Amendement n° CL247 · Article 20

Au premier alinéa de l'article 323-1 du code pénal, après le mot : « données », il est inséré les mots : « qui a fait l'objet d'une sécurisation ».

Le journaliste Bluetouff a été condamné pour s'être maintenu dans un extranet non sécurisé de l'Agence nationale de sécurité sanitaire, de l’alimentation, de l’environnement et du travail (ANSES). L'extranet était mal sécurisé, et l'ensemble des fichiers étaient accessibles, simplement, depuis un moteur de recherche.

Le journaliste avait été relaxé en avril 2013 par le Tribunal correctionnel de Créteil, qui estimait que l'ANSES avait manifestement mal sécurisé son réseau. La Cour d'Appel de Paris (5 février 2014) puis la Cour de cassation (20 mai 2015) ont ensuite condamné le journaliste et rejeté son pourvoi.

Les juges ont à cette occasion renversé la jurisprudence Kitetoa (Cour d'Appel de Paris, 30 octobre 2002) qui mettait à la charge du responsable de traitement une obligation de sécurisation minimale de son site.

C'est pourquoi cet amendement vise à rétablir cette jurisprudence : le responsable du traitement ne peut reprocher à un utilisateur d'accéder à un système de traitement automatisé de données, s'il ne l'a pas à minima sécurisé.