Le pirate éthique à l’épreuve du droit pénal et de la protection des données

Dans le monde numérique, l’identification de vulnérabilités peut prendre plusieurs formes, selon que la société gère la sécurité de son système informatique en interne, la confie à une société spécialisée ou à un pirate informatique indépendant. Généralement, à défaut de ressources humaines et techniques suffisantes en interne, la société décide de s’adresser formellement à une société spécialisée dans les tests d’intrusion (ou pentesting ) 2 ou de collaborer avec des pirates éthiques. Ces derniers, dont l’activité principale est de s’introduire au sein d’un système informatique afin d’en tester la résilience, peuvent être classés en deux catégories : d’une part, ceux qui sont entrés d’initiative dans ledit système, d’autre part, ceux qui s’y sont introduits après y avoir été invités (dans le cadre d’un programme de Bug Bounty Hunting ). Malgré l’expression de pirate et l’impression de liberté qu’elle entraîne, les pirates éthiques sont contraints de respecter les règles de droit en vigueur, ce qui les place dans une situation délicate à deux titres. Tout d’abord, les pirates éthiques doivent respecter la réglementation en matière pénale. Celle-ci permet, non sans déplaire, de poursuivre l’accès sans droit au sein d’un système informatique, et ce, peu importe l’intention de l’auteur. Ensuite, les pirates éthiques sont soumis à la réglementation relative à la protection des données à caractère personnel, que ce soit en leur qualité de responsable du traitement ou de sous-traitant. La première hypothèse sera toutefois la plus délicate compte tenu des nombreuses obligations imposées dans ce cadre, dont notamment le principe de licéité du traitement. Dans ce contexte, la situation du pirate éthique est non sans rappeler celle qu’occupait le lanceur d’alerte avant l’adoption de la directive européenne du 16 avril 2019. En effet, à l’instar de ce dernier, le pirate éthique révèle un état de fait qui menace l’intérêt général. Il devrait, à ce titre, bénéficier d’une protection équivalente, à tout le moins lorsqu’il est désintéressé.