Tribunal d'arrondissement de Luxembourg, 2025-01-01, n° 20171117-TALux19-3058a-accessible

Au pénal Les faits Les éléments du dossier répressif, l’instruction à l’audience dont les déclarations du témoin T1.), ainsi que les aveux partiels et déclarations des prévenus tant auprès de la Police lors de 2

leurs auditions respectives en date du 9 mars 2016, qu’à l’audience du 27 octobre 2017, ont permis d’établir les faits suivants : En date du 9 mars 2016 vers 9.00 heures, les policiers du CIP Luxembourg se sont rendus auprès de la société SOC1.) Luxembourg S.A., sise à (…), (…), afin de recueillir la plainte de l’informaticien T1.) dans le cadre d’une manipulation du système informatique par les employés P1.) et P2.). L’informaticien a détaillé auprès des policiers que le mardi matin 8 mars 2016, des « bugs » informatiques avaient été constatés sur des applications informatiques, ainsi qu’une lenteur du système et des données incorrectes. L’expertise informatique réalisée par la suite a permis d’identifier l’utilisateur de la connexion comme étant P1.) qui se servait de l’ordinateur personnel de P2.). Par la suite, il a également été découvert que des scripts créés le jour même avaient été introduits dans le système informatique et étaient destinés à s’exécuter automatiquement le 1er mai 2016, jour férié légal. Par ailleurs, toutes les sauvegardes auxquelles P1.) avait pu accéder, avaient été supprimées, le témoin T1.) précisant à l’audience du Tribunal qu’il existaient bien des sauvegardes qui n’avaient pas été atteintes et que P1.) était au courant de l’existence de ce « back-up ». Le témoin a également précisé qu’il y avait en fait eu deux atteintes au système informatique, à savoir un accès à distance la veille, donc le 7 mars 2016, et un accès le jour même de la découverte de la manipulation des données informatiques, à savoir le 8 mars 2016. Lors de son audition auprès de la Police, P1.) a reconnu les faits, expliquant que le 7 mars 2016 vers 18.20 heures, il s’était rendu auprès de sa collègue de travail P2.) parce qu’il avait appris que la société SOC1.) voulait le licencier. Sa collègue lui avait ainsi mis à disposition son ordinateur afin qu’il puisse se connecter au serveur d’SOC1.), lui permettant de manipuler les données informatiques. Il a expliqué auprès de la Police qu’il voulait « embêter » les gens du magasin et son employeur parce qu’il était énervé et qu’il reprochait à son employeur de ne pas lui avoir dit en face qu’il était licencié. Le Tribunal relève que parmi les pièces versées par le mandataire du prévenu se trouve un courrier de l’employeur de P1.), daté du 9 mars 2016, le convoquant à un entretien préalable en vue de son licenciement. P2.) a expliqué auprès de la Police, qu’elle avait bien mis son ordinateur à disposition de son collègue P1.) qui lui avait bien dit qu’il allait modifier des données (lignes de codes) dans le système informatique de son employeur. P2.) a admis avoir vu qu’il s’était connecté sur les serveurs d’SOC1.) avec son mot de passe personnel et que cela s’était passé très vite. Ella a précisé qu’elle n’avait pas pu intervenir parce que P1.) aurait eu une influence sur elle et qu’elle n’avait rien déclaré auprès de son employeur parce qu’elle avait peur. Le Tribunal retient d’ores et déjà que P2.) n’a pas autrement défini cette influence que son collègue de travail aurait eu sur elle, faisant par contre plaider qu’elle avait vu qu’il était énervé le soir de sa visite, parce qu’il s’attendait à être licencié. Il convient à cet égard de préciser qu’à l’audience du 27 octobre 2017, P1.) a fait expliquer par son mandataire, que la base de toute cette histoire étaient des courriels malveillants qui lui avaient été adressés. P1.) avait ainsi suspecté un supérieur hiérarchique comme auteur de 3

ces messages. Dans le cadre de l’enquête menée suite au dépôt de deux plaintes auprès de la police française en date des 12 septembre 2015 et 3 octobre 2015, il s’est avéré que l’ancien petit ami de P2.) était l’auteur des courriels malveillants et non pas le supérieur hiérarchique que P1.) avait suspecté. A noter que d’après le mandataire des deux prévenus, la direction des Ressources Humaines de leur employeur avait également lancé une enquête interne suite aux suspicions que P1.) avait émises et qui étaient totalement non fondées. C’est ce fait qui a finalement conduit au lancement de la procédure de licenciement initiale, le licenciement pour faute grave n’intervenant que le 9 mars 2016, après la découverte des manipulations du système informatique entre le 7 et le 8 mars 2016. En Droit La compétence du Tribunal pour connaître des infractions commises hors du territoire luxembourgeois et reprochées aux prévenus P1.) et P2.). Bien qu’aucune incompétence du Tribunal luxembourgeois n’ait été soulevée par les prévenus, il est un fait qu’en matière pénale, toutes les règles de compétences ont un caractère d’ordre public et impératif, ce qui signifie que la juridiction doit même d’office soulever le moyen d’incompétence dans le silence des parties (Roger THIRY, Précis d’instruction criminelle en droit luxembourgeois, T.I, n°362). En l’espèce, la compétence est certaine pour les faits commis par les prévenus sur et à partir du territoire grand-ducal, et plus particulièrement dans l’arrondissement judiciaire de Luxembourg. Pour ce qui est de l’accès frauduleux par P1.) au système informatique de son employeur à partir de l’ordinateur de P2.), sis à son domicile à (…) (F), « la compétence tant territoriale que matérielle d’un juge pour connaître d’une infraction à l’égard de laquelle, envisagée seule, il ne serait pas compétent est prorogée lorsque cette infraction est connexe à une autre infraction à l’égard de laquelle il est naturellement compétent et dont il est saisi (R.P.D.B., Complément IX, 2004, V° Procédure pénale, n°1173, page 621 ; H.BOSLY et D.VANDERMEERSCH, Droit de la procédure pénale, La Charte, Belgique, 3ième édition, 2003, page 1054 ; Cass.belge, 18.09.1973, Pas.belge, 1974, I, page 46) ». L’article 26-1 du Code d’instruction criminelle (actuellement Code de procédure pénale) définit quelques cas de connexité. La jurisprudence tant luxembourgeoise, que belge, que française, considèrent que cette énumération n’est pas limitative et admettent, partant, d’autres cas de connexité. Il en est ainsi non seulement lorsque les infractions procèdent d’une cause unique, mais plus largement toutes les fois que le juge estime que, dans l’intérêt d’une bonne administration de la justice, elles doivent être jugées ensemble par le même juge (R.P.D.B., Complément, V°Procédure pénale, mentionné ci-avant, n°1173, page 621 avec les nombreuses références y citées), respectivement lorsque des infractions successivement commises se rattachent par un lien tel que la manifestation de la vérité et la bonne administration de la justice exigent ou rendent souhaitables leur jugement simultané (G.DEMANET, De l’incidence du concours, de la connexité et de l’indivisibilité sur la compétence des juridictions répressives, R.D.P.C, 1991, pages 77 et suivantes, voir page 80).

4

Dans la pratique, il est recouru de façon très large à la notion de connexité ou d’indivisibilité pour juger ensemble différentes infractions commises par la même personne ou par plusieurs personnes et d’ailleurs la Cour n’a pas hésité, de par le passé, à appliquer de façon large cette forme de prorogation de compétence (Cour d’appel, 18.02.2003, n°48/03V, Cour d’appel, 12.07.2005, n°22/05 Ch.crim.). Ainsi, il est de jurisprudence constante que les juridictions nationales sont compétentes pour connaître des faits commis à l’étranger par un étranger lorsque ces faits apparaissent comme indivisiblement liés avec des infractions également imputées devant ces juridictions à cet étranger et dont elles sont également saisies (J-Cl.Procédure pénale, v°connexité et indivisibilité, n°56 ; Arrêt n°189/03 V du 24 juin 2003). En conséquence, la bonne administration de la justice commande également de connaître de l’ensemble des infractions reprochées aux prévenus, les faits leur reprochés ont, en effet, un point commun, ils procèdent d’une intention unique et constituent tous des manifestations d’une même et unique cause qui est la source commune de l’ensemble des infractions aux articles 509-1, 509-2 et 509-3 du Code pénal commises entre le 7 et le 8 mars 2016. Le Tribunal est partant compétent pour connaître de toutes les infractions reprises à la citation à prévenus. Les infractions en cause Comme déjà exposé ci-avant, le Ministère public reproche aux prévenus P1.) et P2.) d’avoir commis entre le 7 et 8 mars 2016 les infractions en matière informatique prévues aux articles 509-1, 509-2, et 509-3 du Code pénal dans les circonstances de l’espèce déjà exposées. Il résulte de l’ensemble des considérations reprises ci-avant et par ailleurs non contestées par P1.), qu’il a accédé au système informatique de son employeur, tant à distance le 7 mars 2016, qu’en site le 8 mars 2016 et d’avoir intentionnellement introduit des scripts qui étaient prévus pour s’exécuter automatiquement à une date précise, d’avoir également supprimé toutes les sauvegardes du système informatique du serveur dans lequel il a pu accéder et qu’il a modifié des lignes de codes afin d’empêcher la restauration des données correctes avec la circonstance que ces actions ont entravé le fonctionnement de ce système informatique. En ce qui concerne la prévenue P2.), le Tribunal retient de ses déclarations auprès de la Police qu’elle était parfaitement au courant de ce que P1.) voulait faire et qu’elle lui a mis à disposition son ordinateur personnel en parfaite connaissance du fait qu’il allait accéder au système informatique de leur employeur afin de modifier des données informatiques, ceci par esprit de vengeance dans le cadre d’une procédure de licenciement prévisible. P2.) a par ailleurs cautionné moralement sa façon de procéder, que ce soit le 7 mars 2016 à son domicile ou le 8 mars 2017 sur le site de SOC1.) Luxembourg S.A. La défense de P2.) à l’audience du 27 octobre 2017 et qui consiste à faire plaider l’acquittement en raison de son ignorance en matière de programmation informatique n’emporte pas la conviction du Tribunal, car il est établi que P2.) savait pertinemment pourquoi son collègue de travail lui demandait de pouvoir se servir de son ordinateur personnel. Son ignorance technique en matière de programmation informatique ne saurait, dans les circonstances de l’espèce, être élisif de sa responsabilité. En effet, sans l’aide

5

éclairée de P2.), le fait commis par P1.) n’aurait pas pu être exécuté tel qu’il a été commis en définitive. P1.) et P2.) sont dès lors à considérer comme auteurs au sens des dispositions de l’article 66 du Code pénal en relation avec les infractions aux articles 509-1, 509-2 et 509-3 du Code pénal à retenir à leur encontre. Les prévenus P1.) et P2.) sont partant convaincus: « comme auteurs, entre le 7 et le 8 mars 2016 et notamment le 7 mars 2016 vers 18.20 heures,

1. d’avoir frauduleusement accédé et s’être maintenu dans partie d’un système de traitement et de transmission automatisé de données,
2. d’avoir intentionnellement et au mépris des droits d’autrui, entravé et faussé le fonctionnement d’un système de traitement et de transmission automatisé de données,
3. d’avoir intentionnellement et au mépris des droits d’autrui, directement introduit des données dans un système de traitement et de transmission automatisé et supprimé et modifié les données qu’il contient et leur mode de traitement et de transmission, en l’espèce, d’avoir frauduleusement accédé au système informatique de la société SOC1.) Luxembourg S.A. et d’avoir, intentionnellement et au mépris des droits de cette société introduit des scripts dans ce système tendant à s’exécuter automatiquement pour ainsi formater tous les disques durs des deux serveurs, supprimé toutes les sauvegardes de ce système, ainsi que modifié des lignes de codes afin d’empêcher la restauration des données correctes avec la circonstance que ces actions ont entravé le fonctionnement de ce système informatique ». La peine applicable Les infractions retenues dans le chef des deux prévenus se trouvent en concours idéal pour avoir été projetées et exécutées comme résultat d’une intention délictuelle unique, de sorte qu’il y a lieu à application de l’article 65 du Code pénal. La peine la plus forte est portée par les dispositions des articles 509-2 et 509-3 du Code pénal qui prévoient chacun une peine d’emprisonnement de trois mois à trois ans et une amende facultative de 1.250 euros à 12.500 euros pour quiconque aura intentionnellement et au mépris des droits d’autrui, directement ou indirectement, introduit des données dans un système de traitement ou de transmission automatisé ou supprimé ou modifié les données qu’il contient ou leurs modes de traitement ou de transmission. Il est un fait que P1.) a fait preuve d’une détermination et d’une volonté de nuire certaines. L’installation à distance d’un programme informatique nuisible, destiné à s’exécuter un jour férié (le 1er mai 2016) dénote à l’évidence d’une réflexion dans la commission de ses actes en vue de la maximisation du dommage. Le fait de faire plaider par la suite qu’il avait été au courant que son employeur disposait d’une sauvegarde de sécurité n’affecte en rien cette détermination de nuire. Par ailleurs, il 6

faut relever que l’atteinte au système informatique avait été réalisée, tant à distance, qu’en site, deux jours de suite ; cette façon de procéder dénotant à l’évidence une persévérance dans l’intention de nuire. S’il est vrai que P2.) n’a pas directement procédé à une quelconque manipulation du système informatique de son employeur, elle a non seulement moralement cautionné les agissements de P1.) en parfaite connaissance de cause, mais a également fourni une aide telle que sans cette assistance, l’accès à distance opéré par P1.) n’aurait pas pu être exécuté. En tenant compte de l’aveu partiel des deux prévenus, le Tribunal retient qu’une peine d’emprisonnement de 6 mois et une amende correctionnelle de 1.500 euros à l’encontre de P1.) et une peine d’emprisonnement de 3 mois et une amende correctionnelle de 1.250 euros à l’encontre de P2.) sont des sanctions appropriées en l’espèce. Dans la mesure où les deux prévenus ne disposent pas d’antécédents judiciaires au Luxembourg, il y a lieu de les faire bénéficier du sursis intégral en ce qui concerne les peines d’emprisonnement à prononcer à leur encontre, d’après les dispositions de l’article 626 du Code de procédure pénale. Au civil A l'audience du 27 octobre 2017, Maître Alexanne BOUVIGNIES, avocat exerçant sous son titre professionnel d’origine, en remplacement de Maître Michel MOLITOR, avocat à la Cour, tous les deux demeurant à Luxembourg, se constitua partie civile au nom et pour le compte de la société anonyme SOC1.) Luxembourg S.A. contre les prévenus P1.) et P2.). Cette partie civile déposée sur le bureau du Tribunal correctionnel de Luxembourg est conçue comme suit : (…)

Il y a lieu de donner acte à la demanderesse au civil de sa constitution de partie civile. Le Tribunal est compétent pour en connaître, eu égard à la décision à intervenir au pénal à l'égard des prévenus P1.) et P2.). La demande civile est recevable pour avoir été faite dans les forme et délai de la loi. Dans ses conclusions écrites, la partie civile réclame le montant de 2.793,75 euros avec les intérêts légaux à partir du 7 mars 2016, jour des infractions, jusqu’à solde.

7

Le mandataire du prévenu conteste la demande quant à son quantum en ce qui concerne P1.) et en raison de l’acquittement demandé pour P2.), il soutient l’incompétence du Tribunal correctionnel pour connaitre de ce volet de la demande au civil. A l’appui de sa demande, la partie civile a établi un tableau récapitulatif des heures apparemment prestées par le service informatique afin de rétablir et d’assurer un fonctionnement normal du système informatique. Aucun autre document n’est cependant joint en relation avec les heures effectivement prestées et les postes des différents préjudices dont la réparation est demandée. Si la demande pour ces postes est fondée quant à son principe eu égard à la décision à intervenir au pénal, le Tribunal ne dispose cependant pas de suffisamment d’éléments objectifs permettant de chiffrer exactement le quantum du préjudice réclamé. Le Tribunal retient cependant, ex aequo et bono, que la demande civile est fondée pour le montant de 1.000 euros, avec les intérêts légaux à partir du 7 mars 2016, date du premier accès frauduleux au système informatique du demandeur au civil et condamne P1.) et P2.) solidairement au paiement de cette somme.

PAR CES MOTIFS: le Tribunal d’arrondissement de et à Luxembourg, dix-neuvième chambre, siégeant en matière correctionnelle, statuant contradictoirement, les prévenus et défendeurs au civil P1.) et P2.) et leur mandataire entendus en leurs explications et moyens de défense, le mandataire de la demanderesse au civil entendu en ses conclusions et le représentant du Ministère public en ses réquisitions, statuant au pénal P1.) c o n d a m n e P1.) du chef des infractions retenues à sa charge et qui se trouvent en concours idéal, à une peine d’emprisonnement de six (6) mois et à une amende correctionnelle de mille cinq cents (1.500) euros, ainsi qu'aux frais de sa poursuite pénale, ces frais liquidés à 18,92 euros, dit qu’il sera sursis à l’exécution de l’intégralité de cette peine d’emprisonnement, a v e r t i t P1.) qu’au cas où, dans un délai de cinq ans à dater du présent jugement, il aura commis une nouvelle infraction ayant entraîné une condamnation à une peine d’emprisonnement ou à une peine plus grave pour crime ou délit de droit commun, la peine d’emprisonnement prononcée ci-devant sera exécutée sans confusion possible avec la nouvelle peine et que les peines de la récidive seront encourues dans les termes de l’article 56 al.2 du Code pénal, f i x e la durée de la contrainte par corps en cas de non-paiement de l'amende à trente (30) jours,

8

P2.) condamne P2.) du chef des infractions retenues à sa charge et qui se trouvent en concours idéal, à une peine d’emprisonnement de trois (3) mois et à une amende correctionnelle de mille deux cent cinquante (1.250) euros, ainsi qu'aux frais de sa poursuite pénale, ces frais liquidés à 18,92 euros, dit qu’il sera sursis à l’exécution de l’intégralité de cette peine d’emprisonnement, a v e r t i t P2.) qu’au cas où, dans un délai de cinq ans à dater du présent jugement, elle aura commis une nouvelle infraction ayant entraîné une condamnation à une peine d’emprisonnement ou à une peine plus grave pour crime ou délit de droit commun, la peine d’emprisonnement prononcée ci-devant sera exécutée sans confusion possible avec la nouvelle peine et que les peines de la récidive seront encourues dans les termes de l’article 56 al.2 du Code pénal. fixe la durée de la contrainte par corps en cas de non-paiement de l'amende à vingt-cinq (25) jours, c o n d a m n e P1.) et P2.) solidairement aux frais des infractions en concours idéal, commises ensemble; statuant au civil d o n n e acte à la société anonyme SOC1.) Luxembourg S.A. de sa constitution de partie civile, se d é c l a r e compétent pour en connaître, d é c l a r e la demande recevable en la forme, d i t la demande civile fondée et justifiée à concurrence de mille (1.000) euros, c o n d a m n e P1.) e t P2.), solidairement, à payer à la société anonyme SOC1.) Luxembourg S.A. le montant de mille (1.000) euros, avec les intérêts légaux à partir du 7 mars 2016, jusqu'à solde, c o n d a m n e P1.) et P2.) solidairement aux frais de la demande civile dirigée contre eux ; En application des articles 14, 15, 16, 27, 28, 29, 30, 50, 65, 66, 509-1, 509-2 et 509-3 du Code pénal et des articles 1, 2, 3, 155, 179, 182, 183-1, 184, 185, 189, 190, 190-1, 194, 195, 196, 626, 627, 628 et 628-1 du Code de procédure pénale, dont mention a été faite. Ainsi fait et jugé par Paul VOUEL, vice-président, Carole KUGENER, premier juge, et Jessica SCHNEIDER, juge, et prononcé par le vice-président en audience publique au Tribunal d’arrondissement à Luxembourg, en présence de Sandrine EWEN, substitut du Procureur d’Etat, et de Daniel ZANON, greffier, qui, à l'exception de la représentante du Ministère public, ont signé le présent jugement.

9