STSJAD 115/2018 - ECLI:AD:TSJADAD:2018:115

I. Le contexte factuel et procédural

A. Les faits à l'origine du litige

Les faits à l'origine de la présente décision s'inscrivent dans un contexte de criminalité informatique et d'atteinte présumée à la sécurité des systèmes d'information d'envergure nationale en Principauté d'Andorre. Vers 16 heures 30, le 6 octobre 2005, le prévenu, M. Ruiz, né en avril 1947, de nationalité espagnole et dépourvu d'antécédents pénaux, s'est présenté auprès de l'Agence de protection des données d'Andorre (désignée sous le sigle anonymisé ORG_6 / APDA). Il y dénonça la découverte fortuite sur le réseau Internet d'un fichier informatique compressé contenant les données d'utilisateurs et les mots de passe associés au domaine institutionnel et national « andorra.ad », hébergé et administré par l'opérateur parapublic historique des télécommunications, le Servei de Telecomunicacions d'Andorra (désigné sous le sigle ORG_11 / STA, devenu ultérieurement ORG_8). Par cette démarche, l'intéressé entendait porter à la connaissance de l'autorité de régulation une fuite de données de grande ampleur et une vulnérabilité critique affectant la confidentialité des communications électroniques du pays.

Entendu dans le cadre de sa dénonciation, M. Ruiz a exposé que, durant la nuit du 29 au 30 septembre 2005, ainsi que dans la journée du 3 octobre 2005, alors qu'il se trouvait à son domicile privé et utilisait son ordinateur personnel, il effectuait des recherches afin d'obtenir le mot de passe d'un utilitaire de téléchargement de films ou le numéro de série d'un logiciel de conception graphique (ORG_7). À cette fin, il employait un logiciel client-serveur de partage de fichiers de pair à pair (P2P, ORG_9), connecté aux serveurs dénommés Sonny Boy 4 et Donkey Server 3. Selon ses déclarations, c'est de manière accidentelle qu'il aurait téléchargé un fichier compressé au format standard « .zip », intitulé textuellement : 100 email accounts password yahoo aol msm account emails password ORG_1 lycos mail cheat list.

La décompression de cette archive révélait deux éléments distincts censés s'ouvrir simultanément :

1. Un fichier au format PDF intitulé Thank You PDF, portant une métadonnée temporelle de création au 2 janvier 2004 ;
2. Un fichier au format texte brut dénommé 12500IMA Tested März 05.txt, dont la date de création enregistrée était le 30 septembre 2005.

L'examen du fichier texte mettait en évidence un en-tête structuré de dix-neuf lignes rédigées en langue allemande, intitulé 12.500 IMA TESTED MARÇ 2004. Ce préambule mentionnait qu'il s'agissait d'une compilation destinée au courrier indésirable (spam), l'auteur y remerciant les utilisateurs pour la consultation de son site web et renvoyant vers d'autres liens de diffusion similaires (le fichier portant la mention d'une vérification et d'une mise à jour intervenue au mois de mars 2005). À la suite de cet avertissement figurait une liste exhaustive de 15 980 adresses de messagerie électronique attachées au domaine national « andorra.ad ». Chaque adresse était nominativement associée à l'identité de personnes physiques ou de personnes morales, et juxtaposée à son mot de passe de connexion en clair, parfaitement intelligible et non chiffré.

Les investigations techniques ont rapidement établi que ces identifiants étaient rigoureusement authentiques et pleinement opérationnels, permettant d'accéder sans restriction aux correspondances électroniques confidentielles hébergées par le service de messagerie « andorra.ad ». La compromission touchait un spectre exceptionnellement vaste : figuraient sur cette liste non seulement les coordonnées de citoyens ordinaires et du déclarant lui-même, mais également les accès de nombreuses institutions et autorités publiques de premier plan de la Principauté — au rang desquelles le parquet (Fiscalia), le gouvernement andorran (Govern), des professionnels du droit (avocats) —, ainsi que de multiples entités privées et entreprises commerciales locales.

Lors du dépôt initial de sa plainte auprès de l'agence de régulation, M. Ruiz a remis son ordinateur portable personnel — un appareil de marque ORG_10 (Toshiba), référence S2401-304, modèle PS2241E-6HWP1-SP — au moyen duquel il affirmait avoir procédé au téléchargement litigieux. Au cours de cet acte d'instruction administrative, l'inspecteur Briones a copié les fichiers décompressés sur un support amovible (disque compact CD). Après ces manipulations, l'ordinateur portable a été restitué à M. Ruiz, qui a continué à l'utiliser régulièrement durant une période non contestée de 208 jours.

Quelques semaines plus tard, le 17 novembre 2005, M. Ruiz s'est rendu une nouvelle fois dans les locaux de l'autorité de protection des données afin de fournir un complément à sa dénonciation initiale. Il y a versé un second CD-ROM, confectionné par ses propres soins, contenant la capture d'écran d'un environnement réseau tendant à démontrer l'existence d'un ordinateur andorran identifié par l'adresse IP publique dynamique 194.158.XX.XXX (plage attribuée par l'opérateur STA à ses abonnés au service ADSL). D'après les allégations de M. Ruiz, cet ordinateur tiers partageait précisément l'archive contenant la liste des utilisateurs et des mots de passe compromis durant la nuit du 29 septembre et la journée du 1er octobre 2005, sur le réseau P2P ORG_9, ainsi que l'a consigné dans un procès-verbal officiel Mme Téllez, inspectrice de l'agence. Les vérifications administratives et policières ont permis d'établir que cette adresse IP précise était attribuée, au moment considéré, au terminal personnel d'un certain M. Herrera. Or, ce dernier exerçait des fonctions professionnelles au sein même de l'opérateur de télécommunications STA, tout en ne figurant pas sur la liste restreinte des agents habilités, de par leurs prérogatives techniques, à détenir ou manipuler le fichier central des mots de passe du serveur national.

B. Le parcours procédural et les prétentions des parties

Ces éléments ont donné lieu à l'ouverture d'une information judiciaire au sein de la juridiction pénale andorrane sous la référence d'instruction n° 3400028/2010. Le ministère public a poursuivi M. Ruiz devant le Tribunal de Corts (juridiction pénale de première instance de la Principauté) sous trois chefs d'accusation distincts qualifiés de délits majeurs (delictes majors) :

1. Le délit majeur d'interception de télécommunications portant atteinte à l'intimité d'autrui sans son consentement, expressément incriminé et sanctionné par l'article 183 du Code pénal andorran ;
2. Le délit majeur de création sans autorisation et au préjudice de tiers de fichiers clandestins de données à caractère personnel automatisées électroniquement, en violation des prescriptions légales relatives à la protection des données personnelles, prévu et réprimé par l'article 184, sous la lettre a), du Code pénal ;
3. Le délit majeur de création médiate de faux document (creació mediata de document inveraç), incriminé à l'article 438.1 du Code pénal, consistant à avoir provoqué l'établissement par un agent public d'un acte officiel attestant de faits matériellement inexacts.

Par un jugement prononcé le 29 décembre 2017, le Tribunal de Corts a statué de la manière suivante :

• Il a prononcé la relaxe pleine et entière (absolució) de M. Ruiz des chefs de création de fichiers clandestins de données personnelles (art. 184.a CP) et de création médiate de faux document (art. 438.1 CP), en laissant les frais de justice y afférents d'office à la charge de l'État ;
• Il est en revanche entré en voie de condamnation à l'encontre de M. Ruiz, retenu en qualité d'auteur responsable, du chef du délit majeur d'interception de télécommunications sans consentement (art. 183 CP), sans retenir de circonstances modificatives de sa responsabilité pénale ;
• En répression, il lui a infligé