REVUE

droit
réGImE JurIDIQuE Du rAnSomWArE ou PrISE D'oTAGE numérIQuE
rGPD, cette notification doit intervenir
dans les 72 heures à compter de sa
connaissance auprès de l’autorité de
contrôle et lorsque la violation est
susceptible d’engendrer un risque élevé
pour les droits et libertés de la personne,
la notification à la personne concernée
doit s’opérer dans les meilleurs délais (art.
34 du rGDP). D’un autre côté, il ne faut
pas oublier qu’il existe aussi l’impossibilité
d’accéder aux autres données, qui
portent sur les produits, les services ou
les marchés, de nature technique,
économique et ne concernent pas les
traitements de données à caractère
personnel. Cela fait référence, par
exemple, à celles qui auraient été
marquées comme relevant du secret des
(5) Directive (uE) 2016/943
du Parlement Européen et
du Conseil du 8 juin 2016
sur la protection des savoirfaire
et des informations
commerciales non divulgués
(secrets d'affaires) contre
l'obtention, l'utilisation et la
divulgation illicites ; Sabine
marcellin et Thibaut manoir
de Juay, Le secret des
affaires, Lexisnexis, 2016.
(6) Jean-Laurent Santoni,
Cybercriminalité, Le
ransomware est-il
assurable ?, Expertises, Juin
2016, v. p. 219.
affaires 5 et ne sont
pas protégées par
les droits de
propriété
intellectuelle.
Le ransomware est-il
assurable ?
Le fait que le
ransomware soit
assurable suscite
une objection majeure : cela « pourrait
favoriser la collusion frauduleuse entre
l’assuré et l’auteur de l’extorsion 6 ». Si
l’on raisonne par analogie, on peut
également s’interroger sur la licéité de
l’assurance portant sur les rançons
versées à l’occasion d’enlèvement de
personnes physiques. mais pourquoi
interdire en droit français des assurances
ce qui serait autorisé aux
concurrents étrangers ? Cela risquerait de
créer une forte distorsion de concurrence
au préjudice des assureurs français.
ii/. Quelles qualifications juridiques ?
Les infractions juridiques
Face à ces nouvelles formes de menaces
numériques, le Code pénal dispose d’un
arsenal de dispositions aptes à apporter
des réponses à ces pratiques délictuelles.
À ce titre, on observera tout d’abord que
les textes légaux classiques depuis la loi
Godfrain de 1988 (modifiés à plusieurs
reprises) permettent de réprimer les
atteintes aux systèmes d’information avec
les articles 323-1 et 323-3 du Code
pénal : introduction, maintien frauduleux
dans un système d’information, altération
du fonctionnement du SI, introduction
frauduleuse des données dans un STAD
(extraction, détention, reproduction,
transmission, suppression modification).
Les sanctions varient entre 2 et 5 ans
d’emprisonnement et de 60 à 150.000
euros d’amende, sauf dans l’hypothèse
où l’on est en présence d’un système de
traitement de données à caractère
personnel mis en œuvre par l’état, pour
lequel le Code pénal prévoit des
sanctions plus lourdes (articles 323-1,
al.3 7 , 323-2, al. 2 8 et 323-3, al.2 du Code
pénal).
Dans le cadre du ramsonware, on aura
plutôt recours à une qualification se
fondant sur l’article 323-3 du Code pénal:
182 Revue de la Gendarmerie Nationale 4 e trimestre 2016