3. Les réponses à la cybercriminalité

L’émergence de la cybercriminalité nécessite des changements importants dans la législation nationale et internationale, afin de donner aux forces de l’ordre les moyens de faire face aux délits impliquant la technologie. Le plus grand défi à la cybercriminalité en termes d’élaboration de la loi est peut-être la nature même de la loi. En règle générale, les lois ne peuvent être appliquées que dans le pays où elles ont été élaborées . Il est donc difficile d’appliquer les lois sur la cybercriminalité lorsque le criminel se trouve en dehors du territoire concerné. Cependant, la juridiction pénale peut être extra-territoriale par nature lorsqu’une nation l’affirme, soit de manière générale, soit dans des cas spécifiques en vertu de son droit interne. Une autorité supranationale, telle que le Conseil de sécurité des Nations Unies, peut créer un tribunal international destiné à traiter un cas spécifique, comme les crimes de guerre dans un pays donné, ou un tribunal international établi en vertu d’un traité afin de traiter un domaine de compétence déterminé.

Au fil des ans, de nombreux pays sont parvenus à modifier leur législation existante pour étendre les concepts de divers délits traditionnels au monde numérique et pour ajouter de nouveaux délits. D’autres ont promulgué des lois entièrement nouvelles traitant uniquement de la cybercriminalité. La Conférence des Nations Unies sur le commerce et le développement (CNUCED) fournit une base de données sur la législation en matière de cybercriminalité dans le monde. Cette base de données indique que 80 % des pays se sont dotés d’une législation sur la cybercriminalité, tandis que 5 % en sont encore à des projets de loi. En Afrique (54 pays), 39 pays (72 %) se sont dotés d’une législation sur la cybercriminalité, 2 (4 %) en sont encore à un projet de législation, 12 (22 %) sont dépourvus de toute législation, et 1 (2 %) n’a pas de données disponibles.

La législation sur la cybercriminalité identifie les actions préjudiciables et les interdit. Cela crée automatiquement des normes de comportement acceptables pour l’utilisation des TIC. La législation aborde deux aspects distincts : l’aspect matériel, qui prévoit les actes criminels punissables, et l’aspect procédural, qui se concentre sur la collecte des preuves numériques et la poursuite des personnes identifiées pour violation du droit matériel.

Sous l’aspect matériel des législations sur la cybercriminalité, l’objectif est de créer ou de modifier des lois en vue de prévenir les activités illégales faisant appel à l’Internet. Dans certains cas, les lois existantes peuvent être suffisantes pour faire face aux activités illégales en ligne. Dans la plupart des cas cependant, les lois existantes ne permettent pas de gérer les activités préjudiciables en ligne, et il est impératif de créer de nouvelles lois pour criminaliser les activités illicites. Bien qu’il n’existe aucune liste exhaustive des actes de cybercriminalité, l’UIT fournit certaines ressources qui peuvent aider les pays à élaborer une législation appropriée en matière de cybercriminalité.

En Afrique, Maurice a mis au point le système mauricien de signalement en ligne de la cybercriminalité (MAUCORS). Ce système national en ligne permet au public de signaler en toute sécurité les cybercrimes intervenant sur les médias sociaux. Il proposera également des conseils qui permettront de reconnaître et d’éviter les types courants d’actes de cybercriminalité qui se produisent sur les sites de médias sociaux.

L’aspect procédural de la législation en matière de cybercriminalité concerne la collecte de preuves, l’identification des auteurs et les poursuites judiciaires, dans le but d’obtenir une condamnation. Cependant, cet aspect est plus complexe, car les informations sur Internet traversent les frontières sans présenter de documents de voyage. Ainsi, les criminels peuvent aisément contourner les cadres nationaux, s’attaquant à de nombreuses victimes dans différents pays, puisque les données nécessaires à l’enquête criminelle peuvent être stockées chez différents fournisseurs dans diverses juridictions. La coopération transfrontalière aux niveaux bilatéral, régional et multilatéral est indispensable pour accéder rapidement à ces données.

La plupart des accords bilatéraux en matière d’enquêtes criminelles sont conclus par le biais de traités d’entraide judiciaire (MLAT) traditionnels. Ces accords entre pays visent à recueillir et à échanger des informations et à traiter les questions d’extradition (parfois critiqués pour leur lenteur et leur insuffisance). L’entraide judiciaire exige une double incrimination : un acte doit être criminel dans les deux juridictions lorsqu’un pays demande l’assistance judiciaire d’un autre. Indépendamment du fait que la plupart des pays disposent de lois nationales sur la cybercriminalité, des problèmes peuvent se poser lorsque certains actes punissables dans un pays ne le sont pas dans un autre. Par exemple, le Philippin Onel de Guzman a créé en mai 2000 le ver informatique « Love Bug » qui a infecté plus de 10 millions d’ordinateurs personnels Windows dans le monde, dérobant les mots de passe pour les envoyer à tous les contacts du carnet d’adresses de l’ordinateur. À l’époque, le créateur du ver n’avait pas été poursuivi en justice. En effet, les Philippines ne disposaient pas de loi sur la cybercriminalité et il a bénéficié d’une totale impunité pour ses actions. Des incidents de ce type ont donné lieu à diverses initiatives visant à harmoniser les lois sur la cybercriminalité au niveau mondial.

Par conséquent, plusieurs blocs régionaux ont élaboré des cadres juridiques pour la cybercriminalité afin de permettre les enquêtes au-delà de leurs frontières nationales. Cela a donné lieu à diverses initiatives visant à harmoniser les lois sur la cybercriminalité entre les pays. Il arrive que les pays les plus avancés aident les pays moins développés à mettre en place un cadre juridique et réglementaire en matière de cybercriminalité.

Parmi les cadres internationaux, citons notamment la Convention de l’Union africaine sur la cybersécurité et la protection des données de 2014, la loi type du Commonwealth sur la criminalité informatique et liée à l’informatique, l’Accord de la Communauté des États indépendants (2016), l’Accord de l’Organisation de Shanghai pour la coopération dans le domaine de la sécurité internationale de l’information (2009), la Directive européenne sur les attaques contre les systèmes d’information de 2013.

Ces instruments se sont, dans une large mesure, influencés mutuellement, la Convention sur la cybercriminalité du Conseil de l’Europe jouant un rôle de premier plan dans la définition des normes internationales. Cette convention est le document le plus complet et le plus largement accepté en Europe et au-delà, mais elle doit encore surmonter des obstacles pour devenir un accord accepté au niveau mondial. La convention du Conseil de l’Europe sur la cybercriminalité vise à fournir une plateforme pour l’harmonisation des cadres juridiques au niveau mondial. Toutefois, cet objectif se heurte à plusieurs obstacles. Tout d’abord, chaque pays a une compétence territoriale en matière de droit pénal et apporte des perspectives différentes basées sur les traditions et la culture juridiques. Cela conduit au deuxième défi, à savoir que la transposition des dispositions de fond de la convention dans le droit national ne fonctionne pas toujours. En effet, cette transposition peut être en contradiction avec la constitution nationale. Ce qui peut être considéré comme une forme d’art en Australie peut être assimilé à de la pédopornographie au Mali. Tout cadre juridique international relatif à la cybercriminalité doit donc veiller à prendre en compte et concilier ces différences. Si l’harmonisation ne signifie pas la création de lois identiques, il doit y avoir une volonté délibérée de reconnaître les différences entre les lois locales des différents pays. En Afrique, ces facteurs affectent également la Convention de Malabo.

La négociation d’une nouvelle convention mondiale ou régionale peut prendre plusieurs années, voire plusieurs décennies. Il est donc probable que, pour l’instant, les conventions du CdE et de Malabo resteront les accords internationaux et régionaux les plus pertinents en matière de cybercriminalité pour les pays africains.

Parmi les autres initiatives, citons celles menées au niveau des Nations unies (telles que les travaux de l’Union internationale des télécommunications (UIT), de la Commission des Nations unies pour la prévention du crime et la justice pénale (UNCCPCJ) et de l’Office des Nations Unies contre la drogue et le crime (ONUDC)), ainsi que les forums et processus en cours pour la négociation de normes et autres instruments. D’autres parties prenantes, telles que le secteur privé, contribuent également à la lutte contre la cybercriminalité sous la forme de partage d’informations, d’activités de sensibilisation et de recherches adaptées à leur rôle unique de propriétaires de passerelles vers les infrastructures ou les services Internet.

Les domaines de coopération ne se limitent pas uniquement aux cadres juridiques et institutionnels. Les Opérations conjointes de lutte contre la cybercriminalité en Afrique (AFJOC) relèvent d’un projet visant à mener des actions coordonnées, fondées sur le renseignement, contre la cybercriminalité et ses auteurs dans les pays membres en Afrique, par la création d’un cadre de coordination régional harmonisé qui produira des plans d’action conjoints et mènera des activités d’application de la loi. L’idée est de s’attaquer aux faiblesses des réseaux et de la sécurité dans un contexte de croissance du marché clandestin et de niveaux élevés d’ingénierie sociale et de menaces à motivation financière contre les personnes vulnérables.

Le concept de cybersécurité est une autre question qui mérite d’être mentionnée lors de l’examen de la cybercriminalité. Si la cybercriminalité concerne la criminalité faisant appel aux TIC, la cybersécurité se concentre sur les mesures que les individus, les organisations et les pays peuvent prendre afin de se protéger contre les cybercriminels et les incidents. L’UIT définit la cybersécurité comme l’ensemble des outils, politiques, concepts de sécurité, mécanismes de sécurité, lignes directrices, méthodes de gestion des risques, actions, formations, bonnes pratiques, garanties et technologies qui peuvent être utilisés pour protéger le cyberenvironnement ainsi que les actifs des organisations et des utilisateurs. Le module de connaissances 2 présente les mesures que les pays devraient prendre pour élaborer des stratégies de cybersécurité.