Affaire EDF–Greenpeace : comprendre la relaxe d’EDF

L’affaire EDF–Greenpeace illustre surtout une exigence de lecture juridique : une condamnation de première instance ne doit pas continuer à être présentée comme l’issue d’un dossier après sa réformation en appel.

Cette page, publiée en janvier 2012, commentait la première décision. Elle a été reprise pour intégrer la suite de la procédure. La cour d’appel de Versailles a relaxé EDF le 6 février 2013 ; la Cour de cassation a rejeté les pourvois examinés dans son arrêt du 26 janvier 2016. L’ancienne présentation d’EDF comme définitivement condamnée devait donc être corrigée.

Ce que permet d’établir la décision de 2016

L’arrêt Cass. crim., 26 janvier 2016, n° 13-83.127 concerne une mission de veille confiée à une société extérieure, des intrusions informatiques et un support contenant des données obtenues illicitement.

Il rappelle des issues différentes selon les personnes : un prévenu avait été condamné en appel pour complicité d’accès et de maintien frauduleux aggravé dans un système et recel, tandis qu’EDF et un autre cadre avaient été relaxés. La responsabilité de l’entreprise ne pouvait pas se déduire simplement de l’existence d’un contrat signé pour son compte ou de l’intérêt qu’elle pouvait trouver aux renseignements.

La décision expose notamment que le cadre auquel les faits étaient imputés avait agi sans informer pleinement son supérieur et qu’il n’avait pas, dans les circonstances retenues, agi comme organe ou représentant de son employeur. La Cour de cassation considère que les motifs de la cour d’appel justifient la relaxe d’EDF.

Cette solution est liée aux constatations du dossier. Elle ne signifie ni qu’un contrat de veille autorise une intrusion ni qu’un salarié dépourvu de délégation écrite ne pourrait jamais engager la responsabilité d’une personne morale.

Lire l’arrêt sans transformer un argument en règle

L’arrêt reproduit successivement des éléments de la procédure, les motifs de la cour d’appel, les critiques du demandeur au pourvoi et la réponse de la Cour de cassation. Ces passages n’ont pas le même statut. Une phrase introduite par « alors que » expose un grief ; elle ne doit pas être citée comme si la Cour l’avait approuvé.

Dans ce dossier, la partie civile contestait notamment l’analyse des pouvoirs du cadre et la connaissance des méthodes employées. La Cour retient que les motifs de l’arrêt d’appel justifient la décision au regard des éléments examinés. Pour rédiger une note interne, il faut donc conserver à la fois le résultat judiciaire et les limites factuelles de ce résultat.

Une présentation utile peut séparer trois colonnes : ce qui était reproché, ce que les juges ont retenu et ce qu’on peut en déduire pour une autre mission. La dernière colonne relève d’une analyse de prévention. Elle ne doit pas attribuer à l’arrêt une checklist qu’il ne contient pas ni annoncer qu’une organisation reproduisant le même organigramme obtiendrait nécessairement une relaxe.

Distinguer les responsabilités

L’Art. 121-2 du Code pénal prévoit, sous ses conditions, la responsabilité des personnes morales pour les infractions commises pour leur compte par leurs organes ou représentants. L’Art. 121-7 définit pour sa part la complicité par aide ou assistance consciente, ou par les formes de provocation et d’instructions qu’il énumère.

Dans l’analyse d’une opération, il faut donc séparer :

• Les actes réalisés par les intervenants et leur qualification éventuelle.
• Ce que chacun savait, demandait ou facilitait.
• Les pouvoirs et fonctions des personnes concernées.
• Les conditions d’imputation à l’organisation.

Un défaut de contrôle interne est un problème de gouvernance ; il ne remplace pas, à lui seul, la démonstration de tous les éléments d’une infraction. Le guide du cadre pénal des cyberattaques précise les comportements visés par les textes actuels.

Décrire les pouvoirs et les décisions réellement exercés

La prévention ne consiste pas à rechercher un organigramme qui ferait obstacle à toute imputation pénale. Il s’agit de savoir qui commande, qui autorise une évolution et qui peut arrêter la mission. Rapprochez les titres, les délégations, les instructions et le fonctionnement réel. Une validation budgétaire ne dit pas nécessairement quelles méthodes ont été expliquées ou approuvées.

Conservez les décisions significatives avec leur contexte. Si le périmètre change, indiquez le besoin nouveau, les moyens proposés et la personne qui tranche. Les échanges informels peuvent être déterminants pour comprendre ce qui a été demandé ; un contrat générique signé ensuite ne remplace pas cette chronologie.

Le suivi doit enfin permettre de faire remonter une anomalie. Désignez un interlocuteur capable de suspendre l’utilisation d’un livrable et d’obtenir une analyse juridique. Il ne suffit pas de demander au prestataire de certifier que tout est licite lorsqu’une question précise demeure sans réponse. La décision peut porter sur une partie du livrable, mais cette séparation doit être réelle et justifiée.

Encadrer une mission de veille : cinq décisions à formaliser

Pour une mission nouvelle, la grille suivante constitue une proposition d’organisation, et non une liste d’obligations tirée de l’arrêt :

Notre guide de l’intelligence économique et de la collecte licite développe cette préparation. Une clause de conformité générale n’a d’utilité que si les méthodes et les livrables sont effectivement examinés.

Préparer une commande qui ne laisse pas les méthodes dans l’ombre

Le besoin de renseignement doit être traduit en questions précises. Une demande de veille sur des annonces publiques n’appelle pas le même accès qu’une recherche de correspondances internes. Avant de signer, demandez quels types de sources seront consultés, dans quelles conditions et par quels intervenants. La formule « moyens propres du prestataire » ne permet pas de comprendre le travail proposé.

Faites apparaître les limites dans les échanges opérationnels, pas uniquement dans une clause générale. Si une information recherchée n’est pas accessible par les méthodes autorisées, le prestataire doit pouvoir expliquer cette limite sans être incité à obtenir le résultat à tout prix. Une rémunération ou une échéance commerciale n’élargit pas les droits d’accès aux systèmes d’autrui.

Lorsque le prestataire recourt à un tiers, identifiez ce que ce dernier exécute et comment ses méthodes seront encadrées. Un interlocuteur unique facilite la commande, mais peut masquer une chaîne de collecte. Le suivi proposé consiste à demander une description intelligible des opérations et des changements, sans recueillir indistinctement tous les documents internes du prestataire.

Examiner la provenance lors de la réception

Un livrable soigné peut contenir des éléments dont l’origine reste inexpliquée. Avant de le distribuer, rapprochez chaque information importante de la source annoncée. Une synthèse devrait permettre de distinguer un fait publié, une déclaration recueillie, une déduction et une information dont la provenance n’est pas établie.

La grille suivante est une ressource de travail proposée pour une réception de mission :

Pour une pièce d’origine douteuse, suspendez sa diffusion courante et faites examiner la situation par les personnes compétentes. Préserver les éléments nécessaires à cette analyse ne signifie pas exploiter leur contenu pour la mission commerciale. Organisez les accès et les décisions de conservation ou de suppression en tenant compte du dossier ; évitez aussi bien la circulation incontrôlée que l’effacement improvisé des traces utiles.

Un besoin de sécurité ne donne pas accès aux systèmes tiers

Le STAD d’une autre organisation reste protégé par les règles applicables aux accès et aux données. Une entreprise ne peut pas assimiler une surveillance extérieure à un test d’intrusion autorisé par le simple choix du vocabulaire contractuel.

Lorsque le livrable contient des données personnelles, leur réutilisation requiert aussi l’examen des principes et bases légales du RGPD. La protection d’un intérêt commercial ne rend pas automatiquement licite la collecte. Les éléments revendiqués comme confidentiels nécessitent, par ailleurs, leur propre analyse au titre du secret des affaires.

Ajouter l’examen des données personnelles à celui des méthodes

Une source accessible publiquement peut encore contenir des données personnelles. Pour une mission actuelle, identifiez la finalité de leur réutilisation, les informations nécessaires, la base légale et les destinataires. Le dossier doit aussi traiter la durée de conservation et l’information des personnes lorsque le RGPD l’exige. La disponibilité de la source ne supprime pas ces questions.

Ces exigences actuelles ne sont pas présentées comme les fondements de la décision rendue en 2016. Elles complètent aujourd’hui le contrôle d’une mission : une analyse pénale favorable sur une question donnée ne constitue pas une validation générale du traitement de données. Gardez ainsi deux raisonnements explicites, reliés aux mêmes opérations et aux textes qui leur sont applicables.

Ce qu’il faut retenir

• EDF a été relaxée en appel ; le commentaire initial devait intégrer cette suite judiciaire.
• La responsabilité d’une société suppose une analyse des actes et de leur imputation.
• Un contrat de veille ne dispense pas de vérifier la provenance des informations et les méthodes employées.
• La prévention contractuelle et organisationnelle est utile sans être une garantie d’absence de responsabilité.

FAQ

EDF est-elle restée condamnée dans cette affaire ?

Non. L’arrêt du 26 janvier 2016 expose la relaxe prononcée par la cour d’appel de Versailles et rejette les pourvois examinés. Présenter uniquement la condamnation de première instance donne une image inexacte de la suite judiciaire.

La relaxe rend-elle licites les méthodes d’intrusion ?

Non. Les issues diffèrent selon les personnes et les éléments établis. L’arrêt ne constitue pas une autorisation générale de pirater les systèmes d’un tiers.

Une clause interdisant les actes illégaux suffit-elle ?

Elle contribue au cadrage, mais il faut aussi examiner les méthodes, les pouvoirs des intervenants et les livrables. La responsabilité dépend des faits et des conditions légales applicables.

Recevez nos analyses sur le droit et la sécurité numérique.

Thiébaut Devergranne, docteur en droit et praticien du droit des technologies depuis plus de vingt ans.