Voisinage jurisprudentiel et doctrinal vérifié. Cliquez pour explorer.

• §Décision · AD86%STCOR ANDORRA, a 05 de setembre del 2018 - ROJ: STCOR 99/2018
• §Décision · AD86%STCOR ANDORRA, a 25 de juliol del 2018 - ROJ: STCOR 100/2018
• §Décision · AD86%STCOR ANDORRA, a 24 d'abril del 2018 - ROJ: STCOR 103/2018
• §Décision · AD86%STCOR ANDORRA, a 31 de juliol del 2018 - ROJ: STCOR 86/2018
• §Décision · AD86%STCOR ANDORRA, a 31 de juliol del 2018 - ROJ: STCOR 94/2018

STSJAD 115/2018 - ECLI:AD:TSJADAD:2018:115

I. Le contexte factuel et procédural

A. Les faits à l'origine du litige

Les faits à l'origine de la présente décision s'inscrivent dans un contexte de criminalité informatique et d'atteinte présumée à la sécurité des systèmes d'information d'envergure nationale en Principauté d'Andorre. Vers 16 heures 30, le 6 octobre 2005, le prévenu, M. Ruiz, né en avril 1947, de nationalité espagnole et dépourvu d'antécédents pénaux, s'est présenté auprès de l'Agence de protection des données d'Andorre (désignée sous le sigle anonymisé ORG_6 / APDA). Il y dénonça la découverte fortuite sur le réseau Internet d'un fichier informatique compressé contenant les données d'utilisateurs et les mots de passe associés au domaine institutionnel et national « andorra.ad », hébergé et administré par l'opérateur parapublic historique des télécommunications, le Servei de Telecomunicacions d'Andorra (désigné sous le sigle ORG_11 / STA, devenu ultérieurement ORG_8). Par cette démarche, l'intéressé entendait porter à la connaissance de l'autorité de régulation une fuite de données de grande ampleur et une vulnérabilité critique affectant la confidentialité des communications électroniques du pays.

Entendu dans le cadre de sa dénonciation, M. Ruiz a exposé que, durant la nuit du 29 au 30 septembre 2005, ainsi que dans la journée du 3 octobre 2005, alors qu'il se trouvait à son domicile privé et utilisait son ordinateur personnel, il effectuait des recherches afin d'obtenir le mot de passe d'un utilitaire de téléchargement de films ou le numéro de série d'un logiciel de conception graphique (ORG_7). À cette fin, il employait un logiciel client-serveur de partage de fichiers de pair à pair (P2P, ORG_9), connecté aux serveurs dénommés Sonny Boy 4 et Donkey Server 3. Selon ses déclarations, c'est de manière accidentelle qu'il aurait téléchargé un fichier compressé au format standard « .zip », intitulé textuellement : 100 email accounts password yahoo aol msm account emails password ORG_1 lycos mail cheat list.

La décompression de cette archive révélait deux éléments distincts censés s'ouvrir simultanément :

1. Un fichier au format PDF intitulé Thank You PDF, portant une métadonnée temporelle de création au 2 janvier 2004 ;
2. Un fichier au format texte brut dénommé 12500IMA Tested März 05.txt, dont la date de création enregistrée était le 30 septembre 2005.

L'examen du fichier texte mettait en évidence un en-tête structuré de dix-neuf lignes rédigées en langue allemande, intitulé 12.500 IMA TESTED MARÇ 2004. Ce préambule mentionnait qu'il s'agissait d'une compilation destinée au courrier indésirable (spam), l'auteur y remerciant les utilisateurs pour la consultation de son site web et renvoyant vers d'autres liens de diffusion similaires (le fichier portant la mention d'une vérification et d'une mise à jour intervenue au mois de mars 2005). À la suite de cet avertissement figurait une liste exhaustive de 15 980 adresses de messagerie électronique attachées au domaine national « andorra.ad ». Chaque adresse était nominativement associée à l'identité de personnes physiques ou de personnes morales, et juxtaposée à son mot de passe de connexion en clair, parfaitement intelligible et non chiffré.

Les investigations techniques ont rapidement établi que ces identifiants étaient rigoureusement authentiques et pleinement opérationnels, permettant d'accéder sans restriction aux correspondances électroniques confidentielles hébergées par le service de messagerie « andorra.ad ». La compromission touchait un spectre exceptionnellement vaste : figuraient sur cette liste non seulement les coordonnées de citoyens ordinaires et du déclarant lui-même, mais également les accès de nombreuses institutions et autorités publiques de premier plan de la Principauté — au rang desquelles le parquet (Fiscalia), le gouvernement andorran (Govern), des professionnels du droit (avocats) —, ainsi que de multiples entités privées et entreprises commerciales locales.

Lors du dépôt initial de sa plainte auprès de l'agence de régulation, M. Ruiz a remis son ordinateur portable personnel — un appareil de marque ORG_10 (Toshiba), référence S2401-304, modèle PS2241E-6HWP1-SP — au moyen duquel il affirmait avoir procédé au téléchargement litigieux. Au cours de cet acte d'instruction administrative, l'inspecteur Briones a copié les fichiers décompressés sur un support amovible (disque compact CD). Après ces manipulations, l'ordinateur portable a été restitué à M. Ruiz, qui a continué à l'utiliser régulièrement durant une période non contestée de 208 jours.

Quelques semaines plus tard, le 17 novembre 2005, M. Ruiz s'est rendu une nouvelle fois dans les locaux de l'autorité de protection des données afin de fournir un complément à sa dénonciation initiale. Il y a versé un second CD-ROM, confectionné par ses propres soins, contenant la capture d'écran d'un environnement réseau tendant à démontrer l'existence d'un ordinateur andorran identifié par l'adresse IP publique dynamique 194.158.XX.XXX (plage attribuée par l'opérateur STA à ses abonnés au service ADSL). D'après les allégations de M. Ruiz, cet ordinateur tiers partageait précisément l'archive contenant la liste des utilisateurs et des mots de passe compromis durant la nuit du 29 septembre et la journée du 1er octobre 2005, sur le réseau P2P ORG_9, ainsi que l'a consigné dans un procès-verbal officiel Mme Téllez, inspectrice de l'agence. Les vérifications administratives et policières ont permis d'établir que cette adresse IP précise était attribuée, au moment considéré, au terminal personnel d'un certain M. Herrera. Or, ce dernier exerçait des fonctions professionnelles au sein même de l'opérateur de télécommunications STA, tout en ne figurant pas sur la liste restreinte des agents habilités, de par leurs prérogatives techniques, à détenir ou manipuler le fichier central des mots de passe du serveur national.

B. Le parcours procédural et les prétentions des parties

Ces éléments ont donné lieu à l'ouverture d'une information judiciaire au sein de la juridiction pénale andorrane sous la référence d'instruction n° 3400028/2010. Le ministère public a poursuivi M. Ruiz devant le Tribunal de Corts (juridiction pénale de première instance de la Principauté) sous trois chefs d'accusation distincts qualifiés de délits majeurs (delictes majors) :

1. Le délit majeur d'interception de télécommunications portant atteinte à l'intimité d'autrui sans son consentement, expressément incriminé et sanctionné par l'article 183 du Code pénal andorran ;
2. Le délit majeur de création sans autorisation et au préjudice de tiers de fichiers clandestins de données à caractère personnel automatisées électroniquement, en violation des prescriptions légales relatives à la protection des données personnelles, prévu et réprimé par l'article 184, sous la lettre a), du Code pénal ;
3. Le délit majeur de création médiate de faux document (creació mediata de document inveraç), incriminé à l'article 438.1 du Code pénal, consistant à avoir provoqué l'établissement par un agent public d'un acte officiel attestant de faits matériellement inexacts.

Par un jugement prononcé le 29 décembre 2017, le Tribunal de Corts a statué de la manière suivante :

• Il a prononcé la relaxe pleine et entière (absolució) de M. Ruiz des chefs de création de fichiers clandestins de données personnelles (art. 184.a CP) et de création médiate de faux document (art. 438.1 CP), en laissant les frais de justice y afférents d'office à la charge de l'État ;
• Il est en revanche entré en voie de condamnation à l'encontre de M. Ruiz, retenu en qualité d'auteur responsable, du chef du délit majeur d'interception de télécommunications sans consentement (art. 183 CP), sans retenir de circonstances modificatives de sa responsabilité pénale ;
• En répression, il lui a infligé

PARTS:

Recorrent: MINISTERI FISCAL Recorregut: Sr. Ruiz

Advocat: Sr. Aguilar

M. I. Sra. Fátima Ramírez Souto

Andorra la Vella, setze d'abril del dos mil divuit.

En el recurs d'apel·lació interposat contra la sentència de data 29 de desembre del 2017 dictada pel Tribunal de Corts en la causa de referència, seguida pels delictes majors d'intercepció de telecomunicacions per vulnerar la intimitat d'un altre sense el seu consentiment tipificat a l'article 183 del Codi Penal, de creació sense autorització i en perjudici de tercers de fitxers clandestins de dades personals automatitzats electrònicament en infracció d'allò que es disposa en les normes legals de protecció de dades personals, tipificat a l'article 184.a) del Codi Penal, i de creació mediata de document inveraç tipificat a l'article 438.1 del Codi Penal, els components de la Sala Penal del Tribunal Superior de Justícia expressats al marge s'han constituït per a la vista i decisió, és ponent la M. Il·ltre. Sra. Fátima Ramírez Souto.

ANTECEDENTS DE FET

I.- RESULTANT: que el Tribunal de Corts dictà sentència de data 29 de desembre del 2017 amb la següent part dispositiva:

"DECIDIM:

ABSOLDRE Ruiz del delicte major de creació sense autorització i en perjudici de tercers de fitxers clandestins de dades personals automatitzats electrònicament en infracció d'allò que es disposa en les normes legals de protecció de dades personals tipificat a l'article 184.a) i del delicte major de creació mediata de document inveraç de l'article 438.1 del Codi penal dels que venia acusat, declarant d'ofici les despeses processals causades.

CONDEMNAR Ruiz, com responsable penal en concepte d'autor, del delicte major de intercepció de telecomunicacions per vulnerar la intimitat d'un altre sense el seu consentiment tipificat a l'article 183 del Codi penal, sense que concorrin circumstàncies modificatives de la responsabilitat penal a la pena d'UN ANY DE PRESÓ CONDICIONAL fixant el termini de suspensió de la condemna en dos anys i al pagament de les despeses processals causades.

No procedeix efectuar cap pronunciament en matèria de responsabilitat civil."

II.- RESULTANT: que el precedent fallo es recolza en els següents fets que declara provats en el seu primer Resultant:

"SÓN FETS PROVATS: vers les 16,30 hores del dia 6 d'octubre del 2005, el processat Ruiz, nascut el 00 d'abril de 1947, de nacionalitat espanyola i sense antecedents penals, denuncià prop de l'ORG_6 (APDA) la troballa a Internet d'un fitxer comprimit de dades d'usuaris i mots clau del domini andorra.ad, hostatjat i administrat pel ORG_11 (STA), actualment ORG_8, posant així en coneixement la possible vulneració i divulgació de dades de caràcter personal.

El processat Ruiz en la seva compareixença exposà que durant la matinada entre els dies 29 i 30 de setembre i el dia 3 d'octubre del 2005, en el seu domicili i amb el seu ordenador personal, mentre buscava un password d'un programa per baixar una pel·lícula d'Internet o un serial d'un programa anomenat ORG_7 de disseny gràfic, utilitzant el programa servidor ORG_9, descarregà casualment des dels servidors Sonny Boy 4 i Donkey Server 3, un fitxer informàtic comprimit en format .zip anomenat "100 email accounts password yahoo aol msm account emails password ORG_1 lycos mail cheat list" que, un cop descomprimit, contenia altres dos fitxers que s'obrien conjuntament : un fitxer tipus pdf anomenat "Thank You PDF" amb data de de creació 2/01/2004, i un fitxer tipus .txt anomenat " 12500IMA Tested MÄrz 05.txt " amb data de creació 30/09/2005, que contenia una capçalera amb 19 línies de dades introductòries en llengua alemanya amb el text 12.500 IMA TESTED MARÇ 2004 que explicava que es tractava d'un arxiu spam, l'autor agraïa la visita a la seva web i enviava altres adreces on hi havia més dades spam (el fitxer estava verificat i actualitzat el mes de març de 2005), després d'aquest text introductori hi havia una llista de 15.980 adreces de correu electrònic corresponents al domini andorra.ad, identificables amb els noms i cognoms de persones físiques i jurídiques, seguides dels seus corresponents codis o contrasenyes d'accés en format llegible, mots claus verificats com a correctes i permetent accedir a informació confidencial del servei de correu andorra.ad, trobant-se entre els usuaris el propi denunciant, organismes públics (Fiscalia, Govern, advocats...) i privats (empreses) diversos del Principat.

El mateix processat, en el moment de la denúncia a l'ORG_5 aportà el seu ordenador portàtil marca ORG_10 referència S2401-304 model PS2241E-6HWP1-SP serial núm. X G, amb el que havia fet la troballa. En aquell mateix acte Briones copià en un CD els arxius descomprimits.

Uns dies mes tard, el 17 de novembre del 2005, el processat Ruiz es personà de nou en les oficines de l'Apda i aporta un disc CD-rom, creat per ell mateix com a complement de la seva denúncia primera efectuada en data 6 d'octubre, que contenia una captura de pantalla de l'existència d'un ordenador andorrà amb adreça IP 194.158.XX.XXX ( IP pública donada als usuaris del servei de connexió Internet ADSL de l'STA de forma dinàmica) que segons semblaria compartia el fitxer d'usuaris i mots claus la matinada del dia 29 de setembre i el dia 1 d'octubre de 2005, també trobat al servidor P2P ORG_9, segons consta a l'acta aixecat per la Sra. Téllez, inspectora de la mencionada agencia. Aquesta IP era utilitzada en aquell moment per l'ordenador del Sr. Herrera que no era a la llista de persones autoritzades per raons professionals a tenir accés al fitxer de contrasenyes.

III.- RESULTANT: que contra l'esmentada sentència interposa recurs el Ministeri Fiscal impugnant l'absolució pel delicte major de creació sense autorització i en perjudici de tercers de fitxers clandestins de dades personals automatitzats electrònicament en infracció d'allò que es disposa en les normes legals de protecció de dades personals, tipificat a l'article 184.a) del Codi Penal, i de creació mediata de document inveraç, tipificat a l'article 438.1 del Codi Penal, interessant la condemna per aquests delictes per considerar erròniament valorades les proves pel Tribunal de Corts.

IV.- RESULTANT: que la defensa de Ruiz impugna el recurs del Ministeri Fiscal i interessa la confirmació de la sentència pel que fa a l'absolució dels dos delictes i la revisió per part del Tribunal de la condemna pel delicte major d'intercepció de telecomunicacions per vulnerar la intimitat d'un altre sense el seu consentiment.

FONAMENTS DE DRET

I.- CONSIDERANT: que el Ministeri Fiscal al·lega que l'absolució de Ruiz és el resultat d'una errònia valoració de les proves pel Tribunal de Corts respecte a l'origen del fitxer comprimit anomenat "100 email accounts password yahoo aol msm account emails password ORG_1 lycos mail cheat list" dintre del qual es trobava el fitxer denominat "12500IMA Tested MÄrz 05.txt" que contenia les 15.980 adreces de correu electrònic corresponents al domini andorra.ad amb les seves contrasenyes.

Exposa el Ministeri Fiscal els indicis en els que sustenta que l'acusat no va trobar el fitxer comprimit a Internet de forma casual i que el va crear ell amb la finalitat de desacreditar a l'empresa parapública STA i el Govern d'Andorra, posant de relleu l'existència de deficiències del servei en relació a la seguretat de les contrasenyes de correu electrònic.

Aquests indicis es basen fonamentalment en l'informe pericial realitzat pel Servei de Policia i en l'auditoria feta per l'empresa ORG_4, que consideren que el fitxer 12500IMA Tested MÄrz 05.txt. amb les adreces de correu electrònic corresponents al domini andorra.ad que va ser copiat des de l'ordinador portàtil de l'acusat en un CD en les dependències de l'ORG_5, no va ser trobat a Internet malgrat la recerca exhaustiva que es va fer del mateix, i en els fitxers que es van trobar amb el nom "100 email accounts password yahoo aol msm account emails password ORG_1 lycos mail cheat list" no apareixien les adreces de correu.

Tampoc es va trobar a l'ordinador de Ruiz cap rastre del fitxer i això va portar als investigadors a concloure que podia haver esborrat voluntàriament tot rastre del mateix en el seu ordinador i que va fer servir un disc dur extern per fer impossible la seva trobada i poder comprovar el seu veritable origen.

A més dels informes del Servei de Policia i de ORG_4, el pèrit Sr. Pera va realitzar un altre informe a instància del Sr. Ruiz i va qüestionar la fiabilitat de la recerca a Internet del fitxer a través del seu nom, ja que l'únic criteri de recerca fiable es pel hash en ser invariable i garantir la identitat del contingut de l'arxiu, a diferència del nom que pot ser canviat. Això va portar al pèrit a la conclusió de que no es podia afirmar que el fitxer no estava a Internet. Aquesta mateixa conclusió queda reflectida al foli 36 de l'informe de ORG_4 quan es diu que aquest fitxer lliurat pot haver sortit d'Internet o haver estat creat o modificat ad-hoc per algú sense que hi hagi manera de demostrar-ho.

Tanmateix, s'ha de considerar que quan el Sr. Ruiz va portar el seu ordinador a l'oficina de l'ORG_5, després de ser copiat el fitxer va ser esborrat de l'ordinador, que aquest li va ser retornat i que el va fer servir durant 208 dies, fets declarats provats a la sentència que no han estan impugnats.

També va posar de relleu el mateix pèrit que l'ús continuat de l'ordinador pel Sr. Ruiz va determinar que moltes dades les esborrés de forma automàtica el propi sistema operatiu per l'escassa capacitat d'emmagatzematge del disc dur de l'ordinador (30 GB), i que és normal que l'usuari també esborri historials de navegació i fitxers temporals i no temporals. D'altra banda, l'ús d'un disc extern va explicar el pèrit que no és un fet anòmal quan és vol tenir més capacitat d'emmagatzematge. Tot això qüestiona de forma raonable que l'esborrat del fitxer i del seu rastre l'hagués fet de forma voluntària el Sr. Ruiz.

Respecte a la captura de pantalla de l'ordinador del Sr. Herrera, és cert que l'informe del Servei de Policia conclou que es va fer en una data posterior al moment en que diu el Sr. Ruiz, però el pèrit Sr. Pera aportà unes explicacions alternatives a la de que la captura es fes en una data posterior a la que va dir el processat, com són que l'arxiu que es va crear per a guardar la captura pogués haver estat involuntàriament modificat per canvis en la configuració de l'ordinador o per la descàrrega d'un software d'edició gràfica, o que l'arxiu aportat amb la còpia de la captura de pantalla va ser creat amb posterioritat a la data de la captura i abans de ser presentat a l'ORG_5, fet que podria determinar que consti la data de creació de l'arxiu i no de la captura de pantalla.

Respecte a aquesta captura aportada pel Sr. Ruiz, considera el Ministeri Fiscal que va ser falsejada de forma deliberada per aquell per inculpar al Sr. Herrera i crear l'aparença de que va ser ell el que va introduir a Internet el fitxer amb les adreces de correu electrònic, però no s'explica com va poder saber el processat que l'adreça IP 194.158.XX.XXX -algoritme dinàmic que serveix per identificar un usuari en un moment determinat i que és assignat de forma aleatòria per l'empresa gestora dels servei de telecomunicacions- era utilitzada en un determinat moment per l'ordenador del Sr. Herrera, persona que casualment treballava a l'STA. En aquest sentit, el pèrit Sr. Pera exposa en el seu informe, i no ha estat contradit, que és impossible predir o saber la IP d'una persona concreta abonada al servei d'Internet.

Partint de que no s'ha pogut demostrar la font o l'origen de la filtració del fitxer amb les adreces de correu electrònic, tal com s'al·lega pel Ministeri Fiscal, hi ha indicis de que el processat va ser qui va crear un fitxer comprimit contenint altres dos fitxers en un dels quals es trobaven les adreces de correu electrònic, però aquests indicis no són prou concloents per poder assignar de forma inequívoca a l'acusat la seva autoria perquè poden tenir una explicació diferent i alternativa a dita autoria, raó per la qual el Tribunal de Corts aplicant el principi "in dubio pro reo" va absoldre a l'acusat, absolució que ha de ser mantinguda per la Sala, tenint en compte també que la Sala no ha pogut percebre amb immediació les explicacions ofertes pels pèrits.

La confirmació de l'absolució del delicte de creació sense autorització i en perjudici de tercers de fitxers clandestins de dades personals automatitzats electrònicament determina igualment la confirmació de l'absolució del delicte de creació mediata de document inveraç perquè si no es pot considerar acreditat que el processat hagués creat el fitxer no es pot considerar provat que els fets exposats en la seva denúncia a l'ORG_5 fossin falsos. En qualsevol cas, l'acte d'autorització d'inspecció que el Ministeri Fiscal considera com el document en el que es consignen les manifestacions falses del processat no fa prova en front de tercers en quant que no acredita la realitat de les manifestacions d'aquest.

El recurs del Ministeri Fiscal, pel que s'ha exposat, es desestima.

II.- CONSIDERANT: que la representació de Ruiz no ha interposat recurs d'apel·lació contra la seva condemna pel delicte major d'intercepció de telecomunicacions per vulnerar la intimitat d'un altre sense el seu consentiment, raó per la qual el Tribunal no pot analitzar la correcció de la condemna tal com interessa la representació del Sr. Ruiz en el seu escrit d'impugnació del recurs del Ministeri Fiscal. No obstant, l'informe pericial del Servei de Policia i l'auditoria de ORG_4 va arribar a la conclusió de que el processat no es va limitar a accedir als arxius compartits per l'ordinador del Sr. Herrera a través del programa E-mule, sinó que una vegada conegut l'IP mitjançant el programa Angry IP va poder trobar un port obert i accedir i introduir-se a l'ordinador sense el consentiment del seu usuari.

III.- CONSIDERANT: que la sentència recorreguda ha de ser confirmada i es declaren d'ofici les costes del recurs.

Decisio

Vistes la Constitució, El Codi Penal, el Codi de Procediment Penal, la jurisprudència d'aplicació, i altres fonts del Dret del Principat d'Andorra,

DECISIÓ

La Sala Penal del Tribunal Superior de Justícia d'Andorra, en nom del poble andorrà, decideix:

1.- DESESTIMAR el recurs d'apel·lació interposat pel Ministeri Fiscal.

2.- CONFIRMAR la sentència de data 29 de desembre del 2017 dictada pel Tribunal de Corts en la causa 34000028/2010.

3.- DECLARAR d'ofici les costes del recurs. Aquesta sentència és ferma i executiva.

Manem que, una vegada notificada la present sentència a totes les parts, es retorni la causa al M. Tribunal de Corts, amb certificació de la present sentència, per al seu compliment i execució.

Així, per aquesta nostra sentència, definitivament jutjant, ho manem i signem.

Subir

Diccionario RAE

Analyse doctrinale approfondie sur la jurisprudence de Tribunal Superior de Justícia d’Andorra (Principauté d'Andorre) en matière de jurisprudence, détaillant la séquence jurisprudentielle et l'application de : Llei 9/2005, del 21 de febrer, qualificada del Codi penal. .