Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juin 2015 - n°403 - 206

magazine

PRISON AVEC SURSIS POUR LA
DÉCOMPILATION ILLICITE DU CODE DE SKYPE
Un homme a été condamné par la
cour d'appel de Caen pour avoir
rendu accessible au public une copie
du fichier SkyCryptV1.cpp, obtenue à partir de la décompilation du
logiciel de Skype. Dans son arrêt
du 18 mars 2015 (lire commentaire
p.224) , la cour a estimé qu'il s'était
rendu coupable de contrefaçon en
utilisant les données obtenues par
la décompilation de l'algorithme
Skype d'expansion de clé de cryptage RC4, action dépassant le cadre
autorisé par le code de la propriété intellectuelle. En effet, l'article
L. 122-6-1 IV permet de procéder à la
décompilation d'un programme à des
fins d'interopérabilité, sans autorisation de l'auteur, à condition que cette
reproduction ou cette traduction soit
indispensable pour obtenir les informations nécessaires à l'interopérabilité d'un logiciel créé de façon indépendante avec d'autres logiciels. Selon le
prévenu, cet acte avait été réalisé pour
mettre au point une technique fiable
et sécurisée d'échanges d'information
sur internet compatibles avec Skype.
Mais ce qui est reproché au prévenu
est l'usage qui a été fait des informations obtenues par décompilation, qui

sortait du cadre prévu par le CPI.
Le prévenu avait publié sur son blog
les informations obtenues par décompilation. Dans l'article titré « Skype's
biggest secret revealed », il avait
expliqué qu'il révélait le « plus grand
secret de communication de Skype,
l'algorithme d'expansion de clé de
cryptage RC4 traduit en langage
informatique C et pleinement réutilisable. Profitez-en ». Il avait expliqué
qu'une partie de son code avait fait
l'objet de fuites et qu'il ne voulait pas
être tenu responsable de son éventuelle utilisation abusive par des
hackers ou des spammeurs. Tout en
disant vouloir aider la communauté
des experts en sécurité informatique à
améliorer la sécurité de Skype, il avait
évoqué une exploitation commerciale
future de son code.
Pour la cour, le prévenu s'est d'abord
rendu coupable de contrefaçon en
utilisant les informations en cause
pour un autre but que la réalisation
de l'interopérabilité, en tout cas ce
n'est pas la motivation qui ressort
de la publication sur son blog. Par
ailleurs, il ne devait pas les communiquer à des tiers, sauf si c'était nécessaire à l'interopérabilité du logiciel

créé de manière indépendante, ce
qui n'a pas été affirmé par l'auteur
du blog. Enfin, les données n'ont pas
été utilisées pour la mise au point, la
production ou la commercialisation
d'un logiciel dont l'expression est
substantiellement similaire. La cour
rapporte les propos qu'il avait tenus
au service de police dans lesquels il
déclare : « J'ai décompilé beaucoup
de codes de Skype, afin de développer divers produits, notamment
permettant de bloquer Skype. J'ai
également travaillé sur un système
open source similaire à Skype, les
portes dérobées en moins ».
En plus de la peine de six mois de
prison avec sursis, le prévenu est
condamné à verser 5 000 € à Skype
pour réparer son préjudice moral
causé par la révélation publique, à
son insu et contre son gré, de la fragilité de son dispositif. Il doit en outre lui
payer 3 500 € au titre de l'indemnisation des frais que la société a exposés
pour sa défense. En revanche, la cour
rejette la demande d'indemnisation
du préjudice matériel non établi et en
raison du fait de la prodigieuse croissance de la valorisation du patrimoine
de Skype pendant cette période.

SANCTION CONFIRMÉE POUR L'ENVOI DE SPAMS PAR SMS

206

Par une décision du 23 mars 2015, le

en cause ne s'était pas conformée à la

cette obligation, en cas d'impossibilité

Conseil d'Etat a confirmé la sanction

mise en demeure de la Cnil.

matérielle à informer les personnes ou

pécuniaire de 20 000 € prononcée

Le Groupe DSE avait acquis des fichiers

d'efforts disproportionnés à accomplir

par la Cnil à l'encontre d'une socié-

de numéros de téléphone collectés sur

par rapport à l'intérêt de la démarche.

té d'expertise immobilière qui avait

internet dans des annonces immobi-

Ce qui n'a pas été établi dans cette

procédé de manière régulière à une

lières. Au moment de la collecte de ces

affaire, a estimé le Conseil d'Etat.

prospection commerciale par SMS,

données, les personnes n'avaient pas

Enfin, le Groupe DSE n'a pas davan-

sans avoir préalablement recueilli

exprimé leur consentement à recevoir

tage respecté le droit des prospects

l'accord des personnes au moment

de prospection directe par SMS. Or,

à s'opposer au traitement de leurs

de la collecte de leur numéro de télé-

l'article L. 34-5 du code des postes et

données. La Cnil avait, à juste raison,

phone, ni avoir respecté leur droit à

communications électroniques l'im-

considéré que les exigences de gratuité

être informées et leur droit à s'opposer

pose. Par ailleurs, l'article 32 de la loi

et d'effectivité fixées par l'article 38 de

à un tel traitement. Le Conseil a jugé

du 6 janvier 1978 exige la dispensation

la loi de 1978 n'avaient pas été respec-

que, vu les faits reprochés, la sanc-

d'un certain nombre d'informations

tées. En effet, les personnes pouvaient

tion de la Cnil était proportionnée. En

(identité du responsable, finalités,

mettre en œuvre leur droit d'opposition

effet, le démarchage s'était déroulé sur

conséquences du refus, destinataires

au moment du démarchage, en adres-

plusieurs années, portant sur plusieurs

des données, etc.), que ces données

sant un SMS ou un appel téléphonique

centaines de milliers de SMS envoyés

aient été collectées directement ou

payant à des numéros figurant dans le

chaque mois. Par ailleurs, la société

non. Certes, il existe une dérogation à

message reçu.

EXPERTISES JUIN 2015

Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juin 2015 - n°403