La Sécurité et les systèmes d'information 
quels enjeux pour le droit ? 

I – La responsabilité civile contractuelle 
  
A – Les logiciels espions 
  
Deux hypothèses pourraient engager la responsabilité contractuelle de l'éditeur du logiciel :
  
–Un dysfonctionnement du logiciel :
Si le logiciel espion n'est pas fonctionnel, ou ne répond pas aux caractéristiques prévues par le contrat, alors comme pour tout logiciel, l'acquéreur pourra engager devant un tribunal civil la responsabilité contractuelle de l'éditeur.
On pourrait s'interroger sur la possibilité pour l'acquéreur d'agir en responsabilité dans l'hypothèse d'un logiciel espion dont la légalité parait douteuse . Néanmoins, les logiciels espions ne sont pas interdits par principe, leur utilisation est juste soumise à certaines conditions.
  
–L'introduction d'un logiciel espion au sein d'un logiciel : 
Il s'agit ici de l'hypothèse où un utilisateur utilise un logiciel, dans lequel l'éditeur, a à son insu, intégré un logiciel espion.
Les deux parties étant liées par un contrat, on peut envisager une action en responsabilité contractuelle. Le contrat qui lie l'acquéreur et l'éditeur ne comporte sûrement pas de clause précisant que le logiciel ne comporte pas de logiciel espion.
L'article 1134 du code civil dispose que les conventions “ doivent être exécutées de bonne foi ”. L'introduction d'un logiciel espion semble peu compatible avec la bonne foi contractuelle.
Il est envisageable d'agir en responsabilité contractuelle contre l'éditeur qui introduit un logiciel espion au sein d'un logiciel commercial à l'insu de l'utilisateur. 
  
B – Les antivirus 
  
L'éditeur d'antivirus fourni un logiciel dont le but est d'éradiquer les virus de l'ordinateur de l'utilisateur. Si ce logiciel n'éradique pas les virus, peut-on engager la responsabilité contractuelle de l'éditeur ?
Il faut déterminer si l'éditeur est tenu d'une obligation de moyens ou de résultat. La jurisprudence ne s'est pas prononcée sur ce point. Mais vu l’étendue du travail de l'éditeur et la multiplicité des virus nouveaux, la jurisprudence retiendra probablement l'obligation de moyens.
S'il s'agit d'une obligation de moyens, l'éditeur sera tenu de mettre en oeuvre tous les moyens nécessaires pour assurer la mission de son logiciel. Il est donc tenu de mettre à jour régulièrement son antivirus par exemple. On pourra prouver l'inexécution de cette obligation en montrant, par exemple que les autres antivirus auraient protégé le système.
Dans cette hypothèse, l'utilisateur pourrait engager la responsabilité de l'éditeur d'antivirus. 
  
II – La responsabilité civile délictuelle. 
  
A – Les logiciels espions 
  
Les logiciels espions sont parfois introduits à l'insu des utilisateurs sur leur système, parfois même certains virus sont aussi des logiciels espions.
Dans cette hypothèse, le créateur du logiciel espion et l'utilisateur ne sont pas liés par un contrat, par conséquent on ne peut pas engager la responsabilité contractuelle du créateur.
La responsabilité délictuelle nécessite une faute, un dommage et un lien entre les deux. La faute consiste ici en une  intrusion dans un système informatique à l'insu de son utilisateur, le dommage consiste en  la perte et /ou la communication de données personnelles et le lien de causalité doit être clairement établi entre cette  faute et le dommage subi.
En cas d'introduction d'un logiciel espion dans un ordinateur, celui qui l'a introduit pourra voir sa responsabilité délictuelle engagée et demander des dommages et intérêts. 
  
B – Les logiciels antivirus 
  
Des tiers au contrat victimes d'une défaillance de l'antivirus, peuvent-ils agir contre l'éditeur ?
Dans  l'hypothèse où sur un réseau, par exemple, un utilisateur est victime d'un virus qui aurait du être arrêté par le serveur, l'utilisateur est éventuellement lié contractuellement à l'exploitant du serveur mais pas avec l'éditeur d'antivirus.
Cependant les conditions de la responsabilité délictuelle peuvent être remplies : la faute de l'éditeur  de l'antivirus, le dommage et le lien entre les deux.
Il est possible pour un tiers d'engager la responsabilité délictuelle de l'éditeur du logiciel antivirus. 
  
III – La responsabilité pénale 
  
1 – Les atteintes aux données personnelles 
  
La loi “ informatique et libertés ” réglemente la collecte et l'utilisation des données nominatives.
Toute collecte doit s'accompagner d'une information de la personne dont les données sont connectées. Celle-ci doit être informée à la fois de la collecte mais aussi de l'utilisation qui sera faite de ces données.
Le non respect de ces dispositions constitue un délit prévu par l'article 226-16 du code pénal qui dispose : “ Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements automatisés d'informations nominatives sans qu'aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de trois ans d'emprisonnement et de 45.000 € d'amende. ”
Les atteintes aux données personnelles sont constitutives d'un délit et engagent la responsabilité pénale de leur auteur. 

2 – Les atteintes aux systèmes d'information 
  
Le code pénal sanctionne différentes atteintes à la Sécurité des systèmes d'information :
–L'intrusion : l'article 323-1 dispose “ Le fait d'accéder ou de se maintenir frauduleusement dans tout ou partie d'un système de traitement automatisé de données est puni d'un an d'emprisonnement et de 15.000 € d'amende ” 
–Le sabotage et les altérations : l'article 323-1 alinéa 2 dispose “ Lorsqu'il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de deux ans d'emprisonnement et de 30.000 € d'amende. ”
  
Il y a donc de multiples réponses juridique à une atteinte  aux systèmes d’informations.