La loi néerlandaise sur la cybercriminalité (Wet Computercriminaliteit III) confère aux autorités d'enquête néerlandaises des pouvoirs étendus d'accès aux téléphones, ordinateurs et autres appareils dans le cadre d'enquêtes criminelles, y compris un pouvoir de « piratage informatique » clandestin pour les infractions graves. Adoptée par le Sénat néerlandais le 26 juin 2018, ses dispositions sont entrées en vigueur progressivement entre 2018 et 2019 ; les pouvoirs décrits ci-dessous font donc désormais partie intégrante des pratiques d'enquête criminelle courantes aux Pays-Bas.

Pour les entreprises et les particuliers, l'importance pratique réside moins dans les nouvelles infractions créées par la loi que dans les pouvoirs d'enquête qu'elle confère : les données d'un système d'entreprise peuvent être consultées dans le cadre d'une enquête visant une autre personne au sein de l'organisation, et un appareil peut être compromis sans que l'utilisateur ne s'en aperçoive.

Pourquoi cela rappelle-t-il l'affaire Snowden à certaines personnes ?

Les vastes pouvoirs d'investigation numérique ne sont pas l'apanage des Pays-Bas. L'exemple le plus connu est celui des États-Unis, où le lanceur d'alerte Edward Snowden a révélé le programme d'interception à grande échelle PRISM de la NSA, qui a fonctionné pendant des années sans autorisation judiciaire préalable et au cas par cas. Cette affaire est largement connue grâce au livre d'Anatoly Kucherena et au film qui en a été tiré. La comparaison n'est toutefois pas parfaite : le législateur néerlandais a intégré des garanties supplémentaires, détaillées ci-dessous, précisément pour éviter un usage aussi incontrôlé de ces pouvoirs. La question de savoir si ces garanties sont suffisantes reste au cœur du débat autour de la loi.

Quels pouvoirs la loi confère-t-elle aux enquêteurs ?

L’exposé des motifs du projet de loi énumérait cinq objectifs pour lesquels les nouveaux pouvoirs pouvaient être utilisés :

Identification de l'appareil ou de son utilisateurLes agents peuvent accéder secrètement à un ordinateur, un routeur ou un téléphone pour obtenir des informations telles qu'une adresse IP ou un numéro IMEI.
Enregistrement des données stockéesLes agents peuvent enregistrer les données nécessaires pour établir la vérité dans une affaire criminelle grave, par exemple les identifiants de connexion à des communautés en ligne fermées ou les images stockées pertinentes pour l'enquête.
Rendre les données inaccessiblesLes données utilisées pour commettre un crime peuvent être rendues inaccessibles afin d'y mettre fin ou d'empêcher d'autres crimes, par exemple pour désactiver un réseau de zombies activement utilisé pour attaquer d'autres systèmes.
Interception de communications confidentiellesLes communications peuvent être interceptées et enregistrées, avec ou sans la coopération du fournisseur de services qui les achemine.
Observation systématiqueLes agents peuvent suivre la localisation et les déplacements d'un suspect au fil du temps, notamment en installant à distance un logiciel sur l'appareil lui-même.

Prises ensemble, ces capacités permettent aux agents de faire plus que fouiller un appareil une seule fois : elles permettent une surveillance continue et largement invisible de la vie numérique d’un suspect pendant toute la durée de l’autorisation.

Quelles infractions peuvent déclencher ces pouvoirs ?

Ces pouvoirs ne se limitent pas à la cybercriminalité, et c'est là l'un des aspects les plus mal compris de la Loi. Le pouvoir d'identifier un appareil ou un utilisateur, ainsi que les pouvoirs d'intercepter les communications et de procéder à une surveillance systématique, peuvent être utilisés pour toute infraction pour laquelle la détention provisoire est autorisée, c'est-à-dire généralement une infraction passible d'une peine minimale de quatre ans. L'enregistrement des données stockées et leur inaccessibilité entraînent une peine minimale plus lourde de huit ans, sauf si une infraction spécifique est désignée par décret en conseil parce que son éradication revêt un intérêt public manifeste, comme certaines formes de fraude à grande échelle ou la diffusion de matériel pédopornographique. L'accès à un appareil ne peut se faire clandestinement que lorsque le suspect l'utilise.

Quelles sont les garanties applicables avant que ces pouvoirs puissent être utilisés ?

Seul un procureur peut solliciter l'utilisation de ces pouvoirs, et toute demande doit être préalablement autorisée par un juge d'instruction (rechter-commissaris). Concernant le pouvoir de piratage informatique en particulier, la Commission centrale d'instruction (Centrale Toetsingscommissie) du ministère public évalue également l'usage prévu au préalable. Au-delà des seuils de peine mentionnés ci-dessus, toute application de ces pouvoirs doit respecter les principes généraux de proportionnalité et de subsidiarité qui régissent la procédure pénale néerlandaise : l'intrusion doit être justifiée par la gravité des faits, et il ne doit pas exister de moyen moins intrusif d'obtenir le même résultat d'enquête.

Qu'est-ce qui a changé d'autre avec cette loi ?

Deux autres changements, moins médiatisés que la puissance de piratage elle-même, ont des répercussions concrètes sur un plus grand nombre de personnes. Premièrement, les enquêteurs peuvent désormais utiliser un faux profil se faisant passer pour un mineur afin de traquer les prédateurs sexuels qui recherchent des contacts sexuels avec des enfants en ligne. Deuxièmement, il est devenu plus facile de poursuivre les personnes qui reçoivent sciemment des données volées, ainsi que les vendeurs en ligne qui encaissent le paiement de biens ou de services sans jamais les livrer.

Quelles sont les principales objections à cette loi ?

La portée de la loi est vaste, et le seuil de quatre ans d'emprisonnement ne garantit pas à lui seul qu'elle ne concerne que les infractions les plus graves : plusieurs infractions pénales que la plupart des gens ne considéreraient pas comme particulièrement graves sont déjà passibles de cette peine, voire de peines plus lourdes. Un suspect qui s'avère finalement innocent aura tout de même vu ses données personnelles examinées de près, ainsi que souvent celles de sa famille, de ses amis, de ses employeurs et d'autres personnes avec lesquelles il était en contact, puisqu'un téléphone ou un ordinateur sert par nature à joindre de nombreuses personnes. Des critiques se demandent également si toutes les personnes chargées d'approuver et de superviser les demandes possèdent les connaissances techniques spécialisées nécessaires pour évaluer correctement une demande de piratage, compte tenu de la rapidité d'évolution des technologies sous-jacentes. Parallèlement, ces pouvoirs répondent à un problème réel et bien connu : la fraude et les escroqueries en ligne sont courantes, et aucun parent ne souhaite que son enfant entre en contact avec une personne mal intentionnée sur Internet. La question de savoir si la loi établit un juste équilibre entre pouvoir d'enquête et respect de la vie privée fait toujours l'objet d'un débat entre juristes, politiciens et organisations de la société civile.

Qu'est-ce que cela signifie pour votre entreprise?

Si votre organisation stocke des communications, des journaux ou d'autres données sur ses propres systèmes, ces données sont en principe accessibles en vertu de ces pouvoirs, même si l'enquête vise un employé, un client ou un tiers plutôt que l'entreprise elle-même. Cela diffère d'une demande d'information classique, qui peut généralement être examinée et, le cas échéant, contestée avant toute communication : les pouvoirs conférés par cette loi sont conçus pour être utilisés discrètement, de sorte que les premiers signes d'une enquête peuvent n'apparaître qu'une fois celle-ci terminée, voire jamais.

Il est donc important de savoir, avant qu'une demande ou un ordre ne parvienne à votre organisation, qui au sein de l'entreprise est habilité à le recevoir, quels documents sont conservés concernant toute assistance apportée aux enquêteurs, et comment vérifier ultérieurement que les exigences légales susmentionnées ont bien été respectées. Les employeurs doivent également savoir qu'un piratage informatique du dispositif d'un employé peut, en pratique, exposer les communications et les données de collègues ayant échangé des messages avec cette personne et n'ayant aucun lien avec l'enquête.

En résumé

La loi néerlandaise sur la cybercriminalité III confère aux enquêteurs néerlandais des pouvoirs de piratage clandestin, d'enregistrement de données, de blocage de données, d'interception et d'observation systématique.
Le Sénat a adopté la loi en juin 2018 et elle est entrée en vigueur par étapes au cours des années 2018 et 2019 – il s’agit d’une loi en vigueur, et non d’une proposition en suspens.
La plupart des pouvoirs requièrent une peine minimale légale de quatre ou huit ans, ainsi qu'une autorisation préalable d'un juge d'instruction.
Des données appartenant à une entreprise ou à un tiers non impliqué peuvent être consultées dans le cadre d'une enquête visant une autre personne.
La principale critique porte sur l'étendue des pouvoirs conférés et le risque que les données de personnes innocentes soient examinées au passage.

Foire aux questions

La police peut-elle pirater n'importe quel appareil ? Non. L'appareil doit appartenir à un suspect ou être utilisé par celui-ci dans le cadre d'une enquête pour une infraction passible de la peine requise, et la demande doit être préalablement autorisée par le procureur et le juge d'instruction.

Mon entreprise peut-elle être affectée même si elle ne fait pas l'objet d'une enquête ? Oui. Si des données pertinentes pour une enquête visant une autre personne, comme un employé ou un client, sont stockées dans vos systèmes, ces données sont potentiellement accessibles.

Est-ce la même chose que le programme PRISM de la NSA ? Non. La loi néerlandaise exige une autorisation judiciaire préalable au cas par cas et des seuils de peine qui n’étaient pas en vigueur dans le cadre du programme PRISM tel qu’il a été appliqué pendant des années aux États-Unis. Les critiques estiment toutefois que les garanties néerlandaises devraient être encore plus strictes.

Vous ne savez pas où vous en êtes ? Décrivez-nous votre situation. Nous vous ferons part de vos options sous 24 heures ouvrables.

Comment Law & More Nous pouvons vous aider. Tout est expliqué sur notre site web. avocat criminaliste .