Court partially allows appeal by reducing prison sentence to fine and confirming civil liability for data breach.

Arrêt N° 376/06 V. du 7 juillet 2006

La Cour d'appel du Grand-Duché de Luxembourg, cinquième chambre, siégeant en matière correctionnelle, a rendu en son audience publique du sept juillet deux mille six l’arrêt qui suit dans la cause e n t r e :

le Ministère Public, exerçant l'action publique pour la répression des crimes et délits, appelant

e t :

X.), né le (…) à (…) (F), demeurant à F-(…), (…)

prévenu, défendeur au civil et appelant e n p r é s e n c e d e :

la société anonyme SOC1.) s.a., établie et ayant son siège social à L-(…), (…), représentée par son conseil d’administration actuellement en fonctions partie civile constituée contre le prévenu et défendeur au civil X.), préqualifié demanderesse au civil __________________________________________________________________

F A I T S :

Les faits et rétroactes de l'affaire résultent à suffisance de droit d'un jugement rendu contradictoirement par le tribunal d'arrondissement de Luxembourg, 16e chambre correctionnelle, le 7 décembre 2005, sous le numéro 3382/05, dont les considérants et le dispositif sont conçus comme suit:

« Vu la citation du 26 octobre 2005 régulièrement notifiée au prévenu.

Vu l’ordonnance de renvoi du 30 juin 2005.

Vu le procès-verbal numéro 12/2004 de la Police Grand-Ducale, Service de Recherche et d'Enquête Criminelle de Capellen du 28 janvier 2004.

Vu les rapports numéros 238/2004 du 4 février 2004, 249/2004 du 18 février 2004 et 324/05 du 8 février 2005 de la Police Grand-Ducale, Service de Recherche et d'Enquête Criminelle de Capellen.

Vu le rapport numéro 2004/26173/88 du 4 mai 2004 de la Police Grand-Ducale, Service de Police Judiciaire, Section Nouvelles Technologies.

Au pénal :

Le Ministère Public reproche à X.) d’avoir en janvier 2004 et plus particulièrement le 14 janvier 2004 à partir

de son ordinateur situé au (...) à (…), en infraction à l’article 509-1 du Code pénal frauduleusement accédé

au fichier informatique contenant le relevé de la clientèle de la société SOC1.) S.A.. Il lui est encore reproché

d’avoir tenté, intentionnellement et au mépris des droits de la société SOC1.), de modifier et de supprimer des données figurant dans le fichier informatique contenant le relevé de la clientèle de ladite société.

Les faits à la base de cette affaire tels qu’ils résultent du dossier soumis au tribunal, de l’instruction menée à

l’audience et des dépositions des témoins, peuvent se résumer comme suit :

En date du 28 janvier 2003, A.), administrateur de la société SOC1.) S.A., porte plainte auprès de la Police Grand-Ducale, Service de Recherche et d'Enquête Criminelle de Capellen, alors qu’une personne non identifiée s’était introduite dans la base de données clients de la société.

Cette introduction dans la base de données n’a été découverte qu’après que plusieurs messages à caractère

diffamatoire ont été écrits dans la livre d’or de la société. Ce livre d’or est accessible à partir du site internet

www.SOC1.).be.

Alors que ces messages étaient signés par un pseudonyme, la société SOC1.) a essayé de localiser l’endroit d’où ces messages provenaient. En effectuant ces recherches, il a été constaté que les messages provenaient de l’adresse IP (…) qui a été identifiée comme le serveur du Centre de Recherche Public Henri Tudor. D’après les renseignements du responsable du Centre de Recherche Public Henri Tudor l’ordinateur avec l’adresse IP renseignée ci-dessus est utilisé exclusivement par le prévenu.

L’expertise effectuée par la société COMPUTER MULTIMEDIA SOFTWARE S.A. à la demande de la société

SOC1.), a permis de relever qu’à partir de cette même adresse IP, l’utilisateur de l’ordinateur avait essayé,

en date du 14 janvier 2004, d’effacer des données de la base de données et que les informations de la base de données ont été frauduleusement consultées.

X.) reconnaît avoir, dans un premier temps, visité le site internet de SOC1.) afin de se procurer des idées pour améliorer le site de la société SOC2.). Le prévenu est engagé comme webmaster par la société SOC2.) qui travaille dans le même domaine que la société SOC1.) et qui est partant un des concurrents de cette société.

Il a adressé des messages au livre d’or de la société SOC1.). Il affirme l’avoir fait dans le seul but de rendre

la société SOC1.) attentif au problème d’écriture dans la base de données.

Le prévenu avoue s’être introduit en date du 14 janvier 2004 dans la base de données de la société SOC1.).

Il affirme l’avoir fait par simple curiosité afin de trouver des insuffisances du site internet. Il a ainsi réussi à

s’introduire dans le répertoire informatique de la société SOC1.). X.) soutient n’avoir ni utilisé, ni exploité, ni

modifié les données ainsi découvertes.

Il avoue toutefois avoir effectué des commandes « delete » et « efface », tout en précisant qu’il ignorait les

conséquences de ces commandes. Or, il résulte des éléments du dossier répressif et notamment du rapport numéro 2004/26173/88 du 4 mai 2004 de la Police Grand-Ducale, Service de Police Judiciaire, Section Nouvelles Technologies, que les fonctions utilisées par X.) étaient de nature à modifier respectivement à effacer des données du répertoire informatique de la société SOC1.). Le but recherché n’a pas été atteint pour des raisons indépendantes de la volonté du prévenu.

Il est de jurisprudence que l'article 509-1 du code pénal inséré par la loi du 15 juillet 1993 tendant à renforcer

la lutte contre la criminalité économique et la fraude informatique est applicable sans considération du mobile de celui qui a accédé frauduleusement ou se sera maintenu dans tout ou partie d'un système de traitement automatisé de données. (Trib. d’Arr. de Lux. du 6 février 2001, n° 394/2001)

Il résulte des développements qui précèdent qu’il y a lieu de retenir le prévenu dans les liens des infractions

libellées à son encontre par le Ministère Public.

X.) est partant convaincu :

« comme auteur ayant lui-même commis les infractions, le 14 janvier 2004, à partir de son ordinateur situé au (...), sis à (…), (…),

1) en infraction à l’article 509-1 du Code pénal :

d’avoir frauduleusement accédé et de s’être frauduleusement maintenu dans un système de traitement et de transmission automatisé de données, en l’espèce, d’avoir frauduleusement accédé au fichier informatique contenant le relevé de la clientèle de la société SOC1.) S.A., en passant par le biais du site internet de ladite société, ainsi qu’en créant un programme permettant d’afficher les différentes fiches, en changeant les paramètres d’identification des clients ;

2) en infraction aux articles 509-3 et 509-6 du Code pénal :

d’avoir tenté, intentionnellement et au mépris des droits d’autrui, d’introduire des données dans un système de traitement et de transmission automatisé, et de supprimer et de modifier les données qu’il contient,

en l’espèce, d’avoir tenté, intentionnellement et au mépris des droits de la société SOC1.) s.a., de modifier et de supprimer des données figurant dans le fichier informatique contenant le relevé de la clientèle de ladite société, en passant par le biais du site internet de la même société, ainsi qu’en utilisant les commandes « efface » et « delete », et celles plus amplement détaillées dans le rapport n° 2004/26173/88 du 4 mai 2004 du Service de Police Judiciaire, Section Nouvelles Technologies, ainsi qu’aux annexes du procés-verbal n° 12/2004 du 28 janvier 2004 du Service de Recherche et d’Enquête Criminelle de Capellen, la résolution de commettre le délit s’étant manifestée par des actes extérieurs formant un commencement d’exécution, et qui n’ont manqué leur effet que par des circonstances indépendantes de la volonté de l’auteur, en l’occurrence par le caractère inopérant des commandes utilisées. »

Les infractions retenues à l'égard du prévenu se trouvent en concours idéal de sorte qu'il y a lieu de faire application des dispositions de l'article 65 du Code pénal.

Eu égard à la gravité des faits il y a lieu de condamner X.) à une peine d’emprisonnement de six mois.

X.) n'a pas subi jusqu'à ce jour de condamnation excluant le sursis à l'exécution des peines et il ne semble pas indigne de l'indulgence du tribunal; il échet en conséquence de lui accorder la faveur du sursis intégral quant à la peine d’emprisonnement.

Quant à l'amende à prononcer, le tribunal correctionnel la fixe à deux mille cinq cents euros eu égard à la gravité des faits et à la situation financière du prévenu.

Au civil :

A l'audience publique du 16 novembre 2005, Maître Maître Bénédicte DAOÛT-FEUERBACH, avocat, en remplacement de Maître Maître Albert RODESCH, avocat à la Cour, demeurant tous les deux à Luxembourg, se constitua partie civile au nom et pour compte de la société SOC1.) S.A., préqualifiée, demanderesse au civil, contre le prévenu X.), préqualifié, défendeur au civil.

Cette partie civile déposée sur le bureau du tribunal correctionnel de Luxembourg est conçue comme suit:

Il y a lieu de donner acte au demandeur au civil de sa constitution de partie civile.

Le tribunal est compétent pour en connaître, eu égard à la décision à intervenir au pénal à l'égard d’X.).

La demande civile est recevable pour avoir été faite dans les forme et délai de la loi.

La demanderesse au civil demande réparation du dommage matériel et moral subi suite aux agissements du prévenu.

Au vu des éléments du dossier, le tribunal fixe ex æquo et bono, toutes causes confondues, l’indemnisation du préjudice subi par la société SOC1.) suite aux agissements du prévenu au montant de mille euros.

P a r c e s m o t i f s:

le tribunal d'arrondissement de et à Luxembourg, seizième chambre, siégeant en matière correctionnelle, statuant contradictoirement, X.) entendu en ses explications et moyens de défense, le mandataire de la demanderesse au civil et le défendeur au civil entendus en leurs explications, et la représentante du Ministère Public entendue en son réquisitoire,

Au pénal :

c o n d a m n e X.) du chef des infractions retenues à sa charge à une peine d'emprisonnement de six (6) mois et

à une amende de deux mille cinq cents (2.500) euros, ainsi qu'aux frais de sa mise en jugement, ces frais liquidés à 25,67 euros;

d i t qu'il sera sursis à l'exécution de l’intégralité de cette peine d'emprisonnement;

a v e r t i t X.) qu’au cas où, dans un délai de cinq ans à dater du présent jugement, il aura commis une nouvelle infraction ayant entraîné une condamnation à une peine privative de liberté ou à une peine plus grave pour crimes ou délits de droit commun, la peine de prison prononcée ci-devant sera exécutée sans confusion possible avec la nouvelle peine et que les peines de la récidive seront encourues dans les termes de l’article 56 al. 2 du Code pénal;

f i x e la durée de la contrainte par corps en cas de non-paiement de l'amende à cinquante (50) jours.

Au civil :

d o n n e acte à la demanderesse au civil de sa constitution de partie civile;

se d é c l a r e compétent pour en connaître;

d é c l a r e la demande recevable;

f i x e ex æquo et bono à mille (1.000) euros l’indemnisation redue à la demanderesse au civil, la société SOC1.) S.A. ;

c o n d a m n e X.) à payer à la société SOC1.) S.A. la somme de mille (1.000) euros ;

c o n d a m n e X.) aux frais de cette demande civile.

Par application des articles 14, 15, 16, 27, 28, 29, 30, 51, 53, 65, 66, 509-1, 509-3 et 509-6 du code pénal; des articles 3, 155, 179, 182, 184, 189, 190, 190-1, 194, 195, 196, 626, 627, 628 et 628-1 du code d'instruction criminelle, qui furent désignés à l'audience par la vice-présidente.

Ainsi fait et jugé par Marie-Laure MEYER, vice-président, Henri BECKER, premier juge et Joëlle GEHLEN, juge, et prononcé par le vice-président en audience publique au Palais de Justice à Luxembourg, en présence de Tania NEY, attachée de justice, et de Chantal REULAND, qui, à l'exception du représentant du Ministère Public, ont signé le présent jugement ».

De ce jugement, appel fut relevé au greffe du tribunal d’arrondissement de Luxembourg le 13 janvier 2006 au pénal et au civil par le mandataire du prévenu et défendeur au civil et le 16 janvier 2006 par le représentant du ministère public.

En vertu de ces appels et par citation du 13 avril 2006, les parties furent requises de comparaître à l'audience publique du 26 mai 2006 devant la Cour d'appel de Luxembourg, siégeant en matière correctionnelle, pour y entendre statuer sur le mérite des appels interjetés.

A cette audience le prévenu et défendeur au civil fut entendu en ses explications et moyens de défense.

Maître Vittoria DE MICHELE, en remplacement de Maître Stéphan LE GUËFF, avocats à la Cour, développa plus amplement les moyens de défense et d’appel du prévenu et défendeur au civil.

Maître Bénédicte DAOÛT-FEUERBACH, en remplacement de Maître Albert RODESCH, avocats à la Cour, conclut au nom de la demandersse au civil.

Madame l’avocat général Jeanne GUILLAUME, assumant les fonctions de ministère public, fut entendue en son réquisitoire.

L A C O U R

prit l'affaire en délibéré et rendit à l'audience publique du 7 juillet 2006, à laquelle le prononcé avait été fixé, l'arrêt qui suit:

Par déclaration du 13 janvier 2006 au greffe du tribunal d'arrondissement de Luxembourg X.) a relevé appel au pénal et au civil d'un jugement du tribunal correctionnel de Luxembourg rendu le 7 décembre 2005 dont les motivation et dispositif sont repris aux qualités du présent arrêt.

Par déclaration du 16 janvier 2006 au greffe du tribunal d'arrondissement de Luxembourg le procureur d’Etat a relevé appel au pénal du même jugement.

Les recours sont recevables pour avoir été introduits dans les forme et délai de la loi.

X.) fait plaider son acquittement. Il nie tout accès frauduleux au système informatique de la société SOC1.), toute intention de nuire, ainsi que toute tentative d’une quelconque modification ou suppression des données contenues dans les fichiers de la société précitée. Les conditions d’application des articles 509-1, 509-3 et 509-6 du code pénal ne seraient pas données en l’espèce, dès lors qu’il n’aurait utilisé qu’un logiciel de navigation très simple et que les données n’auraient pas été protégées.

Le prévenu ne conteste pas avoir accédé au fichier des données des clients de la société SOC1.), mais cet accès aurait été le fruit d’une réaction à la découverte d’un certain nombre de dysfonctionnements dans le système de SOC1.), cette découverte l’ayant poussé à analyser de plus près les problèmes qui se présentaient. Il aurait d’ailleurs attiré l’attention de la société SOC1.) aux problèmes en les inscrivant dans leur livre d’or. Tout en admettant avoir manié les fonctions « efface » et « delete » à un certain moment, le prévenu conteste cependant avoir supprimé une ou plusieurs données et il nie, en tout état de cause, toute intention malveillante ou frauduleuse dans son chef.

En ordre subsidiaire et pour autant que la Cour d’appel retiendrait les infractions libellées à sa charge, le prévenu demande à ce qu’elle fasse abstraction d’une peine d’emprisonnement et à ce qu’elle réduise l’amende prononcée à son égard.

La partie civile réitère sa demande et sollicite la condamnation du prévenu tout en contestant tout dysfonctionnement de son site WEB et de son système informatique.

Le représentant du ministère public estime que les préventions mises à charge du prévenu sont données en l’espèce, mais il ne s’oppose pas à une réduction des peines.

Il ressort des aveux partiels du prévenu, des témoignages recueillis, ainsi que du rapport du commissaire divisionnaire MOES chargé, par le juge d’instruction, d’analyser le disque dur de l’ordinateur du prévenu que X.) a accédé 378 fois au site INTERNET de la société SOC1.) et que l’internaute a utilisé, sans succès, un programme PHP pour accéder à des bases de données sur le site web de SOC1.), ce qui, d’après le commissaire ne constitue pas une utilisation normale de l’INTERNET et du site web de la société SOC1.), ni un accès par simple curiosité.

La Cour en déduit que même si l’accès initial s’est fait par la voie normale d’accès au site Internet de la société et que l’accès aux données des clients de SOC1.) n’a pas nécessité des moyens extraordinaires, il n'en demeure pas moins que l’accès a été opéré par un moyen illicite, et en tout cas déloyal, en ce qu’X.) s’est aidé, pour effectuer ses opérations, d’un programme pour accéder à des fichiers non ouverts au public et pour vérifier des prétendues erreurs et en ce qu’il a procédé à ces opérations dans le dessein de mettre sur la sellette l’insécurité du système informatique de la société SOC1.). Il ne pouvait en effet ignorer, en sa qualité d’informaticien, qu’au cours de ses recherches, il accédait dans le système contre le gré de la société propriétaire du site.

Comme le prévenu a encore admis avoir employé les commandes « efface » et « delete » lorsqu’il se trouvait dans les listes de données des clients, sans que la preuve d’une suppression ou modification des données n’ait été établie, la tentative telle que retenue par les juges de première instance est également donnée en l’espèce.

C'est, partant, à bon droit que le tribunal correctionnel a retenu, dans le chef du prévenu, une infraction à l’article 509-1 du code pénal et une tentative d’infraction aux articles 509-3 et 509-6 du même code et il y a lieu de confirmer la décision entreprise quant aux infractions retenues à charge de X.), les juges de première instance ayant également correctement appliqué les règles du concours des infractions.

La Cour estime cependant qu’eu égard à l’absence d’antécédents judiciaires dans le chef du prévenu et aux circonstances de l’espèce, le commissaire MOES parlant « d’un cas pas très grave », il y a lieu, par application de l’article

20 du code pénal, de faire abstraction d’une peine d’emprisonnement et de réduire l’amende à 1.000 euros.

Compte tenu de la décision à intervenir au pénal il convient, par adoption des motifs des premiers juges, de confirmer au civil leur décision.

P A R C E S M O T I F S ,

la Cour d'appel, cinquième chambre, siégeant en matière correctionnelle, statuant contradictoirement, le prévenu entendu en ses explications et moyens de défense, la demanderesse et le défendeur au civil en leurs conclusions et le représentant du ministère public en son réquisitoire;

reçoit les appels;

dit l’appel de X.) partiellement fondé;

réformant:

décharge, par application de l’article 20 du code pénal, le prévenu X.) de la peine d’emprisonnement de six (6) mois avec sursis prononcée à son encontre par la juridiction de première instance;

ramène l’amende de deux mille euros prononcée par la juridiction de première instance à mille (1.000 €) euros;

fixe la contrainte par corps en cas de non-paiement de l’amende à vingt (20) jours;

confirme le jugement pour le surplus au pénal et au civil;

condamne le prévenu X.) aux frais de sa poursuite en instance d’appel, liquidés à 13,81 €, ainsi qu’aux frais de la demande civile dirigée contre lui en instance d’appel.

Par application des textes de loi cités par la juridiction de première instance en ajoutant l’article 20 du code pénal et l'article 211 du code d'instruction criminelle.

Ainsi fait, jugé et prononcé en audience publique par la Cour d'appel du Grand- Duché de Luxembourg, cinquième chambre, siégeant en matière correctionnelle, au Palais de Justice à Luxembourg, 12, Côte d'Eich, où étaient présents:

Roland SCHMIT, président de chambre Marc KERSCHEN, premier conseiller Lotty PRUSSEN, conseiller Jeannot NIES, avocat général Cornelia SCHMIT, greffier

qui, à l'exception du représentant du ministère public, ont signé le présent arrêt.