Hors collection - Écosystème numérique : défis juridiques et sociétaux - 119

CHAPITRE 9 - NUMÉRIQUE ET SÉCURITÉ
119
II - Cadre juridique
La plateforme est un intermédiaire et deux contrats sont conclus : d'une part, entre la plateforme et le
chercheur et d'autre part, entre la plateforme et l'organisation cliente. Le contrat domine les relations
entre les intervenants50
.
Les plateformes sont définies par l'article L. 111-7-I-2º du Code de la consommation et l'article 242
bis-I du CGI comme la mise « en relation par voie électronique des personnes en vue de la fourniture
d'un service ». L'article 242 bis du CGI instaure pour les plateformes une obligation d'information à
destination des chercheurs quant à leurs obligations fiscales et sociales. Elle réunit une communauté
de chercheurs et doit être en mesure d'accompagner ses clients de la rédaction du programme jusqu'à
l'aide aux correctifs.
En plus de cette obligation d'information, la plateforme doit respecter une obligation de confidentialité
(ne pas divulguer les informations auxquelles elle a accès).
III - Statut des chercheurs
Les chercheurs, contrairement aux cyberdélinquants, ne sont pas exposés aux sanctions prévues par le
Code pénal en matière d'atteinte aux systèmes d'information. En effet, aucune fraude ne peut être
caractérisée car l'intervention dans le système d'information et l'accès à des données sont à l'initiative
de l'entreprise cliente elle-même. L'élément intentionnel fait défaut pour la constitution de l'infraction,
sauf en cas de non-respect du contrat (CGU).
L'objet du contrat est d'assurer la sécurité de l'entreprise utilisatrice afin d'éviter la fuite d'informations
causée par les chercheurs, d'assurer la communication de toutes les informations à l'entreprise initiatrice
du programme, de garantir la confidentialité des découvertes et leurs non-exploitations à des
fins malveillantes ou encore de préciser la responsabilité des chercheurs en cas de défaillance. Toute
action en dehors du périmètre et des obligations définies pourra donner lieu à la mise en cause de la
responsabilité pénale ou civile (dommages et intérêts) du chercheur. Il pourra par exemple s'exposer
aux sanctions en matière d'atteinte aux droits de la personne résultant des fichiers ou des traitements
informatiques (C. pén., art. 226-16 à 226-24).
En ce qui concerne la rémunération ou la récompense, le chercheur n'est récompensé qu'après avoir
fait remonter une vulnérabilité dont la valeur aura été préalablement déterminée. L'identification du
chercheur s'opère par leur authentification et/ou par le biais d'un prestataire de services de paiement
assujettis aux règles de lutte anti-blanchiment et qui procède au règlement des primes aux titulaires de
comptes (obligatoire pour s'inscrire).
G. Les acteurs de l'Open Source Intelligence (OSINT)
I - L'exploitation de données numériques
L'Open source intelligence (OSINT) correspond à l'utilisation de toute information librement accessible
et n'est pas spécifiquement utilisée dans le domaine de la cybercriminalité. Le terme désigne tout
simplement l'exploitation de sources d'information comme les journaux, les sites web, les conférences
à des fins de renseignement. Aujourd'hui, la plupart de ces informations existe en format numérique,
50. M. Quéméner, Le droit face à la disruption numérique, 2018, Gualino-Lextenso, p. 276 et s.

Hors collection - Écosystème numérique : défis juridiques et sociétaux

Table des matières de la publication Hors collection - Écosystème numérique : défis juridiques et sociétaux