Affaire Bluetouff : pirater via Google c’est voler, pour la cour de cassation

Un peu plus d'un an après sa condamnation par la cour d'appel de Paris, le blogueur Olivier "Bluetouff" Laurelli de Reflets.info a échoué à faire annuler par la cour de cassation la décision qui l'a condamné à 3 000 euros d'amende pour "maintien frauduleux dans un système de traitement automatisé de données" et "vol".

Bluetouff avait découvert au hasard d'une recherche Google des documents en principe confidentiels qui étaient librement accessibles sur un serveur mal sécurisé de l’Agence nationale de sécurité sanitaire de l’alimentation, de l’environnement et du travail (ANSES), laquelle avait d'ailleurs retiré sa plainte. Le hacker-blogueur avait téléchargé 7,7 Go de données depuis un VPN lui appartenant au Panama, et en avait exploité 250 Mo pour les besoins d'un article sur la légionellose, basé sur les documents obtenus.

L'ANSES étant considérée par l'Etat comme un Opérateur d'Importance Vitale (OIV), l'enquête avait été confiée à la Direction Générale de la Sécurité Intérieure (DGSI), laquelle avait mis Bluetouff en garde à vue pendant 30 heures. Malgré le désistement de l'ANSES, qui se sentait un tout petit peu responsable de la fuite des données qui étaient librement accessibles depuis un moteur de recherche public, le parquet avait décidé de poursuivre Olivier Laurelli. La procédure a montré, ce qu'il n'a jamais nié, qu'il était parfaitement conscient du fait que l'accès aurait normalement dû être protégé, ce qui a beaucoup pesé dans la décision des juges et dans le choix de poursuivre.

LE VOL EST CARACTÉRISÉ

Dans son arrêt du 20 mai 2015, la cour de cassation se montre totalement et étonnamment solidaire des arguments retenus par la cour d'appel de Paris. Ainsi elle estime que les motivations de cette dernière étaient "dépourvues d'insuffisance comme de contradiction". Surtout, elle confirme que "M. Laurelli s’est maintenu dans un système de traitement automatisé après avoir découvert que celui-ci était protégé et a soustrait des données qu’il a utilisées sans le consentement de leur propriétaire", et donc que "la cour d’appel, qui a caractérisé les délits en tous leurs éléments, a justifié sa décision".

Ce faisant, la cour de cassation estime qu'il y avait bien "maintien frauduleux" dans un système d'information, même s'il n'y a eu aucune manoeuvre frauduleuse de la part de Bluetouff pour tirer profit de la négligence de l'ANSES. En quelque sorte, la cour de cassation estime que ce n'est pas parce qu'une boîte aux lettres n'est pas fermée à clé que l'on peut prendre le courrier et le recopier.

Plus étonnant, elle confirme aussi et surtout qu'il y a bien eu "vol" des documents parce qu'il y aurait eu "soustraction des données". Elle fait ainsi une interprétation extensive de l'article 311-1 du code pénal qui dit que le vol est la "soustraction frauduleuse de la chose d'autrui", ce qui s'est toujours compris comme le fait de déposséder le propriétaire de son bien. Or Bluetouff n'a rien "volé", au sens traditionnel, mais a copié. 

C'est donc là le principal intérêt de cet arrêt, dont la forme montre qu'il n'a toutefois pas pour ambition de faire jurisprudence.

Il faudra désormais que la Cour européenne des droits de l'homme se penche sur le dossier, comme l'a souhaité son avocat Olivier Iteanu dans Le Parisien. A condition qu'elle l'accepte. Seules 5 % des plaintes reçues par la CEDH sont examinées par la Cour, qui n'accepte d'entendre que les cas démontrant une certaine probabilité de violation des droits garantis par la Convention européenne.