Amendement n° COM-58 rect. Sénat
LOI n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique (1)
Dispositif
Après l'article 6
Insérer un article additionnel ainsi rédigé :
Après l’article 323-3-2 du chapitre III du livre II du titre III du code pénal, il est inséré un article 323-3-3 ainsi rédigé :
« Art. 323-3-3. Le fait de consulter, sans motif légitime, un service de communication au public en ligne mettant à disposition des données, tout en ayant connaissance du fait qu'elles ont été obtenues suite à la fraude d'un système de traitement automatisé de données, est puni de 30 000 € d'amende. »
Ce que ça change · analyse IA
Crée une infraction pour la consultation de données piratées, entre lutte contre l'exploitation du vol et risque de criminalisation de la simple consultation.
Intention : Sanctionner la demande et la consommation de données volées pour tarir le marché noir des données de santé, au risque de créer une infraction de 'consommation' difficile à réguler.
L'amendement visait à étendre la responsabilité pénale au-delà du piratage initial pour atteindre les utilisateurs de données volées. En proposant de sanctionner la simple consultation de données obtenues frauduleusement, l'auteur cherchait à briser la chaîne de valeur du cybercrime en rendant la donnée volée 'invendable' et 'inutilisable'. Le rejet de cet amendement indique que le législateur a refusé de créer une nouvelle catégorie d'infraction pour la consommation de données, préférant maintenir le curseur de la répression sur l'acte de piratage (le vol) plutôt que sur l'acte de consultation (l'usage passif ou la curiosité malveillante).
Objet
Corbeil-Essonnes, Villefranche-sur-Saône, Dax, Charleville-Mézières, Arles : voici une liste non-exhaustive de communes dont les hôpitaux ont été la cible de cyber-attaques ces dernières années. Leurs conséquences sont évidemment dramatiques. D’une part, elles déstabilisent profondément et parfois durablement le fonctionnement des établissements qui en sont victimes, entraînant des ralentissements dans la prise en charge des patients. D’autre part, elles constituent une grave violation du droit à la vie privée et les données volées peuvent être vendues à des tiers, ou encore être utilisées à des fins d’usurpation d’identité.
Certes, notre droit comprend déjà un arsenal de dispositions permettant de réprimander un certain nombre d’agissements liés à la fraude des systèmes de traitement automatisé de données (STAD). Les articles 323-1 à 323-8 du code pénal définissent en effet une série d’infractions d’atteinte à un STAD, et en prévoient les sanctions applicables.
Seulement, compte tenu du piratage de données confidentielles de milliers de patients, et face à l’impossibilité de conserver la maîtrise sur celles-ci une fois diffusées sur internet, il apparait également nécessaire de pouvoir poursuivre le fait de consulter, sciemment et en l’absence de motif légitime, des données obtenues suite à un piratage. En effet, il est constaté que ces données frauduleusement obtenues sont consultées massivement et que cette simple consultation n’est à ce jour pas qualifiable pénalement, alors même qu’elle participe à l’escalade du phénomène dénoncé.
Cet amendement a ainsi pour objet de créer une nouvelle infraction visant la consultation, sans motif légitime, d’un service de communication au public en ligne mettant à disposition des données, tout en ayant connaissance du fait qu'elles ont été obtenues suite à la fraude d’un STAD.
Le débat en séance publique (compte rendu)
Amendement examiné en commission : les comptes rendus des réunions de commission du Sénat ne sont pas importés, seuls ceux de la séance publique le sont. Le détail vit sur la fiche officielle senat.fr.