Source: http://www.assemblee-nationale.fr/13/propositions/pion3412.asp
Timestamp: 2016-08-25 18:39:13+00:00

Document:
N� 3412 - Proposition de loi de Mme Muriel Marland-Militello pour renforcer l'efficience de la lutte contre les attaques informatiques, pour un monde num�rique plus civilis� et donc plus fort
N� 3412
Enregistr� � la Pr�sidence de l’Assembl�e nationale le 11 mai 2011.
pour renforcer l'efficience de la lutte contre les attaques informatiques,
pour un monde num�rique plus civilis� et donc plus fort,
Muriel MARLAND-MILITELLO, Alfred ALMONT, Patrick BEAUDOUIN, Jacques Alain B�NISTI, �tienne BLANC, Patrice CALM�JANE, Bernard CARAYON, Jo�lle CECCALDI-RAYNAUD, Dino CINIERI, Alain COUSIN, Marie-Christine DALLOZ, Daniel FASQUELLE, Jean-Michel FERRAND, Daniel FIDELIN, Jean-Claude FLORY, Philippe FOLLIOT, Claude GATIGNOL, Fran�ois-Michel GONNOT, Michel GRALL, Fran�ois GROSDIDIER, Arlette GROSSKOST, Louis GU�DON, Jean-Claude GUIBAL, Christophe GUILLOTEAU, Fran�oise HOSTALIER, Jacqueline IRLES, Maryse JOISSAINS-MASINI, Patrick LABAUNE, Marguerite LAMOUR, Thierry LAZARO, Jean-Louis L�ONARD, Guy MALHERBE, Jean-Philippe MAURER, Christian M�NARD, G�rard MENUEL, Georges MOTHRON, Alain MOYNE-BRESSAND, Jean-Marc NESME, Didier QUENTIN, Fr�d�ric REISS, Jean ROATTA, Francis SAINT-L�GER, Jean-Marie SERMIER, Fernand SIR�, Jean-Charles TAUGOURDEAU, Guy TEISSIER, Michel TERROT, Yves VANDEWALLE, Jean-S�bastien VIALATTE, Michel VOISIN, Jean-Pierre DUPONT, Jacques REMILLER, Philippe VITEL et Dominique LE M�NER, d�put�s.
Dans une soci�t� de la connaissance, � l'�re du num�rique, les syst�mes informatiques sont des �l�ments particuli�rement strat�giques. Il n'est donc pas �tonnant que des personnes fort mal intentionn�es les prennent pour cible.
Souvent ces attaques sont men�es � distance, depuis des machines situ�es hors de notre territoire national. Ce n'est pas une raison pour rester passifs devant ces ph�nom�nes, c�dant au fatalisme technologique.
Ces armes du monde num�rique, utilis�es contre tel ou tel syst�me d'information, ne sont pas compatibles avec le monde num�rique civilis� que nous appelons de nos voeux, un monde num�rique respectueux des droits et libert�s de chacun, un monde num�rique o� chacun est en s�curit�.
Or l'arsenal juridique actuel n'est pas suffisant : il m�rite d'�tre am�lior� sur deux points.
– Premi�rement, le champ d'application des sanctions, actuellement limit� aux syst�mes de traitement automatis� de donn�es, doit �tre �largi aux atteintes port�es aux services de communication au public en ligne (qui incluent les sites internet).
– Deuxi�mement, il est n�cessaire de renforcer les sanctions lorsque les attaques sont dirig�es contre les syst�mes d'information d'une personne morale de droit public ou d'une personne morale de droit priv� charg�e d’une mission de service public.
Notre code p�nal, dans son chapitre III du titre II du livre III, couvre les diverses attaques qui peuvent �tre men�es contre les syst�mes de traitement automatis� de donn�es.
L'article 323-1 du code p�nal vise les intrusions dans un syst�me de traitement automatis� de donn�es. Il les rend passibles de 3 ans d'emprisonnement et de 45000 euros d'amende.
L'article 323-2 quant � lui vise la perturbation du fonctionnement d'un syst�me de traitement automatis� de donn�es qui est passible de cinq ans d'emprisonnement et de 75000 euros d'amende.
L'article 323-3 vise la modification frauduleuse de donn�es, par exemple dans une base de donn�es. Elle est passible de 5 ans d'emprisonnement et de 75 000 euros d'amende.
L'article 323-3-1 vise quant � lui les moyens qui permettent ces attaques et punit des m�mes peines l'importation, la d�tention, l'offre, la cession et la mise � disposition de ces moyens techniques, mat�riels ou logiciels.
Enfin, la tentative de commission de tous les d�lits sus-mentionn�s est punie des m�mes peines (article 323-7 du code p�nal).
2) Qu'est-ce qu'un syst�me de traitement automatis� de donn�es ?
Une question reste assez floue : la notion de syst�mes de traitement automatis� de donn�es s’applique-t-elle � la fois aux services de communication au public en ligne que sont les sites internet, dont les donn�es sont publiques, et aux syst�mes de traitement automatis� dont les donn�es ont un caract�re personnel et/ou confidentiel ?
Ce que l'on peut en revanche affirmer est que la jurisprudence a qualifi� de syst�mes de traitement automatis� de donn�es :
– le disque dur d’un ordinateur contenant le logiciel de comptabilit� et les donn�es d’un cabinet d’expertise comptable (cour d’appel de Douai, 7 octobre 1992) ; – le radiot�l�phone (cour d’appel de Paris, 18 novembre 1992) ;
– des syst�mes d’exploitation de donn�es au sein d’entreprises (cour d’appel de Paris, 15 mars 1994 ; cour d’appel de Paris, 5 octobre 1994 ; tribunal de grande instance de Paris, 1er juin 2007) ;
– un service t�l�matique (cour d’appel de Paris, 5 avril 1994 – jugeant, contrairement � la d�finition du S�nat, qu’� il n’est pas n�cessaire pour que l’infraction existe que l’acc�s soit limit� par un dispositif de protection �, mais qu’il suffit � que le ma�tre du syst�me ait manifest� l’intention d’en restreindre l’acc�s aux seules personnes autoris�es �) ;
– l’annuaire �lectronique de France T�l�com (tribunal correctionnel de Brest, 14 mars 1995) ; – le r�seau cartes France T�l�com (tribunal correctionnel de Paris, 26 juin 1995) ; – le r�seau Carte bancaire (tribunal correctionnel de Paris, 25 f�vrier 2000)
3) La n�cessit� d'�tendre les sanctions aux attaques contre tous les services de communication au public en ligne
La � d�linquance astucieuse � dans le monde num�rique, qui est une v�ritable violence �lectronique, ne se restreint pas aux syst�mes de traitement automatis� de donn�es, elle frappe l'ensemble du champ de la communication au public par voie �lectronique qui recouvre � la fois la communication au public en ligne et la communication audiovisuelle.
Diverses techniques visent � perturber l'acc�s aux sites internet, sans n�cessairement causer de pertes de donn�es. Sans rentrer dans les d�tails techniques, une m�thode en vogue pour attaquer certains sites internet est le d�ni de service (DoS - denial of service en anglais) : attaques par TCP/SYN flooding, UDP flooding, packet fragmentation, smurfing, etc. Ces attaques visent � saturer les serveurs pour rendre les donn�es inaccessibles. Ces attaques peuvent m�me �tre men�es � une �chelle bien plus plus massive dans le cas d'attaques DoS distribu�es (DDoS - distributed denial of service en anglais), en prenant le contr�le � distance de machines zombies sans que l'utilisateur ne le sache.
Les sites internet peuvent �galement �tre victimes de d�facement, ou d�fa�age, (defacing en anglais). Ce type d'attaque consiste pour un hacker � modifier, de mani�re plus ou moins substantielle, la pr�sentation d'un site sur le r�seau internet.
Or, les articles du code p�nal ne visent que les atteintes aux syst�mes de traitement automatis� de donn�es. Eu �gard � l’objectif de sanctionner les attaques informatiques au sens le plus large du terme et ainsi prot�ger la libert� d'expression et de communication, dont l'exercice est une condition de la d�mocratie et l'une des garanties du respect des autres droits et libert�s, il convient d'�tendre les dispositions du code p�nal aux atteintes port�es aux services de communication au public en ligne (qui incluent les sites internet).
Il est donc propos�, dans l'article 1er, de compl�ter le code p�nal en rendant passible de cinq ans d'emprisonnement et de 75000 euros d'amende le fait d'entraver ou de fausser le fonctionnement d'un site internet.
4) La n�cessit� de renforcer les sanctions lorsque les faits prennent pour cible une institution
Les attaques informatiques, quelles qu'elles soient, ont une port�e encore plus grave lorsqu'elles sont dirig�es contre une institution publique ou une personne morale de droit priv� investie d'une mission de service public.
S'agissant des attaques DDOS, un exemple parmi d'autres s'est produit en mars 2009 et a pris pour cible le site jaimelesartistes.fr, site dont le but �tait de donner des informations sur le projet de loi � Cr�ation et Internet �. Les attaques DDOS, en saturant les �quipements de l'h�bergeur du site, ont contraint le site jaimelesartistes.fr � fermer, privant par l� m�me l'ensemble des internautes des informations utiles qui avaient �t� mises � leur disposition par le Minist�re de la Culture et de la Communication.
Outre les institutions publiques, les attaques informatiques peuvent viser des personnes morales de droit priv� charg�es d’une mission de service public ou des �tablissements publics industriels et commerciaux, comme la soci�t� nationale des chemins de fer fran�ais (SNCF), dont les syst�mes de traitement automatis� de donn�es ont �t� affect�s en mars 2010. Les premi�res victimes ont �t� les clients de la SNCF, entrav�s dans leur utilisation d'un service public auquel ils ont pourtant droit.
De telles attaques constituent des atteintes envers notre R�publique et ces principes fondamentaux et partant, doivent �tre s�v�rement r�prim�es. C'est la raison pour laquelle l'article 2 de la pr�sente proposition de loi propose de doubler les peines pr�vues lorsque ces attaques prennent pour cible une personne morale de droit public ou une personne morale de droit priv� charg�e d’une mission de service public.
5) L'instauration d'une nouvelle peine compl�mentaire dans le respect du principe de proportionnalit� des peines
L'article 3 de la pr�sente proposition de loi vise � donner un outil suppl�mentaire au juge en lui permettant de prononcer � titre de peine compl�mentaire la suspension de la connexion internet et l'interdiction de souscrire un abonnement aupr�s d'un fournisseur d'acc�s internet pendant une dur�e maximale de 2 ans. S'agissant de la constitutionnalit� d'une telle sanction prononc�e par le juge, le Conseil constitutionnel s’est exprim� sur d'autres faits r�pr�hensibles dans sa d�cision n� 2009-590 DC du 22 octobre 2009 sur la loi relative � la protection p�nale de la propri�t� litt�raire et artistique sur internet (HADOPI 2) : � l’instauration d’une peine compl�mentaire destin�e � r�primer les d�lits de contrefa�on commis au moyen d’un service de communication au public en ligne et consistant dans la suspension de l’acc�s � un tel service pour une dur�e maximale d’un an, assortie de l’interdiction de souscrire pendant la m�me p�riode un autre contrat portant sur un service de m�me nature aupr�s de tout op�rateur, ne m�conna�t pas le principe de n�cessit� des peines � (consid�rant n� 21). Vu la gravit� des d�lits que constituent les attaques informatiques intentionn�es contre des moyens informatiques d'institutions publiques ou investies d'une mission de service public, il est propos� de doubler ce quantum.
Nous devons continuer � lutter le plus efficacement possible contre toutes les formes de d�linquance, notamment sur les r�seaux de communication �lectronique, afin de faire progresser la s�curit� informatique, la confiance en l'�conomie num�rique, le respect de la vie priv�e et la libert� de communiquer, pour construire ensemble un monde num�rique plus civilis� et donc plus fort.
I. – � l'article 323-2 du code p�nal, apr�s le mot : � donn�es �, sont ins�r�s les mots : � ou un service de communication au public en ligne �
II. – En cons�quence le chapitre III du titre II du livre III du code p�nal est renomm� ainsi : � Des atteintes aux syst�mes informatiques �.
Apr�s l'article 323-3-1 du code p�nal, est ins�r� un article 323-3-2 ainsi r�dig� : � Art. 323-3-2. – Les peines pr�vues aux articles 323-1 � 323-3-1 sont doubl�es lorsque le syst�me de traitement automatis� de donn�es est celui d’une personne morale de droit public ou d’une personne morale de droit priv� charg�e d’une mission de service public, ou lorsque est vis� un service de communication au public en ligne dont une personne morale de droit public ou une personne morale de droit priv� charg�e d’une mission de service public est l’�diteur ou l’h�bergeur. �
L'article 323-5 du m�me code est compl�t� par un alin�a ainsi r�dig� :
� 8� La suspension de l'acc�s au service pour une dur�e de deux ans au plus assortie de l'impossibilit�, pour l'abonn�, de souscrire pendant la m�me p�riode un autre contrat portant sur l'acc�s � un service de communication au public en ligne aupr�s de tout op�rateur. �

References: L'article 323

L'article 323

L'article 323

L'article 323
 l'article 1
 l'article 2

L'article 3
 l'article 323
 l'article 323
 Art. 323

L'article 323