui-ci atteste d’un investissement financier, matériel ou humain, substantiel. Cette protection est indépendante et s’exerce sans préjudice de cesses résultant de celles du droit d’auteur ou d’un autre droit sur la base de données ou un de ses éléments constitutifs « .

L’article L.342-1 du CPI prévoit quant à lui que « Le producteur de bases de données a le droit d’interdire : 1. L’extraction, par transfert permanent ou temporaire de la totalité ou d’une partie qualitativement ou quantitativement substantielle du contenu d’une base de données sur un autre support, par tout moyen et sous toute forme que ce soit ; 2.  La réutilisation, par la mise à la disposition du public de la totalité ou d’une partie qualitativement ou quantitativement substantielle du contenu de la base, quelle qu’en soit la forme. Ces droits peuvent être transmis ou cédés ou faire l’objet d’une licence. Le prêt public n’est pas un acte d’extraction ou de réutilisation. »

Enfin, l’article 122-4 du CPI exclu quant à lui le droit de copie privée pour les  » copies et reproductions d’une base de données électronique « .

Mais qu’entend-on par base de donnée ? L’article L. 112-3 du CPI dispose qu’  » on entend par base de données un recueil d’œuvres, de données ou d’autres éléments indépendants, disposés de manière systématique ou méthodique, et individuellement accessibles par des moyens électroniques ou par tout autre moyen « .

Cependant, bien que certains sites web puissent être considérés comme des bases de données, la majorité d’entre eux ne le sont pas.

Cela s’explique car ils ne répondent pas à la définition de  » recueil d’œuvres, de données ou d’autres éléments indépendants, disposés de manière systématique ou méthodique « .

De ce fait, un site de compilation de données tel qu’un annuaire en ligne par exemple constitue bien une base de données, un site classique de type e-commerce ne semble quant à lui pas pouvoir être assimilé à une base de données. En effet, dans le cas de ce dernier, l’assemblage d’images, de sons et de textes n’a rien ni d’une disposition systématique, ni d’un recueil de données.

Mais alors, qu’en est-il des sites commerciaux qui constituent et mettent à jour en permanence des bases des données sur leurs clients ou des sites qui proposent des modes de recherche, nécessitant le passage par une ou plusieurs bases de données ?

Il faudra considérer qu’ici l’objet de la protection ne porte pas sur le site entier, mais uniquement sur la base elle-même. Cette dernière, d’ailleurs, n’est pas visible pas les internautes et par conséquent elle ne peut pas être aspirée. L’accès à une telle base constituerait l’infraction, décrite ci-dessus, d’accès et de maintien dans un système de traitement automatisé de données.

B) L’aspiration d’un site peut-elle être considérée comme une intrusion dans un système informatique ?

L’article 323-1 du Code pénal prévoit que pour sanctionner il faut une intrusion dans un système informatique. Or, il n’y a intrusion que si la pénétration dans le système informatique en cause a été effectuée de manière irrégulière par une personne non-autorisée.

La cour d’appel de Paris a démontré qu’il ne suffisait pas que la personne n’ait pas le droit d’accès au système, il fallait pouvoir démontrer qu’elle en ait forcé l’accès, en utilisant une méthode particulière et non pas un simple navigateur.

L’aspiration d’un site s’effectue bien sûr avec des logiciels spéciaux. En plus, dans la plupart de cas, l’utilisateur ne demande pas l’autorisation préalable du créateur du site. Or, l’accès à ce dernier n’est nullement forcé !

Enfin, si des dégâts au contenu ou au système du site ont été causés, le préjudice pourra être réparé sur le fondement de la responsabilité civile délictuelle, à la condition, toutefois, de rapporter la preuve du lien de causalité entre l’aspiration et le dommage.

Finalement, l’aspiration d’un site n’est rien d’autre qu’un téléchargement simultané de tous les éléments d’une page ou d’un site web. Mis à part l’hypothèse où le site puisse être considéré en lui-même comme une base de données et supposant que l’accès à celui-ci est libre, rien a priori ne semble s’opposer à son aspiration pour des fins privés.

Brevetabilité des logiciels

Les logiciels occupent aujourd’hui une place centrale dans la vie numérique. En effet, toute machine emporte avec elle un logiciel. Cependant une question qui s’est posée est celle de la brevetabilité des logiciels.

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire !

Selon la définition de l’Organisation mondiale de la Propriété intellectuelle (OMPI) un logiciel est « un ensemble d’instructions pouvant, une fois transposé sur un support déchiffrable par machine, faire indiquer, faire accomplir ou faire obtenir une fonction, une tâche ou un résultat particulier par une autre machine capable de faire du traitement de l’information ».

La conception du logiciel part de l’élaboration par un auteur d’un algorithme qui constitue un programme, que l’on appelle le « code source ». L’auteur peut lui donner la forme qu’il le souhaite du moment que ce code source peut être traduit en code binaire, également appelé « code objet », par un ‘compilateur’ afin d’être lu par un ordinateur.

Contrairement à une protection par le droit d’auteur, le brevetage d’un logiciel permettrait de protéger les fonctions même de ce dernier.


Besoin de l’aide d’un avocat pour un problème de contrefaçon ?

Téléphonez nous au : 01 43 37 75 63

ou contactez nous en cliquant sur le lien


Ainsi, est-il possible de breveter un logiciel en France ?

S’il s’avère qu’il est possible de breveter un logiciel par exception au principe selon lequel seul le droit d’auteur protège les logiciels (I), une réforme européenne pourrait tendre à faire disparaître certaines critiques faites à l’égard des brevets logiciels (II).

I. La brevetabilité des logiciels

Exclue du droit français depuis 1968, la brevetabilité des logiciels (A), est en fait possible en pratique sous certaines conditions (B).

A) Le droit d’auteur, protecteur du contenu du logiciel

Le logiciel se distingue des œuvres de l’esprit plus traditionnelles en raison de sa spécificité d’être à la fois technique et immatériel, Le logiciel étant alors au croisement entre œuvre de l’esprit et invention technique, il n’a pas été simple pour la France de choisir sous quel régime de protection le placer.

Par crainte que l’ouverture de la France à la brevetabilité des logiciels ne bloque la recherche française en raison d’une potentielle inondation du marché par des demandes de brevets émanant du Japon ou des États-Unis, très en avance sur la France en la matière, mais aussi par crainte de complications techniques en matière juridique entre autres dans l’appréciation des critères de nouveauté et d’inventivité qui est opérée dans le cas d’un brevetage, et enfin, motivé par l’impossibilité pour le logiciel de remplir le caractère industriel alors exigé à tout brevetage d’invention, le législateur français a alors choisi le 2 janvier 1968, par la loi 68-1 (abrogée en 1992), d’interdire en son article 7, la brevetabilité du logiciel. La France reconnaît enfin expressément le logiciel comme une œuvre de l’esprit protégée par le droit d’auteur par la loi du 3 juillet 1985.

La directive européenne 91/250/CEE du Conseil relative à la protection juridique des programmes d’ordinateur de 1991 a également consacré cette assimilation des logiciels à des œuvres littéraires en son article premier, dans l’intention d’harmoniser les législations européennes.

Depuis, c’est le Code de la Propriété intellectuelle (CPI) qui consacre la protection par le droit d’auteur des logiciels, y compris le matériel de conception préparatoire, à l’article L112-2.

L’article L611-10 CPI prévoit quant à lui et pour les raisons citées en amont l’exclusion explicite de la brevetabilité des logiciels.

En pratique l’exclusion de brevetabilité des logiciels s’avère n’être en fait pas absolue.

B) Le brevet, protecteur de l’invention technique découlant du logiciel

Le 15 juin 1981, la cour d’appel de Paris s’est prononcée en faveur du brevetage d’un logiciel à condition que ce dernier soit constitutif d’une invention.

Conformément à cette décision, le législateur français a prévu à l’article L611-10 CPI que :

« 1. Sont brevetables, dans tous les domaines technologiques, les inventions nouvelles impliquant une activité inventive et susceptibles d’application industrielle.

  1. 2. Ne sont pas considérées comme des inventions au sens du premier alinéa du présent article notamment:
  2. c) Les plans, principes et méthodes dans l’exercice d’activités intellectuelles, en matière de jeu ou dans le domaine des activités économiques, ainsi que les programmes d’ordinateurs
  3. 3. Les dispositions du 2 du présent article n’excluent la brevetabilité des éléments énumérés auxdites dispositions que dans la mesure où la demande de brevet ou le brevet ne concerne que l’un de ces éléments considéré en tant que tel. »

Le législateur a donc autorisé la brevetabilité des inventions dont le logiciel est seulement « un [des] éléments ». Cela signifie que si un logiciel ne peut pas être breveté en tant que tel, il le devient une fois intégré à une invention plus globale.

Ainsi, le droit d’auteur protège le contenu du logiciel là où de façon complémentaire le brevet protège l’innovation technique qui en découle. L’ensemble du logiciel ne sera souvent pas breveté. Seule l’invention technique découlant du logiciel pourra être couverte. À cet effet, on peut dire que ce seront uniquement les éléments techniques utilisés par ce logiciel qui seront brevetés.

Jusqu’alors cantonné au secteur de la bureautique et de l’industrie, le logiciel est aujourd’hui un outil technique au cœur de tout type d’activités. On pourrait presque penser qu’exclure la brevetabilité des logiciels s’apparenterait alors à un refus de protéger toute innovation technique.

Cette  brevetabilité du logiciel peut donc être menacée et l’est encore plus aujourd’hui, avec le développement des nouvelles technologies, tel que peuvent l’attester les nombreuses procédures judiciaires dans lesquelles intervient le cabinet dans ce type d’affaires.

Là où la protection par le droit d’auteur s’acquiert sans formalité de dépôt, l’article L111-2 CPI disposant en effet que « l’œuvre est réputée créer indépendamment de toute divulgation publique du seul fait de la réalisation même inachevée de la conception de l’auteur », le dépôt d’une invention s’effectue en revanche auprès de l’Institut National de la Propriété intellectuelle (INPI) et nécessite de s’acquitter d’une redevance de dépôt.

En dépit des avantages que présente la protection d’un logiciel par le droit d’auteur, l’OMPI avertit tout de même les éditeurs de logiciels que celle-ci « s’étend uniquement aux expressions, et non aux idées, procédures, méthodes de fonctionnement ou concepts mathématiques en tant que tels. Ainsi, de nombreuses sociétés protègent le code objet des programmes informatiques par le droit d’auteur tandis que le code source est protégé comme secret d’affaires. »

Bien que les brevets logiciels jouissent d’un fondement légal implicite en droit français, le débat les concernant divise énormément l’opinion publique et les critiques qu’ils subissent impactent grandement leur développement.

II. Critiques et perspective d’évolution

A) Les critiques du brevet logiciel

Source de nombreux débats, la brevetabilité des logiciels peut être perçue comme une limitation à l’innovation logicielle, ou bien comme un moyen de les promouvoir. Il est fréquent dans ce débat que les pour et les contres soient mal entendus.
Débordant de complexité, les débats sur la brevetabilité des logiciels ont été menés à toutes les échelles, autant nationale, européenne et même internationale. C’est précisément la complexité de ce sujet qui le rend aussi vivant et débattu, d’autant plus qu’il fait  également intervenir la branche des droits d’auteur.

Pilier fondamental de l’innovation technologique, la propriété intellectuelle a toujours protégé les secteurs traditionnels tels que l’industrie chimique ou automobile et continuera, toujours dans cette lancée, à protéger les nouveaux secteurs de l’innovation technique dont fait partie l’industrie de l’informatique. C’est pourquoi, la question de la brevetabilité du logiciel a entièrement sa place et que les débats qu’elle génère sont menés avec passion.

Si l’Europe s’est toujours montrée réticente en matière de brevetabilité des logiciels, les États-Unis et le Japon ont quant à eux consacré une protection par brevet du logiciel depuis les débuts de ce dernier, contribuant grandement à la croissance de l’industrie du logiciel dans ces régions-ci du monde.

En France le 12 septembre 2001, les conseillers du Premier ministre recevaient L’AFUL et l’April pour clarifier la position du gouvernement en matière de brevets logiciels. Le gouvernement avait alors indiqué ne pas avoir s’être encore positionné sur la question. Les deux associations l’avaient par ailleurs critiqué pour la publicité qu’il avait faite à propos de l’avis, erroné, de l’Académie des technologies portant sur les brevets logiciels.

L’AFUL et l’April ne sont pas défavorables au brevet logiciel tant que ce dernier favorise réellement l’innovation au lieu d’être utilisé pour limiter le développement de nouveaux logiciels.

Les rapports du Conseil général des mines et celui du Comité de coordination des sciences et technologies de l’information et de la communication précisaient en ce sens que : « le brevet logiciel a un impact négatif sur l’innovation et la concurrence, et qu’il est probablement impossible d’éviter une extension du système de brevet aux algorithmes, aux mathématiques, aux méthodes d’affaires et toutes les méthodes intellectuelles si le brevetage du logiciel était légalisé ».

L’April, dite association de promotion et de défense du logiciel libre, a formulé sur son site, en janvier 2010, une critique des brevets logiciels.

Dans le domaine du logiciel, considérant que chaque innovation repose sur celles qui l’ont précédée, dès lors qu’une innovation antérieure vient à être brevetée, alors toutes les nouvelles inventions s’étant basées dessus ne peuvent être librement diffusées, le détenteur du brevet antérieur disposant d’un droit exclusif sur toute nouvelle utilisation de sons brevet.

La même chose viendrait à se produire pour tout éditeur de logiciel ayant eu recours à un logiciel tombant dans le champ de protection défini par les restrictions du brevet antérieur.

Le droit exclusif du détenteur d’un brevet peut prendre différentes formes comme contrôler l’usage qui est fait du logiciel breveté, la demande de paiement d’une redevance ou de pourcentage sur les bénéfices.

L’April déplore les risques que pourraient présenter les brevets logiciels : « Étant donnée la nature incrémentale du logiciel, l’ensemble de la production logicielle serait alors soumis au bon vouloir de quelques détenteurs de brevets »

Il est par ailleurs fait reproche au fait que la durée de vie d’un logiciel, devenant obsolète après à peine quelques années, n’est pas en adéquation avec celle d’un brevet qui continue quant à lui de restreindre toute innovation entrant dans son champ de protection pendant deux décennies entières. L’April commente ainsi que « les brevets logiciels n’incitent donc pas à l’innovation : ils sont utilisés de manière dévoyée pour s’assurer par la loi un avantage concurrentiel, aidés en cela par une incertitude juridique qui permet de tenir à l’écart les concurrents sur le segment de marché concerné. »

Il n’a été fait mention tout au long de cet article que du brevet français, mais le brevet européen comporte également son lot d’avantages, octroyant entre autres une protection à échelle communautaire.

Cependant, ce dernier est aussi vivement critiqué en raison de sa procédure très lente. Le dépôt du brevet européen requiert en effet la validation de 38 États dans 29 langues différentes. Le brevet européen est également critiqué pour le coût extrêmement onéreux de la redevance accompagnant le dépôt, de l’ordre de 36 000 euros. Par conséquent, le brevet européen se montre très inégalitaire pour les PME et accessible qu’aux grandes entreprises.

Enfin, la densité et complexité de la procédure de dépôt du brevet européen est critiquée pour les risques de fuite d’information qu’elle engendre en raison de l’intervention de nombreux acteurs, impliqués dans les traductions par exemple.

Tous ces facteurs nuisent à l’efficacité et par conséquent au développement du brevet européen.

Selon l’April, le secteur du logiciel libre serait menacé par les brevets logiciels qu’elle considère comme des armes utilisées par les monopoles pour exclure leurs concurrents du marché.

B) La perspective européenne d’une atténuation de ces critiques

L’article 52 de la Convention sur la délivrance de brevets européens du 5 octobre 1973 dite « Convention de Munich » excluait les logiciels du champ des inventions brevetables.

Néanmoins, l’Office européen des brevets (OEB), a, depuis sa création en 1977, délivré un nombre important de brevets européens, ce qui a abouti à une jurisprudence ambiguë, contraire à la Convention de Munich. L’OEB a effectivement admis la brevetabilité de logiciels innovants associés à quelque chose de déjà connu, ce qui revient en d’autres termes à inclure dans la brevetabilité des logiciels l’innovation permettant de surpasser une difficulté technique d’un programme déjà existant. L’OEB a aussi interprété largement la notion de « caractère technique » pour permettre de protéger les logiciels apportant un « effet technique supplémentaire ».

Si l’on regarde de plus près, l’accord sur les Aspects de droits de propriété intellectuelle liés au commerce (Adpic) prévoit qu’« un brevet pourra être obtenu pour toute invention, de produit ou de procédé, dans tous les domaines [techniques], à condition qu’elle soit nouvelle, qu’elle implique une activité inventive et qu’elle soit susceptible d’application industrielle ». Il ressort de cette terminologie que les logiciels sont inclus dans les inventions brevetables, dédouanant alors légèrement l’OEB pour ses dérives jurisprudentielles, le véritable problème étant alors plutôt que la Convention de Munich n’a pas été modifiée à la lumière de l’accord sur les Adpic.

Envieux des législations américaines et nippones qui accordent une importance capitale à la brevetabilité des logiciels et où même les méthodes d’affaires peuvent être brevetées, ce à quoi l’OEB est fermement opposée, les grands éditeurs de logiciels font pression pour tendre vers une brevetabilité des logiciels « en tant que tels ».

Encline à conserver le droit d’auteur comme protection de principe du logiciel, l’exemple américano-nippon en ce qui concerne les logiciels comportant de vraies innovations ne manqua pas d’inspirer la Commission européenne qui serait prête à faire coexister droit d’auteur et brevets.

Ainsi, un premier projet de directive avait complètement échoué, d’une part par manque de clarté, mais aussi parce qu’il avait attisé les critiques des PME et des partisans du logiciel libre.

La nouvelle proposition de la Commission soumise en 2004 fut également un échec, à tel point qu’aucun des nombreux amendements déposés ne fut entendu, amenant évidemment à un nouveau refus en 2005.

Depuis, toute évolution en ce sens semble avoir cessé, présentant les inconvénients de laisser l’OEB en charge de la matière et exposant ainsi l’UE à ses dérives, mais surtout un tel blocage dans l’évolution de la brevetabilité des logiciels contribue à l’agrandissement du fossé séparant l’Europe des États-Unis et du Japon en matière de concurrence dans l’industrie du logiciel.

Toutefois, un projet intitulé le « Paquet brevet de l’Union européenne » proposé en 2011 par la Commission, a été adopté par le Parlement européen en 2012. Ce texte vise à mettre en place un brevet unitaire européen déposable à l’OEB et assurant automatiquement une protection dans les 25 États ayant ratifié, dispensant ainsi des longues procédures de validation.

D’un point de vue financier, la Commission a estimé que le montant de la redevance dont devrait s’acquitter un éditeur voulant déposer un brevet unitaire européen pourrait descendre à 4725 euros. De plus, un système d’aide pour les PME, les organisations à but non lucratif, les universités et les organisations publiques de recherche serait mis en place, renforçant la coopération européenne.

À cela s’ajouterait une unification linguistique du brevet unitaire européen. Le brevet devrait être déposé en français, en anglais ou bien en allemand, tandis que des compensations permettant de financer une traduction pourrait être octroyée aux États dont aucune de ces trois langues n’est parlée officiellement.

Enfin, une juridiction unique serait mise en place à Paris pour connaître des recours en contrefaçon et en validité des brevets.

En dépit de l’enthousiasme se dégageant d’un tel projet, la création du brevet unitaire européen s’est avérée plus complexe que prévu et l’Allemagne et le Royaume-Uni ont alors bloqué son entrée en vigueur.

Malgré le vote du Brexit en 2016, le Royaume avait ratifié le premier texte de 2012 ainsi que l’accord sur la juridiction unitaire du brevet (JUB) de 2018. Mais, sans doute parce qu’il aurait été étrange qu’une nation souhaitant être entièrement indépendante n’accepte d’être soumise aux droits l’UE, le Royaume-Uni décide en 2020 de ne plus participer au système unifié.

En Allemagne en revanche, un recours avait été déposé en 2017 contre la loi de ratification de la JUB dont il était estimé qu’elle menaçait les droits régaliens de l’État. La cour constitutionnelle fédérale allemande décida le 20 mars 2020, d’annuler la loi de ratification de la directive et remettant en cause ses conditions de ratification. En effet, un vote du parlement à la majorité des deux tiers serait nécessaire avant de pouvoir autoriser une juridiction non-étatique à se substituer aux juridictions allemandes.

Finalement, si la mise en place de ce brevet unitaire européen pourrait promouvoir l’innovation et améliorer la protection des détenteurs de brevets nationaux, mais aussi européens, cela permettrait également un meilleur développement des brevets logiciels permettant à terme de rivaliser avec les concurrents japonais et américains.

Pour conclure, on pourrait se questionner sur le fait que les nombreux rapports et avis du gouvernement français sembleraient pencher en faveur des grands éditeurs de logiciels, déséquilibrant ainsi illégitimement la balance face aux partisans des logiciels libres.

Cependant, la loi n° 2016-1321 pour une république numérique promulguée le 7 octobre 2016 encourage l’utilisation de logiciels libres au sein des administrations publiques en son article 16. Considérée comme une intrusion anticonstitutionnelle de l’État dans la vie des affaires des entreprises, en contradiction avec le principe de neutralité de l’État, il pourrait sembler, comme le défend l’April, qu’une telle mesure, privée de caractère contraignant, ne soit qu’un coup d’épée dans l’eau dans le combat en faveur des logiciels libres.

Pour lire une version plus complète de cet article sur la brevetabilité du logiciel, cliquez

Sources :
Cour d’appel de Paris, Pôle 5, Chambre 1, 14 janvier 2020, N° 002/2020.
Cour d’appel de Paris, 4ème chambre, Section A, 15 juin 1981, Prospection Electrique Shlumberger c/ INPI
Philippe le Tourneau, Dalloz référence : Contrats du numérique (Dalloz, 2021) 221.61-221.65
https://www.wipo.int/patents/fr/faq_patents.html
https://www.april.org/synthese-les-brevets-logiciels

La sécurité et les systèmes informatique

I – La responsabilité civile contractuelle

A) Les logiciels espions

Deux hypothèses pourraient engager la responsabilité contractuelle de l’éditeur du logiciel :

– Un dysfonctionnement du logiciel :

Si le logiciel espion n’est pas fonctionnel, ou ne répond pas aux caractéristiques prévues par le contrat, alors comme pour tout logiciel, l’acquéreur pourra engager devant un tribunal civil la responsabilité contractuelle de l’éditeur.

On pourrait s’interroger sur la possibilité pour l’acquéreur d’agir en responsabilité dans l’hypothèse d’un logiciel espion dont la légalité parait douteuse . Néanmoins, les logiciels espions ne sont pas interdits par principe, leur utilisation est juste soumise à certaines conditions.

– L’introduction d’un logiciel espion au sein d’un logiciel :

Il s’agit ici de l’hypothèse où un utilisateur utilise un logiciel, dans lequel l’éditeur, a à son insu, intégré un logiciel espion.

Les deux parties étant liées par un contrat, on peut envisager une action en responsabilité contractuelle. Le contrat qui lie l’acquéreur et l’éditeur ne comporte sûrement pas de clause précisant que le logiciel ne comporte pas de logiciel espion.

L’article 1134 du code civil dispose que les conventions  » doivent être exécutées de bonne foi « . L’introduction d’un logiciel espion semble peu compatible avec la bonne foi contractuelle.

Il est envisageable d’agir en responsabilité contractuelle contre l’éditeur qui introduit un logiciel espion au sein d’un logiciel commercial à l’insu de l’utilisateur.

B)  Les antivirus

L’éditeur d’antivirus fournit un logiciel dont le but est d’éradiquer les virus de l’ordinateur de l’utilisateur. Si ce logiciel n’éradique pas les virus, peut-on engager la responsabilité contractuelle de l’éditeur ?

Il faut déterminer si l’éditeur est tenu d’une obligation de moyens ou de résultat. La jurisprudence ne s’est pas prononcée sur ce point. Mais vu l’étendue du travail de l’éditeur et la multiplicité des virus nouveaux, la jurisprudence retiendra probablement l’obligation de moyens.

S’il s’agit d’une obligation de moyens, l’éditeur sera tenu de mettre en oeuvre tous les moyens nécessaires pour assurer la mission de son logiciel. Il est donc tenu de mettre à jour régulièrement son antivirus par exemple. On pourra prouver l’inexécution de cette obligation en montrant, par exemple que les autres antivirus auraient protégé le système.

Dans cette hypothèse, l’utilisateur pourrait engager la responsabilité de l’éditeur d’antivirus.

 

II – La responsabilité civile délictuelle.

A)  Les logiciels espions

Les logiciels espions sont parfois introduits à l’insu des utilisateurs sur leur système, parfois même certains virus sont aussi des logiciels espions.

Dans cette hypothèse, le créateur du logiciel espion et l’utilisateur ne sont pas liés par un contrat, par conséquent on ne peut pas engager la responsabilité contractuelle du créateur.

La responsabilité délictuelle nécessite une faute, un dommage et un lien entre les deux. La faute consiste ici en une intrusion dans un système informatique à l’insu de son utilisateur, le dommage consiste en la perte et /ou la communication de données personnelles et le lien de causalité doit être clairement établi entre cette faute et le dommage subi.

En cas d’introduction d’un logiciel espion dans un ordinateur, celui qui l’a introduit pourra voir sa responsabilité délictuelle engagée et demander des dommages et intérêts.

B)  Les logiciels antivirus

Des tiers au contrat victimes d’une défaillance de l’antivirus, peuvent-ils agir contre l’éditeur ?

Dans l’hypothèse où sur un réseau, par exemple, un utilisateur est victime d’un virus qui aurait du être arrêté par le serveur, l’utilisateur est éventuellement lié contractuellement à l’exploitant du serveur mais pas avec l’éditeur d’antivirus.

Cependant les conditions de la responsabilité délictuelle peuvent être remplies : la faute de l’éditeur de l’antivirus, le dommage et le lien entre les deux.

Il est possible pour un tiers d’engager la responsabilité délictuelle de l’éditeur du logiciel antivirus.

 

III – La responsabilité pénale

A) Les atteintes aux données personnelles

La loi  » informatique et libertés  » réglemente la collecte et l’utilisation des données nominatives.

Toute collecte doit s’accompagner d’une information de la personne dont les données sont connectées. Celle-ci doit être informée à la fois de la collecte mais aussi de l’utilisation qui sera faite de ces données.

Le non-respect de ces dispositions constitue un délit prévu par l’article 226-16 du code pénal qui dispose :  » Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements automatisés d’informations nominatives sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de trois ans d’emprisonnement et de 45.000 € d’amende.  »

Les atteintes aux données personnelles sont constitutives d’un délit et engagent la responsabilité pénale de leur auteur.

B)  Les atteintes aux systèmes d’information

Le code pénal sanctionne différentes atteintes à la Sécurité des systèmes d’information :

– L’intrusion : l’article 323-1 dispose  » Le fait d’accéder ou de se maintenir frauduleusement dans tout ou partie d’un système de traitement automatisé de données est puni d’un an d’emprisonnement et de 15.000 € d’amende « .

– Le sabotage et les altérations : l’article 323-1 alinéa 2 dispose  » Lorsqu’il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de deux ans d’emprisonnement et de 30.000 € d’amende.  »
Il y a donc de multiples réponses juridique à une atteinte aux systèmes d’informations.

ARTICLES EN RELATION

Freeware, shareware et careware : interdiction de copier !

Avec l’arrivée d’internet, les modes d’achat de logiciel ont été transformés, ainsi il est possible de télécharger un logiciel grâce à internet, avec des licences qui peuvent être aussi bien gratuites que payantes, on parle alors de freeware, shareware ou encore careware.

Pour lire la suite, cliquez sur ce lien