Infractions au Code pénal, au Code de commerce ou au Code de l'environnement, Procédure pénale

Droit pénal des affaires

Les articles 323-1 et suivants du Code pénal répriment les atteintes aux systèmes de traitement automatisé de données. Le régime a connu une évolution dans le temps dans le sens d'un accroissement de la répression pour faire face aux dangers courus par les autorités et les entreprises exposées chaque jour davantage à la cybercriminalité. Les atteintes au système de traitement automatisé de données ont été formalisées pour la première fois par la loi 88-19 relative à la fraude informatique  qui a été transposée dans le Code pénal de 1992, aux articles 321-1 et suivants. Les quatre comportements initialement punis par ces articles  ont été complétés par la loi 2004-575 pour la confiance dans l'économie numérique  qui, à l'article 323-3-1, a instauré le délit de trafic de moyens destinés à commettre des infractions en matière informatique. Plusieurs lois sont ensuite intervenues pour introduire des circonstances aggravantes à ces différentes infractions . En particulier, l'article 323-3 réprime désormais le fait d'extraire, détenir, reproduire ou transmettre les données contenues dans le système informatique. Les peines encourues ont été aggravées par la loi 2015-912 relative aux renseignements .

La notion de système de traitement automatisé n'est pas précisée par les textes. Elle a été définie, lors des travaux préparatoires de la loi 88-19, par le rapporteur du Sénat comme “tout ensemble composé d’une ou plusieurs unités de traitement, de mémoire, de logiciel, de données, d’organe, entrée et sortie, et de liaison qui concourent à un résultat déterminé et ensemble étant protégé par des dispositifs de sécurité”. La référence à une protection par un dispositif de sécurité n’a pas été retenue dans le texte, le délit de l’article 323-1 étant constitué dès lors qu’une personne non autorisée pénètre dans un système informatique, que celui-ci soit ou non protégé . Cependant, même si la définition du rapport du Sénat n'a pas été reprise par la loi, elle constitue un guide d'analyse pour les juridictions lors de l'application de ces règles. Ainsi, la Cour d'appel de Paris, par référence à cette définition, a retenu que la notion de système suppose que ces éléments soient unis dans le but de produire un résultat déterminé : le traitement automatisé de données , la notion de données devant être comprise largement comme la représentation d'une information, à savoir la forme et non la substance d'un élément de connaissance quelconque .

L. 88-19 du 5 janvier 1988, JO 6 janvier 1988.

Accès et maintien dans un système de données informatisées (art. 321-1), fait d'entraver ou de fausser le traitement automatisé de données (art. 323-2), introduction, modification ou suppression de données (art. 323-3), participation à un groupement ou une entente en vue de de la préparation d'une ou plusieurs infractions aux articles précédents (art. 323-4).

L. 2004-575 du 21 juin 2004, JO 22 juin 2004.

L. 2012-410 du 27 mars 2012, relative à la protection de l'identité ; L. 2014-1353 du 13 novembre 2014, renforçant les dispositions relatives à la lutte contre le terrorisme.

L. 2015-912 du 24 juillet 2015, JO 26 juillet 2015, qui a exclu du champ d'application des articles 323-1 et suivant les mesures mises en œuvre par les services habilités de l'Etat spécialisés dans le renseignement.

TGI Paris, 18 septembre 2008 LawLex202200010031JBJ.

V. not. Paris, 24 octobre 2012, n° 11/00404, JCP 2012, 1371, note LASSERRE, qui rappelle que la définition de système automatisé de données a été fixée lors des travaux parlementaires par le rapporteur du Sénat et précisée par la doctrine, approuvée par Cass. crim., 19 mars 2014, LawLex202200003025JBJ, D. 2014. 912, LASSERRE CADEVILLE.

Cass. crim., 19 mars 2014, LawLex202200003025JBJ, D. 2014. 912, LASSERRE CADEVILLE.

95. Notion