informatique

Intelligence artificielle

Woody Allen l’a dit : “L’intelligence artificielle se définit comme le contraire de la bêtise humaine”. Cette phrase, à moitié pleine d’ironie, cache en réalité un constat indéniable : celui d’une avancée exponentielle en la matière.

La peur que les machines surpassent les hommes, est avec l’intelligence artificielle, une crainte bien réelle. Quand est-il lorsque cette machine crée un dommage ? Qui peut être tenu responsable ?

NOUVEAU ! Pour tenter de faire supprimer un contenu qui pénalise vos droits, vous pouvez utiliser le service d’envoi de lettre de mise en demeure mis en place par le cabinet Murielle-Isabelle CAHEN.

Ces dernières années, l’intelligence artificielle s’est particulièrement développée et a été au cœur de nombreuses avancées. On peut notamment citer un exploit récent réalisé par l’intelligence artificielle AlphaGo créée par la société Deepmind, qui a, en 2016 été capable de batte le champion du monde de Go Lee Sedol. Ce jeu de plateau était pourtant réputé “impraticable” par une machine du fait des innombrables combinaisons possibles.

Même si ces nouvelles technologies fascinent, elles ne sont pas sans risque.

C’est donc naturellement qu’un débat autour de l’intelligence artificielle et plus précisément de la détermination du responsable (sur le plan civil comme pénal) dans le cadre d’un dommage causé par l’intelligence artificielle, ne fait pas encore consensus (I), il est pourtant essentiel de trouver une solution à des litiges de plus en plus fréquents (II).

I) Les enjeux du débat sur la responsabilité

Premièrement, nous devons définir précisément l’intelligence artificielle, et de ses différentes déclinaisons (A), pour ensuite se pencher sur la façon la plus pragmatique de définir le responsable en cas de litige (B).

A) L’intelligence artificielle : qu’est ce que c’est ?

Naturellement il convient avant toute chose de définir l’intelligence artificielle. Le terme générique caractérise en effet “l’ensemble de théories et de techniques mises en œuvre en vue de réaliser des machines capables de simuler l’intelligence” .

La paternité du terme d’intelligence artificielle est attribuée à John McCarthy. Ce terme a par la suite été défini par son compère Marvin Lee Minsky comme “la construction de programmes informatiques qui s’adonnent à des tâches qui sont, pour l’instant, accomplies de façon plus satisfaisante par des êtres humains, car elles demandent des processus mentaux de haut niveau […]”.

Cette définition résonne tout particulièrement, en ce que la notion de temporalité y est parfaitement encadrée. “Pour l’instant” : le mot est lâché, et il sonne toujours plus vrai aujourd’hui puisque le progrès scientifique en la matière n’a jamais été aussi rapide et d’actualité.

Le propre de l’intelligence artificielle est d’emmagasiner de nombreuses connaissances et de constituer une base sur laquelle se fonder pour réaliser les tâches demandées, grâce à ses interactions avec l’environnement et son “expérience”.

“Tay”, l’intelligence artificielle de Microsoft, est un “chatbot” qui fut lancée par l’entreprise sur le réseau Twitter et répondant parfaitement à cette définition en ce que sa mission consistait à discuter avec les internautes en s’inspirant du langage, du savoir et du comportement de ces derniers à son égard.

Pour autant, les concepteurs retirèrent du réseau le programme, après que celui-ci ait tenu des propos racistes et diffamatoires à l’encontre de la communauté, qui s’amusait à tester ses limites en faussant son apprentissage.


Besoin de l’aide d’un avocat pour un problème d’intelligence artificielle ?

Téléphonez nous au : 01 43 37 75 63

ou contactez nous en cliquant sur le lien_


L’intelligence artificielle se caractérise par le stockage de vastes quantités de connaissances et, par son interaction avec l’environnement et son «expérience», constitue la base pour l’exécution des tâches requises.

Microsoft a développé un « chatbot » nommé « Tay ». C’est sur le réseau social Twitter qu’elle a été lancée. La mission de cette IA consistait à discuter avec les utilisateurs tout en s’inspirant de leur langage et de leur comportement. Cependant, ce programme a été retiré du réseau social rapidement.

Cependant, après que le programme ait tenu des propos racistes et diffamatoires sur la communauté, les concepteurs ont retiré le programme du réseau

Ce cas, parmi tant d’autres, illustre parfaitement les dérives liées à l’intelligence artificielle, et pose donc la question de savoir : qui est responsable ??

Le Parlement européen, dans une résolution en date du 12 février 2019 sur « la politique industrielle européenne globale sur l’intelligence artificielle et sur la robotique », tente de définir la notion d’IA et le régime juridique qui doit lui être applicable. Le Parlement abandonne l’idée de donner à l’intelligence artificielle une personnalité juridique et vient plus observer les conséquences de l’intelligence artificielle sur le régime de responsabilité civile, par exemple. En effet, le droit de la responsabilité civile doit être adapté pour « tenir compte de l’intelligence artificielle et de la robotique ».

Dans un projet de règlement sur l’IA présenté en avril 2021, l’Union européenne vient confirmer cette position et refuse d’accorder la personnalité juridique à l’IA.

Ce projet apporte tout de même un certain cadre juridique. Il est prévu plusieurs niveaux d’intelligence artificielle selon les risques de cette dernière sur l’humain. Le premier niveau correspond aux IA avec un risque inacceptable. Ces IA sont interdites en raison de leur système qui pourrait par exemple « manipuler les personnes au moyen de techniques subliminales afin de modifier leur comportement ce qui causerait un préjudice à la personne ou un tiers ». Ce type d’IA concerne également le scoring social portant une atteinte disproportionnée à la liberté des personnes.

Le second niveau concerne les IA avec un risque élevé. Elles sont autorisées, mais elles doivent s’accompagner de mesures importantes pour démontrer que cette IA est bien conforme aux mesures de sécurité imposées en raison du niveau élevé de risque. Le troisième niveau est l’IA à faible risque, elle devra respecter un guide de conduite. Le dernier niveau concerne les IA à risques minimes qui ne font l’objet d’aucune exigence.

B) Comment déterminer un responsable ?

Par définition, et comme l’affirment certains, “la responsabilité civile du fait d’un individu ou d’une chose est inhérente à l’action humaine […] Seul l’individu est responsable de ses décisions conduisant aux actes et aux conséquences malencontreuses induites par la faillibilité humaine” .

Dès lors, la responsabilité du fait des choses place aujourd’hui l’objet sous la garde de celui qui en dispose par un pouvoir d’usage, de direction et de contrôle, et responsabilise donc ce dernier lorsque l’objet en question se trouve impliqué dans le fait dommageable.

Une telle réflexion pose problème, en effet, bien qu’elle s’applique parfaitement à toutes sortes d’objets, elle n’est pas adaptée à l’intelligence artificielle, car par définition, l’homme n’a pas (pleinement, du moins) les pouvoirs précités.

Le problème d’une telle réflexion, c’est qu’elle s’applique parfaitement à toute sorte d’objets, mais pas vraiment à l’intelligence artificielle sur lequel, par définition, l’homme n’a pas (pleinement, du moins) les pouvoirs précités.

L’intelligence artificielle, amenée à fonctionner de manière autodidacte, conserve naturellement cette part d’indétermination et d’imprévisibilité qui met en péril une telle responsabilisation de l’homme.

Stéphane Larrière affirme très justement que : “Dès lors, l’homme laisse la main à l’intelligence artificielle dans l’exercice de ses facultés augmentées par ce complément cognitif : il se réalise alors une sorte de délégation conférée à la machine pour décider et faire à sa place”.

Par conséquent, le régime qui semble être le plus favorable est celui de la responsabilité sans faute, celle du fait d’autrui, celle “permettant d’imputer les frais du dommage à celui qui était le mieux placé, avant le dommage, pour contracter l’assurance destinée à garantir le risque” (G. Viney, Introduction à la responsabilité, Traité de droit civil, LGDJ 2008, p.40).

Néanmoins, au vu de la multitude de cas possibles, cette détermination n’est pas des plus aisée.

Le rapport de la Commission européenne portant sur les conséquences de l’intelligence artificielle, de l’internet des objets et de la robotique sur la sécurité s’est attelé à la question de la responsabilité. La Commission retient que « bien que la directive sur la responsabilité du fait des produits donne une définition large de la notion de produit, celle‑ci pourrait être précisée pour mieux traduire la complexité des technologies ». Par conséquent, la Commission européenne considère qu’en matière d’intelligence artificielle,  le régime de la responsabilité du fait des choses n’a pas à s’appliquer.

II) Un débat de plus en plus fréquent

Si les accidents liés aux voitures autonomes sont fréquents ces derniers temps (A), ne sont pas à exclure les risques liés aux autres formes d’intelligences artificielles (B).

A) Le cas des voitures autonomes

La détermination d’une telle responsabilité est un débat que l’actualité place régulièrement sur le devant de la scène médiatique, et souvent pour le pire. C’est le secteur de l’automobile qui en fait les frais aujourd’hui ; deux accidents auront marqué les esprits ces dernières semaines.

Le premier, survenu le 19 mars dernier en Arizona, concerne l’entreprise Uber. Suite à des tests sur la voie publique, l’un de ses modèles autonomes a percuté un piéton, décédé par la suite de ses blessures.

Le système de l’automobile mis en cause, n’ayant pas activé le système de freinage avant l’impact, a contraint la société de suspendre ses activités dans le domaine . Pour autant, celle-ci soutient que l’automobiliste est à mettre en cause dans l’affaire.

Le deuxième accident récent concerne cette fois-ci Tesla et son modèle X, au volant de laquelle est décédé un conducteur 4 jours après le drame précédent.

Encore une fois, l’autopilote se trouve au cœur des débats, et si la famille de la victime accuse l’entreprise, celle-ci se dédouane de toute responsabilité en soulignant que la victime “n’avait pas les mains sur le guidon au moment de l’accident”, et contre toute indication de la voiture l’invitant à prendre de telles mesures.

Le 12 février 2019, le Parlement européen a rendu une résolution dans laquelle elle vient aborder la question des voitures automatiques en disposant que « la prévalence de véhicules autonomes présentera des risques […] de défaillances techniques et va transférer à l’avenir la responsabilité du conducteur vers le fabricant, imposant aux compagnies d’assurances de modifier la manière dont elles intègrent le risque dans leur souscription ».
Ces affaires mettent en lumière tout l’enjeu de l’autonomie de l’intelligence artificielle face au pouvoir de contrôle du conducteur sur la chose, dans la détermination du responsable du fait dommageable.

Le 14 avril 2021, une ordonnance est venue prévoir un nouveau régime de responsabilité pénale applicable pour les véhicules à délégation de conduite. Par la suite, le gouvernement a précisé par décret le 29 juin 2021  les modalités d’application de l’ordonnance.

L’article 123-1 du Code de la route prévoit désormais que la responsabilité pénale du conducteur ne sera pas retenue dans le cas où l’infraction commise serait le résultat d’une manœuvre d’un véhicule dont les fonctions sont totalement déléguées à un système automatisé, si, au moment des faits ce système exerçait le contrôle dynamique du véhicule.

L’article 123-2 de ce même Code prévoit en revanche que la responsabilité pénale du constructeur sera quant à elle retenue. Le constructeur est tenu responsable des atteintes involontaires à la vie et à l’intégrité des personnes. Sa responsabilité sera retenue, si l’existence d’une faute est établie au moment où l’IA exerçait le contrôle dynamique du véhicule. Également,  dès lors qu’il y a un défaut de conception, le constructeur sera tenu responsable.

B) D’autres risques potentiels à envisager

Il existe également d’autres circonstances ou les questions de responsabilité civile ou pénale se posent.

L’exemple de l’intelligence artificielle “Tay” qui a déjà été cité laisse penser que l’on pourrait voir un jour survenir un litige portant sur des propos dénigrants, voir du harcèlement avec pour origine de ces délits, l’intelligence artificielle.

Il faut également se questionner sur les assistants personnels intelligents comme Siri, Alexa, ou encore Google Home, définis comme des  “agents logiciel qui peuvent effectuer des tâches ou des services pour un individu” .

L’utilisation quotidienne qui est faite de ces technologies par leur propriétaire repose sur le fait d’effectuer des actions simples (lancer une playlist, envoyer un message ou encore passer un appel). Cependant, ces assistants personnels intelligents peuvent aussi  être utilisés pour effectuer des recherches plus complexes, avec degré d’importance de la réponse qui peut varier, et par conséquent avoir un impact plus ou moins grave en cas d’erreur.

Une actualité récente démontre bien ces risques. En effet, en décembre 2021, c’est l’assistant vocal d’Alexa qui s’est retrouvé au cœur d’une polémique. Ce dernier a dû faire l’objet d’une mise à jour d’urgence par Amazon. Un enfant avait demandé à Alexa de lui proposer des défis à réaliser. L’assistant intelligent d’Amazon a proposé à l’enfant de jouer avec une prise électrique.

Bien que l’enfant se porte bien aujourd’hui, cette affaire force à se poser des questions quant à la responsabilité des assistants personnels intelligents.

Ces technologies vont être utilisées dans des domaines tels que le médical par exemple qui ne laisse pas de place à l’erreur. La question sur la détermination d’un responsable pourrait se poser, dans le cas où la machine apporterait un résultat erroné à un calcul. Mais la question est complexe, car bien souvent, de toute façon, ce calcul n’était pas réalisable par l’Homme.

On en revient à cette idée de délégation soulevée plus haut. Reste à savoir quels critères prédomineront en la matière, à mesure des avancées technologies, mais aussi, malheureusement, à mesure de la variété des accidents…

Pour lire une version plus adaptée au mobile de cet article sur l’intelligence artificielle, cliquez

SOURCES :
(1) http://www.larousse.fr/encyclopedie/divers/intelligence_artificielle/187257
(2) http://laloidesparties.fr/responsabilite-ia
(3) G. Viney, Introduction à la responsabilité, Traité de droit civil, LGDJ 2008, p.40
(4) https://www.numerama.com/business/336940-uber-suspend-ses-activites-dans-la-voiture-autonome-apres-un-mort.html
(5) https://fr.wikipedia.org/wiki/Assistant_personnel_intelligent
Résolution du Parlement européen du 12 février 2019 sur une politique industrielle européenne globale sur l’intelligence artificielle et la robotique
https://www.europarl.europa.eu/doceo/document/TA-8-2019-0081_FR.html
Livre Blanc sur l’intelligence artificielle du 19 février 2020
https://ec.europa.eu/info/sites/default/files/commission-white-paper-artificial-intelligence-feb2020_fr.pdf
https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000043370894
https://www.legifrance.gouv.fr/codes/section_lc/LEGITEXT000006074228/LEGISCTA000043371833/#LEGISCTA000043371833

CLOUD COMPUTING ET RISQUES JURIDIQUES

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire !

Le Cloud Computing a fait émerger, en dépit de son caractère récent, une foule de questions notamment sur les avantages, mais surtout sur les risques liés à ce Cloud Computing. Alors doit-on se méfier ou au contraire approuver le Cloud ?

Le monde est fait de révolutions industrielles et de « modes » 1990 : le PC Windows, 2000 : Internet dans les entreprises, et… 2010 : le Cloud Computing !

Le Cloud Computing ou « l’informatique dans les nuages », fait référence à une technique de service informatique qui permets aux utilisateurs tiers d’accéder aux ressources Internet d’un hébergeur, sans être contraints d’acquérir ou de louer le matériel informatique ou le logiciel ou encore de conclure des contrats de maintenance et de prestation de services y afférents. Plus précisément, cette technologie permet d’utiliser la puissance de serveurs informatiques à distance par l’intermédiaire d’un réseau.

Le National Institute of Standards and Technology (NIST) définit le cloud computing comme étant « l’accès via un réseau de télécommunications, à la demande et en libre-service, à des ressources informatiques partagées configurables ».


Besoin de l’aide d’un avocat pour un problème de contrefaçon ?

Téléphonez-nous au : 01 43 37 75 63

ou contactez-nous en cliquant sur le lien


Les multiples utilisateurs peuvent partager certaines données, générer automatiquement leurs propres fichiers et communiquer en ligne avec des tiers auxquels ils auront préalablement autorisé l’accès auxdites données, et ce, grâce à un système d’authentification (mot de passe et codes d’authentification. Mais l’usage de cet outil novateur que constitue le Cloud Computing contient, en son sein, des risques juridiques liés à la protection des données qu’il permet de traiter.

Dans ce sens, le début de la première initiative s’était concrétisé par le partenariat entre les entreprises Intel, Hewlett Packard et Yahoo! fin juillet 2008 dans le but de promouvoir la recherche dans ce domaine du Cloud Computing. On parlait alors de « cloud computing test bed », ayant pour objectif de créer un « environnement distribué » à l’échelle mondiale, permettant notamment la recherche sur les logiciels et le matériel informatique, ainsi que la centralisation de données.

Ensuite, le gouvernement américain suivait cette ligne en lançant le 22 novembre 2010 sa politique de « cloud prioritaire ».

Aujourd’hui, les services de cloud computing, qui déjà lancés par un certain nombre de sociétés dont Amazon et Google, et même Microsoft avec sa plateforme cloud Azure qui répond déjà aux attentes des développeurs, pourraient bien révolutionner l’informatique des entreprises.

Le cloud computing, permettant désormais d’externaliser l’utilisation de la mémoire ainsi que les capacités de calcul d’ordinateurs et de serveurs répartis dans le monde entier, offre en effet aux entreprises une formidable puissance informatique s’adaptant de surcroît à la demande. Mais le cloud computing présente également un certain nombre de risques juridiques dont il convient de se prémunir dans le cadre d’un contrat adapté.

Il s’agit d’une technique qui diffère des contrats classiques d’outsourcing aux termes desquels un prestataire tiers sera en charge du traitement technique des données (données personnelles comprises).

Le droit français et la majorité des lois nationales relatives à la protection des données personnelles au sens de la directive n° 95/46/CE du 24 octobre 1995, considèrent en principe ce prestataire tiers (hébergeur du système de Cloud Computing) comme un sous-traitant des données agissant conformément aux instructions d’un responsable du traitement des données.

Le RGPD, dans son article 28, impose l’existence d’un contrat liant le responsable de traitement, à savoir le client, et le sous-traitant qui n’est autre que le prestataire de services de cloud.

Néanmoins, il peut s’avérer que cette qualification peut s’avérer plus complexe comme ses conséquences sur le plan contractuel. L’affaire Swift, concernant une société de droit belge, qui assure le transfert de fonds internationaux à des établissements financiers, témoigne de cette complexité.

La société Swift prétendait qu’elle était le sous-traitant des données en question lorsqu’elle exportait des données personnelles et des données financières hors de l’Union européenne dans le cadre d’opérations financières. Et la Justice belge a en effet considéré que les établissements financiers impliqués dans ces opérations étaient les responsables des données personnelles en question et que Swift devait ainsi être considéré comme sous-traitant de ces données de fait et délégué desdits établissements financiers. Cette affaire révèle assez clairement les risques juridiques qu’entretient l’innovation du Cloud Computing.

Enfin, le cloud permet à l’entreprise de s’affranchir des contraintes traditionnelles (la bonne appréciation du nombre de serveurs, de la capacité nécessaire) et d’avoir une approche modulaire en fonction des besoins. Sur le plan juridique, on se rapproche du cas dans lequel une entreprise déciderait d’externaliser tout ou partie de son système d’information.

Une démarche prudente consiste en l’appréhension des risques et la prise des mesures nécessaires à la garantie la continuité du service, la sécurité des données, la qualité du service, la réversibilité… Finalement, la question liée à la confidentialité doit rester une préoccupation centrale. Ces différents sujets sont très similaires à ceux de l’outsourcing. Donc, dans l’ensemble, des réponses existent déjà et pourraient être mises en œuvre.

Il conviendra donc d’exposer ce qu’est le concept de cloud computing (1), pour ensuite définir et se prémunir des risques juridiques liés à son utilisation (2).

I. Qu’est-ce que le cloud computing ?

Il convient de définir le cloud computing (A), ainsi que ses avantages (B).

A) La définition du cloud computing

Le cloud computing présente un concept récent permettant d’utiliser de la mémoire et des capacités de calcul d’ordinateurs et de serveurs répartis dans le monde entier et liés par un réseau tel Internet. Le cloud computing permet ainsi de disposer, à la demande, de capacités de stockage et de puissance informatique sans disposer matériellement de l’infrastructure correspondante.

L’infrastructure du fournisseur est ainsi totalement autonome et déconnectée de celle du client, ce qui permet à ce dernier de s’affranchir de tout investissement préalable (homme ou machine). L’accès aux données et aux applications peut ainsi se faire à partir de n’importe quel périphérique connecté, le plus souvent au moyen d’un simple navigateur Internet.

Il existe également des clouds computing publics qui constituent des services partagés auxquels toute personne peut accéder à l’aide d’une connexion Internet et d’une carte de paiement, sur une base d’utilisation sans abonnement. Ce sont donc des infrastructures virtualisées que se partagent plusieurs utilisateurs.

Les clouds privés (ou d’entreprise), quant à eux, ils tendent à reprendre le même modèle de distribution des clouds computing publics, à la différence qu’ils sont détenus et gérés de manière privée, l’accès pouvant être limité à une seule entreprise ou à une partie de celle-ci. Ces derniers peuvent ainsi apparaître comme plus sûrs en termes de sécurité, de stabilité, de confidentialité et de persistance des données.

Globalement, le cloud computing constitue une nouvelle forme d’informatique à la demande, à géométrie variable, que l’on pourrait classer d’un point de vue juridique, au croisement des services d’externalisation, et des services ASP et SaaS.

En effet, les services d’externalisation (ou « outsourcing ») consistent à confier la totalité d’une fonction ou d’un service à un prestataire externe spécialisé, pour une durée pluriannuelle. Grâce à de tels contrats, le client peut s’exonérer des contraintes de gestion et de maintenance d’un système informatique.

Les services « ASP » (pour « Application Service Provider ») dérivent des contrats d’outsourcing. Sauf que dans les contrats ASP, le client ne fait que louer un droit d’accès et d’utilisation du système informatique auprès du prestataire. Le client dispose ainsi d’un accès à distance à des applications sur un serveur extérieur, ce qui le dispense d’acquérir lui-même une infrastructure informatique, des licences d’utilisation de progiciels etc.

Les services SaaS (pour « Software As A Service »), sont quant à eux des dérivés des contrats ASP dont ils constituent une forme particulière (application personnalisée), en externalisant le système informatique du client, auquel celui-ci à accès exclusivement par Internet.

B) Les apports du cloud computing

Le cloud computing offre la possibilité d’étendre le système d’information d’une entreprise à la simple demande de celle-ci, en fonction de l’utilisation attendue (pics d’activité, pics de fréquentation, etc.).

Les services fournis dans le cadre du cloud computing sont vastes. L’entreprise peut notamment bénéficier d’une capacité de traitement de l’information (sans acquérir des ordinateurs et ressources nécessaires), d’infrastructures informatiques (de type réseaux), de capacités de stockage et d’archivage (sans avoir à se doter de serveurs spécifiques) mais aussi d’applications informatiques (sans avoir à acquérir les licences correspondantes).

Ainsi, le cloud computing permet, sans investissement majeur en termes d’infrastructure et de dépenses en capitaux, de bénéficier d’un service à moindre coût fondé sur la consommation, de type “pay-per-use”, et par suite d’optimiser la gestion des coûts d’une entreprise.

De ce fait, le prix d’un tel service est calculé en fonction de la consommation effective d’une entreprise, tout comme pour l’utilisation du gaz ou de l’électricité. L’entreprise achète en quelque sorte la possibilité d’utiliser de la puissance informatique sur demande.

Au-delà du service en lui-même, les avantages du cloud computing, résident donc d’une part dans la simplicité et la rapidité de mise en œuvre dudit service, et d’autre part dans la grande flexibilité liée à l’offre sur demande que celui-ci permet.

Enfin, il convient de noter que techniquement, il est possible de mettre n’importe quelle application dans un cloud computing. Néanmoins, ses usages principaux concerneront essentiellement le management lié aux nouvelles technologies, la collaboration, les applications personnelles ou d’entreprise, le développement ou le déploiement des applications et enfin les capacités serveurs et de stockage.

A titre d’illustration, Microsoft a investi des centaines de millions de dollars cette année pour construire et améliorer les centres de données (le dernier, ouvert à Chicago, compte 300000 serveurs !) qui rendent ses ambitions de cloud computing possibles. Malgré la crise économique, Microsoft a investi 9 milliards de $ en R&D, 10 % de plus que l’année dernière, et les spécialistes prédisent déjà que le géant américain, malgré les critiques faites à son encontre, sera l’acteur le plus prééminent et le plus rentable en la matière.

Le cloud computing constitue donc un service mutualisé et virtualisé, dont le coût varie uniquement en fonction de l’utilisation effective, qu’il conviendra d’encadrer spécifiquement sur un plan juridique.

 

II . Les risques juridiques liés à l’utilisation du cloud computing

Les principaux risques juridiques du cloud computing sont inhérents aux données (A). Il convient de s’en prémunir dans des contrats sécurisés (B).

A) La sécurité et la sécurisation des données

La mise en place de services de cloud computing n’est pas sans risques, notamment au regard de la sécurité et de sécurisation des données. En effet, l’accès aux données et aux applications est réalisé entre le client et la multiplicité des serveurs distants. Ce risque se trouve donc amplifié par la mutualisation des serveurs et par la délocalisation de ceux-ci.

L’accès aux services induira donc des connexions sécurisées et une authentification des utilisateurs. Se posera alors le problème de la gestion des identifiants et celui des responsabilités (accès non autorisé, perte ou vol d’identifiants, niveau d’habilitation, démission ou licenciement, etc.).

Il existe également un risque de perte de données qu’il conviendra de prendre en considération, d’évaluer et d’anticiper dans le cadre de procédures de sauvegarde adaptées (stockage dans des espaces privés, en local, en environnement public, etc.). De même, il existe également des risques au regard de la confidentialité des données (fuites), vu le nombre de serveurs et la délocalisation de ceux-ci.

De surcroît, la réalisation des services de cloud computing étant assurée par un prestataire externe, celle-ci comporte des risques au regard de la qualité de service obtenue, et de la propriété et de l’intégrité des données et/ou applications confiées, risques qu’il conviendra donc de prévoir contractuellement.

En outre, la mise en place de ce type de service peut parfois s’avérer onéreuse. Il existe en effet des risques financiers liés aux outils de contrôle servant à évaluer la consommation du cloud computing, et sa facturation. Il conviendra ainsi de définir contractuellement une unité de mesure du stockage, et des ressources informatiques utilisées, ou encore du nombre d’utilisateurs actifs,  afin que cela reste avantageux pour l’entreprise concernée.

Finalement, la mise en place de services de cloud computing fait naître pour l’entreprise un certain nombre de risques au regard des données personnelles et des formalités imposées par la CNIL. Ces risques sont aggravés en cas de transfert de données hors de l’Union européenne (UE). La rédaction de contrats de cloud computing devra donc également prendre en considération ces problématiques.

En effet, le contrat doit tenir compte de ces contraintes, d’autant que le fait de confier ses données à un sous-traitant n’exonère pas le responsable du traitement de ses obligations. Cette question prend une ampleur particulière, car les serveurs sont délocalisés et le client n’a pas à connaître la localisation des serveurs.

Cependant, la loi impose, pour les transferts de données à caractère personnel hors de l’Union européenne, des formalités d’autorisation. Il est donc prudent d’imposer au prestataire de cloud computing soit un engagement de maintenir ses serveurs au sein de l’Union européenne, soit de veiller à être bien informés dans le cas d’un transfert hors Union européenne.

Il convient de distinguer entre les données personnelles telles que définies par le Règlement général sur la protection des données (RGPD) et les données commerciales non personnelles. Le RGPD, dans son article 4, définit les données personnelles comme toute information relative à une personne physique identifiée ou identifiable de manière directe ou indirecte par référence à des éléments qui lui sont propres. Sachant que les données à caractère personnel sont protégées par ce règlement, les données commerciales, quant à elles, sont régies par les dispositions de la loi n° 2018-670 du 30 juillet 2018 relative à la protection du secret des affaires et plus précisément en vertu l’article L151-1 du Code de commerce. (1)

B) Les précautions juridiques nécessaires à la rédaction d’un contrat de cloud computing

Il conviendra d’un point de vue général de mettre en place, pour pallier les risques précédemment évoqués, comme dans le cadre de tout projet d’externalisation, une convention de niveau de service, également appelée « SLA » (pour « Service Level Agreement »), permettant au client d’obtenir du prestataire une qualité de service convenue contractuellement.

En outre, la convention pourra comporter des indications quant aux attentes du client relatives à la réalisation des obligations du prestataire et notamment instaurer un système de malus ou de pénalités.

Il s’avère primordial de contractualiser un plan de réversibilité permettant d’assurer le transfert des services à d’autres prestataires, et ce, pour assurer une pérennité des services de cloud computing.

Plus particulièrement, il conviendra de prévoir les facteurs déclencheurs de cette réversibilité (carence du prestataire, libre choix du client après un certain nombre d’années), les conditions de cette réversibilité (simple discontinuité du service, ou arrêt total du service) et enfin le coût de celle-ci.

Il sera préconisé de prévoir la réplication des données sur plusieurs sites distants ou l’obligation de résultat de restauration des données dans des délais contractuels définis afin de palier leur perte. L’accord de Cloud Computing devra aussi stipuler une garantie de paiement d’une indemnité aux personnes physiques concernées par les données personnelles, en cas de traitement illicite ou de perte de ces dernières.

Le contrat prendra soin de préciser que l’ensemble des traitements ne seront opérés par l’hébergeur que sur instructions et contrôle des utilisateurs, c’est-à-dire sans prise d’initiative sans instructions expresses des utilisateurs considérés comme responsables de traitements.

En ce qui concerne l’intégrité et de la confidentialité des données, il pourra être prévu une clause d’audits externes, chargés d’une mission de contrôle acceptée par l’hébergeur du service. Notons aussi qu’il conviendra de s’assurer de la bonne rédaction de la clause de responsabilité du contrat, et d’encadrer tout particulièrement la traçabilité, l’accès frauduleux, l’atteinte à l’intégrité, voire la perte de données sensibles.

Mais s’agissant plus particulièrement les données sensibles que sont les données personnelles, le client pourra exiger que celles-ci restent localisées sur des serveurs exclusivement situés dans l’UE et prévoir les moyens de contrôle de cette obligation.

Le client s’exonérera ainsi d’un ensemble de formalités CNIL liées au transfert de données personnelles en dehors de l’UE. Pour se prémunir, il pourra aussi stipuler une interdiction pour l’hébergeur de regrouper, ou de stocker sur des serveurs identiques, un fichier de données avec d’autres fichiers comportant des données dites sensibles (par exemple : des fichiers comportant des informations bancaires et financières).

Enfin, nouveau modèle d’intégration de services informatiques, utilisables à la demande via Internet, reposant sur l’hébergement et l’accès à distance, attractif pour les entreprises, le cloud computing reste complexe à maîtriser.

Il conviendra par conséquent pour les entreprises de mettre en place un cadre contractuel adapté. L’encadrement juridique est en effet primordial pour prévenir les risques liés à ce service, qui, d’ici 2020, permettra aux entreprises de faire migrer l’essentiel de leurs applications dans les « nuages ».

Cela étant, il est intéressant d’évoquer le Cloud Act (Clarifying Lawful Overseas Use of Data Act) qui avait été adopté, le 8 mars 2018, par le Congrès américain. Ce Cloud Act permet aux agences de renseignement américaines ou aux forces de l’ordre d’obtenir les informations stockées dans les serveurs des opérateurs de télécoms et des fournisseurs de services de Cloud computing.

En effet, les prestataires de services sont obligés de communiquer « les contenus de communications électroniques et tout enregistrement ou autre information relative à un client ou abonné, qui sont en leur possession ou dont ils ont la garde ou le contrôle, que ces communications, enregistrements ou autres informations soient localisés à l’intérieur ou à l’extérieur des États-Unis ». (2)

Suivant l’exemple américain, les instances européennes ont entamé le travail sur un Cloud Act européen ayant pour objectif l’établissement d’un cadre juridique permettant d’instaurer une souveraineté de l’Union européenne sur son propre cloud. Ces mesures se justifient par les difficultés de mises en œuvre inhérentes au recours au cloud. Comme l’a formulé Frédéric Forster : « Si le recours au cloud a la particularité d’être aisé et convivial, il ne se heurte toutefois pas à des difficultés juridiques de mise en œuvre, voire à des convoitises dont il est évidemment indispensable qu’elles soient régulées et coordonnées ». (3)

Pour lire une version plus complète de cet article sur les risques juridiques du cloud computing, cliquez

Sources

Intrusion dans un système informatique

Si le phénomène du piratage informatique a, d’ores et déjà, fait l’objet d’une intervention législative, conduisant à l’insertion, par le biais de la loi Godfrain du 5 janvier 1988, dans le code pénal des dispositions spécifiques à l’accès et maintien frauduleux dans un système de traitement automatisé de données (art. 323-1 et s. Code pénal), des nouveaux problèmes liés à la technologie de l’information ne cessent d’apparaître.

C’est le cas, par exemple de la technique dite d’aspiration d’un site web, qui permet à l’internaute de récupérer partiellement ou entièrement le contenu d’une surface interactive et de l’archiver dans le disque dur de son ordinateur, afin de pouvoir y accéder hors connexion.

Les deux techniques -l’intrusion dans un système informatique et l’aspiration de site- présentent des similarités, en ce qui concerne, notamment leur mode d’exécution : des programmes spécifiques, voire des logiciels très élaborés, sont utilisés tant pour accéder dans un système de traitement automatisé de données que pour ” aspirer ” un site web. Ce fait, pourtant, ne suffit pas pour les assimiler.

En effet, dans le cas de l’accès et maintien frauduleux dans un système informatique, il s’agit bien d’une infraction pénale, qui consiste essentiellement à pénétrer sans droit dans un système en en forçant l’accès. Les dispositions du Code pénal permettent de lutter contre les intrusions frauduleuses (connexion pirate, appel d’un programme ou d’un fichier sans autorisation etc), le maintien frauduleux, l’entrave d’un système ou l’altération de son fonctionnement (virus, mail bombing etc), ainsi que l’altération, la suppression ou l’introduction de données pirates.

En revanche, dans le cas de l’aspiration de site, il s’agit d’une technique non appréhendée par une disposition spécifique de droit. Ceci dit, il pourrait s’agir d’une méthode tout à fait licite. Or, le fait de copier tout ou une partie du contenu d’un site web, afin de pouvoir le visualiser sans être connecté, est susceptible de porter atteinte aux droits d’auteur du créateur dudit site.

 

I. L’intrusion dans un système informatique.

Il existe différents types de pirates informatiques : du hacker classique, qui s’introduit dans les systèmes par des moyens illégaux sans détruire les données ni utiliser les informations données, mais dans le seul but de faire savoir qu’il existe des failles de sécurité au cracher (casseur), appellation qui désigne le pirate le plus dangereux qui détruit dans un but précis ou pour le plaisir.

Or, aux yeux de la loi, chacun d’entre eux peut être poursuivi au regard des dispositions du Code pénal en matière de fraude informatique.

L’intrusion peut s’effectuer par le biais d’un programme qui se cache lui-même dans un programme ” net” (par exemple reçu dans la boite aux lettres ou téléchargé). L’un des plus connus est le Back Office qui permet d’administrer l’ordinateur à distance. En outre, le piratage peut avoir comme cible les mots de passe du système.

Dans ce cas là, le pirate utilise souvent des programmes de déchiffrage qui fonctionnent avec des dictionnaires proposant de nombreux mots de passe à des fréquences très élevées (jusqu’à plusieurs milliers de mots de passe par seconde).

Après la prise de contrôle, souvent indécelable, le pirate peut introduire des programmes de corruption (virus, bombe etc), modifier des données (par exemple défigurer une page web), installer des programmes espions (Sniffer).

A) La responsabilité pénale

La loi Godfrain du 8 janvier 1988, bien qu’élaborée à une époque où on ne parlait pas encore d’Internet et dont les dispositions ont été reprises par le Code pénal dans un chapitre intitulé “ Des atteintes au système de traitement automatisé de données “, permet de sanctionner toutes les intrusions non autorisées dans un système informatique. Les sanctions prévues varient selon que l’intrusion a eu ou non une incidence sur le système en cause.

L’article L.323-1 du Nouveau code pénal prévoit que ” le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni d’un an d’emprisonnement et de 15 000 euros d’amende “. Ces systèmes comprennent, entre autre, les sites web.

1) Accès frauduleux

La Cour d’appel de Paris a considéré dans un arrêt du 5 avril 1994 que ” l’accès frauduleux, au sens de la loi, vise tous les modes de pénétration irréguliers d’un système de traitement automatisé de données, que l’accédant travaille déjà sur la même machine mais à un autre système, qu’il procède à distance ou qu’il se branche sur une ligne de communication “.

Quid, pourtant, si le système n’est pas protégé ? La Cour d’appel de Paris, dans un arrêt en date du 30 octobre 2002, a jugé que la possibilité d’accéder à des données stockées sur un site avec un simple navigateur, en présence de nombreuses failles de sécurité, n’est pas répréhensible.

Elle a, ainsi, reformé le jugement du Tribunal de grande instance de Paris, qui avait estimait que l’existence des failles de sécurité ne constituait “ en aucun cas une excuse ou un prétexte pour le prévenu d’accéder de manière consciente et délibérée à des données dont la non-protection pouvait être constitutive d’une infraction pénale “.

En effet, l’article 226-17 du Code Pénal réprime le fait de procéder ou de faire procéder à un traitement automatisé d’informations nominatives sans prendre toutes les précautions utiles pour préserver la sécurité de ces informations et notamment d’empêcher qu’elles ne soient communiquées à des tiers non-autorisés.

2) Le maintien frauduleux

La loi incrimine également le maintien frauduleux ou irrégulier dans un système de traitement automatisé de données de la part de celui qui y est entré par inadvertance ou de la part de celui qui, y ayant régulièrement pénétré, se serait maintenu frauduleusement ( Cour d’appel de Paris, jugement du 5 avril 1994 précité).

Quant à l’élément intentionnel de cette infraction, la doctrine et la jurisprudence s’accordent à admettre que l’adverbe ” frauduleusement ” n’est pas le dol général de l’attitude volontaire, ni le dol très spécial de l’intention de nuire, mais la conscience chez le délinquant que l’accès ou le maintien ne lui était pas autorisé.

3) Les intrusions avec dommages

L’alinéa 2 de l’article 323-1 du nouveau Code pénal prévoit un renforcement des sanctions, lorsque l’intrusion et le maintien frauduleux ont certaines conséquences :

Lorsqu’il en résulte soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de deux ans d’emprisonnement et de 30 000 euros d’amende

Ne sont concernées par cet article que les altérations involontaires. L’entrave volontaire au système ou l’entrave volontaire aux données sont visés par les articles 323-2 et 323-3 du nouveau Code pénal.

Les entraves volontaires au système ou aux données s’y trouvant.

L’article 323-2 du Nouveau Code pénal définit l’entrave volontaire au système comme ” Le fait d’entraver ou de fausser le fonctionnement d’un système de traitement automatisé de données “. Le peine encourue est de trois ans d’emprisonnement et de 45.000 euros d’amende.”
Cette infraction vise, notamment, l’introduction des programmes susceptibles d’entraîner une perturbation au système, tels que les virus, les bombes logiques etc.

L’article 323-3 du Nouveau Code pénal sanctionne, par ailleurs, l’introduction, la suppression ou la modification frauduleuses de données dans un système informatique. Les applications illicites visées par cet article sont nombreuses. Elles peuvent aller de la réduction du prix des marchandises sur un site de commerce électronique, la modification ou la suppression du contenu des bases de données à la modification du statut fiscal de l’entreprise.

En tout cas, ces agissements sont susceptibles d’entraîner une perte financière considérable au sein de l’entreprise.

B ) La responsabilité civile

1) La responsabilité civile contractuelle

Le droit commun de la responsabilité civile délictuelle est fondée sur la nation de la faute au sens de l’article 1382 du Code civil. Elle nécessite une faute, un dommage et un lien de causalité entre les deux.

La faute consiste ici en une intrusion dans un système informatique à l’insu de son utilisateur. Quant au dommage, il faut savoir s’il y a eu une perte et/ou une altération des informations contenues dans le site ou si le pirate a communiqué les données personnelles s’y trouvant à des tiers. Enfin, le lien de causalité entre la faute et le dommage doit être clairement établi.

Quid, pourtant, si le pirate n’est pas de nationalité française ou s’il opère de l’étranger ? La question qui se pose, dans ce cas, est celle de la compétence judiciaire internationale et de la loi applicable.

En droit français, le tribunal compétent pour juger un litige international est, en principe, celui du domicile du défendeur, à moins que le demandeur, s’il est français, ne souhaite invoquer le privilège de juridiction des articles 14 et 15 du Code civil. Or, ce dernier privilège est interdit dans le cadre de la Communauté européenne par la Convention de Bruxelles de 1973, devenue en 2000 un règlement ” concernant la compétence judiciaire, la reconnaissance et l’exécution des décisions en matière civile et commerciale “.

S’agissant d’un délit ou d’un quasi-délit, les articles 5§3 de la Convention de Bruxelles et du règlement 44/2001 précité, posent une règle de compétence spéciale en faveur du tribunal où le fait dommageable s’est produit ou risque de se produire.

Ce lieu peut être aussi bien celui où le dommage est survenu qui celui de l’événement causal qui est à l’origine de ce dommage (CJCE, 30 novembre 1976, aff. C-21/76, Mines de potasse d’Alsace : Rec. CJCE, p. 1735).

Dans le cas où le dommage, causé par l’intrusion, serait survenu au sein du système informatique d’une société domiciliée en France, les juridictions françaises seraient sans doute compétentes pour juger le litige.

Quant à la loi applicable, le juge applique, de manière générale la lex loci delicti, c’est à dire la loi où le fait dommageable s’est produit. La Cour de Cassation a jugé que le lieu où le fait dommageable s’est produit s’entend aussi bien de celui du fait générateur du dommage que du lieu de réalisation de ce dernier (Cass. 1re civ., 14 janvier 1997, D. 1997, p.177).

2) La responsabilité civile contractuelle.

Il est possible, en effet, d’engager la responsabilité civile contractuelle de l’héberger du site. Pour cela, il faudrait examiner les clauses contenues dans le contrat d’hébergement concernant notamment la sécurité du site et la mise en place de systèmes informatiques de protection contre toute forme d’intrusion. Il faudrait aussi qualifier cette obligation de l’héberger : s’agit-il d’une obligation de résultat ou de moyens ? Dans la plus part de cas, il ne pourra s’agir que d’une obligation de moyens qui aura pour effet de contraindre le prestataire d’apporter la preuve qu’il n’a pas manqué aux obligations normales qui lui incombaient, en cas d’intrusion informatique non autorisée.

 

II. Les mesures préventives

Certes, la possibilité d’intenter une action a posteriori contre le responsable de l’intrusion existe. Est-ce, pourtant, une solution efficace ?

Sur le plan juridique, la difficulté réside sur l’administration de la preuve, d’autant plus si l’intrusion a été effectuée à partir d’un réseau ouvert de type Internet. En effet, même si l’origine de cette intrusion peut être détectée, l’identification de la personne qui se cache derrière celle-ci peut s’avérer extrêmement difficile.

Or, l’étendue les dommages susceptibles d’être causés tant aux systèmes d’information attaqués et, par voie de conséquence, à l’entreprise qui les gère qu’à la crédibilité de cette dernière sur le plan professionnel, impose que des mesures de précaution soient prises.

En premier lieu, il est important d’insérer dans tous les contrats techniques une clause concernant la sécurité du contenu du système en cause, sous le double angle de la sécurité physique et logique.

Dans le premier cas, il s’agira de déterminer les conditions d’accès au serveur en tant que matériel informatique (contrôle des personnes ayant accès dans l’espace où sera localisé le serveur, conditions d’intervention en cas de panne etc).

Dans l’hypothèse de la sécurité logique, le prestataire devra assurer la mise en place de systèmes informatiques de protection conformes aux technologies disponibles (sécurité logicielle, fire wall, anti-virus etc). A cet effet, une des solutions les plus efficaces consiste à isoler l’ordinateur connecté à l’Internet, afin d’empêcher les utilisateurs de s’en servir pour naviguer sur l’ensemble du système informatique.

Les systèmes de signature électronique et de cryptologie permettent également d’assurer la sécurité des échanges.

Par ailleurs, on peut imaginer qu’une entreprise puisse souscrire une assurance contre le risque d’attaque informatique. Dans ce cas précis, le dédommagement dépendra du type d’assurance souscrite.

III. L’aspiration de site

La technique d’aspiration de site consiste, comme on l’a déjà précisé, à copier, partiellement ou entièrement le contenu d’un site, ainsi que des pages liées, sur le disque dur de l’ordinateur de l’utilisateur, afin de pouvoir y accéder hors connexion. Le site ainsi ” aspiré ” s’ouvre comme n’importe quel fichier sans attente ni risque de coupure de la connexion.

Il existe, en effet, des logiciels, tel que Mémoweb, qui permettent de récupérer les images, les sons, de préserver les liens entre les pages, et offrent de multiples capacités de traitement supplémentaires (mise à jour automatique des sites et des changements éventuels, comparaison périodique de pages…).

Il est vrai que l’aspiration des sites a suscité des multiples interrogations quant à sa légitimité face au droit d’auteur. D’autant plus que, comme on va le voir par la suite, les réponses données par l’application du droit de la propriété intellectuelle peuvent varier selon la catégorie à la quelle l’œuvre en cause s’attache.

A) L’aspiration de site face aux droits de propriété intellectuelle

1) Droit d’auteur

L’auteur d’un œuvre bénéficie d’une protection élevée en France et en Europe en application des droits qui lui sont conférés par le CPI, ainsi que par la directive CE 2001/29 du 22 mai 2001 sur l’harmonisation de certains aspects du droit d’auteur et des droits voisins dans la société de l’information.

La jurisprudence française considère, depuis un jugement du Tribunal de commerce de Paris du 9 février 1998, que le contenu des pages web est protégeable au titre des droits d’auteurs. Pour cela, il faut que les critères posés par le CPI – création originale, fixée sur un support- soient remplis. Ainsi, l’art. L.122-4 du CPI dispose que ” Toute représentation ou reproduction intégrale ou partielle faite sans le consentement de l’auteur ou de ses ayants droits au ayants cause est illicite ” et elle est donc punie à titre de contrefaçon.

Or, l’interdiction de la reproduction intégrale ou partielle de l’œuvre, faite sans le consentement de son auteur ne comprend pas, selon l’article 122-5 2° du CPI, ” les copies ou reproductions strictement réservées à l’usage privé du copiste et non destinées à une utilisation collective “.

Ceci dit, l’aspiration d’un site peut parfaitement être considérée comme l’exercice par l’utilisateur de son droit de copie privée d’une œuvre déjà divulguée.

En d’autres termes, la légitimité de la technique d’aspiration d’un site, face au droit d’auteur qu’on présume applicable, dépend, comme c’est le cas pour tous les œuvres de l’esprit bénéficiant de la protection par ce dernier, de l’utilisation qu’en est faite. Ainsi, la projection d’un site aspiré devant un publique serait, sans doute, considérée comme une utilisation collective de l’œuvre et serait, donc, interdite, à moins que le titulaire des droits n’ait pas donné préalablement son accord.

2) La protection des bases de données

Selon l’article L.341-1 du CPI : ” Le producteur d’une base de données, entendu comme la personne qui prend l’initiative et assure le risque des investissements correspondants, bénéficie d’une protection du contenu de la base lorsque la constitution, la vérification ou la présentation de celui-ci atteste d’un investissement financier, matériel ou humain, substantiel. Cette protection est indépendante et s’exerce sans préjudice de cesses résultant du droit d’auteur ou d’un autre droit sur la base de données ou un de ses éléments constitutifs “.

Le producteur d’une base de données a le droit d’interdire l’extraction, par transfert permanent ou temporaire, de la totalité ou d’une partie qualitativement ou quantitativement substantielle du contenu d’une base de données sur un autre support, ainsi que la réutilisation, par la mise à la disposition du public de ceci (art. L. 342-1 CPI).

L’article 122-4 du CPI exclue le droit de copie privée pour les ” copies et reproductions d’une base de données électronique “.

Il reste à savoir ce qu’on l’en entend comme base de données. A cet égard, l’article L. 112-3 du CPI dispose qu’ ” on entend par base de données un recueil d’œuvres, de données ou d’autres éléments indépendants, disposés de manière systématique ou méthodique, et individuellement accessibles par des moyens électroniques ou par tout moyen “.

Or, si certains sites web peuvent être considérés comme des bases de données, la majorité d’entre eux ne le sont pas. La raison est qu’ils ne répondent pas à la définition de ” recueil d’œuvres, de données ou d’autres éléments indépendants, disposés de manière systématique ou méthodique “.

En effet, si un site de compilation de données (un annuaire en ligne par exemple ou un site portail) constitue certainement une base de données, un site classique (site commercial) ne semble pas pour autant pouvoir revêtir cette qualification ; dans le cas de ce dernier, l’assemblage d’images, de sons et de textes n’a rien ni d’une disposition systématique, ni d’un recueil de données.

Qu’en est-il, pourtant, des sites commerciaux qui constituent et mettent à jour en permanence des bases des données sur leurs clients ou des sites qui proposent des modes de recherche, nécessitant le passage par une ou plusieurs bases de données ?

Dans ces cas très fréquents, il faut considérer que l’objet de la protection c’est non pas le site entier, qui ne présente, par ailleurs, aucune structure systématique et méthodique, mais seulement la base elle-même. Cette dernière, d’ailleurs, n’est pas visible pas les internautes et par conséquent elle ne peut pas être aspirée. L’accès à une telle base constituerait l’infraction, décrite ci-dessus, d’accès et maintien dans un système de traitement automatisé de données.

B) L’aspiration d’un site peut-elle être considérée comme une intrusion dans un système informatique ?

Pour que l’aspiration d’un site puisse être sanctionnée au titre de l’article 323-1 du Code pénal, il faut, avant tout, qu’il y ait eu intrusion dans un système informatique au sens de ce même article. Or, il n’y a intrusion que si la pénétration dans le système informatique en cause a été effectuée de manière irrégulière par une personne non-autorisée.

Comme le montre la décision récente de la Cour d’appel de Paris précitée, il ne suffit pas que la personne acteur de l’intrusion n’avait pas le droit d’accès dans le système, mais encore faut-il qu’il en ait forcé l’accès, en utilisant une méthode particulière et non pas un simple navigateur.

L’aspiration d’un site s’effectue bien sur avec des logiciels spéciaux. En plus, dans la plus part de cas, l’utilisateur ne demande pas l’autorisation préalable du créateur du site. Or, l’accès à ce dernier n’est nullement forcé!

Enfin, si des dégâts au contenu ou au système du site ont été causés, le préjudice pourra être réparé sur le fondement de la responsabilité civile délictuelle, à la condition, toutefois, de rapporter la preuve du lien de causalité entre l’aspiration et le dommage.

L’aspiration d’un site n’est rien d’autre qu’un téléchargement simultané de tous les éléments d’une page ou d’un site web. Mis à part l’hypothèse où le site puisse être considéré en lui-même comme une base de données et supposant que l’accès à celui-ci est libre, rien a priori ne semble s’opposer à son aspiration pour des fins privés.

ARTICLES EN RELATION