Il est à préciser que si la presse a des obligations spécifiques, tout un chacun publiant sur internet, y compris à titre purement personnel et sans aucune visée commerciale, se doit de respecter un certain formalisme ¹. En outre, les entreprises doivent également respecter le formalisme obligatoire propre à leur activité².

L’obligation de faire figurer certaines informations sur les publications de presse n’est pas récente, et la LCEN s’intègre dans le corpus de règles déjà existant, notamment le droit commercial et le droit de la presse. Le défaut de mentions légales est puni par la LCEN d’un an d’emprisonnement et de 75.000 euros d’amende, bien qu’à ma connaissance aucune condamnation ne soit jamais intervenue de ce chef³.

Toutefois, la question posée dans l’affaire VSD n’était pas celle du défaut de mention, mais la conséquence d’une mention inexacte. Selon les éléments disponibles sur internet, le tribunal correctionnel aurait retenu que les conditions générales d’utilisation de VSD affichaient bien le nom du directeur général d’OVH à la date du 18 janvier 2011 (une capture d’écran de l’époque permet de confirmer cette position (lien vers capture)(archive.org) et aurait condamné derechef celui-ci à une amende de mille euros au titre de l’infraction de presse que constitue la diffamation. Il est déjà arrivé par le passé qu’une juridiction civile condamne en lieu et place de l’entreprise de presse la personne présentée par erreur comme le directeur de la publication dans les mentions légales ⁴.

Cependant cette solution peut à la rigueur se comprendre sur le terrain civil mais est totalement contraire aux principes du droit pénal. L’article 6 de la loi de 1886 impose à toute publication de presse de comporter l’indication du nom du directeur de la publication. L’article 93-2 de la loi du 29 juillet 1982 pose que « tout service de communication au public par voie électronique…est tenu d’avoir un directeur de la publication« , obligation réitérée par l’article 6-III.1 de la LCEN. La loi sur la presse prévoit une responsabilité pénale en cascade, dont le premier élément est le directeur de la publication. Celui-ci ne peut absolument pas déléguer cette responsabilité à une personne non envisagée par la loi ⁵. La loi pénale est d’interprétation stricte, si elle vise exclusivement le directeur de publication, il est impossible de condamner une autre personne, a fortiori lorsque le caractère inexact des mentions est démontré. Il est donc probable que la production en appel des documents démontrant l’inexactitude des mentions légales en janvier 2011 conduise à la censure du jugement. En revanche, l’organe de presse concerné risque d’être poursuivi pénalement puisque l’article 6 VI.2 de la LCEN puni d’un an de prison et de 75000 euros d’amende le fait de ne pas avoir des mentions légales conformes aux exigences légales ⁶.

La sévérité de cette sanction s’explique par la raison d’être des mentions légales. Il s’agit de permettre à toute personne qui s’estime victime d’écrits publiés sur internet de s’adresser soit à l’hébergeur en cas de contenu manifestement illicite, soit à l’auteur. Lorsque la réclamation est adressée à l’auteur, outre les corrections ou suppressions que la personne peut demander, elle dispose d’un droit de réponse ⁷ qui doit être publié dans les 3 jours sous peine d’une amende de 3750 euros. Ce droit de réponse doit être en relation avec l’article incriminé ⁸. L’exigence des mentions légales a également pour but de rendre possible les actions en justice tant civile que pénale.

Et vous, avez-vous des mentions légales et sont-elles conformes aux exigences légales?

Poursuivi et condamné en appel sur le fondement de l’article 323-3-1 du Code pénal, l’expert invoquait comme excuse le motif légitime de l’information du public. Cet argument avait été rejeté par la Cour d’appel qui avait observé qu’il aurait pu préalablement prévenir l’éditeur de logiciel plutôt que de vouloir ainsi accroître la fréquentation de son site, dont il tirait de substantiels bénéfices publicitaires.

Devant la Cour de cassation, il était soutenu que l’élément intentionnel de l’infraction n’était pas constitué car il n’aurait pas diffusé ces informations dans le but précis de permettre des actions de piratage informatique.

La Cour de cassation reprend la motivation de la Cour d’appel, en retenant que l’expérience professionnelle du prévenu le mettait en mesure de comprendre qu’il exposait les autres utilisateurs à un risque de piratage « par un public particulier en recherche de ce type de déviance », que dès lors l’élément intentionnel de l’infraction était constitué.

Cette solution réalise un juste équilibre entre les experts informatiques qui appuient leur renommée sur la publication de telles informations et la sécurité informatique que l’utilisateur lambda est en droit d’attendre. Il aurait en effet suffit que l’éditeur soit au préalable prévenu à temps pour élaborer les « patchs » avant la publication de l’exploit pour que l’expert ne soit pas condamné.

Edit:

Pour un descriptif complet (et technique) de l’historique de l’article L.323-3-1 du Code pénal ainsi que de la publication de failles informatiques, v. ici. L’auteur remarque que la criminalisation de la publication de failles est une prime à l’incompétence de l’éditeur, dont rien n’assure que, contacté, il aurait pris la peine de mettre en place un correctif.

Certes, mais il me semble qu’outre l’éditeur, il existe aussi des agences publiques de sécurité informatique d’une part (d’ailleurs, la lecture de l’arrêt d’appel laisse comprendre que le CERTA avait lancé une alerte sur la même faille une semaine avant la sortie du correctif, mais lui n’aurait pas été pénalement poursuivi (alors que les personnes morales y compris de droit public peuvent voir leur responsabilité pénale engagée pour ces infractions, v. article 323-6 du Code pénal), d’autre part, si l’expert avait d’abord prévenu l’éditeur, ensuite publié entre « collègues » experts pour trouver une solution, et enfin seulement mis en ligne l’exploit, l’excuse de motif légitime aurait pu être retenue. J’ajoute qu’en l’absence d’action pénale, il n’est pas exclu qu’une action civile soit engagée par un utilisateur victime de piratage du fait de la faille publiée, et là, les dommages-intérêts risquent de ne pas se limiter à mille euros si l’expert est solidairement condamné avec l’éditeur de logiciel.

Une question reste ouverte: est-ce que l’expert condamné saisira la Cour européenne des Droits de l’Homme, tant sur le principe de la liberté d’expression (encore qu’elle connaisse des limites, notamment l’interdiction de ne pas nuire à autrui) que sur le droit au procès équitable (le flou de l’incrimination pénale et de la notion de motif légitime ne mettant pas le citoyen en mesure de savoir qu’il commet une infraction).

MAJ du 24 décembre 2009 : le lecteur se reportera utilement à l’article de E. FREYSSINET, qui explique la différence entre la publication de faille (dire qu’un logiciel présente une faille) et la publication d’exploit (donner les recettes pour exploiter cette faille).