AU NOM DU PEUPLE FRANCAIS
LA COUR DE CASSATION, CHAMBRE CRIMINELLE, en son audience publique tenue au Palais de Justice à PARIS, le quatorze mars deux mille six, a rendu l'arrêt suivant :
Sur le rapport de M. le conseiller référendaire VALAT, les observations de Me SPINOSI, avocat en la Cour, et les conclusions de M. l'avocat général CHARPENEL ;
Statuant sur le pourvoi formé par :
- X... Fabrice,
contre l'arrêt de la cour d'appel de PARIS, 11ème chambre, en date du 18 mai 2005, qui, pour collecte de données nominatives par un moyen frauduleux, déloyal ou illicite, l'a condamné à 3 000 euros d'amende ;
Vu le mémoire produit ;
Sur le moyen unique de cassation, pris de la violation des articles 226-18 du Code pénal, 25 et 41 de la loi du 6 janvier 1978, 7 de la directive communautaire du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données, 591 et 593 du Code de procédure pénale ;
"en ce que la cour d'appel a déclaré le prévenu coupable du délit de collecte de données nominative aux fins de constituer des fichiers ou des traitements informatiques par un moyen frauduleux, déloyal ou illicite ;
"aux motifs qu'il est reproché à Fabrice X... d'avoir, entre avril 2002 et le 20 octobre 2002, collecté des données nominatives concernant des personnes physiques par l'utilisation des logiciels "Robot Mail" et "Freeprospect", aux fins de constituer des fichiers ou des traitements informatiques, par un moyen frauduleux, déloyal ou illicite ; que le délit de l'article 226-18, alinéa 1er, du Code pénal suppose, pour être constitué, qu'il y ait collecte, selon un traitement automatisé, de données nominatives par un moyen frauduleux, déloyal ou illicite ; qu'il est constant que Fabrice X... a mis en oeuvre les logiciels "Robot Mail" et "Freeprospect" permettant d' "aspirer", sur internet, des adresses électroniques de personnes physiques en vue de la diffusion de messages publicitaires aux titulaires de ces adresses ; que sur les faits relatifs au logiciel "Robot Mail" : qu'il n'est pas contesté qu'à partir du 13 avril 2002, des spams, expédiés par une personne dont l'adresse électronique était "X... aol.com", ont été reçus par des internautes personnes physiques par suite de l'emploi, par la société ABS, du logiciel "Robot Mail" ; que, comme l'ont indiqué les premiers juges, les adresses électroniques collectées constituent des données nominatives au sens de l'article 4 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés dès lors qu'elles permettent l'identification des personnes physiques auxquelles elles s'appliquent, ce que ne conteste d'ailleurs pas le prévenu ; qu'il n'est pas discuté que le logiciel "Robot Mail" permettait de capturer et de traiter les données collectées qu'il conservait dans un fichier, ainsi que l'admet
Fabrice X... ; que ces opérations sont en conséquence constitutives d'une collecte de données au sens de l'article 226-18 du Code pénal ; que, si la collecte a été assurée par la capture d'informations diffusées sur des sites publics - sites Web, annuaires, forums de discussion - il n'en demeure pas moins qu'elle a été opérée par un moyen illicite, et en tout cas déloyal, en ce que : - les adresses collectées sur des sites ou annuaires professionnels ou sur des forums de discussion ont en l'espèce donné lieu à une utilisation sans rapport avec l'objet de leur mise en ligne ;
- le consentement des personnes titulaires de ces adresses n'a à aucun moment été recueilli alors que : - ces personnes disposaient, en vertu de l'article 26 de la loi du 6 janvier 1978 dans sa rédaction en vigueur à la date des faits, d'un droit d'opposition supposant qu'elles soient avisées, préalablement à leur inscription sur un fichier, de ce que des informations nominatives les concernant étaient susceptibles de faire l'objet d'un traitement ;
- l'article 7 de la directive communautaire n° 95/46/CE du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, alors en vigueur, dispose que les Etats membres prévoient que "le traitement de données à caractère personnel ne peut être effectué que si la personne concernée a indubitablement donné son consentement", le consentement étant défini par l'article 2 du texte comme "la manifestation de volonté, libre, spécifique et informée par laquelle la personne concernée accepte que les données à caractère personnel la concernant fassent l'objet d'un traitement" ;
- Fabrice X..., professionnel avisé de l'informatique, ne pouvait méconnaître l'ensemble des dispositions applicables en la matière ;
que Fabrice X... reconnaît implicitement que ce logiciel n'était pas conforme aux règles applicables puisqu'il en a interrompu la vente le 20 octobre 2002 ; que dans ces circonstances, l'infraction de collecte de données nominatives par un moyen illicite ou déloyal en ce qui concerne le logiciel "Robot Mail" est pleinement constituée à l'encontre du prévenu pour la période comprise entre avril 2002 et le 20 octobre 2002 ; que la Cour déclarera en conséquence Fabrice X... coupable de cette infraction et infirmera en ce sens le jugement déféré ;
sur les faits relatifs au logiciel "Freeprospectct" : que Fabrice X... conteste pas sérieusement que des spams ont été reçus par des intemautes personnes physiques à partir d'octobre 2002 par suite de l'emploi du logiciel "Freeprospect", le prévenu ayant admis que ce logiciel, s'il vise les sites professionnels, a néanmoins pu, en dépit des vérifications opérées par ses soins, cibler des sites de particuliers ; que le prévenu fait valoir que le logiciel "Freeprospect" ne capture aucune information et ne procède à aucun enregistrement de données, se bornant à cibler directement l'adresse électronique concernée à laquelle est envoyée instantanément le courrier publicitaire, et qu'il n'y a donc pas ici de collecte d'information nominative ; que, lors de son audition du 1er septembre 2003, Fabrice X... a reconnu qu'il y avait bien eu en l'espèce collecte de données ; qu'en outre le délit prévu et puni par l'article 226-18, alinéa 1er, du Code pénal suppose une collecte et un traitement d'informations, sans se limiter à l'enregistrement de données ; que ces deux éléments de collecte et de traitement sont bien réunis en l'espèce, le logiciel "Freeprospect" ayant précisément pour fonction à la fois de collecter des informations et de les traiter instantanément, étant observé qu'en tout état de cause le système informatique de l'opérateur mémorise nécessairement ne serait-ce qu'un instant infime sur la mémoire vive, l'adresse concernée pour permettre l'envoi du message, comme l'a d'ailleurs admis Fabrice X... lors de son audition du 1er septembre 2003 ; qu'ainsi que la Cour l'a observé plus haut pour le logiciel "Robot Mail", la capture des informations en cause a ici été opérée par un moyen illicite, et en tout cas déloyal, à la fois par le détournement des adresses mises en ligne et par l'absence de consentement au traitement des personnes titulaires de ces adresses, alors que : - le prévenu ne rapporte pas la preuve qu'au cours de la période visée à la prévention, les titulaires d'adresses concernées aient effectivement donné leur consentement préalable et certain à l'utilisation de leur adresse électronique, ni aient été mis en mesure de s'opposer au traitement des données ; - les internautes entendus dans le cadre de l'enquête préliminaire ont indiqué que les messages adressés par la société ABS soit ne comprenaient toujours pas de lien hypertexte de demande de consentement, soit comportaient unlien de désabonnement mais hors d'état de fonctionnement ; - Fabrice X... a reconnu l'existence de dysfonctionnements dans la mise en oeuvre des procédures ; - au surplus, les documents produits par le prévenu au soutien de l'existence d'un lien de désinscription démontrent que les adresses électroniques des intemautes étaient bien utilisées a priori, les propositions de désinscription n'étant en tout état de cause envoyées aux personnes concernées que dans un second temps ; qu'il établi que le logiciel "Freeprospect" a été commercialisé et utilisé entre octobre 2002 et le 1er septembre 2003 ; que Fabrice X... ne saurait ici invoquer sa bonne foi dès lors qu'il était pleinement informé des dispositions légales applicables et qu'il avait connaissance, en particulier dans le cadre des nombreux échanges intervenus avec la CNIL, des difficultés rencontrées sur la question du consentement des titulaires
d'adresses électroniques ; qu'il est, dans ces circonstances, suffisamment établi que Fabrice X... a procédé, en ce qui concerne le logiciel "Freeprospect", à la collecte de données nominatives par un moyen illicite ou déloyal ; que la Cour déclarera en conséquence Fabrice X... coupable de cette infraction et infirmera eu ce sens le jugement déféré" ;
"alors que, d'une part, compte tenu de l'accessibilité universelle de l'Internet, l'identification et même la collecte, sans le consentement des intéressés, d'adresses électroniques, non pas utilisées lors de communications privées, mais figurant sur l'espace public de l'Internet, tel que les sites web, les annuaires ou les forum de discussion, n'implique l'usage d'aucun procédé frauduleux, déloyal ou illicite ;
"alors que, d'autre part, en imposant, pour qu'une collecte de données nominative ne soit pas illicite, le consentement nécessaire de chaque personne concernée par les informations collectées, la cour d'appel a ajouté au texte de l'article 226-18 du Code pénal une condition qu'il ne contient pas en méconnaissance du principe de l'interprétation stricte de la loi pénale ;
"alors qu'en outre, le seul fait pour un logiciel de cibler une adresse électronique pour lui envoyer un courrier sans que cette information ne soit ni enregistrée, ni visible, ni conservée, ne peut constituer une collecte d'information nominative ; qu'en retenant pourtant que le délit puni par l'article 226-18 du Code pénal supposait une collecte et un traitement informatique sans se limiter à l'enregistrement de données, la cour d'appel à méconnu le sens et la portée de cette disposition légale" ;
Attendu qu'il résulte de l'arrêt attaqué et des pièces de procédure que la société Alliance bureautique service (ABS) a adressé, en 2002 et 2003, des courriers électroniques publicitaires non sollicités à des particuliers dont elle avait obtenu les adresses électroniques sur l'espace public du réseau internet en utilisant, dans un premier temps, le logiciel Robot mail qui enregistrait ces informations dans un fichier en vue d'un usage ultérieur puis, dans un second temps, à l'aide du logiciel Freeprospect qui adressait les messages publicitaires aux adresses collectées sans les enregistrer dans un fichier ; que, sur dénonciation de la Commission nationale de l'informatique et des libertés, Fabrice X..., dirigeant de la société ABS, a été cité par le procureur de la République devant la juridiction correctionnelle du chef de collecte de données nominatives par un moyen frauduleux, déloyal ou illicite ; qu'il a été renvoyé des fins de la poursuite ; que le ministère public a interjeté appel ;
Attendu que, pour déclarer le prévenu coupable du délit prévu par l'article 226-18 du Code pénal dans sa rédaction alors en vigueur et le condamner, l'arrêt attaqué énonce qu'il a collecté des adresses électroniques, qui constituent des données nominatives, de façon déloyale en ce qu'elles ont été utilisées sans rapport avec l'objet de leur mise en ligne ; que les juges ajoutent que les titulaires des adresses n'ont pas donné leur consentement alors que le droit d'opposition dont ils disposaient supposait qu'ils soient avisés, avant tout enregistrement, de ce que les informations nominatives les concernant pouvaient faire l'objet d'un traitement ; qu'enfin, pour écarter l'argumentation du prévenu qui faisait valoir que le logiciel Freeprospect se bornait à cibler l'adresse électronique concernée, mais n'enregistrait aucune donnée, les juges retiennent que les données sont collectées et traitées et que les adresses sont mémorisées ne serait-ce qu'un instant dans la mémoire vive de l'ordinateur ;
Attendu qu'en cet état, la cour d'appel a justifié sa décision ;
Que, d'une part, constitue une collecte de données nominatives le fait d'identifier des adresses électroniques et de les utiliser, même sans les enregistrer dans un fichier, pour adresser à leurs titulaires des messages électroniques ;
Que, d'autre part, est déloyal le fait de recueillir, à leur insu, des adresses électroniques personnelles de personnes physiques sur l'espace public d'internet, ce procédé faisant obstacle à leur droit d'opposition ;
D'où il suit que le moyen doit être écarté ;
Et attendu que l'arrêt est régulier en la forme ;
REJETTE le pourvoi ;
Ainsi jugé et prononcé par la Cour de cassation, chambre criminelle, en son audience publique, les jour, mois et an que dessus ;
Etaient présents aux débats et au délibéré : M. Cotte président, M. Valat conseiller rapporteur, M. Joly, Mme Anzani, MM. Beyer, Pometan, Mmes Palisse, Guirimand, M. Beauvais, Mme Ract-Madoux conseillers de la chambre, Mme Ménotti conseiller référendaire ;
Avocat général : M. Charpenel ;
Greffier de chambre : Mme Randouin ;
En foi de quoi le présent arrêt a été signé par le président, le rapporteur et le greffier de chambre ;