lambda 8.02
25 Mars 2002
UPDATE 31 Mars
UPDATE 3 Avril

sommaire

Délit d'informatique vs délit d'information
+ Affaire Kitetoa / Tati
+ Avis aux hackers autistes - Extraits du jugement
+ La jurisprudence est en défaveur de Tati
+ Affaire Parodie.com / Banque CIO

 

Court-circuits

DEFICHEZ-VOUS!

Nous connaissons tous l'existence des fameux fichiers RG (Renseignements Généraux). Mais connaissez-vous le STIC, et quid du SIS, d'Eurodac ou d'Europol?
Dans la foulée du Forum de l'insoumission et de la Désobéissance Sociale, et à l'occasion de la 6e Journée Internationale Contre la Brutalité Policière (15 mars), Renseignementsgeneraux.net

vise à inciter tout un chacun à faire valoir ses droits d'accès, de rectification, d'opposition, d'oubli (tous prévus par la Loi Informatique et Libertés de 1978) à ses fichiers SIS, STIC & RG.

Modèle de courrier à adresser par vous-même à la CNIL:
http://renseignementsgeneraux.net/modemploi.php3

 

Un délit d'information,
et pas un crime informatique!


>>Lien direct vers le dossier de Kitetoa>>

UPDATE - VERDICT COUR D'APPEL DE PARIS (30/10/2002)

Kitetoa relaxé!!

+ Lambda 8.07 (10 octobre 2002): extraits minutes de l'arrêt de relaxe du 30 octobre (Cour d'appel de Paris, 12e Ch.) et compte rendu d'audience (25/09/02)
+ Réquisitions du parquet général aux fins de relaxe
, audience du 25/09/02)

 

 

Kitetoa.com, vous connaissez? Leur dada: repérer les trous de sécu qui menacent des données pesonnelles et tenter de fermer la porte... D'abord en avertissant le prestataire, ensuite en publiant. Antoine Champagne, qui possède le nom de domaine et par delà "responsable" de ce qui s'écrit sur Kitetoa.com, s'est fait condamné le 13 février 2002 pour "accès et maintien frauduleux dans un STAD" (=système de traitement automatisé de données).

Toute l'histoire est résumée ici, "vue" de l'intérieur (il y a même une retranscription du rapport de la PJ!! - extraits reproduits plus bas):
http://www.kitetoa.com/Pages/Textes/Les_Dossiers/Tati_versus_Kitetoa/index.shtml

UPDATE

+ Extraits des minutes du jugement et commentaires du lambda

+ 3/04/2002 le parquet fait appel (article de zdnet)

 

Cékoi l'histoire?

- Condamné mercredi 13 février à payer 1000 Euros d'amende avec un sursis (de cinq ans) par la 17e chambre du tribunal correctionnel de Paris. Cette affaire oppose Kitetoa à la chaîne de magasins Tati, épinglée en mai 2000 pour avoir laissé en libre accès, à partir de son site Tati.fr, une base de données nominative de plus de 4000 internautes.

- Verdict étrangement partagé: condamné pour "accès et maintien frauduleux" sur un système informatique (article 323-1 du code pénal), Kitetoa obtient pourtant le bénéfice du doute (le code pénal précise que s'il y a "accès frauduleux", le tarif est d'un an de prison et 15000 Euros d'amende). Car Tati a été débouté de toutes ses demandes qui comprenaient la publication du jugement dans la presse et 1 euro symbolique de dommages et intérêts.

Résumé des épisodes précédents

 

Champagne publie le compte-rendu d'enquête intégral (daté du 9 avril 2002), reproduit ici + commentaires plus bas:

Le capitaine de police Nathalie F. en fonction à la BEFTI

à Madame Cachaner, substitut auprès de la section F1 du Tribunal de Grande Instance de Paris, S/C. de la voie hiérarchique.

OBJET: Transmission d'une procédure comprenant cinquante neuf feuillets et quatre cotes, diligentées pour accès et maintien frauduleux à un S.T.A.D., vol de base de données, recel de vol de base de données. (...)

L'ENQUETE:

L'analyse des cotes permettait d'une part de déterminer que le journaliste, Stéphane Barge, n'était pas l'auteur de l'accès frauduleux au STAD, ce dernier désignant clairement le site KITETOA. Par ailleurs, la date du piratage pouvait être précisé dans la mesure où le site KITETOA, dans un de ses articles, se vantait d'avoir prévenu les administrateurs du site TATI de leur carence en matière de sécurité fin juin 1999. Enfin, il apparaissait que le fichier récupéré (Exprimez-vous.mdb) n'avait pu l'être que le 17 juin 1999.

Entendu au service, M. BARGE, Stéphane, journaliste de NEWBIZ, mettait en cause la sécurisation du STAD de TATI, trouvant légitime pour l'information, de s'introduire sur un STAD, d'y consulter une base de données et de la récupérer. Il refusait, pour le dernier point de considérer cela comme du vol, trouvant que KITETOA faisait de la prévention. (...) Ayant récupéré pour son article partie de la base de données volée, on peut retenir à son encontre ainsi qu'à celle de son journal, le recel de vol de base de données.

Entendu à son tour, par le service, Antoine CHAMPAGNE, animateur du site KITETOA, expliquait que son site avait vocation d'information. Concernant le STAD de TATI, il expliquait que grâce à des fonctions présentes sur les navigateurs NETSCAPE, il avait pu afficher le contenu du serveur TATI, puis à travers des liens HTML, consulter le fichier en &laqno; .mdb » de clients internautes de TATI et le récupérer. Il expliquait en fait s'être rendu à plusieurs reprises sur le STAD de TATI, une première fois en 1999, une autre en 2000 pour vérifier si la faille de sécurité existait toujours et une dernière fois récemment. Il concluait qu'il existait toujours des failles de sécurité, mais que celle qui lui avait permis de récupérer le fichier en cause avait été comblée. Il expliquait avoir récupéré ledit fichier pour apporter la preuve de sa démonstration, et n'en avoir fait aucun autre usage. On pouvait retenir à son encontre l'accès et le maintien frauduleux à un STAD ainsi que le vol de base de données.

Entendu à son tour au service, M. Jean WEISS, directeur de la publication de NEWBIZ, responsable pénal, déclarait n'avoir rien su de cet article jusqu'à parution. Il insistait sur le fait que ce n'était pas son journaliste qui avait commis l'accès, le maintien frauduleux et le vol de base de données et terminait son audition en avançant que le journaliste a le droit d'investiguer et que dans le cas présent, M. BARGE avait fait son travail d'investigation.

EN CONCLUSION, il apparaît qu'Antoine CHAMPAGNE est l'auteur de plusieurs accès et maintiens frauduleux sur le STAD de TATI SA ainsi que du vol d'une base de données. M. Stéphane Barge, journaliste, et M. Jean WEISS, directeur de la publication, ont, d'après leurs dire, fait leur travail d'information, cette dernière semblant avoir tous les droits d'après leurs auditions. Il n'en ressort pas moins qu'ils sont susceptibles d'être poursuivis pour recel de vol d'une base de données.

Réponse d'Antoine Champagne:

Le capitaine de police F. est assermentée. Impossible donc de s'attaquer au contenu de son rapport. C'est une des merveilles du système. La parole d'une personne assermentée vaut plus que celle d'un simple citoyen. Cela ne nous empêche pas de relever ici un ou deux points...

(1) Bref, le journaliste, pour sa propre démonstration, est obligé d'avoir lui aussi opéré de la même manière: afficher la base de données (et donc la télécharger, dans le cache ou directement) en cliquant sur le lien offert dans l'arborescence. Il ne devait donc pas être poursuivi pour "recel" mais également de "vol" et donc d'accès frauduleux...

Tati s'est trompé de cible, et son patron risque encore 5 ans de taule

Inquiétant de condamner l'acte tout en le minimisant: voilà un juge qui condamne l'acte (montrer le contenu d'une porte mal verrouillée), sans quoi il aurait été impossible d'affirmer que les accès étaient mal protégés.

La démarche de Kitetoa n'est pas du tout étrangère à celle d'une personne, journaliste d'investigation ou auteur, qui doit avancer les preuves de ce qu'il avance. Les juges ont déjà inventé le délit de "recel de documents confidentiels», lorsque le Canard Enchaîné avait été condamné pour avoir publié les preuves de ses affirmations sur le salaire de Jacques Calvet, à l'époque patron de PSA (jugement cassé par la suite par la Cour européenne des droits de l'homme - retrouvez le jugement du 21/01/1999).

Pourtant, la loi de 1978 sur l'informatique, les fichiers et les libertés (article 29 - repris dans l'article 226-17 du code pénal) impose aux détenteurs de telles données de les protéger. À quel point? C'est très clair: "Le fait de procéder ou de faire procéder à un traitement automatisé d'informations nominatives, sans prendre toutes les précautions utiles pour préserver la sécurité de ces informations et, notamment, empêcher qu'elles ne soient déformées, endommagées ou communiquées à des tiers non autorisés, est puni de cinq ans d'emprisonnement et de 2 millions de francs d'amende."

Le P-DG de Tati, Fabien Ouaki, comme son avocate, n'ont pas voulu se prononcer sur ce point. Il faudrait, certes, qu'une personne présente dans la base de données se retourne contre Tati pour que ce volet de l'affaire soit éclairci. En attendant, Tati pourrait bien sûr se retourner contre son hébergeur, à l'époque une filiale du groupe Ogilvy, pour avoir failli à sa mission. Et ben non, Ogilvy Interactive est même encore son prestataire. La niou économy est un monde si étrange...

 

Le dossier complet de Kitetoa.com - partial, évidemment, mais c'est pour cela que le lambda insiste lourdement:
http://www.kitetoa.com/Pages/Textes/Les_Dossiers/Tati_versus_Kitetoa/index.shtml

 

Avis aux hackers autistes

Lambda 8.02 bis - 31/03/2002. -- COMMUNIQUE ORALEMENT aux parties le 13 février, le jugement de l'affaire Kitetoa / Tati a été publié sous forme écrite la dernière semaine du mois de mars. Etonnant: la personne condamnée n'a pas été informée en premier lieu, puisque c'est le Forum des droits sur l'internet (FDI, un conseil d'arbitrage ) qui est parvenu à obtenir copie des minutes avant qu'Antoine Champagne ne les reçoive.

D'abord, une précision: la condamnation ne se base pas uniquement sur la loi Godfrain de 1988 qui encadre les "accès et maintien frauduleux" dans un système automatisé de données ou STAD (articles 323-1 à 323-5 du Code Pénal - nouveau code de 1992).

Le webmaster de KITETOA est tombé AUSSI pour avoir accédé à une base de données personnelles EN LE SACHANT PERTINEMMENT puisque c'est prévu dans la loi informatique et libertés (LIL) de 1978... Et que KITETOA a la fâcheuse habitude de rappeler aux sociétés/prestataires pris la main dans le sac d'un défaut de sécurité de ne pas respecter la LIL et son article 29: "La Loi de 78 punit ceux qui ne prennent pas toutes les mesures pour protéger les bases de données qu'ils constituent...", rappelle Kitetoa à qui veut le lire.

BREF,

AVIS aux hackers autistes ou autres surfeurs inconscients: la prochaine fois, outre le bâillon sur la bouche, un bon petit lavage de cerveau et de belles ornières en cuir devraient faire l'affaire pour que le prévenu bénéficie de circonstances atténuantes... Et soit relaxé, comme l'avait demandé le substitut du procureur Michel FREZOULS.

 

EXTRAITS DES MINUTES

Greffe du TGI Paris, 13ème Chambre, audiences des 23 janvier et 13 février 2002 . Verdict de 5 pages signé du vice-président Noël MINICONI:

1) Description des méthodes employées par le "pirate" A. C.:

2) Le juge rappelle ensuite que le prévenu n'a pas employé d'autres méthodes pour accéder à la base de données - base "volée" selon le rapport de police de la BEFTI... (Le lambda a rajouté des alinéas pour plus de lisibilité):

3) S'en suit alors un court mais très sérieux réquisitoire contre... Tati SA! Concernant la responsabilité pénale de Tati quant à la non-protection des données personnelles de la base de donnée "volée".

4) Le juge poursuit en invoquant la loi de 1978 pour enfoncer le prévenu, "qui fait d'ailleurs état dans ses déclarations de la loi qui fait obligation aux sociétés de protéger les données nominatives collectées" (SIC!):

5) Enfin, statuant sur la demande de TATI de voir le jugement publié dans la presse et d'obtenir 1 euro de D&I, le juge en rajoute une louche sur la responsabilité de la société (extrait non publié sur le site du FDI):

6) Le verdict en 3 lignes:

RAPPELONS que pour que la société TATI puisse être jugée à son tour pour non-respect de l'article 226-17 du code pénal (5 ans de prison et 300.000 euros d'amende), il faudrait qu'une personne présente dans la base se retourne contre Tati...

AVIS aux amateurs: Maître Olivier ITEANU (avocat d'Antoine Champagne), 166, rue du Faubourg, Saint-Honoré 75008 PARIS. http://www.iteanu.com/

 

+ Jugement du 13/02/2002 (PDF): http://www.foruminternet.org/telechargement/documents/tgi-par20020213.pdf

 

Accès frauduleux dans un STAD: l'autre jurisprudence

Antoine Champagne n'a pas manqué de rappeler dans son propre dossier consacré à l'affaire de rappeler un jugement de février 2000 qui éclaire d'un jour nouveau sa mésaventure: affaire "Casper" contre Ministère public (2/02/2000, 25ème Chambre, TGI Paris).

Extraits d'une note juridique de Infojuris.com sur, "Répression de l'appropriation frauduleuse de l'information électronique commise par des personnes physiques".

"L'application de l'article 323-1 du code pénal ("accès et maintien frauduleux à un système de traitement automatisé de données") a fait l'objet d'une évolution depuis 1988. (...)

La compréhension progressive de la loi Godfrain-Badinter par le prétoire a fait évoluer la répression du délit de piratage d'une conception de responsabilité objective au départ à la recherche préalable de l'intention délictuelle ensuite, à la preuve émanant du plaignant de ce qu'il a entendu se prémunir des intrusions informatiques enfin. (...)

L'affaire Ministère public c/ Vandoorselaere constitue une excellente illustration de l'adaptation du prétoire aux réalités de la vulnérabilité des systèmes d'information et des réseaux : Yoann Vandoorselaere, en effet, reconnaissait avoir accédé et s'être maintenu à l'âge de quinze ans sur le réseau de l'agence de renseignement de l'US Air Force (www.aia.mil)

Le prévenu n'est jamais revenu sur ses aveux et la défense a obtenu sa relaxe en établissant que l'adolescent avait accédé à ce système d' information sans recourir au moindre logiciel ni utiliser le code d'accès d'un tiers.

Par décision en date du 2 février 2000 la 25è chambre du tribunal pour enfant, le tribunal de grande instance de Paris, prononce la relaxe du pirate en admettant que "les prévenus se sont bien connectés sur le réseau de l'US air force, mais que celui-ci, dépourvu de données confidentielles, était accessible sans recourir à un procédé frauduleux.

Il s'ensuit qu'il n'existe point de logiciels intrinsèquement dangereux et qu'il appartient au plaignant de rapporter la preuve de ce qu'il entendait protéger son réseau de l'accès des tiers. L'on retiendra ainsi que la fournisseur d'un contenu accessible sur le réseau internet doit rapporter la preuve qu'il a mis en oeuvre toutes mesures pour se prémunir d'accès frauduleux pour invoquer les disposition des articles 323 du code pénal français (idem code pénal Suisse)."

Autre commentaire de cette affaire sur Infojuris:

"... il ressortait de l'examen du disque dur du prévenu une quinzaine de logiciels renifleurs, dont la défense à démontré qu'ils étaient utilisés à des fins d'administration de réseaux.

Or, le tribunal n'est point entré en voie de condamnation et a donné acte à la défense de ce que rien n'interdisait au prévenu de posséder de tels logiciels, pourvu qu'il justifie d'une activité professionnelle ou de la poursuite d'études qui justifie de leur possession.

La notion de logiciel caractérisé de piratage doit être écartée car il n'en est point : tout comme aucune arme à feu n'est susceptible de caractériser l'homicide volontaire, aucun logiciel ne répute le caractère frauduleux d'un accès.

(...) L'assimilation de logiciels gratuits, libres de droit, à des logiciels de piratage revenait à pervertir l'intention libérale des auteurs de ce logiciel qui ont entendu mettre à la disposition du public le moins fortuné des outils destinés à assurer la confidentialité et l'intégrité des données partagées entre un réseau d'utilisateurs.

En réalité, les accès aux systèmes de traitement automatisés de donnés sont pratiqués sans recourir spécifiquement à des logiciels: ces accès exploitent - avec succès - des failles de sécurité."

 

NB: Infojuris est un site d'infos proche de David NATAF, du cabinet Jean-Pierre MILLET, qui défendait précisemment Yoann Vandoorselaere dans cette affaire.

Alors faisons là-aussi un peu de pub pour aider les victimes de la base de données de TATI SA: Cabinet Jean-Pierre Millet, 28, avenue Hoche 75008 Paris, avocats@club-internet.fr.

 

Délits d'information (bis)

Cartel, impairs et banques

Laurent Pelé est responsable du site Parodie.com, qui dénonce la loi du silence des banques sur la sécurité limitée des cartes bancaires.

Il a été condamné en janvier 2002 (référé, TGI Paris) pour avoir publié une lettre "confidentielle" du Crédit Industriel de l'Ouest. Selon la dépêche du 3/12/2001 de Parodie.com, voilà le contexte (yescard = carte à puce trompant la vigilance de vieux terminaux CB - ou de cartes privatives- chez les commerçants):

(...) Grâce à de telles provocations, le cartel des banques peut se targuer d'avoir mis un tel désastre ressemblant à un champ de ruine notamment dans le secteur de la monétique automatique. En plus, on voit apparaître des nouveaux distributeurs automatiques : de pizza, des épiceries automatiques, des chargeurs de batteries de téléphones mobiles... Il y a même une jeune société Selfoo (au nom prédestiné ?) qui se lance dans le marché des distributeurs de cartes téléphoniques et recharges de téléphones mobiles qui proclame que "bientôt 2500 distributeurs (acceptant la carte bancaire) seront présents dans toute la France"! Si en plus, apparaît de nouveaux débouchés à la Yescard, alors on ne s'étonnera plus de l'explosion de la fraude !

De leur côté, les banques continuent leurs mensonges et leur omertà Ainsi, cette note interne du Directeur Nouvelles Technologie et Banque à distance, membre du comité de la banque nantaise CIO, qui minimise les risques liés à la Yescard grâce à des contre-vérités flagrantes: Si les porteurs et les commerçants sont victimes des fraudes à la Yescard, l'amélioration de la sûreté promise depuis des lustres par le GIE, c'est vraiment pas probant. Et le caractère dissuasif de la répression pénale: on a des doutes. (...)

Extraits de la dépêche du 29/01/2002:

Monsieur Pelé Laurent, journaliste et directeur de la publication de ce site parodie.com, a été récemment condamné par le Tribunal de Grande Instance de Paris statuant en référé heure à heure pour avoir publié le 03/12/2001 une note interne d'un directeur du Crédit Industriel afin d'illustrer un article sur l'omertà bancaire.

Cette note interne confirmait l'existence de fraude à la Yescard, l'importante menace pour les banques et le double langage utilisé par les banques. Le décision a interdit la publication de cette note sous les 24 h de la signification sous astreinte de 3000 Euros (le jugement n'interdit pas la publication de l'article, le texte exact du jugement n'est pas encore connu), Monsieur Pelé a aussi été condamné à 550 Euros de frais d'avocat.

Monsieur Pelé a été assigné le 17/01/2002 à 17h20 pour une audience le 22/01/2002 à 15h (...).

L'assignation du Crédit Industriel de l'Ouest ne mentionnait nullement un texte de loi applicable en l'espèce mais se fondait uniquement sur un décret, l'article 809 du Nouveau Code de Procédure Civile, qui ne donne aucun pouvoir au juge de créer des restrictions à la liberté de communication d'information. En effet, la liberté de communication d'information ne peut être restreinte que par la loi (pas un décret) en vertu de l'article 11 de la déclaration de 1789 ayant valeur constitutionnelle (voir jurisprudence du conseil constitutionnel interdisant au législateur de déléguer son pouvoir en matière de restriction à la liberté de communication) et l'article 10 de la Convention Européenne des Droits de l'Homme dispose que la liberté de communication d'information ne peut être restreinte que par la loi

L'assignation disait que Monsieur Pelé avait diffusé sans droit ce document mais le Crédit Industriel de l'Ouest était incapable de dire quel texte lui aurait donné un quelconque droit sur ce document. Elle ne remettait nullement en cause la véracité des informations diffusées sur le site. De plus, sans le moindre élément de preuve, l'assignation prétendait que la note n'avait pu être obtenue que par des moyens frauduleux, alors que la note a été reçue d'un informateur sans la solliciter et que cette note, nullement protégée par un secret quelconque, était destinée à un très large public (tous les guichets de la banques et la plupart des services) et invitait à informer les clients - porteurs de cartes et commerçants - de son contenu.

Monsieur Pelé avait invoqué l'arrêt du 21/01/1999 de la Cour Européenne des Droits de l'Homme (Affaire Fressoz et Roire contre France) condamnant la France dans l'affaire de la feuille d'impôt de Monsieur Jacques Calvet qui avait été révélée par le Canard Enchaîné alors que dans cette dernière affaire, les publications de feuilles d'impôts étaient encadrées par une loi protégeant le secret fiscal. La cour Européenne avait, à l'unanimité, remarqué que la publication du document permettait de "confirmer l'information" et qu'aucun élément de l'enquête n'avait permis d'établir que les journalistes du journal avait connaissance de la violation d'une loi quelconque par leur informateur. La cour de cassation avait rappellé elle même le 3 avril 1995, que le "recel d'information" n'existe pas; seules les choses peuvent faire l'objet d'un recel. De toutes façons, personne n'a commis le moindre délit en l'espèce. (...)

 


©left bulletin lambda
Mars-Avril 2002
Contact I home I abonnement