Des tests de charge, même minimes, peuvent-ils engager la responsabilité pénale d’un acteur ? La question se pose face à une législation française qui sanctionne sévèrement toute perturbation du fonctionnement d’un système informatique.
Un internaute, se présentant sous le pseudonyme de « LeTesteur », s’interroge sur les implications juridiques de simulations de trafic, réalisées par des robots, sur un site web. Ces tests, qui se traduiraient par un léger ralentissement – de quelques dizaines de millisecondes – pour les utilisateurs, pourraient-ils être qualifiés d’infraction ?
L’article 323-2 du Code pénal français incrimine en effet le fait d’« entraver ou de fausser le fonctionnement d’un système de traitement automatisé de données ». La tentative est également punissable, selon l’article 323-7 du même code. « LeTesteur » demande s’il existe des précédents judiciaires concernant des condamnations pour de tels agissements, dans le cadre de tests considérés comme peu impactants – et donc distincts de cyberattaques plus graves comme les attaques par déni de service distribué (DDoS).
La question centrale est de savoir comment ces articles de loi sont interprétés en pratique. Quelle est la limite entre un test de performance légitime et une infraction pénale ? À ce stade, il n’existe pas de réponse claire et publique à cette interrogation, laissant planer une incertitude juridique pour les entreprises et les développeurs qui effectuent régulièrement des tests sur leurs systèmes.
Sur le même sujet
