CYBERSECURITE & ENNEMI DE L’INTERIEUR

L’infraction de maintien frauduleux dans un système de traitement automatisé des données peut être commise par l’administrateur de ce système, alors qu’il dispose, de par ses fonctions, d’un accès général audit système, dès lors qu’il utilise cet accès à des fins étrangères à ses fonctions (Crim.,2 septembre 2025, n024-83.605).

En matière de cybersécurité, la menace ne vient pas toujours de l’extérieur : victime peut-être d’un sentiment d’impunité, il arrive que l’administrateur du système d’information viole les règles dont il est pourtant le garant.

Le droit pénal permet de sanctionner son comportement, notamment via les infractions sanctionnant les diverses atteintes à un système de traitement automatisé de données (dits « STAD »), prévues et réprimées par les articles 323-1 et suivants du Code pénal.

Encore faut-il, pour cela, caractériser l’élément matériel et l’élément moral de l’infraction, ce qui ne va pas de soi lorsque le prévenu, à raison de ses fonctions, dispose d’un accès général au système d’information en cause, lui permettant, en l’occurrence, d’accéder à l’ensemble des messages échangés par le personnel de l’entreprise, y compris son dirigeant, et de les consulter.

Dans l’affaire rapportée, il était établi que l’administrateur du système avait consulté les messages échangés par le dirigeant avec des tiers dans sa boîte d’archives, à l’insu de ce dernier et en ayant conscience de l’illégalité de son comportement ; il les avait en outre transférés, de manière dissimulée, vers sa messagerie privée, la veille de sa mise à pied.

La Chambre criminelle approuve les juges d’appel d’avoir jugé l’administrateur système coupable de l’infraction de maintien frauduleux dans un système de traitement automatisé de données, malgré le droit général d’accès dont il disposait, dès lors qu’il a agi « à des fins étrangères à sa mission et l’insu » des émetteurs et destinataires des messages.

La solution est justifiée : il est légitime que l’administrateur d’un système ’information, qui dispose en général de tout pouvoir sur celui-ci, ne puisse s’en servir à d’autres fins que celles d’assurer son bon fonctionnement et sa sécurité ; a fortiori ne doit-il pas s’en servir au détriment de cette dernière. Comme le dit l’adage, à grand pouvoir, grande responsabilité.