Décision du 24 janvier 2013 Cour des plaintes Composition Les juges pénaux fédéraux Stephan Blättler, président, Patrick Robert-Nicoud et Nathalie Zufferey Franciolli, la greffière Maria Ludwiczak
Parties
CANTON DE FRIBOURG, Ministère public, requérant contre
Objet Compétence ratione materiae (art. 28 CPP) Conflit de fors (art. 40 al. 2 CPP)
Bundesstrafgericht Tribunal pénal fédéral Tribunale penale federale Tribunal penal federal
Numéro de dossier: BG.2012.37
Faits:
A. En date du 21 juin 2012, une plainte pénale contre inconnu a été déposée auprès des autorités fribourgeoises par A. SA, société sise dans le canton de Neuchâtel et dont l'administrateur est domicilié dans le canton de Fribourg. La plainte porte sur les faits suivants. Un hacker a pénétré sans droit sur le site internet de A. SA, hébergé par B. SA, société dont les serveurs et banques de données se trouvent dans le canton de Genève, et a copié des données confidentielles. Le hacker a ensuite envoyé ces données par email à A. SA pour l'informer de la réussite de l'intrusion. B. Saisi de l’affaire et considérant que la compétence des autorités fribourgeoises n’était pas donnée en l’espèce, le Ministère public du canton de Fribourg (ci-après: MP-FR) a adressé, le 28 juin 2012, une demande d’acceptation du for au Ministère public du canton de Genève (ci-après: MP-GE) qu’il estimait compétent en vertu de l’art. 31 CPP (act. 3.6). Suite à un premier refus du MP-GE le 10 juillet 2012 (act. 3.7), le MP-FR a une nouvelle fois invité le MP-GE à accepter sa compétence le 16 juillet 2012 (act. 3.8). Par courrier du 9 août 2012, le MP-GE a définitivement décliné la compétence des autorités genevoises (act. 3.9). C. Le 20 août 2012, le MP-FR a déposé une requête en fixation de for devant la Cour de céans. Par décision du 7 septembre 2012, la Cour de céans a refusé d’entrer en matière sur la question tant que les positions du Ministère public du canton de Neuchâtel (ci-après: MP-NE) et du Ministère public de la Confédération (ci-après: MPC) ne seraient pas connues. D. Sur invitation du MP-FR, le MP-NE a pris position et conclu à ce que la compétence du MP-GE soit retenue par courrier du 20 septembre 2012 (dossier MP-FR, p. 45 ss). E. Par courrier du 21 septembre 2012, le MPC a conclu à l’absence de compétence fédérale (act. 3.1). F. Le 24 septembre 2012, le MP-FR a déposé une nouvelle requête en fix ation de for devant la Cour de céans (act. 1). Il conclut à ce que les autorités pénales genevoises soient déclarées compétentes pour instruire la cause.
G. Par pli du 1 er octobre 2012, le MP-NE s’est rallié à la position du MP-FR et a conclu tacitement à la fixation d’un for à Genève (act. 4). Le MP-GE a, quant à lui, conclu au rejet de la requête en fixation de for, et, subsidiairement, à ce que les autorités du canton de Fribourg soient déclarées compétentes pour poursuivre et juger la cause (act. 5). Les arguments et moyens de preuve invoqués par les parties seront repris, si nécessaire, dans les considérants en droit. La Cour considère en droit:
BG.2011.17 du 15 juillet 2011, consid. 2.1; BG.2011.7 du 17 juin 2011, consid. 2.2). La détermination des autorités qui sont légitimées à représenter leur canton dans le cadre de l'échange de vues ou dans la procédure devant la Cour des plaintes se fait en fonction de la législation de chaque canton (art. 14 al. 4 CPP; K UHN, Commentaire bâlois, Schweizerische Strafprozessordnung [Commentaire StPO], n° 9 ad art. 39 et n° 10 ad art. 40). Dans sa décision du 7 septembre 2012, la Cour de céans a déclaré irrecevable la requête du MP-FR tendant au règlement du conflit de fors tant que la position du MP-NE et celle du MPC ne seraient pas connues. Tel étant le cas désormais, la condition préalable pour la saisine de la Cour des plaintes est remplie. La demande de fixation de for ayant été déposée en temps utile par les autorités pénales saisies en premier lieu et les cantons étant représentés par des autorités légitimées à le faire, la requête est recevable. Il y a lieu d’entrer en matière. 2. La requête du MP-FR tend à la désignation d’un for en Suisse, plus particulièrement à Genève, pour les actes mentionnés dans la plainte de A. SA déposée en date du 21 juin 2012. Il y a lieu, dans un premier temps, de déterminer s’il existe une compétence suisse (infra consid. 2.1) puis, le cas échéant, établir quelles autorités pénales suisses sont compétentes (infra consid. 2.2). 2.1 La compétence pénale du juge suisse est déterminée par les art. 3 à 8 CP. Elle repose notamment sur le principe de la territorialité contenu à l’art. 3 CP. L’art. 8 al. 1 CP complète ce dernier et précise qu'une infraction est réputée commise tant au lieu où l’acte a été perpétré, qu’au lieu où le résultat est survenu (principe de l’ubiquité). La notion de résultat au sens de cette disposition ne correspond pas à son homonyme au sens technique utilisé en droit suisse dans la distinction entre les délits matériels et formels (ATF 133 IV 171 consid. 6.3; 128 IV 145 consid. 2e). Le Tribunal fédéral a en effet considéré que, pour certains délits formels commis à distance tels la diffamation (art. 173 CP) et l’abus de confiance (art. 138 CP), un résultat au sens de l’art. 8 al. 1 CP pouvait se produire en Suisse (ATF 125 IV 177 consid. 3 pour la diffamation; ATF 128 IV 145 consid. 2e et 124 IV 241 consid. 4d pour l’abus de confiance). L’approche retenue actuellement se focalise sur la question de savoir si le résultat pris en considération se trouve dans un rapport de connexité immédiate avec le comportement typique (ATF 128 IV 145 consid. 2e).
Au stade de la détermination de la compétence des autorités suisses, tout comme pour la désignation des autorités suisses compétentes, il y a lieu de se baser uniquement sur les soupçons tels qu’ils ressortent du dossier, sans prendre en compte les charges qui pourront, à l’avenir, être retenues contre le prévenu (v. M OSER, Commentaire StPO, op. cit., n° 11 ad art. 34 CPP). En l’espèce, les faits tels qu’ils découlent de la plainte déposée par A. SA et des documents présents au dossier sont constitutifs d’un accès indu à un système informatique (ou hacking) au sens de l’art. 143 bis CP, soit le fait de s’introduire sans droit, au moyen d’un dispositif de transmission des données, dans un système informatique appartenant à autrui et spécialement protégé contre tout accès de sa part. Rien n’indique en revanche que l’auteur ait agi dans un dessein d’enrichissement illégitime, excluant ainsi, à ce stade, la prise en compte de l’art. 143 CP (soustraction de données). D’une part, le lieu de l’acte se trouvant à l’étranger sans qu’aucun Etat en particulier ne puisse de surcroît être identifié, ce critère ne peut être utilisé pour établir la compétence des autorités pénales suisses. D’autre part, l’accès indu à un système informatique tel que prévu par l’art. 143 bis CP est un délit formel et se caractérise par l’absence de résultat au sens technique. Néanmoins, il y a lieu de suivre l’approche du Tribunal fédéral et admettre, pour ce délit à distance, la possibilité de survenance d’un résultat au sens de l’art. 8 al. 1 CP (H EIMGARTNER, Die internationale Dimension von Internetstraffällen – Strafhoheit und internationale Rechtshilfe in Strafsachen, in Internet-Recht und Strafrecht, Berne 2005, p. 117 ss, p. 126). L’art. 143 bis CP réprime le comportement consistant à s’introduire sans droit dans un système informatique. L’accès indu est l’élément qui se trouve dans un rapport de connexité immédiate avec le comportement réprimé par l’art. 143 bis CP. Il y a donc lieu de le prendre en compte à titre de résultat au sens de l’art. 8 al. 1 CP. Le lieu de l’intrusion est alors déterminant pour la question de la compétence pénale suisse. In casu, l’accès aux données et leur copie ont eu lieu là où se situent les serveurs et banques de données de la société B. SA, hébergeant le site piraté, soit dans deux data centers à Genève et Vernier (GE). Un résultat, au sens de l’art. 8 al. 1 CP, s’ est ainsi produit en Suisse, plus particulièrement dans le canton de Genève. Il existe une compétence des autorités pénales suisses fondée sur le pri ncipe de territorialité, à raison de la survenance d’un résultat en Suisse.
2.2 Il y a lieu de déterminer quelles autorités pénales suisses sont compétentes pour poursuivre et juger les faits décrits dans la plainte de A. SA. D’après l’art. 22 CPP, les autorités cantonales sont compétentes pour autant qu’une compétence fédérale ne soit donnée sur la base des art. 23 ss CPP. 2.2.1 L’accès indu à un système informatique réprimé par l’art. 143 bis CP ne tombe pas sous le coup des art. 23 et 24 al. 1 CPP listant les dispositions du Code pénal sujettes à la compétence de la Confédération. L’art. 24 al. 2 CPP ne trouve pas application en tant que l’infraction prévue à l’art. 143 bis
CPP n’est pas un crime au sens de l’art. 10 al. 2 CP. Quand bien même l’infraction de soustraction de données informatiques (art. 143 CP) devait être prise en compte, elle ne mènerait pas davantage à l’établissement d’une compétence des autorités pénales fédérales. En effet, la compétence fédérale au sens de l’art. 24 al. 2 CPP se justifie lorsque les faits se caractérisent par une complexité accrue du mode d’opération, des ramifications internationales ainsi que des éléments techniques non négligeables et nécessitent une procédure unique et coordonnée au niveau fédéral (TPF 2011 170 consid. 2.3), comme c’est le cas du phishing (ou hameçonnage). De telles caractéristiques font défaut en l’espèce. L’attaque du hacker, bien qu’elle intervienne depuis l’étranger, a été ciblée contre des données informatiques déterminées, situées en un lieu unique en Suisse. Ni le modus operandi, ni le fait que A. SA dont les intérêts ont été lésés ait son siège dans un canton distinct et que la prise de connaissance de l’infraction ait eu lieu dans un autre canton encore n’appelle une coordination particulière au niveau fédéral. 2.2.2 En l’absence d’une compétence fédérale, le for intercantonal doit être déterminé d’après les règles posées par l’art. 31 CPP, l’infraction étant commise en Suisse. Selon cette disposition, si le lieu où le résultat s’est produit est seul situé en Suisse, l’autorité compétente est celle de ce lieu (art. 31 al. 1 2 ème phrase CPP). Comme déterminé ci-dessus (supra consid. 2.1), le résultat est intervenu dans le canton de Genève. C’est aussi les autorités pénales de ce canton qui doivent, en l’état, être déclarées seules compétentes pour poursuivre et juger les infractions dénoncées par A. SA. 3. La présente décision est rendue sans frais (art. 423 al. 1 CPP).
Par ces motifs, la Cour des plaintes prononce:
Bellinzone, le 24 janvier 2013
Au nom de la Cour des plaintes du Tribunal pénal fédéral
Le président: La greffière:
Distribution
Indication des voies de recours Il n’existe pas de voie de recours ordinaire contre cette décision.