Source: http://www.murielle-cahen.com/publications/p_reseau.asp
Timestamp: 2017-01-24 19:15:38+00:00
Document Index: 70056488

Matched Legal Cases: ['arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ']

CYBERSURVEILLANCE ET ADMINSTRATEURS RESEAUX 0143377563
CYBERSURVEILLANCE ET ADMINSTRATEURS RESEAUX La cybersurveillance peut être définie comme tout moyen de contrôle technique, sur une personne ou un processus, lié aux nouvelles technologies et plus particulièrement aux réseaux numériques de communication.
Il peut accéder, une fois qu'il est inscrit comme utilisateur privilégié du réseau, à toutes les fonctionnalités du système (par exemple accès en lecture et en écriture à toutes les données ou bien modification du profil des utilisateurs).
L’administrateur réseau peut ainsi, dans le cadre d’une cybersurveillance, accéder à toutes les correspondances privées ou non des utilisateurs du réseau puisque le réseau est une structure permettant à plusieurs entités d'échanger des informations. En matière de correspondances privées et plus précisément de messagerie électronique des utilisateurs du réseau , l’administrateur à donc un large pouvoir de contrôle.
La Cour de Cassation a considéré que " le salarié a droit, même au temps et au lieu de travail, au respect de l'intimité de sa vie privée ; que celle-ci implique en particulier le secret des correspondances ; que l'employeur ne peut dès lors sans violation de cette liberté fondamentale prendre connaissance des messages personnels émis par le salarié et reçus par lui grâce à un outil informatique mis à sa disposition pour son travail et ceci même au cas où l'employeur aurait interdit une utilisation non professionnelle de l'ordinateur " qualifiant ainsi implicitement le courrier électronique de correspondance privée.
Un arrêt en date du 17 décembre 2001 de la Cour d’appel de Paris a apporté un éclairage nouveau sur l’utilisation de la messagerie électronique après l’arrêt Nikon et a contribué à définir le rôle de l’administrateur réseau dans toutes entreprises, et non plus seulement dans une relation employeur - employé.
Les faits poursuivis se sont passés dans le cadre de l'utilisation d'un réseau de télécommunication Internet et relevaient donc des dispositions de l’article 432-9 du Code pénal disposant que " Le fait, par une personne dépositaire de l'autorité publique ou chargée d'une mission de service public, agissant dans l'exercice ou à l'occasion de l'exercice de ses fonctions ou de sa mission, d'ordonner, de commettre ou de faciliter, hors les cas prévus par la loi, le détournement, la suppression ou l'ouverture de correspondances ou la révélation du contenu de ces correspondances, est puni de trois ans d'emprisonnement et de 45000 euros d'amende. Est puni des mêmes peines le fait, par une personne visée à l'alinéa précédent ou un agent d'un exploitant de réseau de télécommunications autorisé en vertu de l'article L. 33-1 du code des postes et télécommunications ou d'un fournisseur de services de télécommunications, agissant dans l'exercice de ses fonctions, d'ordonner, de commettre ou de faciliter, hors les cas prévus par la loi, l'interception ou le détournement des correspondances émises, transmises ou reçues par la voie des télécommunications, l'utilisation ou la divulgation de leur contenu ".
La Cour d’appel a considéré qu’il y avait divulgation de correspondances émises, transmises ou reçues par voie de télécommunication. Elle a confirmé le jugement de première instance du TGI de Paris dans ses dispositions pénales tout en les assortissant du sursis, considérant notamment que les prévenus étaient " confrontés à une situation inédite qui perturbait gravement le fonctionnement d’un laboratoire scientifique de haut niveau ".
II. L'objectif de sécurité du réseau face à la vie privée des utilisateurs
L’administrateur réseau, dans le cadre de son travail, peut être amené à prendre connaissance des messages privées des utilisateurs du réseau. La Cour d’appel a rappelé qu’ " il est dans la fonction des administrateurs de réseaux d’assurer le fonctionnement normal de ceux-ci ainsi que leur sécurité ce qui entraîne , entre autre, qu’ils aient accès aux messageries et à leur contenu, ne serait ce que pour les débloquer ou éviter des démarches hostiles "
De ce fait, " la préoccupation de la sécurité du réseau justifiait que les administrateurs de systèmes et de réseaux fassent usage de leurs positions et des possibilités techniques dont ils disposaient pour mener les investigations et prendre les mesures que cette sécurité imposait ", de la même façon que la Poste doit réagir à un colis ou une lettre suspecte. Néanmoins l’accès aux messages et l’interception de ceux ci est différent. Si l’administrateur réseau peut " accéder " aux messages électroniques, il ne peut les intercepter, conformément à l’alinéa 2 de l’article 432-9 du code pénal.
La Cour d’appel, dans l’arrêt précité du 17 décembre 2001, a redéfinit la notion d’interception, infirmant sur ce point la décision du tribunal de première instance qui s’était référé à une définition de l’interception consistant en " une prise de connaissance par surprise ". La Cour d’appel, elle, a adopté une conception restrictive de la notion d’interception, subordonnant sa qualification au recours à des manœuvres. Selon elle, il n’y a interception que lorsque la lecture et la retranscription de messages (qui peuvent être des e-mails) nécessitent une " dérivation " ou un " branchement " et est effectué avec un quelconque " artifice " ou " stratagème ". En l’espèce, la Cour a jugé que les actes incriminés ne répondaient pas à la qualification d’interception, l’administrateur réseau prenant connaissance des messages dans l’exercice de ses fonctions.
Il ne peut cependant en aucun cas intercepter les messages privés, violant ainsi l’article 432-9 du code pénal dans le cas contraire. En outre il convient de relever que le laboratoire s'était donné à lui-même la règle déontologique de ne pas lire le contenu du courrier électronique sauf mise en cause de la sécurité du système, ce qui n'était pas le cas en l’espèce.
L’arrêt de la Cour d’appel est donc venu " clarifier " le rôle de l’administrateur réseau dans le cadre d’une cybersurveillance. Il relève donc bien de la fonction d’administrateur réseau d’en contrôler l’usage (en l’espèce conformément à la charte RENATER), ce qui implique nécessairement l’accès aux messageries et à leur contenu, mais dans une certaine limite.
En revanche, " la divulgation du contenu des ces messages […] " ne relevait pas des objectifs de sécurité du réseau. C’est sur ce fondement que la Cour d’appel a condamné l’administrateur réseau, alors que le tribunal était entré en voie de condamnation sur le fondement de l’interception de correspondances.
C’est donc sur le fondement de la divulgation d’une correspondance privée que les administrateurs réseau ont été condamné. Ceux ci ne peuvent pas divulguer les données auxquelles ils ont accès. Ils sont tenus au secret professionnel. Cependant, comme nous l’avons vu précédemment, les administrateurs réseau semblent avoir un droit de " regard " sur les contenus des messages, dans le soucis d’une bonne gestion du réseau et de sa sécurité, à la condition de ne pas les divulguer.
L’arrêt de la Cour d’appel contribue ainsi à " clarifier " le rôle et la responsabilité de l’administrateur réseau mais le place dans une situation délicate dès qu’il est porté à sa connaissance, dans le cadre de ses fonctions, des faits ou abus dont la seule révélation est susceptible d’engager sa responsabilité pénale.
La jurisprudence se limite à permettre à l’administrateur réseau de prendre des mesures " que la sécurité impose ".
Or, la divulgation d’informations et de contenus de messages à ses supérieurs hiérarchiques n’est elle pas une mesure que " la sécurité impose " en cas d’atteinte grave, par exemple, à la stratégie de l’entreprise par un salarié ? L’arrêt de la Cour d’appel ne précise pas quelles doivent être ces mesures. Quel sens doit on donner au terme " divulgation " ?
" Dispositions législatives particulières " pouvant contraindre les administrateurs réseau à dévoiler des informations
- La confidentialité des messages personnels du salarié doit être garantie- L’employeur doit informer le salarié des dispositifs de surveillance mis en place- L’employeur doit informer le comité d’entreprise ou les délégués du personnel- Le recours au contrôle doit être motivé et proportionnel au but poursuivi (article L 121-8 du code du travail)