Avis du Comité économique et social sur la "Communication de la Commission au Conseil, au Parlement européen, au Comité économique et social et au Comité des régions - Créer une société de l'information plus sûre en renforçant la sécurité des infrastructures de l'information et en luttant contre la cybercriminalité"

(2001/C 311/04)

Le 31 janvier 2001, la Commission, conformément à l'article 262 du traité instituant la Communauté européenne, a décidé de consulter le Comité économique et social, sur la communication susmentionnée.

La section "Transports, énergie, infrastructures, société de l'information", chargée de préparer les travaux du Comité en la matière, a élaboré son avis le 17 juillet 2001 (rapporteur: M. Dantin).

Lors de sa 384e session plénière des 12 et 13 septembre 2001 (séance du 12 septembre 2001), le Comité a adopté à l'unanimité le présent avis.

1. Introduction

1.1. Le développement de la société de l'information induit de profonds changements qui touchent nombre d'aspects de l'activité: travail, éducation, loisirs, industrie, commerce, ...

1.2. La Commission a lancé l'initiative eEurope en 1999 afin de permettre à l'UE de tirer parti des avantages générés par les nouvelles technologies tout en faisant en sorte que celles-ci soient un facteur d'intégration sociale. En juin 2000, le Conseil européen de Feira a approuvé un plan d'action global sur l'initiative e-Europe et a demandé sa mise en oeuvre avant la fin 2002(1). Ce plan d'action souligne notamment l'importance que revêtent la sécurité des réseaux et la lutte contre la cybercriminalité.

1.3. Cette décision est la suite logique d'un certain nombre de mesures déjà adoptées pour lutter contre les contenus illicites et préjudiciables véhiculés par Internet pour protéger notamment les droits de propriété intellectuelles, les données à caractère personnel et pour promouvoir le commerce électronique.

1.4. Cette Communication s'inscrit dans le cadre d'une réflexion continue. C'est ainsi qu'en 1998, la Commission a exposé devant le Conseil les résultats d'une étude intitulée COMCRIM portant sur la cybercriminalité. En octobre 1999, le Conseil européen de Tampere a conclu que les efforts visant à trouver un accord sur des définitions et des sanctions communes doivent aussi porter sur la criminalité utilisant les technologies avancées.

1.5. Dans sa Communication la Commission s'interroge sur la nécessité d'une initiative conduisant à définir une politique globale et étudie les différentes formes qu'elle pourrait prendre.

2. La Communication

2.1. Après avoir analysé les opportunités et les risques induits par la société de l'information, la Communication sous examen inventorie les réponses nationales et internationales qui ont été apportées afin de lutter contre la cybercriminalité. Ce faisant, elle souligne que les principales questions qui ont été traitées relèvent pour l'essentiel des "atteintes à la vie privée", "des infractions liées au contenu", "des infractions économiques et des accès non autorisés" ainsi que "des atteintes à la propriété intellectuelle" que l'on peut définir ainsi:

- Atteintes à la vie privée: ces infractions portent atteinte aux droits fondamentaux, au respect de la vie privée par la collecte, le stockage, la modification, la divulgation et la diffusion illicites de données à caractère personnel.

- Infractions liées au contenu: elles concernent la diffusion, en particulier sur l'Internet, d'images pornographiques, notamment la pornographie enfantine, de déclarations racistes, de déclarations révisionnistes concernant le nazisme, et d'informations incitant à la violence.

- Infractions économiques, accès non autorisé et sabotage: elles sont liées à l'accès non autorisé aux systèmes informatiques (par exemple piratage informatique, sabotage informatique et diffusion de virus, espionnage informatique, falsification informatique ou fraude informatique) et à de nouvelles formes d'infractions (par exemple procéder à des manipulations informatiques).

- Atteintes à la propriété intellectuelle: ces infractions portent atteinte à la protection juridique des programmes d'ordinateur et des bases de données, du droit d'auteur et des droits voisins.

2.2. Afin d'approcher les voies et les moyens utiles pour proposer une disposition législative ayant pour objectif de rapprocher les dispositions nationales en matière de cybercriminalité, la Communication examine les "questions de droit positif" et les "questions de droit procédural" (interception des communications, conservation des données relatives au trafic, accès et utilisation anonymes, coopération concrète au niveau international, ...).

2.3. La Communication aborde, dans un deuxième temps, l'ensemble des mesures non législatives qui devraient nécessairement compléter les mesures législatives. Il s'agit en substance: de la création "d'unités nationales spécialisées", de "formation spécialisée", de "coopération entre les différents acteurs", "d'actions menées directement par les entreprises" ainsi que des "projets de RDT" financés par l'Union européenne.

2.4. S'agissant de la "Sécurité des infrastructures de l'information", elle indique que celle-ci est dans une large mesure la responsabilité de l'utilisateur.

2.5. Dans ses conclusions et propositions, la Communication, comme elle l'a fait dans son développement, distingue également deux parties qu'elle précise et enrichit:

- les propositions non législatives, et

- les propositions législatives.

2.5.1. Propositions non législatives

Des mesures sont envisagées dans un certain nombre de domaines:

- création d'un forum européen réunissant les autorités chargées de l'application des lois, des fournisseurs de services, des opérateurs de réseaux, des associations de consommateurs, dans le but notamment d'intensifier les coopérations au niveau communautaire;

- poursuite des actions en faveur de la sécurité et de la confiance dans le cadre de l'initiative eEurope, du plan d'action Internet, du programme IST ainsi que du programme-cadre de RDT(2);

- lancement d'autres actions dans le cadre de programmes existants;

- financement de mesures destinées à améliorer le contenu et l'utilisation de la base de données des législations nationales fournie par l'étude COMCRIME.

2.5.2. Propositions législatives

En application du titre VI du Traité de l'Union européenne, la Commission présentera des propositions qui viseront à:

- rapprocher les législations des États membres dans le domaine de la pornographie enfantine(3);

- accentuer le rapprochement des systèmes de droit pénal dans le domaine de la criminalité utilisant de hautes technologies;

- appliquer le principe de la reconnaissance mutuelle concernant les injonctions préalables aux procès liés aux enquêtes en matière de cybercriminalité qui impliquent plusieurs États membres.

Par ailleurs, la Commission évaluera s'il y a lieu de prendre une initiative, en particulier de nature législative, sur la question de la conservation de données relatives au trafic à partir, notamment, des résultats des travaux qui seront menés par le futur forum européen dans ce domaine.

3. Observations générales

3.1. Le CES partage le point de vue de la Commission sur l'importance de la diffusion et de l'utilisation de nouvelles technologies numériques, et en particulier Internet, car les infrastructures du traitement de l'information et de la communication sont devenues un maillon essentiel de nos économies. Dans certains secteurs, ce maillon est si important que l'on peut constater qu'une partie de l'activité économique est "cyberdépendante".

3.2. Il partage aussi l'analyse de la Commission sur les risques induits par la généralisation de ces technologies et les précautions nécessaires car "à mesure que les sociétés deviendront plus dépendantes de ces technologies, il leur faudra employer des moyens pratiques et juridiques efficaces pour pouvoir gérer les risques associés à cette évolution".

3.3. C'est pourquoi le CES se félicite que la Communication dresse une liste très complète des problèmes de sécurité dans la société de l'information et qu'elle formule des propositions en vue de définir une politique globale de sécurité. Mais le CES pense qu'il est nécessaire de mieux définir la cybercriminalité afin de bien distinguer les deux types de crimes et de délits: d'une part, les "nouveaux crimes informatiques" (diffusion de virus, destruction de logiciels ou de fichiers, ...), qui doivent faire l'objet d'une nouvelle législation, et, d'autre part, les activités criminelles traditionnelles, qui sont aujourd'hui plus faciles à commettre par l'utilisation des ordinateurs et des réseaux (pédophilie, blanchiment d'argent, atteinte aux droits d'auteurs), qui doivent faire l'objet d'une harmonisation plus poussée des textes actuels existant dans chaque État membre. La lutte contre ces différents délits, qui sont le fait de populations maîtrisant bien les technologies (délits d'experts en cols blancs) exigent des mesures différentes.

3.4. La Communication de la Commission propose de nombreuses mesures de répression. Le CES pense qu'il faut combattre la cybercriminalité non seulement par une politique de répression, mais aussi par des mesures plus larges de prévention, de formation et de lutte contre les exclusions de toutes sortes (économiques, mais aussi culturelles). Le CES insiste pour que soit défini le rôle des différents acteurs, en particulier les acteurs publics de tous niveaux, dans la mise en oeuvre de cette politique élargie de prévention et de lutte contre la cybercriminalité: rôle de l'UE, des États, des régions, des villes, des entreprises et aussi de toutes les instances de la "société civile" (écoles, associations, bibliothèques, ...).

3.5. Mais, le CES remarque que certains aspects importants ont été sous-estimés dans les analyses présentées. C'est ainsi que, dans le titre de la Communication, il apparaît que deux sujets principaux seront abordés: la sécurité des infrastructures et la cybercriminalité. Le CES tient à souligner que la Communication concerne surtout la lutte contre la criminalité car la sécurité des infrastructures est beaucoup moins analysée. Pourtant cette sécurité, notamment la sécurité induite par le fonctionnement technique des réseaux, est loin d'être satisfaisante. L'accroissement considérable du nombre des utilisateurs, le volume des données à transmettre et l'introduction permanente de techniques encore peu stabilisées (hauts débits, Internet sur mobiles, ...) risquent de compromettre cette sécurité. Par exemple, les problèmes de la surcharge ou des pannes des réseaux de télécommunication sont très peu abordés(4). Il faut être conscient que plus les activités économiques seront cyberdépendantes, plus la fiabilité technique des réseaux sera indispensable.

3.6. Concernant la sécurité technique des réseaux, il serait intéressant de s'interroger sur la responsabilité des opérateurs de télécommunications et sur les effets de la déréglementation sur cette qualité technique. De nombreuses études montrent les effets économiques bénéfiques de la déréglementation des télécommunications (baisse des prix, diversification des contrats, nouveaux services, ...), mais aucune étude n'analyse les effets de cette déréglementation sur la qualité et la sécurité des infrastructures. Aucune estimation financière n'est donnée par la Communication de la Commission concernant les pertes subies par les utilisateurs, en particulier les entreprises, suite à des incidents techniques de fonctionnement sur les réseaux. Il serait pourtant important de pouvoir estimer les enjeux purement économiques, en complément des enjeux sociaux et humains que coûtent les "cyber-dysfonctionnements techniques" par rapport à la "cybercriminalité"?

3.7. La Communication de la Commission a une approche très individuelle et très "laisser faire" des problèmes de sécurité, en ayant tendance à transférer le traitement de tous les problèmes de sécurité et de lutte contre la cybercriminalité aux utilisateurs. Elle insiste sur la responsabilité des utilisateurs, individus ou entreprises, et semble sous-estimer le rôle des grands acteurs que sont les opérateurs de télécommunication et les États: "La sécurité est donc, dans une large mesure, la responsabilité de l'utilisateur, seul à même d'apprécier la valeur des bits de données qu'il envoie ou qu'il reçoit, et seul capable de déterminer le niveau de protection dont il a besoin". Il est certain que chaque utilisateur a un rôle à jouer pour assurer sa propre sécurité, et le CES est d'accord pour que les utilisateurs soient largement informés sur les risques encourus sur Internet et formés afin de pouvoir se protéger et d'assumer leur propre responsabilité. Mais il insiste sur les limites d'une telle approche individuelle: si cette responsabilité peut, en partie, être assumée par des utilisateurs "forts ou avertis" (grandes entreprises ou institutions), peut-elle être réellement assumée par des utilisateurs plus "faibles ou inexpérimentés" (petites entreprises, individus et surtout enfants)? Cette analyse de la sécurité qui n'est pas suffisante dans le monde "réel et concret" ne l'est sûrement pas davantage, si ce n'est moins dans le monde virtuel. N'est-elle pas une incitation à la création de moyens illégitimes d'autodéfense, telles que des milices privées chargées de la sécurité et de la lutte contre la cybercriminalité?

3.8. En complément des remarques ci-dessus, le CES ne nie pas le rôle important que le citoyen actif d'aujourd'hui pourrait jouer, en tant qu'utilisateur. L'utilisateur devrait être bien informé et sensibilisé à l'ensemble des problèmes concernant la sécurité du cyberespace. Cela pourrait être réalisé grâce à un enseignement initial et à une information permanente sur les évolutions dans ce domaine. Les initiatives e-Europe(5) et e-Learning(6), ainsi que les processus d'éducation et de formation tout au long de la vie, peuvent contribuer à cet objectif de manière positive et créative.

3.9. Il serait aussi intéressant de s'interroger plus longuement sur la responsabilité des acteurs du secteur informatique: la sécurité représente probablement plus de 10 à 15 % des coûts que consacrent les entreprises et les particuliers (achat de matériels spéciaux du type "murs pare-feu", achat de logiciels antivirus, mise à jour de ces logiciels, ...)(7). L'incitation à la consommation d'outils de sécurité peut apparaître discutable au niveau des particuliers et des PME. Il relève plutôt des fournisseurs et des fabricants qui doivent mettre en oeuvre les matériels et logiciels actuellement existants afin de protéger leurs clients: "C'est pourquoi il importe d'encourager l'innovation et l'utilisation commerciale des technologies et des services de sécurité". Est-on certain que tous les fabricants de logiciels et de matériels informatiques désirent vraiment que le nombre de virus, qui dépasse aujourd'hui 50000, et croît de 10000 par an, baisse?

3.10. D'autre part, le CES estime qu'il serait nécessaire d'approfondir plus longuement l'analyse du pouvoir des États européens et de l'UE dans la gestion et le contrôle des grands organismes qui administrent les réseaux Internet(8). Il faut, par exemple, remarquer que l'Europe est totalement absente de l'organisme qui assure l'administration Internet, l'ICANN (Internet Corporation for Assigned Names and Numbers). L'ICANN est un organisme de droit privé, qui s'est constitué en 1998, à l'initiative du gouvernement américain, pour assurer la coordination Internet. C'est cette institution privée qui, entre autres responsabilités, gère les adresses Internet (pour éviter les doublons) et les noms de domaines des sites web pour le monde entier, et qui définit des règles de fonctionnement qui s'appliquent à tous. Or, le bureau directeur de l'ICANN est composé par des représentants des opérateurs privés américains et de quelques internautes "élus au suffrage universel sur Internet" dont un représentant les internautes européens. La Communication est trop discrète sur ce type de réflexions, et le CES pense qu'il est nécessaire que soit exigée la participation active de l'UE aux différents organismes de gestion et de coordination Internet, et pas seulement aux organismes purement techniques du secteur des télécommunications(9). D'autre part, étant donné les enjeux sociaux et sociétaux liés à l'utilisation d'Internet, ne serait-il pas nécessaire qu'il soit administré (fixation des normes, coordination des adresses électroniques, ...) par un organisme international impliquant largement les pouvoirs publics des différents États? Il faut remarquer que ce type d'organisme existe déjà dans d'autres domaines (Transports aériens avec l'IATA, transports maritimes ou télécommunications).

3.11. La Communication de la Commission aborde la question du rapprochement des pouvoirs en matière de droit procédural qui "améliorera la protection des victimes", mais n'en fait pas une priorité dans ses conclusions. Le CES pense que ce rapprochement est urgent et que tout doit être mis en oeuvre pour que cette harmonisation des procédures soit accélérée. En particulier, ce rapprochement, tout en respectant les droits et libertés publiques reconnus dans les États membres et les droits fondamentaux au respect de la vie privée et à la protection des données inscrits dans la Charte des droits fondamentaux de l'Union européenne, doit faciliter la recherche et la saisie rapide des données mémorisées dans les ordinateurs afin d'empêcher la destruction des preuves de l'infraction pénale; et doter les autorités chargées de l'application des lois de pouvoirs suffisants pour ordonner ou obtenir la conservation rapide de données précises.

4. Observations spécifiques

4.1. Nécessité de lutter contre la pédophilie

4.1.1. Le CES se félicite de la décision de la Commission de présenter avant la fin de l'année 2001 une "proposition de décision-cadre qui comprendra des dispositions en vue d'un rapprochement des lois et des sanctions applicables à la pornographie enfantine sur l'Internet(10)". Le CES pense que ce rapprochement des lois et des sanctions ne devrait pas concerner seulement la pédophilie, mais aussi d'autres domaines: lutte contre les sectes, contre les idées racistes, sexisme, ... et plus généralement la promotion de la pornographie et de la violence.

4.2. Nécessité de réglementer l'interception des communications

4.2.1. Le CES partage les craintes exprimées dans la Communication: "Toute exploitation des possibilités d'interception faite de manière abusive et sans discernement, en particulier à l'échelle internationale, poserait des problèmes sous l'angle des droits de l'homme et saperait la confiance du citoyen dans la société de l'information". Mais le CES tient à compléter cette analyse en insistant sur la nécessité du respect de ces principes de confidentialité dans tous les domaines, y compris dans le fonctionnement interne des entreprises. Les droits de l'homme et la vie privée doivent être respectés dans toutes les entreprises. Ce respect concerne, entre autres, la protection des messages personnels envoyés ou reçus par les salariés sur les systèmes de communication de l'entreprise (respect de la vie privée)(11). Ce respect exige aussi la négociation de l'utilisation des données individuelles, nécessairement collectées pour le bon fonctionnement technique des réseaux, mais qui rendent possible le contrôle individuel de l'activité et des comportements de chaque salarié. La nécessaire négociation de "charte d'utilisation des technologies de l'information" est un moyen de trouver l'équilibre entre le respect des libertés individuelles et les contraintes de fonctionnement de l'entreprise (double boîte de messagerie électronique, ...).

La Communication de la Commission aborde dans une simple note la question du réseau d'interception des informations mondiales appelé ECHELON. Le CES approuve les efforts de la commission d'enquête du Parlement européen pour faire toute la lumière sur ce réseau, dont une partie des moyens (matériels, centre d'écoutes, ...) est installée dans un État membre. Il serait paradoxal de concevoir des procédures détaillées réglementant l'interception des communications, si ces règles étaient en permanence violées par un réseau d'États, cachant derrière un alibi de sécurité militaire, des objectifs moins avouables d'espionnage économique. C'est pourquoi le CES demande au Conseil des ministres d'intervenir fermement sur cette question.

4.3. Nécessité de conserver certaines données relatives au trafic

4.3.1. Les crimes sur Internet ont des caractéristiques bien connues: ils sont relativement faciles à commettre (quand on maîtrise les techniques informatiques), ils exigent peu de moyens, ils peuvent se commettre à distance sans aucune présence physique, ils peuvent concerner instantanément un grand nombre d'internautes et causer des dommages considérables. En contrepartie, ils laissent des traces dans les différents composants des réseaux empruntés par les données frauduleuses. Techniquement tout pousse les différents acteurs des réseaux à effacer ces traces dès que les opérations de facturation sont réalisées, rendant le travail des forces de police presque impossible. Le CES pense que ce problème est l'un des plus urgents qu'il faut régler pour assurer le bon fonctionnement d'Internet et soutient la position de la Commission qui "invite toutes les parties concernées à procéder, en priorité, à un examen approfondi de la question complexe de la conservation des données relatives au trafic". Cet examen devrait permettre d'aborder des questions techniques (quelles informations garder? pendant combien de temps?) et des question économiques (qui financera ces nouvelles opérations?)(12). Le projet de convention sur la cybercriminalité(13) du Conseil de l'Europe précise un certain nombre de modalités concernant cette conservation des données. Mais les délais d'adoption et de mise en place de cette convention risquent d'être très longs: il est nécessaire d'accélérer la mise en place de moyens spécifiques aux pays de l'UE(14).

4.4. Nécessité de réglementer l'accès et l'utilisation anonymes

4.4.1. La Communication rappelle que la question de l'anonymat se trouve au centre d'un dilemme: d'une part la possibilité de rester anonyme est essentielle si l'on veut préserver les droits fondamentaux à la vie privée, d'autre part la faculté de communiquer en ligne sans révéler son identité interdit de lutter contre certains délits. Le CES approuve la position de la Commission d'appliquer à Internet les principes juridiques de base qui s'appliquent dans d'autres domaines: "L'Internet n'est pas un ghetto anarchique, sans règles sociales". Le CES pense que des solutions techniques et juridiques doivent être recherchées pour que l'accès et la navigation dans Internet ne donnent pas lieu au pistage ou investigation des comportements privés des internautes. L'envoi de messages anonymes non sollicités à une adresse individuelle déterminée(15), en particulier en partant des lieux collectifs (comme les cybercafés, les bibliothèques, ...) doit également être interdit. En effet, le développement d'envois anonymes menace non seulement chaque individu, mais aussi l'ensemble de la société. Le CES est conscient des difficultés posées par cet interdiction, même limitée, de l'anonymat. Cependant il convient de nuancer l'affirmation selon laquelle "la possibilité de rester anonyme est essentielle si l'on veut préserver les droit fondamentaux à la vie privée et à la liberté d'expression dans le cyberespace". La reconnaissance d'un tel concept tendrait à porter atteinte aux droits des destinataires (nominatifs ou génériques) des messages, qui doivent pour leur part avoir la possibilité pour protéger leur vie privée et leurs intérêts - de connaître avec exactitude l'identité de leurs interlocuteurs.

4.5. Rôle des unités nationales spécialisées

4.5.1. Le CES approuve la demande de constitution, au niveau national, d'unités spécialisées chargées de différentes tâches dont la poursuite des crimes informatiques et la mise au point de technologies d'investigation. Le CES partage aussi le point de vue de la Commission sur la nécessité de statistiques sur la cybercriminalité: "Il faut donc impérativement recueillir des données fiables sur l'ampleur du phénomène de la criminalité informatique". C'est pourquoi le CES demande que les responsabilités de ces unités spécialisées soient élargies à la tenue de statistiques détaillées et pertinentes, rendues publiques, sur la cybercriminalité afin que ces statistiques ne soient pas confiées à des organismes d'étude privées, toujours très liés au secteur informatique. La lutte contre l'insécurité et la cybercriminalité exige une estimation du volume des actes délictueux, de leurs sources et causes, et surtout des coûts financiers supportés par les particuliers et les entreprises qui sont dus soit aux systèmes de sécurité, soit aux conséquences des fraudes et attaques virales diverses.

4.6. Création d'un forum européen

4.6.1. Le CES approuve la proposition de la Commission de créer un forum européen rassemblant un grand nombre d'acteurs ayant pour objectif d'améliorer pleinement la coopération au niveau de l'UE, et insiste pour que ce forum soit d'abord une instance permettant les échanges concernant des vraies et fausses spécificités de la société de l'information. En particulier, ce forum doit permettre de justifier, de développer et de diffuser auprès des institutions et des citoyens la nécessité de mettre en place des systèmes de régulation. En effet, il faut reconnaître qu'Internet s'est développé en partie en dehors des modalités de régulation traditionnelles: cela a été l'une des raisons de son développement très rapide. Mais l'importance d'Internet est devenue trop grande, pour qu'il échappe à toute régulation. Pourtant, les "fans" Internet continuent d'insister sur le fait que "toute réglementation Internet est un frein au développement Internet". D'autre part, ils s'appuient sur l'idéal associatif et libertaire d'un certain nombre d'internautes pour continuer à développer l'idée que le "village numérique planétaire" ne doit pas être régulé par les États et se contenter de codes de bonne conduite. Il est temps que l'Europe aide à l'évolution des idées sur la nécessité de régulation et de réglementation. Il faut répéter qu'Internet est un outil comme un autre qui doit être régulé comme les autres activités économiques. Le développement du commerce électronique dans le secteur privé et des téléprocédures dans les rapports avec l'administration ne se réalisera que si le consommateur et le citoyen ont confiance dans Internet. Cette confiance est liée à la mise en place rapide de règles politiques, économiques ou fiscales et pas seulement à l'achat par les entreprises et les particuliers de systèmes de sécurité. Cette aide à l'évolution des idées, qui doit s'accompagner d'une prise de conscience de la nécessité pour tout utilisateur d'Internet de se tenir éloigné des attitudes extrêmes (trop de naïveté ou trop de paranoïa), pourrait être l'un des rôles principaux du forum européen.

4.6.2. Le CES considérant l'intérêt de ce type d'échanges pour la société civile organisée participera à ce forum.

4.7. Actions menées directement par les entreprises

4.7.1. Le CES approuve l'analyse de la proposition: "Dans de nombreux domaines, services bancaires, communications électroniques, cartes de crédit et droits d'auteur, les entreprises et leurs clients sont des victimes potentielles de la criminalité informatique". Mais il pense que la Communication n'insiste pas assez sur les risques énormes que font courir aux PME les failles de sécurité sur Internet. Il faut inciter les fournisseurs de sites commerciaux aux entreprises à utiliser les moyens disponibles en matière de sécurisation. Certes les grandes entreprises ont les moyens humains et financiers d'assurer une certaine sécurité, mais beaucoup de PME ne peuvent y consacrer les moyens nécessaires. Ces PME peuvent alors subir des dommages financiers importants (destruction et pertes de fichiers, vols de fichiers confidentiels, ...) ou même des arrêts provisoires ou des cessations définitives d'exploitation (virus dans les systèmes informatiques, ...). D'autre part, certaines pratiques frauduleuses dans l'utilisation Internet peuvent induire des coûts "cachés" très importants: c'est ainsi que la pratique de l'envoi en masse de publicités par courrier électronique ("spam") peut induire, chez le destinataire des messages, des coûts financiers et surtout des pertes de temps non négligeables(16). Pour le moment, ces pratiques sont trop peu réprimées. Le CES rappelle qu'il est favorable à un système de "consentement préalable" pour le courrier électronique de nature commerciale(17).

4.8. Projets de RDT financés par l'Union européenne

4.8.1. Le CES approuve les grandes lignes du programme de RDT rappelé par la Communication. Mais il insiste sur la nécessité de poursuivre des réflexions et recherches sur deux thèmes qui lui paraissent essentiels.

4.8.1.1. Thème n° 1 (études à caractères techniques): jusqu'à quel niveau de complexité peut-on développer le réseau Internet sans risquer une vulnérabilité insupportable? Chacun s'accorde à dire que la fragilité d'un système est liée à la complexité. Étant donné la cyberdépendance croissante des activités économiques, à partir de quand un ensemble de réseaux interconnectés devient-il dangereux car trop sensible à la panne technique et trop vulnérable à la cybercriminalité? Toutes les inventions humaines ont des limites de taille (avions, bateaux, tunnels, tours, ...) et le gigantisme est toujours fragile. Internet et les réseaux échapperaient-il à ces contraintes?

4.8.1.2. Thème n° 2 (études à caractères psychologiques, sociologiques et culturelles): quelles sont les spécificités psychologiques de la cybercriminalité dans le monde immatériel, par rapport à la criminalité traditionnelle dans le monde "réel et concret"? Il est probable que l'absence de conséquences "visibles" joue un grand rôle. Comment rendre "visibles" et facilement perceptibles les effets de la cybercriminalité afin que chacun puisse en ressentir les effets négatifs? Par exemple, comment faire comprendre que voler un logiciel est répréhensible bien que l'utilisateur volé ne subisse aucun dommage apparent, puisqu'il dispose toujours du logiciel (contrairement à la victime d'un "vol" dans le monde traditionnel)? Comment rendre "visibles" les pertes financières induites par la diffusion d'un virus, qui est un sabotage économique souvent plus important que l'incendie ou l'attentat à l'explosif, bien que les conséquences physiques soient peu spectaculaires (pas de flammes, pas de bruits, ...)? Comment lutter contre la cybercriminalité alors qu'une grande partie des cybercrimes économiques (en particulier la diffusion des virus et l'intrusion dans certains systèmes informatiques) n'ont pas pour motifs les motifs traditionnels (argent, pouvoir, vengeance, ...) et sont souvent des actes apparemment "gratuits", plus inspirés par la mégalomanie ("je suis plus fort que les systèmes les plus sophistiqués") et la recherche de notoriété que par l'appât du gain? Quelles sont les liaisons entre la cybercriminalité et l'exclusion? Comment concevoir des politiques de prévention?

4.8.2. La confiance dans Internet ne pourra être accrue que si ces types de problèmes sont mieux analysés et mieux connus afin d'être mieux traités.

5. Conclusions

5.1. Le CES partage le point de vue de la Commission sur l'importance de la diffusion et de l'utilisation des nouvelles technologies numériques. Leur importance est telle - en particulier celle d'Internet - que l'on peut constater qu'une partie de l'économie est "cyberdépendante". Cette "cyberdépendance" ira en s'accroissant.

5.1.1. Ce faisant le CES partage également l'analyse de la Commission selon laquelle il conviendra d'employer des moyens pratiques et juridiques de plus en plus efficaces au fur et à mesure que l'économie deviendra plus dépendante de ces technologies.

Dans ce contexte évolutif, le CES se félicite des initiatives envisagées par la Commission dans sa communication. Le CES insiste sur l'urgence de certaines décisions et sur la nécessité d'accélérer la mise en place des modalités de régulation.

5.2. Cependant, afin d'enrichir la réflexion, il souligne les aspects suivants:

5.2.1. La Communication de la Commission propose de nombreuses mesures de répression. Il est nécessaire de leurs adjoindre des mesures plus larges de prévention, de formation et de lutte contre l'exclusion.

5.2.2. Un accent plus important doit être mis sur la sécurité des infrastructures.

5.2.3. Si, comme l'indique la Commission, la sécurité peut être en partie de la responsabilité de l'utilisateur il convient également de définir le rôle des grands acteurs que sont les opérateurs de télécommunication et les États. En effet si cette sécurité peut être assurée par des utilisateurs "forts ou avertis" (grandes entreprises, institutions ...) peut-elle être réellement assurée par des utilisateurs plus "faibles ou inexpérimentés" (petites entreprises, individus et surtout enfants)?

5.2.4. Il est nécessaire d'approfondir plus précisément l'analyse du pouvoir des États membres et de l'UE dans la gestion et le contrôle des grands organismes qui administre le réseau Internet.

5.2.5. Le rapprochement des pouvoirs en matière de droit procédural doit être une priorité afin d'améliorer la "protection des victimes". Les nouveaux pouvoirs qui seraient conférés aux autorités chargées de l'application des lois doivent respecter les droits fondamentaux au respect de la vie privée et à la protection des données, inscrits dans la Charte des droits fondamentaux de l'Union européenne.

5.2.6. Il est nécessaire, comme l'indique la Commission, de réglementer l'interception des communications. Cette orientation doit être élargie en insistant sur le respect de ces principes de confidentialité à tous les domaines, y compris dans le fonctionnement interne des entreprises. Le CES approuve et soutient les efforts du Parlement européen afin de faire toute la lumière sur le réseau d'interception des informations mondiales appelé ECHELON, et demande que le Conseil des ministres intervienne fortement sur cette question.

5.2.7. Les questions les plus urgentes à traiter pour assurer le bon fonctionnement d'Internet et lutter contre la cybercriminalité sont la nécessité de conserver certaines données relatives au trafic, la réglementation de l'accès et l'utilisation anonyme.

5.2.8. La création d'un forum européen rassemblant un grand nombre d'acteurs ayant pour objectif d'améliorer la coopération au niveau de l'UE est une bonne initiative. Le CES, en tant que représentant de la société civile organisée, a décidé de participer activement aux travaux de ce forum.

5.2.9. Il est nécessaire de souligner et d'analyser, plus que cela est fait dans la Communication, le risque énorme que fait courir aux PME les failles de sécurité sur Internet (destruction et perte de fichiers, vol de fichiers confidentiels, virus dans les systèmes informatiques, ...).

5.2.10. Les grandes lignes du programme de RDT rappelés dans la Communication vont dans le bon sens. Cependant deux thèmes paraissent essentiels:

- Jusqu'à quel niveau de complexité peut-on développer Internet sans risquer une vulnérabilité insupportable?

- Quelles sont les spécificités psychologiques de la cybercriminalité dans le monde virtuel, par rapport à la criminalité traditionnelle dans le monde "réel et concret"?

Bruxelles, le 12 septembre 2001.

Le Président

du Comité économique et social

Göke Frerichs

(1) Avis du CES sur "e-Europe - Une société de l'information pour tous - Projet de plan d'action" - COM(2000) 330 final; JO C 123 du 25.4.2001.

(2) Avis du CES sur la "Proposition de décision du Parlement et du Conseil relative au programme-cadre pluriannuel 2002-2006 de la Communauté européenne pour des actions de recherche, de développement technologique et de démonstration visant à aider à la réalisation de l'espace européen de la recherche" et la "Proposition de décision du Conseil relative au programme-cadre pluriannuel 2002-2006 de la Communauté européenne de l'énergie atomique (EURATOM) pour des activités de recherche et d'enseignement visant à aider à la réalisation de l'espace européen de la recherche" - COM(2001) 94 final - 2001/0053 COD - 2001/0054 CNS en cours d'élaboration.

(3) Proposition de décision-cadre du Conseil relative à la lutte contre l'exploitation sexuelle des enfants et la pédopornographie - COM(2001) 854 final - CNS 2001/025; JO C 62 E du 27.2.2001.

(4) Ces pannes sont spectaculaires sur les réseaux de téléphones mobiles (car tous les utilisateurs s'en aperçoivent rapidement), mais elles existent aussi, même si elles sont moins visibles, sur Internet. Malheureusement peu de statistiques sont diffusées par les opérateurs à ce sujet.

(5) Avis du CES sur "e-Europe - Une société de l'information pour tous - Projet de plan d'action" - COM(2000) 330 final; JO C 123 du 25.4.2001.

(6) Avis d'initiative du CES sur "La dimension européenne de l'éducation: nature, contenu et perspectives", JO C 139 du 11.5.2001.

(7) On constate des inégalités importantes dans les niveaux de vulnérabilité de certains systèmes.

(8) Voir COM(2000) 202 final.

(9) Le bureau directeur de l'ICANN comporte 19 membres dont 5 représentent les 5 grandes régions du monde (Amérique du Nord, Europe, Asie-Pacifique, Afrique, Amérique du Sud). Les élections se sont faites selon des modalités fort peu démocratiques: tout internaute volontaire pouvait voter, et très peu d'internautes étaient informés de cette "élection"!

(10) Décision du Conseil du 29 mai 2000 relative à la lutte contre la pédopornographie sur l'Internet; JO L 138 du 9.6.2000. Avis du CES sur 'Un programme pour la protection de l'enfance sur Internet' en cours d'élaboration. Avis du CES sur la 'Lutte contre l'exploitation des enfants et le tourisme sexuel'; JO C 284 du 14.9.1998. Avis du CES sur la 'Proposition de recommandation du Conseil concernant la protection des mineurs et de la dignité humaine dans les services audiovisuels et d'information' - COM(97) 570 final; JO C 214 du 10.7.1998.

(11) Par exemple, un accord récemment signé dans l'entreprise Deutsche Telekom garantit la confidentialité totale des messages envoyés par les salariés sur l'intranet et Internet de l'entreprise.

(12) Le problème du financement a déjà été abordé dans certain pays: (Belgique, Pays-Bas, Royaume Uni, ...) avec des réponses différentes.

(13) Conseil de l'Europe - Projet de convention sur la cybercriminalité - Projet n° 25 du 9 janvier 2001.

(14) Avis d'initiative du CES sur les "Incidences du commerce électronique sur le marché unique (OMU)"; JO C 123 du 25.4.2001.

(15) Les messages envoyés à des forums publics ou privés peuvent rester anonymes car tous les participants acceptent cet anonymat.

(16) Selon une récente étude de l'UE (février 2001), l'envoi en masse de publicités par courrier électronique représente 500 millions de messages par jour, dans le monde entier. Ce trafic supplémentaire, payé par le récepteur du message, coûterait plus de 10 milliards d'euros à la communauté des internautes.

(17) Avis du CES sur la "Proposition de directive du Parlement européen et du Conseil concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques" - COM(2000) 385 final - 2000/0189 COD; JO C 123 du 25.4.2001.