Tronc commun / CEJM / CEJM appliqué — Responsabilité et cybercriminalité

CEJM appliqué — Responsabilité et cybercriminalité

Module CEJM appliqué. Ce que la loi punit, et où se situe la responsabilité du technicien et de son employeur.

1. Les infractions informatiques

La loi Godfrain de 1988, codifiée aux articles 323-1 et suivants du Code pénal, protège les systèmes de traitement automatisé de données (STAD).

Les peines sont aggravées lorsque l'infraction vise un STAD de l'État ou est commise en bande organisée. Les personnes morales encourent une amende quintuplée et des peines complémentaires.

2. Constituer l'infraction

Deux points de jurisprudence à connaître, parce qu'ils tombent régulièrement :

• Le dommage n'est pas nécessaire. L'accès frauduleux est constitué par le seul fait d'accéder sans droit, même sans rien modifier ni copier.
• La faiblesse de la sécurité n'excuse pas. Le fait qu'un système soit mal protégé ne rend pas l'accès licite. Un répertoire accessible sans mot de passe reste un système auquel on n'a pas le droit d'accéder, dès lors qu'on avait conscience de son caractère non public.
• Le maintien est autonome : découvrir un accès par hasard n'est pas une infraction, mais y rester une fois conscient de son caractère indu en est une.

Conséquence directe pour toi : un test d'intrusion, un scan de ports, un brute-force ou l'usage de sqlmap sur un système dont tu n'as pas la responsabilité constitue un délit, quelle que soit ton intention. La seule protection est une autorisation écrite et préalable du responsable du système, délimitant précisément le périmètre et la période. C'est ce qui distingue un audit d'une intrusion.

Depuis la loi de 2016, l'article 323-1 alinéa 4 protège le lanceur d'alerte : la personne qui signale de bonne foi une vulnérabilité à l'ANSSI n'est pas poursuivie, à condition de ne pas avoir exploité la faille ni divulgué les données.

3. Autres infractions

Un même incident cumule souvent plusieurs qualifications : un rançongiciel réunit accès frauduleux, entrave au fonctionnement, modification de données, extorsion, et violation de données personnelles au sens du RGPD.

4. La responsabilité juridique

Elles peuvent se cumuler : une fuite de données peut entraîner simultanément la responsabilité contractuelle envers le client, délictuelle envers les personnes concernées, pénale pour manquement à l'obligation de sécurité, et une sanction administrative de la CNIL.

Responsabilité du commettant (art. 1242 al. 5 du Code civil) : l'employeur répond des dommages causés par ses salariés dans l'exercice de leurs fonctions. Le salarié n'est personnellement responsable que s'il a outrepassé ses fonctions, agi sans autorisation et à des fins étrangères à ses attributions — c'est l'abus de fonctions.

5. La position du technicien

L'administrateur système occupe une place particulière : il dispose techniquement de moyens d'accès très larges, ce qui ne lui donne aucun droit juridique supplémentaire.

• Accès aux fichiers des salariés : les fichiers identifiés comme personnels ne peuvent être ouverts qu'en présence du salarié ou après l'avoir dûment appelé, sauf risque ou événement particulier. Tout ce qui n'est pas identifié comme personnel est présumé professionnel.
• Messagerie : les messages identifiés comme personnels relèvent du secret des correspondances.
• Journaux et surveillance : dispositifs proportionnés, inscrits au registre, portés à la connaissance des salariés, avec consultation préalable du CSE.
• Obligation de confidentialité : renforcée, souvent formalisée par une charte administrateur.
• Devoir d'alerte : signaler à sa hiérarchie une non-conformité ou une vulnérabilité connue. Exécuter une instruction manifestement illicite n'exonère pas de sa responsabilité.

Côté prestataire, la responsabilité s'apprécie au regard du contrat : obligation de moyens ou de résultat, périmètre, devoir de conseil, plafond d'indemnisation (voir Contrats et services informatiques). Un plafond de responsabilité n'est pas opposable en cas de faute lourde ou dolosive.

6. Réagir à un incident

1. Qualifier l'incident et son périmètre.
2. Préserver les preuves : figer le système, travailler sur copie, horodater (voir PRA, PCA et sauvegardes).
3. Notifier la CNIL sous 72 h s'il y a violation de données personnelles.
4. Informer les personnes concernées si le risque est élevé.
5. Déposer plainte auprès du C3N ou de la BEFTI — c'est ce qui ouvre l'enquête pénale.
6. Signaler à l'ANSSI si l'organisme est un opérateur essentiel ou important au sens de NIS 2.
7. Documenter l'ensemble, y compris les incidents non notifiés.

Ne jamais payer une rançon sans analyse : le paiement ne garantit ni la restitution ni l'absence de divulgation, il finance l'activité criminelle, et il peut poser des difficultés au regard des sanctions internationales. La seule réponse fiable reste une sauvegarde immuable testée.