Je pense qu’il y a plusieurs questions à se poser pour tenter de répondre :
1) Qui aurait qualité à agir ?
Possiblement la Linux Foundation je suppose. Les développeurs du noyau à titre individuel, peut-être, encore que ça me semble moins probable.
J’ai de gros doutes sur le fait que les utilisateurs du noyau (qu’ils s’agissent d’utilisateurs individuels ou de sociétés qui d’une manière ou d’une autre utilisent le noyau dans le cadre de leurs affaires — par exemple, un hébergeur qui propose des serveurs sous Linux à ses clients) puissent être considérés comme des parties recevables. Mais ça dépend aussi de la question suivante.
2) Quelle législation s’applique ?
À première vue la loi américaine (la Linux Foundation est une association américaine, les deux chercheurs sont affiliés à une université américaine). Mais si la loi française considère que des utilisateurs de Linux auraient qualité à agir (aucune idée si c’est le cas ou pas), alors je suppose qu’une boîte française comme OVH par exemple pourrait peut-être porter l’affaire devant les tribunaux français.
Il me semble (/!\ IANAL IANAL IANAL /!) que la loi française (tout comme la loi américaine d’ailleurs) ne se soucie pas forcément de savoir si l’infraction a eu lieu sur le territoire national ou si les auteurs sont français — si une victime identifiée est française, c’est suffisant pour que la loi française soit applicable. (/!\ IANAL IANAL IANAL /!)
3) Quelle infraction peut-on reprocher, le cas échéant ?
Dans la loi américaine, aucune idée.
Dans la loi française, pas sûr. Ce n’est clairement pas, il me semble (IANAL alert !), du « piratage informatique » (« accès ou maintien frauduleux dans un système de traitement automatisé de données », article 323-1 du code pénal). Je ne pense pas non plus que ce soit de l’« introduction frauduleuse de données » (article 323-3). Ça pourrait relever de l’« entrave au fonctionnement d’un système de traitement automatisé de données » (article 323-2), je suppose.
Ça c’est pour le pénal. Au civil, je doute très fortement que la moindre action soit possible (j’ai déjà de gros doute pour une action pénale de toute façon), puisqu’il me semble que le demandeur devrait prouver que l’action des chercheurs lui a causé un dommage. Les patchs n’ayant en définitive pas été introduit dans une version publiée du noyau, je ne vois pas comment quiconque pourrait prétendre avoir subi un dommage. Les développeurs noyau pourraient à la limite prétendre à un préjudice moral, mais ça me paraît léger pour fonder une action en justice.
[^] # Re: Légalité
Posté par gouttegd . En réponse à la dépêche Retour sur l’affaire des « patchs hypocrites » de l’Université du Minnesota. Évalué à 4. Dernière modification le 28 mars 2022 à 15:00.
Précautions d’usage : I Am Not A Lwayer.
Je pense qu’il y a plusieurs questions à se poser pour tenter de répondre :
1) Qui aurait qualité à agir ?
Possiblement la Linux Foundation je suppose. Les développeurs du noyau à titre individuel, peut-être, encore que ça me semble moins probable.
J’ai de gros doutes sur le fait que les utilisateurs du noyau (qu’ils s’agissent d’utilisateurs individuels ou de sociétés qui d’une manière ou d’une autre utilisent le noyau dans le cadre de leurs affaires — par exemple, un hébergeur qui propose des serveurs sous Linux à ses clients) puissent être considérés comme des parties recevables. Mais ça dépend aussi de la question suivante.
2) Quelle législation s’applique ?
À première vue la loi américaine (la Linux Foundation est une association américaine, les deux chercheurs sont affiliés à une université américaine). Mais si la loi française considère que des utilisateurs de Linux auraient qualité à agir (aucune idée si c’est le cas ou pas), alors je suppose qu’une boîte française comme OVH par exemple pourrait peut-être porter l’affaire devant les tribunaux français.
Il me semble (/!\ IANAL IANAL IANAL /!) que la loi française (tout comme la loi américaine d’ailleurs) ne se soucie pas forcément de savoir si l’infraction a eu lieu sur le territoire national ou si les auteurs sont français — si une victime identifiée est française, c’est suffisant pour que la loi française soit applicable. (/!\ IANAL IANAL IANAL /!)
3) Quelle infraction peut-on reprocher, le cas échéant ?
Dans la loi américaine, aucune idée.
Dans la loi française, pas sûr. Ce n’est clairement pas, il me semble (IANAL alert !), du « piratage informatique » (« accès ou maintien frauduleux dans un système de traitement automatisé de données », article 323-1 du code pénal). Je ne pense pas non plus que ce soit de l’« introduction frauduleuse de données » (article 323-3). Ça pourrait relever de l’« entrave au fonctionnement d’un système de traitement automatisé de données » (article 323-2), je suppose.
Ça c’est pour le pénal. Au civil, je doute très fortement que la moindre action soit possible (j’ai déjà de gros doute pour une action pénale de toute façon), puisqu’il me semble que le demandeur devrait prouver que l’action des chercheurs lui a causé un dommage. Les patchs n’ayant en définitive pas été introduit dans une version publiée du noyau, je ne vois pas comment quiconque pourrait prétendre avoir subi un dommage. Les développeurs noyau pourraient à la limite prétendre à un préjudice moral, mais ça me paraît léger pour fonder une action en justice.
/!\ IANAL IANAL IANAL /!\