# Swiss Legal Decision

**Decision ID:** 4a2b4d13-7091-44ff-8318-aa6e9c084e48
**Court:** CH_BSTG
**Chamber:** CH_BSTG_001
**Year:** 2015
**Language:** fr
**Jurisdiction:** CH / Federation
**Law Area:** $law_area
**Law Sub-area:** 

## Facts

Vu l'ensemble de ces éléments, les données transmises par les autorités françaises par le biais de l'entraide judiciaire internationale ne sont pas exploitables.
2.1 A teneur de l'art. 143 CP, commet une infraction celui qui, dans le dessein de se procurer ou de procurer à un tiers un enrichissement illégitime, aura soustrait, pour lui-même ou pour un tiers, des données enregistrées ou transmises électroniquement ou selon un mode similaire, qui ne lui étaient pas destinées et qui étaient spécialement protégées contre tout accès indu de sa part.
Cet article protège le droit du bénéficiaire légitime de disposer de ses données et de ses logiciels. Le fait que les données aient un caractère confidentiel ne joue aucun rôle (Message du 24 avril 1991 concernant la
TPF 2016 28
34
modification du CP suisse et du CP militaire, FF 1991 II p. 978). D'autres dispositions pénales existent en effet pour assurer cette protection, notamment les art. 162 CP et 47 LB.
Le Message du Conseil fédéral différencie les données publiques des données protégées, pour expliquer que le législateur a voulu restreindre le champ d'application de la norme. Le critère de la protection des données a été voulu pour limiter la protection pénale à certaines données. À défaut, toute soustraction de données appartenant à autrui tomberait sous le coup de cette disposition, ce qui constituerait une extension excessive de la protection (ex: école, université, bibliothèque; ces institutions mettent à disposition des ordinateurs, donnant accès à leurs données, pour travailler, étudier, etc.; FF 1991 II p. 978). Dans son Message du 18 juin 2010 relatif à l’approbation et à la mise en œuvre de la Convention du Conseil de l’Europe sur la cybercriminalité, le Conseil fédéral a rappelé la volonté du législateur relative à l'exigence de la protection spéciale du système informatique, qui est de limiter le champ d’application de l’art. 143 CP aux cas dans lesquels la personne ayant légalement accès aux données manifeste sa volonté d’empêcher que des tiers n’accèdent à ses données ou de restreindre cet accès. Mis à part le verrouillage de locaux et d’armoires, par exemple, l’utilisation d’un chiffrement, de codes d’accès, de clefs biométriques ou de mots de passe est également une manifestation de cette intention. La protection doit être habituellement suffisante pour empêcher un accès illégal. Il n’est pas nécessaire, par exemple, que des mesures de protection spécifiques, allant au-delà d’une protection habituelle sur le marché contre les virus et les accès illicites, aient été prises. La norme pénale ne s’applique pas, par contre, à une attaque contre des données non protégées ou à leur utilisation illicite (FF 2010 p. 4283).
L'art. 143 CP ne vise ainsi pas à protéger les données de manière globale, mais seulement les données que le propriétaire ne veut pas laisser accessibles à l'auteur. Ce dernier ne doit pas être légitimé à disposer des données et il doit pouvoir reconnaître clairement que le titulaire des données ne veut pas qu'il y accède. Il n'y a pas de mesures suffisantes dans le cas d'un employé qui ne rencontre aucune mesure de sécurité spécifique lui entravant l'accès aux données détenues par son employeur, si ce n'est une barrière morale (TC VS RVJ 2006, 222; WEISSENBERGER, Basler Kommentar, 3e éd., Bâle 2013, n° 18 ad art. 143 CP). Il n'est en revanche pas exigé que le propriétaire possède de meilleures compétences informatiques que l'auteur, ni que la protection ait une efficacité particulière. L'auteur doit en tous cas pouvoir reconnaître que les données
TPF 2016 28
35
sont protégées (MÉTILLE/ AESCHLIMANN, Infrastructures et données informatiques: quelle protection au regard du code pénal suisse?, RPS 132/2014, p. 283 ss, 291 et auteurs cités, not. CORBOZ, STRATENWERTH/JENNY/BOMMER). L'accès doit être interdit aux personnes non autorisées au moyen de mesures techniques (MÜLLER, La cybercriminalité économique au sens étroit – Analyse approfondie du droit suisse et aperçu de quelques droits étrangers, thèse, Genève/ Zurich/Bâle 2012, p. 32); une interdiction morale ou contractuelle ne suffit pas, pour celui à qui l'accès aux données est permis, selon la doctrine (DUPUIS ET AL., Petit commentaire, Bâle 2012, n° 14 ad art. 143 CP). L'auteur doit franchir des obstacles dont il ne peut ignorer le sens pour se procurer ces données (FF 1991 II p. 979). Les obstacles doivent être matériels et non moraux, légaux ou contractuels. Les instructions, les interdictions orales ou écrites, ou encore les mesures d'organisation visant à séparer les fonctions au sein du personnel ne constituent pas des mesures de sécurité suffisantes au sens de l'art. 143 CP (SCHMID, Computer- sowie Check- und , Zurich 1994, n° 39 ad art. 143 CP; MÉTILLE/AESCHLIMANN, op. cit., p. 291). Les standards de protection requis sont plus élevés, s'agissant des données sensibles de la vie économique, telles celles relatives aux clients d'une banque, du fait que l'ayant droit doit prendre en compte de potentiels auteurs professionnels (WEISSENBERGER, op. cit., n° 19 ad art. 143 CP).
Il s'agit, pour l'auteur, de se procurer des données prélevées sans droit, soit sans autorisation, sur un support de données ou un système de traitement des données qui ne lui sont pas destinées et de les exploiter à son profit (FF 1991 II p. 948, 977). S'il est habilité à disposer des données mais qu'il outrepasse les limites de son droit d'utilisation (posées par la loi, le contrat ou la morale), l'art. 143 CP ne s'applique pas. L'abus de confiance portant sur des données informatiques ne tombe donc pas sous le coup de cette disposition (FF 1991 II p. 978). Un projet d'alinéa 3 à l'art. 143 CP, qui aurait sanctionné ce type d'abus de confiance, avait été proposé aux Chambres fédérales en 2010, avant d'être classé en 2012 par le Conseil des Etats (initiative parlementaire n° 10.456; BO 2012 S 540; v. ég. l'initiative parlementaire n° 10.451 retirée dans la foulée au Conseil National). Le libellé dudit alinéa était le suivant: «celui qui, dans le dessein de se procurer ou de procurer à un tiers un enrichissement, s'approprie des données auxquelles il a accès dans le cadre de ses tâches ou utilise de manière illégitime de telles données à son profit ou au profit d'un tiers est puni d'une peine privative de liberté de cinq ans au plus ou d'une peine pécuniaire» (v.
TPF 2016 28
36
ég. PERRIN, La protection pénale des données informatiques de l'entreprise, ECS 8/11 605, p. 608).
3.4 Au moment des faits, soit entre février et juillet 2008, A. était effectivement en possession d'informations personnelles et financières détaillées concernant plus de 120'000 clients et anciens clients de la banque Z. SA, représentant un volume d'environ 70 gigas, comme annoncé dans ses lettres à C. et à D. en avril 2008. Selon E., en novembre 2006, A. lui aurait dit qu'il possédait une base de données qu'il souhaitait monnayer. Dès mars 2007 en tout cas, le prévenu travaillait à récolter ou à regrouper de telles données à des fins privées. Des échanges de courriels avec le dénommé L., en juin 2007, il apparaît en outre que A. détenait, à ce moment-là, pour le Moyen-Orient, les données bancaires de 11'966 clients répartis sur 12 pays. Le nombre de 120'000 clients ressort également d'un courriel envoyé par E. à un banquier libanais en janvier 2008. Le volume et la nature des informations bancaires en possession du prévenu ressortent enfin des données retrouvées sur des supports informatiques privés au jour de la perquisition du domicile de A. à Genève en décembre 2008. A. n'a jamais disposé d'autres données bancaires que celles de son employeur de l'époque. Seules des données provenant de la banque Z. SA ont été retrouvées dans le matériel informatique saisi au domicile et au lieu de travail du prévenu le 22 décembre 2008. Il s'agit de données structurelles, réglementaires, mais surtout de très nombreuses données personnelles et financières de clients et de comptes provenant de la banque Z. SA. En ce qui concerne les supports de données trouvés lors de la perquisition du domicile de la famille A. à Genève, rien au dossier ne permet de penser qu'un tiers, soit une autre personne que le prévenu ou, pour l'ordinateur Apple PowerBook, son épouse, les aurait utilisés.
À l'époque des faits, l'entité visée, à savoir la banque Z. SA, était une grande banque privée ayant son siège en Suisse (total du bilan 2008: Fr. 73'314'354'000, [Banque nationale suisse, Les banques suisses, Zurich 2009, B15]). De jurisprudence constante, les listes de clients des grandes entreprises installées en Suisse et les informations portant sur les relations bancaires sont protégées par l'art. 273 CP. Les données bancaires (tant celles personnelles et financières des clients que celles internes à la banque, ayant trait à son organisation, à sa structure et à son système de gestion des relations bancaires) constituent des secrets au sens de cette disposition (v. arrêts du Tribunal pénal fédéral SK.2014.32 du 19 décembre 2014; SK.2013.37 du 10 décembre 2013, consid. 3.1.2; SK.2011.21 du 15 décembre 2011).
TPF 2016 28
37
3.9 Au moment de son départ au Liban, en février 2008, A. détenait, sur divers supports informatiques privés, une somme considérable d'informations issues des banques de données de la banque Z. SA. Il avait créé ou fait créer un site internet, une messagerie électronique, une présentation Powerpoint au nom de la société MM., des cartes de visite au faux nom de Ruben G. Sales Manager de cette société. Il avait également planifié le voyage au Liban, soit réservé des billets d'avion et fait prendre contact avec plusieurs employés de banque. En procédant, entre le 4 et le 8 février 2008, aux présentations du produit qu'il souhaitait vendre aux agents de cinq banques libanaises (banque 3., banque 4., banque 5., banque 6. à Beyrouth et banque d'investissement 7.), il a extériorisé sa volonté de rendre accessibles les données en sa possession et ainsi franchi le pas décisif menant à la commission de cinq infractions de service de renseignements économiques.
Suite à l'échec de ses tentatives au Liban, même après les courriels de relance à O. et Q., A. a proposé les mêmes informations, par courriels à quatre organismes officiels étrangers (Bundesnachrichtendienst allemand, Secretary of State for Foreign and Commonwealth Affairs [SOSFA] et Her Majesty’s Revenue and Customs [HMRC] britanniques et la Division nationale d'investigations financières [DNIF] française). Les courriers électroniques envoyés aux organismes officiels étrangers constituent autant de manifestations claires de la volonté de A. de rendre accessibles les secrets d'affaires en sa possession.
Dans chacun des cas, la réalisation d'un seul élément constitutif objectif faisait encore défaut. Toutefois, au vu notamment de ses motivations et du modus operandi adopté, il ne fait aucun doute que A., sur le principe, était déjà fermement résolu à donner accès aux données de la banque Z. SA aux organismes officiels et privés étrangers avec lesquels il cherchait à entrer en négociations. Le mode opératoire du prévenu, notamment les messages d'accroche utilisés afin d'entrer en négociations (plutôt que l'envoi immédiat des données), les destinataires choisis et l'usage d'une fausse identité dans le cadre de ces négociations, démontre que A. entendait obtenir une contreprestation en échange des données en sa possession.
Par ses actes, A. a commencé l'exécution de neuf infractions réprimées à l'art. 273 al. 2 CP. Il s'agit d'autant de tentatives de service de renseignements économiques (art. 22 al. 1 CP).
TPF 2016 28
38
3.10 Les seuls secrets d'affaires que A. a effectivement rendus accessibles à un organisme étranger, au sens de l'art. 273 al. 2 CP, consistent en ceux transmis par courriel du 3 juillet 2008 à un agent étatique français. Il s'agit du second reproche du MPC à l'encontre du prévenu. Cet acte, qui réalise l'ensemble des conditions de l'infraction à l'art. 273 al. 2 CP, constitue une infraction consommée de service de renseignements économiques.
3.11. Au moment des faits, la banque Z. SA était une grande banque privée implantée en Suisse (v. supra consid. 3.4). La place financière suisse était, comme elle l'est encore aujourd'hui, importante tant pour l'économie nationale que pour l'image de la Confédération à l'étranger.
3.11.1 Les tentatives de service de renseignements économiques commises par A. ont partant mis en danger l'indépendance de la Suisse, son économie et touché la place financière suisse et ses relations avec d'autres Etats. Vu la nature et le volume des informations en cause, chacune des tentatives perpétrées par A. constitue un acte de service de renseignements économiques aggravé, au sens de l'art. 273 al. 3 CP.
Dans ces conditions, A. doit être déclaré coupable de tentatives de service de renseignements économiques aggravé, au sens de l'art. 273 al. 2 et 3 CP, pour avoir, entre le 4 et le 8 février 2008, présenté aux représentants des banques 3., 4., 5., 6. à Beyrouth et de la banque d'investissement 7. un produit qu'il souhaitait vendre, consistant en une base de données contenant des informations personnelles et financières sur des clients de la banque Z. SA, ainsi que pour avoir proposé une telle base de données au Bundesnachrichtendienst allemand le 7 mars 2008, à deux organismes officiels du Royaume-Uni (SOSFA et HMRC) le 19 mars 2008, ainsi qu'à un organisme officiel français (DNIF) le 2 avril 2008.
3.11.2 Quant au fichier transmis à l'agent B. le 3 juillet 2008, il contenait des données personnelles et bancaires concernant sept personnes (physiques ou morales). Dès lors, quand bien même ces données étaient celles d'une grande banque Suisse, leur volume n'était pas objectivement susceptible de mettre en danger la place financière et économique suisse, ni même ses relations avec d'autres Etats. Partant, cette transmission ne constitue pas un cas grave, au sens de l'art. 273 al. 3 CP, de sorte que l'action pénale y relative est prescrite.
3.12 Concernant enfin la présentation faite au bureau de représentation de la banque 1. (SUISSE) SA au Liban, la condition objective du destinataire
TPF 2016 28
39
étranger fait défaut. Les autres conditions objectives et subjective de l'infraction étant réalisées, il s'agit de déterminer si cet acte constitue une tentative de service de renseignements impossible, punissable en application des art. 273 al. 2 et 22 al. 1 in fine CP.
Dans un arrêt récent, le Tribunal fédéral semble exclure que les délits de mise en danger abstraite puissent être qualifiés de délits impossibles et punis. En effet, les délits impossibles ne doivent être punissables que dans la mesure où ils représentent une mise en danger réelle de l'ordre juridique. Outre la volonté de commettre une infraction, il doit exister une mise en danger objective minimale due au comportement de l'auteur; un délit impossible objectivement sans danger – comme une tentative ridicule – ne met pas en danger l'ordre juridique, de sorte que son auteur, même s'il n'a pas agi en faisant preuve d'un grave défaut d'intelligence, doit demeurer impuni (ATF 140 IV 150 consid. 3.6 – JdT 2015 IV 114). Dans l'arrêt du Tribunal pénal fédéral SK.2013.37 du 10 décembre 2013 précité, l'auteur a été condamné pour tentative de service de renseignements économiques, pour s'être adressé à l'avocat suisse d'une entreprise russe, afin de vendre à cette dernière des données secrètes. Même s'il ne s'est pas adressé directement à un agent étranger, son but était de mettre à disposition de l'entreprise russe les données en question en contrepartie de l'argent que l'entreprise lui verserait. L'avocat n'était qu'un intermédiaire pour atteindre le but (sans pour autant être un agent de l'organisme étranger, au sens de l'art. 273 CP), intermédiaire par ailleurs également susceptible de tomber sous le coup de l'art. 273 al. 2 CP s'il transmettait les données en question à son client étranger. Le délit de mise en danger abstraite n'a, dans ce cas, pas été considéré comme impossible et a été réprimé.
En l'espèce, le prévenu s'est adressé à un représentant suisse d'une banque suisse, sur territoire étranger. Même si sa volonté était, depuis le 17 juin 2007 en tout cas, celle de vendre des données de la banque Z. SA à un organisme étranger, en agissant de la sorte, il n'a aucunement mis en danger l'économie ni la souveraineté de la Suisse. Partant, le prévenu est acquitté de ce reproche.

## Considerations