Par une Loi du 18 juillet 2014[1], le Luxembourg a ratifié la Convention du Conseil de l’Europe sur la cybercriminalité ouverte à la signature à Budapest le 23 novembre 2001 (ci-après : la Convention de Budapest), ainsi que le Protocole additionnel à la Convention sur la cybercriminalité, relatif à l’incrimination de certains actes de nature raciste et xénophobe commis par le biais de systèmes informatiques, fait à Strasbourg le 18 janvier 2003[2].

Nous soulignons l’importance de la Convention de Budapest, alors que celle-ci a également été signée par des Etats non-membres à cette organisation^[3], ce qui lui confère un champ d’application territorial très large.

Sous une première section, la Convention de Budapest énumère les comportements qui doivent être réprimés par les législations nationales. Ceux-ci étant déjà couverts par les articles 509-1 et suivants du Code pénal[4], la Loi du 18 juillet 2014 vise donc essentiellement à parfaire et à compléter les textes luxembourgeois (A).

Les modifications apportées par la nouvelle législation concernent principalement les règles de procédure pénale reprises sous la deuxième section de la Convention de Budapest. Tandis que certaines pratiques, implicitement couvertes par le Code d’instruction criminelle, sont désormais expressément consacrées, d’autres procédures ont été créées (B).

A. Les infractions

Le législateur luxembourgeois est intervenu en 1993 pour sanctionner les atteintes aux systèmes de traitement ou de transmission automatisé de données[5] (articles 509-1 et suivants du Code pénal). A cette époque, les réseaux de l’information et plus précisément Internet, étaient encore à leurs débuts. Leur développement a donné naissance à de nouvelles formes de criminalité qui n’ont pas pu être imaginées au début des années 90. A titre d’exemple, on peut citer les usurpations d’identité sur les réseaux sociaux.

L’application de la législation actuelle a généralement permis de sanctionner les nouvelles formes de délits en ligne[6]. La loi pénale étant d’application stricte, certains comportements ont toutefois échappé à toute répression. Il s’est également avéré que certaines sanctions n’étaient plus adaptées au comportement visé.

La Loi du 18 juillet 2014 répond aux lacunes constatées en complétant certains textes existants (1) et en créant de nouvelles infractions (2).

1. L’adaptation des textes existants

a. Une protection accrue de la clé électronique

i. Le « phishing »

Le « phishing » ou « hameçonnage » désigne « la pratique frauduleuse qui consiste à tenter d’obtenir des informations sensibles, telles que des mots de passe ou des coordonnées de cartes de crédit, en se faisant passer pour une personne de confiance dans le cadre d’une communication électronique »^[7].

Tandis que l’attaque de « phishing » qui aboutit à un accès au système informatique visé est notamment réprimée par l’article 509-1 du Code pénal (accès frauduleux à un système de traitement ou de transmission automatisé de données), un doute est apparu pour ce qui est de la manœuvre de « phishing » qui n’a pas abouti à un tel accès.

Par un arrêt du 14 juin 2010^[8], la Cour d’appel avait en effet acquitté un prévenu de l’infraction d’escroquerie, en retenant que « le mot de passe ne constitue pas un meuble au sens de l’article 496 du code pénal. En effet contrairement aux données ou programmes informatiques susceptibles d’être enregistrés, transmis ou reproduits sous la forme d’impulsions dans des circuits électroniques ou sur des bandes ou disques magnétiques et dont la délivrance peut dès lors être constatée matériellement, le mot de passe composé d’une suite de caractères servant de moyen d’authentification à son utilisateur ne constitue qu’une simple clé électronique n’ayant aucune présence matérielle et ne pouvant partant pas être remise ou délivrée à l’auteur de l’infraction ».

Au regard du trouble causé par les attaques de « phishing », le législateur est dès lors intervenu pour compléter le texte sur l’escroquerie en y visant expressément la clé électronique comme « bien » susceptible d’appropriation (modification apportée à l’article 496 du Code pénal).

ii. Les infractions de vol, d’extorsion et d’abus de confiance

Suite aux observations du Conseil d’Etat[9], le législateur a également complété les textes sur le vol (article 461 du Code pénal), l’extorsion (article 470 du Code pénal) et l’abus de confiance (article 491 du Code pénal) en insérant la clé électronique dans la liste des objets susceptibles d’une appropriation frauduleuse.

A ce sujet, nous tenons à relever un arrêt de la Cour de cassation du 3 avril 2014[10] qui pourrait mettre un terme aux hésitations existant en matière d’appropriation d’objets incorporels. Par cette décision, la Haute juridiction a en effet cassé un arrêt de la Cour d’appel, en retenant que :

« Attendu que les données électroniques enregistrées sur le serveur de la banque et qui sont juridiquement sa propriété exclusive constituent des biens incorporels qui peuvent faire l’objet d’une appréhension par voie de téléchargement ;

qu’en retenant dès lors que par le fait de télécharger des données électroniques à partir du serveur de la banque, B) ne s’est pas approprié un meuble corporel, de sorte que l’élément matériel du vol fait défaut, la Cour d’appel a violé la disposition susvisée ;

que l’arrêt encourt dès lors la cassation ».

L’appropriation frauduleuse de biens incorporels appartenant à autrui tombe dès lors désormais sous l’infraction de vol.

iii. Augmentation de la peine prévue pour la contrefaçon et l’altération de clés

L’infraction de contrefaçon et d’altération de clés, y compris électroniques est désormais punie d’un emprisonnement de quatre mois à cinq ans et d’une amende de 1.250 à 30.000 euros (article 488 du Code pénal).

b. Le blanchiment

Les infractions informatiques ne figuraient pas dans la liste des infractions primaires de l’infraction de blanchiment prévue par les articles 506-1 et suivants du Code pénal. Tel est désormais le cas (article 3, point 7 de la Loi du 18 juillet 2014).

2. Les infractions créées par la Loi du 18 juillet 2014

a. L’interception des données

L’article 3 de la Convention de Budapest prévoit la pénalisation de l’interception illégale de données informatiques[11]. D’après le rapport explicatif de la Convention[12], cette disposition « vise à protéger le droit au respect des données transmises ». L’interception concerne « l’écoute, le contrôle ou la surveillance du contenu des communications, et l’obtention du contenu soit directement, au moyen de l’accès au système informatique et de son utilisation, soit indirectement, au moyen de l’emploi de dispositifs d’écoute. L’interception peut aussi consister en un enregistrement des données ».

Les textes luxembourgeois ne réprimaient pas expressément l’interception de données, de sorte que le législateur a complété l’article 509-3 du Code pénal par un alinéa 2, suivant lequel :

« Sera puni des mêmes peines[13] celui qui aura intentionnellement et au mépris des droits d’autrui, intercepté des données informatiques lors de transmissions non publiques à destination, en provenance ou à l’intérieur d’un système de traitement ou de transmission automatisé de données ».

b. L’abus de dispositifs

L’alinéa 2 de l’article 509-4 du Code pénal réprimait ceux qui « auront fabriqué, reçu, obtenu, détenu, vendu ou cédé à un tiers des logiciels ayant pour objet de rendre possible une infraction visée à l’alinéa 1^er ».

En visant uniquement les infractions prévues à l’article 509-4 alinéa 1^er du Code pénal[14], l’application du texte pénal était limitée aux outils malveillants ayant pour finalité de réaliser un transfert d’argent ou de valeur monétaire.

Cette restriction – qui semble avoir été introduite par erreur – a été levée par la Loi du 18 juillet 2014, qui réprime d’une façon générale « le fait d’avoir, dans une intention frauduleuse, produit, vendu, obtenu, détenu, importé, diffusé ou mis à disposition,

– un dispositif informatique destiné à commettre l’une des infractions visées aux articles 509-1 à 509-4; ou

– toute clef électronique permettant d’accéder, au mépris des droits d’autrui, à tout ou à partie d’un système de traitement ou de transmission automatisé de données » (article 509-5 du Code pénal[15]).

Les développeurs de virus, de sites de « phishing » ou de malware tombent notamment sous cette infraction.

c. L’usurpation du nom ou de l’identifiant d’autrui

Le port public d’un nom appartenant à autrui est réprimé par l’article 231 du Code pénal. Pour que cette infraction soit donnée, il faut que l’auteur prenne publiquement un nom qui ne lui appartient pas. Le faux nom est un autre nom que celui qui figure dans l’acte de naissance.

Le texte existant a notamment permis de sanctionner l’inscription sous le nom d’autrui sur les réseaux sociaux ou l’utilisation de ce nom pour ouvrir des boîtes de courrier électronique^[16].

La protection prévue par l’article 231 du Code pénal se limite toutefois au nom patronymique[17], de sorte que d’autres types d’identification sur les réseaux de l’information, tels que nom d’utilisateur ou pseudonyme, se sont pas couverts par ce texte.

Le législateur est dès lors intervenu pour compléter le Code pénal par un article 231bis, qui prévoit que :

« Quiconque, dans le but de troubler la tranquillité d’un tiers, ou dans le but de porter atteinte à l’honneur ou à la considération d’un tiers, aura pris un nom ou un identifiant qui ne lui appartient pas sera puni d’un emprisonnement de trois mois à deux ans, et d’une amende de 251 euros à 3.000 euros, ou d’une de ces peines seulement » (alinéa 1^er).

Il est important de noter que la poursuite de l’infraction prévue par cet article exige une plainte de la victime, de son représentant légal ou de ses ayants droit (alinéa 2).

B. Les règles de procédure

Les infractions informatiques touchent généralement plusieurs pays. Ainsi, dans une fraude à la carte de crédit, une carte de crédit peut être soustraite dans un pays A, par un prévenu résidant dans un pays B, qui passe par la suite une commande moyennant cette carte auprès d’un vendeur résidant dans un pays C, alors que l’organisme de paiement a son siège social dans un pays D. Ce simple exemple illustre le caractère international de la cybercriminalité. Le nombre de pays impliqués pouvant être facilement démultiplié.

Les règles de compétence territoriale luxembourgeoises actuelles permettent d’appréhender cette problématique. La Loi du 18 juillet 2014 s’est dès lors limitée à consacrer le principe « aut dedere aut judicare » (extrader ou poursuivre) pour les infractions informatiques (1).

L’intervention législative a été plus importante pour adapter les règles de procédure actuelles – notamment sur l’administration de la preuve – aux nouvelles réalités technologiques (2).

1. La compétence territoriale des autorités judiciaires luxembourgeoises

L’article 22, point 1 de la Convention de Budapest dispose en premier lieu que les autorités judiciaires luxembourgeoises doivent être compétentes pour connaître des infractions informatiques commises sur son territoire. Cette condition – qui consacre le droit commun luxembourgeois – se trouve évidemment remplie.

La compétence territoriale doit également être donnée si une de ces infractions est commise par un ressortissant luxembourgeois, « si l’infraction est punissable également là où elle a été commise ou si l’infraction ne relève de la compétence territoriale d’aucun Etat ». Cette extension de la compétence des juridictions nationales pour les infractions commises par un luxembourgeois à l’étranger est réglée par l’article 5 du Code d’instruction criminelle.

Le législateur a encore complété l’article 7-4 du Code d’instruction criminelle en prévoyant que les infractions en matière informatique commises à l’étranger pourront être poursuivies au Luxembourg lorsque le suspect n’est pas extradé par le pays requis. Le Luxembourg élève ainsi la criminalité informatique aux affaires relavant du principe « aut dedere aut judicare » (extrader ou poursuivre)[18].

2. Les moyens d’enquête

a. La conservation rapide et la saisie des données informatiques

Un facteur primordial dans la poursuite d’infractions en matière informatique est le temps. Les réseaux de l’information et les infrastructures informatiques fonctionnent de façon instantanée ; dès qu’une demande est adressée à ces systèmes, la réponse est immédiate. De l’autre côté, les autorités policières et judiciaires travaillent à la vitesse de l’être humain. Autrement dit, pendant le temps nécessaire à la préparation d’une ordonnance de saisie ou de perquisition, des systèmes informatiques peuvent avoir été radicalement modifiés.

L’impératif de célérité dans la collecte des données informatiques ne saurait toutefois aboutir à priver les citoyens des garanties offertes par le Code d’instruction criminelle (notamment en matière de saisies ou de perquisitions).

Le système instauré par la Convention de Budapest prévoit partant une procédure en deux étapes : une première qui consiste à conserver des données pendant une certaine période (i), une deuxième qui permet de saisir ces données suivant les procédures de droit (ii).

i. La conservation rapide de données informatiques stockées et la conservation et divulgation de données relatives au trafic

La conservation rapide des données est prévue par un nouvel article 48-25 du Code d’instruction criminelle qui dispose que :

« Lorsqu’il y a des raisons de penser que des données stockées, traitées ou transmises dans un système de traitement ou de transmission automatisé de données, utiles à la manifestation de la vérité, sont susceptibles de perte ou de modification, le procureur d’Etat ou le juge d’instruction saisi peut faire procéder à la conservation rapide et immédiate, pendant un délai qui ne peut excéder 90 jours, de ces données »[19].

Cette disposition permet la conservation rapide de données dans le cadre du flagrant délit ou de l’enquête préliminaire par le procureur d’Etat et dans le cadre de l’instruction par le Juge d’instruction. La procédure pourra être utilisée aussi bien au niveau national qu’au niveau international dans le cadre de commissions rogatoires internationales[20].

Il est important de noter que les informations conservées en application de l’article 48-25 du Code d’instruction criminelle restent entre les mains de la personne requise (notamment un hébergeur).

Ce n’est que dans une deuxième étape que les données seront saisies au sens des règles applicables à l’enquête de flagrance, à l’enquête préliminaire, ainsi qu’à l’instruction judiciaire.

ii. La saisie proprement dite des informations

La saisie des données informatiques peut être ordonnée directement ou à la suite d’une demande de conservation rapide de données (voir le point i. ci-dessus).

Le législateur est intervenu à plusieurs niveaux pour adapter les règles existantes aux saisies informatiques. En premier lieu, les articles 33 et 66 du Code d’instruction criminelle prévoient désormais expressément la saisie des « données stockées, traitées ou transmises dans un système de traitement ou de transmission automatisé de données ». Cette précision permet essentiellement de souligner la portée de ces textes, alors que la saisie de données informatiques se pratiquait déjà en application des textes originaires.

Nous insistons plus particulièrement sur les aspects suivants :

- la possibilité de saisir les données de télécommunications dans le cadre d’une mini-instruction définie par l’article 24-1 du Code d’instruction criminelle,

- la faculté de saisir une copie des données,

- la possibilité de procéder à l’effacement de celles-ci,

- la nomination d’un expert en matière de cryptologie.

- la possibilité de saisir les données de télécommunications dans le cadre d’une mini-instruction définie par l’article 24-1 du Code d’instruction criminelle

L’article 24-1 du Code d’instruction criminelle permet au procureur d’Etat de requérir du juge d’instruction d’ordonner une perquisition, une saisie, l’audition d’un témoin ou une expertise sans qu’une instruction préparatoire ne soit ouverte[21].

Les pouvoirs attribués au Juge d’instruction en application de l’article 67-1 du Code d’instruction criminelle (saisie de données de télécommunication) n’étaient toutefois pas visés par ce texte. Autrement dit, pour pouvoir ordonner un repérage ou une localisation de données de télécommunication, une instruction judicaire a toujours dû être ouverte.

Cette obligation a mené à un formalisme important en matière d’infractions liées à la cybercriminalité. La problématique s’est notamment posée avec les dossiers dans lesquels les repérages n’ont donné aucun résultat. Ce constat, qui aurait engendré un simple classement au parquet, a systématiquement engendré une procédure de non-lieu devant la Chambre du conseil en application des articles 127 et 128 du Code d’instruction criminelle.

Afin d’éviter ces inconvénients, la saisie de données de télécommunication peut désormais être ordonnée dans le cadre d’une mini-instruction pour les infractions énumérées à l’article 24-1, alinéas 1et 2 du Code d’instruction criminelle.

- la faculté de saisir une copie des données

En matière de saisie de biens corporels, le détenteur du bien visé par l’enquête ou l’instruction en est matériellement dessaisi au détriment des autorités judiciaires.

En matière informatique, une prise de possession matérielle de données informatiques est uniquement possible en saisissant l’infrastructure sur laquelle ces données sont stockées (p.ex. un ordinateur). Cette saisie peut s’avérer fastidieuse à plusieurs égards :

- les données litigieuses peuvent être stockées sur un serveur qui abrite les données d’autres personnes que celle visée par l’enquête ou l’ordonnance de saisie. Tel est notamment le cas pour les serveurs hébergeant une multitude de sites Internet. La saisie du serveur perturbe alors également les services de personnes tierces[22] ;

- le fonctionnement d’infrastructures informatiques peut être très complexe. A titre d’exemple, on peut citer les services de stockage dans le nuage (angl. « cloud »), où les données d’un même utilisateur peuvent être stockées sur une multitude de serveurs. Ce ne sont que les logiciels de ces opérateurs qui permettent d’afficher les données d’un utilisateur ensemble.

- les données litigieuses se trouvent sur l’infrastructure d’un opérateur non visé par l’enquête ou l’instruction. Pour saisir les données de son client, il faudrait partant saisir son matériel.

Le législateur a partant adapté la législation luxembourgeoise aux réalités en matière informatique, en prévoyant que « la saisie des données stockées, traitées ou transmises dans un système informatique peut se faire, soit par la saisie du support physique de ces données, soit par une copie de ces données » (article 33, point 5 ; article 66, point 3).

- la possibilité de procéder à l’effacement de celles-ci

Les articles 33, point 5) et 66, point 3) prévoient également que : « si une copie est réalisée, le juge d’instruction [respectivement le Procureur d’Etat lors de l’enquête de flagrance] peut ordonner l’effacement définitif sur le support physique, lorsque celui-ci se trouve au Grand-Duché de Luxembourg et qu’il n’a pas été placé sous la main de la justice, des données stockées, traitées ou transmises dans un système de traitement ou de transmission automatisé de données dont la détention ou l’usage est illégal ou dangereux pour la sécurité des personnes ou des biens ».

Cette disposition permet d’effacer des données stockées, traitées ou transmises dans un système informatique dont la détention ou l’usage est illégal ou dangereux pour la sécurité des personnes ou des biens. L’effacement se fait dans le cadre d’une saisie judiciaire et exige qu’une copie des données à effacer soit préalablement établie.

A côté des impératifs en matière de preuve, la copie ainsi établie permettrait encore de rétablir les données effacées en cas d’annulation de la décision d’effacement par la Chambre du conseil ou par les juridictions du fond, ainsi qu’en cas de non-lieu ou d’acquittement prononcé sur le fond de l’affaire[23].

Il est important de noter que le texte relatif à l’effacement s’applique uniquement aux données dont le support physique se trouve au Grand-Duché de Luxembourg.

L’utilité du nouveau texte est multiple. En premier lieu, il permet de faire cesser des atteintes contre d’autres systèmes informatiques. Nous pensons notamment aux dispositifs informatiques destinés à commettre l’une des infractions visées aux articles 509-1 à 509-4 du Code pénal[24]. Il permet également de retirer du contenu illégal, tel que des images ou vidéos pédopornographiques.

- la nomination d’un expert en matière de cryptologie

L’article 66, point 4) du Code d’instruction criminelle prévoit désormais que :

« Le juge d’instruction peut, par ordonnance motivée, enjoindre à une personne, hormis la personne visée par l’instruction, dont il considère qu’elle a une connaissance particulière du système de traitement ou de transmission automatisé de données ou du mécanisme de protection ou de cryptage, qu’elle lui donne accès au système saisi, aux données saisies contenues dans ce système ou aux données saisies accessibles à partir de ce système ainsi qu’à la compréhension de données saisies protégées ou cryptées. Sous réserve des articles 72, 73 et 76 ci-dessous, la personne désignée est tenue de prêter son concours ».

Cette disposition est importante en matière d’infractions informatiques, étant donné que l’accès aux réseaux et donc aux données exige souvent l’intervention de personnes hautement spécialisées qui ont elles-mêmes programmé et configure les logiciels et sont souvent détentrices de mots de passe ou de codes sans lesquels un accès est impossible[25].

b. Les repérages et localisations de télécommunications

L’article 67-1 du Code d’instruction criminelle sur les repérages et localisations de télécommunications a été adapté, afin de rendre compte de l’introduction de la nouvelle procédure de l’article 48-25 du Code d’instruction criminelle (conservation rapide de données) et de la modification de l’article 24-1 du même code (mini-instruction) qui prévoient désormais la possibilité du repérage même en absence d’une instruction préparatoire.

La loi du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques a également été modifiée en ce sens.

c. L’infiltration

Le Juge d’instruction peut désormais ordonner des infiltrations en matière de criminalité informatique (article 48-17 du Code d’instruction criminelle).

26 juillet 2014

Par Max BRAUN
Magistrat

Note sur la Loi du 18 juillet 2014 (pdf)

[1] Loi du 18 juillet 2014 portant 1) approbation de la Convention du Conseil de l’Europe sur la cybercriminalité ouverte à la signature à Budapest le 23 novembre 2001, 2) approbation du Protocole additionnel à la Convention sur la cybercriminalité, relatif à l’incrimination d’actes de nature raciste et xénophobe commis par le biais de systèmes informatiques, fait à Strasbourg le 28 janvier 2003, 3) modification du Code pénal, 4) modification du Code d’instruction criminelle, 5) modification de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques

[2] Les dispositions contenues dans le Protocole étant couvertes par les dispositions législatives actuellement en vigueur au Luxembourg aucune modification législative n’a été nécessaire.

[3] Les États-Unis d’Amérique ayant également ratifié cette convention (le 1^er janvier 2007) ; parmi les autres pays signataires figurent notamment l’Argentine, l’Australie, le Canada, le Japon, le Mexique et l’Afrique du Sud

[4]Insérés dans le Code pénal par la Loi du 15 juillet 1993 tendant à renforcer la lutte contre la criminalité économique et la fraude informatique.

[5]Le législateur a maintenu la notion de « systèmes de traitement ou de transmission automatisé de données » dans nos textes, au détriment de celle de « système informatique » employée dans la Convention de Budapest. Malgré cette différence de terminologie, la même infrastructure est visée. Tombent notamment sous cette qualification, les serveurs, ordinateurs, tablettes et smartphones.

[6] Pour un aperçu de jurisprudence, voir notamment : M. BRAUN, Les infractions en matière de cybercriminalité, JTL 18, 2011, p. 141 ss.

[7] Communication de la Commission au Parlement européen, au Conseil et au Comité des Régions – Vers une politique générale en matière de lutte contre la cybercriminalité – COM/2007/0267 final, page 3

[8] CA 14 juin 2010, n° 261/10 X, JUDOC 99865656

[9] Doc. parl. n° 6514-2, Avis du Conseil d’Etat, p. 3

[10] Cass. 17 avril 2014, n° 17/2014 pénal

[11] Article 3 : « Chaque Partie adopte les mesures législatives et autres qui se révèlent nécessaires pour ériger en infraction pénale, conformément à son droit interne, l’interception intentionnelle et sans droit, effectuée par des moyens techniques, de données informatiques, lors de transmissions non publiques, à destination, en provenance ou à l’intérieur d’un système informatique, y compris les émissions électromagnétiques provenant d’un système informatique transportant de telles données informatiques. Une Partie peut exiger que l’infraction soit commise dans une intention délictueuse ou soit en relation avec un système informatique connecté à un autre système informatique ».

[12] Rapport explicatif de la Convention de Budapest, n° 53

[13] Emprisonnement de trois mois à trois ans et d’une amende de 1.250 à 12.500 euros ou d’une de ces peines seulement.

[14]Les infractions informatiques dans lesquelles il y eu transfert d’argent ou de valeur monétaire.

[15] L’article 509-4, alinéa 2 étant abrogé.

[16] TA Lux. 5 avril 2011, n° 1238/2011

[17]La Cour d’appel a notamment jugé que le port public d’un faux prénom, pris comme tel, n’est pas réprimé par l’article 231 du Code pénal (CA 27 février 2007, n° 125/07 V)

[18] Conformément à l’article 22, point 3 de la Convention de Budapest.

[19] Article prévu dans un nouveau chapitre X, intitulé « De la conservation rapide des données informatiques », figurant dans le Livre Premier, Titre II du Code d’instruction criminelle

[20] Doc. parl. n° 6514, exposé des motifs, p. 13

[21] Cette faculté étant limitée aux infractions visées par l’article 24-1 du Code d’instruction criminelle (presque tous les délits et certains crimes).

[22] Sur ces aspects, voir également B. LOSDYCK, Les saisies et perquisitions de matériel informatique : les « gardes-fous » entourant leur mise en œuvre, RDTI n° 52, 3/2013, p. 36

[23] Cette problématique a notamment été soulevée par le Conseil d’Etat dans son premier avis du 16 avril 2013, Doc. parl. n° 6514-2, p. 6, point 4

[24] Voir nos développements au sujet de l’article 509-5 du Code pénal, exposés ci-dessus

[25] Doc. parl. n° 6514, exposé des motifs, p. 14

Pour être punissables de peines délictuelles, les injures doivent avoir été proférées:

• Soit dans des réunions ou lieux publics;
• Soit en présence de plusieurs individus, dans un lieu non public, mais ouvert à un certain nombre de personnes ayant le droit de s’y assembler ou de le fréquenter;
• Soit dans un lieu quelconque, en présence de la personne offensée et devant témoins;
• Soit par des écrits imprimés ou non, des images ou des emblèmes affichés, distribués ou communiqués au public par quelque moyen que ce soit, y compris par la voie d’un média, vendus, mis en vente ou exposés aux regards du public;
• Soit enfin par des écrits, des images ou des emblèmes non rendus publics, mais adressés ou communiqués par quelque moyen que ce soit, y compris par la voie d’un média, à
  plusieurs personnes.

En l’occurrence, une personne avait rédigé des messages injurieux (le caractère injurieux des propos rédigés a été reconnu par la Cour) sur le mur d’un de ses amis sur Facebook. La personne visée par ces messages en a eu connaissance et a cité l’auteur de ceux-ci devant le Tribunal correctionnel par voie de citation directe. L’auteur a argumenté que l’accès au mur de son ami aurait été exclusivement réservé aux amis de ce dernier, de sorte que les messages y publiés n’auraient pas été accessibles au public. Le groupe de personnes ayant eu un accès à ses messages pourrait être qualifié de communauté d’intérêts et le contenu échangé par ce groupe conserverait un caractère privé. L’élément constitutif de la publicité exigé par l’article 444 du Code pénal ne serait dès lors pas donné.

Les juges du premier degré avaient suivi cette argumentation, en retenant qu’

En l’espèce, A) reste en défaut de prouver que le paramétrage du compte FACEBOOK de B) ne limitait pas la diffusion des messages aux seuls « amis » de cette dernière mais qu’il était accessible à d’autres personnes que le destinataire choisi ou quelques amis choisis, et qu’il était partant public.

La Cour d’appel a réformé cet arrêt en procédant à une analyse détaillée des différents moyens de publication proposés par le réseau Facebook:

Facebook est un service de réseau social en ligne sur Internet qui permet à toute personne disposant d’une adresse email, de se constituer un compte, de créer son profil et d’y publier des informations, dont elle peut contrôler la visibilité par les autres personnes, possédant ou non un compte. Le mur sur FACEBOOK est l’endroit qui recense toutes les publications, que ce soit des textes, des photos, des vidéos ou des messages personnels. Ces éléments publiés sur le mur sont alors visibles par les personnes du choix de l’utilisateur selon un paramétrage choisi. L’utilisateur peut sélectionner l’audience de son mur et choisir les personnes avec lesquelles les publications sur le mur peuvent être partagées sur quatre niveaux, en l’occurrence le niveau « public », le niveau « amis », le niveau « moi uniquement » ou le niveau « personnaliser » comprenant des groupes spécifiques, des clients, des listes d’amis que l’utilisateur a choisi d’inclure ou d’exclure. Si l’on effectue une publication sur le mur d’un autre utilisateur, c’est cette personne qui contrôle la diffusion de la publication (Réseau FACEBOOK, pages d’aide de Facebook, confidentialité).

Même si le mur sur FACEBOOK, par un paramétrage spécifique, ou d’autres zones sur FACEBOOK, telle p.ex. la messagerie électronique, peuvent constituer des sphères privées, cela n’exclut pas que la circonstance de l’alinéa 6 de l’article 444 du code pénal puisse être donnée, lorsque des écrits imprimés ou non, des images ou des emblèmes affichés sont, par la voie du réseautage FACEBOOK, distribués ou communiqués à plusieurs personnes.

En analysant comment les moyens de communication proposés par Facebook ont été concrètement mis en oeuvre par la citée directe, la Cour vient à la conclusion que les messages injurieux avaient bien été adressés ou communiqués à plusieurs personnes (hypothèse visée par l’article 444, alinéa 6 du Code pénal):

Or, si le paramétrage du mur de C) n’est certes pas connu, il ressort des pièces versées par la citée directe B) qu’il y a eu un partage des messages exprimés sur ce mur, un certain nombre de personnes ayant échangé des commentaires sur l’article publié par A) (…).

(…)

En mettant ses messages-commentaires sur le mur de C), B) avait conscience qu’elle s’exposait à ce que son message soit lu par les amis de C), amis qu’elle n’a pas choisis, ou que même tout autre individu puisse accéder à ces commentaires, de sorte que la condition de la communication à plusieurs personnes de l’alinéa 6 de l’article 444 du code pénal est remplie en ce que des écrits non rendus publics sont adressés ou communiqués par la voie d’Internet à plusieurs personnes, les échanges écrits étant susceptibles d’être lus par plusieurs personnes qui ne constituaient pas nécessairement une communauté d’intérêts. B) ne pouvait d’ailleurs ignorer le fonctionnement du site et la faculté de s’entretenir en privé avec C) ou d’autres amis.

Les propos de B) au sujet de A), qui constituent des injures de par les expressions méchantes utilisées et démontrent ainsi l’intention de son auteur de porter atteinte à l’honneur de la personne visée, tombent sous l’application de l’article 448 du code pénal.

Nous tenons également à signaler un jugement du Tribunal d’arrondissement de Diekirch du 29 mars 2012 (n° 312/2012) qui s’est basé sur le nombre important d’amis de l’auteur d’un message injurieux pour conclure que celui-ci a été communiqué à plusieurs personnes au sens de l’article 444, alinéa 6 du Code pénal:

En ce qui concerne la condition de publicité, pour que celle-ci soit remplie, il faut que l’injure ait connu une publicité provoquée par son auteur selon un des modes limitativement énumérés par l’article 444 du Code pénal.

Le cinquième mode de publicité énuméré par cet article est le suivant : « par des écrits, des images ou des emblèmes non rendus publics, mais adressés ou communiqués par quelque moyen que ce soit, y compris par la voie d’un média, à plusieurs personnes. »

Ce cinquième mode de publicité ne requiert donc pas que les écrits injurieux soient rendus publics, mais il suffit qu’ils soient adressés ou communiqués par quelque moyen que ce soit, donc également par internet, à plusieurs personnes.

Le commentaire injurieux a été publié par A) sur son profil Facebook, c’est-à-dire un réseau social virtuel dont l’un des buts premiers est de partager des informations, avis, commentaires avec d’autres personnes.

L’inscription à ce réseau social est aisée et ouverte à toute personne ayant une adresse électronique.

En l’espèce, il ressort du dossier répressif que A) avait 628 personnes enregistrées comme étant ses amis sur Facebook au moment des faits. Il n’est pas contesté par A) que toutes les personnes enregistrées comme étant ses amis sur Facebook, c’est-à-dire le nombre non négligeable de 628 personnes, avaient effectivement accès aux commentaires publiés par lui sur son profil.

Les 628 personnes ont donc pu se rendre sur son profil et y lire le commentaire le temps qu’il s’y trouvait, ce qui constitue d’ores et déjà une communication au sens du cinquième mode de publication de l’article 444 du Code pénal. Au surplus, la conception du réseau social virtuel Facebook est telle que les 628 personnes ont également automatiquement dû recevoir un message sur leur propre profil leur indiquant que A) venait de publier le commentaire en question sur le sien sans qu’elles ne soient obligées à cet effet de consulter le profil de ce dernier.

Dès lors, même si le commentaire injurieux laissé sur son profil n’a été communiqué qu’à ce cercle de personnes, leur nombre et le mode de communication remplissent à suffisance les critères du cinquième mode de publicité listé à l’article 444 du Code pénal.

Le fait qu’il était possible à A) de restreindre l’accès à son profil aux seuls amis acceptés par lui sur Facebook est indifférent à cet égard au vu des termes de l’article 444 du Code pénal dont le cinquième mode de publicité n’exige pas la communication à un public en tant que tel mais simplement à plusieurs personnes.

Les analyses de la Cour d’appel et du Tribunal d’arrondissement de Diekirch illustrent le partage de messages sur les réseaux sociaux. En fonction des critères de confidentialités choisis par l’auteur d’un message, la communauté du réseau concourt à la propagation de celui-ci. Ainsi, en commentant ou en signalant un message par les fameux « Like », les membres du réseau peuvent rendre le message originaire, avec les commentaires et « Like », accessible à leur communauté.

Un autre facteur qui concourt à la publicité des messages postés sur les réseaux sociaux est le nombre généralement important de connaissances (les « amis » sur Facebook) dont disposent les différents membres. La notion d’ « ami » prend en effet une signification très large sur les réseaux, de sorte qu’il est fréquent de rencontrer des profils qui comptent plusieurs centaines d’ « amis ». Un message publié sur son propre mur ou sur celui d’un « ami » qui compte des centaines d’ « amis » connaît dès lors – par la force des choses – d’une publicité très importante.

Nous tenons à souligner que la grande publicité attachée aux messages postés sur les réseaux sociaux peut non seulement poser des problèmes au niveau pénal, mais également en matière de droit du travail. Des propos non mesurés trouvent en effet, de plus en plus souvent, leur chemin vers l’employeur (voir notamment: K. ROSIER: Réflexions sur le droit au respect de la vie privée et la liberté d’expression sur Facebook dans le cadre des relations de travail, RDTI n° 46 – 1/2012, p. 90).

Il y a lieu de préciser que l’arrêt de la Cour d’appel du 8 janvier 2013 (n° 24/13 V) peut encore faire l’objet d’un pourvoi en cassation.

Il avait attaqué les deux premiers refus par un recours introduit devant le tribunal administratif[3], mais les juges de première instance se déclarèrent incompétents pour connaître de la demande alors que le congé pénal constitue une décision « qui modifie les « limites » de la peine à laquelle l’intéressé a été condamné par la juridiction judiciaire », et qui est partant de nature judiciaire et non administrative[4].

La Cour administrative confirma ce jugement[5].

Le sieur BOULOIS introduisit par la suite un recours devant la Cour européenne des droits de l’homme (ci-après « la Cour EDH ») en invoquant une violation de l’article 6, §1 alors qu’il estimait avoir été privé de son droit au procès équitable et à l’accès à un tribunal dans le cadre des décisions de refus de ses demandes de congé pénal.

En effet, le requérant exposa tout d’abord que sa cause n’aurait pas été entendue par un « tribunal », la commission pénitentiaire n’étant qu’une autorité administrative. Et même si la commission pénitentiaire avait joué un rôle juridictionnel, « aucune des garanties imposées par l’article 6 en vue d’un procès équitable » n’aurait été respectée : la commission pénitentiaire ne serait ni indépendante, ni impartiale, et ni le principe du contradictoire, ni les droits de la défense, ni l’exigence de la publicité de la procédure n’auraient été respectés. Par ailleurs, la décision d’incompétence des juridictions administratives l’aurait privé de son droit d’accès à un tribunal alors qu’il n’existerait au Grand-Duché aucune juridiction de l’ordre judiciaire compétente pour statuer sur les décisions de la commission pénitentiaire[6].

Devant la deuxième section de la Cour EDH, le Gouvernement luxembourgeois souleva à titre préliminaire la question de la recevabilité de la demande alors qu’il estima que le requérant ne pouvait se prévaloir d’un « droit » au sens de l’article 6, le congé pénal étant une simple faveur[7].

En effet, aux termes de l’article 7 de la loi du 26 juillet 1986 relative à certains modes d’exécution des peines privatives de liberté, le congé pénal constitue une faveur.

De même, le commentaire de l’article 8 du projet de loi 2870 relatif à certains modes d’exécution des peines privatives de liberté, qui a débouché sur la loi du 26 juillet 1986, utilise à deux reprises le terme de « faveur » en parlant du congé pénal[8].

Il résulte aussi du commentaire de l’article 10 du même projet de loi[9] que « (le congé pénal) ne sera jamais de droit et relèvera toujours, en fin de compte, de l’appréciation souveraine de l’autorité chargée de l’exécution des peines qui décidera librement en fonction des informations qu’elle aura pu obtenir sur les dispositions du condamné. Il lui incombera, en effet, la lourde responsabilité d’apprécier si un condamné n’est pas susceptible de profiter du régime de liberté pour commettre des attentats contre les personnes ou les biens. »

Par 4 voix contre 3[10], la deuxième section de la Cour EDH estima que le requérant BOULOIS pouvait se prévaloir d’un droit alors que « La loi de 1986 et le règlement grand-ducal du 19 janvier 1989[11] prévoient qu’un congé pénal peut être accordé si différents critères sont réunis. Dès lors, le requérant peut de manière défendable soutenir qu’il dispose en tant que détenu d’un droit à l’octroi d’un congé pénal, s’il remplit l’ensemble des conditions prévues par la législation » et que « les restrictions au droit à un tribunal que le requérant allègue avoir subies dans le cadre de ses demandes de congé pénal concernent un ensemble de droits que le Conseil de l’Europe a reconnus aux détenus au moyen des Règles pénitentiaires européennes, adoptées par le Comité des Ministres et précisées dans trois recommandations (…). »[12]

Suite à cet arrêt, dont les répercussions sur le système de l’exécution des peines au Luxembourg auraient été énormes, le Gouvernement luxembourgeois a demandé le renvoi de l’affaire devant la Grande Chambre de la Cour EDH.

Celle-ci, non pas à l’unanimité[13], mais par quinze voix contre deux, estime que l’article 6 n’était pas applicable à la situation du requérant BOULOIS, ce dernier ne se prévalant pas d’un « droit » au sens de l’article 6.

Pour arriver à cette conclusion, la Grande Chambre réaffirme sa jurisprudence bien établie[14] selon laquelle le droit matériel dont le requérant se prévaut ne peut pas trouver son origine dans l’article 6, §1 de la Convention EDH, mais doit « au moins de manière défendable, (être) reconnu en droit interne »[15] : sauf en cas de situation exceptionnelle, « Il faut prendre pour point de départ les dispositions du droit national pertinent et l’interprétation qu’en font les juridictions internes »[16].

Même si la Grande Chambre rappelle que « la seule présence d’un élément discrétionnaire dans le libellé d’une disposition légale n’exclut pas, en soi, l’existence d’un droit (…) »[17], elle se réfère explicitement à l’article 7 de la loi pénitentiaire aux termes duquel le congé pénal constitue une « faveur » qui « peut être accordée », et aux travaux préparatoires de cette même loi qui renvoient à l’appréciation souveraine de l’autorité chargée de l’exécution des peines.

Sur base de ces différents éléments, la Grande Chambre considère que le requérant ne peut se prévoir d’un droit au sens de l’article 6 de la Convention, un droit au congé pénal ne lui étant pas reconnu par la législation luxembourgeoise.

La Grande Chambre opère aussi la distinction avec l’arrêt Enea c/ Italie[18] qui avait précisément servi de fondement à la deuxième section de la Cour EDH pour conclure à la recevabilité de la demande au niveau de l’article 6[19]. En effet, la deuxième section de la Cour EDH avait déduit de l’arrêt Enea que les Règles pénitentiaires européennes consacreraient le « droit » à un tribunal.

La différence entre l’affaire Enea et l’affaire Boulois réside dans le fait que la Cour constitutionnelle italienne avait déclaré inconstitutionnelle la législation italienne qui ne prévoyait pas de recours juridictionnel contre une décision susceptible de porter atteinte aux droits d’un détenu[20]. Pour déterminer le contenu d’un « droit » au sens de l’article 6, la Cour EDH ne se réfère dès lors pas au seul contenu de la loi, mais aussi à l’interprétation qu’en donnent les juridictions nationales[21]. Les termes utilisés par la Grande Chambre pour définir un « droit » au sens de l’article 6 rappellent fortement la définition que la Cour EDH a donnée au « droit » reconnu par l’article 7 et qui « correspond à (la notion) de « loi » qui figure dans d’autres articles de la Convention ; elle englobe le droit d’origine tant législative que jurisprudentielle et implique des conditions qualitatives, entre autres celles d’accessibilité et de prévisibilité (…).»[22]

Même si la Grande Chambre conclut à l’inapplicabilité de l’article 6, « elle note avec intérêt la réforme législative en cours sur l’exécution des peines (…). »

Dans le cadre de la notion de « droit » au sens de l’article 6, la Cour EDH a encore rendu en date du 5 juin 2012 une décision en matière de libération conditionnelle[23] (article 100 du Code pénal) dans laquelle elle a jugé que la libération conditionnelle ne constitue pas un « droit » dans l’ordre juridique interne luxembourgeois, alors que l’article 100 du Code pénal ne consacre que la possibilité d’une libération conditionnelle. En se référant à l’arrêt Boulois de la Grande Chambre, la Cour EDH a dès lors conclu que le requérant ne pouvait se prévaloir d’une violation de l’article 6.

Le « droit » au sens de l’article 6 CEDH ou Une faveur ne constitue pas un droit (version pdf)

Dans la mesure où la création de profils ou comptes d’utilisateur est particulièrement facile sur les réseaux sociaux, il arrive que des personnes ouvrent des profils sous de fausses identités. Il y a d’un côté le recours à des pseudonymes, de l’autre l’utilisation de l’identité d’autrui. C’est surtout cette deuxième hypothèse qui pose problème, en ce qu’elle peut aboutir à une véritable usurpation d’identité (I).

A côté de la création d’un profil en utilisant le nom d’autrui, on peut constater de plus en plus d’accès frauduleux au profil créé par son propriétaire légitime. Ces accès frauduleux peuvent aboutir à une véritable reprise de l’identité numérique d’autrui (II).

Dans la présente note, nous nous limitons à analyser les infractions directement liées aux créations et utilisations frauduleuses de profils de réseaux sociaux. En fonction des actes commis par l’auteur, d’autres infractions peuvent également être constituées. Nous pensons notamment aux calomnies, diffamations, injures et atteintes à la vie privée.

I. La création d’un profil au nom d’autrui

Pour pouvoir s’inscrire sur un réseau social, il faut généralement disposer d’une adresse e-mail valable. Les autres informations peuvent être librement renseignées par l’utilisateur. Ce système d’inscription – avantageux de par sa simplicité – présente l’inconvénient qu’il ne permet qu’une identification incomplète des utilisateurs. La création d’un profil frauduleux est dès lors particulièrement facile, d’autant plus que de nombreux fournisseurs proposent des adresses e-mail gratuites qui peuvent également être ouvertes très facilement.

La création d’un profil au nom d’autrui peut aller d’une simple mauvaise blague à un véritable vol d’identité. Par cette notion, on entend « l’utilisation de données d’identification personnelles, par exemple un numéro de carte de crédit, pour commettre d’autres infractions »^[2]. Il suffit en effet de s’imaginer un profil créé au nom d’une personne qui n’utilise pas les réseaux sociaux. Au fil du temps, une véritable identité numérique se crée au sujet de cette personne sur les réseaux sociaux, sans que celle-ci ne s’en rende compte. Dans ce cas, le pirate informatique maîtrise l’identité sur les réseaux de cette personne. Il peut non seulement communiquer au nom de cette personne, mais également profiter de données confidentielles destinées à celle-ci.

En droit pénal luxembourgeois, l’utilisation du nom appartenant à autrui est réprimée par l’article 231 du Code pénal^[3]. Pour que l’infraction de port public de faux nom soit donnée, il faut que l’auteur prenne publiquement un nom qui ne lui appartient pas.

Le faux nom est un autre nom que celui qui figure dans l’acte de naissance. La loi punit tout changement, toute altération, toute modification du nom patronymique qui est légalement celui de l’auteur. Le port public d’un faux prénom, pris comme tel, n’est toutefois pas réprimé par l’article 231 du Code pénal^[4].

La publicité exigée par l’article 231 du Code pénal existe si la prise de faux nom se réalise verbalement ou se manifeste dans un écrit ou un imprimé. « Le législateur se contente (…) à cet égard d’une publicité relative, le port du faux nom devant se faire ostensiblement »^[5].

La jurisprudence a notamment retenu que l’utilisation du nom indiqué sur une carte de crédit volée pour effectuer des achats sur Internet tombe sous l’infraction prévue par l’article 231 du Code pénal^[6]. Il en va de même pour l’inscription sous le nom d’autrui pour ouvrir des boîtes de courrier électronique^[7].

A l’heure actuelle, les paramètres de confidentialité des réseaux sociaux sont configurés pour permettre une communication très large des noms attribués aux profils. Autrement dit, le nom choisi pour un profil constitue l’élément clé pour rechercher (et retrouver) celui-ci. En pratique, il y a lieu de constater que les personnes qui créent des profils au nom d’autrui en font un usage très étendu. Ils se créent notamment des listes d’amis sur Facebook et entrent ainsi en contact avec les connaissances de la personne dont ils ont pris l’identité.

Il faut en conclure que l’utilisation du nom d’autrui se fait de façon ostensible sur les réseaux sociaux, de sorte que la condition de la publicité exigée par l’article 231 du Code pénal est donnée^[8].

Pour ce qui est de l’élément intentionnel, la jurisprudence retient que « le port incriminé est punissable par le seul fait que son auteur a pris un faux nom avec l’intention de faire croire ou de laisser croire que c’était réellement le sien, quand bien même son acte serait dépourvu de toute autre intention de tromper ou de nuire »^[9]. Le mobile est indifférent^[10].

II. Le piratage du profil d’autrui

Un individu peut également être amené à vouloir accéder au profil créé par son propriétaire légitime. Cette manœuvre est plus complexe, en ce qu’elle exige la connaissance du mot de passe choisi par celui-ci.

L’accès frauduleux peut être utilisé pour consulter des informations normalement réservées au propriétaire légitime du profil (A), mais également pour créer, modifier ou effacer des informations de ce profil (B).

A. L’accès ou le maintien frauduleux à un profil

L’article 509-1, alinéa 1^er du Code pénal réprime « quiconque, frauduleusement, aura accédé ou se sera maintenu dans tout ou partie d’un système de traitement ou de transmission automatisé de données sera puni d’un emprisonnement de deux mois à deux ans et d’une amende de 500 euros à 25.000 euros ou de l’une de ces deux peines ».

Par des systèmes de traitement ou de transmission automatisé de données, il y a lieu d’entendre un « ensemble composé d’une ou de plusieurs unités de traitement automatisé de mémoire, de logiciel, de données, cet ensemble étant protégé ou non par un dispositif de sécurité »^[11]. Autrement dit, l’article 509-1, alinéa 1^er du Code pénal vise les systèmes informatiques. Les serveurs qui stockent des pages Internet (donc également des réseaux sociaux) tombent naturellement sous cette qualification^[12].

En visant tout accès ou maintien frauduleux à des systèmes informatiques, l’article 509-1, alinéa 1^er du Code pénal a un champ d’application très large. L’accès et le maintien frauduleux sont sanctionnés indépendamment du fait qu’ils ne représentent que la première phase d’une fraude plus grave ou qu’ils ne causent aucun préjudice^[13]. L’infraction n’exige ni intention de lucre, ni intention de nuire^[14]. L’accès doit toutefois se faire de façon volontaire^[15].

Le caractère frauduleux d’un accès peut être déduit des moyens employés par l’auteur :

• un individu qui tente de deviner le mot de passe protégeant l’accès à un profil est bien conscient que cet accès est limité à son propriétaire légitime,

• il en va de même de l’emploi de techniques permettant de déceler ce mot de passe ou de contourner le système de sécurité mis en place.

On peut notamment citer l’utilisation d’un mot de passe obtenu par hameçonnage (« phishing ») ^[16].

Un autre type d’accès frauduleux consiste à utiliser des données d’accès obtenues légitimement, mais de les utiliser à des fins autres que celles autorisées.

On peut notamment s’imaginer le titulaire d’un profil qui donne ses données d’accès à un ami pour effectuer un acte précis (p.ex. vérifier la messagerie interne liée au profil). L’accès au profil est alors uniquement légitime pour cet acte précis, mais devient frauduleux pour d’autres actes.

Il est encore fréquent de voir des accès frauduleux à des profils (généralement de Facebook) par un ex-conjoint, après la séparation du couple. Des données d’identification, obtenues grâce à la confiance ayant régné au sein du couple, sont alors utilisées pour surveiller ou pour nuire à l’ex-conjoint^[17]. Ces accès tombent sous l’infraction de l’article 509, alinéa 1^er du Code pénal.

B. La création, modification ou suppression de données du profil

L’article 509-3 du Code pénal dispose que « quiconque aura, intentionnellement et au mépris des droits d’autrui, directement ou indirectement, introduit des données dans un système de traitement ou de transmission automatisé ou supprimé ou modifié les données qu’il contient ou leurs modes de traitement ou de transmission, sera puni d’un emprisonnement de trois mois à trois ans et d’une amende de 1.250 euros à 12.500 euros ou de l’une de ces deux peines ».

L’article 509-3 du Code pénal vise à protéger l’intégrité des données contenues sur un système informatique. Il vise les atteintes intentionnelles aux données.

Le texte permet de réprimer la création, modification ou suppression de données sur le profil d’autrui. L’infraction est notamment donnée si ces actes se font suite à un accès frauduleux au profil au sens de l’article 509-1, alinéa 1^er du Code pénal (hypothèse visée au point A. ci-dessus).

Elle l’est également si l’auteur publie des messages sur le profil qu’il a créé lui-même en utilisant l’identité d’autrui (voir l’hypothèse visée au point. I ci-dessus)^[18]. Dans ce cas, l’auteur insère en effet des données dans le système informatique du réseau social au détriment des droits d’autrui.

Par la création ou l’insertion de données, on entend notamment l’envoi de messages^[19], d’images, de vidéos ou d’autres contenus. On peut admettre que l’article 509-3 du Code pénal réprime toute utilisation frauduleuse d’un profil qui engendre la création de données (à notre avis, il vise également l’ajout d’amis sur un compte Facebook).

Nous tenons encore à signaler que les créations, modifications et suppressions accidentelles de données, qui résultent d’un accès frauduleux au système informatique sont également réprimées (article 509-1, alinéa 2 du Code pénal).

Le piratage de profils de réseaux sociaux : infractions à envisager – Version PDF

La confiscation spéciale ou l’amende subsidiaire prévue à l’article 14 de la présente loi sera toujours prononcée, si le conducteur du véhicule a commis de nouveau un des délits spécifiés aux deux alinéas qui précèdent avant l’expiration d’un délai de trois ans à partir du jour où une précédente condamnation du chef d’un de ces mêmes délits sera devenue irrévocable.

Le conducteur qui conduit une nouvelle fois en état d’ivresse au cours d’une période de trois ans à partir du jour où une précédente condamnation du chef de conduite en état d’ivresse sera devenue irrévocable voit dès lors son véhicule confisqué. En utilisant les termes « sera toujours prononcée », le législateur n’a en effet pas laissé de marge d’appréciation aux Tribunaux.

La sanction édictée par l’article 12, §2, point 3 de la loi modifiée du 14 février 1955 pouvant être particulièrement sévère, celle-ci a fait l’objet de nombreuses contestations.

Par un arrêt du 7 janvier 2011, la Cour constitutionnelle avait déjà retenu la conformité de cette disposition à l’article 10bis (1) de la Constitution (les Luxembourgeois sont égaux devant la loi).

Suite à une nouvelle question préjudicielle, elle a été appelée à se prononcer sur la conformité de cette disposition à l’article 14 de la Constitution (nulle peine ne peut être établie ni appliquée qu’en vertu de la loi). La question lui déférée était la suivante:

L’article 12, paragraphe 2, alinéa 3 de la loi modifiée du 14 février 1955 combiné avec l’article 14 de la même loi et avec l’article 31, alinéa 3 du Code pénal sont-ils conformes à l’article 14 de la Constitution qui prescrit le principe de la légalité des peines,

dans la mesure où une peine, pour être légale, doit être déterminée, c’est-à-dire comporter un minimum et un maximum,

alors qu’aucun maximum n’est prévu ni pour la valeur du véhicule à confisquer, ni pour l’amende subsidiaire à prononcer au cas où cette confiscation s’avérerait impossible.

En l’occurrence, il faut relever que le prévenu avait roulé une voiture de sport d’une valeur importante. La confiscation de ce véhicule lui a naturellement causé un dommage plus important que la confiscation d’une vieille voiture de faible valeur. Or, la loi ne fait aucune différence entre ces deux situations: la voiture confisquée est celle conduite par le prévenu récidiviste au moment de la commission de l’infraction (conduite en état d’ivresse).

D’après le prévenu, la peine prévue par l’article 12, §2, point 3 de la loi modifiée du 14 février 1955 ne serait dès lors pas spécifiée avec la précision requise par l’article 14 de la Constitution.

La Cour constitutionnelle, par un arrêt du 9 mars 2012 ( n° 00071 du registre), n’a pas suivi cet argument en retenant que:

Considérant que la peine, pour suffire aux exigences de la Constitution, doit être suffisamment déterminée, c’est-à-dire qu’elle doit en principe comporter un minimum et un maximum indiqués dans la loi ;

Considérant que dans le régime de la confiscation spéciale prévue aux articles 12 et 14 précités de la loi du 14 février 1955, le véhicule fait l’objet d’une confiscation en tant que bien qui a servi à commettre l’infraction et que, conformément aux dispositions de l’article 31 du Code pénal, la confiscation n’est prononcée que si le véhicule est la propriété du délinquant condamné ;

Considérant que l’article 12, paragraphe 2, point 3, de la loi du 14 février 1955 dispose que la confiscation spéciale ou l’amende subsidiaire sera toujours prononcée, si le conducteur condamné se trouve en état de récidive ;

Considérant que la confiscation spéciale s’analysant en une peine accessoire portant sur l’objet ayant servi à commettre l’infraction, en l’occurrence le véhicule, propriété du condamné en état de récidive, la peine se trouve par essence déterminée à suffisance, à travers la nature de l’objet à confisquer, sans qu’il n’y ait lieu à indication d’un minimum ou d’un maximum ;

Que pour l’amende subsidiaire, l’article 14, alinéa 3, de la loi du 14 février 1955 prévoit un maximum correspondant à l’objet visé par la confiscation en ce que l’amende subsidiaire ne dépassera pas la valeur du véhicule ;

Que dès lors, alors même que l’article 12, paragraphe 2, point 3 et l’article 14, alinéa 3, de la loi du 14 février 1955 n’indiquent ni un minimum ni un maximum de la peine encourue, les deux branches expressément formulées à l’appui de la question préjudicielle ne sont pas de nature à fonder une non-conformité de ces articles par rapport à l’article 14 de la Constitution ;

Considérant que d’une manière plus générale, la récidive s’analyse en une nouvelle infraction dans les conditions déterminées par la loi et après une condamnation coulée en force de chose jugée ;

Qu’elle comporte nécessairement un avertissement caractérisé dans le chef du condamné que s’il commet une nouvelle infraction dans un certain délai, la peine encourue s’en trouvera aggravée ;

Considérant que pour le cas de récidive le législateur est dès lors habilité à prévoir des peines aggravées qui sont en rapport avec l’objectif poursuivi et qui ne sont pas disproportionnées à celui-ci ;

Considérant qu’en prévoyant le caractère obligatoire de la confiscation dans les cas de récidive visés par l’article 12, paragraphe 2, point 3 de la loi du 14 février 1955, la loi répond à ces critères et n’a pas dépassé sa marge d’appréciation ;

Considérant qu’il résulte de ce qui précède que par rapport à la question préjudicielle posée, l’article 12, paragraphe 2, alinéa 3, combiné avec l’article 14, alinéa 3, de la loi du 14 février 1955 ensemble l’article 31, alinéa 3, du code pénal n’est pas contraire à l’article 14 de la Constitution ;

La Cour a partant confirmé la conformité de l’article 12, §2, point 3 de la loi modifiée du 14 février 1955 à l’article 14 de la Constitution.

Cet article dispose désormais que:

Sera puni d’un emprisonnement d’un mois à trois ans et d’une amende de 251 à 50.000 euros, quiconque aura sciemment détenu ou consulté des écrits, imprimés, images, photographies, films ou autres objets à caractère pornographique impliquant ou présentant des mineurs.

La confiscation de ces objets sera toujours prononcée en cas de condamnation, même si la propriété n’en appartient pas au condamné ou si la condamnation est prononcée par le juge de police par l’admission de circonstances atténuantes.

Avant les modifications législatives apportées par la loi du 16 juillet 2011, l’article 384 réprimait uniquement la « détention » de matériel pédopornographique. Des prévenus qui avaient « consulté » ce type de matériel sur Internet avaient argumenté que leur comportement n’était pas répréhensible, en ce qu’ils avaient uniquement regardé ce matériel, sans le détenir. La jurisprudence était divisée sur la question. Un courant de jurisprudence a retenu que la consultation du matériel pédopornographique sur Internet engendrait un stockage, du moins temporaire, de ce matériel sur l’ordinateur du prévenu (notamment dans les fichiers temporaires du navigateur Internet) et a décidé qu’il y avait partant détention au sens de l’article 384 du Code pénal. En se référant à un arrêt de la Cour de cassation française du 5 janvier 2005, un autre courant a retenu que « la simple consultation de sites pornographiques mettant en scène des mineurs ne suffit pas à caractériser le délit prévu par l’article 227-23, alinéa 4 du code pénal français qui est de même teneur que l’article 384 du code pénal luxembourgeois, en exigeant comme élément constitutif de la détention que l’image soit imprimée ou enregistrée sciemment sur un support informatique ou imprimée, l’inscription automatique dans la mémoire temporaire n’étant qu’une preuve de la consultation du site, mais non de la détention des images diffusées par le site ».

Suite à la modification de l’article 384 du Code pénal par la loi du 16 juillet 2011, tout type de « consommation » consciente de matériel pédopornographique tombe désormais sous la loi pénale. A ce sujet, il y a lieu de rappeler que l’objectif poursuivi par le législateur en la matière est d’endiguer le flux de diffusion de ce type de matériel et de protéger les mineurs de toute forme d’exploitation par la limitation des besoins de production (travaux parlementaires n° 4508, exposé des motifs, page 6).

L’article 384 vise les « écrits, imprimés, images, photographies, films ou autres objets à caractère pornographique impliquant ou présentant des mineurs ». Les textes internationaux font encore référence à la « pédopornographie » ou à la « pornographie enfantine ». Par « pédopornographie »» il y a lieu d’entendre « tout matériel pornographique représentant de manière visuelle: i) un enfant réel participant à un comportement sexuellement explicite ou s’y livrant, y compris l’exhibition lascive des parties génitales ou de la région pubienne d’un enfant, ou ii) une personne réelle qui paraît être un enfant participant ou se livrant au comportement visé au point i), ou iii) des images réalistes d’un enfant qui n’existe pas participant ou se livrant au comportement visé au point i) » [Décision-cadre 2004/68/JAI du conseil du 22 décembre 2003 relative à la lutte contre l'exploitation sexuelle des enfants et la pédopornographie, article 1^er, point b)]. L’expression « pornographie enfantine » désigne « tout matériel représentant de manière visuelle un enfant se livrant à un comportement sexuellement explicite, réel ou simulé, ou toute représentation des organes sexuels d’un enfant à des fins principalement sexuelles «  (Convention du Conseil de l’Europe sur la protection des enfants contre l’exploitation et les abus sexuels du 25 octobre 2007, article 20, point 2).

Pour que l’infraction définie à l’article 384 du Code pénal soit donnée, il faut que la détention ou la consultation du matériel pédopornographique ait eu lieu « sciemment ».

« le fait pour un majeur de faire des propositions sexuelles à un mineur de moins de seize ans ou à une personne se présentant comme telle en utilisant un moyen de communication électronique ». L’alinéa 2 de cet article érige en circonstance aggravante le fait que cette proposition ait été suivie d’une rencontre.

Dans les travaux parlementaires, il est expliqué que « la sollicitation à des fins sexuelles est plus généralement connue sous le nom de „grooming“. Le „grooming“ (mise en confiance) désigne la préparation d’un enfant aux abus sexuels, motivée par le désir d’utiliser cet enfant à des fins sexuelles. Il peut s’agir d’adultes tentant d’établir des relations d’amitié avec un enfant, souvent en se faisant passer pour un autre jeune, en entraînant l’enfant dans la discussion de questions intimes pour graduellement l’exposer à du matériel à contenu sexuel explicite afin de réduire sa résistance ou ses inhibitions.

L’enfant peut également être impliqué dans la production de pornographie enfantine en envoyant des photos personnelles compromettantes prises à l’aide d’un appareil photo numérique, une webcam ou une caméra de téléphone mobile, ce qui offre à la personne sollicitant l’enfant un moyen de le contrôler en le menaçant. Dans les cas où l’adulte organise une rencontre physique, l’enfant risque d’être victime d’abus sexuels ou d’autres types de maltraitance » (Travaux parlementaires 6046, exposé des motifs, page 9).

Cette nouvelle incrimination s’inspire de l’article 23 de la Convention du Conseil de l’Europe sur la protection des enfants contre l’exploitation et les abus sexuels du 25 octobre 2007. Il y a lieu de préciser que la législation française prévoit une disposition similaire à l’article 227-22-1 du Code pénal.

A première vue, la situation semble être claire, alors que les articles 74 alinéa 1er et 76 (1) du Code de la route (…) prévoient que:

Tout conducteur d’un véhicule routier ou d’un ensemble de véhicules routiers couplés doit être titulaire d’un permis de conduire ou détenir un certificat d’apprentissage établi à son nom, valable pour la conduite du véhicule ou de l’ensemble de véhicules couplés qu’il conduit (article 74 alinéa 1er du Code de la route).

Sans préjudice des prescriptions des articles 76bis, 85, 86 et 176, le permis de conduire comprend les catégories suivantes:
1. La catégorie A et ses sous-catégories
1.1. La catégorie A autorise la conduite de motocycles avec ou sans side-car.
Elle n’est pas valable pour conduire les tricycles et les quadricycles.
1.2. La sous-catégorie A1 autorise la conduite de motocycles légers, avec ou sans side-car, pourvus d’un moteur d’une cylindrée maximale de 125 cm3 et d’une puissance maximale de 11 kW.
Elle n’est pas valable pour conduire des tricycles et des quadricycles.
1.3. La sous-catégorie A2 autorise la conduite de véhicules automoteurs d’infi rme.
1.4. La sous-catégorie A3 autorise la conduite de cyclomoteurs et de quadricycles légers.

(…) [article 76 (1) du Code de la route]

Le cyclomoteur étant défini comme « un véhicule à deux ou trois roues – autre qu’un cycle électrique, qui, par construction ne dépasse pas une vitesse de 45 km/heures et qui est pourvu : soit d’un moteur électrique, soit d’un moteur à combustion interne d’une cylindrée ne dépassant pas 50 cm3″ (point 2.14 c) du Code de la route).

Par une loi du 27 mai 1975 le Luxembourg a toutefois approuvé – sans émettre de réserves – la Convention sur la circulation routière, signée à Vienne, le 8 novembre 1968 qui dispose en son article 3, point 5 que:

Les Parties contractantes seront tenues d’admettre en circulation internationale sur leur territoire les cycles et les cyclomoteurs remplissant les conditions techniques définies au chapitre V de la présente Convention et dont le conducteur a sa résidence normale sur le territoire d’une autre Partie contractante. Aucune Partie contractante ne pourra exiger que les conducteurs de cycles ou de cyclomoteurs en circulation internationale soient titulaires d’un permis de conduire; toutefois, les Parties contractantes qui auront, conformément au paragraphe 2 de l’article 54 de la présente Convention, fait une déclaration assimilant les cyclomoteurs aux motocycles pourront exiger un permis de conduire des conducteurs de cyclomoteurs en circulation internationale.

Un conducteur peut dès lors circuler en cyclomoteur au Luxembourg sans être titulaire d’un permis de conduire, à condition que:

• le cyclomoteur remplisse les conditions techniques définies au chapitre V de la Convention sur la circulation routière,
• il ait sa résidence normale sur le territoire d’un autre pays partie à cette convention
• il soit en circulation internationale.

L’article 1er de la Convention sur la circulation routière précise qu’un véhicule est dit en « circulation internationale » sur le territoire d’un État lorsque:

i) II appartient à une personne physique ou morale qui a sa résidence normale hors de cet État;
ii) II n’est pas immatriculé dans cet État;
iii) Et il y est temporairement importé.

Dans l’affaire ayant été toisée par l’arrêt de la Cour de cassation du 21 octobre 2010, un résident français avait conduit un cyclomoteur au Luxembourg sans disposer d’un permis de conduire. Il faut noter que la législation française n’exige pas de permis de conduire ni de formation pour les cyclomoteurs conduits par des personnes nées avant le 1er janvier 1988.

En l’occurrence, le cyclomoteur appartenait toutefois à une personne morale luxembourgeoise et était immatriculé au Luxembourg, de sorte que celui-ci ne se trouvait pas en circulation internationale au sens de la Convention sur la circulation routière:

Mais attendu qu’il résulte de l’article premier b) de la Convention sur la circulation routière, signée à Vienne le 8 novembre 1968 et approuvée par la loi du 27 mai 1975, qu’un véhicule est dit en « circulation internationale » sur le territoire d’un Etat lorsque le véhicule appartient à une personne physique ou morale qui a sa résidence normale hors de cet Etat, qu’il n’est pas immatriculé dans cet Etat et qu’il y est temporairement importé ;

Attendu qu’il résulte des constatations souveraines auxquelles ont procédé les juges du fond que le prévenu, ressortissant français, habitant en France, a circulé sans disposer d’un permis de conduire quelconque au Grand-Duché avec un cyclomoteur qui appartient à une personne morale de droit luxembourgeois, en l’occurrence la société à responsabilité (…) dont le siège social se trouve à Differdange, (…) et qui est immatriculé au Grand-Duché ; que le cyclomoteur n’a de même pas été temporairement importé au Luxembourg ; que ce faisant, le demandeur en cassation a conduit un cyclomoteur qui ne se trouvait pas en circulation internationale ;

Le conducteur – résident français – avait dès lors besoin d’un permis de conduire pour pouvoir conduire un cyclomoteur au Luxembourg.