Accès frauduleux : la poursuite des personnes habilitées

Le Code pénal ne réprime pas « le piratage » de manière globale. Il distingue quatre infractions autonomes, qui obéissent chacune à des éléments constitutifs propres et se cumulent fréquemment dans un même dossier.

L’accès ou le maintien frauduleux (article 323-1 du Code pénal). Il s’agit d’entrer dans un système, ou d’y demeurer, sans y être autorisé. La peine est de trois ans d’emprisonnement et 100 000 € d’amende. Elle passe à cinq ans et 150 000 € lorsqu’il en résulte la suppression ou la modification de données, ou une altération du fonctionnement du système.

Exemples fréquemment rencontrés :

• un salarié utilise la session restée ouverte d’un collègue, ou son identifiant confié pour un dépannage ponctuel, afin de consulter des dossiers RH ou des grilles de rémunération ;
• un ancien salarié continue de se connecter au CRM ou à la messagerie de l’entreprise après son départ, faute de désactivation de ses accès ;
• un agent hospitalier ou un fonctionnaire consulte le dossier d’un proche, d’un voisin ou d’une personnalité, en dehors de toute prise en charge ou de tout motif de service ;

L’entrave ou le faussement du fonctionnement (article 323-2 du Code pénal). Sont visées les attaques par déni de service, les rançongiciels, la saturation volontaire d’un serveur ou toute manœuvre affectant le fonctionnement normal du système. Cinq ans d’emprisonnement et 150 000 € d’amende.

Exemples fréquemment rencontrés :

• le chiffrement des serveurs d’une entreprise par un rançongiciel, assorti d’une demande de rançon ;
• la saturation délibérée d’un site marchand ou d’un service public en ligne, le rendant indisponible ;
• un prestataire informatique en conflit avec son client qui modifie le mot de passe administrateur, coupe l’hébergement ou bloque le nom de domaine pour faire pression sur le règlement de sa facture ;
• un salarié sur le départ qui supprime des fichiers de configuration ou désactive les sauvegardes automatiques, rendant une application métier inexploitable ;

L’atteinte aux données (article 323-3 du Code pénal). Le texte réprime l’introduction, l’extraction, la détention, la reproduction, la transmission, la suppression ou la modification frauduleuse de données. Cinq ans et 150 000 € d’amende. C’est le fondement le plus souvent retenu contre des utilisateurs internes.

Exemples fréquemment rencontrés :

• l’extraction et la copie du fichier clients, des tarifs ou d’un portefeuille de contrats sur une clé USB ou une messagerie personnelle avant un départ vers un concurrent ;
• la modification de cotations comptables, d’écritures ou d’actes médicaux destinée à masquer une irrégularité ou à majorer une facturation ;
• la suppression de lignes, de dossiers ou de minutes dans un logiciel métier, à l’insu des autres utilisateurs habilités ;

La détention de moyens (article 323-3-1 du Code pénal). Importer, détenir, offrir ou mettre à disposition un équipement, un programme ou des données conçus ou spécialement adaptés pour commettre ces infractions est punissable, sauf motif légitime. Un enregistreur de frappe (keylogger) entre typiquement dans cette catégorie.

Exemples fréquemment rencontrés :

• l’achat et la conservation d’un enregistreur de frappe, matériel ou logiciel, destiné à capter les identifiants d’un collègue, d’un associé ou d’un conjoint ;
• l’installation d’un logiciel de surveillance (stalkerware) ou de prise de main à distance sur le téléphone ou l’ordinateur d’un tiers, à son insu ;
• la détention de listes d’identifiants et de mots de passe issus d’une fuite de données, ces éléments constituant des « données » au sens du texte ;

Deux précisions importantes : la tentative est punie comme l’infraction consommée (article 323-7 du Code pénal), et des peines complémentaires souvent redoutables peuvent être prononcées (article 323-5 du Code pénal), notamment l’interdiction d’exercer l’activité professionnelle à l’occasion de laquelle l’infraction a été commise.

2. Un salarié ou un administrateur habilité peut-il être poursuivi ?(spoiler : oui)

L’arrêt du 8 février 2012 : l’habilitation ne vaut pas immunité

L’arrêt rendu par la chambre criminelle le 8 février 2012 (n° 11-81.865) constitue le point de départ de cette analyse.

Le prévenu était poursuivi pour avoir modifié le programme de gestion informatique d’un groupement d’imagerie médicale, s’agissant de la facturation de l’acte de scanner dentaire. Autrement dit, l’intervention ne portait pas sur un système auquel il aurait été étranger, mais sur l’outil de gestion de la structure au sein de laquelle il exerçait. La cour d’appel d’Aix-en-Provence, statuant sur renvoi après une première cassation, l’a condamné le 22 février 2011 à 5 000 € d’amende pour atteinte à un système automatisé de données, et a statué sur les intérêts civils.

Le pourvoi soutenait notamment que les articles 323-1 et suivants du Code pénal n’auraient vocation à protéger le système que contre les tiers, non contre ses utilisateurs légitimes, et que la modification opérée ne procédait d’aucune intention de nuire.

La Cour de cassation rejette le pourvoi. Elle retient que le seul fait de modifier des données contenues dans un système de traitement automatisé est pénalement répréhensible, « même par une personne habilitée à accéder au système », et qu’il importe peu que la modification ait été ou non opérée en violation de dispositions légales, réglementaires ou contractuelles.

Trois conséquences doivent être retenues :

i. L’habilitation technique ne constitue pas un fait justificatif. Disposer d’un compte, d’un profil ou de droits d’écriture ne place pas hors du champ de la répression.

ii. L’absence de règle interne violée est indifférente. On ne peut pas se défendre en soutenant qu’aucune charte informatique ou clause du contrat de travail n’interdisait l’opération. 

iii. L’intention de nuire n’est pas exigée. L’élément moral se satisfait de la conscience d’accomplir une opération non autorisée sur les données, sans qu’il faille démontrer une volonté de porter préjudice.

La finalité de l’intervention

Un associé se présentant comme administrateur du réseau d’un cabinet avait installé un logiciel espion sur le poste d’une consœur, puis consulté sa messagerie personnelle. La Cour de cassation a retenu le maintien frauduleux, en relevant que l’exploitation de l’outil à des fins étrangères au contrôle du bon fonctionnement du cabinet caractérisait l’infraction — et que l’exercice des droits de la défense dans un litige civil ne constituait pas un fait justificatif (Crim., 10 mai 2017, n° 16-81.822).

Dans un contexte hospitalier, un médecin contractuel avait installé un enregistreur de frappe sur les postes de deux praticiens afin d’obtenir leurs codes d’accès et d’intercepter leurs courriels. Condamnation pour accès frauduleux et pour détention d’équipement sans motif légitime, la Cour précisant que cette justification est réservée aux personnes habilitées à assurer la maintenance et la sécurité d’un parc informatique, agissant dans le cadre de leurs missions (Crim., 16 janvier 2018, n° 16-87.168).

Deux constats en découlent. D’abord, le pouvoir technique ne vaut pas autorisation juridique : ce qui compte est la finalité de l’intervention.

La dissimulation de l’intervention

La dissimulation de l’intervention constitue un indice détérminant dans la réalisation de l’infraction, en particulier lorsque l’auteur dispose par ailleurs de droits d’accès et de modification au système. Deux arrêts de la chambre criminelle apportent des précisions utiles sur la manière dont ce critère doit être apprécié.

Dans une affaire concernant un logiciel de gestion de pharmacies, la chambre criminelle a jugé que les atteintes prévues aux articles 323-1 à 323-3 ne peuvent être reprochées à la personne qui, disposant des droits d’accès et de modification, procède à des suppressions de données sans les dissimuler à d’éventuels autres utilisateurs du système (Crim., 7 janvier 2020, n° 18-84.755). La relaxe est ici fondée sur la transparence de l’opération.

À l’inverse, dans une affaire de suppression de données au sein d’un greffe, la chambre criminelle a retenu la qualification de suppression frauduleuse, précisément parce que les opérations avaient été menées à l’insu d’un autre utilisateur du système (Crim., 8 juin 2021, n° 20-85.853).

La frontière pénale ne se situe donc pas entre accès autorisé et accès non autorisé, mais entre usage légitime du droit d’accès et détournement de ce droit à des fins étrangères à sa finalité. L’autorisation d’accéder à un système ne constitue pas un blanc-seing : elle ne couvre que les opérations réalisées dans le cadre et pour les besoins des fonctions qui la justifient.

Dès lors, l’accès régulier ne fait pas disparaître, à lui seul, le risque pénal lorsque les prérogatives accordées sont utilisées à des fins dissimulées, personnelles ou étrangères aux missions confiées.

Dans le contentieux pénal, cette distinction se traduit avant tout par une question de preuve. Il faudra rechercher, au-delà des seules habilitations théoriques, les éléments permettant de caractériser un éventuel détournement : journaux de connexion, comptes et identifiants utilisés, horaires et fréquence des consultations, effacement ou altération des traces, nature des données consultées, finalité poursuivie, ainsi que connaissance ou absence d’information de la hiérarchie et des autres utilisateurs habilités.

3. L’atteinte à un système de traitement de données mis en oeuvre par l’Etat

Deux situations doivent être identifiées dès le début du dossier, car elles modifient l’échelle des peines et, souvent, le cadre procédural.

Lorsque l’atteinte vise un système de traitement de données à caractère personnel mis en œuvre par l’État, les peines des articles 323-1 à 323-3 du Code pénal sont portées à sept ans d’emprisonnement et 300 000 € d’amende. 

Il est donc essentiel de qualifier précisément la nature du système concerné : fichier de police, traitement de sécurité publique, application ministérielle, plateforme d’un opérateur public.

Par ailleurs, certaines atteintes relèvent du régime procédural de la criminalité organisée et des dispositions spéciales du Code de procédure pénale (article 706-72), ce qui ouvre l’accès à des techniques spéciales d’enquête, notamment la captation de données informatiques.

Le Conseil constitutionnel a rappelé en 2023 l’exigence d’un encadrement strict et proportionné de ces techniques (décision n° 2022-846 DC du 19 janvier 2023).

4. Les réflexes utiles en cas de mise en cause

Trois points méritent d’être préparés avant toute audition.

Documenter le périmètre exact de ses droits d’accès. Contrat, fiche de poste, charte informatique, délégations, comptes techniques attribués : cette base conditionne toute la discussion sur le caractère frauduleux.

Reconstituer la chronologie technique. Journaux de connexion, comptes utilisés, postes concernés, outils d’accès distant ou de synchronisation. La défense se joue souvent sur des éléments que les enquêteurs n’ont pas exploités.

Ne pas intervenir sur les supports. Toute manipulation postérieure d’un poste, d’un compte ou d’une messagerie est susceptible d’être interprétée comme un effacement de traces, et d’aggraver sensiblement la lecture du dossier.

Enfin, l’intégrité des preuves numériques constitue un terrain de contestation à part entière : conditions de saisie et de copie des scellés, calcul des empreintes numériques, accès effectif de la défense aux copies, exhaustivité des éléments exploités.

Vous êtes mis en cause pour une atteinte à un système informatique, ou vous êtes une entreprise victime d’une intrusion ou d’une exfiltration de données ? Le cabinet Boulet Avocat vous accompagne dans l’analyse de la situation et la conduite de la procédure. Contactez-nous pour en discuter.