« Redouté par les uns et adulé par les autres, le réseau des réseaux présente un double visage : ce peut être à la fois un danger et un vecteur de liberté. »
Elisabeth Guigou, Extrait d'un discours lors du Colloque « Internet et libertés publiques »   - Juin 2000

Introduction et mise en contexte

Internet, puissant outil de communication et vecteur sans parallèle de données, a consolidé, au tournant du nouveau millénaire, les prémisses de la société de l'information. Son inclusion dans la sphère commerciale, domestique et gouvernementale a offert aux principaux acteurs sociaux une capacité d'échange d'informations multilatérale, de nature diverse, d'une rapidité quasi instantanée et d'une portée massivement globale; qui était jusqu'alors impossible par les voies de communication traditionnellement employées. Ainsi, les courriels et la messagerie instantanée, les transferts financiers, les canaux de socialisation, l'accessibilité à un vaste bassin d'informations, de connaissances et de données diverses, permirent de réduire l'importance des frontières érigées par l'espace et le temps. Cependant, de pair avec tout progrès significatif, vient un ensemble d'effets secondaires indésirables. La hausse des flux informationnels sur le réseau mondial permit de mettre en évidence le côté pernicieux de l'information, de même que les risques relatifs aux imperfections de son outil de traitement, l'informatique, et les dangers d'entretenir des interactions sous le voile de l'anonymat. Tirant profit de caractéristiques intrinsèques au réseau mondial, des individus à la moralité douteuse ont tôt fait de transposer leurs conduites nuisibles sur Internet. Conséquemment, ces comportements déviants, facilités par Internet ou rendus possibles par le biais de ce dernier, ont donné naissance au terme culturellement accepté, mais plus ou moins défini, de la cybercriminalité. Contenus et propos haineux, fraudes financières, vols d'identités, virus informatiques, piratages de système, vente de produits illicites ou contrefaits, atteintes aux mœurs, viols des droits d'auteurs, réseaux pédophiles et autres phénomènes dommageables sont ainsi perçus comme des menaces, propagées par Internet, à la sécurité de l'internaute et des citoyens, à la crédibilité des gouvernements et à la viabilité économique des entreprises.

Toutefois, les risques introduits par Internet sont souvent difficiles à appréhender, masqués derrière une complexité technique qui se retrouve rarement parmi les déviances communes. Pour l'individu moyen, la dynamique derrière les cambriolages, les voies de fait ou les vols d'automobiles est élémentaire. Par contre, il n'est guère à la portée de tous de comprendre les mécanismes à l'œuvre à l'intérieur des actes de déviance commis sur Internet; particulièrement chez les non-initiés et les néophytes, majoritaires au sein des générations qui n'ont pas évolué avec l'informatique. Inductivement, devant la réalité nébuleuse et méconnue de la cybercriminalité, un réflexe commun à bien des êtres humains est de substituer l'incompris et l'inconnu par des bribes d'informations extraites de l'imaginaire ou de faits mal assimilés et dénaturés. S'est ainsi construit, par ce processus, une image culturelle de la cybercriminalité déformée et exagérée, alimentée par des articles médiatiques sensationnalistes à titre provocateur et insécurisant , souvent signés par des reporters généralistes puisant eux-mêmes leurs connaissances dans cette réalité biaisée de la déviance Internet (Hackers can attack heart devices , U.S. cyberspace chief warns of « digital Pearl Harbor » , Computer Virus Costs Reach $10.7 Billion This Year). Au paroxysme de cette réalité confondue, cybercriminalité et terrorisme s'entremêlent dans le concept de cyberterrorisme. Véritable représentation de la panique morale classique telle que conceptualisée par Cohen en 1972 (Leman-Langlois, 2006), le cyberterrorisme, dont le statut est encore au stade du mythe, parvient malgré tout à mobiliser l'attention d'une poignée d'experts et à soutirer du financement de la part des gouvernements. L'exercice Cyber Storm , réalisé le 6 février 2006 par le département du Homeland Security des États-Unis et le National Cyber Security Division, démontre à quel point la crainte des cyber attaques est prise aux sérieux, malgré son absence de manifestation réelle. Dans ce « jeu de guerre », plus de 100 agences, associations et corporations provenant du secteur public et privé, ont participé à une simulation d'une attaque informatique dirigée contre les États-Unis sur plusieurs fronts. Par ailleurs, le danger, lorsqu'il y a présence devant une menace perçue d'une réaction disproportionnée de la part de certains membres de la société, est alors de sombrer dans un processus décisionnel réactif, caractérisé par des choix hâtifs qui font fi de réflexions profondes. Les interventions émanant de ce mode décisionnel ont alors de fortes chances de se traduire en dépense colossale d'efforts et d'argent qui, à terme, n'offriront que des résultats neutres ou négatifs (O'Harrow, R., Higham S., 2005).

Devant la menace confuse que véhicule la cybercriminalité, le citoyen craintif remet sa sécurité aux mains de l'État. Bien que l'hystérie collective concernant la cybercriminalité n'ait pas atteint un niveau tel qu'il soit possible de parler de panique morale au même degré que le cyberterrorisme, le danger demeure que la réponse succombe aux pressions populaires. Le citoyen s'attend à ce que l'État mène une lutte efficace contre les problèmes de cybercriminalité perçus, qu'il déploie tous les efforts nécessaires pour assurer un seuil de sécurité acceptable. La réponse de l'État aura donc tendance à se modeler en fonction des attentes populaires, indépendamment des impacts réels des problématiques ciblées sur la société. Se forme ainsi une relation symbiotique entre l'ingérence de l'État dans ce qu'on conçoit comme la cybercriminalité et les craintes relatives à cette problématique criminelle qui se discernent dans les médias et les discours populaires. De cette façon, l'activité étatique s'intensifie suite aux dévoilements sur la place publique de situations inacceptables : des efforts législatifs ont été déployés pour rendre le cyber harcèlement illégal ultérieurement aux suicides de jeunes victimes (Megan Meier Suicide Establishes Online Harassment Law, 2007; States Pushing for Laws to Curb Cyberbullying, 2007) ; certains États américains obligent désormais toutes organisations à divulgué publiquement les brèches de données personnelles après qu'il y eut médiatisation d'importantes fuites de renseignements (Retailer TJX reports massive data breach , 2007 ; ChoicePoint's data breach losses reach $26.4M, 2006) ; et, au Canada, un projet d'amendement du Code criminel, facilitant la condamnation des voleurs d'identité, fut mis sur table, alors que la crainte du vol d'identité était en croissance au sein de la population canadienne (Fear of Identity Theft Making Canadians Wary to Shop Online this Holiday Season, 2007; Nouvel amendement au Code criminel canadien, 2007) ; ces exemples sont facilement multipliables.

Mais la législation est sans valeur si aucune volonté de l'appliquer n'est démontrée. À cette fin, l'État, fidèle à ses traditions, confie aux policiers le mandat de mettre en vigueur les lois du cyberespace. Toutefois, la criminalité dans l'univers de la réseautique informatique présente des caractéristiques fondamentales qui rendent difficile l'approche culturellement acquise des policiers. Dans cet univers où s'entrelacent réalité et fiction, où les barrières techniques sont élevées, la police a de la difficulté à établir des priorités et des plans d'action. Par ailleurs, l'intervention policière sur Internet est souvent coûteuse et n'obtient en revanche que de timides résultats. De nombreux obstacles se dressent à l'encontre de l'action policière dans le cyberespace et, par conséquent, il devient difficile de justifier la mobilisation des forces policières dans la plupart des cas de crimes informatiques. Corollairement, les activités de la police publique, à l'image de la réponse étatique, dépendront fortement de la perception sociale de la cybercriminalité pour obtenir des pistes d'action et du financement. Le résultat est alors une activité policière généralement anémique sur plusieurs points dont les cibles, objectifs et intérêts sont fluctuants selon les questions politiques et sociales à l'ordre du jour.

L'objectif de cet article sera d'exposer, avec plus de clarté, les difficultés qui complexifient l'intervention policière sur Internet. Pour ce faire, les quatre thèmes suivants seront abordés : les lacunes du renseignement criminel en matière de cybercriminalité, les problèmes d'enquêtes et de collecte de preuve, l'internationalité de la cybercriminalité et les difficultés relatives à la nature policière.  

Conclusion et réflexion
En 1997, Boyle proclamait la présence d'une unanimité parmi les utilisateurs d'Internet quant à l'idée que le réseau mondial ne pourra jamais être soumis à la régulation. L'auteur attribue ce consensus à la « Sainte Trinité » de l'Internet, où la technologie du média, la distribution géographique des utilisateurs et la nature du contenu circulant dans le cyberespace se combinent pour rendre ce mode de communication impropre au contrôle. A priori, les nombreuses impasses à l'intervention policière sur Internet semblent confirmer cette présomption. L'incapacité à produire un renseignement fiable de qualité, les problèmes d'enquêtes et de collecte de preuve, les difficultés relatives à la coopération internationale et l'incompatibilité de la culture policière relativement à la criminalité informatique laisse présager la faiblesse du contrôle dans le cyberespace. Dans cette perspective, prend naissance la croyance que l'Internet est une jungle où la déviance prospère sans embûches ni conséquences. Toutefois, cette assomption n'est qu'une conclusion hâtive, car l'Internet n'évolue pas sans régulation

Dans l'univers terrestre tout comme dans le cyberespace, le contrôle des comportements humains ne repose pas uniquement dans les mains de la police (Reiner, 2000). Dans toutes sociétés, la police ne joue qu'un rôle minimal, mais non moins important, dans la production totale du contrôle. Des institutions telles que la famille, le travail, l'école, la religion, la communauté et les institutions gouvernementales non policières jouent elles aussi un rôle dans la production du contrôle social (Brodeur, 2003; Loubet Del Bayle, 2007). Par conséquent, la police n'est en fait qu'une partie d'un ensemble plus grand de la production de la sécurité que Dupont (2007) baptise la gouvernance de la sécurité. Ainsi, selon Dupont, la police est une composante de l'État, qui représente l'une des trois grandes structures sociales qui supportent la gouvernance, les deux autres étant le marché et les réseaux. Cette approche théorique se transpose aisément dans la normalisation des comportements sur le réseau mondial. Dans cet univers, une part importante de la régulation est effectuée par l'entreprise privée, contrainte par les lois du marché à effectuer une certaine forme de contrôle afin de survivre. De même, des réseaux formels et informels se forment entre les différents acteurs d'Internet afin d'assurer un contrôle sur les activités qui s'y déroulent. Par exemples, des groupes de vigie sur Internet partagent de l'information avec des organismes gouvernementaux de surveillance non policière et des services policiers offrent par le biais de sites web des conseils aux internautes afin de réduire la victimisation en ligne. Ainsi, une multitude d'acteurs et de facteurs s'entremêlent pour former une toile de contrôle sur Internet.      

Au même titre que dans le monde matériel, le premier niveau de contrôle des activités sur Internet est le produit informel d'une autocensure imposé par la communauté des utilisateurs. Dans le désir d'évoluer au sein d'une communauté qui respecte les valeurs collectives, les utilisateurs d'Internet vont dénoncer ou rejeter tout comportement allant à l'encontre des normes acceptées. Ces normes ainsi défendues sont généralement le reflet des valeurs socialement acceptées dans l'espace terrestre. Seulement, les formes de censures appliquées par les internautes ne ciblent pas nécessairement les actes de nature criminelle. L'attention est dirigée plutôt sur les actes qui perturbent l'impression d'un certain ordre social (Wall, 2007). Ainsi, les actes déviants qui ne menacent pas les structures existantes sur Internet, tel que le partage de fichiers musicaux, ne seront pas soumis à un fort contrôle de la part des internautes. Les activités de contrôle effectuées par les citoyens du cyberespace se retrouvent sous diverses formes d'intensité variable. Au bas de l'échelle, s'inscrivent les sanctions dirigées contre les opinions divergentes et dérangeantes. Retrouvés principalement sur les forums de discussions et les salles de clavardage, ces contrôles visent à exclure du groupe les individus dont les opinions ou actions vont à l'encontre des valeurs partagées par le groupe. Ainsi, une personne qui tient des propos controversés pourra se voir attribuer l'étiquette de « troll » (venant de l'anglais « trolling » s'apparentant au terme appâter), utilisé pour désigner une personne dont les propos sont de nature futiles, hors sujet ou dérangeants, et dont l'objectif est généralement de provoquer une réponse émotive chez les autres utilisateurs, de susciter la controverse ou de briser le flot de la conversation. Devant une personne qualifiée de « troll », le consensus est d'ignorer les propos de l'individu, illustré par l'expression couramment employée, « dot not feed the troll » (ne pas nourrir le « troll », c.-à-d. ne pas gratifier ses propos d'une réponse). Une certaine forme de contrôle est ainsi appliquée puisque les personnes sont encouragées à respecter les normes du groupe sous peine d'être ignorées ou rejetées. De même, afin de garder un certain contrôle sur le contenu des discussions et des fichiers échangés, des personnes sont officiellement mandatées, la plupart du temps sur une base volontaire, pour filtrer le contenu en circulation et censurer les propos dérangeants (insultes, mots vulgaires, propos racistes, images offensantes et autres). Ces personnes, surnommées modérateurs, disposent de divers pouvoirs, dont la possibilité de supprimer des propos ou des images et de bannir de façon temporaire ou permanente des utilisateurs, en fonction de la gravité de leurs actions ou de la fréquence de leur récidive. Les valeurs défendues par les modérateurs combinent à la fois les intérêts propres à la communauté en ligne et les responsabilités légales et corporatives du propriétaire de l'environnement virtuel (Wall, 2007). Au plus au niveau du spectre de gravité, la déviance peut susciter les utilisateurs d'Internet à reporter le crime aux organismes appropriés, tels que l'Internet Watch Fondation, le Trading Standard, Phonebusters ou alors confier l'affaire directement à la police, en personne ou par le biais d'un site de dénonciation (Wall, 2007).

La régulation exercée par les utilisateurs d'Internet n'est qu'une partie de l'ensemble du contrôle dans le cyberespace. Une multitude d'acteurs exercent, de façon consciente ou inconsciente, des fonctions de contrôles dans le but de préserver et renforcer les valeurs morales dominantes. Groupes religieux, groupes de défense des droits, militants pour diverses causes, regroupements de justiciers autoproclamés (ex : 419 eaters), organismes privés ou publics, entreprises commerciales et autres acteurs interagissent entre eux, forment des réseaux, afin d'assurer la bonne conduite, de façon recherchée ou fortuite, sur les réseaux informatiques. Toutefois, le respect des valeurs morales n'est pas l'unique raison pour laquelle se déploie un contrôle sur Internet. Parralèlement se développe une autre forme de contrôle dont les objectifs se détachent d'un jugement moral positif ou négatif de l'acte pour se situer dans une rationalité purement économique. Dans cette optique, la gestion des activités déviantes s'effectue dans un contexte de maximisation des profits, où l'activité cybercriminelle est revue comme une source de perte de productivité, de réduction des bénéfices et de nuisance à la bonne réputation. L'entreprise doit donc se protéger contre les activités déviantes qui menacent ses opérations et doit lutter contre celles qui causent un préjudice à son marché économique. La fraude prévalente dans les transactions commerciales en ligne est un exemple du frein économique qu'entraîne la cybercriminalité. Nul doute, cette situation crée de la peur et de l'incertitude chez plusieurs utilisateurs qui se défendront alors de faire des achats en ligne (Burns, Whitworth, Thompson, 2004). À cet effet, un récent sondage du Wall Street Journal et Harris Interactive Personal Finance (2006) révélait que, par crainte d'être victimes de vol d'identité en ligne, 30 % des répondants limitaient leurs achats par Internet et 24 % réduisaient leurs transactions bancaires virtuelles. Devant l'inaptitude de l'approche étatique dans la régulation de l'Internet, il devient donc du ressort de l'entreprise commerciale à voir à la préservation de ses propres intérêts relativement à l'univers en ligne. L'approche du contrôle de la déviance relative à l'entreprise privée s'apparente généralement à la prévention situationnelle. En créant des logiciels sécuritaires, en modifiant l'architecture des codes, celle-ci crée des barrières à l'agir délinquant. La plupart des entreprises raisonnent de la manière suivante : « Si mon réseau informatique est bien sécurisé, le délinquant ne viendra pas commettre ses crimes chez moi ». S'est ainsi que naît sur Internet une foule de dispositifs sécuritaires, sous forme de modifications portées à l'architecture des codes, altérant les possibilités d'actions de l'internaute et la structure organisationnelle des activités en ligne. Toutefois, par elles-mêmes, les solutions technologiques ne peuvent avoir contrôle sur la totalité des activités en ligne. C'est pourquoi elles sont complémentaires à l'activité régulatrice des divers autres acteurs du cyberespace. Un fait à noter, l'univers du contrôle dans le cyberespace est beaucoup plus vaste et complexe que la brève incursion présentée ici et mériterait un approfondissement qui n'est pas l'objet de cet ouvrage

Au sein de la vaste mer de contrôles effectuée sur Internet, l'État, et à son extension la police, sont relégués à un rôle moins visible et proéminent que celui rempli dans la gouvernance de la sécurité du monde réel. Cette situation place l'instance policière dans une impasse. D'un côté, la police tend naturellement à vouloir s'approprier une part plus grande de la régulation de l'Internet qu'elle est réellement en mesure de traiter. Pour ainsi dire, depuis la création des appareils policiers, la police publique a acquis culturellement un certain monopole du contrôle de la criminalité. Or, la réduction de l'influence policière dans la sphère de la cybercriminalité est perçue par ces derniers comme une dépossession de leur objet d'intervention. À terme, cela peut se traduire par une réduction du financement ou même une marginalisation complète par rapport au champ de la cybercriminalité. Tout aussi importants, les citoyens s'attendent traditionnellement que la police soit le principal pourvoyeur du contrôle sur Internet, puisqu'il existe un consensus implicite sur le devoir de l'État de protéger le public de toutes formes de dangers (Wall, 2007). Toutefois, de l'autre côté, la police se heurte à de nombreux obstacles qui l'empêchent de s'imposer de pieds fermes dans le cyberespace. La confusion entourant la nature de la cybercriminalité, la complexité technique de l'informatique, la portée globale et l'anonymat du réseau mondial et autres barrières décrites précédemment rendent inefficaces l'approche policière traditionnelle. Cette impasse rend difficile la définition du rôle que devrait adopter la police dans le contrôle de la cybercriminalité. Les difficultés rencontrées par la police sur Internet ne sont toutefois pas un signe qu'elle y joue un rôle de moindre importance. Les instances policières sont des éléments cruciaux au contrôle de la déviance sur Internet puisqu'elles offrent un support important aux autres pourvoyeurs du contrôle. D'abord, elles confèrent aux autres acteurs une certaine légitimité d'action, une certaine crédibilité dans leurs actions, en ce sens que les instances policières peuvent être mobilisées si l'individu ne se plie pas aux règles. Il est fort à parier que l'absence totale de la police sur Internet se traduirait par un accroissement de la déviance, malgré la faible présence actuelle de la police dans le cyberespace. Ensuite, la présence policière est utile pour rassurer les craintes des citoyens, pour démontrer qu'une présence policière existe sur Internet. La police prend en note les plaintes des citoyens relatives à la criminalité informatique, démontrant qu'elle est à l'écoute des besoins de la population (même si elle ne donnera pas suite au dossier). La police est également importante dans les cas où l'activité criminelle est à ce point grave que la seule voie d'action imaginable est la poursuite criminelle (Wall, 1998). Cette liste des utilités de la police dans le contrôle de criminalité informatique est sommaire et très éloignée de l'exhaustivité. Néanmoins, un élément qu'il faut souligner est que le rôle de la police doit être conceptualisé dans une architecture du contrôle de la déviance virtuelle pris dans un sens large et informel, où divers acteurs coopèrent consciemment ou inconsciemment envers le maintien de l'ordre et des structures en place. Une question intéressante à débattre serait alors la suivante : « la police devrait-elle faire des efforts pour étendre son rôle et son influence dans le cyberespace ou devrait-elle rester confortablement dans le nid où elle se situe actuellement? ».