Posté par Maître / dans cybercriminalité et infractions

Le Droit pénal spécial – Manuel pratique des principales infractions

Volume 9 sur 10

(Faux, cybercriminalité et infractions informatiques)

Faux, cybercriminalité et infractions informatiques : faux publics, piratage, données, plateformes illicites, tentative et compétence territoriale.

CLXXVI. Faux en écriture publique ou authentique

à

CXC. Compétence territoriale, cyberattaques transfrontalières et application de la loi pénale française

Sommaire du volume

CLXXVI. Faux en écriture publique ou authentique

Le faux en écriture publique ou authentique constitue l’une des formes les plus graves du droit pénal des faux. Au 13 août 2026, l’article 441-4 du Code pénal prévoit que le faux commis dans :

une écriture publique ;
une écriture authentique ;
ou un enregistrement ordonné par l’autorité publique

est puni de :

10 ans d’emprisonnement et 150 000 euros d’amende.

L’usage d’un tel faux est puni des mêmes peines. Lorsque le faux ou l’usage est commis par une personne dépositaire de l’autorité publique ou chargée d’une mission de service public, agissant dans l’exercice de ses fonctions ou de sa mission, les peines sont portées à :

15 ans de réclusion criminelle et 225 000 euros d’amende.

La première distinction fondamentale est donc :

FAUX EN ÉCRITURE PUBLIQUE OU AUTHENTIQUE COMMIS PAR UN PARTICULIER → DÉLIT PUNI DE 10 ANS

mais :

MÊME FAUX COMMIS DANS SES FONCTIONS PAR UNE PERSONNE PUBLIQUE QUALIFIÉE → CRIME PUNI DE 15 ANS DE RÉCLUSION.

Cette distinction détermine notamment :

la nature délictuelle ou criminelle des faits ;
la juridiction compétente ;
certaines règles procédurales ;
la prescription ;
le régime de la plainte avec constitution de partie civile.

L’arrêt majeur récent est Cass. crim., 10 janvier 2024, n° 22-87.605, publié au Bulletin. La chambre criminelle y affirme qu’un écrit attestant un droit ou un fait, rédigé dans l’exercice de ses attributions par une personne dépositaire de l’autorité publique ou chargée d’une mission de service public, constitue une écriture publique au sens de l’article 441-4. Un courrier adressé par un maire à la Commission d’accès aux documents administratifs pouvait ainsi relever de ce régime.

I. Article 441-4 : texte spécial

L’article 441-4 appartient au chapitre Ier :

DES FAUX

du titre consacré aux atteintes à la confiance publique. Il doit être articulé avec l’article 441-1. L’article 441-4 détermine principalement :

la nature spéciale du support ;
le niveau de peine ;
l’aggravation tenant à la qualité de l’auteur.

Mais la falsification doit toujours correspondre aux principes généraux du faux :

altération de vérité ;
fraude ;
portée probatoire ;
préjudice.

L’arrêt du 10 janvier 2024 le rappelle expressément lorsqu’il vise la falsification frauduleuse « dans les conditions de l’article 441-1 ».

II. Trois catégories de supports

L’article 441-4 vise :

1. Écriture publique

2. Écriture authentique

3. Enregistrement ordonné par l’autorité publique.

Ces catégories doivent être distinguées.

III. Écriture publique

L’écriture publique est notamment celle qui émane, dans l’exercice de ses attributions, d’une personne exerçant une fonction publique et qui atteste :

un droit ;
un fait.

L’arrêt du 10 janvier 2024 donne désormais une formulation très claire de cette notion.

IV. Formule de la Cour de cassation en 2024

Il faut retenir :

ÉCRIT ATTESTANT UN DROIT OU UN FAIT + RÉDIGÉ DANS L’EXERCICE DES ATTRIBUTIONS D’UNE PERSONNE DÉPOSITAIRE DE L’AUTORITÉ PUBLIQUE OU CHARGÉE D’UNE MISSION DE SERVICE PUBLIC = ÉCRITURE PUBLIQUE POSSIBLE.

Cette définition est plus fonctionnelle qu’une simple classification formelle du document.

V. Le document n’a pas besoin de porter le titre « acte public »

L’arrêt de 2024 concernait un simple :

courrier d’un maire à la CADA.

La Cour ne s’est donc pas limitée à :

actes d’état civil ;
procès-verbaux ;
arrêtés ;
actes notariés.

La fonction de l’écrit et la qualité de son auteur sont déterminantes.

VI. Exemple : courrier du maire

Un maire adresse à la CADA un courrier indiquant :

« la commune n’a effectué aucun travail pour cet administré ».

Si ce courrier est frauduleusement mensonger et atteste un fait dans le cadre des attributions du maire :

écriture publique possible.

C’est précisément l’hypothèse examinée par la chambre criminelle en janvier 2024.

VII. Un courrier administratif peut donc être une écriture publique

Cette solution doit être distinguée du chapitre précédent. Un document qui n’entre pas dans l’article 441-2 peut néanmoins :

relever de 441-1 ;
ou, lorsqu’il émane fonctionnellement d’une autorité publique dans les conditions exigées, relever de 441-4.

VIII. Ne pas raisonner uniquement par apparence

L’analyse correcte n’est pas :

« papier à en-tête de mairie = 441-4 ».

Mais :

QUI L’A RÉDIGÉ ?

DANS QUELLE FONCTION ?

QUE L’ÉCRIT ATTESTE-T-IL ?

IX. Courrier privé d’un maire

Le maire écrit à un ami dans le cadre d’un litige familial privé. Il n’agit pas nécessairement dans l’exercice de ses attributions.

441-4 n’est donc pas automatique.

X. Courrier institutionnel du maire

Le même maire répond officiellement :

à une autorité administrative ;
dans l’exercice de son mandat ;
sur un fait relevant de la commune.

L’article 441-4 devient beaucoup plus pertinent.

XI. La qualité de l’auteur et la nature de l’écrit sont deux questions distinctes

Il faut demander :

le document est-il une écriture publique ?
qui a commis le faux ?

Car la réponse à la seconde question peut faire passer :

10 ans d’emprisonnement

à :

15 ans de réclusion criminelle.

XII. Particulier falsifiant une écriture publique

A falsifie un document public existant alors qu’il n’exerce aucune fonction publique. Peine de l’article 441-4, alinéa 1 :

10 ans + 150 000 €.

XIII. Agent public falsifiant dans ses fonctions

B, dépositaire de l’autorité publique, falsifie l’écrit dans l’exercice de ses fonctions. Peine :

15 ans de réclusion criminelle + 225 000 €.

XIV. L’aggravation transforme la nature de l’infraction

C’est essentiel. La forme de base est :

délictuelle.

La forme qualifiée tenant à l’auteur public devient :

criminelle.

Cette conséquence est au cœur de l’arrêt du 10 janvier 2024.

XV. Effet procédural : plainte avec constitution de partie civile

L’arrêt de 2024 concernait précisément la recevabilité d’une plainte avec constitution de partie civile. Le juge avait exigé une plainte préalable. La Cour de cassation censure :

si les faits dénoncés peuvent constituer un crime, le régime applicable aux délits imposant certaines formalités préalables ne pouvait être appliqué de la même manière.

XVI. Qualification pénale et procédure sont donc liées

Une erreur sur :

délit ou crime

peut entraîner une erreur sur :

juridiction ;
recevabilité ;
instruction ;
prescription.

XVII. Personne dépositaire de l’autorité publique

L’article 441-4 vise d’abord :

une personne dépositaire de l’autorité publique.

Cette notion est rencontrée dans de nombreux domaines :

élus ;
officiers de police judiciaire ;
agents investis de prérogatives publiques ;
officiers d’état civil selon les fonctions.

XVIII. Personne chargée d’une mission de service public

Le texte vise également :

une personne chargée d’une mission de service public.

Il faut donc éviter de réduire l’aggravation aux seuls fonctionnaires.

XIX. Fonction publique ≠ aggravation automatique

L’article exige :

agissant dans l’exercice de ses fonctions ou de sa mission.

Cette précision est fondamentale.

XX. Exemple

Un agent public falsifie chez lui un contrat de location personnel. Sa qualité professionnelle ne permet pas automatiquement d’appliquer l’alinéa criminel.

XXI. Exemple inverse

Le même agent falsifie un procès-verbal qu’il est habilité à établir dans l’exercice de ses fonctions. L’aggravation criminelle devient pertinente.

XXII. Officier d’état civil

Une jurisprudence importante illustre la situation. Dans une affaire concernant la falsification d’un acte de mariage par une personne agissant en qualité d’officier d’état civil, la chambre criminelle a considéré que les faits, à les supposer établis, relevaient du crime prévu par l’article 441-4, de sorte que la juridiction correctionnelle était incompétente.

XXIII. Formule à retenir

FAUX ACTE D’ÉTAT CIVIL PAR OFFICIER D’ÉTAT CIVIL DANS SES FONCTIONS → 441-4 CRIMINEL POSSIBLE.

XXIV. Compétence d’ordre public

Lorsque les faits sont de nature criminelle, le tribunal correctionnel ne peut pas les juger comme un simple délit par commodité. La compétence matérielle doit être respectée. L’arrêt relatif à l’officier d’état civil l’illustre directement.

XXV. Notaire

Le notaire constitue un exemple majeur en matière d’écriture authentique. Lorsque le faux concerne une mention bénéficiant réellement de la force authentique de l’acte et est commis par le notaire dans ses fonctions, la qualification criminelle peut être envisagée. Une ancienne jurisprudence rappelle d’ailleurs que le faux en écriture authentique commis par un notaire agissant dans ses fonctions peut relever de la forme criminelle de l’article 441-4.

XXVI. Mais toutes les mentions d’un acte notarié ne sont pas nécessairement authentiques au même degré

C’est une distinction capitale. Un acte notarié comporte :

constatations personnelles du notaire ;
déclarations des parties ;
descriptions ;
stipulations.

Toutes ne bénéficient pas nécessairement de la même force probante authentique.

XXVII. Cass. crim., pourvoi n° 04-85.177

La chambre criminelle a rappelé que le caractère authentique des mentions d’un acte dressé par un officier ministériel s’attache essentiellement aux faits que l’officier :

a accomplis lui-même ;
ou constate comme s’étant passés en sa présence dans l’exercice de ses fonctions.

Dans l’affaire concernée, certaines mentions descriptives du bien vendu ne bénéficiaient pas de cette force authentique, de sorte que la qualification spéciale de faux en acte authentique ne pouvait être retenue sur ce fondement ; le faux de droit commun restait toutefois à examiner.

XXVIII. Formule fondamentale

ACTE NOTARIÉ ≠ TOUTES SES PHRASES SONT AUTHENTIQUES AU SENS DU 441-4.

Il faut identifier la mention falsifiée.

XXIX. Première catégorie de mentions notariales

Celles que le notaire constate lui-même :

présence ;
signature ;
accomplissement d’une formalité ;
acte accompli devant lui.

Elles peuvent bénéficier de la force authentique particulière.

XXX. Deuxième catégorie

Les simples déclarations de parties :

« le vendeur déclare que… »

ne possèdent pas nécessairement la même authenticité intrinsèque quant à la vérité du fait déclaré. Il faut distinguer :

authenticité de la déclaration ;
vérité de son contenu.

XXXI. Exemple

Le notaire constate :

« A et B ont comparu et signé devant moi ».

Si A n’était pas présent et que le notaire le sait :

faux authentique particulièrement plausible.

XXXII. Autre exemple

A déclare au notaire :

« l’immeuble comporte trois pièces ».

Le notaire retranscrit cette déclaration sans vérifier matériellement l’immeuble. Si la description est fausse, il faut déterminer :

qui ment ;
quelle force probante s’attache à la mention ;
si 441-4 ou 441-1 est pertinent.

XXXIII. Faux de droit commun subsidiaire

La jurisprudence sur les actes notariés montre une méthode importante :

SI LA MENTION NE RELÈVE PAS DE LA FORCE AUTHENTIQUE → 441-4 PEUT ÉCHOUER, MAIS 441-1 PEUT RESTER ENVISAGEABLE.

XXXIV. Origine de propriété

Dans une affaire concernant un acte de vente notarié où certaines mentions relatives à l’origine de propriété étaient omises ou inexactes, la chambre criminelle a examiné la qualification de faux en écriture publique ou authentique et les conséquences de la qualité de notaire. Cette matière exige donc une analyse extrêmement fine du contenu exact de l’acte.

XXXV. Actes d’état civil

Ils constituent une autre catégorie classique d’écritures publiques. Exemples :

acte de naissance ;
acte de mariage ;
acte de décès.

Leur falsification par l’officier compétent dans l’exercice de ses fonctions peut relever du régime criminel.

XXXVI. Modification par un tiers

Un particulier modifie un acte d’état civil authentique. Il n’est pas dépositaire de l’autorité publique.

441-4, forme délictuelle de base : 10 ans + 150 000 €, sous réserve des éléments constitutifs.

XXXVII. Modification par l’officier d’état civil lui-même

S’il agit dans ses fonctions :

15 ans de réclusion + 225 000 €.

XXXVIII. Procès-verbaux administratifs

Un procès-verbal établi par un agent public dans ses fonctions peut être une écriture publique. Exemples selon les textes :

constat ;
opération ;
inventaire ;
procès-verbal de procédure.

XXXIX. Registres publics

Une jurisprudence relative à un receveur-percepteur a jugé que l’inscription volontaire de mentions inexactes dans les registres de la perception pouvait constituer un faux en écriture publique lorsque le fonctionnaire agissait dans l’exercice de ses fonctions.

XL. Exemple : registre de perception

Le receveur enregistre volontairement :

fausses imputations ;
dépenses fictives ;
mouvements inexacts.

Le registre n’est pas un simple document interne banal lorsqu’il possède une fonction probatoire dans la comptabilité publique.

XLI. Document interne peut donc parfois être une écriture publique

Il ne faut pas retenir :

« interne = pas public ».

Le critère est la fonction de l’écrit et les attributions de l’auteur.

XLII. Procès-verbal de police judiciaire

Un procès-verbal établi par un officier de police judiciaire dans le cadre d’une procédure pénale constitue naturellement un terrain majeur de l’article 441-4 lorsqu’il est allégué qu’il contient une falsification. Mais des règles procédurales particulières peuvent intervenir lorsque l’allégation de faux implique la régularité d’une procédure judiciaire.

XLIII. Actualité 2026 : faux allégué dans des procès-verbaux de police judiciaire

En février 2026, la chambre criminelle a rappelé l’importance de l’article 6-1 du Code de procédure pénale lorsque des faux allégués ont été commis à l’occasion d’une poursuite judiciaire et impliquent la violation d’une règle de procédure pénale. Dans l’affaire concernée, des procès-verbaux de police judiciaire étaient argués de faux et leur remise en cause impliquait notamment les principes de loyauté et d’équité de la procédure.

XLIV. Article 6-1 CPP : mécanisme préalable

Lorsqu’une infraction alléguée à l’occasion d’une poursuite judiciaire implique la violation d’une disposition de procédure pénale, l’action publique peut dépendre de la constatation préalable et définitive de l’illégalité de l’acte procédural. Cette règle peut donc avoir une importance pratique considérable dans les plaintes pour faux visant :

procès-verbaux ;
actes d’enquête ;
actes d’instruction.

XLV. Attention : tout faux commis dans une procédure n’est pas traité identiquement

Il faut demander :

LE FAUX ALLÉGUÉ IMPLIQUE-T-IL LA VIOLATION D’UNE RÈGLE DE PROCÉDURE ?

Cette analyse peut conditionner la recevabilité ou la mise en mouvement de l’action publique.

XLVI. Autorisation de prolongation de garde à vue

Une ancienne affaire concernait précisément une prétendue fausse signature sur une autorisation de prolongation de garde à vue. La chambre criminelle a rappelé l’articulation avec l’article 6-1 CPP lorsque le faux allégué touche directement à la régularité d’un acte de procédure.

XLVII. Procès-verbal de perquisition

Dans une autre affaire, il était soutenu que des procès-verbaux de perquisition avaient omis la présence de journalistes. La question était de savoir si cette omission constituait une altération frauduleuse de vérité dans une écriture publique. Cette hypothèse rappelle que :

OMISSION DANS UN PV ≠ FAUX AUTOMATIQUE.

Il faut démontrer :

la portée de l’omission ;
la vérité que le procès-verbal devait constater ;
l’intention frauduleuse.

XLVIII. Décision de justice

Une décision judiciaire est évidemment un acte public. Mais peut-on poursuivre un magistrat pour faux au seul motif qu’un jugement contiendrait des constatations ou motifs juridiquement ou factuellement erronés ? La jurisprudence impose une grande prudence.

XLIX. Cass. crim., pourvoi n° 15-86.922

La chambre criminelle a approuvé une décision relevant que les faits et motifs énoncés dans une décision de justice ne sont pas, en tant que tels, susceptibles d’être traités comme un faux en écriture publique ou authentique simplement parce qu’une partie estime qu’ils sont inexacts.

L. Pourquoi ?

Parce que le système juridictionnel prévoit :

voies de recours ;
appel ;
cassation ;
rectification selon les cas.

Le droit du faux ne doit pas devenir un moyen parallèle de remettre en cause toute décision juridictionnelle contestée.

LI. Décision juridiquement erronée ≠ faux

Un juge se trompe dans :

appréciation des faits ;
application du droit.

Cela relève des voies de recours.

PAS DU FAUX 441-4 AUTOMATIQUEMENT.

LII. Situation différente : falsification matérielle d’une décision

A modifie après coup un jugement :

montant ;
date ;
dispositif.

Là, le document lui-même est falsifié. L’analyse du faux redevient pleinement pertinente.

LIII. Faux jugement fabriqué

A crée entièrement un document imitant une décision judiciaire qui n’a jamais existé. Il s’agit d’une falsification d’écriture publique potentiellement très grave.

LIV. Greffier

La qualification dépendra également :

de la fonction exacte ;
de l’acte ;
du rôle de l’auteur.

Si une personne chargée d’une mission de service public falsifie dans ses fonctions une écriture publique, la forme criminelle peut être examinée.

LV. Écriture authentique

Deuxième grande catégorie :

l’écriture authentique.

L’exemple paradigmatique est l’acte reçu par un officier public habilité, notamment l’acte notarié.

LVI. Authenticité et force probante

L’authenticité n’est pas seulement une qualité esthétique ou formelle. Elle correspond à une valeur juridique spécifique attachée à l’acte et aux constatations couvertes par l’autorité de l’officier public.

LVII. Force probante renforcée

C’est précisément cette confiance particulière qui explique :

10 ans + 150 000 €

au lieu des :

3 ans + 45 000 €

du faux de droit commun.

LVIII. Acte authentique ≠ document administratif

Il faut distinguer :

Article 441-2

Document administratif constatant droit, identité, qualité ou autorisation.

Article 441-4

Écriture publique ou authentique. Les régimes ne sont pas équivalents.

LIX. Exemple notarial

Acte de vente authentique :

identification des parties ;
comparution ;
signatures ;
constatations de l’officier.

Certaines mentions peuvent relever de la force authentique.

LX. Faux matériel dans acte authentique

A substitue une page ou modifie un montant après signature. Le document authentique est matériellement falsifié.

441-4 possible.

LXI. Faux intellectuel par officier public

Le notaire constate volontairement :

« les parties étaient présentes »

alors qu’il sait qu’une partie ne l’était pas. La falsification peut être intellectuelle tout en portant sur une écriture authentique.

LXII. Faux intellectuel et 441-4

Il faut donc retenir :

441-4 N’EST PAS LIMITÉ AU FAUX MATÉRIEL.

L’écriture publique ou authentique peut être fausse :

matériellement ;
intellectuellement.

LXIII. Exemple : fausse constatation de signature

L’officier affirme avoir vu une personne signer. Il sait qu’elle n’était pas présente.

faux intellectuel en écriture authentique possible.

LXIV. Faux par omission dans acte authentique

Une omission volontaire peut parfois altérer la vérité. Mais il faut démontrer :

que la mention devait juridiquement figurer ;
que son omission transforme la portée de l’acte ;
que l’auteur agit frauduleusement.

LXV. Omission dans l’origine de propriété

La jurisprudence relative aux actes notariés montre que des omissions portant sur l’origine de propriété peuvent donner lieu à un contentieux de faux lorsque l’acte établit juridiquement des droits sur le bien.

LXVI. Mais pas de qualification automatique

Toute omission notariale :

erreur ;
oubli ;
maladresse

n’est pas un faux. Il faut prouver la fraude.

LXVII. Troisième catégorie : enregistrement ordonné par l’autorité publique

L’article 441-4 vise aussi :

l’enregistrement ordonné par l’autorité publique.

Cette branche est moins fréquemment étudiée mais doit être mémorisée.

LXVIII. Pourquoi cette catégorie ?

Le législateur protège non seulement les documents écrits mais également les enregistrements auxquels l’autorité publique donne une fonction officielle.

LXIX. Enregistrement numérique

La formulation permet de couvrir des supports non exclusivement papier. Il faut néanmoins que l’enregistrement soit bien :

ordonné par l’autorité publique

et qu’il remplisse les conditions générales du faux.

LXX. Simple enregistrement privé

Un enregistrement audio réalisé par un particulier n’entre pas automatiquement dans 441-4. Même s’il constitue un faux de droit commun, la catégorie spéciale exige le lien avec l’autorité publique.

LXXI. Plan établi par un agent public : limite jurisprudentielle

Une décision du 14 mars 2023, n° 22-81.900, est très instructive. La Cour a relevé qu’un plan argué de faux, bien qu’émanant d’un agent d’un service compétent en matière d’urbanisme, n’était annexé ni à :

un procès-verbal ;
un rapport ;
ni un autre document constituant une écriture publique ou un enregistrement ordonné par l’autorité publique.

La qualification criminelle de l’article 441-4 ne pouvait donc être retenue sur ce seul fondement.

LXXII. Formule à retenir

DOCUMENT ÉTABLI PAR UN AGENT PUBLIC ≠ ÉCRITURE PUBLIQUE AUTOMATIQUEMENT.

Cette proposition nuance fortement la règle générale.

LXXIII. Comment articuler 2023 et 2024 ?

En 2024, la Cour dit :

écrit attestant un droit ou un fait, établi dans l’exercice des attributions de l’agent public → écriture publique.

En 2023, elle refuse cette qualification à un plan isolé non rattaché à un procès-verbal, rapport ou document public approprié. La méthode est donc fonctionnelle :

L’ÉCRIT DOIT AVOIR UNE VÉRITABLE PORTÉE D’ATTESTATION PUBLIQUE.

LXXIV. Fonction publique ≠ fonction probatoire publique

Un agent peut créer :

brouillon ;
schéma ;
plan préparatoire.

Le seul fait que son auteur soit fonctionnaire ne suffit pas.

LXXV. Rapport officiel

Si le même plan est ensuite intégré à un rapport officiel attestant une situation :

la qualification peut devenir différente.

LXXVI. Falsification d’un document public par photocopie

Un original public demeure intact. A modifie une photocopie et la présente comme reproduction fidèle. Le faux peut porter sur cette copie. Il faut déterminer :

l’apparence donnée ;
la fonction probatoire ;
la catégorie exacte du support utilisé.

LXXVII. Scan falsifié d’acte authentique

Même logique. Un scan d’un acte notarié est modifié puis présenté comme copie fidèle. L’absence de modification de l’original n’empêche pas nécessairement une qualification de faux.

LXXVIII. Mais 441-4 ou 441-1 ?

Question délicate. Il faut déterminer si la copie falsifiée est elle-même utilisée comme représentation d’une écriture authentique au point d’entrer dans le régime spécial. La nature juridique de la copie doit être examinée avec prudence.

LXXIX. Faux extrait authentifié

Si un greffe ou officier public certifie frauduleusement conforme une copie qui ne l’est pas :

l’intervention publique elle-même peut constituer l’élément déterminant.

LXXX. Certificat de conformité public

Un agent écrit :

« copie conforme à l’original ».

Il sait que ce n’est pas le cas. La vérité sur la conformité est directement altérée.

LXXXI. Procès-verbal certifiant faussement une remise

Une jurisprudence concernant des fonctionnaires fiscaux et des agents de greffe a examiné la falsification alléguée d’un procès-verbal certifiant la conformité et la remise de documents. Elle illustre le fait que les mentions certifiées dans un procès-verbal public peuvent constituer le support du faux.

LXXXII. Préjudice

L’article 441-4 ne dispense pas de toute analyse du préjudice. La falsification doit relever de la notion générale de faux. Mais pour certaines écritures bénéficiant d’une forte confiance publique, le risque de préjudice peut découler largement de leur nature.

LXXXIII. Préjudice attaché à la force authentique

Un acte authentique falsifié peut :

créer une apparence de propriété ;
établir un faux consentement ;
rendre crédible une dette ;
modifier une situation familiale.

Le potentiel préjudiciable est souvent intrinsèque.

LXXXIV. Faux acte de vente

A modifie un acte de vente authentique pour faire apparaître :

un autre prix ;
un autre acquéreur ;
une autre origine de propriété.

Le préjudice patrimonial et juridique est évident.

LXXXV. Faux acte d’état civil

Modifier une naissance ou une filiation peut affecter :

identité ;
succession ;
nationalité ;
droits familiaux.

LXXXVI. Faux procès-verbal

Il peut compromettre :

poursuite pénale ;
droits de la défense ;
liberté ;
responsabilité.

LXXXVII. Le préjudice n’a pas besoin d’être déjà réalisé

Comme pour le faux de droit commun, le risque sérieux peut suffire.

LXXXVIII. Usage de faux en écriture publique ou authentique

L’article 441-4 punit expressément l’usage :

des mêmes peines que le faux.

LXXXIX. Usage forme simple

Usage d’un faux en écriture publique ou authentique par un particulier :

10 ans + 150 000 €.

XC. Usage aggravé par personne publique qualifiée

Si une personne dépositaire de l’autorité publique ou chargée d’une mission de service public utilise le faux dans l’exercice de ses fonctions ou de sa mission :

15 ans de réclusion + 225 000 €.

XCI. Connaissance nécessaire

Comme toujours pour l’usage :

l’utilisateur doit connaître la fausseté.

La qualité publique ne dispense pas d’établir l’intention.

XCII. Agent de bonne foi

Un agent reçoit un acte falsifié par un tiers et l’utilise sans savoir qu’il est faux.

Pas d’usage intentionnel sur ce seul fondement.

XCIII. Agent participant à la falsification

Il falsifie puis utilise l’acte. La connaissance est alors particulièrement facile à déduire.

XCIV. Faux et usage par deux personnes

A, agent public, fabrique. B, particulier, utilise. Il faut individualiser :

qualité ;
fonctions ;
connaissance.

Les peines ne sont pas automatiquement les mêmes pour tous.

XCV. Complicité

Le complice d’un faux criminel peut être poursuivi selon les règles générales. La jurisprudence a déjà examiné la prescription et la qualification criminelle dans des affaires de complicité de faux en écriture publique commis par une personne chargée d’une mission de service public.

XCVI. Particularité procédurale du crime

Lorsque la forme criminelle est envisageable, la question de la juridiction de jugement devient essentielle. Le tribunal correctionnel ne peut connaître d’un crime sous une qualification délictuelle simplement parce que l’acte a été renvoyé devant lui sous une qualification imparfaite.

XCVII. Cass. crim., 30 mai 2001, n° 00-85.559

Dans une affaire impliquant notamment des notaires et un acte de vente, la chambre criminelle a examiné le conflit de compétence résultant de la possibilité d’une qualification criminelle tenant à la qualité des auteurs. Cette jurisprudence illustre le caractère d’ordre public de la compétence criminelle.

XCVIII. Correctionnalisation impossible par simple omission de la qualité de l’auteur

Le juge doit restituer aux faits leur véritable qualification lorsque les circonstances figurant dans le dossier révèlent potentiellement la forme criminelle.

XCIX. Principe de qualification réelle des faits

La juridiction n’est pas enfermée dans l’étiquette choisie si les faits matériels révèlent :

acte public ;
auteur public qualifié ;
exercice des fonctions.

Elle doit examiner la qualification exacte dans les limites de sa saisine.

C. Faux et décisions administratives

Une décision administrative peut être :

authentique mais illégale ;
authentique mais annulable ;
falsifiée.

Il faut distinguer soigneusement ces situations.

CI. Décision illégale ≠ faux

Une autorité prend une décision juridiquement illégale. Le document est néanmoins fidèle à la décision réellement prise.

Pas de faux pour ce seul motif.

CII. Fausse décision

A fabrique un arrêté qui n’a jamais été pris.

Faux en écriture publique possible.

CIII. Décision antidatée

Une autorité signe aujourd’hui mais fait croire que la décision a été prise plusieurs mois auparavant. Il faut rechercher :

réalité de la date ;
fonction probatoire ;
intention.

CIV. Date d’effet rétroactive légale

Attention : une décision peut légalement produire certains effets à une date antérieure selon les textes.

RÉTROACTIVITÉ JURIDIQUE ≠ ANTIDATATION MATÉRIELLE.

CV. Faux arrêté municipal

Un particulier fabrique un arrêté de maire. Il peut relever de la forme simple de 441-4.

CVI. Faux arrêté par le maire lui-même

Si le maire établit dans ses fonctions un écrit public frauduleusement faux :

forme criminelle possible.

CVII. L’arrêt du 10 janvier 2024 dépasse le seul courrier à la CADA

Son intérêt principal est sa définition générale de l’écriture publique. Il ne faut pas réduire l’arrêt à ses faits particuliers.

CVIII. Portée générale

Tout écrit :

attestant un droit ou un fait ;
établi par une personne publique qualifiée ;
dans ses attributions

peut relever de la notion.

CIX. Mais la portée probatoire reste indispensable

Un simple message purement informel envoyé par un agent public ne devient pas automatiquement une écriture publique.

CX. Brouillon de décision

Une note préparatoire qui ne constate encore aucun droit ni fait avec autorité peut relever d’un autre régime.

CXI. Projet d’arrêté

Un projet clairement désigné comme tel :

n’est pas encore nécessairement l’acte public final.

CXII. Transformation frauduleuse du projet

A retire la mention « projet », ajoute une fausse signature et le présente comme arrêté adopté. Le faux matériel devient évident.

CXIII. Document signé électroniquement

L’écriture publique peut désormais être dématérialisée. Une signature électronique publique détournée ou falsifiée peut donc soulever les mêmes questions.

CXIV. Cachet électronique

Même logique. Le droit du faux n’est pas limité :

au papier ;
à l’encre ;
au tampon physique.

CXV. Fichier officiel modifié

A modifie un PDF officiel après son émission. Il faut identifier :

version authentique ;
version falsifiée ;
auteur ;
usage.

CXVI. Métadonnées

Elles peuvent permettre de dater :

création ;
modification ;
signature ;
dépôt.

CXVII. Journal informatique administratif

Lorsque le journal constitue un véritable enregistrement officiel ordonné par l’autorité publique, l’article 441-4 peut être pertinent. Il faut néanmoins éviter d’y faire entrer tout log technique de l’administration.

CXVIII. Log technique banal

Une simple trace informatique interne dépourvue de fonction probatoire publique n’est pas automatiquement une écriture publique.

CXIX. Donnée intégrée à un PV

Si cette donnée est ensuite certifiée dans un procès-verbal officiel :

la situation change.

CXX. Faux et signature électronique qualifiée

Le fait qu’une signature électronique paraisse techniquement valide ne résout pas la question pénale. Il faut rechercher :

qui l’a déclenchée ;
avec quelle autorisation ;
sur quel contenu.

CXXI. Usage frauduleux des identifiants d’un agent

A utilise les identifiants du maire pour valider un document officiel. Plusieurs qualifications peuvent être envisagées :

faux ;
accès frauduleux informatique ;
usurpation selon les faits.

CXXII. Concours avec infractions informatiques

Lorsque la falsification exige une intrusion dans un système public :

article 441-4 ;
articles 323-1 et suivants

peuvent devoir être examinés.

CXXIII. Concours avec corruption

Un agent public reçoit de l’argent pour falsifier un document public. Peuvent être concernés :

faux en écriture publique ;
corruption.

Les intérêts protégés et les actes matériels sont distincts.

CXXIV. Concours avec détournement

Un comptable public falsifie un registre pour masquer un détournement. La jurisprudence relative au receveur-percepteur illustre ce type de configuration. Il faut examiner séparément :

détournement ;
faux.

CXXV. Concours avec escroquerie

Un faux acte authentique est utilisé pour obtenir un paiement. Peuvent être concernés :

faux ;
usage ;
escroquerie.

CXXVI. Concours avec escroquerie au jugement

Un faux acte est produit en justice pour obtenir une décision favorable. Même logique.

CXXVII. Concours avec usage

Le faussaire peut être poursuivi pour :

faux

et, s’il s’en sert ensuite :

usage de faux.

Les règles générales du concours devront être appliquées.

CXXVIII. Faux et soustraction de document

Un agent détruit l’original et le remplace par une version falsifiée. Il peut exister :

destruction ou soustraction ;
faux.

CXXIX. Faux et suppression d’archives

Même logique lorsque l’opération implique :

modification ;
destruction ;
remplacement.

CXXX. Preuve du faux public

La preuve peut être facilitée par :

registres ;
versions officielles ;
chronologie administrative ;
signature électronique ;
archives.

CXXXI. Comparaison avec l’original

Particulièrement importante. Exemple :

arrêté officiel : 10 000 € ;
copie produite : 100 000 €.

CXXXII. Témoignages institutionnels

Les agents peuvent expliquer :

procédure normale ;
personnes habilitées ;
chaîne de validation.

CXXXIII. Expertise documentaire

Pour les actes papier :

signature ;
encre ;
tampon ;
imprimante.

CXXXIV. Expertise numérique

Pour les actes dématérialisés :

certificat ;
horodatage ;
journal ;
métadonnées.

CXXXV. Preuve de l’exercice des fonctions

Pour la forme criminelle, il faut également établir :

fonction ;
mission ;
compétence ;
contexte.

CXXXVI. Organigramme

Il peut aider à démontrer :

rôle ;
habilitation ;
chaîne hiérarchique.

CXXXVII. Arrêté de délégation

Il peut permettre de déterminer si la personne agissait dans une compétence donnée.

CXXXVIII. Absence de délégation

Elle n’exclut pas nécessairement toute qualification. Mais elle peut influencer :

nature de l’écrit ;
exercice des fonctions.

CXXXIX. Usurpation interne de fonction

Un agent non habilité utilise frauduleusement la signature de son supérieur. Il faut distinguer :

qualité réelle de l’auteur ;
document public ;
fonction dans laquelle il agit.

CXL. Particularité : officier public ou ministériel

Le statut de l’auteur peut modifier radicalement la qualification. Les notaires constituent l’exemple principal, mais il faut analyser chaque profession selon sa mission légale.

CXLI. Huissier / commissaire de justice

Les actes de signification ou constat peuvent avoir une valeur officielle particulièrement forte. Le faux portant sur ces actes peut donc relever du 441-4 selon les circonstances.

CXLII. Actualité jurisprudentielle 2025

Une décision de la chambre criminelle rendue dans un dossier impliquant notamment une professionnelle chargée d’actes de signification concernait des falsifications d’actes relatifs à une procédure familiale et à une convocation à une assemblée de société, avec condamnations pour faux en écriture publique ou authentique et usage. Cette affaire illustre la portée très concrète de 441-4 dans les actes de procédure revêtus d’une force officielle.

CXLIII. Faux acte de signification

Exemple : un acte affirme qu’une décision a été régulièrement signifiée à B. En réalité :

aucune signification ;
date inventée.

La fausse date peut avoir des conséquences majeures :

point de départ d’un délai ;
recevabilité d’un recours ;
exécution.

CXLIV. Préjudice procédural majeur

Dans l’affaire précitée, la falsification d’une signification avait notamment conduit à des conséquences procédurales défavorables pour la partie concernée. Cela illustre la gravité particulière du faux dans les actes officiels de procédure.

CXLV. Faux et délais de recours

Une fausse signification peut artificiellement faire croire qu’un délai :

a commencé ;
a expiré.

Le préjudice peut donc porter directement sur :

LE DROIT AU RECOURS.

CXLVI. Faux et autorité de la justice

Au-delà de la victime individuelle, une falsification d’actes officiels compromet :

fiabilité de la procédure ;
confiance dans l’administration de la justice.

CXLVII. Faux en acte authentique et mentions de parties

Revenons à une nuance essentielle :

UNE FAUSSE DÉCLARATION D’UNE PARTIE INSÉRÉE DANS UN ACTE AUTHENTIQUE N’EST PAS AUTOMATIQUEMENT UN FAUX AUTHENTIQUE DU NOTAIRE.

Il faut identifier ce que l’officier authentifie réellement.

CXLVIII. Exemple

L’acte dit :

« A déclare être célibataire ».

Le notaire authentifie notamment :

l’identité du déclarant ;
la comparution ;
le fait qu’il a formulé la déclaration.

Il ne certifie pas nécessairement par perception personnelle toute la vérité matérielle du contenu déclaré.

CXLIX. Mais complicité ou autre faux possible

Si l’officier sait que la déclaration est fausse et organise consciemment l’acte pour donner une apparence de vérité :

l’analyse devient différente.

Il faut étudier précisément :

son rôle ;
la mention ;
sa force probante.

CL. Faux notarial par constatation personnelle mensongère

Exemple :

« A a signé devant moi ».

A ne s’est jamais présenté. Le notaire le sait. Cette hypothèse se situe au cœur du faux authentique.

CLI. Faux notarial sur une déclaration non authentifiée quant à son contenu

La qualification spéciale peut en revanche échouer si la mention ne bénéficie pas de la force authentique.

441-1 peut alors rester applicable, comme l’indique la jurisprudence.

CLII. Erreur professionnelle du notaire

Une erreur de rédaction :

involontaire ;
non frauduleuse

n’est pas un faux criminel.

CLIII. Faute civile ≠ faux

Un notaire peut engager :

responsabilité civile ;
responsabilité disciplinaire

sans avoir commis de faux. Il faut prouver l’intention frauduleuse.

CLIV. Connaissance

La juridiction devra établir que l’auteur :

SAVAIT QUE LA CONSTATATION ÉTAIT FAUSSE.

CLV. Fausse déclaration donnée au notaire

Si le client ment sans que le notaire le sache :

la responsabilité du notaire pour faux intentionnel n’est pas caractérisée sur ce seul fait.

CLVI. Complicité du client

Si le client demande expressément au notaire de certifier sciemment une situation inexistante et que le notaire accepte :

rôles de chacun à individualiser.

CLVII. Enregistrement ordonné par autorité publique et nouvelles technologies

Les systèmes modernes peuvent comporter des enregistrements officiels :

vidéo ;
audio ;
journal informatique.

Le texte de 441-4 demeure technologiquement capable de les couvrir lorsqu’ils correspondent précisément à la catégorie légale.

CLVIII. Mais ne pas extrapoler

Tout enregistrement détenu par une administration n’est pas automatiquement :

un enregistrement ordonné par l’autorité publique.

Il faut identifier :

qui l’a ordonné ;
pour quelle finalité ;
quelle fonction probatoire.

CLIX. Enregistrement de vidéoprotection

Selon le régime exact, une falsification peut soulever plusieurs questions. Mais il serait imprudent de conclure automatiquement à 441-4 sans analyser la nature juridique de l’enregistrement.

CLX. Enregistrement d’audience

Même prudence. Il faut vérifier :

régime de création ;
autorité l’ayant ordonné ;
rôle procédural.

CLXI. Fausse retranscription

La falsification peut porter non sur l’enregistrement original, mais sur sa retranscription. Il faut alors identifier la nature juridique de cette retranscription.

CLXII. Faux procès-verbal à partir d’un enregistrement exact

L’enregistrement est authentique. Le procès-verbal le retranscrit volontairement de manière mensongère. Le faux porte alors sur :

le procès-verbal.

CLXIII. Faux en écriture publique et prescription

La prescription dépend d’abord de la qualification :

forme délictuelle ;
forme criminelle.

Il faut donc déterminer très tôt la qualité de l’auteur.

CLXIV. Forme délictuelle

Faux 441-4 commis par un particulier :

délit.

Les règles de prescription délictuelle s’appliquent selon le Code de procédure pénale.

CLXV. Forme criminelle

Faux commis dans les conditions du dernier alinéa par une personne publique qualifiée :

crime.

Les règles de prescription criminelle deviennent applicables.

CLXVI. Importance pratique

Une erreur sur la qualité de l’auteur peut donc changer :

délai ;
juridiction ;
recevabilité.

CLXVII. Faux et usage : prescription distincte

Comme vu au chapitre précédent :

fabrication ;
usage

doivent être datés séparément.

CLXVIII. Usage récent d’un faux public ancien

Un acte authentique falsifié depuis longtemps est utilisé en 2026. L’usage récent doit être examiné séparément.

CLXIX. Mais qualité de l’utilisateur

Pour savoir si l’usage est :

délit de 10 ans ;
ou crime de 15 ans,

il faut examiner la qualité et les fonctions de l’utilisateur lui-même.

CLXX. Exemple

Un faux procès-verbal public est fabriqué par un particulier. Un maire l’utilise ensuite sciemment dans ses fonctions. La qualification de l’usage doit être examinée au regard de la qualité du maire.

CLXXI. Faux public fabriqué par agent hors fonctions

Un agent public falsifie chez lui une copie officielle pour son usage personnel. Il ne suffit pas qu’il soit agent. Il faut prouver le lien avec l’exercice de ses fonctions.

CLXXII. Tableau : peines principales

Situation	Qualification	Peine
Faux de droit commun	441-1	3 ans + 45 000 €
Faux document administratif	441-2	5 ans + 75 000 €
Faux en écriture publique/authentique par particulier	441-4	10 ans + 150 000 €
Usage correspondant	441-4	10 ans + 150 000 €
Faux/usage par personne publique qualifiée dans ses fonctions	441-4	15 ans de réclusion + 225 000 €

Les peines de l’article 441-4 demeurent inchangées au 13 août 2026.

CLXXIII. Tableau : 441-2 / 441-4

Critère	441-2	441-4
Support	Document administratif spécifique	Écriture publique/authentique
Fonction	Droit, identité, qualité, autorisation	Écrit officiel attestant droit/fait
Peine de base	5 ans	10 ans
Auteur public aggravant	7 ans	15 ans de réclusion
Nature aggravée	Délit	Crime
Exemple	Faux titre administratif	Faux acte d’état civil / acte authentique

CLXXIV. Tableau : écrit public ou non

Document	441-4 ?
Courrier officiel du maire attestant un fait dans ses fonctions	Oui possible
Courrier privé du maire	Non automatiquement
Acte d’état civil	Oui possible
Acte notarié	Oui pour les mentions authentiques pertinentes
Simple plan isolé d’un agent	Pas automatiquement
Procès-verbal officiel	Oui possible
Brouillon interne	Pas automatiquement
Décision judiciaire simplement contestée	Pas faux sur ce seul fondement

Ces distinctions ressortent notamment des arrêts de 2023 et 2024.

CLXXV. Tableau : acte authentique

Mention	Force authentique spéciale ?
Comparution devant le notaire	Oui, normalement
Signature devant le notaire	Oui, normalement
Acte accompli personnellement par l’officier	Oui
Simple déclaration d’une partie	Pas nécessairement quant à sa vérité
Description rapportée sans constat personnel	Pas nécessairement

La jurisprudence impose d’identifier précisément la mention couverte par la force authentique.

CLXXVI. Exemple complet : courrier mensonger d’un maire

Le maire répond officiellement à la CADA. Il atteste sciemment un fait faux relatif à l’activité de la commune. Si les éléments du faux sont établis :

441-4, forme criminelle possible, dès lors qu’il agit dans l’exercice de ses fonctions.

C’est directement l’enseignement de Cass. crim., 10 janvier 2024, n° 22-87.605.

CLXXVII. Exemple complet : faux courrier municipal créé par un particulier

A imite le courrier du maire. Il n’est pas agent public.

441-4 forme de base : 10 ans + 150 000 €, si le document constitue bien une écriture publique falsifiée et si les autres éléments sont réunis.

CLXXVIII. Exemple complet : faux acte de mariage par l’officier d’état civil

L’officier falsifie l’acte dans l’exercice de ses fonctions.

15 ans de réclusion + 225 000 €.

La jurisprudence a expressément rappelé la compétence criminelle dans cette hypothèse.

CLXXIX. Exemple complet : particulier modifiant un acte de naissance

A modifie une copie authentique d’acte de naissance afin de changer son identité. Il n’est pas agent public.

441-4, 10 ans + 150 000 € à examiner.

CLXXX. Exemple complet : fausse constatation notariale

Le notaire écrit :

« M. B a comparu personnellement et signé en ma présence ».

B n’était jamais là. Le notaire le sait.

Faux intellectuel dans une écriture authentique, avec forme criminelle possible en raison de la qualité du notaire et de l’exercice de ses fonctions.

CLXXXI. Exemple complet : description inexacte dans un acte notarié

L’acte comporte une description erronée du bien, fondée sur les déclarations des parties et non sur une constatation personnelle de l’officier. Il faut éviter :

441-4 automatique.

La jurisprudence exige d’examiner si cette mention bénéficie réellement de la force probante authentique. À défaut, 441-1 peut être envisagé.

CLXXXII. Exemple complet : faux registre de perception

Un comptable public inscrit volontairement de fausses imputations dans un registre officiel de la perception.

Faux en écriture publique, avec aggravation tenant à la qualité de l’auteur agissant dans ses fonctions.

CLXXXIII. Exemple complet : faux plan préparatoire

Un agent produit un plan interne isolé qui n’est annexé à :

aucun procès-verbal ;
aucun rapport ;
aucun acte officiel.

441-4 non automatique.

La chambre criminelle l’a rappelé en 2023.

CLXXXIV. Exemple complet : faux PV de police

Un officier inscrit volontairement dans un procès-verbal qu’il a personnellement constaté un fait qui n’est jamais survenu.

441-4 potentiellement applicable.

Mais si la plainte implique la contestation de la régularité d’un acte de procédure, les exigences de l’article 6-1 CPP doivent également être examinées.

CLXXXV. Exemple complet : jugement erroné

Une partie soutient que les motifs du jugement sont factuellement faux.

Pas de faux 441-4 automatiquement.

Les voies de recours sont l’instrument normal de contestation d’une décision de justice.

CLXXXVI. Exemple complet : jugement matériellement falsifié

Une personne modifie le dispositif après délivrance :

« 10 000 € » devient « 100 000 € ».

Cette fois :

falsification du document lui-même.

L’article 441-4 doit être examiné.

CLXXXVII. Exemple complet : fausse signification

Un acte officiel indique faussement qu’une décision a été signifiée à une date donnée. Le faux permet ensuite de soutenir que le délai de recours est expiré.

Faux en écriture publique ou authentique + usage possible.

Une affaire récente impliquant des actes de signification illustre la gravité de telles falsifications procédurales.

CLXXXVIII. Exemple complet : faux acte public utilisé par un particulier

A obtient une copie falsifiée. Il sait qu’elle est fausse et la produit au tribunal.

Usage 441-4 : 10 ans + 150 000 €.

CLXXXIX. Exemple complet : agent public utilisant le faux dans ses fonctions

Même pièce utilisée sciemment par un agent public dans l’exercice de sa mission.

15 ans de réclusion + 225 000 €.

CXC. Checklist de qualification

Devant un faux potentiellement public ou authentique, demander :

Quel est exactement le document ?
Est-il réellement faux ?
Quelle vérité est altérée ?
Le faux est-il matériel ou intellectuel ?
Le document est-il une écriture publique ?
Une écriture authentique ?
Un enregistrement ordonné par l’autorité publique ?
Qui en est l’auteur institutionnel ?
L’écrit atteste-t-il un droit ou un fait ?
A-t-il été rédigé dans l’exercice des attributions publiques ?
S’agit-il seulement d’un brouillon ou document préparatoire ?
Quelle mention est précisément falsifiée ?
Cette mention bénéficie-t-elle de la force authentique ?
L’auteur du faux est-il un particulier ?
Dépositaire de l’autorité publique ?
Chargé d’une mission de service public ?
Agissait-il dans l’exercice de ses fonctions ?
Le faux a-t-il été utilisé ?
Par qui ?
L’utilisateur connaissait-il sa fausseté ?
L’usage a-t-il été accompli dans l’exercice de fonctions publiques ?
La qualification est-elle délictuelle ou criminelle ?
Quelle juridiction est compétente ?
L’article 6-1 CPP intervient-il ?
Quelle prescription s’applique ?

CXCI. Checklist spéciale acte notarié

Le document est-il réellement authentique ?
Quelle mention est litigieuse ?
Le notaire l’a-t-il personnellement constatée ?
Le fait s’est-il passé en sa présence ?
S’agit-il seulement d’une déclaration d’une partie ?
La force probante authentique s’étend-elle à cette mention ?
La mention est-elle objectivement fausse ?
Le notaire le savait-il ?
Le notaire agissait-il dans ses fonctions ?
441-4 ou seulement 441-1 ?

CXCII. Checklist spéciale écriture publique

Auteur public ?
Fonction exercée ?
Écrit établi dans cette fonction ?
Droit ou fait attesté ?
Écrit définitif ou simple brouillon ?
Autorité conférée au document ?
Altération de vérité ?
Frauduleuse ?
Préjudice possible ?
Qualité aggravante de l’auteur ?

CXCIII. Méthode ultra-rapide

Face à un document officiel falsifié :

1. NE PAS COMMENCER PAR 441-2.

Demander :

ÉCRITURE PUBLIQUE OU AUTHENTIQUE ?

Puis :

2. QUI L’A ÉTABLIE ?

Puis :

3. DANS QUELLES FONCTIONS ?

Puis :

4. QUE CERTIFIE-T-ELLE EXACTEMENT ?

Puis :

5. CETTE MENTION BÉNÉFICIE-T-ELLE DE LA FORCE PUBLIQUE OU AUTHENTIQUE ?

Puis :

6. QUI A FALSIFIÉ ?

Si particulier :

10 ANS + 150 000 €.

Si personne publique qualifiée dans ses fonctions :

15 ANS DE RÉCLUSION + 225 000 €.

CXCIV. Erreurs fréquentes

Erreur n° 1 : toute pièce émise par un agent public est une écriture publique

Faux. Un plan isolé établi par un agent public n’a pas été considéré comme suffisant pour relever de 441-4 dans l’affaire jugée en 2023.

Erreur n° 2 : seuls les actes solennels sont des écritures publiques

Faux. Un courrier officiel d’un maire à la CADA peut constituer une écriture publique. Cass. crim., 10 janvier 2024.

Erreur n° 3 : tout acte notarié est intégralement authentique quant à chacune de ses mentions

Faux. Il faut identifier les constatations bénéficiant réellement de la force authentique.

Erreur n° 4 : toute fausse déclaration insérée dans un acte notarié est un faux authentique du notaire

Faux. Le rôle et la connaissance du notaire doivent être établis.

Erreur n° 5 : le faux en écriture publique est toujours un crime

Faux. La forme de base de 441-4 est punie de :

10 ans d’emprisonnement

et demeure un délit. Elle devient criminelle dans les conditions du dernier alinéa.

Erreur n° 6 : tout faux commis par un fonctionnaire est criminel

Faux. Il doit agir :

dans l’exercice de ses fonctions ou de sa mission.

Erreur n° 7 : un maire falsifiant un courrier officiel n’encourt que 10 ans

Pas nécessairement. S’il agit comme dépositaire de l’autorité publique dans l’exercice de ses fonctions, la forme criminelle peut être applicable.

Erreur n° 8 : un jugement juridiquement erroné est un faux

Faux. Une décision de justice contestable relève normalement des voies de recours.

Erreur n° 9 : une pièce officielle numérisée ne peut pas faire l’objet d’un faux

Faux. Le support numérique ne neutralise pas l’incrimination.

Erreur n° 10 : l’usage est absorbé par le faux

Faux. L’article 441-4 incrimine expressément l’usage séparément.

Erreur n° 11 : l’utilisateur doit être l’auteur du faux

Faux. Un tiers peut commettre l’usage.

Erreur n° 12 : un agent public utilisant de bonne foi un faux commet automatiquement le crime

Faux. La connaissance de la falsification reste nécessaire.

Erreur n° 13 : toute omission dans un procès-verbal constitue un faux

Faux. Il faut démontrer une altération frauduleuse et juridiquement pertinente de la vérité.

Erreur n° 14 : la contestation d’un PV judiciaire permet immédiatement de déposer plainte pour faux

Pas toujours. L’article 6-1 CPP peut imposer un préalable lorsque le faux allégué implique la violation d’une règle de procédure pénale. La jurisprudence de février 2026 le rappelle.

Erreur n° 15 : un faux document public relève toujours du 441-2

Faux. L’écriture publique ou authentique relève du régime beaucoup plus sévère du 441-4 lorsque ses conditions sont réunies.

CXCV. Jurisprudence majeure : Cass. crim., 10 janvier 2024, n° 22-87.605

Cet arrêt publié au Bulletin doit être mémorisé. La chambre criminelle énonce en substance :

UN ÉCRIT QUI ATTESTE UN DROIT OU UN FAIT, RÉDIGÉ DANS L’EXERCICE DE SES ATTRIBUTIONS PAR UNE PERSONNE DÉPOSITAIRE DE L’AUTORITÉ PUBLIQUE OU CHARGÉE D’UNE MISSION DE SERVICE PUBLIC, CONSTITUE UNE ÉCRITURE PUBLIQUE.

Le courrier d’un maire adressé à la CADA entrait potentiellement dans cette catégorie.

CXCVI. Apport majeur de 2024

La décision montre que la notion d’écriture publique est :

FONCTIONNELLE

et non :

LIMITÉE AUX ACTES SOLENNELS.

Un courrier institutionnel peut suffire.

CXCVII. Deuxième apport : forme criminelle

Puisque le courrier était attribué au maire agissant dans ses fonctions, la falsification, si elle était établie, était susceptible de constituer :

le crime de faux en écriture publique commis par une personne dépositaire de l’autorité publique.

CXCVIII. Troisième apport : incidence procédurale

Cette qualification criminelle modifiait les conditions de recevabilité de la plainte avec constitution de partie civile. L’affaire démontre donc l’importance pratique de la qualification exacte.

CXCIX. Jurisprudence : Cass. crim., 14 mars 2023, n° 22-81.900

Cette décision constitue un contrepoint indispensable. Un plan élaboré par un agent public ne constituait pas, en l’espèce, une écriture publique relevant du 441-4 dès lors qu’il n’était intégré ni à un procès-verbal, ni à un rapport, ni à un autre écrit public approprié. La combinaison 2023/2024 donne la méthode exacte :

QUALITÉ PUBLIQUE DE L’AUTEUR + FONCTION PROBATOIRE OFFICIELLE DU SUPPORT.

CC. Jurisprudence : acte notarié et force authentique

L’arrêt relatif aux mentions d’un acte de vente rappelle :

LA FORCE AUTHENTIQUE NE S’ÉTEND PAS INDIFFÉREMMENT À TOUTES LES DÉCLARATIONS CONTENUES DANS L’ACTE.

Il faut identifier les faits que l’officier public :

a accomplis ;
ou a personnellement constatés dans l’exercice de ses fonctions.

CCI. Jurisprudence : acte d’état civil

La chambre criminelle a également rappelé que la falsification d’un acte de mariage par un officier d’état civil agissant dans ses fonctions relève, si elle est établie, de la qualification criminelle de l’article 441-4.

CCII. Jurisprudence : registres d’une perception

L’inscription volontaire de mentions inexactes par un receveur-percepteur dans les registres officiels de la perception a été qualifiée de faux en écriture publique. Cet arrêt illustre parfaitement le faux intellectuel public.

CCIII. Jurisprudence procédurale de février 2026

Lorsqu’un faux allégué dans un procès-verbal de police judiciaire a été commis à l’occasion d’une procédure et implique la violation d’une règle de procédure pénale, il faut examiner l’article 6-1 CPP et le mécanisme de contestation préalable de l’acte. La chambre criminelle l’a rappelé dans son Bulletin de février 2026.

CCIV. Actualité du droit au 13 août 2026

L’article 441-4 reste, à cette date :

10 ANS + 150 000 €

pour le faux et l’usage en écriture publique ou authentique ou enregistrement ordonné par l’autorité publique. Et :

15 ANS DE RÉCLUSION + 225 000 €

lorsque le faux ou l’usage est commis par une personne dépositaire de l’autorité publique ou chargée d’une mission de service public agissant dans l’exercice de ses fonctions ou de sa mission.

CCV. À retenir

La première règle est :

ARTICLE 441-4 = RÉGIME SPÉCIAL DES ÉCRITURES PUBLIQUES, AUTHENTIQUES ET DES ENREGISTREMENTS ORDONNÉS PAR L’AUTORITÉ PUBLIQUE.

La peine de base est :

10 ANS D’EMPRISONNEMENT + 150 000 €.

La deuxième règle est :

L’USAGE EST PUNI DES MÊMES PEINES.

La troisième règle est majeure :

AUTEUR PUBLIC QUALIFIÉ + EXERCICE DES FONCTIONS = CRIME.

Peine :

15 ANS DE RÉCLUSION CRIMINELLE + 225 000 €.

La quatrième règle est jurisprudentielle et doit être mémorisée :

UN ÉCRIT ATTESTANT UN DROIT OU UN FAIT, ÉTABLI DANS L’EXERCICE DE SES ATTRIBUTIONS PAR UNE PERSONNE DÉPOSITAIRE DE L’AUTORITÉ PUBLIQUE OU CHARGÉE D’UNE MISSION DE SERVICE PUBLIC, PEUT CONSTITUER UNE ÉCRITURE PUBLIQUE.

Cass. crim., 10 janvier 2024, n° 22-87.605. Ainsi :

UN SIMPLE COURRIER OFFICIEL DU MAIRE PEUT SUFFIRE.

La cinquième règle nuance immédiatement la précédente :

TOUT ÉCRIT D’UN AGENT PUBLIC N’EST PAS UNE ÉCRITURE PUBLIQUE.

Un plan isolé dépourvu de véritable insertion dans un procès-verbal, rapport ou écrit public approprié n’a pas suffi à déclencher 441-4 dans l’arrêt du 14 mars 2023, n° 22-81.900. La sixième règle concerne les actes authentiques :

ACTE AUTHENTIQUE ≠ TOUTES LES MENTIONS SONT AUTHENTIQUES QUANT À LEUR VÉRITÉ.

Il faut identifier ce que l’officier public :

a personnellement accompli ;
ou constaté en sa présence.

À défaut, le faux de droit commun peut parfois être plus approprié. La septième règle concerne les décisions de justice :

ERREUR JUDICIAIRE OU MOTIF CONTESTÉ ≠ FAUX EN ÉCRITURE PUBLIQUE AUTOMATIQUEMENT.

Les voies de recours restent le mode normal de contestation. La huitième règle concerne les procédures pénales :

FAUX ALLÉGUÉ DANS UN ACTE DE PROCÉDURE → PENSER À L’ARTICLE 6-1 CPP.

La jurisprudence de février 2026 rappelle que lorsque l’allégation de faux implique la violation d’une règle de procédure, l’action peut supposer la constatation préalable de l’illégalité de l’acte. La méthode finale est donc :

IDENTIFIER L’ÉCRIT → DÉTERMINER SA FONCTION PUBLIQUE OU AUTHENTIQUE → IDENTIFIER LA MENTION FALSIFIÉE → VÉRIFIER SA FORCE PROBANTE → IDENTIFIER L’AUTEUR → VÉRIFIER S’IL AGIT DANS SES FONCTIONS → QUALIFIER DÉLIT OU CRIME → DISTINGUER FAUX ET USAGE → VÉRIFIER LA PROCÉDURE APPLICABLE.

CLXXVII. Faux certificats, attestations et déclarations

Les certificats, attestations et déclarations occupent une place particulière dans le droit pénal des faux. Ils ne doivent pas être systématiquement traités sous le seul angle du faux général de l’article 441-1. Le Code pénal prévoit en effet deux ensembles spéciaux particulièrement importants :

l’article 441-7, consacré aux attestations et certificats matériellement inexacts, falsifiés ou utilisés ;
l’article 441-6, consacré notamment à l’obtention frauduleuse de certains documents administratifs et aux fausses déclarations destinées à obtenir un avantage indu.

Au 13 août 2026, l’article 441-7 punit de 1 an d’emprisonnement et 15 000 euros d’amende trois comportements distincts :

établir une attestation ou un certificat faisant état de faits matériellement inexacts ;
falsifier une attestation ou un certificat originairement sincère ;
faire usage d’une attestation ou d’un certificat inexact ou falsifié.

Les peines sont portées à 3 ans d’emprisonnement et 45 000 euros d’amende lorsque l’infraction est commise soit en vue de porter préjudice au Trésor public ou au patrimoine d’autrui, soit en vue d’obtenir un titre de séjour ou le bénéfice d’une protection contre l’éloignement. L’article 441-6, de son côté, punit notamment de 2 ans d’emprisonnement et 30 000 euros d’amende le fait de fournir sciemment une déclaration fausse ou incomplète pour obtenir ou tenter d’obtenir, pour soi-même ou pour autrui, une allocation, une prestation, un paiement ou un avantage indu auprès des personnes et organismes visés par le texte. La distinction fondamentale est donc :

ATTESTATION OU CERTIFICAT MENSONGER → 441-7 À EXAMINER

FAUSSE DÉCLARATION POUR OBTENIR UN AVANTAGE INDU → 441-6 À EXAMINER

Mais les frontières sont plus délicates qu’elles n’en ont l’air.

I. L’article 441-7 est un faux spécial

L’article 441-7 ne vise pas n’importe quel écrit mensonger. Il vise spécifiquement :

une attestation ;
un certificat.

Cette spécialité est importante. Lorsque le document correspond à ces catégories, il faut rechercher prioritairement le texte spécial avant de retenir le faux général de l’article 441-1.

II. Trois infractions distinctes dans le même article

L’article 441-7 distingue expressément :

1. L’établissement d’une attestation ou d’un certificat matériellement inexact

2. La falsification d’une attestation ou d’un certificat originairement sincère

3. L’usage d’une attestation ou d’un certificat inexact ou falsifié.

Il faut donc identifier précisément le comportement reproché.

III. Établir une fausse attestation

Première hypothèse : A rédige directement une attestation contenant des faits qu’il sait matériellement inexacts. Exemple :

« J’atteste avoir vu B travailler dans l’entreprise chaque jour pendant six mois. »

En réalité, A sait que cela n’a jamais eu lieu. L’article 441-7, 1°, est susceptible de s’appliquer.

IV. Falsifier une attestation sincère

Deuxième hypothèse : une attestation authentique et exacte existe. A la modifie ensuite :

date ;
nom ;
contenu ;
montant.

La pièce était :

originairement sincère

puis a été :

falsifiée.

C’est le 2° de l’article 441-7.

V. Usage de l’attestation fausse

Troisième hypothèse : B reçoit une attestation fausse ou falsifiée. Il sait qu’elle est fausse et la produit :

au tribunal ;
à une administration ;
à un employeur.

Usage de l’article 441-7, 3°, possible.

VI. L’établissement et la falsification ne doivent pas être confondus

La jurisprudence a précisément insisté sur cette distinction. Dans une affaire relative à une attestation issue d’un montage photocopié d’une attestation authentique, la défense faisait valoir que les faits relevaient non du 1° relatif à l’établissement d’une attestation mensongère, mais du 2° relatif à la falsification d’une attestation originairement sincère. Cette distinction entre les deux branches de l’article 441-7 est juridiquement réelle et doit être respectée.

VII. Première condition centrale : des faits matériellement inexacts

L’article 441-7 emploie une formule très précise :

FAITS MATÉRIELLEMENT INEXACTS.

Ce terme impose de distinguer :

fait objectif ;
opinion ;
appréciation ;
projet ;
hypothèse.

VIII. Un fait matériel

Exemples :

« B était présent le 5 juin. »

« A a travaillé du 1er janvier au 31 mars. »

« Cette somme a été versée. »

Ces affirmations sont objectivement vérifiables.

IX. Une appréciation

Exemple :

« B était un excellent salarié. »

Il s’agit davantage d’une opinion. Une opinion discutable n’est pas automatiquement un « fait matériellement inexact » au sens pénal.

X. Une interprétation juridique

« Selon moi, A avait le droit de résilier. »

Il s’agit d’une appréciation juridique. Elle ne doit pas être assimilée automatiquement à une fausse attestation.

XI. Un projet futur

La jurisprudence fournit une illustration particulièrement claire. Dans Cass. crim., 18 février 2003, n° 02-85.485, des attestations évoquaient une somme qui était destinée à être prêtée. La Cour considère que les documents ne constataient pas l’existence d’un prêt déjà réalisé mais seulement un projet ; ils ne comportaient donc pas nécessairement l’affirmation d’un fait matériellement inexact entrant dans l’article 441-7.

XII. Formule fondamentale

PROJET FAUX OU NON RÉALISÉ ≠ FAIT MATÉRIELLEMENT FAUX AUTOMATIQUEMENT.

Il faut lire exactement ce qu’affirme le document.

XIII. Exemple

Attestation :

« A envisageait de prêter 20 000 euros à B ».

Le prêt n’a jamais été réalisé. Cela ne signifie pas nécessairement que l’attestation est fausse : l’intention de prêter a pu réellement exister.

XIV. Situation différente

Attestation :

« A a versé 20 000 euros à B le 3 mars ».

Aucun versement n’a eu lieu. Cette affirmation constitue un fait matériel beaucoup plus nettement vérifiable.

XV. Cass. crim., 1er juin 2005, n° 04-84.526

Cette décision publiée au Bulletin est fondamentale. La chambre criminelle affirme que le délit de l’article 441-7 concerne les attestations relatant des faits matériellement inexacts qu’ils aient ou non été personnellement constatés par leur auteur.

XVI. Conséquence

Il est faux d’écrire :

« Pour être punissable, le témoin doit nécessairement prétendre avoir personnellement vu les faits. »

Ce n’est pas une condition de l’article 441-7.

XVII. Exemple

A écrit :

« B a travaillé pendant six mois sans être déclaré ».

A ne l’a pas personnellement vu. Si le fait est néanmoins exact :

pas de fausse attestation sur ce seul motif.

XVIII. Situation inverse

A n’a rien vu et affirme un fait qui est objectivement faux.

441-7 possible.

XIX. La Cour a expressément rejeté la condition de perception personnelle

Dans l’arrêt du 1er juin 2005, la cour d’appel avait considéré que le document ne pouvait être punissable si l’auteur n’avait pas personnellement constaté les faits. La chambre criminelle censure ce raisonnement.

XX. Relation avec l’article 202 du Code de procédure civile

En matière d’attestations produites devant les juridictions civiles, l’article 202 du Code de procédure civile contient des exigences formelles. Mais :

IRRÉGULARITÉ FORMELLE D’UNE ATTESTATION ≠ FAUSSE ATTESTATION PÉNALE AUTOMATIQUEMENT.

XXI. Actualité jurisprudentielle : 29 janvier 2025

La chambre criminelle a récemment rappelé que l’indication inexacte, dans une attestation, de la qualité de son auteur par rapport aux parties ne constitue pas nécessairement l’affirmation d’un fait matériel entrant dans l’article 441-7 ; il peut ne s’agir que du non-respect d’une exigence formelle de l’article 202 du Code de procédure civile. Si le délit de fausse attestation n’est pas constitué, son usage ne l’est pas davantage.

XXII. Exemple

L’auteur indique :

« aucun lien avec les parties ».

Il existe pourtant une relation professionnelle ancienne. Cela peut affecter :

crédibilité ;
valeur de l’attestation.

Mais cette irrégularité n’est pas automatiquement le « fait matériellement inexact » visé par 441-7.

XXIII. L’objet essentiel reste le récit factuel

La question à poser est :

QUELS FAITS LE DOCUMENT ATTESTE-T-IL ?

Ce sont ces faits qui doivent être matériellement inexacts.

XXIV. Faux certificat

Le même raisonnement s’applique aux certificats. Exemple : un professionnel certifie :

« équipement contrôlé le 2 juin ».

Aucun contrôle n’a eu lieu. La fausseté porte sur un fait objectif.

XXV. Certificat d’opinion

Certains certificats comportent davantage une appréciation professionnelle. Il faut distinguer :

donnée objective inventée ;
opinion technique raisonnablement discutable.

XXVI. Certificat médical

Un certificat médical peut relever de l’article 441-7 lorsqu’il atteste de faits matériellement inexacts. Mais l’analyse doit être rigoureuse.

XXVII. Diagnostic contestable

Un médecin se trompe de bonne foi.

ERREUR MÉDICALE ≠ FAUX CERTIFICAT AUTOMATIQUE.

L’infraction est intentionnelle.

XXVIII. Fait inventé

Le médecin certifie :

« j’ai examiné ce patient ce jour ».

Il ne l’a jamais vu. La fausseté du fait matériel est beaucoup plus nette.

XXIX. Intention

Le caractère mensonger du document doit être conscient. Le Code pénal ne transforme pas une erreur innocente en délit de fausse attestation.

XXX. Article 121-3

Comme pour les délits intentionnels, l’élément moral doit être caractérisé. Il faut démontrer que l’auteur connaissait l’inexactitude du fait attesté ou qu’il falsifiait consciemment le document.

XXXI. Erreur de mémoire

A se trompe sur une date ancienne. S’il croit sincèrement son souvenir exact :

intention frauduleuse absente.

XXXII. Approximation

Un témoin dit :

« vers 14 heures ».

L’événement a eu lieu à 14 h 20. Il ne faut pas criminaliser les approximations ordinaires du témoignage.

XXXIII. Inexactitude déterminante

La situation est différente si A écrit :

« B n’était pas présent ».

alors qu’il sait parfaitement que B était à côté de lui.

XXXIV. Cass. crim., pourvoi n° 03-81.347

Une affaire relative à une attestation concernant notamment la remise de clés montre l’importance de distinguer :

erreur de bonne foi ;
fausse attestation intentionnelle.

La cour d’appel avait retenu qu’une mention erronée pouvait résulter d’une erreur faite de bonne foi, ce qui excluait l’intention coupable.

XXXV. Formule

INEXACTITUDE MATÉRIELLE + BONNE FOI = PAS DE DÉLIT INTENTIONNEL.

XXXVI. L’article 441-7 exige-t-il un préjudice ?

Point particulièrement important : contrairement à l’article 441-1, l’article 441-7, dans sa forme de base, ne formule pas l’exigence générale d’un document « de nature à causer un préjudice ». La jurisprudence a expressément indiqué que les infractions prévues par l’article 441-7 n’exigent pas, dans leur forme simple, la preuve d’un préjudice de la victime.

XXXVII. Différence capitale avec 441-1

Article 441-1

préjudice possible = élément de la définition générale du faux.

Article 441-7

l’établissement ou la falsification d’une attestation matériellement inexacte est spécialement incriminé sans qu’il faille importer automatiquement la condition générale du préjudice du 441-1.

XXXVIII. Mais le préjudice peut devenir une circonstance aggravante

L’article 441-7 porte les peines de :

1 an + 15 000 €

à :

3 ans + 45 000 €

lorsque l’infraction est commise notamment :

en vue de porter préjudice au Trésor public ou au patrimoine d’autrui.

XXXIX. Ce n’est donc pas contradictoire

Le préjudice n’est pas exigé pour la forme de base. Mais une finalité préjudiciable particulière aggrave la peine.

XL. Exemple

A rédige une attestation mensongère relative à un événement sans objectif patrimonial particulier.

forme simple possible.

A rédige la même attestation pour permettre à B de faire condamner C à payer 100 000 euros.

aggravation patrimoniale à examiner.

XLI. Préjudice au Trésor public

La circonstance aggravante vise également le dessein de porter préjudice au :

Trésor public.

Exemple : fausse attestation utilisée pour réduire indûment une imposition.

XLII. Préjudice au patrimoine d’autrui

Il faut caractériser la finalité patrimoniale. Exemple : fausse attestation produite pour faire croire qu’une dette existe.

XLIII. La simple existence d’un litige patrimonial ne suffit pas toujours

Il faut démontrer le lien entre :

attestation fausse ;
volonté de porter atteinte au patrimoine d’autrui.

XLIV. Jurisprudence sur l’aggravation

Dans une affaire examinée sous l’article 441-7, la Cour de cassation a validé une condamnation pour usage d’une attestation matériellement inexacte en vue de porter préjudice au patrimoine d’autrui, les juges ayant caractérisé les éléments matériel et intentionnel de cette forme aggravée.

XLV. Troisième circonstance : titre de séjour

Depuis la loi du 10 septembre 2018, les peines aggravées s’appliquent également lorsque l’infraction est commise en vue :

d’obtenir un titre de séjour.

XLVI. Protection contre l’éloignement

La même aggravation s’applique lorsqu’elle est commise pour obtenir :

le bénéfice d’une protection contre l’éloignement.

XLVII. Date de la réforme

Cette extension résulte de la loi du 10 septembre 2018 et s’applique aux infractions postérieures à sa publication selon les dispositions transitoires prévues.

XLVIII. Usage d’une attestation inexacte

L’utilisateur n’a pas besoin d’être le rédacteur. A rédige. B produit. B peut relever du 3° s’il connaît l’inexactitude.

XLIX. Connaissance de l’utilisateur

La jurisprudence exige, conformément au caractère intentionnel du délit, que l’utilisateur ait conscience de la fausseté ou de la falsification. Une décision concernant l’usage d’attestations dans un litige prud’homal rappelle précisément que la connaissance personnelle de l’inexactitude au moment de la production est un élément à caractériser.

L. Usage de bonne foi

B reçoit une attestation de A. Il la croit exacte. Il la produit en justice. L’attestation est ensuite démontrée fausse.

B n’est pas automatiquement coupable d’usage.

LI. Découverte ultérieure

B apprend ensuite avec certitude que l’attestation est fausse. Il la réutilise.

usage intentionnel possible à compter de cette nouvelle utilisation.

LII. Pas d’usage si l’attestation n’est pas juridiquement fausse au sens de 441-7

L’arrêt récent relatif à l’indication erronée d’une qualité dans une attestation le confirme : si le document ne relève pas du délit spécial de fausse attestation, son utilisation ne peut constituer l’usage prévu par ce même texte.

LIII. Fausse attestation et témoignage

Il faut distinguer :

attestation écrite ;
déclaration orale comme témoin.

Les textes applicables peuvent être différents.

LIV. Faux témoignage

Le faux témoignage prêté sous serment devant une juridiction relève d’un régime distinct du Code pénal. Il ne faut pas transformer toute déposition orale mensongère en article 441-7.

LV. Attestation destinée au juge

Une attestation écrite mensongère peut en revanche relever de 441-7 même si elle est destinée à être produite en justice.

LVI. Influence sur un témoin

Lorsqu’une personne fait pression sur autrui afin qu’il établisse une déclaration ou attestation mensongère dans le cadre d’une procédure, d’autres textes peuvent être applicables, notamment ceux relatifs à la subornation de témoin. Une décision a d’ailleurs examiné conjointement les articles 441-7 et 434-15 dans un contentieux où des attestations et des pressions sur leurs auteurs étaient discutées.

LVII. Aide à rédiger une attestation

Aider quelqu’un à rédiger matériellement un document n’est pas illicite en soi. La question est :

savait-on que les faits étaient faux ?

LVIII. Dictée mensongère

A dicte à B :

« écris que tu étais présent alors que tu ne l’étais pas ».

B accepte sciemment. Peuvent être étudiées :

responsabilité du rédacteur/signataire ;
complicité ou participation de l’instigateur.

LIX. Signature sans lecture

Une personne signe une attestation préparée par un tiers sans la lire. La responsabilité dépendra de :

connaissance ;
conscience du contenu ;
circonstances.

Il ne suffit pas d’une signature pour établir automatiquement l’intention.

LX. Signature de complaisance

En revanche, signer volontairement une attestation que l’on sait mensongère peut constituer le délit.

LXI. Attestation préremplie

Le document est préparé par un avocat, employeur ou ami. Le signataire en vérifie le contenu et sait que les faits sont faux.

441-7 possible.

LXII. Formulaire-type

La forme préimprimée du document est indifférente. Ce qui importe est :

le contenu attesté ;
son exactitude ;
la connaissance.

LXIII. Fausse attestation de travail

Exemple classique :

« A travaille dans l’entreprise depuis trois ans ».

A n’y a jamais travaillé. Peuvent être concernés :

employeur ;
salarié ;
utilisateur.

LXIV. Fausse attestation d’hébergement

Elle peut servir à établir :

domicile ;
résidence.

Si le fait matériel est inventé :

article 441-7 possible.

D’autres infractions peuvent se cumuler selon l’usage recherché.

LXV. Fausse attestation de domicile destinée à une administration

Attention : le fait que l’attestation soit remise à l’administration ne la transforme pas en document administratif de 441-2. Elle reste une attestation privée relevant potentiellement de 441-7.

LXVI. Fausse attestation bancaire

Il faut déterminer si le document est réellement :

attestation ;
certificat ;
document financier d’une autre nature.

La qualification découle de sa fonction et non seulement de son titre.

LXVII. Certificat de travail

Le document peut relever du texte spécial si son contenu correspond à une attestation ou un certificat au sens de 441-7.

LXVIII. Bulletin de salaire

Un bulletin de salaire n’est pas nécessairement une simple « attestation » de 441-7. La jurisprudence l’a traité comme un support pouvant relever du faux de droit commun de l’article 441-1 lorsqu’il contient frauduleusement de fausses mentions probatoires. Il faut donc éviter de mettre tout document déclaratif dans 441-7.

LXIX. Certificat de conformité

Il peut entrer dans 441-7 s’il constitue réellement un certificat attestant des faits matériels. Mais selon :

l’auteur ;
le régime juridique ;
la nature publique du document,

un texte spécial différent peut s’appliquer.

LXX. Certificat administratif

Si le certificat est délivré par une administration et constate :

droit ;
identité ;
qualité ;
autorisation,

l’article 441-2 peut devenir plus spécialement pertinent.

LXXI. Attestation publique ou acte authentique

Si le document constitue une écriture publique ou authentique au sens de 441-4, le régime beaucoup plus sévère de ce texte peut primer.

LXXII. Méthode de spécialité

Face à un certificat :

1. 441-4 ?

S’il s’agit d’une écriture publique ou authentique. Sinon :

2. 441-2 ?

S’il s’agit d’un document administratif correspondant aux catégories du texte. Sinon :

3. 441-7 ?

S’il s’agit d’une attestation ou d’un certificat.

LXXIII. Et 441-1 ?

Il reste le droit commun lorsque le document ne relève pas d’une catégorie spéciale.

LXXIV. Article 441-6 : première branche

L’article 441-6 incrimine d’abord le fait de se faire délivrer indûment, par un moyen frauduleux, par une administration publique ou un organisme chargé d’une mission de service public, un document destiné à constater :

droit ;
identité ;
qualité ;
autorisation.

LXXV. Vrai document obtenu frauduleusement

Cette première branche ne sanctionne pas nécessairement un faux document. Le document peut être parfaitement authentique. C’est son obtention qui est frauduleuse.

LXXVI. Exemple

A fournit de faux justificatifs à une administration. L’administration, trompée, lui délivre un vrai titre. Le vrai titre n’est pas matériellement faux.

441-6, alinéa 1, à examiner.

LXXVII. Deuxième branche de 441-6

Le texte punit également le fait de fournir sciemment une déclaration :

fausse ;
ou incomplète

en vue d’obtenir ou tenter d’obtenir un avantage indu.

LXXVIII. Bénéficiaires visés

La déclaration peut viser à obtenir un avantage :

pour soi ;
pour autrui.

Le texte couvre donc également celui qui ment afin de favoriser une autre personne.

LXXIX. Organismes concernés

L’avantage doit être demandé auprès notamment :

d’une personne publique ;
d’un organisme de protection sociale ;
d’un organisme chargé d’une mission de service public.

LXXX. Avantages concernés

Le texte vise :

allocation ;
prestation ;
paiement ;
avantage.

Mais il faut qu’ils soient :

INDUS.

LXXXI. L’avantage indu est une condition essentielle

La chambre criminelle l’a rappelé avec force dans son arrêt du 26 novembre 2024, n° 23-81.498, publié au Bulletin. Il faut déterminer précisément quelles prestations n’étaient pas dues en raison de la fraude invoquée.

LXXXII. Pas de formule globale

Il est insuffisant de dire :

« la plupart des allocations étaient indues ».

Le juge doit identifier précisément celles dont le bénéfice était réellement indu.

LXXXIII. Fausse déclaration ≠ avantage indu automatique

Une déclaration peut être inexacte sans que la personne perde pour autant tout droit à la prestation. Il faut examiner les conditions propres à chaque avantage.

LXXXIV. Exemple

A déclare un revenu erroné. Même avec le véritable revenu, A aurait eu droit exactement à la même allocation. Le caractère indu de l’avantage peut manquer.

LXXXV. Situation inverse

La déclaration fausse augmente l’allocation de :

300 à 800 euros.

La fraction obtenue en raison de la déclaration peut présenter un caractère indu.

LXXXVI. Autre apport majeur de l’arrêt du 26 novembre 2024

La Cour distingue :

OMISSION DE SIGNALER UN CHANGEMENT

et :

FOURNITURE D’UNE DÉCLARATION FAUSSE OU INCOMPLÈTE.

Elle juge que l’omission de signaler un changement dans ses conditions de vie ne caractérise pas, à elle seule, la déclaration fausse ou incomplète exigée par l’article 441-6, alinéa 2.

LXXXVII. Formule majeure

SILENCE OU OMISSION D’ACTUALISER ≠ FAUSSE DÉCLARATION 441-6 AUTOMATIQUEMENT.

LXXXVIII. Pourquoi ?

Le texte incrimine le fait de :

fournir une déclaration

fausse ou incomplète. Une simple abstention peut relever d’un autre texte, mais ne doit pas être artificiellement transformée en acte positif de déclaration.

LXXXIX. Exemple

A remplit un formulaire annuel et écrit :

« célibataire vivant seul »

alors qu’il vit en couple.

déclaration positive potentiellement fausse.

XC. Situation différente

A avait déclaré sincèrement vivre seul en janvier. Il se met en couple en juin. Il ne signale pas le changement.

omission de mise à jour.

L’arrêt du 26 novembre 2024 interdit d’assimiler automatiquement cette seule omission à la fausse déclaration de 441-6.

XCI. Une autre infraction peut néanmoins exister

Le fait de ne pas déclarer une modification de situation peut être puni par :

un texte social ;
administratif ;
spécial.

La non-application de 441-6 ne signifie donc pas impunité.

XCII. L’élément intentionnel de 441-6

Le texte dit :

fournir sciemment.

Il faut démontrer :

connaissance de l’inexactitude ;
volonté d’obtenir ou faire obtenir un avantage indu.

XCIII. L’arrêt de 2024 insiste également sur l’intention

La Cour reproche aux juges de ne pas avoir suffisamment répondu aux arguments selon lesquels les intéressés soutenaient avoir agi sans intention frauduleuse. La volonté d’obtenir un avantage indu doit être caractérisée.

XCIV. Erreur sur sa situation

Une personne croit sincèrement devoir se déclarer seule. La règle administrative est complexe. L’élément intentionnel doit être apprécié concrètement.

XCV. Erreur sur le droit

Selon les circonstances, la connaissance des conditions d’attribution peut être discutée. Il ne suffit pas d’affirmer :

« elle aurait dû savoir ».

XCVI. Fausses pièces et fausse déclaration

Une fraude sociale peut parfois comporter :

fausse déclaration ;
faux justificatif.

Les deux comportements doivent être distingués.

XCVII. Exemple

A déclare faussement :

« revenu mensuel : 800 euros ».

Il joint un faux bulletin de salaire. Peuvent être examinés :

441-6 pour la déclaration ;
faux ou texte spécial pour le bulletin ;
usage.

XCVIII. Pas de fusion automatique

Une fausse déclaration orale ou électronique et un document falsifié sont deux objets juridiques différents.

XCIX. Déclaration en ligne

L’article 441-6 n’exige pas nécessairement un formulaire papier. Une déclaration numérique peut constituer l’acte matériel.

C. Case cochée

Cocher sciemment une case :

« je vis seul »

alors que l’on sait que cette réponse est fausse peut constituer une déclaration.

CI. Champ laissé vide

Un champ volontairement laissé vide peut relever d’une déclaration incomplète si le formulaire est effectivement fourni ainsi. Il faut distinguer cela de l’absence totale de nouvelle déclaration.

CII. Déclaration incomplète

Le texte vise expressément :

FAUSSE OU INCOMPLÈTE.

Une omission interne à une déclaration effectivement fournie peut donc être punissable.

CIII. Exemple

Le formulaire demande :

« indiquez toutes vos ressources ».

A fournit le formulaire mais omet volontairement un salaire.

déclaration incomplète possible.

CIV. Différence avec non-déclaration totale d’un changement

Il s’agit ici d’un acte positif :

formulaire remis avec une omission volontaire.

C’est différent du simple silence après une ancienne déclaration exacte.

CV. Fausse déclaration pour autrui

A remplit le dossier de B et ment sciemment afin que B obtienne une allocation indue. Le texte vise expressément l’obtention :

pour soi-même ou pour autrui.

CVI. Personne qui bénéficie sans connaître le mensonge

B peut recevoir l’avantage sans savoir que A a falsifié le dossier. Sa responsabilité personnelle n’est pas automatique.

CVII. Déclaration par mandataire

Il faut identifier :

qui a fourni la déclaration ;
qui connaissait la réalité ;
qui recherchait l’avantage indu.

CVIII. Faux certificat et avantage social

Un faux certificat est utilisé pour obtenir une prestation. Plusieurs textes peuvent être en concours :

441-7 ;
441-6 ;
escroquerie selon les faits.

CIX. Principe de spécialité et concours

Il faut éviter de multiplier mécaniquement les qualifications. Il faut identifier :

actes distincts ;
intérêts protégés ;
éventuelle absorption.

CX. Attestation mensongère destinée à un procès civil

Exemple classique : A certifie volontairement que B a remboursé une dette. C’est faux. Le document est produit devant le tribunal. À examiner :

441-7, 1° pour A

et :

441-7, 3° pour celui qui l’utilise sciemment.

CXI. Utilisation pour obtenir un jugement

Selon les faits, une escroquerie au jugement peut également être envisagée.

CXII. Attestation mensongère en droit du travail

L’arrêt du 1er juin 2005 concernait précisément une attestation utilisée dans une procédure prud’homale à propos d’un emploi prétendument non déclaré et impayé. La Cour affirme que l’article 441-7 réprime les faits matériellement inexacts qu’ils aient ou non été personnellement constatés par l’auteur.

CXIII. Fausse attestation de remise de clés

L’affaire du pourvoi n° 03-81.347 illustre la nécessité de distinguer :

mensonge conscient ;
erreur de bonne foi sur les circonstances exactes d’une remise.

CXIV. Fausse attestation de prêt

L’arrêt du 18 février 2003 montre la nécessité de lire le temps verbal :

« était destinée à être prêtée »

ne signifie pas nécessairement :

« a effectivement été prêtée ».

Le droit pénal doit interpréter strictement le contenu de l’écrit.

CXV. Faux fait matériel / appréciation erronée

Une autre jurisprudence distingue une appréciation erronée d’un fait matériel sciemment inventé. La Cour a validé une condamnation lorsqu’il était reproché non une simple opinion erronée sur une décision, mais d’avoir attesté faussement le fait matériel même de cette décision.

CXVI. Formule

ERREUR D’ANALYSE ≠ FAUSSE ATTESTATION

mais :

INVENTION CONSCIENTE D’UN ÉVÉNEMENT = FAUSSE ATTESTATION POSSIBLE.

CXVII. Attestation relatant une rumeur exacte en tant que rumeur

A écrit :

« B m’a dit que C était absent ».

B lui a effectivement dit cela. Le document atteste essentiellement :

l’existence de la déclaration de B.

Même si C était en réalité présent, il faut déterminer exactement ce que A certifie.

CXVIII. Attestation transformant une rumeur en fait

A écrit :

« C était absent ».

Il ne dispose d’aucune connaissance autre que la rumeur, et C était présent. L’analyse change.

CXIX. Le texte exact est donc déterminant

Comme dans tout droit des faux :

QUALIFIER LE CONTENU EXACT, PAS L’IMPRESSION GÉNÉRALE.

CXX. Attestation collective

Plusieurs personnes signent le même document. Leur responsabilité doit être individualisée.

CXXI. Tous les signataires ne savent pas nécessairement que le contenu est faux

A peut savoir. B peut se tromper sincèrement. C peut n’avoir rien lu. Il ne faut pas condamner collectivement sans analyser l’intention de chacun.

CXXII. Rédacteur non signataire

A rédige le texte. B le signe. Il faut déterminer le rôle de A :

auteur ?
complice ?
instigateur ?

CXXIII. Usage par le rédacteur

A rédige pour B puis récupère l’attestation signée et l’utilise. Il peut avoir plusieurs rôles.

CXXIV. Attestation électronique

Une attestation signée électroniquement peut relever de 441-7. Le papier n’est pas indispensable.

CXXV. Falsification du fichier

A modifie un PDF signé par B. Le document était originairement sincère.

441-7, 2°, possible.

CXXVI. Signature copiée

A utilise la signature scannée de B pour créer une attestation que B n’a jamais établie. Selon la construction juridique précise, il faut distinguer :

fausse attestation ;
falsification ;
faux général éventuel.

CXXVII. Faux certificat généré par IA

Une IA rédige le texte. A le présente comme certificat authentiquement établi par un professionnel. Le moyen technique est indifférent. La responsabilité se rattache à la personne qui conçoit et utilise consciemment la falsification.

CXXVIII. Certificat réel modifié par IA

Un certificat authentique est modifié :

date ;
diagnostic ;
montant.

Le 2° de 441-7 peut être directement pertinent.

CXXIX. Traduction falsifiée d’une attestation

A modifie volontairement une traduction afin de donner au document original un sens qu’il n’a pas. Il faut déterminer :

nature de la traduction ;
force probatoire ;
texte applicable.

CXXX. Simple erreur de traduction

L’erreur involontaire ne constitue pas une falsification intentionnelle.

CXXXI. Attestation notariale

Attention à la spécialité. Si l’écrit appartient réellement au régime des écritures authentiques de 441-4 :

441-4 doit être examiné avant 441-7.

CXXXII. Certificat administratif

Même logique :

441-2 peut primer lorsque ses conditions sont réunies.

CXXXIII. Certificat privé

Exemple : une entreprise privée établit un certificat de présence.

441-7 naturellement pertinent.

CXXXIV. Déclaration simple dans un contrat

Une clause contractuelle mensongère n’est pas nécessairement une « attestation » de 441-7. Le faux de droit commun peut être plus approprié.

CXXXV. Tableau : les trois branches de 441-7

Comportement	Texte
Créer directement une attestation mensongère	441-7, 1°
Modifier une attestation sincère	441-7, 2°
Utiliser une attestation fausse/falsifiée	441-7, 3°

Peine de base :

1 an + 15 000 €.

CXXXVI. Tableau : aggravations de 441-7

Finalité	Peine
Forme simple	1 an + 15 000 €
Préjudice au Trésor public	3 ans + 45 000 €
Préjudice au patrimoine d’autrui	3 ans + 45 000 €
Obtention d’un titre de séjour	3 ans + 45 000 €
Protection contre l’éloignement	3 ans + 45 000 €

CXXXVII. Tableau : faits matériels ou non

Affirmation	441-7 ?
« A était présent »	Oui possible
« A a payé »	Oui possible
« A travaillait ici »	Oui possible
« A est sympathique »	Pas naturellement
« Selon moi, le contrat est valable »	Pas naturellement
« A envisageait un prêt »	Dépend de la réalité de l’intention
« Le prêt a été versé »	Fait matériel vérifiable

CXXXVIII. Tableau : 441-6

Comportement	Texte
Obtenir frauduleusement un vrai document administratif	441-6, al. 1
Fournir sciemment une fausse déclaration	441-6, al. 2
Fournir sciemment une déclaration incomplète	441-6, al. 2
Simple omission de signaler ultérieurement un changement	Pas automatiquement 441-6
Avantage qui n’est pas indu	Élément manquant

CXXXIX. Tableau : 441-1 / 441-7

Critère	441-1	441-7
Tout écrit probatoire	Oui	Non
Attestation/certificat	Possible subsidiairement	Texte spécial
Préjudice exigé dans définition de base	Oui	Non de la même manière
Faits matériellement inexacts	Pas seule formulation	Élément central
Peine de base	3 ans + 45 000 €	1 an + 15 000 €

CXL. Tableau : 441-7 / 441-6

Situation	441-7	441-6
Fausse attestation de témoin	Oui	Non normalement
Faux certificat	Oui	Non normalement
Déclaration CAF mensongère	Pas principal	Oui possible
Omission de signaler un changement	Non selon objet	Pas automatiquement
Faux justificatif joint à dossier CAF	Oui/autre faux selon nature	Déclaration distincte possible
Avantage indu requis	Seulement aggravation patrimoniale selon cas	Oui pour al. 2

CXLI. Exemple complet : prud’hommes

A rédige :

« J’ai personnellement vu B travailler pendant six mois sans salaire ».

Le fait n’a jamais existé. Le document est produit aux prud’hommes. Analyse :

A : 441-7, 1° possible

Utilisateur conscient : 441-7, 3° possible.

Le fait que A n’ait pas réellement assisté personnellement à la situation n’est pas, en soi, le seul critère : ce qui compte est l’inexactitude matérielle du fait attesté.

CXLII. Exemple complet : projet de prêt

A atteste :

« cette somme était destinée à être prêtée à B ».

Le prêt n’est finalement jamais réalisé. Il faut déterminer si l’intention de prêt existait réellement. L’arrêt du 18 février 2003 interdit de transformer automatiquement le projet non réalisé en faux fait matériel.

CXLIII. Exemple complet : attestation d’hébergement

A écrit :

« B habite chez moi depuis le 1er janvier ».

B n’a jamais vécu chez A. A le sait.

441-7, 1° possible.

CXLIV. Usage pour titre de séjour

L’attestation est utilisée pour obtenir un titre de séjour. Si les conditions sont remplies :

aggravation : 3 ans + 45 000 €.

CXLV. Exemple complet : certificat sincère falsifié

Le médecin écrit authentiquement :

« arrêt jusqu’au 5 mars ».

A modifie :

« 5 mai ».

441-7, 2° possible.

Puis il le transmet à son employeur :

441-7, 3° possible.

CXLVI. Exemple complet : erreur médicale

Le médecin diagnostique à tort une pathologie. Il croyait sincèrement son diagnostic exact.

Pas de faux certificat intentionnel sur ce seul fondement.

CXLVII. Exemple complet : consultation fictive

Le médecin certifie :

« j’ai examiné B le 3 mars ».

Il n’a jamais rencontré B et le sait.

fait matériellement inexact.

CXLVIII. Exemple complet : fausse déclaration CAF

A remplit un nouveau formulaire et déclare sciemment :

« je vis seul ».

Il vit en couple et cette donnée modifie son droit aux prestations. Il obtient une allocation qu’il n’aurait pas dû percevoir.

441-6, alinéa 2, possible, si l’ensemble des conditions, notamment l’avantage indu et l’intention, est établi.

CXLIX. Exemple complet : simple non-signalement

A avait sincèrement déclaré vivre seul. Sa situation change. Il omet simplement d’en informer la CAF.

441-6, alinéa 2, non automatique.

Cass. crim., 26 novembre 2024 : une telle omission ne constitue pas, à elle seule, la fourniture d’une déclaration fausse ou incomplète exigée par le texte.

CL. Exemple complet : formulaire incomplet remis

A reçoit un formulaire demandant :

« indiquez toutes les ressources du foyer ».

Il le remplit et omet volontairement 2 000 euros de salaire mensuel. Le formulaire est effectivement fourni.

déclaration incomplète possible.

Ce cas doit être distingué du simple défaut ultérieur de mise à jour.

CLI. Exemple complet : prestation toujours due

A commet une erreur volontaire sur une donnée. Mais il apparaît qu’il aurait bénéficié de la même prestation et du même montant même avec la donnée correcte.

le caractère indu de l’avantage doit être démontré.

L’arrêt du 26 novembre 2024 impose cette vérification précise.

CLII. Exemple complet : fausse attestation mais aucune perte patrimoniale recherchée

A rédige une fausse attestation relative à un incident sans enjeu financier.

forme simple de 441-7 possible.

Il n’est pas nécessaire de démontrer un préjudice de la victime comme condition générale de l’infraction spéciale.

CLIII. Exemple complet : même attestation pour obtenir 100 000 euros

Le document est fabriqué afin de faire condamner B à payer.

aggravation patrimoniale de 441-7 à examiner.

CLIV. Exemple complet : mauvaise qualité indiquée dans une attestation

L’auteur indique de façon inexacte qu’il n’a aucun lien avec une partie. Les faits décrits dans l’attestation sont, eux, exacts. La jurisprudence récente précise que cette irrégularité relative à la qualité de l’auteur n’est pas nécessairement une affirmation de fait matériel relevant de 441-7.

CLV. Conséquence sur l’usage

Si le document n’est pas une fausse attestation au sens pénal :

son usage ne peut pas être condamné au titre du 3° de l’article 441-7.

CLVI. Exemple complet : vraie attestation utilisée par un tiers

L’attestation est exacte. B l’utilise dans une procédure pour défendre une thèse contestable.

Pas d’usage de fausse attestation puisque l’attestation n’est pas fausse.

CLVII. Exemple complet : attestation fausse utilisée sans connaissance

A ment. B croit A et produit le document.

A peut être poursuivi pour établissement.

B ne commet pas nécessairement l’usage faute de connaissance.

CLVIII. Exemple complet : connaissance acquise après expertise

Une expertise ou un aveu établit ensuite la falsification. B continue à produire la pièce.

usage intentionnel ultérieur possible.

CLIX. Preuve de l’inexactitude matérielle

Rechercher :

témoignages concordants ;
registres ;
contrats ;
vidéos ;
données de géolocalisation ;
documents contemporains.

CLX. Preuve de l’intention

Rechercher :

messages préparatoires ;
demande de « rendre service » ;
contradictions ;
intérêt personnel ;
connaissance directe des faits.

CLXI. Témoignage contraire unique

Une personne contredit l’attestation. Cela ne suffit pas nécessairement à démontrer pénalement l’inexactitude. Il faut apprécier l’ensemble des preuves.

CLXII. Attestations contradictoires

Deux témoins sincères peuvent avoir des souvenirs différents.

CONTRADICTION ≠ FAUSSE ATTESTATION AUTOMATIQUE.

CLXIII. Faux objectif

La condamnation suppose d’établir que l’une des affirmations est réellement matériellement fausse et que son auteur en avait conscience.

CLXIV. Modification de date

Un certificat authentique est antidaté. Selon les conséquences de la date et l’intention :

falsification du 2° possible.

CLXV. Modification neutre

Une donnée sans relation avec les faits certifiés est modifiée. La jurisprudence ancienne a toutefois rappelé que l’article 441-7 est une incrimination spéciale qui ne suppose pas la démonstration d’un préjudice au sens de l’article 441-1 ; il faut donc éviter d’importer mécaniquement dans le texte spécial toutes les exigences du faux général.

CLXVI. Certificat signé par erreur

Une personne signe un document qu’elle croyait correctement rempli. Si elle ignorait l’inexactitude :

intention à démontrer.

CLXVII. Annulation immédiate

La personne découvre l’erreur et annule sa demande ou rectifie immédiatement. Ce comportement peut constituer un indice de bonne foi, même s’il ne crée pas une règle générale d’effacement d’une infraction déjà consommée.

CLXVIII. Attestation de complaisance

L’expression est fréquemment utilisée. Mais pénalement, il faut toujours démontrer :

DES FAITS MATÉRIELLEMENT INEXACTS.

La simple bienveillance envers l’une des parties ne suffit pas.

CLXIX. Attestation favorable mais vraie

A veut aider B et rédige une attestation parfaitement exacte.

aucune fausse attestation.

Le mobile de soutien ne crée pas l’infraction.

CLXX. Attestation défavorable mais vraie

Même logique. Le droit pénal ne sanctionne pas une attestation parce qu’elle nuit à quelqu’un. Il sanctionne son caractère matériellement faux lorsque les autres éléments sont présents.

CLXXI. Méthode de qualification de 441-7

Devant une attestation litigieuse :

Est-ce réellement une attestation ou un certificat ?
Qui l’a établi ?
Est-il originairement mensonger ?
Ou originairement sincère puis falsifié ?
Quels faits précis sont affirmés ?
S’agit-il de faits matériels ?
Sont-ils objectivement inexacts ?
L’auteur le savait-il ?
Le document a-t-il été utilisé ?
L’utilisateur connaissait-il sa fausseté ?
Existe-t-il une finalité patrimoniale aggravante ?
Une finalité liée au séjour ou à l’éloignement ?
Un texte plus spécial, 441-2 ou 441-4, est-il applicable ?

CLXXII. Méthode de qualification de 441-6

Devant une fraude déclarative :

Une déclaration a-t-elle réellement été fournie ?
Est-elle fausse ?
Ou incomplète ?
S’agit-il seulement d’une omission ultérieure ?
Le prévenu connaissait-il l’inexactitude ?
Quel avantage recherchait-il ?
Allocation ?
Prestation ?
Paiement ?
Autre avantage ?
L’avantage était-il réellement indu ?
Quelle partie exactement était indue ?
La fausse déclaration a-t-elle joué un rôle dans son attribution ?
L’intention d’obtenir cet avantage indu est-elle démontrée ?

CLXXIII. Checklist spéciale attestation judiciaire

Texte intégral de l’attestation.
Faits matériels précisément décrits.
Dates.
Auteur.
Signature.
Conditions de rédaction.
Qui a demandé l’attestation ?
Relations avec les parties.
Éléments confirmant ou infirmant les faits.
Connaissance de l’auteur.
Personne ayant produit la pièce.
Connaissance de cette personne.
Éventuelle irrégularité au regard de l’article 202 CPC.
Ne pas confondre irrégularité formelle et fausseté pénale.

CLXXIV. Checklist spéciale prestations sociales

Quelle déclaration précise ?
À quelle date ?
Quel organisme ?
Quelle situation réelle ?
Quelle donnée déclarée ?
Mensonge positif ou simple silence ?
Nouvelle déclaration ou ancienne déclaration devenue obsolète ?
Quel avantage a été payé ?
Aurait-il été dû avec la situation véritable ?
Quel montant est réellement indu ?
Le bénéficiaire le savait-il ?
A-t-il volontairement cherché cet avantage ?

Cette méthode correspond directement aux exigences rappelées par Cass. crim., 26 novembre 2024, n° 23-81.498.

CLXXV. Erreurs fréquentes

Erreur n° 1 : toute déclaration mensongère relève de 441-7

Faux. 441-7 vise spécialement :

attestation ou certificat.

Erreur n° 2 : toute attestation irrégulière est pénalement fausse

Faux. Une irrégularité formelle au regard de l’article 202 CPC peut ne pas constituer un fait matériellement inexact de 441-7.

Erreur n° 3 : l’auteur doit obligatoirement avoir personnellement vu les faits

Faux. Cass. crim., 1er juin 2005, n° 04-84.526.

Erreur n° 4 : toute déclaration relative au futur constitue un fait matériel

Faux. Un projet ou une intention doit être distingué d’un événement déjà réalisé. Cass. crim., 18 février 2003.

Erreur n° 5 : une opinion fausse est nécessairement une fausse attestation

Faux. Le texte vise les faits matériellement inexacts.

Erreur n° 6 : une erreur de mémoire suffit

Faux. L’élément intentionnel doit être établi.

Erreur n° 7 : l’article 441-7 exige toujours un préjudice comme 441-1

Faux. La jurisprudence indique que le texte spécial n’exige pas, dans sa forme de base, la preuve de l’existence d’un préjudice de la victime.

Erreur n° 8 : le préjudice n’a aucune place dans 441-7

Faux également. La volonté de porter préjudice :

au Trésor public ;
au patrimoine d’autrui

constitue une circonstance aggravante portant les peines à 3 ans et 45 000 euros.

Erreur n° 9 : utiliser une attestation fausse sans le savoir est punissable

Faux. L’usage est intentionnel.

Erreur n° 10 : si le 1° n’est pas applicable, le 2° l’est automatiquement

Faux. Il faut déterminer s’il existait une attestation originairement sincère réellement falsifiée.

Erreur n° 11 : toute omission auprès de la CAF est une fausse déclaration 441-6

Faux. Cass. crim., 26 novembre 2024 : une simple omission de signaler un changement ne constitue pas automatiquement la fourniture d’une déclaration fausse ou incomplète.

Erreur n° 12 : une fausse déclaration suffit pour 441-6 même si l’avantage était dû

Faux. L’avantage recherché ou obtenu doit être indu.

Erreur n° 13 : il suffit de dire que « la plupart des prestations étaient indues »

Faux. La Cour demande une détermination précise des prestations effectivement indues.

Erreur n° 14 : une déclaration incomplète et une absence totale de déclaration sont identiques

Faux. Le texte exige un acte de fourniture d’une déclaration fausse ou incomplète ; la jurisprudence de 2024 insiste sur cette distinction.

Erreur n° 15 : toute attestation officielle relève de 441-7

Faux. Il faut vérifier :

441-2 ;
441-4

si le document appartient à une catégorie administrative, publique ou authentique plus spéciale.

CLXXVI. Jurisprudence majeure : Cass. crim., 1er juin 2005, n° 04-84.526

Cet arrêt publié au Bulletin doit être mémorisé. La Cour affirme que l’article 441-7 réprime l’établissement d’un écrit relatant des faits matériellement inexacts :

QU’ILS AIENT OU NON ÉTÉ PERSONNELLEMENT CONSTATÉS PAR LEUR AUTEUR.

Il faut donc retenir :

L’ABSENCE DE PERCEPTION PERSONNELLE N’EST PAS À ELLE SEULE LE CRITÈRE DU FAUX.

La question essentielle est :

LE FAIT RAPPORTÉ EST-IL MATÉRIELLEMENT FAUX ?

CLXXVII. Jurisprudence majeure : Cass. crim., 18 février 2003, n° 02-85.485

Deuxième arrêt fondamental. L’article 441-7 ne peut être appliqué que si l’attestation affirme réellement un :

fait matériellement inexact.

Des documents se bornant à évoquer un projet de prêt ne pouvaient être traités comme affirmant nécessairement l’existence d’un prêt effectivement consenti. La formule est :

LIRE EXACTEMENT CE QUE LE DOCUMENT ATTESTE.

CLXXVIII. Jurisprudence majeure : Cass. crim., 29 janvier 2025, n° 24-80.482

Cette décision apporte une nuance particulièrement utile. L’indication inexacte par l’auteur d’une attestation de sa qualité à l’égard des parties ne constitue pas nécessairement l’affirmation d’un fait matériel au sens de l’article 441-7 ; elle peut seulement correspondre au non-respect d’une formalité de l’article 202 CPC. Dès lors que le délit de fausse attestation n’est pas constitué :

son usage ne l’est pas non plus.

CLXXIX. Jurisprudence majeure : Cass. crim., 26 novembre 2024, n° 23-81.498

Cette décision publiée au Bulletin est devenue incontournable pour l’article 441-6. Trois enseignements doivent être mémorisés.

Premier enseignement

LA SIMPLE OMISSION DE SIGNALER UN CHANGEMENT DE SITUATION N’EST PAS AUTOMATIQUEMENT UNE DÉCLARATION FAUSSE OU INCOMPLÈTE.

Deuxième enseignement

IL FAUT IDENTIFIER PRÉCISÉMENT LES PRESTATIONS RÉELLEMENT INDUES.

Troisième enseignement

L’INTENTION D’OBTENIR UN AVANTAGE INDU DOIT ÊTRE CARACTÉRISÉE.

CLXXX. Régime légal au 13 août 2026

Au 13 août 2026, l’article 441-7 demeure rédigé selon la structure suivante :

ÉTABLISSEMENT D’UNE ATTESTATION OU D’UN CERTIFICAT MATÉRIELLEMENT INEXACT

FALSIFICATION D’UNE ATTESTATION OU D’UN CERTIFICAT ORIGINAIREMENT SINCÈRE

USAGE D’UNE ATTESTATION OU D’UN CERTIFICAT INEXACT OU FALSIFIÉ

Peine :

1 AN + 15 000 €.

Formes aggravées :

3 ANS + 45 000 €.

L’article 441-6 demeure puni de :

2 ANS + 30 000 €

pour ses deux branches principales :

obtention frauduleuse d’un document administratif authentique ;
fausse ou incomplète déclaration sciemment fournie pour obtenir un avantage indu.

CLXXXI. À retenir

La première règle est :

ARTICLE 441-7 = FAUX SPÉCIAL DES ATTESTATIONS ET CERTIFICATS.

Il réprime trois actes distincts :

ÉTABLIR

FALSIFIER

UTILISER.

La deuxième règle est :

LE CŒUR DE L’INFRACTION EST LE FAIT MATÉRIELLEMENT INEXACT.

Une opinion, une appréciation ou une simple hypothèse ne doit pas être artificiellement transformée en fait matériel. La troisième règle est donnée par Cass. crim., 1er juin 2005 :

LES FAITS N’ONT PAS BESOIN D’AVOIR ÉTÉ PERSONNELLEMENT CONSTATÉS PAR L’AUTEUR POUR QUE LE TEXTE S’APPLIQUE.

La quatrième règle résulte de Cass. crim., 18 février 2003 :

UN PROJET OU UNE INTENTION NE DOIT PAS ÊTRE CONFONDU AVEC UN FAIT ACCOMPLI.

La cinquième règle est :

IRRÉGULARITÉ FORMELLE D’UNE ATTESTATION ≠ FAUSSE ATTESTATION PÉNALE.

La jurisprudence de janvier 2025 l’illustre à propos de l’indication erronée de la qualité de l’auteur par rapport aux parties. La sixième règle distingue 441-7 du faux général :

LE PRÉJUDICE N’EST PAS UNE CONDITION AUTONOME DE LA FORME SIMPLE DE 441-7 COMME IL L’EST DANS LA DÉFINITION DU 441-1.

Mais :

VOLONTÉ DE PORTER PRÉJUDICE AU TRÉSOR OU AU PATRIMOINE D’AUTRUI = AGGRAVATION.

La peine passe alors à :

3 ANS + 45 000 €.

La septième règle concerne l’article 441-6 :

FAUSSE DÉCLARATION ≠ SIMPLE SILENCE.

L’arrêt Cass. crim., 26 novembre 2024, n° 23-81.498 interdit d’assimiler automatiquement l’omission de signaler une modification de situation à la fourniture d’une déclaration fausse ou incomplète. La huitième règle est :

L’AVANTAGE DOIT ÊTRE INDÛ.

Le juge doit identifier précisément quelles prestations ou sommes n’étaient réellement pas dues. La neuvième règle est :

L’INTENTION DOIT ÊTRE PROUVÉE.

Pour 441-7 :

connaissance du caractère matériellement inexact ou falsifié.

Pour 441-6 :

connaissance de la déclaration fausse ou incomplète + volonté d’obtenir un avantage indu.

Enfin, la méthode générale est :

IDENTIFIER LE TYPE DE DOCUMENT → ATTESTATION OU CERTIFICAT ? → IDENTIFIER LES FAITS MATÉRIELS EXACTEMENT AFFIRMÉS → PROUVER LEUR INEXACTITUDE → PROUVER LA CONNAISSANCE → DISTINGUER ÉTABLISSEMENT / FALSIFICATION / USAGE → RECHERCHER UNE AGGRAVATION → POUR LES DÉCLARATIONS ADMINISTRATIVES, VÉRIFIER UN ACTE POSITIF DE DÉCLARATION ET LE CARACTÈRE RÉELLEMENT INDU DE L’AVANTAGE.

CLXXVIII. Faux, usage de faux et prescription

La prescription du faux et de l’usage de faux impose une méthode particulièrement rigoureuse parce que plusieurs dates peuvent coexister dans un même dossier :

date de fabrication du faux ;
date de chacune de ses utilisations ;
date de découverte de la falsification ;
date d’un acte interruptif ;
éventuelle période de suspension ;
et, exceptionnellement, date d’apparition d’une infraction occulte ou dissimulée.

La première erreur consiste donc à rechercher :

« LA DATE DU FAUX »

comme s’il n’existait qu’un seul point de départ. La méthode exacte est :

FAUX ET USAGE SONT AUTONOMES → CHACUN DOIT ÊTRE DATÉ → CHAQUE USAGE DOIT ÊTRE INDIVIDUALISÉ → INTERRUPTION ET SUSPENSION DOIVENT ENSUITE ÊTRE RECHERCHÉES.

Au 13 août 2026, l’action publique des délits se prescrit en principe par six années révolues à compter du jour où l’infraction est commise. Pour les crimes, le délai de droit commun est de vingt années révolues à compter du jour de commission. Cette différence devient capitale pour l’article 441-4 : le faux en écriture publique ou authentique est, dans sa forme de base, un délit puni de dix ans d’emprisonnement, mais devient un crime lorsque les conditions tenant à la qualité publique de l’auteur et à l’exercice de ses fonctions sont réunies.

I. La première règle : qualifier avant de calculer

Avant toute opération de prescription, il faut déterminer :

QUELLE INFRACTION EXACTE ?

Car le délai dépend notamment de sa nature :

délit ;
crime.

II. Faux de droit commun

Le faux de l’article 441-1 est un délit. Le délai de droit commun applicable à l’action publique est donc :

6 ans.

III. Usage de faux de droit commun

L’usage de faux de l’article 441-1 est également un délit. Même délai de droit commun :

6 ans.

Mais le point de départ n’est pas nécessairement le même que celui du faux.

IV. Faux administratif

Le faux de l’article 441-2 est un délit. La prescription de droit commun est donc également, sous réserve de régimes particuliers :

6 ans.

V. Faux certificat ou attestation

L’article 441-7 crée lui aussi un délit. Même principe :

6 ans.

VI. Faux en écriture publique ou authentique par un particulier

La forme de base de l’article 441-4 reste un délit, même si elle est punie de dix ans d’emprisonnement. Il faut éviter le raisonnement :

10 ans d’emprisonnement = crime.

Faux. La qualification légale commande. Le délai de droit commun demeure donc celui des délits :

6 ans, sauf texte particulier.

VII. Faux public commis par une personne publique qualifiée

Lorsque l’article 441-4 prévoit :

15 ans de réclusion criminelle

pour une personne dépositaire de l’autorité publique ou chargée d’une mission de service public agissant dans ses fonctions, l’infraction devient criminelle. Le délai de droit commun est alors :

20 ans.

VIII. Première formule à mémoriser

PEINE ÉLEVÉE ≠ CRIME AUTOMATIQUEMENT.

Il faut identifier :

nature légale de l’infraction ;
peine criminelle ou correctionnelle.

IX. Le faux est une infraction instantanée

La jurisprudence classique considère le faux comme une infraction :

instantanée.

Il est consommé lors de l’établissement ou de l’altération frauduleuse du document. La Cour de cassation rappelle, dans son arrêt du 11 janvier 2001, n° 00-81.761, que faux et usage constituent des infractions instantanées et que leur prescription ne se rattache pas, par principe, au jour où la victime découvre la pièce.

X. Exemple

A fabrique le 1er février 2020 une fausse reconnaissance de dette. Il ne l’utilise jamais. En droit commun :

le faux est commis le 1er février 2020.

La prescription doit être calculée à partir de cette date, sous réserve :

interruption ;
suspension ;
régime des infractions occultes ou dissimulées.

XI. Le document peut continuer d’exister sans prolonger le faux

Le faux reste sur le disque dur pendant dix ans. Cela ne transforme pas le faux en :

infraction continue.

La fabrication reste un acte instantané.

XII. Conservation ≠ prolongation du faux

Il faut distinguer :

fabrication du faux ;
détention ;
usage.

Pour certains faux administratifs, la détention peut d’ailleurs être spécialement incriminée par l’article 441-3.

XIII. Le faux matériel

Signature imitée le 3 mars 2022. Le faux est, en principe, commis à cette date.

XIV. Faux intellectuel

Un procès-verbal mensonger est établi le 10 juin 2023. L’infraction est consommée lors de son établissement frauduleux.

XV. Faux numérique

Un PDF est frauduleusement modifié le 15 avril 2024. Même logique. Le numérique ne transforme pas la nature temporelle de l’infraction.

XVI. La découverte ultérieure ne constitue pas normalement le point de départ

La victime découvre le faux en 2026. Il a été créé en 2018. On ne peut pas simplement écrire :

« prescription à compter de la découverte en 2026 ».

Il faut d’abord appliquer les règles générales et vérifier seulement ensuite si le régime des infractions occultes ou dissimulées peut réellement intervenir.

XVII. L’usage est lui aussi instantané

La règle majeure du chapitre précédent doit être reprise :

L’USAGE DE FAUX EST UNE INFRACTION INSTANTANÉE.

La Cour de cassation l’affirme expressément dans Cass. crim., 11 janvier 2001, n° 00-81.761.

XVIII. Mais l’usage peut être répété

C’est la particularité essentielle. Un même faux peut être utilisé :

une première fois ;
puis une deuxième ;
puis une troisième.

Chaque nouvel acte positif par lequel l’auteur se prévaut de la pièce peut constituer :

UN NOUVEL USAGE.

XIX. Formule jurisprudentielle fondamentale

L’arrêt du 11 janvier 2001 impose de rechercher :

CHACUN DES ACTES PAR LESQUELS LE PRÉVENU SE PRÉVAUT DE LA PIÈCE FAUSSE.

C’est le cœur de la prescription de l’usage.

XX. Faux ancien, usage récent

Exemple : faux établi :

1er janvier 2015.

Usage :

1er juillet 2025.

Même si la poursuite du faux lui-même est prescrite, l’usage de 2025 peut être encore parfaitement poursuivable.

XXI. Faux prescrit ≠ usage prescrit

Cette formule doit être mémorisée :

LA PRESCRIPTION DU FAUX NE SE TRANSMET PAS AUTOMATIQUEMENT À L’USAGE.

XXII. Pourquoi ?

Parce qu’il s’agit de deux infractions autonomes. Le faux :

fabrication.

L’usage :

exploitation du document.

XXIII. Premier usage

Faux créé en 2018. Produit au tribunal en 2020. Cet acte possède sa propre date :

XXIV. Deuxième usage

Le même document est à nouveau produit en appel en 2024. Nouvel acte positif :

XXV. Troisième usage

Il est transmis à une banque en 2026. Encore une nouvelle date.

XXVI. Tableau chronologique

Événement	Date	Infraction possible
Création du faux	2018	Faux
Production au tribunal	2020	Usage
Production en appel	2024	Nouvel usage
Transmission banque	2026	Nouvel usage

XXVII. La présence passive de la pièce ne suffit pas

Une pièce déposée au tribunal en 2020 reste matériellement dans le dossier jusqu’en 2026. Cela ne signifie pas :

UN USAGE NOUVEAU CHAQUE JOUR.

XXVIII. Il faut un fait positif

La jurisprudence exige de rechercher un acte par lequel le prévenu :

se prévaut

de la pièce. La simple persistance matérielle du document ne suffit donc pas nécessairement.

XXIX. Exemple

Une pièce est déposée le 1er avril 2020. Elle reste dans un dossier numérique pendant six ans. Personne ne la mentionne plus. Il n’existe pas automatiquement :

2 190 nouveaux usages.

XXX. Nouvelle invocation

En revanche, en 2025, la partie écrit :

« ainsi que le démontre la pièce n° 14 déjà produite ».

Il faut rechercher si cet acte constitue un :

nouveau fait positif d’usage.

XXXI. L’arrêt du 11 janvier 2001 et le mémoire en cassation

L’affaire ayant donné lieu à cet arrêt concernait précisément la question de savoir si des pièces arguées de faux avaient été à nouveau invoquées dans un mémoire en défense devant la Cour de cassation. La Cour reproche aux juges de ne pas avoir effectué cette recherche.

XXXII. Formule pratique

PIÈCE AU DOSSIER ≠ USAGE NOUVEAU

mais :

PIÈCE RÉINVOQUÉE = USAGE NOUVEAU POSSIBLE.

XXXIII. Usage devant le tribunal

Production avec :

assignation ;
conclusions ;
bordereau.

Acte positif possible.

XXXIV. Usage devant la cour d’appel

Nouvelle communication ou invocation de la pièce :

usage nouveau possible.

XXXV. Usage devant la Cour de cassation

Pas automatiquement. Le contrôle de la Cour de cassation porte principalement sur la légalité de la décision. Mais si la partie se prévaut effectivement de la pièce dans son mémoire, un nouvel usage peut devoir être recherché.

XXXVI. Usage devant une administration

Nouvelle transmission :

nouvelle date.

XXXVII. Usage devant une banque

Même faux utilisé pour obtenir un autre financement :

nouvel usage.

XXXVIII. Usage dans une mise en demeure

A joint à nouveau le faux contrat.

usage possible à cette date.

XXXIX. Simple réclamation sans mention du document

A demande paiement sans invoquer la pièce. Ce n’est pas automatiquement un nouvel usage de faux.

XL. Prescription des délits : six ans

Depuis la réforme de 2017, l’article 8 CPP prévoit que l’action publique des délits se prescrit, en principe :

par six années révolues à compter du jour où l’infraction a été commise.

Cette règle est celle applicable au droit commun au 13 août 2026.

XLI. Ancien délai : trois ans

Avant la réforme du 27 février 2017, le délai de prescription de droit commun des délits était de trois ans. Cette donnée est importante pour les vieux dossiers.

XLII. Loi du 27 février 2017

La loi n° 2017-242 du 27 février 2017 a profondément réformé la prescription pénale. Elle est entrée en vigueur le :

1er mars 2017.

XLIII. Application dans le temps

La jurisprudence considère que le nouveau délai de six ans s’applique immédiatement aux faits qui n’étaient pas déjà prescrits à l’entrée en vigueur de la réforme, sous réserve des règles transitoires. La chambre criminelle l’a rappelé dans Cass. crim., 13 octobre 2020, n° 19-87.787, publié au Bulletin.

XLIV. Une prescription acquise ne renaît pas

La loi nouvelle ne permet pas de ressusciter une action publique déjà prescrite. Principe fondamental :

PRESCRIPTION ACQUISE = PRESCRIPTION ACQUISE.

XLV. Exemple

Délit commis en janvier 2012. Aucun acte interruptif. Sous l’ancien délai de trois ans :

prescription acquise en janvier 2015.

La réforme de 2017 ne fait pas renaître l’action publique.

XLVI. Exemple inverse

Délit commis en 2015. Un acte interruptif valable intervient en 2016. Au 1er mars 2017, la prescription n’est pas acquise. La nouvelle loi peut alors produire ses effets dans les conditions précisées par la jurisprudence.

XLVII. Article 4 de la loi de 2017

L’article 4 précise que la réforme ne peut avoir pour effet de prescrire une infraction qui, au moment de son entrée en vigueur, avait valablement donné lieu à la mise en mouvement ou à l’exercice de l’action publique à une date où la prescription n’était pas acquise.

XLVIII. Importance des vieux dossiers de faux

Les affaires de faux portent souvent sur :

actes anciens ;
successions ;
titres de propriété ;
procès-verbaux ;
contrats.

Il faut donc reconstruire précisément le droit applicable à chaque époque.

XLIX. Ne jamais appliquer mécaniquement six ans à un fait de 2010

Il faut déterminer :

délai applicable à l’époque ;
actes interruptifs éventuels ;
prescription acquise ou non au 1er mars 2017 ;
effet de la loi nouvelle.

L. Prescription des crimes : vingt ans

L’article 7 CPP prévoit en droit commun :

20 années révolues.

Cela concerne notamment la forme criminelle du faux en écriture publique prévue à l’article 441-4 lorsque ses conditions sont réunies.

LI. Exemple

Un officier public commet un faux criminel dans ses fonctions en 2020. En l’absence de régime spécial, interruption ou suspension :

délai de droit commun criminel : 20 ans.

LII. Qualification décisive

Si les faits sont à tort analysés comme simple faux correctionnel, le calcul peut être faux de :

14 années.

C’est considérable.

LIII. Prescription et requalification

Une enquête ouverte pour faux correctionnel peut révéler que l’auteur était :

dépositaire de l’autorité publique ;
agissant dans ses fonctions.

Il faut alors réexaminer la prescription sur la qualification criminelle correcte.

LIV. Infraction occulte

L’article 9-1 CPP prévoit un régime dérogatoire pour les infractions occultes. Est occulte l’infraction qui, en raison de ses éléments constitutifs, ne peut être connue :

ni de la victime ;
ni de l’autorité judiciaire.

LV. Infraction dissimulée

L’article 9-1 définit comme dissimulée l’infraction dont l’auteur accomplit délibérément une manœuvre caractérisée tendant à en empêcher la découverte.

LVI. Point de départ reporté

Pour une infraction occulte ou dissimulée, le délai court à compter du jour où l’infraction :

est apparue et a pu être constatée dans des conditions permettant la mise en mouvement ou l’exercice de l’action publique.

LVII. Mais il existe un délai butoir

Le report n’est pas illimité. L’article 9-1 fixe un maximum à compter de la commission :

12 ans pour les délits ;
30 ans pour les crimes.

LVIII. Formule essentielle

Pour un délit occulte ou dissimulé :

DÉCOUVERTE → DÉLAI DE 6 ANS

mais :

IMPOSSIBLE DE DÉPASSER 12 ANS À COMPTER DE LA COMMISSION.

LIX. Exemple théorique

Délit dissimulé commis :

1er janvier 2020.

Découvert :

1er janvier 2028.

Le délai peut courir depuis 2028, mais le butoir légal intervient au plus tard douze ans après 2020, soit en 2032.

LX. Pour un crime

Crime occulte ou dissimulé :

délai de droit commun : 20 ans ;
butoir : 30 ans à compter de la commission.

LXI. Le faux est-il automatiquement une infraction dissimulée ?

Non. C’est une erreur majeure. Le fait qu’un faux soit trompeur par nature ne signifie pas automatiquement :

INFRACTION DISSIMULÉE AU SENS DE 9-1.

LXII. Pourquoi ?

Parce que l’article 9-1 exige :

une manœuvre caractérisée supplémentaire tendant à empêcher la découverte.

Il ne suffit pas que l’infraction soit simplement clandestine ou mensongère.

LXIII. Faux caché dans un coffre

Le simple fait de ne pas montrer le document n’est pas nécessairement une manœuvre caractérisée de dissimulation au sens strict.

LXIV. Faux accompagné de destructions de preuves

La situation est différente si l’auteur :

détruit l’original ;
falsifie les registres ;
crée des écritures de couverture ;
efface les traces informatiques.

Le caractère dissimulé peut alors devoir être examiné.

LXV. Infraction occulte : prudence

Le faux n’est pas non plus automatiquement occulte. La victime peut parfois vérifier le document dès sa création.

LXVI. Exemple

Une signature est imitée sur un contrat remis immédiatement à la personne dont le nom est utilisé. L’infraction n’est manifestement pas « impossible à connaître » de la victime.

LXVII. Faux découvert dix ans plus tard

Le seul fait que la victime n’ait réellement découvert la falsification que dix ans après ne suffit donc pas. Il faut satisfaire à la définition légale de l’article 9-1.

LXVIII. « Je ne savais pas » ≠ infraction occulte

C’est une distinction capitale. L’ignorance subjective de la victime ne suffit pas. L’infraction doit être, en raison de ses éléments constitutifs, impossible à connaître dans les conditions du texte.

LXIX. Dissimuler ≠ simplement ne pas avouer

L’auteur d’une infraction ne se dénonce généralement pas. Ce silence ne constitue pas, à lui seul, la manœuvre caractérisée de dissimulation prévue par 9-1.

LXX. Exemple de manœuvre potentielle

A fabrique un faux contrat puis :

détruit l’original véritable ;
crée un faux registre ;
fabrique un faux historique de signature.

Il ne se contente plus du faux initial. Une dissimulation autonome peut être caractérisée selon les faits.

LXXI. Prescription et découverte d’un faux numérique

Le fait qu’une analyse informatique révèle en 2026 une modification datant de 2015 ne reporte pas automatiquement la prescription à 2026. Il faut d’abord appliquer :

9-1 ? oui ou non ?

LXXII. Le délai butoir est impératif

Même en présence d’une infraction dissimulée, le législateur a voulu empêcher un report illimité. Pour un délit :

12 ans à compter de la commission.

LXXIII. Conséquence pour un faux délictuel ancien

Un faux délictuel commis trente ans auparavant ne peut pas être poursuivi simplement parce qu’il vient d’être découvert, sauf autre infraction récente ou régime particulier.

LXXIV. Mais un usage récent peut tout changer

Même si le faux initial est définitivement prescrit :

un usage effectué aujourd’hui peut être une nouvelle infraction.

C’est souvent la clé pratique du dossier.

LXXV. Exemple déterminant

Faux contrat créé :

Impossible aujourd’hui de poursuivre le faux initial selon le droit commun. Mais A le produit volontairement devant le tribunal en :

Usage de faux 2026 à examiner.

LXXVI. C’est pourquoi il faut rechercher le dernier usage réel

Mais attention :

« dernier usage »

ne doit pas être inventé. Il faut démontrer un acte positif d’utilisation.

LXXVII. Dernier usage prouvé

Courriel du 12 mai 2024 :

« veuillez trouver ci-joint le contrat signé établissant ma créance ».

Date objective.

LXXVIII. Dernier usage supposé

« le contrat était encore dans le dossier en 2025 ».

Insuffisant en soi.

LXXIX. Interruption de la prescription

L’article 9-2 CPP énumère les actes qui interrompent la prescription de l’action publique. L’interruption produit un effet puissant :

un nouveau délai complet recommence à courir.

LXXX. Première catégorie d’actes interruptifs

Les actes du ministère public ou de la partie civile tendant à la mise en mouvement de l’action publique, dans les conditions prévues par les textes cités par l’article 9-2.

LXXXI. Deuxième catégorie

Les actes d’enquête du ministère public et certains procès-verbaux de police judiciaire :

lorsqu’ils tendent effectivement à la recherche et à la poursuite des auteurs d’une infraction.

LXXXII. Troisième catégorie

Les actes d’instruction accomplis par :

juge d’instruction ;
chambre de l’instruction ;
magistrats ou enquêteurs délégués,

lorsqu’ils tendent effectivement à la recherche et à la poursuite.

LXXXIII. Quatrième catégorie

Tout :

jugement ;
arrêt,

même non définitif, s’il n’est pas entaché de nullité.

LXXXIV. Effet interruptif

Chaque acte interruptif fait courir :

UN NOUVEAU DÉLAI D’UNE DURÉE ÉGALE AU DÉLAI INITIAL.

LXXXV. Exemple

Usage de faux :

1er janvier 2020.

Délai : six ans. Acte interruptif valable :

1er janvier 2024.

Un nouveau délai de :

6 ans

recommence alors à courir à compter de l’acte interruptif.

LXXXVI. Interruption ≠ suspension

Ces mécanismes ne doivent pas être confondus.

Interruption

remet le compteur à zéro.

Suspension

arrête temporairement le compteur.

LXXXVII. Suspension de la prescription

L’article 9-3 CPP prévoit que suspend la prescription :

tout obstacle de droit prévu par la loi ;
ou tout obstacle de fait insurmontable et assimilable à la force majeure

rendant impossible la mise en mouvement ou l’exercice de l’action publique.

LXXXVIII. Exemple abstrait

Une impossibilité juridique absolue interdit temporairement toute poursuite. Pendant cette période :

le délai ne court pas.

LXXXIX. Obstacle de fait

Il doit être :

insurmontable

et :

assimilable à la force majeure.

La simple difficulté d’enquête ne suffit donc pas.

XC. Preuve difficile ≠ suspension

Un faux est techniquement difficile à détecter. Cela ne constitue pas automatiquement un obstacle de fait insurmontable.

XCI. Auteur inconnu ≠ suspension automatique

Le simple fait que l’auteur du faux ne soit pas identifié n’arrête pas nécessairement la prescription.

XCII. Document à l’étranger

La difficulté à obtenir une pièce étrangère ne vaut pas automatiquement force majeure. Il faut appliquer strictement l’article 9-3.

XCIII. Interruption pour infractions connexes

L’article 9-2 précise que son régime s’applique également aux :

infractions connexes

ainsi qu’aux auteurs ou complices non visés directement par l’acte interruptif.

XCIV. Importance dans les dossiers de faux et escroquerie

Faux, usage et escroquerie sont souvent poursuivis dans un même ensemble. La connexité peut donc jouer sur l’effet interruptif de certains actes.

XCV. Mais connexité doit être juridiquement caractérisée

Il ne faut pas supposer que toutes les infractions commises par une même personne sont automatiquement connexes.

XCVI. Faux + usage

Le lien est souvent très étroit. Mais pour le calcul, il faut tout de même identifier :

date du faux ;
date des usages ;
actes interruptifs.

XCVII. Faux + escroquerie

Exemple : faux bulletin fabriqué pour obtenir un prêt. Acte d’enquête sur l’escroquerie pouvant, dans les conditions de l’article 9-2, avoir des effets sur les infractions connexes.

XCVIII. Usage successif et interruption

Un nouvel usage ne doit pas être confondu avec un acte interruptif. Il constitue :

une nouvelle infraction d’usage

et non simplement :

un acte de procédure interrompant la précédente.

XCIX. Exemple

Usage 1 :

Usage 2 :

Le second usage a sa propre prescription. Il ne faut pas seulement dire qu’il « interrompt » le premier.

C. Chaque usage doit être traité comme une unité temporelle

Pour chacun :

date ;
connaissance ;
acte positif ;
prescription ;
interruption éventuelle.

CI. Usage de bonne foi

A produit une pièce en 2020 sans savoir qu’elle est fausse. Pas d’usage de faux intentionnel. Cette date ne doit donc pas nécessairement être utilisée comme point de départ d’une infraction inexistante.

CII. Usage conscient ultérieur

A apprend en 2022 que la pièce est fausse. Il la produit à nouveau en 2023. Le véritable usage pénalement pertinent peut être :

2023.

CIII. Prescription et connaissance

La prescription ne commence pas à courir au jour où l’utilisateur apprend que le document est faux. Elle commence à courir au jour où il :

L’UTILISE SCIEMMENT.

CIV. Exemple

Connaissance :

1er janvier 2023.

Aucun usage. Puis utilisation :

1er juin 2024.

Point de départ :

1er juin 2024.

CV. Reprise d’un même document dans plusieurs actes

Un faux contrat peut être :

joint à une mise en demeure ;
annexé à une assignation ;
cité dans des conclusions ;
produit en appel.

Il faut établir une chronologie complète.

CVI. Tableau chronologique recommandé

Date	Acte	Faux/usage	Prescription
2018	Fabrication	Faux	calcul distinct
2020	Mise en demeure	Usage 1	calcul distinct
2021	Assignation	Usage 2	calcul distinct
2024	Appel	Usage 3	calcul distinct
2026	Banque	Usage 4	calcul distinct

CVII. Faux et usage dans une procédure civile

Une procédure peut durer plus de dix ans. Cela ne signifie pas que l’usage dure dix ans en continu. Il faut identifier les actes positifs.

CVIII. Dépôt initial

Premier usage possible.

CIX. Conclusions récapitulatives

Si elles invoquent à nouveau expressément la pièce :

nouvel usage possible.

CX. Simple report de la pièce au dossier

Pas nécessairement.

CXI. Jugement qui mentionne la pièce

Le fait que le juge se réfère ensuite au faux dans sa décision ne signifie pas que le prévenu accomplit lui-même un nouvel usage à la date du jugement.

CXII. Exécution fondée sur le faux

Une personne se prévaut ensuite du jugement ou du document pour exécuter une obligation. Il faut déterminer ce qui est utilisé :

le faux initial ;
le jugement ;
ou les deux.

CXIII. Nouveau commandement fondé sur un faux bail

Une nouvelle réclamation explicitement fondée sur le faux bail peut constituer un nouvel usage.

CXIV. Usage implicite

Il n’est pas toujours nécessaire que la pièce soit physiquement jointe à chaque fois. Une invocation suffisamment précise du document peut constituer un nouvel usage. L’arrêt du 11 janvier 2001 invite justement à rechercher si la pièce a été invoquée.

CXV. Mais il faut éviter les usages fictifs

Une référence vague à :

« mes droits »

ne suffit pas nécessairement.

CXVI. Prescription et faux découvert pendant une succession

Un acte prétendument signé trente ans auparavant est découvert. Première question :

DATE RÉELLE DE FABRICATION ?

Deuxième :

USAGES RÉCENTS ?

Troisième :

9-1 APPLICABLE ?

Quatrième :

ACTES INTERRUPTIFS ?

CXVII. La date figurant sur le faux n’est pas nécessairement la date de commission

C’est une difficulté majeure. Un document peut être :

antidaté.

CXVIII. Exemple

Document portant la date :

1er janvier 2010.

Expertise informatique :

fichier créé le 1er janvier 2024.

La date du faux pénal est potentiellement :

2024

et non 2010.

CXIX. Antidatation

Le faussaire peut précisément chercher à faire croire que l’acte est ancien. Il serait absurde de calculer la prescription à partir de la fausse date qu’il a lui-même inscrite.

CXX. Preuve de la date réelle

Elle peut résulter :

métadonnées ;
encre ;
papier ;
imprimante ;
événements externes ;
témoignages.

CXXI. Date certaine inconnue

Si l’accusation ne peut démontrer quand le faux a été fabriqué, la prescription peut devenir une question probatoire majeure.

CXXII. La charge de la démonstration temporelle

La poursuite doit disposer d’éléments permettant d’écarter une prescription légalement acquise. Une chronologie approximative peut être insuffisante.

CXXIII. « Entre 2015 et 2025 »

Une plage temporelle trop large peut empêcher de savoir si l’infraction est prescrite. Il faut autant que possible resserrer la date.

CXXIV. Faux successivement modifié

Un document authentique est falsifié en 2018. Puis il est à nouveau modifié en 2024. Peuvent exister :

un premier faux ;
un nouveau faux.

CXXV. Nouvelle modification substantielle

Changer en 2024 :

montant ;
signature ;
bénéficiaire

constitue potentiellement une nouvelle altération. Ce n’est pas simplement la continuation du faux de 2018.

CXXVI. Modification purement technique

Changer le nom du fichier sans toucher au contenu probatoire :

pas nécessairement nouveau faux.

CXXVII. Reconstitution totale

A reprend un vieux faux et en fabrique une nouvelle version entièrement reconstituée en 2026. Une nouvelle infraction de faux peut être discutée.

CXXVIII. Copie du faux

Faire une photocopie exacte d’un faux existant n’est pas toujours automatiquement un nouveau faux. Il faut déterminer si l’opération crée une nouvelle pièce frauduleusement présentée comme authentique.

CXXIX. Copie certifiée faussement

Situation différente : la copie est frauduleusement certifiée conforme.

nouveau faux possible.

CXXX. Prescription et usage d’une photocopie

Même si aucun nouveau faux n’est caractérisé, la remise de cette copie comme preuve peut constituer :

un nouvel usage.

CXXXI. Prescription et destruction de l’original

La destruction de l’original authentique après fabrication du faux peut constituer :

indice de dissimulation ;
autre infraction éventuelle.

Mais elle ne modifie pas automatiquement la date de commission du faux initial.

CXXXII. Infraction dissimulée : démarche obligatoire

Avant d’appliquer 9-1, écrire explicitement :

quelle manœuvre de dissimulation ?
quand ?
comment empêchait-elle la découverte ?
qui ne pouvait connaître l’infraction ?
quelle date d’apparition ?

CXXXIII. Formule à bannir

« LE FAUX ÉTAIT CACHÉ, DONC LA PRESCRIPTION COURT DEPUIS SA DÉCOUVERTE. »

Trop imprécis.

CXXXIV. Formule correcte

« Il convient d’examiner si les conditions de l’infraction occulte ou dissimulée de l’article 9-1 CPP sont réunies. »

Puis démonstration.

CXXXV. Délai butoir et usage récent

Même si le butoir de douze ans rend le faux initial impoursuivable :

un usage nouveau commis dans les six dernières années peut rester poursuivable.

CXXXVI. Prescription et personne publique

Pour un faux criminel de 441-4 :

délai initial : 20 ans.

S’il est occulte ou dissimulé :

butoir : 30 ans.

CXXXVII. Attention au faux de 441-4 non aggravé

Même puni de dix ans :

délit.

Donc :

six ans de droit commun ;
douze ans de butoir si 9-1 s’applique.

CXXXVIII. Tableau : nature et délai

Qualification	Nature	Délai de droit commun
441-1 faux	Délit	6 ans
441-1 usage	Délit	6 ans
441-2 faux administratif	Délit	6 ans
441-7 fausse attestation	Délit	6 ans
441-4 forme simple	Délit	6 ans
441-4 personne publique qualifiée	Crime	20 ans

Les délais généraux résultent des articles 7 et 8 CPP.

CXXXIX. Tableau : occultes et dissimulées

Nature	Départ reporté possible	Butoir
Délit	Apparition + possibilité d’action	12 ans
Crime	Apparition + possibilité d’action	30 ans

CXL. Tableau : interruption / suspension

Mécanisme	Effet
Interruption	Nouveau délai entier
Suspension	Temps arrêté temporairement
Nouvel usage	Nouvelle infraction possible
Découverte du faux	Pas forcément effet automatique

Les règles d’interruption et de suspension résultent des articles 9-2 et 9-3 CPP.

CXLI. Exemple complet : faux simple sans usage

Faux créé :

1er mars 2020.

Aucun usage. Aucun acte interruptif. Pas d’occultation ou dissimulation juridiquement caractérisée. Délit :

délai de six ans.

La prescription de droit commun est donc susceptible d’être acquise après six années révolues à compter de sa commission.

CXLII. Exemple complet : faux + usage récent

Faux :

Usage :

En 2026 :

faux initial : prescription à examiner séparément ;
usage 2024 : toujours dans son délai de droit commun.

CXLIII. Exemple complet : trois usages

Faux :

Usage n° 1 :

Usage n° 2 :

Usage n° 3 :

En 2026, on ne doit pas raisonner globalement. Il faut analyser chaque usage.

CXLIV. Exemple complet : pièce restée au dossier

Faux produit en :

Aucun autre acte. La pièce reste physiquement au greffe jusqu’en 2026.

Pas de nouvel usage automatique en 2026.

CXLV. Exemple complet : réinvocation en appel

Même pièce produite en 2018. La partie l’invoque expressément dans ses conclusions d’appel en 2024.

Nouvel usage possible en 2024.

C’est la logique de l’arrêt du 11 janvier 2001.

CXLVI. Exemple complet : mémoire en cassation

La pièce figurait déjà dans le dossier. Le défendeur au pourvoi s’en prévaut expressément dans un mémoire. Il faut rechercher si cet acte constitue un nouveau fait positif d’usage.

CXLVII. Exemple complet : document antidaté

Document daté :

Expertise :

créé sur Word en 2025.

Le point de départ de la prescription du faux ne doit pas être fondé mécaniquement sur la date mensongère de 2010.

CXLVIII. Exemple complet : infraction dissimulée

Faux créé en 2020. L’auteur détruit l’original, remplace les registres et falsifie les journaux informatiques pour empêcher toute découverte. Falsification découverte en 2027. Il faudra examiner l’article 9-1 :

manœuvre caractérisée ;
date d’apparition ;
délai de six ans ;
butoir de douze ans depuis 2020.

CXLIX. Exemple complet : simple découverte tardive

Faux créé en 2018. La victime ne vérifie jamais le document. Elle le découvre en 2026. Aucune manœuvre particulière de dissimulation n’est établie.

La découverte tardive ne suffit pas à elle seule à reporter la prescription.

CL. Exemple complet : faux criminel public

Un maire commet en 2022, dans ses fonctions, un faux relevant de la forme criminelle de l’article 441-4. Délai de droit commun :

20 ans.

CLI. Exemple complet : même document fabriqué par un particulier

Le particulier fabrique en 2022 un faux acte public relevant de la forme simple de 441-4. Même support, mais auteur différent. Infraction :

délit.

Délai :

6 ans.

CLII. Importance extrême de la qualité de l’auteur

Le même document peut donc conduire à :

6 ans

ou :

20 ans

selon la qualification.

CLIII. Exemple complet : interruption

Usage le :

1er janvier 2021.

Enquête avec acte interruptif valable :

1er septembre 2024.

L’article 9-2 fait repartir un nouveau délai entier de prescription à compter de l’acte interruptif.

CLIV. Exemple complet : suspension

Le délai commence. Un obstacle juridique légal rend ensuite toute poursuite impossible pendant une période. L’article 9-3 permet la suspension pendant cet obstacle.

CLV. Suspension ≠ nouveau délai

À la disparition de l’obstacle :

le délai reprend là où il s’était arrêté.

Il ne recommence pas intégralement.

CLVI. Interruption ≠ pause

À l’inverse, l’interruption :

efface le temps déjà écoulé pour le calcul courant

et fait courir un nouveau délai complet.

CLVII. Exemple chiffré

Infraction :

1er janvier 2020.

Acte interruptif :

1er décembre 2025.

Si l’acte intervient avant l’acquisition de la prescription :

un nouveau délai complet commence à courir à compter du 1er décembre 2025.

CLVIII. Acte tardif après prescription acquise

Si la prescription était déjà définitivement acquise avant l’acte :

l’acte ne ressuscite pas l’action publique.

CLIX. Acte nul

L’article 9-2 prévoit notamment que jugement ou arrêt doivent ne pas être entachés de nullité pour bénéficier de l’effet prévu. Les actes de procédure doivent donc être juridiquement efficaces.

CLX. Acte qui ne recherche pas réellement les auteurs

Tout acte administratif ou toute note policière ne constitue pas nécessairement un acte interruptif. Pour les actes d’enquête ou d’instruction, le texte exige une démarche tendant effectivement à :

la recherche et la poursuite des auteurs.

CLXI. Importance du dossier procédural

Pour calculer la prescription, il faut souvent établir une chronologie de :

plaintes ;
auditions ;
réquisitions ;
commissions rogatoires ;
actes d’instruction ;
décisions juridictionnelles.

CLXII. Prescription et plainte simple

Il faut être prudent : toute plainte, dans n’importe quelles conditions, ne possède pas automatiquement l’effet interruptif recherché. Il faut rattacher l’acte aux catégories de l’article 9-2.

CLXIII. Constitution de partie civile

Lorsqu’elle correspond à un acte de mise en mouvement de l’action publique visé par le texte, elle peut interrompre la prescription.

CLXIV. Citation directe

Même logique lorsqu’elle répond aux dispositions auxquelles renvoie l’article 9-2.

CLXV. Prescription et connexité

Un acte interruptif accompli sur une infraction peut, dans les conditions de l’article 9-2, produire effet sur une infraction connexe.

CLXVI. Faux et escroquerie connexe

Faux relevé bancaire utilisé pour escroquer une banque. Une enquête sur l’escroquerie peut avoir un effet sur le faux connexe. Mais il faut vérifier juridiquement la connexité.

CLXVII. Faux et abus de confiance

Même analyse. La seule coexistence dans le même dossier ne suffit pas nécessairement.

CLXVIII. Faux et usage par plusieurs auteurs

A fabrique. B utilise. C participe. L’article 9-2 prévoit également un effet à l’égard des auteurs ou complices non directement visés par certains actes interruptifs, dans les conditions qu’il fixe.

CLXIX. Prescription et personne morale

Si une personne morale est poursuivie pour faux ou usage :

date de l’infraction ;
actes interruptifs ;
délais

restent à déterminer selon les mêmes règles de principe.

CLXX. Auteur inconnu initialement

Une enquête contre X peut interrompre la prescription si l’acte répond aux exigences légales de recherche et poursuite des auteurs. Il n’est pas nécessaire que l’auteur soit déjà identifié.

CLXXI. Découverte progressive

Une enquête peut révéler :

qu’un document est faux ;
puis qui l’a fabriqué ;
puis qui l’a utilisé.

La prescription de chaque comportement doit rester individualisée.

CLXXII. Prescription de l’usage commis par plusieurs personnes

A utilise en 2020. B utilise en 2024. Même document. Leurs prescriptions ne partent pas de la même date.

CLXXIII. Mauvaise méthode

« Le dernier usage du document est de 2024, donc tous les utilisateurs peuvent être poursuivis jusqu’en 2030. »

Faux. Il faut identifier :

QUI A FAIT QUEL USAGE ET QUAND.

CLXXIV. Prescription et connaissance tardive de l’utilisateur

B reçoit un document en 2018. Il apprend sa fausseté en 2025. Il ne l’utilise jamais après 2025.

pas d’usage nouveau simplement parce qu’il acquiert la connaissance.

CLXXV. Usage après connaissance

Il le transmet en 2026.

nouvel usage possible en 2026.

CLXXVI. Prescription et retrait de la pièce

A produit un faux en 2023. Il le retire du dossier en 2024. Le retrait ne modifie pas le point de départ de l’usage 2023.

CLXXVII. Rétractation

La reconnaissance ultérieure du faux ne fait pas disparaître l’infraction déjà consommée. Elle peut avoir des effets :

probatoires ;
sur la peine ;
sur la réparation.

Pas sur l’existence passée de l’usage.

CLXXVIII. Destruction du faux après usage

Même logique.

CLXXIX. Régularisation du document

Créer ensuite un véritable contrat ne supprime pas le faux ancien ni son usage.

CLXXX. Prescription du faux et action civile

Il faut également distinguer :

prescription de l’action publique

et :

régime de l’action civile.

Ces questions obéissent à des règles propres. Ce chapitre reste centré sur l’action publique.

CLXXXI. Le juge pénal doit relever la prescription

La prescription de l’action publique constitue une question majeure de recevabilité de la poursuite. Elle doit être examinée lorsque les éléments du dossier la font apparaître.

CLXXXII. Prescription et doute sur la date

Si le dossier ne permet pas de déterminer si le faux a été commis à l’intérieur ou à l’extérieur du délai, la question probatoire devient décisive. La condamnation ne peut reposer sur une datation purement conjecturale.

CLXXXIII. Importance de l’expertise documentaire

Elle peut déterminer :

âge de l’encre ;
type d’impression ;
création du fichier.

CLXXXIV. Métadonnées

Exemple : document supposé dater de 2012. Police d’écriture utilisée :

créée plusieurs années plus tard.

Cela peut contribuer à démontrer une fabrication plus récente.

CLXXXV. Version du logiciel

Un PDF prétend avoir été créé en 2005. Ses métadonnées indiquent un logiciel publié en 2023. Indice particulièrement fort.

CLXXXVI. Mais métadonnées manipulables

Il faut conserver une approche probatoire complète. Les métadonnées peuvent elles-mêmes être falsifiées.

CLXXXVII. Témoignage sur la création

Un témoin indique avoir vu l’auteur fabriquer le document en 2024. Cet élément peut contribuer à dater le faux.

CLXXXVIII. Premier usage connu ≠ date de fabrication certaine

Une pièce utilisée en 2024 peut avoir été créée :

le même jour ;
ou dix ans auparavant.

Il ne faut pas confondre les deux.

CLXXXIX. Dernier usage connu ≠ date du faux

Même distinction.

CXC. Méthode de calcul en sept étapes

Pour chaque dossier :

1. QUALIFIER L’INFRACTION

2. DÉTERMINER SI DÉLIT OU CRIME

3. DATER LA COMMISSION

4. IDENTIFIER CHAQUE USAGE

5. EXAMINER 9-1

6. RECHERCHER INTERRUPTION ET SUSPENSION

7. APPLIQUER LES RÈGLES TRANSITOIRES SI FAITS ANCIENS.

CXCI. Checklist : faux

Quelle pièce ?
Quelle qualification ?
441-1 ?
441-2 ?
441-4 ?
441-7 ?
Délit ou crime ?
Quand le document a-t-il réellement été falsifié ?
La date portée sur l’acte est-elle fiable ?
Une modification ultérieure constitue-t-elle un nouveau faux ?
Infraction occulte ?
Dissimulations caractérisées ?
Actes interruptifs ?
Suspension ?
Fait antérieur à 2017 ?

CXCII. Checklist : usage

Quel document faux ?
Qui l’utilise ?
Quand ?
Comment ?
Devant qui ?
L’utilisateur en connaît-il la fausseté ?
Premier usage ?
Nouvel usage ?
Pièce seulement restée au dossier ?
Réinvocation expresse ?
Nouvel usage en appel ?
Nouvel usage devant une administration ?
Actes interruptifs propres ?
Délai acquis ?

CXCIII. Checklist : article 9-1

Avant de reporter le départ :

Infraction réellement occulte ?
Impossible à connaître pour victime et autorité ?
Ou réellement dissimulée ?
Quelle manœuvre caractérisée ?
Délibérée ?
Tend-elle à empêcher la découverte ?
Quand l’infraction est-elle apparue ?
Quand a-t-elle pu être constatée dans des conditions permettant l’action ?
Délit ou crime ?
Butoir 12 ou 30 ans ?

CXCIV. Checklist : article 9-2

Rechercher :

acte du parquet ;
plainte avec mise en mouvement dans les conditions légales ;
acte d’enquête ;
PV de police judiciaire utile ;
acte d’instruction ;
jugement ;
arrêt.

Puis demander :

L’ACTE TEND-IL EFFECTIVEMENT À LA RECHERCHE ET À LA POURSUITE DES AUTEURS ?

CXCV. Checklist : article 9-3

Obstacle de droit ?
Prévu par la loi ?
Obstacle de fait ?
Réellement insurmontable ?
Assimilable à la force majeure ?
A-t-il rendu impossible l’action publique ?

À défaut :

pas de suspension.

CXCVI. Erreurs fréquentes

Erreur n° 1 : le faux se prescrit à compter de sa découverte

Faux par principe. Le faux est une infraction instantanée ; il faut ensuite vérifier spécialement 9-1.

Erreur n° 2 : l’usage est une infraction continue

Faux. L’usage est instantané mais peut être répété.

Erreur n° 3 : la pièce restant dans le dossier produit un usage permanent

Faux. Il faut rechercher un nouvel acte positif par lequel la partie se prévaut de la pièce.

Erreur n° 4 : faux prescrit = usage prescrit

Faux. L’usage possède son propre point de départ.

Erreur n° 5 : tout rappel de la procédure constitue un nouvel usage

Faux. Il faut une véritable exploitation de la pièce.

Erreur n° 6 : tout faux est dissimulé

Faux. L’article 9-1 exige une manœuvre caractérisée tendant à empêcher la découverte.

Erreur n° 7 : découverte tardive = occultation

Faux. L’ignorance subjective de la victime n’est pas suffisante.

Erreur n° 8 : le report de l’article 9-1 est illimité

Faux. Butoirs :

12 ans pour les délits

30 ans pour les crimes.

Erreur n° 9 : tous les faux se prescrivent par six ans

Faux. La forme criminelle de l’article 441-4 relève du délai criminel de droit commun de vingt ans.

Erreur n° 10 : un délit puni de dix ans se prescrit comme un crime

Faux. La forme simple de 441-4 demeure correctionnelle.

Erreur n° 11 : tout acte de police interrompt la prescription

Faux. L’article 9-2 exige, pour les actes concernés, qu’ils tendent effectivement à la recherche et à la poursuite des auteurs.

Erreur n° 12 : interruption et suspension sont identiques

Faux.

INTERRUPTION = NOUVEAU DÉLAI COMPLET

SUSPENSION = PAUSE.

Erreur n° 13 : difficulté d’enquête = suspension

Faux. L’article 9-3 exige un obstacle de fait insurmontable et assimilable à la force majeure.

Erreur n° 14 : la réforme de 2017 a ressuscité les faits déjà prescrits

Faux. Une prescription définitivement acquise ne renaît pas. La loi de 2017 comporte des dispositions transitoires spécifiques et la jurisprudence en contrôle strictement l’application.

Erreur n° 15 : six ans doivent être appliqués automatiquement à un fait de 2012

Faux. Il faut reconstruire la prescription selon :

ancienne loi ;
actes interruptifs ;
situation au 1er mars 2017 ;
règles transitoires.

Erreur n° 16 : la date écrite sur le document est la date du faux

Faux. Un document peut être antidaté.

Erreur n° 17 : le premier usage révèle toujours la date du faux

Faux. Le document peut avoir été créé bien avant.

Erreur n° 18 : la découverte de la connaissance par l’utilisateur déclenche la prescription de l’usage

Faux. Il faut un :

acte d’utilisation consciente.

Erreur n° 19 : un jugement mentionnant le faux constitue automatiquement un usage nouveau par le prévenu

Faux. Il faut rechercher un comportement de celui-ci.

Erreur n° 20 : un nouvel usage interrompt simplement la prescription de l’ancien usage

Formulation trompeuse. Le nouvel usage constitue potentiellement :

UNE NOUVELLE INFRACTION AUTONOME.

CXCVII. Jurisprudence majeure : Cass. crim., 11 janvier 2001, n° 00-81.761

Cet arrêt est la décision de référence en matière de prescription de l’usage. La chambre criminelle rappelle que :

FAUX ET USAGE SONT DES INFRACTIONS INSTANTANÉES.

Et, pour l’usage, il faut rechercher :

CHACUN DES ACTES PAR LESQUELS LE PRÉVENU SE PRÉVAUT DE LA PIÈCE FAUSSE.

CXCVIII. Apport pratique de l’arrêt

La pièce avait été utilisée dans une procédure. La question était ensuite de savoir si elle avait été :

réinvoquée

dans un mémoire devant la Cour de cassation. La chambre criminelle exige cette recherche.

CXCIX. Formule à retenir

USAGE = FAIT POSITIF PAR LEQUEL ON SE PRÉVAUT DU FAUX.

CC. Conséquence sur la prescription

Chaque fait positif peut avoir :

sa date ;
son propre délai ;
ses actes interruptifs.

CCI. Jurisprudence majeure : Cass. crim., 13 octobre 2020, n° 19-87.787

Cet arrêt publié au Bulletin éclaire l’application dans le temps de la réforme de 2017. La Cour rappelle le principe d’application immédiate du nouveau régime aux faits qui n’étaient pas déjà prescrits, sous le contrôle des dispositions transitoires de la loi du 27 février 2017.

CCII. Apport pratique de 2020

Pour un dossier ancien, il ne suffit donc pas de choisir :

3 ans

ou :

6 ans

selon la date des faits. Il faut reconstruire l’état de la prescription au moment de l’entrée en vigueur de la réforme.

CCIII. Article 9-1 : apport de la réforme

Depuis la réforme, le régime des infractions occultes ou dissimulées est explicitement codifié. Le point de départ peut être reporté, mais avec un butoir absolu :

12 ans délit

30 ans crime.

CCIV. Article 9-2 : codification des actes interruptifs

Au 13 août 2026, l’article 9-2 demeure le texte central pour identifier les actes qui :

remettent en marche un nouveau délai entier.

CCV. Article 9-3 : obstacle insurmontable

La suspension exige une impossibilité juridiquement ou matériellement insurmontable. Elle ne doit pas servir de correctif général à une enquête tardive.

CCVI. Situation du droit au 13 août 2026

Au 13 août 2026, les articles 7, 8, 9-1, 9-2 et 9-3 CPP demeurent applicables selon les versions actuellement en vigueur. Il faut noter que plusieurs de ces articles portent déjà sur Légifrance la mention d’une abrogation à compter du 1er janvier 2029, en raison de l’ordonnance n° 2025-1091 du 19 novembre 2025 ; cette abrogation future ne modifie pas le droit applicable au 13 août 2026.

CCVII. Ce point temporel est important

Il ne faut donc pas écrire aujourd’hui :

« les articles 7 à 9-3 sont abrogés ».

Ils ne le sont pas encore au 13 août 2026. La date prévue est :

1er janvier 2029.

CCVIII. Tableau final de méthode

Étape	Question
1	Quel texte de faux ?
2	Délit ou crime ?
3	Date réelle de falsification ?
4	Chaque usage ?
5	Connaissance lors de chaque usage ?
6	Infraction occulte/dissimulée ?
7	Butoir 12/30 ans ?
8	Actes interruptifs ?
9	Suspension ?
10	Règles transitoires de 2017 ?

CCIX. Schéma de calcul du faux simple

DATE RÉELLE DE FABRICATION

↓

DÉLIT ? → 6 ANS

↓

9-1 ?

↓

9-2 ?

↓

9-3 ?

↓

PRESCRIPTION ACQUISE OU NON ?

CCX. Schéma de calcul de l’usage

ACTE POSITIF D’UTILISATION

↓

CONNAISSANCE DE LA FAUSSETÉ À CETTE DATE ?

↓

SI OUI : USAGE

↓

6 ANS EN PRINCIPE

↓

NOUVEL USAGE PLUS TARD ?

↓

NOUVEAU CALCUL AUTONOME.

CCXI. Schéma de l’usage judiciaire

PRODUCTION INITIALE

↓

usage n° 1

NOUVELLES CONCLUSIONS INVOQUANT LA PIÈCE

↓

usage n° 2 possible

APPEL : NOUVELLE PRODUCTION

↓

usage n° 3 possible

PIÈCE QUI RESTE AU DOSSIER

↓

pas de nouvel usage automatique.

CCXII. Schéma de l’article 9-1

DÉCOUVERTE TARDIVE

ne suffit pas. Il faut :

OCCULTE ?

ou :

MANŒUVRE DE DISSIMULATION CARACTÉRISÉE ?

Puis :

DATE D’APPARITION

et :

BUTOIR 12 / 30 ANS.

CCXIII. À retenir

La première règle est :

FAUX ET USAGE SONT DEUX INFRACTIONS AUTONOMES.

Le faux est consommé lors de :

LA FABRICATION OU L’ALTÉRATION.

L’usage lors de :

L’ACTE POSITIF PAR LEQUEL L’AUTEUR SE PRÉVAUT DE LA PIÈCE.

Cass. crim., 11 janvier 2001, n° 00-81.761. La deuxième règle est :

L’USAGE EST INSTANTANÉ MAIS RÉPÉTABLE.

Ainsi :

MÊME FAUX + TROIS UTILISATIONS = TROIS USAGES POSSIBLES À DES DATES DIFFÉRENTES.

La troisième règle est :

PIÈCE RESTÉE AU DOSSIER ≠ USAGE CONTINU.

Il faut un nouveau :

FAIT POSITIF D’UTILISATION.

La quatrième règle concerne les délais :

DÉLIT : 6 ANS.

CRIME : 20 ANS.

La cinquième règle est particulièrement importante pour 441-4 :

FAUX PUBLIC PAR PARTICULIER → DÉLIT → 6 ANS EN PRINCIPE

mais :

FAUX PUBLIC PAR PERSONNE PUBLIQUE QUALIFIÉE DANS SES FONCTIONS → CRIME → 20 ANS EN PRINCIPE.

La sixième règle est :

DÉCOUVERTE TARDIVE ≠ REPORT AUTOMATIQUE DE PRESCRIPTION.

L’article 9-1 doit être juridiquement caractérisé. Pour une infraction :

occulte ;
ou dissimulée,

le délai commence à courir lorsqu’elle apparaît et peut être constatée dans des conditions permettant l’action, mais avec un butoir de :

12 ANS POUR UN DÉLIT

30 ANS POUR UN CRIME.

La septième règle est :

TOUT FAUX N’EST PAS UNE INFRACTION DISSIMULÉE.

Il faut démontrer une :

MANŒUVRE CARACTÉRISÉE

accomplie délibérément pour empêcher la découverte. La huitième règle est :

INTERRUPTION ≠ SUSPENSION.

L’article 9-2 prévoit des actes interruptifs qui font courir :

UN NOUVEAU DÉLAI COMPLET.

L’article 9-3 prévoit au contraire la suspension lorsque survient :

UN OBSTACLE DE DROIT

ou :

UN OBSTACLE DE FAIT INSURMONTABLE ET ASSIMILABLE À LA FORCE MAJEURE.

La neuvième règle concerne les faits anciens :

LA RÉFORME DE 2017 DOIT ÊTRE APPLIQUÉE AVEC SES RÈGLES TRANSITOIRES.

Une prescription définitivement acquise ne renaît pas, mais le nouveau délai de six ans peut s’appliquer aux situations non prescrites dans les conditions déterminées par la loi et la jurisprudence. La dixième règle est probatoire :

DATE PORTÉE SUR LE FAUX ≠ DATE RÉELLE DE FABRICATION.

Un document antidaté peut avoir été créé des années plus tard. Enfin, la méthode à retenir est :

QUALIFIER → DATER LE FAUX → DATER CHAQUE USAGE → IDENTIFIER LA CONNAISSANCE → VÉRIFIER 9-1 → RECHERCHER 9-2 → RECHERCHER 9-3 → APPLIQUER LE DROIT TRANSITOIRE → CALCULER CHAQUE PRESCRIPTION SÉPARÉMENT.

Ce chapitre clôt le bloc général consacré aux faux et usages de faux.

CLXXIX. Accès et maintien frauduleux dans un système de traitement automatisé de données

L’article 323-1 du Code pénal constitue la porte d’entrée du droit pénal français des atteintes aux systèmes informatiques. Au 13 août 2026, il réprime le fait :

D’ACCÉDER OU DE SE MAINTENIR, FRAUDULEUSEMENT, DANS TOUT OU PARTIE D’UN SYSTÈME DE TRAITEMENT AUTOMATISÉ DE DONNÉES.

La peine de base est :

3 ans d’emprisonnement et 100 000 euros d’amende.

Lorsque l’accès ou le maintien a entraîné :

la suppression de données ;
la modification de données ;
ou une altération du fonctionnement du système,

la peine est portée à :

5 ans d’emprisonnement et 150 000 euros d’amende.

Lorsque ces infractions sont commises contre un système de traitement automatisé de données à caractère personnel mis en œuvre par l’État, la peine est portée à :

7 ans d’emprisonnement et 300 000 euros d’amende.

L’article 323-1 protège donc moins la propriété matérielle de l’ordinateur que :

LA MAÎTRISE DU SYSTÈME INFORMATIQUE ET DES CONDITIONS DANS LESQUELLES IL PEUT ÊTRE CONSULTÉ.

La jurisprudence récente a considérablement précisé cette notion. L’arrêt majeur est désormais Cass. crim., 2 septembre 2025, n° 24-83.605, publié au Bulletin : un administrateur réseau disposant techniquement d’un droit général d’accès aux messageries de l’entreprise peut néanmoins commettre un maintien frauduleux s’il consulte clandestinement des messages à des fins étrangères à sa mission et à l’insu de leurs titulaires. La formule fondamentale est donc :

CAPACITÉ TECHNIQUE D’ACCÈS ≠ AUTORISATION PÉNALE ILLIMITÉE.

I. L’article 323-1 contient deux infractions

Le texte vise séparément :

L’ACCÈS FRAUDULEUX

et :

LE MAINTIEN FRAUDULEUX.

Ces comportements doivent être distingués.

II. L’accès frauduleux

L’accès concerne :

L’ENTRÉE DANS LE SYSTÈME OU UNE PARTIE DU SYSTÈME.

Exemple : A contourne une authentification et ouvre une messagerie à laquelle il n’a aucun droit.

accès frauduleux possible.

III. Le maintien frauduleux

Le maintien concerne une autre situation :

l’entrée peut avoir été régulière ou accidentelle, mais la personne demeure ensuite dans le système alors qu’elle sait qu’elle n’est plus autorisée à y rester.

La jurisprudence de 2015 et celle de 2025 illustrent particulièrement cette autonomie.

IV. Accès régulier puis maintien frauduleux

C’est une hypothèse centrale. A entre légitimement dans un espace informatique. Il découvre ensuite qu’une partie :

est protégée ;
ne lui est pas destinée ;
ou n’entre pas dans ses droits.

Il poursuit néanmoins l’exploration.

maintien frauduleux possible.

V. Cass. crim., 20 mai 2015, n° 14-81.336

Cette décision constitue une référence importante. Le prévenu avait pu pénétrer dans certaines données à la suite d’une défaillance technique. La Cour a néanmoins validé la condamnation pour maintien frauduleux dès lors qu’il avait ensuite constaté l’existence d’un dispositif de contrôle d’accès et avait continué à consulter ou exploiter les données protégées.

VI. Formule à retenir

ACCÈS INITIAL NON FRAUDULEUX ≠ IMPUNITÉ POUR LA SUITE.

Une personne peut :

entrer sans fraude ;
puis se maintenir frauduleusement.

VII. Exemple

Une erreur de configuration permet à un internaute d’ouvrir un répertoire interne. La première page apparaît sans obstacle. Puis le système affiche :

« accès réservé ».

L’utilisateur contourne ou ignore délibérément cette limite et poursuit.

maintien frauduleux possible.

VIII. Système de traitement automatisé de données

L’article 323-1 utilise la notion de :

SYSTÈME DE TRAITEMENT AUTOMATISÉ DE DONNÉES, souvent abrégée STAD.

La protection n’est donc pas limitée à un « ordinateur » isolé.

IX. Exemples usuels

Peuvent notamment entrer dans l’analyse :

serveur ;
réseau d’entreprise ;
messagerie ;
base de données ;
application métier ;
infrastructure informatique.

La jurisprudence de 2025 applique expressément l’article 323-1 à un système de messagerie d’entreprise administré en réseau.

X. Messagerie professionnelle

Une messagerie professionnelle constitue ainsi un environnement susceptible d’entrer dans le champ du texte. L’arrêt du 2 septembre 2025 concernait précisément l’accès aux courriels archivés du dirigeant d’une société par son administrateur réseau.

XI. Tout ou partie du système

Le texte vise l’accès :

dans tout ou partie du système.

Il n’est donc pas nécessaire de pénétrer l’intégralité d’une infrastructure.

XII. Exemple

A possède un accès légal :

au serveur général ;

mais pas :

au dossier RH.

L’ouverture frauduleuse du dossier RH peut suffire.

XIII. Accès physique ≠ accès informatique

S’introduire physiquement dans une salle contenant des ordinateurs n’est pas nécessairement, en soi :

un accès frauduleux au STAD.

Il faut démontrer un accès informatique au système ou à une partie de celui-ci.

XIV. Inversement, aucune intrusion physique n’est nécessaire

Un accès peut être commis :

à distance ;
depuis son domicile ;
via VPN ;
par navigateur ;
au moyen d’un compte compromis.

XV. « Frauduleusement »

C’est le mot central de l’article 323-1. Le texte ne réprime pas :

tout accès.

Il réprime :

l’accès ou le maintien frauduleux.

XVI. L’absence d’autorisation

Dans sa forme la plus simple :

la personne sait qu’elle n’est pas autorisée à entrer.

C’est l’hypothèse classique du piratage.

XVII. Cass. crim., 16 janvier 2018, n° 16-87.168

La chambre criminelle affirme qu’est coupable au titre de l’article 323-1 la personne qui, sachant qu’elle n’y est pas autorisée, accède à l’insu des victimes à leur système informatique.

XVIII. Affaire du keylogger

Dans cette affaire, le prévenu avait installé un keylogger afin d’intercepter les frappes clavier et récupérer les codes permettant d’accéder aux courriels de deux confrères. La Cour valide la condamnation au titre de l’accès ou du maintien frauduleux et relève également l’utilisation d’un outil spécialement destiné à faciliter cette intrusion.

XIX. Keylogger

Un keylogger permet notamment d’enregistrer :

frappes clavier ;
identifiants ;
mots de passe.

Son emploi clandestin pour obtenir des codes constitue un indice particulièrement fort de fraude.

XX. Mot de passe obtenu illicitement

Le fait que le mot de passe fonctionne techniquement ne transforme évidemment pas l’accès en accès autorisé.

IDENTIFIANT VALIDE ≠ AUTORISATION JURIDIQUE.

XXI. Exemple

A vole le mot de passe de B. Il se connecte normalement au portail sans contourner aucune sécurité supplémentaire. L’accès peut néanmoins être frauduleux.

XXII. Pas besoin de « casser » techniquement le système

L’infraction ne suppose donc pas nécessairement :

hacking sophistiqué ;
exploitation d’une vulnérabilité ;
malware.

La fraude peut résider dans l’usage conscient d’un accès auquel la personne n’a pas droit.

XXIII. Le simple mot de passe d’un collègue

A connaît le mot de passe de B parce que B l’a écrit sur un post-it. A l’utilise sans autorisation.

accès frauduleux possible.

XXIV. Mot de passe volontairement communiqué

La situation est différente. B donne volontairement son mot de passe à A pour accomplir une tâche précise. Il faut alors examiner :

étendue de l’autorisation ;
finalité ;
durée.

XXV. Autorisation limitée

B dit :

« utilise mon compte uniquement pour imprimer ce fichier ».

A entre dans le compte et lit toute la correspondance privée. La question du dépassement des limites de l’autorisation devient centrale.

XXVI. Arrêt du 2 septembre 2025 : changement d’échelle

La décision de 2025 démontre précisément qu’une autorisation technique générale n’exclut pas le maintien frauduleux lorsque l’utilisateur agit :

à des fins étrangères à sa mission ;
à l’insu du titulaire ;
de manière occulte.

XXVII. Administrateur réseau

Un administrateur dispose souvent techniquement :

de droits root ;
de mots de passe ;
d’un accès global.

Mais ces droits existent pour :

maintenance ;
sécurité ;
administration.

Ils ne constituent pas nécessairement une permission générale de lire les communications personnelles des utilisateurs.

XXVIII. Formule majeure de 2025

La Cour juge qu’un administrateur réseau peut commettre un maintien frauduleux :

même s’il bénéficie, en raison de ses fonctions, d’un droit général d’accès à la messagerie,

lorsqu’il consulte clandestinement des messages à des fins étrangères à sa mission.

XXIX. Portée de cette décision

Elle interdit désormais le raisonnement :

« J’AVAIS LES DROITS TECHNIQUES, DONC JE NE POUVAIS PAS ÊTRE FRAUDULEUSEMENT DANS LE SYSTÈME. »

La portée fonctionnelle de l’autorisation compte.

XXX. Droit technique / droit fonctionnel

Il faut donc distinguer :

Droit technique

Le compte permet matériellement d’ouvrir le fichier.

Droit fonctionnel

La mission professionnelle autorise-t-elle la consultation ? La seconde question est déterminante pénalement.

XXXI. Exemple

Administrateur :

peut ouvrir toutes les boîtes mail.

Mission :

intervenir uniquement en cas de panne.

Il ouvre par curiosité les messages privés du directeur.

maintien frauduleux possible selon la jurisprudence 2025.

XXXII. Employé ordinaire

Même logique. Un salarié peut avoir accès techniquement à un répertoire partagé mais savoir que certains dossiers ne doivent être ouverts que par le service comptable. Le contexte de l’autorisation doit être étudié.

XXXIII. Aucun mot de passe n’est donc indispensable

L’absence de protection technique n’exclut pas automatiquement l’infraction. La jurisprudence de 2015 montre qu’un défaut de sécurité initial peut permettre l’accès sans pour autant autoriser ensuite le maintien.

XXXIV. Système mal sécurisé

MAUVAISE SÉCURITÉ ≠ LIBRE-SERVICE JURIDIQUE.

Une vulnérabilité du système n’autorise pas son exploitation illimitée.

XXXV. Mais la fraude doit être prouvée

L’utilisateur peut sincèrement croire que les données sont librement accessibles. Il faut établir à quel moment il comprend :

qu’elles sont protégées ;
qu’il n’est pas autorisé.

XXXVI. Affaire ANSES : connaissance acquise en cours d’accès

Dans l’affaire de 2015, les juges ont considéré que l’utilisateur avait compris l’existence d’une protection et avait néanmoins continué. C’est précisément ce passage :

accès possiblement libre → conscience de la protection → maintien frauduleux

qui justifie l’intérêt de la décision.

XXXVII. Page indexée par Google

Une page trouvée par un moteur de recherche n’est donc pas nécessairement :

librement exploitable.

L’indexation technique n’équivaut pas à une autorisation juridique.

XXXVIII. URL non protégée

Même logique. Un lien accessible sans mot de passe peut conduire vers un espace dont la destination ou les avertissements révèlent qu’il est réservé.

XXXIX. URL devinée

A modifie manuellement un numéro dans une URL pour accéder aux dossiers d’autres clients. Même si le serveur répond :

accès frauduleux possible selon les circonstances.

XL. Absence de pare-feu

Aucun pare-feu ne signifie pas :

absence d’infraction.

XLI. Absence de chiffrement

Même principe. La vulnérabilité de la victime n’est pas une autorisation.

XLII. Absence de mot de passe

L’analyse doit porter sur :

organisation du système ;
destination ;
droits de l’utilisateur ;
connaissance de la limite.

XLIII. Accès accidentel

A clique sur un lien. Une page confidentielle apparaît par erreur. S’il ferme immédiatement :

fraude difficile à caractériser.

XLIV. Maintien après découverte

Il constate :

« dossier confidentiel — accès réservé ».

Il commence alors à parcourir les fichiers.

maintien frauduleux possible.

XLV. Téléchargement

Le téléchargement peut être un indice du maintien et peut également soulever d’autres qualifications. Dans l’affaire de 2015, la Cour a admis à la fois le maintien frauduleux et le vol de données dans les circonstances jugées.

XLVI. Atteinte aux données : article 323-3

Le chapitre informatique distingue l’accès au système de l’atteinte aux données. L’article 323-3 sanctionne notamment le fait d’introduire, extraire, détenir, reproduire, transmettre, supprimer ou modifier frauduleusement des données contenues dans un STAD. La peine de base est de 5 ans d’emprisonnement et 150 000 euros d’amende, portée à 7 ans et 300 000 euros lorsqu’il s’agit d’un STAD de données personnelles mis en œuvre par l’État.

XLVII. Accès ≠ extraction

Il faut donc distinguer :

ENTRER DANS LE SYSTÈME

et :

EXTRAIRE LES DONNÉES.

Deux comportements différents peuvent être retenus.

XLVIII. Exemple

A entre frauduleusement dans une base. Il lit les données sans les copier.

323-1 possible.

XLIX. Même personne copie 50 000 fichiers

323-1 + 323-3 à examiner.

L. Modification résultant de l’accès

L’article 323-1 prévoit lui-même une aggravation lorsque l’accès ou le maintien entraîne :

suppression ;
modification de données ;
altération du fonctionnement.

LI. Peine de l’alinéa 2

5 ans d’emprisonnement + 150 000 euros.

LII. Il faut un résultat

L’aggravation suppose :

qu’il en soit résulté

l’un des effets prévus. Il faut donc établir un lien entre l’accès ou le maintien et le résultat.

LIII. Exemple

A pénètre dans le serveur. La manipulation provoque la suppression d’une table de données.

alinéa 2 à examiner.

LIV. Altération du fonctionnement

Exemples possibles :

blocage ;
dysfonctionnement ;
ralentissement grave.

La qualification doit cependant être précisément établie.

LV. Distinction avec l’article 323-2

L’article 323-2 réprime spécifiquement le fait d’entraver ou de fausser le fonctionnement d’un STAD. Le chapitre 323 contient donc plusieurs qualifications qui peuvent se juxtaposer selon le mode opératoire.

LVI. Article 323-1 = accès

Le cœur est :

INTRUSION OU MAINTIEN.

LVII. Article 323-2 = fonctionnement

Le cœur est :

ENTRAVE OU FALSIFICATION DU FONCTIONNEMENT.

LVIII. Article 323-3 = données

Le cœur est :

INTRODUCTION, EXTRACTION, DÉTENTION, REPRODUCTION, TRANSMISSION, SUPPRESSION OU MODIFICATION FRAUDULEUSE DES DONNÉES.

LIX. Ne pas confondre les trois

C’est une erreur classique. Un dossier informatique doit être décomposé :

entrée dans le système ;
comportement dans le système ;
action sur les données ;
action sur le fonctionnement.

LX. Exemple complet

A vole un mot de passe. Il entre dans le serveur. Il copie des fichiers. Puis efface la base. À examiner :

323-1

323-3

et éventuellement :

323-2

selon les effets précis.

LXI. Système de l’État contenant des données personnelles

Depuis la loi du 24 janvier 2023, l’article 323-1 prévoit un niveau renforcé lorsque l’atteinte vise un STAD de données à caractère personnel mis en œuvre par l’État.

LXII. Peine

7 ans d’emprisonnement + 300 000 euros d’amende.

LXIII. Il faut satisfaire aux deux éléments

Le système doit être :

un STAD de données à caractère personnel ;
mis en œuvre par l’État.

LXIV. Toute base publique n’entre pas automatiquement dans cette catégorie

Il faut identifier :

responsable institutionnel ;
nature des données ;
régime du système.

LXV. Collectivité territoriale ≠ État automatiquement

Le texte emploie précisément :

l’État.

Il faut donc éviter d’élargir mécaniquement cette aggravation à toute personne publique.

LXVI. Bande organisée

Le Code pénal prévoit également une aggravation générale pour les infractions des articles 323-1 à 323-3-1 lorsqu’elles sont commises en bande organisée. La peine est alors portée à :

10 ans d’emprisonnement et 300 000 euros d’amende.

LXVII. Article 323-4-1

Cette aggravation a été renforcée par la loi du 24 janvier 2023.

LXVIII. Pluralité d’auteurs ≠ bande organisée

Comme dans les autres matières :

plusieurs personnes

ne suffisent pas mécaniquement. Il faut caractériser l’organisation préparée au sens du droit pénal général.

LXIX. Groupement préparatoire

L’article 323-4 réprime également la participation à un groupement ou une entente établie en vue de préparer une ou plusieurs atteintes informatiques, lorsque la préparation est caractérisée par un ou plusieurs faits matériels.

LXX. L’infraction peut donc intervenir avant l’intrusion achevée

Le législateur permet une répression en amont lorsque :

infrastructure ;
outils ;
organisation ;
préparatifs

démontrent un projet collectif correspondant aux conditions du texte.

LXXI. Outils de piratage

L’article 323-3-1 incrimine, sans motif légitime, certains actes portant sur les équipements, programmes ou données conçus ou spécialement adaptés pour commettre les infractions informatiques visées.

LXXII. Motif légitime

Le texte mentionne notamment :

recherche ;
sécurité informatique.

LXXIII. Pentest

Un test d’intrusion autorisé entre donc dans une logique radicalement différente d’un piratage clandestin. Le point décisif est :

L’AUTORISATION ET SON PÉRIMÈTRE.

LXXIV. Autorisation écrite

En pratique, une mission de sécurité devrait préciser :

système ;
dates ;
techniques autorisées ;
limites ;
données accessibles.

LXXV. Pentest dépassant le périmètre

Une autorisation porte uniquement sur :

serveur A.

Le testeur attaque volontairement :

serveur B.

La protection résultant de l’autorisation n’est pas nécessairement extensible.

LXXVI. Bug bounty

Même logique. Un programme de bug bounty peut autoriser certaines recherches, mais seulement :

dans un périmètre ;
selon des règles déterminées.

LXXVII. Dépasser la preuve de concept

Trouver une faille autorisée à tester n’autorise pas nécessairement :

l’extraction massive ;
la lecture de données privées ;
la destruction de données.

LXXVIII. Sécurité informatique ≠ immunité générale

Le motif légitime doit correspondre au comportement concret.

LXXIX. Affaire du keylogger et motif invoqué

Dans l’arrêt du 16 janvier 2018, le prévenu soutenait notamment avoir utilisé l’outil dans le cadre de la défense de sa situation professionnelle. Les juges ont estimé que les circonstances clandestines de récupération des codes et de consultation des courriels caractérisaient la mauvaise foi et ne correspondaient pas à un motif légitime de sécurité informatique.

LXXX. Mobile ≠ autorisation

L’auteur peut expliquer :

« je voulais prouver une injustice ».

Cela ne suffit pas à transformer l’accès en accès autorisé.

LXXXI. Mobile personnel

Dans l’arrêt du 2 septembre 2025, la Cour indique que le mobile ayant présidé aux faits est indifférent dès lors que l’administrateur consultait clandestinement des courriels à des fins étrangères à sa mission.

LXXXII. Formule

MOBILE ESTIMÉ LÉGITIME ≠ DROIT D’ACCÈS.

LXXXIII. Lanceur d’alerte

La qualification doit être particulièrement prudente lorsqu’une personne invoque une démarche d’alerte. Mais l’existence d’un objectif d’alerte ne fait pas disparaître automatiquement les éléments matériels et intentionnels de l’article 323-1.

LXXXIV. L’élément intentionnel

Le terme :

frauduleusement

suppose que la personne ait conscience du caractère irrégulier de son comportement.

LXXXV. Pas de faute d’imprudence générale

Celui qui ouvre par mégarde une mauvaise arborescence ne commet pas automatiquement le délit.

LXXXVI. Conscience de l’absence d’autorisation

La décision du 16 janvier 2018 insiste sur la connaissance par l’auteur du fait qu’il n’était pas autorisé à accéder aux systèmes visés.

LXXXVII. Indices de connaissance

Peuvent notamment être révélateurs :

contournement de mots de passe ;
dissimulation ;
usage d’un keylogger ;
suppression de traces ;
accès nocturne injustifié ;
transfert clandestin.

LXXXVIII. Indices de fraude en 2025

Dans l’affaire de l’administrateur réseau, les juges avaient notamment relevé :

consultation occulte de messages archivés ;
finalité étrangère à la mission ;
transfert automatique clandestin de courriels vers sa propre adresse ;
conscience du caractère illégal des agissements.

LXXXIX. Installation d’un transfert automatique

Cette opération peut démontrer :

persistance ;
organisation ;
volonté de dissimulation.

XC. Accès légitime dans le cadre professionnel

A possède un compte informatique professionnel. Il se connecte pour accomplir son travail.

pas de fraude.

XCI. Usage du même compte après licenciement

L’autorisation cesse. A conserve les identifiants et se reconnecte.

accès frauduleux possible.

XCII. Compte non désactivé

Même si l’employeur oublie techniquement de fermer le compte :

COMPTE ENCORE ACTIF ≠ AUTORISATION TOUJOURS VALABLE.

XCIII. Prestataire informatique

Même logique pour un prestataire dont la mission a pris fin.

XCIV. Ancien salarié

Il connaît encore :

VPN ;
mots de passe ;
arborescence.

Le savoir technique acquis pendant l’emploi ne constitue pas un droit permanent d’accès.

XCV. Changement de fonctions

Un salarié est muté. Ses anciens droits informatiques ne sont pas immédiatement supprimés. Il continue à consulter des données de son ancien service sans aucune nécessité professionnelle. La jurisprudence de 2025 rend cette hypothèse particulièrement sensible.

XCVI. Autorisation hiérarchique

Une autorisation réelle donnée par une personne compétente peut exclure la fraude dans son périmètre. Il faut toutefois prouver :

existence ;
étendue ;
compétence de l’auteur de l’autorisation.

XCVII. Autorisation d’un collègue non habilité

Un collègue dit :

« vas-y, regarde le dossier du directeur ».

Mais le collègue n’a aucun pouvoir d’autoriser cet accès. Cette permission informelle n’est pas nécessairement juridiquement suffisante.

XCVIII. Compte partagé

Les comptes partagés compliquent la preuve. Il faut déterminer :

qui s’est connecté ;
qui disposait normalement des identifiants ;
quel périmètre était autorisé.

XCIX. Adresse IP

Une adresse IP seule ne prouve pas toujours :

l’identité physique de l’auteur.

C. Logs

Les journaux informatiques peuvent être essentiels pour reconstituer :

heure ;
compte ;
machine ;
ressources consultées.

CI. Authentification multi-facteurs

Elle peut renforcer l’identification de l’utilisateur, sans être nécessairement irréfutable.

CII. Session restée ouverte

A utilise la session de B laissée ouverte sur un ordinateur. Il sait qu’il ne dispose d’aucune autorisation.

accès frauduleux possible.

CIII. Ordinateur familial

Un ordinateur partagé peut contenir plusieurs comptes. Le fait d’avoir un droit d’utiliser la machine ne signifie pas un droit d’entrer dans tous les comptes.

CIV. Téléphone déverrouillé

Même logique. Le droit d’utiliser physiquement le téléphone n’autorise pas nécessairement l’accès à chaque application ou compte.

CV. Cloud

Un stockage cloud peut relever de l’analyse comme composante d’un système informatique. Le caractère distant du stockage n’empêche pas l’application de l’article 323-1.

CVI. SaaS

Une application SaaS utilisée par une entreprise peut également constituer l’environnement informatique protégé.

CVII. API

L’accès à une API réservée peut constituer l’accès à une partie du système.

CVIII. Jeton API valide mais détourné

Un token légitime volé ou utilisé hors autorisation ne rend pas nécessairement l’accès licite.

CIX. Session cookie

Même logique.

CX. Accès sans authentification mais réservé

Il faut revenir aux critères :

destination ;
connaissance ;
protection ;
circonstances.

CXI. Robots et scripts automatiques

Un accès peut être automatisé. Le fait qu’un script effectue les requêtes ne supprime pas la responsabilité de celui qui l’a programmé.

CXII. Scraping

Le scraping n’est pas automatiquement une atteinte à un STAD. Il faut distinguer :

données librement accessibles ;
accès réservé ;
contournement ;
maintien malgré une interdiction technique ou fonctionnelle.

CXIII. Contournement d’un contrôle

Le contournement constitue un indice particulièrement fort de caractère frauduleux.

CXIV. CAPTCHA

Contourner un CAPTCHA n’équivaut pas automatiquement à l’infraction. Il faut déterminer ce que ce contrôle protège et à quel système l’utilisateur accède.

CXV. Rate limit

Même prudence. Contourner une limitation technique peut être un indice, mais la qualification requiert les éléments de l’article 323-1.

CXVI. Interface publique

Une interface véritablement ouverte au public ne transforme pas chaque consultation massive en accès frauduleux au titre de 323-1. D’autres règles peuvent toutefois être applicables.

CXVII. Partie privée du même site

Le site peut comporter :

espace public ;
espace administrateur.

Seul le second peut être concerné par une intrusion selon les faits.

CXVIII. Tout ou partie du STAD : importance pratique

Une autorisation sur :

/public

n’est pas nécessairement une autorisation sur :

/admin.

CXIX. Maintien dans un sous-système

Une personne peut entrer régulièrement dans le réseau général puis se maintenir frauduleusement dans une messagerie particulière. L’arrêt de 2025 confirme cette approche fonctionnelle.

CXX. Les courriels du dirigeant

Dans cette affaire, l’administrateur ne piratait pas nécessairement son propre droit technique d’administrateur. Il détournait ce droit pour prendre connaissance de messages à l’insu de leur titulaire.

CXXI. Préjudice moral

L’arrêt du 2 septembre 2025 est également intéressant sur les intérêts civils. La Cour valide l’indemnisation du préjudice moral du dirigeant résultant notamment de la perte de confiance provoquée par l’accès clandestin à sa messagerie.

CXXII. Action civile

La victime doit néanmoins démontrer un dommage :

personnel ;
direct ;
certain

selon les règles générales de l’action civile. La décision de 2025 admet, dans le contexte jugé, le préjudice moral du titulaire dont la messagerie avait été clandestinement consultée.

CXXIII. Propriétaire du système / utilisateur lésé

L’entreprise peut être victime d’une intrusion dans son système. Mais un utilisateur individuel peut également subir un dommage personnel lorsque ses propres communications ou intérêts sont directement atteints. L’arrêt de 2025 en fournit une illustration.

CXXIV. Préjudice ≠ élément obligatoire du premier alinéa

Le texte de base ne conditionne pas l’infraction à la démonstration d’un dommage effectivement réalisé. Il suffit de caractériser l’accès ou le maintien frauduleux.

CXXV. Résultat aggravant

En revanche, suppression, modification ou dysfonctionnement peuvent entraîner l’aggravation du deuxième alinéa.

CXXVI. Tentative

Il faut rechercher les dispositions spécifiques du chapitre pour savoir quelles formes de tentative sont pénalement réprimées. Le chapitre 323 comporte notamment des dispositions particulières relatives à l’organisation et à la préparation des atteintes.

CXXVII. Préparation matérielle

Même avant l’accès effectif, des comportements peuvent tomber sous :

323-3-1 ;
323-4,

selon les circonstances.

CXXVIII. Possession d’outils

Une distribution Linux de sécurité n’est pas automatiquement illicite. Le texte vise les équipements ou programmes concernés sans motif légitime, ce qui implique une analyse du contexte.

CXXIX. Double usage

Beaucoup d’outils peuvent servir :

à l’administration légitime ;
au piratage.

L’objet seul ne suffit donc pas toujours.

CXXX. Intention d’attaque

Les éléments pouvant établir le contexte frauduleux incluent notamment :

cibles identifiées ;
identifiants volés ;
instructions ;
commandes exécutées ;
exfiltration.

CXXXI. Bande organisée : aggravation très sévère

Lorsque les conditions de l’article 323-4-1 sont remplies :

10 ans + 300 000 €.

Cela place les attaques organisées les plus structurées à un niveau pénal particulièrement élevé.

CXXXII. Mise en danger de personnes

Le chapitre contient également un régime aggravé lorsque les atteintes informatiques ont pour effet d’exposer autrui à un risque immédiat de mort ou de blessures très graves ou de faire obstacle à certains secours. Dans ces hypothèses, la peine peut atteindre :

10 ans d’emprisonnement et 300 000 euros d’amende.

CXXXIII. Cyberattaque d’un hôpital

Une intrusion qui perturbe :

réanimation ;
urgences ;
systèmes de secours

peut donc soulever des aggravations dépassant largement l’accès frauduleux simple.

CXXXIV. Systèmes critiques

Même logique pour les systèmes dont l’altération met directement en danger :

personnes ;
secours ;
installations sensibles.

CXXXV. Article 323-8

Le chapitre comporte également une exclusion spécifique concernant certaines mesures mises en œuvre par des agents habilités des services spécialisés de renseignement dans le cadre légal prévu.

CXXXVI. Cette exception est strictement institutionnelle

Elle ne crée évidemment aucune autorisation générale pour les particuliers ou les entreprises privées.

CXXXVII. Prescription

L’accès frauduleux est un délit. Le délai de droit commun de l’action publique est donc en principe celui des délits :

6 ans, sous réserve des règles générales d’interruption, suspension ou occultation étudiées précédemment.

CXXXVIII. Date de l’accès

Il faut identifier la date de connexion frauduleuse.

CXXXIX. Maintien

La temporalité du maintien peut être plus délicate. Il faut déterminer :

moment où la présence devient frauduleuse ;
durée de la session ;
éventuels nouveaux accès.

CXL. Connexions successives

Connexion illégale chaque jour pendant un mois :

pluralité d’actes à examiner.

Il ne faut pas tout réduire à une seule date sans analyse.

CXLI. Session unique

A entre à 22 h et quitte le système à 3 h. Il peut s’agir d’un seul épisode d’accès/maintien.

CXLII. Reconnexion

Il revient le lendemain. Nouvel accès possible.

CXLIII. Compte compromis persistant

Un malware conserve un accès permanent. Il faut identifier les comportements humains et techniques correspondant aux faits reprochés.

CXLIV. Preuve numérique

Les principales sources peuvent être :

logs ;
IP ;
journaux d’authentification ;
historiques de commandes ;
fichiers de configuration ;
métadonnées.

CXLV. Saisie du poste

Elle peut permettre de retrouver :

scripts ;
mots de passe ;
historiques ;
fichiers exfiltrés.

CXLVI. Keylogger retrouvé

Dans l’affaire de 2018, la détention et l’installation du keylogger constituaient un élément majeur du dispositif probatoire.

CXLVII. Aveux partiels

L’utilisateur peut reconnaître :

l’accès

tout en niant :

la fraude.

Le débat portera alors sur l’étendue réelle de son autorisation.

CXLVIII. Charte informatique

Elle peut constituer un élément important pour déterminer :

droits ;
limites ;
finalités.

Mais elle n’est pas nécessairement le seul élément.

CXLIX. Contrat de travail

Même utilité.

CL. Fiche de poste

Particulièrement importante pour un administrateur réseau. L’arrêt de 2025 confronte précisément les capacités techniques de l’administrateur à la finalité de sa mission.

CLI. Procédures internes

Des règles précisant :

« accès aux boîtes mail uniquement sur demande formelle »

peuvent contribuer à démontrer les limites.

CLII. Absence de politique écrite

Elle ne rend pas nécessairement toutes les consultations libres. Le juge peut se fonder sur :

fonctions ;
circonstances ;
clandestinité ;
finalité.

CLIII. Accès ouvert mais clandestin

L’arrêt de 2025 montre précisément que l’absence d’obstacle technique n’empêche pas la fraude lorsque le comportement détourne l’accès autorisé de son objet.

CLIV. Mot de passe du dirigeant non requis

L’administrateur disposait de codes globaux. La fraude résidait dans :

l’usage hors mission ;
la consultation occulte ;
l’atteinte à la messagerie.

CLV. Curiosité

Lire par simple curiosité les courriels d’un collègue grâce à ses privilèges administrateur peut donc relever du texte. Le mobile ludique ou curieux n’est pas une autorisation.

CLVI. Vengeance

Même logique.

CLVII. Recherche de preuves contre son employeur

Même logique : le mobile ne supprime pas automatiquement la fraude.

CLVIII. Défense de sa réputation

L’arrêt du keylogger montre également qu’une finalité de défense personnelle ne constitue pas nécessairement un motif légitime pour obtenir clandestinement les identifiants et courriels d’autrui.

CLIX. Différence avec le vol de données

L’affaire de 2015 est importante car elle admet, dans les circonstances jugées, la qualification de vol pour le téléchargement de données que l’utilisateur savait protégées, en plus du maintien frauduleux.

CLX. L’accès ne neutralise pas les autres infractions

Selon les faits peuvent notamment s’ajouter :

vol ;
atteinte aux données ;
secret des correspondances ;
violation de secret professionnel ;
escroquerie.

CLXI. Secret des correspondances

Consulter clandestinement des communications peut soulever des qualifications distinctes de l’atteinte au système. Il faut toutefois appliquer correctement les règles de concours.

CLXII. Données personnelles

L’accès illicite peut également avoir des conséquences au regard du droit pénal des données personnelles, selon les faits.

CLXIII. Informatique et preuve déloyale

La provenance de la preuve peut également devenir litigieuse.

CLXIV. Cass. crim., 30 avril 2014, n° 13-88.162

Dans une affaire liée à des activités de fraude informatique, la Cour de cassation a examiné la question de la loyauté de la preuve obtenue grâce à un site mis en place par la police new-yorkaise. Elle a jugé que la création d’un site destiné à recueillir des preuves et identifier des auteurs n’était pas une provocation à l’infraction lorsqu’il ne poussait pas les internautes à commettre les actes poursuivis.

CLXV. Provocation à la preuve / provocation à l’infraction

Distinction importante :

CRÉER UN DISPOSITIF POUR OBSERVER UNE INFRACTION

n’est pas nécessairement :

PROVOQUER LA COMMISSION DE L’INFRACTION.

La frontière dépend du rôle joué par l’autorité.

CLXVI. Honeypot

Par analogie méthodologique, un système-piège mis en place pour détecter des comportements illicites n’implique pas automatiquement une provocation interdite. Il faut vérifier s’il se borne à observer ou s’il incite effectivement à l’infraction.

CLXVII. Tableau : accès / maintien

Situation	Qualification possible
Entrée sans droit	Accès frauduleux
Entrée autorisée puis dépassement conscient	Maintien frauduleux possible
Accès accidentel puis sortie immédiate	Pas nécessairement d’infraction
Accès accidentel puis exploration malgré protection	Maintien frauduleux possible
Administrateur lisant des mails hors mission	Maintien frauduleux possible

CLXVIII. Tableau : autorisation

Situation	Conséquence
Aucun droit technique	Fraude possible
Mot de passe volé	Fraude possible
Mot de passe valide mais détourné	Fraude possible
Droit admin général	Pas d’immunité
Mission professionnelle précise	Autorisation dans son périmètre
Dépassement volontaire de mission	Maintien frauduleux possible

CLXIX. Tableau : peines

Situation	Peine maximale principale
Accès/maintien frauduleux simple	3 ans + 100 000 €
Suppression/modification de données ou altération du système résultant de l’accès	5 ans + 150 000 €
STAD de données personnelles mis en œuvre par l’État	7 ans + 300 000 €
Bande organisée	10 ans + 300 000 €

Ces niveaux sont ceux du Code pénal applicable au 13 août 2026.

CLXX. Tableau : articles voisins

Comportement	Article
Accéder/se maintenir frauduleusement	323-1
Entraver/fausser le fonctionnement	323-2
Atteinte frauduleuse aux données	323-3
Outils de piratage sans motif légitime	323-3-1
Groupement préparatoire	323-4
Bande organisée	323-4-1

CLXXI. Exemple complet : mot de passe volé

A récupère le mot de passe du directeur. Il se connecte à la messagerie. Il lit les courriels.

323-1 : accès frauduleux possible.

S’il copie ensuite les messages :

323-3 à examiner.

CLXXII. Exemple complet : accès accidentel

A clique sur un lien trouvé sur Google. Le serveur affiche par erreur un fichier interne. Il le ferme immédiatement.

élément frauduleux difficile à caractériser sur ce seul fait.

CLXXIII. Même situation, poursuite après avertissement

Le fichier indique :

« confidentiel — accès réservé ».

A continue pendant deux heures et télécharge les documents.

maintien frauduleux possible, comme l’illustre la logique de l’arrêt du 20 mai 2015.

CLXXIV. Exemple complet : administrateur réseau

A possède les identifiants permettant d’ouvrir toutes les boîtes mail. Il consulte secrètement les courriels du PDG par curiosité personnelle.

maintien frauduleux possible, même avec un droit technique général.

Cass. crim., 2 septembre 2025, n° 24-83.605.

CLXXV. Exemple complet : opération de maintenance

Le même administrateur ouvre la boîte mail parce qu’un ticket lui demande de réparer un problème d’archivage. Il limite son intervention aux opérations nécessaires.

accès professionnel autorisé en principe selon le périmètre de sa mission.

CLXXVI. Dépassement pendant la maintenance

Il commence ensuite à lire des messages personnels sans aucun rapport avec la panne.

la situation peut basculer vers un maintien frauduleux.

CLXXVII. Exemple complet : ancien salarié

A est licencié. Son compte n’est pas désactivé. Le lendemain, il se connecte pour télécharger les fichiers clients.

absence d’obstacle technique ≠ autorisation.

Accès frauduleux et atteinte aux données doivent être examinés.

CLXXVIII. Exemple complet : keylogger

A installe clandestinement un logiciel enregistrant les frappes de deux collègues afin de récupérer leurs codes. Il utilise ensuite ces codes pour lire leurs courriels.

323-1 possible, avec examen de l’article 323-3-1 pour l’outil.

Cass. crim., 16 janvier 2018, n° 16-87.168.

CLXXIX. Exemple complet : pentest autorisé

Une entreprise autorise un expert à tester son serveur jusqu’au 15 août. L’expert respecte :

système ;
horaires ;
techniques autorisées.

pas d’accès frauduleux dans ce périmètre.

CLXXX. Pentest hors périmètre

L’expert attaque volontairement le serveur de paie explicitement exclu.

la protection de l’autorisation peut disparaître pour cette intrusion.

CLXXXI. Exemple complet : données publiques et données protégées

A trouve sur un site :

une partie publique ;
puis une partie protégée.

Il consulte librement les premières données. Il découvre ensuite un dispositif d’accès réservé et continue malgré tout.

maintien frauduleux possible.

CLXXXII. Exemple complet : base de l’État

A pénètre frauduleusement dans un système de l’État contenant des données personnelles. L’article 323-1 prévoit :

7 ans + 300 000 euros pour les hypothèses correspondant aux conditions du troisième alinéa.

CLXXXIII. Exemple complet : suppression après accès

A accède au système puis supprime des données. L’article 323-1, alinéa 2, peut élever la peine à :

5 ans + 150 000 euros.

L’article 323-3 doit en outre être examiné au titre de la suppression frauduleuse des données.

CLXXXIV. Exemple complet : attaque organisée

Plusieurs personnes organisent une opération informatique structurée et préparée. Si les éléments de la bande organisée sont caractérisés :

323-4-1 : 10 ans + 300 000 euros.

CLXXXV. Exemple complet : équipe préparatoire

Le groupe prépare l’attaque :

infrastructure ;
comptes ;
logiciels ;
cibles.

L’accès n’a pas encore été réalisé. L’article 323-4 relatif au groupement ou à l’entente préparatoire peut néanmoins être examiné s’il existe des faits matériels de préparation.

CLXXXVI. Exemple complet : script de sécurité

Un chercheur détient un outil d’exploitation dans le cadre d’un laboratoire autorisé.

l’existence d’un motif légitime de recherche ou de sécurité informatique doit être examinée au titre de 323-3-1.

CLXXXVII. Exemple complet : même script pour attaquer un tiers

Il utilise l’outil pour pénétrer clandestinement un serveur étranger à ses travaux.

le motif légitime devient difficilement soutenable.

CLXXXVIII. Checklist de qualification de l’article 323-1

Pour tout dossier, demander :

Quel système ?
S’agit-il d’un STAD ?
Quelle partie du système ?
Qui en contrôle normalement l’accès ?
Le prévenu avait-il un droit d’accès ?
Quel était son périmètre ?
Comment est-il entré ?
Mot de passe légitime ?
Mot de passe volé ?
Vulnérabilité ?
Accès accidentel ?
Quand a-t-il compris qu’il n’était pas autorisé ?
A-t-il néanmoins continué ?
S’agit-il d’accès ou de maintien ?
Quelle était sa mission professionnelle ?
A-t-il dépassé cette mission ?
L’accès était-il occulte ?
A-t-il copié des données ?
Modifié des données ?
Supprimé des données ?
Perturbé le système ?
Système de données personnelles de l’État ?
Bande organisée ?
Outils de piratage ?
Groupement préparatoire ?
Infractions connexes ?

CLXXXIX. Checklist spéciale salarié

Contrat de travail.
Fiche de poste.
Charte informatique.
Habilitations.
Droits techniques.
Droits fonctionnels.
Date d’éventuelle révocation.
But de la connexion.
Ressources réellement consultées.
Existence ou non d’un ticket de maintenance.
Consultation à l’insu de l’utilisateur ?
Données transférées ?
Traces supprimées ?

CXC. Checklist spéciale administrateur réseau

Droit root ou équivalent ?
Pourquoi ce droit existe-t-il ?
Mission de maintenance ?
Sécurité ?
Support utilisateur ?
Était-il autorisé à lire le contenu des messages ?
A-t-il consulté des archives sans nécessité ?
À l’insu des titulaires ?
À des fins personnelles ?
A-t-il installé une redirection automatique ?

Cette méthode découle directement de l’arrêt du 2 septembre 2025.

CXCI. Checklist spéciale vulnérabilité

Comment la faille a-t-elle été découverte ?
Accès initial accidentel ?
Données annoncées publiques ?
Message d’accès réservé ?
Contrôle rencontré ?
Contournement ?
Téléchargement après découverte de la protection ?
Signalement à la victime ou exploitation ?

CXCII. Checklist spéciale pentest

Autorisation écrite ?
Qui l’a donnée ?
Personne compétente ?
Périmètre ?
Dates ?
Systèmes exclus ?
Méthodes autorisées ?
Volume de données accessible ?
Exfiltration permise ?
L’opérateur a-t-il dépassé les limites ?

CXCIII. Preuve de l’absence d’autorisation

Elle peut résulter notamment :

des habilitations ;
de la charte ;
de la hiérarchie ;
du paramétrage ;
des avertissements.

CXCIV. Preuve de la connaissance

Rechercher :

messages ;
logs ;
méthodes de contournement ;
suppression de traces ;
accès caché ;
outils clandestins.

CXCV. Erreurs fréquentes

Erreur n° 1 : pas de mot de passe = pas d’accès frauduleux

Faux. La protection pénale ne dépend pas exclusivement d’une barrière technique. L’affaire de 2015 montre qu’un accès initial facilité par une défaillance peut devenir un maintien frauduleux une fois la restriction connue.

Erreur n° 2 : si le mot de passe fonctionne, l’accès est licite

Faux. Un identifiant volé reste un moyen d’accès frauduleux.

Erreur n° 3 : un administrateur réseau ne peut jamais commettre 323-1

Faux. Cass. crim., 2 septembre 2025, n° 24-83.605.

Erreur n° 4 : le droit technique suffit

Faux. La mission et la finalité de l’accès doivent être examinées.

Erreur n° 5 : accès régulier = maintien toujours régulier

Faux. Une entrée initiale régulière peut devenir un maintien frauduleux.

Erreur n° 6 : l’accès accidentel constitue automatiquement le délit

Faux. La conscience de l’irrégularité doit être caractérisée.

Erreur n° 7 : Google indexe la donnée donc elle est libre

Faux comme proposition pénale générale. La jurisprudence de 2015 a validé une condamnation pour maintien après découverte de la protection du système malgré un accès initial issu d’une recherche sur internet.

Erreur n° 8 : la curiosité est un motif légitime

Faux.

Erreur n° 9 : vouloir se défendre professionnellement autorise un keylogger

Faux. L’arrêt du 16 janvier 2018 rejette cette logique dans les circonstances jugées.

Erreur n° 10 : seul le propriétaire du serveur peut être victime

Trop restrictif. L’arrêt de 2025 admet un préjudice moral direct subi par le titulaire dont les communications ont été clandestinement consultées.

Erreur n° 11 : 323-1 couvre toute extraction de données

Faux. L’atteinte aux données relève notamment de l’article 323-3.

Erreur n° 12 : suppression de données = seulement 323-3

Faux. Une suppression résultant de l’accès peut également déclencher l’aggravation prévue au deuxième alinéa de 323-1.

Erreur n° 13 : tout programme de hacking est interdit

Faux. L’article 323-3-1 comporte la notion de motif légitime, notamment de recherche ou de sécurité informatique.

Erreur n° 14 : plusieurs pirates = bande organisée automatiquement

Faux. Il faut caractériser les conditions de l’organisation préparée.

Erreur n° 15 : la bande organisée est punie comme la forme simple

Faux. L’article 323-4-1 porte la peine à 10 ans d’emprisonnement et 300 000 euros d’amende.

Erreur n° 16 : un ancien salarié peut continuer à utiliser son compte tant qu’il n’est pas désactivé

Faux. La validité technique du compte n’équivaut pas au maintien d’une autorisation professionnelle.

Erreur n° 17 : le mobile moralement justifié efface la fraude

Faux. L’arrêt du 2 septembre 2025 souligne que le mobile est indifférent lorsque les éléments du maintien frauduleux sont caractérisés.

CXCVI. Jurisprudence majeure : Cass. crim., 20 mai 2015, n° 14-81.336

Cette décision doit être mémorisée pour la distinction :

ACCÈS INITIAL

et :

MAINTIEN ULTÉRIEUR.

Le prévenu avait initialement pu accéder à des données en raison d’une défaillance du système. Mais il avait ensuite découvert l’existence d’un contrôle d’accès et poursuivi ses opérations. La chambre criminelle valide la condamnation pour maintien frauduleux. La formule est :

ACCÈS ACCIDENTEL OU TECHNIQUEMENT FACILITÉ + CONNAISSANCE ULTÉRIEURE DE LA RESTRICTION + POURSUITE = MAINTIEN FRAUDULEUX POSSIBLE.

CXCVII. Deuxième apport de l’arrêt de 2015

La décision admet également, dans les circonstances jugées, la qualification de vol à propos du téléchargement sans consentement de données que le prévenu savait protégées. Elle montre que :

DONNÉE NUMÉRIQUE PEUT ÊTRE AU CENTRE DE PLUSIEURS QUALIFICATIONS.

CXCVIII. Jurisprudence majeure : Cass. crim., 16 janvier 2018, n° 16-87.168

Cette décision publiée au Bulletin concerne l’installation d’un keylogger destiné à obtenir clandestinement les codes d’accès aux messageries de confrères. La chambre criminelle rappelle qu’est coupable celui qui :

sait qu’il n’est pas autorisé

et accède néanmoins à l’insu des titulaires au système. La formule pratique est :

VOL DE CODE + CONNEXION À L’INSU DU TITULAIRE = EXEMPLE TYPE D’ACCÈS FRAUDULEUX.

CXCIX. Apport supplémentaire de 2018

La décision illustre également l’article 323-3-1 relatif aux outils conçus ou adaptés pour commettre des atteintes informatiques. L’auteur ne pouvait justifier l’emploi clandestin du keylogger par la simple défense de sa situation professionnelle.

CC. Jurisprudence majeure : Cass. crim., 2 septembre 2025, n° 24-83.605

Cet arrêt publié au Bulletin constitue désormais une décision majeure du droit français de l’accès informatique. Un administrateur réseau bénéficiait, techniquement, de codes lui permettant d’accéder aux messageries de l’entreprise. Il consultait cependant clandestinement les courriels archivés du dirigeant :

à son insu ;
pour une finalité étrangère à sa mission.

La Cour valide la condamnation pour maintien frauduleux.

CCI. Principe majeur de 2025

L’EXISTENCE D’UN DROIT GÉNÉRAL D’ACCÈS TECHNIQUE N’EXCLUT PAS LE MAINTIEN FRAUDULEUX.

Il faut rechercher :

POURQUOI L’UTILISATEUR EST AUTORISÉ À ENTRER.

CCII. Révolution pratique pour les entreprises

La décision impose de distinguer clairement :

privilège informatique ;
mission professionnelle ;
finalité légitime.

Un compte administrateur n’est plus analysé comme une autorisation pénale générale de consulter toute donnée accessible.

CCIII. Les politiques internes prennent donc une importance probatoire considérable

Elles peuvent aider à déterminer :

finalité des privilèges ;
personnes habilitées ;
conditions d’accès aux boîtes mail.

CCIV. Mais l’absence de charte ne suffit pas à disculper

Dans l’affaire de 2025, le comportement clandestin et étranger à la mission permettait de caractériser le maintien frauduleux malgré l’existence du droit technique général.

CCV. Préjudice moral : autre apport de 2025

La Cour admet que le dirigeant dont la messagerie avait été ainsi consultée subisse un préjudice moral direct, notamment lié à la perte de confiance provoquée par les agissements du salarié.

CCVI. Jurisprudence : Cass. crim., 30 avril 2014, n° 13-88.162

Cet arrêt n’est pas principalement consacré aux éléments constitutifs de 323-1, mais il est utile pour les méthodes d’enquête numérique. La Cour juge qu’un site créé par la police étrangère afin de recueillir des preuves de fraudes informatiques n’est pas, en lui-même, une provocation illicite lorsque le dispositif n’incite pas les utilisateurs à commettre les infractions.

CCVII. Droit applicable au 13 août 2026

L’article 323-1 demeure, à cette date :

ACCÈS OU MAINTIEN FRAUDULEUX : 3 ANS + 100 000 €

SI SUPPRESSION/MODIFICATION DE DONNÉES OU ALTÉRATION DU FONCTIONNEMENT : 5 ANS + 150 000 €

SI STAD DE DONNÉES PERSONNELLES MIS EN ŒUVRE PAR L’ÉTAT : 7 ANS + 300 000 €.

CCVIII. Aggravations et qualifications voisines

Le chapitre prévoit également :

BANDE ORGANISÉE : 10 ANS + 300 000 €

ainsi que les incriminations relatives :

à l’entrave au système ;
aux données ;
aux outils ;
au groupement préparatoire.

CCIX. Méthode ultra-rapide

Face à une intrusion informatique :

1. Y A-T-IL UN STAD ?

Puis :

2. QUEL DROIT D’ACCÈS AVAIT LA PERSONNE ?

Puis :

3. QUEL ÉTAIT LE PÉRIMÈTRE DE CE DROIT ?

Puis :

4. L’ACCÈS ÉTAIT-IL DÈS L’ORIGINE FRAUDULEUX ?

Si non :

5. LE MAINTIEN EST-IL DEVENU FRAUDULEUX ?

Puis :

6. DONNÉES COPIÉES, MODIFIÉES OU SUPPRIMÉES ?

Puis :

7. FONCTIONNEMENT PERTURBÉ ?

Puis :

8. SYSTÈME DE L’ÉTAT ?

Puis :

9. BANDE ORGANISÉE ?

Puis :

10. OUTILS OU GROUPEMENT PRÉPARATOIRE ?

CCX. Formule de qualification d’un administrateur réseau

DROIT ADMINISTRATEUR ?

Oui. ↓

ACCÈS NÉCESSAIRE À LA MISSION ?

Si oui :

pas de fraude sur ce seul fait.

Si non : ↓

CONSULTATION À L’INSU DU TITULAIRE ?

↓

FINALITÉ ÉTRANGÈRE À LA MISSION ?

↓

MAINTIEN FRAUDULEUX POSSIBLE.

Cass. crim., 2 septembre 2025.

CCXI. Formule de qualification d’un accès accidentel

ERREUR TECHNIQUE ?

↓

UTILISATEUR IGNORE LA RESTRICTION ?

↓

pas nécessairement de fraude.

Mais :

DÉCOUVRE LA RESTRICTION

↓

CONTINUE MALGRÉ TOUT

↓

MAINTIEN FRAUDULEUX POSSIBLE.

Cass. crim., 20 mai 2015.

CCXII. À retenir

La première règle est :

ARTICLE 323-1 = ACCÈS OU MAINTIEN FRAUDULEUX DANS TOUT OU PARTIE D’UN STAD.

Peine de base au 13 août 2026 :

3 ANS + 100 000 €.

La deuxième règle est :

ACCÈS ET MAINTIEN SONT DISTINCTS.

Une personne peut :

entrer régulièrement ou accidentellement

puis :

SE MAINTENIR FRAUDULEUSEMENT.

L’arrêt Cass. crim., 20 mai 2015, n° 14-81.336 en fournit l’exemple classique. La troisième règle est :

L’ABSENCE DE MOT DE PASSE N’EXCLUT PAS L’INFRACTION.

La question déterminante est :

LA PERSONNE SAVAIT-ELLE QU’ELLE N’ÉTAIT PAS AUTORISÉE À RESTER OU À CONSULTER CETTE PARTIE DU SYSTÈME ?

La quatrième règle est :

IDENTIFIANT TECHNIQUEMENT VALIDE ≠ AUTORISATION JURIDIQUE.

L’usage clandestin d’identifiants obtenus notamment par keylogger peut caractériser l’accès frauduleux. Cass. crim., 16 janvier 2018, n° 16-87.168. La cinquième règle est devenue majeure depuis 2025 :

DROIT ADMINISTRATEUR ≠ DROIT DE TOUT LIRE.

Un administrateur réseau disposant d’un droit général d’accès peut néanmoins commettre un maintien frauduleux lorsqu’il consulte :

clandestinement ;
à des fins étrangères à sa mission ;
les messages des utilisateurs.

Cass. crim., 2 septembre 2025, n° 24-83.605. La sixième règle est :

L’ACCÈS DOIT ÊTRE DISTINGUÉ DE L’ATTEINTE AUX DONNÉES.

Article 323-1 :

accès / maintien.

Article 323-3 :

extraction / détention / reproduction / transmission / suppression / modification de données.

La septième règle est :

SI L’ACCÈS ENTRAÎNE SUPPRESSION OU MODIFICATION DE DONNÉES OU ALTÉRATION DU FONCTIONNEMENT, LA PEINE DE 323-1 PASSE À 5 ANS + 150 000 €.

La huitième règle est :

STAD DE DONNÉES PERSONNELLES MIS EN ŒUVRE PAR L’ÉTAT → 7 ANS + 300 000 €.

La neuvième règle est :

BANDE ORGANISÉE → 10 ANS + 300 000 €.

La dixième règle concerne les professionnels de la cybersécurité :

AUTORISATION + PÉRIMÈTRE + MISSION = ÉLÉMENTS CENTRAUX.

Un pentest légitime n’est pas un piratage. Mais dépasser volontairement le périmètre autorisé peut faire basculer l’analyse. Enfin, la formule générale est :

IDENTIFIER LE STAD → IDENTIFIER LE DROIT D’ACCÈS → DÉTERMINER SON PÉRIMÈTRE → DISTINGUER ACCÈS ET MAINTIEN → PROUVER LA CONSCIENCE DE L’IRRÉGULARITÉ → ANALYSER LES ACTIONS SUR LES DONNÉES → RECHERCHER LES AGGRAVATIONS ET INFRACTIONS CONNEXES.

CLXXX. Entrave au fonctionnement d’un système de traitement automatisé de données

L’article 323-2 du Code pénal protège le fonctionnement des systèmes informatiques. Il ne réprime pas seulement l’intrusion dans un système. Il vise un comportement différent :

ENTRAVER OU FAUSSER LE FONCTIONNEMENT D’UN SYSTÈME DE TRAITEMENT AUTOMATISÉ DE DONNÉES.

Au 13 août 2026, l’article 323-2 prévoit :

5 ans d’emprisonnement et 150 000 euros d’amende.

Lorsque l’infraction est commise à l’encontre d’un système de traitement automatisé de données à caractère personnel mis en œuvre par l’État, les peines sont portées à :

7 ans d’emprisonnement et 300 000 euros d’amende.

La distinction fondamentale avec le chapitre précédent est donc :

323-1 = ENTRER OU RESTER FRAUDULEUSEMENT DANS LE SYSTÈME

alors que :

323-2 = PERTURBER OU FAUSSER SON FONCTIONNEMENT.

Et il faut encore distinguer l’article 323-3 :

323-3 = PORTER FRAUDULEUSEMENT ATTEINTE AUX DONNÉES.

Un même fait informatique peut naturellement comporter plusieurs de ces dimensions. Ainsi, une cyberattaque peut successivement consister à :

S’INTRODUIRE → 323-1

BLOQUER LE SERVICE → 323-2

SUPPRIMER OU MODIFIER DES DONNÉES → 323-3.

La qualification doit être construite comportement par comportement.

I. Le texte de l’article 323-2

L’article 323-2 réprime :

le fait d’entraver ou de fausser le fonctionnement d’un système de traitement automatisé de données.

Le législateur emploie donc deux verbes :

entraver ;
fausser.

Ces notions se recoupent parfois, mais elles ne doivent pas être confondues.

II. Première branche : entraver le fonctionnement

Entraver signifie faire obstacle au fonctionnement normal du système. Il peut notamment s’agir, selon les circonstances :

de le bloquer ;
de le rendre indisponible ;
de ralentir gravement son fonctionnement ;
d’empêcher certains utilisateurs autorisés d’y accéder ;
de désorganiser son fonctionnement normal.

La question essentielle est :

LE SYSTÈME PEUT-IL ENCORE ACCOMPLIR NORMALEMENT SA FONCTION ?

III. Deuxième branche : fausser le fonctionnement

Fausser est différent. Le système peut continuer matériellement à fonctionner, mais :

IL NE FONCTIONNE PLUS CONFORMÉMENT À CE QU’IL DEVRAIT FAIRE.

Son comportement est détourné, trompé ou altéré.

IV. Exemple simple d’entrave

Un attaquant provoque l’indisponibilité d’un serveur. Les utilisateurs ne peuvent plus se connecter.

entrave possible.

V. Exemple simple de fonctionnement faussé

Le serveur continue à répondre. Mais l’attaquant manipule le mécanisme de telle sorte que certaines opérations sont systématiquement redirigées vers une destination frauduleuse. Le système fonctionne encore techniquement. Mais son fonctionnement est :

faussé.

VI. Indisponibilité totale non indispensable

L’article 323-2 ne dit pas :

« rendre totalement inutilisable ».

Il vise :

entraver

le fonctionnement. Une perturbation suffisamment caractérisée peut donc entrer dans le texte sans destruction totale de l’infrastructure.

VII. Mais toute lenteur ne suffit pas

Un site connaît :

quelques secondes de ralentissement ;
une surcharge ordinaire ;
un incident bénin.

Il ne faut pas automatiquement conclure à une infraction pénale. Il faut démontrer :

une véritable atteinte au fonctionnement ;
imputable au comportement poursuivi ;
accomplie intentionnellement.

VIII. Entrave intentionnelle

L’article 323-2 constitue un délit intentionnel. La simple maladresse informatique ne suffit donc pas.

IX. Exemple

Un technicien commet une erreur de configuration. Le serveur tombe en panne. Il n’a jamais voulu perturber le système.

323-2 n’est pas automatiquement constitué.

X. Situation inverse

Le technicien sait qu’une commande va arrêter tous les serveurs de production. Il l’exécute précisément afin de provoquer l’interruption.

entrave intentionnelle possible.

XI. Le terme « frauduleusement » n’apparaît pas dans 323-2

Différence rédactionnelle importante avec l’article 323-1 : l’article 323-1 vise expressément l’accès ou le maintien :

frauduleusement.

L’article 323-2 dit directement :

entraver ou fausser le fonctionnement.

XII. Cela ne transforme pas l’infraction en infraction non intentionnelle

Le principe général de l’article 121-3 demeure applicable :

les délits sont intentionnels lorsqu’aucune disposition n’en décide autrement.

Il faut donc établir la volonté correspondant au comportement reproché.

XIII. Erreur technique

Administrateur système :

veut déployer une mise à jour ;
commet une erreur ;
provoque un crash.

Cette seule situation relève plutôt :

de la faute professionnelle ;
éventuellement de la responsabilité civile ;

mais pas automatiquement d’une entrave pénale intentionnelle.

XIV. Sabotage informatique

À l’inverse, le sabotage délibéré constitue le terrain naturel de l’article 323-2. Exemples :

mise hors service volontaire ;
destruction d’un mécanisme nécessaire au démarrage ;
programmation volontaire d’un dysfonctionnement.

XV. Attaque par virus

La jurisprudence ancienne offre une illustration classique. Dans une affaire jugée par la chambre criminelle, l’introduction d’un virus dans un logiciel était susceptible de caractériser notamment une introduction frauduleuse de données et un fonctionnement faussé du système. La Cour de cassation avait censuré la décision de relaxe parce que les juges reconnaissaient eux-mêmes que des investigations supplémentaires étaient nécessaires pour déterminer si l’infection avait été volontaire.

XVI. Enseignement de l’affaire du virus

Elle illustre deux questions distinctes :

LE SYSTÈME A-T-IL ÉTÉ FAUSSÉ ?

et :

QUI A VOLONTAIREMENT PROVOQUÉ CET EFFET ?

L’effet informatique ne dispense jamais de la preuve de l’imputation pénale.

XVII. Virus accidentel

Une personne transmet involontairement un fichier contaminé qu’elle croit sain. Le système du destinataire est perturbé. Il ne suffit pas d’observer le dommage informatique. Il faut prouver l’élément intentionnel.

XVIII. Virus volontairement implanté

La personne sait que le programme est malveillant et l’introduit précisément pour dérégler le système.

323-2 devient directement pertinent.

L’article 323-3 peut également devoir être examiné en fonction des opérations effectuées sur les données.

XIX. Cheval de Troie

Même logique. Le malware peut :

modifier le comportement d’un service ;
neutraliser certaines fonctions ;
créer une porte dérobée ;
désorganiser des opérations.

Selon ses effets :

323-2 et/ou 323-3.

XX. Rançongiciel

Le ransomware constitue un exemple particulièrement parlant. Il peut :

chiffrer les fichiers ;
empêcher le fonctionnement des postes ;
rendre les applications métier indisponibles ;
supprimer ou modifier des données.

L’analyse peut donc porter simultanément sur plusieurs articles du chapitre 323.

XXI. Ransomware et article 323-2

Si le chiffrement rend les applications inutilisables :

entrave au fonctionnement possible.

XXII. Ransomware et article 323-3

Si les données sont :

modifiées ;
supprimées ;
rendues frauduleusement indisponibles par modification de leur état,

l’article 323-3 doit également être examiné.

XXIII. Rançon

La demande de paiement peut encore conduire à examiner :

extorsion ;
tentative d’extorsion,

selon les circonstances. Le cyberdélit ne doit donc jamais être analysé isolément.

XXIV. Attaque par déni de service

Le déni de service constitue une illustration classique de l’entrave :

saturer une ressource afin d’empêcher ou dégrader son utilisation normale.

Il peut notamment viser :

serveur ;
application ;
infrastructure réseau.

XXV. DDoS

Lorsque de nombreuses machines sont utilisées simultanément pour générer un trafic massif, on parle couramment de :

attaque distribuée par déni de service — DDoS.

Le résultat recherché est typiquement :

indisponibilité ;
saturation ;
ralentissement critique.

XXVI. Qualification

Une telle opération peut donc relever de l’article 323-2 lorsque l’entrave au fonctionnement est caractérisée.

XXVII. Jurisprudence relative à la saturation d’un serveur

Dans une affaire de 2018 concernant la compétence juridictionnelle en matière informatique, une société dénonçait notamment des attaques ayant provoqué une saturation du serveur par la simulation de milliers de paniers. La décision portait principalement sur la compétence nationale concurrente et non sur une définition nouvelle de l’article 323-2, mais les faits illustrent concrètement le type de comportement susceptible d’être dénoncé comme entrave au fonctionnement d’un STAD.

XXVIII. « Mille paniers » automatisés

Une plateforme commerciale peut être perturbée par la création artificielle de milliers d’opérations. L’attaquant ne détruit pas nécessairement :

serveur ;
base ;
matériel.

Il exploite le fonctionnement même de l’application afin de la saturer.

XXIX. Entraver par usage des fonctions normales

C’est une idée importante. L’entrave n’exige pas nécessairement :

une commande techniquement interdite.

Des fonctions normales peuvent être utilisées de manière artificielle et massive pour perturber le système.

XXX. Exemple

Un site autorise la création de paniers. Un script en crée des centaines de milliers afin d’épuiser les ressources serveur. La fonctionnalité individuelle :

« créer un panier »

est normale. Son automatisation malveillante à grande échelle peut pourtant participer à une entrave.

XXXI. Usage intensif légitime

Inversement, un succès commercial provoque spontanément un trafic très élevé. Le serveur tombe.

pas d’infraction simplement parce qu’il y a saturation.

Il manque un comportement intentionnel d’entrave.

XXXII. Manifestation numérique

Des milliers de personnes se connectent simultanément à un site. La qualification dépendra de leur comportement concret. Il ne faut pas assimiler automatiquement :

affluence ;
expression collective ;
utilisation normale ;

à une cyberattaque.

XXXIII. Automatisation malveillante

L’usage d’un outil conçu pour multiplier artificiellement les requêtes constitue un élément probatoire différent.

XXXIV. Fausser le fonctionnement sans interruption

L’article 323-2 ne protège pas uniquement la disponibilité. Il protège aussi la fiabilité fonctionnelle du système.

XXXV. Exemple

Un logiciel calcule automatiquement un classement. L’auteur manipule le fonctionnement de telle sorte que :

candidat A soit systématiquement classé premier.

Le système ne tombe jamais en panne. Mais son fonctionnement peut être :

faussé.

XXXVI. Exemple financier

Une application de paiement fonctionne encore. Un script modifie son comportement pour diriger systématiquement certaines opérations vers un compte tiers.

fonctionnement faussé possible.

D’autres infractions doivent évidemment être étudiées.

XXXVII. Exemple logistique

Un système d’entrepôt attribue automatiquement les colis. L’attaquant modifie le processus afin que toutes les commandes soient orientées vers un mauvais quai.

fonctionnement faussé possible.

XXXVIII. Donnée fausse / fonctionnement faussé

Il faut distinguer :

MODIFIER UNE DONNÉE

et :

FAUSSER LE FONCTIONNEMENT DU SYSTÈME.

XXXIX. Exemple de seule modification de donnée

A change une adresse dans une base clients. Le logiciel continue normalement à exécuter ses fonctions.

323-3 est immédiatement à examiner.

323-2 n’est pas automatiquement constitué.

XL. Exemple combiné

A modifie les paramètres fondamentaux d’un logiciel, ce qui entraîne ensuite des calculs systématiquement erronés. Il peut y avoir :

modification frauduleuse de données ;
fonctionnement faussé.

XLI. Article 323-3

Au 13 août 2026, l’article 323-3 sanctionne notamment l’introduction, l’extraction, la détention, la reproduction, la transmission, la suppression ou la modification frauduleuse de données contenues dans un STAD. Le texte prévoit une peine de base de :

5 ans d’emprisonnement et 150 000 euros d’amende.

XLII. Même quantum de base

323-2 et 323-3 sont donc tous deux punis, dans leur forme générale, de :

5 ans + 150 000 €.

Mais leurs éléments constitutifs diffèrent.

XLIII. 323-2 : fonctionnement

La question est :

COMMENT LE SYSTÈME FONCTIONNE-T-IL APRÈS L’ACTE ?

XLIV. 323-3 : données

La question est :

QU’A-T-ON FAIT AUX DONNÉES ?

XLV. 323-1 : accès

La question est :

COMMENT LA PERSONNE EST-ELLE ENTRÉE OU RESTÉE DANS LE SYSTÈME ?

XLVI. Tableau conceptuel

Article	Bien directement atteint
323-1	Accès au système
323-2	Fonctionnement du système
323-3	Données contenues dans le système
323-3-1	Outils/moyens destinés aux atteintes informatiques
323-4	Préparation collective

Le chapitre III articule expressément ces différentes incriminations.

XLVII. L’accès frauduleux n’est pas nécessaire à 323-2

Une personne peut être parfaitement autorisée à accéder au système et néanmoins l’entraver volontairement.

XLVIII. Exemple : administrateur malveillant

Un administrateur système se connecte avec ses propres identifiants légitimes. Il arrête volontairement tous les serveurs pour nuire à l’entreprise. L’accès était autorisé. Mais :

l’entrave peut être pénalement caractérisée.

XLIX. Salarié habilité

Même raisonnement.

AUTORISATION D’ACCÈS ≠ AUTORISATION DE SABOTAGE.

L. Différence avec l’arrêt de 2025 sur le maintien

Dans le chapitre précédent, la Cour de cassation a jugé qu’un administrateur réseau pouvait commettre un maintien frauduleux malgré ses privilèges techniques lorsqu’il consultait clandestinement des messages hors de sa mission. Pour l’article 323-2, le raisonnement est encore plus simple : même un accès parfaitement légitime ne permet pas d’entraver volontairement le système.

LI. Ancien salarié

Un salarié quitte l’entreprise. Avant de partir, il programme une tâche qui arrêtera automatiquement le serveur quelques semaines plus tard. L’entrave se réalise postérieurement. Il faut reconstituer :

programmation ;
déclenchement ;
intention.

LII. « Bombe logique »

Une bombe logique peut être programmée pour déclencher une action à :

une date ;
un événement ;
une condition.

Elle peut être utilisée comme moyen de sabotage.

LIII. Exemple

« si mon compte est désactivé, supprimer les configurations ».

Le déclenchement volontairement programmé peut constituer une atteinte informatique selon ses effets.

LIV. Tâche planifiée légitime

Une tâche automatique provoque accidentellement une panne à la suite d’une erreur.

intention à démontrer.

LV. Imputation technique

Une panne peut résulter :

d’un bug ;
d’une défaillance matérielle ;
d’une erreur humaine ;
d’une attaque.

Il ne suffit donc jamais d’établir :

« le système est tombé ».

Il faut identifier la cause.

LVI. Affaire de 2013 jugée en 2024

Une décision du 13 février 2024, pourvoi n° 23-81.121, concernait une attaque informatique ayant provoqué un grave dysfonctionnement du système informatique d’une société. Le prévenu avait été condamné notamment pour :

modification frauduleuse de données ;
entrave au fonctionnement d’un STAD.

Le pourvoi portait principalement sur la communication des éléments techniques ayant fondé l’expertise ; la Cour a validé l’analyse selon laquelle les pièces sélectionnées et contradictoirement débattues pouvaient suffire à fonder la culpabilité.

LVII. Importance probatoire de cet arrêt

Il montre qu’une affaire d’entrave informatique peut nécessiter :

sauvegardes des serveurs ;
copies forensiques ;
chronologie technique ;
expertise.

LVIII. Les faits de l’affaire

Le grave dysfonctionnement avait été rattaché, après investigations, à une attaque mise en œuvre à partir du poste de travail du prévenu. Les investigations avaient notamment porté sur :

répertoires ;
fichiers ;
déroulement de l’attaque ;
chronologie technique.

LIX. Le procès pénal informatique est souvent un procès de la causalité

Il faut démontrer :

ACTION DU PRÉVENU → ALTÉRATION DU FONCTIONNEMENT.

LX. Corrélation temporelle insuffisante

Serveur tombe à 14 h. A s’est connecté à 13 h 58. Cela ne suffit pas nécessairement à prouver :

qu’A a provoqué la panne.

LXI. Il faut un lien technique

Exemples :

commande exécutée ;
script ;
fichier modifié ;
log ;
connexion ;
processus lancé.

LXII. Expertise contradictoire

L’arrêt de 2024 illustre également l’importance du contradictoire dans l’exploitation des données numériques servant de fondement à la culpabilité.

LXIII. Copie forensique

En pratique, il peut être essentiel d’effectuer une copie préservant :

structure ;
fichiers ;
horodatages ;
données nécessaires à l’analyse.

LXIV. Hash

L’empreinte cryptographique peut aider à démontrer :

intégrité de la copie ;
absence de modification ultérieure.

LXV. Logs

Les journaux peuvent révéler :

utilisateur ;
adresse IP ;
heure ;
commandes ;
événements système.

LXVI. Mais un log n’est pas infaillible

Il peut être :

incomplet ;
falsifié ;
mal horodaté ;
attribué à un compte partagé.

LXVII. Compte utilisateur ≠ auteur physique automatiquement

Un compte compromis peut avoir été utilisé par un tiers. L’imputation doit être individualisée.

LXVIII. Adresse IP ≠ auteur automatiquement

Même prudence. Peuvent intervenir :

NAT ;
VPN ;
proxy ;
réseau partagé ;
machine compromise.

LXIX. Poste de travail

Le fait qu’une attaque parte d’un poste constitue un élément important mais doit être confronté :

à l’usage réel du poste ;
aux identifiants ;
aux traces laissées.

LXX. Expert judiciaire

Son rôle peut être décisif pour expliquer :

fonctionnement normal ;
anomalie ;
vecteur d’attaque ;
effets.

LXXI. Élément intentionnel : preuve directe

Exemple de message :

« demain je vais faire tomber le serveur ».

Puis le script est exécuté. La preuve de l’intention devient particulièrement forte.

LXXII. Élément intentionnel : preuve indirecte

Elle peut résulter :

du mode opératoire ;
de la préparation ;
de la dissimulation ;
de la répétition ;
de la sélection de la cible.

LXXIII. Suppression de logs

Un attaquant tente d’effacer les traces immédiatement après la panne. Cela peut constituer un indice de conscience de l’opération.

LXXIV. Utilisation d’un outil spécialisé

Le fait d’employer :

script de saturation ;
malware ;
outil de sabotage

peut contribuer à établir l’intention.

LXXV. Mais outil d’administration ≠ outil malveillant automatiquement

La commande permettant d’arrêter un serveur peut être parfaitement normale dans l’administration quotidienne. C’est son utilisation et sa finalité qui doivent être appréciées.

LXXVI. Redémarrage volontaire

Un administrateur redémarre un serveur pendant une fenêtre de maintenance.

fonctionnement temporairement interrompu mais autorisé.

Pas d’entrave pénale.

LXXVII. Même redémarrage en pleine production pour nuire

analyse différente.

LXXVIII. Mesure de sécurité

Un responsable cybersécurité coupe volontairement le réseau pour contenir un ransomware. Il entrave matériellement le service. Mais son acte vise précisément :

protéger le système.

Il n’est évidemment pas assimilable au sabotage pénal.

LXXIX. Contexte indispensable

Le seul résultat :

« système indisponible »

ne permet donc jamais de qualifier sans analyser :

auteur ;
autorisation ;
finalité ;
circonstances.

LXXX. Maintenance d’urgence

Même logique.

LXXXI. Test de charge autorisé

Une entreprise commande un test afin de mesurer la résistance du serveur. Le test provoque volontairement une saturation contrôlée. Le comportement est autorisé.

LXXXII. Pentest qui dépasse son périmètre

L’autorisation prévoit :

aucune interruption du service.

Le testeur lance malgré cela volontairement une attaque de saturation interdite. La qualification doit être réexaminée.

LXXXIII. Autorisation écrite

Dans ces dossiers, elle est particulièrement importante. Elle devrait préciser :

charge maximale ;
systèmes concernés ;
créneau ;
méthodes exclues.

LXXXIV. Bug bounty

Un programme permettant de rechercher des vulnérabilités n’autorise pas nécessairement :

à rendre le service indisponible.

LXXXV. Proof of concept

Démontrer qu’une vulnérabilité pourrait provoquer un crash n’exige pas nécessairement de provoquer un crash massif en production. Le dépassement volontaire des règles du programme peut modifier radicalement l’analyse.

LXXXVI. Article 323-3-1

Le Code pénal sanctionne également certains actes portant sur un équipement, instrument, programme informatique ou donnée conçu ou spécialement adapté pour commettre les infractions des articles 323-1 à 323-3, lorsqu’ils sont accomplis sans motif légitime.

LXXXVII. Outil de DDoS

Un logiciel permettant de générer des requêtes massives peut être :

outil de test de charge ;
ou outil d’attaque.

Sa détention ou mise à disposition ne s’analyse donc pas indépendamment :

du motif ;
du contexte ;
de la finalité.

LXXXVIII. Jurisprudence du 27 octobre 2009

La Cour de cassation a jugé, à propos de l’article 323-3-1, que la connaissance de la nature de l’outil et l’absence de motif légitime permettent de caractériser l’intention coupable. Dans l’affaire jugée, un spécialiste en sécurité avait diffusé des informations permettant d’exploiter des failles et ne pouvait invoquer un simple objectif d’information compte tenu du risque de piratage qu’il connaissait.

LXXXIX. Recherche en cybersécurité

L’existence de l’article 323-3-1 ne signifie donc pas :

interdiction de toute recherche de sécurité.

Le texte lui-même réserve le motif légitime.

XC. Entrave et données personnelles de l’État

La deuxième phrase de l’article 323-2 prévoit un régime aggravé lorsqu’il est porté atteinte à :

un système de traitement automatisé de données à caractère personnel mis en œuvre par l’État.

Peine :

7 ans + 300 000 €.

XCI. Conditions cumulatives

Il faut caractériser :

un STAD ;
portant sur des données à caractère personnel ;
mis en œuvre par l’État.

XCII. Données personnelles

Il ne suffit donc pas de viser n’importe quelle machine publique. La nature des informations traitées est importante.

XCIII. « Mis en œuvre par l’État »

Le texte ne dit pas :

par toute personne publique.

Il faut donc éviter d’étendre automatiquement cette aggravation :

aux communes ;
départements ;
régions ;
établissements publics

sans vérifier le statut du système.

XCIV. Exemple

Attaque contre une base nationale de données personnelles mise en œuvre par l’État :

aggravation possible.

XCV. Serveur d’une entreprise privée

Même s’il contient des données personnelles :

deuxième alinéa de 323-2 non applicable sur ce seul fondement.

La peine de base reste à examiner.

XCVI. Bande organisée

L’article 323-4-1 prévoit que lorsque les infractions des articles 323-1 à 323-3-1 sont commises en bande organisée, la peine est portée à :

10 ans d’emprisonnement et 300 000 euros d’amende.

XCVII. Article 323-2 est donc concerné

Une entrave organisée à plusieurs peut atteindre ce niveau de peine si la bande organisée est juridiquement caractérisée.

XCVIII. Plusieurs attaquants ≠ bande organisée

Il faut toujours appliquer l’article 132-71 :

organisation préparée caractérisée par un ou plusieurs faits matériels.

La simple pluralité ne suffit pas.

XCIX. Botnet

Un botnet peut être utilisé pour réaliser une attaque distribuée. Mais il faut ensuite identifier :

organisateurs ;
opérateurs ;
complices ;
connaissances respectives.

C. Machines compromises

Les propriétaires des ordinateurs infectés et utilisés à leur insu comme bots ne sont évidemment pas, pour ce seul fait, les auteurs intentionnels de l’attaque.

CI. Infrastructure criminelle

La mise en place volontaire :

de serveurs de commande ;
de relais ;
de bots ;
de coordination

peut en revanche constituer un élément important pour caractériser une organisation préparée.

CII. Article 323-4 : groupement ou entente préparatoire

Le Code pénal incrimine également la participation à un groupement formé ou à une entente établie en vue de préparer une ou plusieurs infractions des articles 323-1 à 323-3-1, lorsque cette préparation est caractérisée par un ou plusieurs faits matériels.

CIII. Avant même l’entrave

Il n’est donc pas toujours nécessaire d’attendre que le serveur tombe. Une organisation préparatoire suffisamment matérialisée peut constituer une infraction autonome.

CIV. Exemple

Plusieurs auteurs :

louent une infrastructure ;
configurent des outils ;
définissent une cible ;
testent les scripts.

L’attaque finale n’a pas encore été lancée.

323-4 à examiner.

CV. Risque pour la vie ou les secours

Depuis la loi du 24 janvier 2023, l’article 323-4-2 prévoit une aggravation très importante lorsque les atteintes des articles 323-1 à 323-3-1 ont pour effet :

d’exposer autrui à un risque immédiat de mort ;
ou de blessures susceptibles d’entraîner une mutilation ou infirmité permanente ;
ou de faire obstacle aux secours destinés à faire échapper une personne à un péril imminent ou à combattre un sinistre dangereux pour les personnes.

La peine est alors :

10 ans d’emprisonnement et 300 000 euros d’amende.

CVI. Cyberattaque d’un hôpital

C’est l’exemple paradigmatique. Une attaque bloque :

accès aux dossiers ;
outils de soins ;
communication des urgences.

Il faut rechercher si elle produit effectivement l’un des risques prévus par 323-4-2.

CVII. Tout dysfonctionnement hospitalier ne suffit pas automatiquement

Le texte exige un effet défini :

risque immédiat de mort ou de blessures graves,

ou :

obstacle aux secours correspondants.

Il faut caractériser concrètement cette conséquence.

CVIII. Services de secours

Même logique pour une attaque qui bloque :

centre d’appel d’urgence ;
infrastructure de secours ;
système permettant de lutter contre un sinistre.

CIX. Risque hypothétique trop éloigné

Il faut respecter le terme :

immédiat.

Une conséquence théorique ou très indirecte ne suffit pas automatiquement.

CX. Entrave et extorsion

Ransomware :

« payez sinon le service restera bloqué ».

Le dossier peut comporter :

entrave informatique ;
atteinte aux données ;
extorsion.

CXI. Entrave et sabotage matériel

Une personne détruit physiquement le serveur avec une masse. Elle entrave évidemment le système, mais il faut aussi examiner :

destruction d’un bien ;
éventuellement 323-2 selon le mode et les éléments.

Le concours doit être raisonné.

CXII. Débrancher le serveur

Même problématique. L’article 323-2 ne précise pas que l’entrave doit obligatoirement résulter d’un procédé purement logiciel. Mais la qualification doit être articulée avec les atteintes matérielles aux biens.

CXIII. Couper l’alimentation

Un salarié coupe volontairement l’alimentation du datacenter pour neutraliser les services. L’entrave au système peut être caractérisée selon les faits, en plus d’éventuelles autres infractions.

CXIV. Détruire un câble réseau

Même logique. La protection porte sur le fonctionnement du STAD.

CXV. Panne électrique générale

Aucune action humaine volontaire.

pas de 323-2 sur ce seul constat.

CXVI. Dégradation accidentelle

Un ouvrier coupe accidentellement une fibre.

pas d’entrave intentionnelle sur ce seul fondement.

CXVII. Coupure volontaire ciblée

Il sait que le câble alimente le réseau informatique et le coupe pour arrêter le service.

analyse différente.

CXVIII. Fausser un mécanisme automatisé

L’article 323-2 est particulièrement intéressant lorsque la machine continue à fonctionner mais produit volontairement un résultat trompeur.

CXIX. Exemple : compteur informatique

Un système reçoit normalement des données et effectue un calcul. L’auteur intervient pour que les résultats soient systématiquement minorés.

fonctionnement faussé possible.

CXX. Exemple : système de réservation

L’auteur manipule le logiciel afin que :

certaines réservations soient systématiquement rejetées ;
d’autres automatiquement validées.

CXXI. Exemple : système électoral

Un système de traitement utilisé dans un contexte électoral serait particulièrement sensible. Toute qualification supposerait toutefois de caractériser précisément :

le système ;
l’acte ;
les effets ;

et les infractions électorales spéciales devraient également être recherchées.

CXXII. Exemple : système comptable

Un script modifie le fonctionnement automatique afin de masquer certains mouvements.

323-2 possible.

Mais :

faux ;
abus de confiance ;
atteinte aux données

peuvent également entrer en discussion.

CXXIII. Paramètres logiciels

Modifier les paramètres peut constituer :

une modification de données.

Si cela dérègle ensuite le processus :

fonctionnement faussé également possible.

CXXIV. Désactivation d’une fonction de contrôle

A désactive volontairement un mécanisme de contrôle indispensable. Le logiciel fonctionne toujours mais ne détecte plus certaines anomalies. Le fonctionnement peut être considéré comme faussé selon l’importance et la fonction du contrôle.

CXXV. Neutraliser l’antivirus

Ce seul acte n’entraîne pas nécessairement toujours une entrave. Il faut déterminer :

fonction du système ;
résultat ;
actes ultérieurs.

CXXVI. Neutraliser la sauvegarde

Même prudence. Si le système continue à fonctionner normalement dans l’immédiat, la qualification de 323-2 dépendra de l’effet réel du comportement. D’autres qualifications peuvent être plus directement adaptées.

CXXVII. Suppression de données ≠ entrave automatique

Une donnée est supprimée. Il faut examiner d’abord :

323-3.

Pour ajouter 323-2, il faut démontrer que cette suppression :

entrave ou fausse réellement le fonctionnement du système.

CXXVIII. Exemple

Suppression d’une photographie isolée sans effet sur le logiciel :

323-3 possible ;

323-2 non automatique.

CXXIX. Suppression du fichier de configuration critique

Le serveur ne démarre plus.

données supprimées + fonctionnement entravé.

Les deux dimensions sont présentes.

CXXX. Modification de données ≠ fonctionnement faussé automatique

Même principe.

CXXXI. Fausse donnée sans effet fonctionnel

A change son adresse postale dans une base sans droit.

atteinte aux données à examiner.

Le logiciel continue à fonctionner conformément à son architecture.

CXXXII. Fausse donnée qui pilote le système

A modifie une table de paramètres afin que toutes les transactions soient calculées avec un coefficient frauduleux.

données modifiées + fonctionnement faussé.

CXXXIII. Concours de qualifications

Les articles 323-2 et 323-3 peuvent donc s’appliquer à des comportements distincts ou à une séquence dont les effets juridiquement protégés diffèrent. Il faut appliquer les règles générales du concours sans procéder à un cumul purement mécanique.

CXXXIV. Décision du 13 février 2024

L’affaire du pourvoi n° 23-81.121 fournit justement un exemple où la condamnation portait simultanément sur :

modification frauduleuse de données ;
entrave au fonctionnement d’un STAD.

CXXXV. Les deux qualifications ne sont donc pas théoriquement exclusives

Mais leur coexistence doit être fondée sur les éléments matériels retenus.

CXXXVI. Entrave et accès frauduleux

Même logique. Un attaquant peut :

accéder frauduleusement ;
puis perturber le système.

Les deux intérêts protégés sont distincts.

CXXXVII. Accès autorisé + entrave

À l’inverse :

323-1 peut manquer

alors que :

323-2 est constitué.

CXXXVIII. Exemple

Administrateur légitimement connecté. Il détruit volontairement le cluster de production.

pas besoin de créer artificiellement un accès frauduleux pour retenir l’entrave.

CXXXIX. Entrave depuis l’extérieur sans véritable « entrée »

Une attaque de saturation peut être réalisée à distance en adressant un volume considérable de requêtes au système. La qualification de 323-2 peut donc être centrale même si le débat sur un véritable accès frauduleux est différent.

CXL. Le cœur de 323-2 reste le résultat fonctionnel

LE SYSTÈME A-T-IL ÉTÉ EMPÊCHÉ OU DÉRÉGLÉ DANS SON FONCTIONNEMENT ?

CXLI. Durée de la panne

Le texte ne fixe aucun seuil horaire. Il n’existe pas de règle du type :

« moins de dix minutes = pas d’entrave ».

CXLII. Gravité concrète

Mais elle peut influencer :

caractérisation factuelle ;
peine ;
préjudice.

CXLIII. Système critique interrompu trente secondes

Une interruption très brève peut pourtant être extrêmement grave dans certains environnements :

médical ;
industriel ;
sécurité.

CXLIV. Site non critique interrompu brièvement

La gravité peut être moindre. La qualification reste une question concrète.

CXLV. Faussement discret

Le fonctionnement faussé peut être plus dangereux qu’une panne visible. Un système donnant silencieusement de mauvais résultats peut causer des conséquences importantes.

CXLVI. Exemple industriel

Une application transmet volontairement de mauvaises consignes à une chaîne automatisée. Le système paraît fonctionner. Mais il produit un résultat incorrect.

CXLVII. Système financier

Même logique pour un algorithme manipulé.

CXLVIII. Preuve du fonctionnement normal

Pour démontrer qu’il a été faussé, il faut d’abord savoir :

COMMENT LE SYSTÈME ÉTAIT CENSÉ FONCTIONNER.

CXLIX. Documentation

Peuvent être utiles :

architecture ;
spécifications ;
procédures ;
code ;
configurations.

CL. Comparaison avant/après

L’expertise peut établir :

comportement normal avant l’intervention ;
anomalie après celle-ci.

CLI. Reproduction en laboratoire

Dans certains dossiers, un expert peut reproduire :

la commande ;
le malware ;
l’effet.

CLII. Prudence sur l’environnement de test

Un comportement reproduit dans un environnement différent ne prouve pas automatiquement que le même effet s’est produit en production.

CLIII. Horodatages

Ils permettent de rapprocher :

action suspecte ;
début du dysfonctionnement.

CLIV. Monitoring

Les outils de supervision peuvent montrer :

CPU ;
mémoire ;
latence ;
volumes de requêtes ;
erreurs.

CLV. DDoS : données techniques

Pour une attaque de saturation, examiner notamment :

volume inhabituel ;
fréquence ;
origine ;
caractère automatisé ;
effet sur les ressources.

CLVI. Pic de trafic ≠ attaque automatique

Il faut distinguer :

trafic légitime ;
attaque volontaire.

CLVII. Botnet

L’analyse peut montrer :

requêtes identiques ;
fréquence artificielle ;
synchronisation ;
commandes communes.

CLVIII. Attribution

C’est souvent la difficulté la plus importante. Identifier la source des paquets n’identifie pas nécessairement celui qui commande l’attaque.

CLIX. Serveur relais

L’infrastructure peut être :

compromise ;
louée sous fausse identité ;
exploitée à distance.

CLX. VPN

Même difficulté.

CLXI. Complicité

Une personne peut contribuer en :

fournissant l’infrastructure ;
configurant le botnet ;
indiquant la cible ;
lançant les commandes.

Il faut individualiser la connaissance et l’aide intentionnelle.

CLXII. Hébergeur innocent

L’hébergeur dont le serveur est détourné à son insu n’est évidemment pas complice sur ce seul fondement.

CLXIII. Vente d’un service d’attaque

Une personne propose volontairement un service destiné à saturer les serveurs de tiers. Peuvent être examinés :

complicité ;
323-3-1 ;
groupement préparatoire ;
participation directe.

CLXIV. « Stresser » son propre serveur

Les outils de stress réseau peuvent avoir une utilité légitime. Tester son propre système :

pas d’entrave frauduleuse envers autrui sur ce seul fondement.

CLXV. Attaquer le serveur d’un tiers « pour tester »

Sans autorisation :

l’appellation « test » ne suffit pas.

CLXVI. Consentement

Comme dans tout test informatique :

QUI A AUTORISÉ ?

QUOI ?

QUAND ?

JUSQU’OÙ ?

CLXVII. Autorisation du propriétaire mais pas de l’hébergeur

Dans les architectures cloud, plusieurs acteurs peuvent être concernés. Il faut vérifier les conditions contractuelles et le périmètre de l’autorisation.

CLXVIII. Infrastructure partagée

Un test destiné à un client ne doit pas nécessairement affecter les autres locataires du même environnement.

CLXIX. Cloud public

Une attaque qui perturbe volontairement une ressource partagée peut affecter plusieurs victimes.

CLXX. Pluralité de victimes

Un seul acte peut entraîner :

indisponibilité de nombreux clients ;
pertes différentes.

La détermination du préjudice civil doit être individualisée.

CLXXI. Préjudice non nécessaire à la définition de base

L’article 323-2 ne dit pas :

« ayant causé un préjudice ».

Le délit est constitué par l’entrave ou le fonctionnement faussé lorsqu’ils sont intentionnellement caractérisés.

CLXXII. Préjudice économique

Il peut néanmoins être considérable :

chiffre d’affaires perdu ;
intervention technique ;
remise en service ;
indisponibilité contractuelle.

CLXXIII. Coûts de restauration

Peuvent être invoqués devant les juridictions civiles ou pénales sous réserve :

lien causal ;
preuve ;
nécessité.

CLXXIV. Atteinte à la réputation

Une panne majeure peut également affecter l’image d’une entreprise. Le caractère directement indemnisable devra être démontré.

CLXXV. Préjudice des utilisateurs

Ils peuvent éventuellement subir :

perte de service ;
dommage professionnel ;
dommage personnel.

La qualité pour agir dépend du lien direct avec l’infraction.

CLXXVI. Preuve des pertes

Rechercher :

factures ;
heures d’intervention ;
contrats ;
statistiques ;
pertes d’exploitation.

CLXXVII. Ne pas confondre peine et dommages-intérêts

Le montant du préjudice n’est pas la peine d’amende. Ce sont deux questions totalement distinctes.

CLXXVIII. Prescription

L’article 323-2 est un délit. Le délai de droit commun de l’action publique est donc en principe :

6 ans

selon l’article 8 CPP, sous réserve des mécanismes généraux de prescription déjà étudiés.

CLXXIX. Date de commission

Il faut identifier le moment où :

l’entrave ou le fonctionnement faussé se réalise.

CLXXX. Attaque ponctuelle

DDoS du 5 mai :

fait instantané ou séquence circonscrite à cette attaque à analyser.

CLXXXI. Attaques répétées

Attaques :

5 mai ;
10 mai ;
20 mai.

Il faut identifier chacune d’elles.

CLXXXII. Malware persistant

Le comportement temporel peut être plus complexe lorsque le malware agit pendant une longue période. Il faudra identifier :

installation ;
déclenchements ;
effets successifs.

CLXXXIII. Bombe logique

Même problématique.

CLXXXIV. Programmation avant le déclenchement

La date du code préparatoire n’est pas forcément la date à laquelle le fonctionnement du système est effectivement entravé. D’autres qualifications préparatoires peuvent cependant être envisagées.

CLXXXV. Groupement préparatoire

L’article 323-4 permet précisément d’appréhender certaines préparations collectives avant l’atteinte consommée.

CLXXXVI. Personnes morales

Les personnes morales peuvent être déclarées pénalement responsables, dans les conditions de l’article 121-2, des infractions du chapitre 323. L’article 323-6 prévoit les conséquences pénales propres aux personnes morales.

CLXXXVII. Entreprise lançant une cyberattaque

Une société ne devient pas pénalement responsable simplement parce qu’un salarié agit. Il faut retrouver les conditions de :

organe ou représentant

et :

pour le compte de la personne morale.

CLXXXVIII. Prestataire agissant pour un client

Une société de cybersécurité lance sciemment une opération illicite sur instruction d’un client. Il faut examiner séparément :

responsabilité des personnes physiques ;
personne morale du prestataire ;
client éventuel.

CLXXXIX. Peines complémentaires des personnes physiques

L’article 323-5 prévoit plusieurs peines complémentaires pour les personnes physiques reconnues coupables des délits du chapitre :

interdiction de certains droits civiques ;
interdiction professionnelle ou d’une fonction publique ;
confiscation ;
fermeture d’établissement ;
exclusion des marchés publics ;
autres mesures prévues par le texte.

CXC. Confiscation

Peuvent notamment être concernés les biens ayant :

servi ;
été destinés à servir ;
ou constituant le produit de l’infraction,

dans les conditions légales applicables.

CXCI. Ordinateur professionnel

La confiscation n’est pas automatiquement justifiée par le seul fait qu’un ordinateur ait été utilisé. Il faut appliquer le régime légal de la peine et ses exigences.

CXCII. Jurisprudence informatique récente sur la peine

Une décision du 9 avril 2026 dans un dossier comportant notamment un accès frauduleux rappelle plus généralement que les confiscations patrimoniales doivent être motivées et proportionnées selon leur fondement. Cet arrêt ne modifie pas la définition de 323-2 mais demeure utile pour le régime des peines en matière informatique.

CXCIII. Cyberattaque depuis l’étranger

Une attaque peut partir :

d’un autre État ;
de serveurs intermédiaires étrangers.

Il faut alors examiner les règles françaises de compétence territoriale.

CXCIV. Serveur victime en France

La localisation du système et des effets peut constituer un élément de rattachement, sous réserve des règles précises du Code pénal.

CXCV. Compétence spécialisée

Le contentieux des atteintes aux STAD comporte également des règles procédurales de compétence spécialisée. La décision du 20 août 2018, n° 18-84.728, rappelle que la saisine au titre de la compétence nationale concurrente alors applicable au tribunal parisien relevait des prérogatives du ministère public et ne pouvait être déclenchée de la même manière par la seule partie civile.

CXCVI. Ne pas confondre compétence et qualification

Cet arrêt ne définit pas l’entrave elle-même. Il concerne :

l’organisation juridictionnelle de la poursuite.

CXCVII. Entreprise victime : premier réflexe probatoire

Lors d’une attaque :

PRÉSERVER AVANT DE RÉPARER AUTANT QUE POSSIBLE.

Cela ne signifie évidemment pas maintenir volontairement une panne dangereuse. Mais il faut, lorsqu’il est possible de le faire :

sauvegarder les logs ;
conserver les images système ;
documenter l’état avant restauration.

CXCVIII. Incident critique

La priorité reste naturellement :

sécurité ;
continuité ;
sauvegarde des personnes.

La preuve ne justifie pas de laisser subsister une situation dangereuse.

CXCIX. Captures et rapports

Documenter :

messages d’erreur ;
volumes de trafic ;
processus anormaux ;
paramètres modifiés.

CC. Chronologie minute par minute

Dans un dossier technique, elle peut être déterminante :

14:01 connexion

14:03 commande

14:04 CPU 100 %

14:05 services indisponibles.

CCI. Sauvegardes avant restauration

Si elles existent, elles permettent de comparer :

état antérieur ;
état compromis.

CCII. Conservation des scripts

Ne pas supprimer immédiatement tout code malveillant sans en conserver une copie sécurisée pour les besoins de l’enquête, lorsque cela est techniquement et juridiquement possible.

CCIII. Chaîne de conservation

Documenter :

qui a extrait ;
quand ;
comment ;
où les éléments ont été conservés.

CCIV. Expertise privée

Une entreprise peut missionner un expert. Mais devant le juge, la force probatoire devra être confrontée au débat contradictoire et aux autres éléments du dossier. L’affaire jugée en février 2024 montre l’importance centrale de l’analyse technique et du contradictoire.

CCV. Expertise judiciaire

Elle peut devenir nécessaire lorsqu’une partie conteste :

attribution ;
chronologie ;
interprétation des logs.

CCVI. Défense : hypothèse d’erreur

Le prévenu peut soutenir :

« la panne résulte d’un bug indépendant ».

La poursuite doit alors démontrer le lien causal.

CCVII. Défense : accès du poste par un tiers

« mon ordinateur a été compromis ».

Cela doit être vérifié techniquement.

CCVIII. Défense : opération de maintenance

« j’agissais dans le cadre de ma mission ».

Il faut confronter :

ticket ;
horaires ;
procédure ;
commandes exécutées.

CCIX. Défense : absence d’intention

« j’ai exécuté la mauvaise commande ».

La plausibilité technique de cette explication doit être appréciée.

CCX. Une commande dangereuse n’établit pas seule l’intention

Les administrateurs utilisent quotidiennement des commandes susceptibles de perturber des systèmes. Il faut examiner :

connaissance ;
contexte ;
répétition ;
dissimulation.

CCXI. Répétition après premier incident

Une première exécution provoque une panne. L’administrateur comprend l’effet. Il recommence volontairement. L’intention devient beaucoup plus facile à établir.

CCXII. Avertissement préalable

Un message du système indique :

« cette opération interrompra tous les services ».

L’utilisateur confirme. Ce fait peut être probatoirement très important.

CCXIII. Procédure à double validation

Si l’auteur contourne volontairement plusieurs confirmations :

indice de volonté.

CCXIV. Automatisation

Le script comporte explicitement des instructions visant à :

épuiser les ressources ;
tuer les processus ;
empêcher le redémarrage.

Très fort élément matériel.

CCXV. Code incomplet

Un script supposé malveillant ne fonctionne en réalité pas. Il faut distinguer :

infraction consommée ;
tentative éventuellement punissable ;
préparation.

CCXVI. Tentative

Le régime de la tentative doit être vérifié à partir des dispositions applicables au délit poursuivi et des textes du chapitre. Il ne faut pas présumer que toute tentative de tout délit est automatiquement punissable.

CCXVII. Article 323-4 comme incrimination d’anticipation

Dans les projets collectifs, 323-4 peut néanmoins permettre de sanctionner une préparation matérialisée même avant l’achèvement d’une atteinte effective.

CCXVIII. Complicité de l’entrave

Le droit commun de la complicité s’applique. Exemple : A indique à B :

l’adresse de la cible ;
les paramètres ;
l’heure,

en sachant précisément qu’il organise une attaque d’indisponibilité.

CCXIX. Fourniture de serveurs

La mise à disposition consciente d’une infrastructure peut constituer une aide. Mais :

connaissance du projet

doit être prouvée.

CCXX. Hébergement ordinaire

Un fournisseur cloud loue normalement des machines. Un client les utilise illicitement.

responsabilité pénale du fournisseur non automatique.

CCXXI. Administrateur complice

Un technicien ouvre volontairement un accès et désactive les protections afin de permettre à un tiers de saboter le système. Responsabilité à examiner.

CCXXII. Mobile concurrentiel

Une société cherche à rendre le site d’un concurrent indisponible. Le mobile économique n’est évidemment pas justificatif.

CCXXIII. Mobile revendicatif

Une attaque est menée pour protester contre une organisation. Le mobile politique ou militant ne fait pas disparaître automatiquement l’infraction lorsque l’entrave est caractérisée.

CCXXIV. Proportionnalité et liberté d’expression

La liberté d’expression peut susciter des questions particulières selon la nature du comportement. Mais une véritable atteinte technique au fonctionnement d’un STAD ne doit pas être assimilée sans analyse à une simple expression d’opinion.

CCXXV. Boycott numérique

Des internautes refusent d’utiliser un service ou invitent d’autres personnes à ne plus l’utiliser.

ce n’est pas en soi une entrave technique au STAD.

CCXXVI. Saturation organisée par outils automatisés

Situation radicalement différente. Le comportement vise directement la disponibilité technique.

CCXXVII. Publication d’un lien

Partager un lien vers un site n’est pas en soi une entrave. Même si beaucoup de personnes le consultent. Il faut démontrer le dispositif intentionnel d’attaque.

CCXXVIII. Flash crowd

Un événement médiatique peut provoquer une affluence soudaine légitime. La ressemblance technique avec certains effets d’un DDoS ne suffit pas à établir une infraction.

CCXXIX. Analyse du trafic

Il faut examiner :

nature des requêtes ;
répartition ;
fréquence ;
comportement des clients ;
coordination.

CCXXX. Requêtes valides mais artificielles

Une attaque peut utiliser des requêtes parfaitement conformes au protocole. L’analyse pénale ne s’arrête donc pas au caractère techniquement « valide » de chaque paquet.

CCXXXI. Analogie avec l’accès

Comme vu au chapitre précédent :

TECHNIQUEMENT POSSIBLE ≠ JURIDIQUEMENT AUTORISÉ.

De même ici :

REQUÊTE TECHNIQUEMENT VALIDE ≠ USAGE LÉGITIME AUTOMATIQUE.

CCXXXII. Entrave par réservation artificielle

Un système possède 1 000 créneaux. Un script les réserve tous artificiellement afin d’empêcher les vrais utilisateurs d’accéder au service. Le système n’est pas nécessairement hors ligne. Pourtant son fonctionnement opérationnel peut être entravé ou faussé.

CCXXXIII. Entrave logique

C’est un excellent exemple de la différence entre :

PANNE PHYSIQUE

et :

ENTRAVE FONCTIONNELLE.

CCXXXIV. Ressources logiques

Le système peut être perturbé par épuisement :

sessions ;
connexions ;
files ;
quotas ;
réservations.

CCXXXV. Blocage de comptes

Lancer volontairement de nombreuses tentatives erronées afin de provoquer le verrouillage des comptes d’utilisateurs peut également créer une entrave fonctionnelle. Il faut analyser :

intention ;
effet ;
périmètre.

CCXXXVI. Captcha forcé

Un attaquant provoque volontairement un mécanisme antifraude qui rend le service inutilisable pour les utilisateurs. Même logique : regarder l’effet sur le fonctionnement.

CCXXXVII. Modification DNS

Une modification frauduleuse empêche les utilisateurs d’atteindre le service ou les redirige. Peuvent être examinés :

entrave ;
fonctionnement faussé ;
atteinte aux données ;
escroquerie selon l’objectif.

CCXXXVIII. Modification d’une route réseau

Même logique.

CCXXXIX. Effacement des configurations réseau

Si le service devient inaccessible :

entrave.

CCXL. Injection de mauvaises configurations

Le système continue mais route les communications de manière incorrecte.

fonctionnement faussé possible.

CCXLI. Modification du code source

Un développeur insère volontairement une instruction qui provoquera des anomalies. Selon le moment :

modification de données ;
entrave ou fonctionnement faussé lors de l’exécution.

CCXLII. Code source comme donnée

Le code informatique peut lui-même constituer une donnée au sens des infractions informatiques. Le même acte peut donc toucher :

données ;
fonctionnement.

CCXLIII. Mauvaise version déployée par erreur

Pas de délit intentionnel automatiquement.

CCXLIV. Mauvaise version déployée volontairement pour nuire

Analyse différente.

CCXLV. Déploiement clandestin

Un développeur masque la modification et contourne les contrôles de code. Ces circonstances peuvent établir :

préméditation factuelle ;
connaissance ;
intention.

CCXLVI. « Backdoor »

Une porte dérobée peut permettre :

accès ultérieur ;
manipulation ;
perturbation.

Selon son usage :

323-1 ;
323-2 ;
323-3.

CCXLVII. Simple présence d’une backdoor

Il faut distinguer :

préparation ;
mise en œuvre ;
effet.

CCXLVIII. Tableau : 323-1 / 323-2 / 323-3

Fait	Article principal à examiner
Connexion sans droit	323-1
Maintien hors autorisation	323-1
Saturation volontaire	323-2
Serveur volontairement bloqué	323-2
Algorithme volontairement dérèglé	323-2
Donnée copiée frauduleusement	323-3
Donnée supprimée	323-3
Donnée modifiée	323-3
Donnée modifiée provoquant une panne	323-2 + 323-3 à examiner

Le Code organise expressément ces incriminations de manière distincte.

CCXLIX. Tableau des peines de 323-2

Hypothèse	Peine
Entrave/faussement du fonctionnement	5 ans + 150 000 €
STAD de données personnelles mis en œuvre par l’État	7 ans + 300 000 €
Bande organisée	10 ans + 300 000 €
Effet mettant immédiatement gravement les personnes en danger / obstacle aux secours	10 ans + 300 000 €

Ces niveaux résultent des articles 323-2, 323-4-1 et 323-4-2 applicables au 13 août 2026.

CCL. Tableau : entrave ou simple incident ?

Situation	323-2
Bug accidentel	Non automatiquement
Mauvaise manipulation involontaire	Non automatiquement
Arrêt volontaire malveillant	Oui possible
DDoS volontaire	Oui possible
Trafic légitime trop important	Non sur ce seul fait
Maintenance autorisée	Non
Test de charge autorisé	Non dans son périmètre
Test volontairement hors périmètre provoquant panne	Oui possible

CCLI. Tableau : entraver / fausser

Comportement	Analyse
Service inaccessible	Entrave
Service fortement bloqué	Entrave possible
Service continue mais résultats manipulés	Fonctionnement faussé
Routage volontairement erroné	Fonctionnement faussé possible
Donnée isolée modifiée sans effet fonctionnel	323-3 plutôt que 323-2
Paramètre modifié provoquant erreurs systémiques	323-2 + 323-3 possibles

CCLII. Exemple complet : DDoS

A loue une infrastructure et envoie des millions de requêtes vers un site marchand. Le site devient inutilisable pendant trois heures. Éléments :

STAD ;
acte volontaire ;
saturation ;
indisponibilité.

323-2 directement à examiner.

Si plusieurs personnes ont organisé l’opération :

323-4-1 éventuel selon les éléments de la bande organisée.

CCLIII. Exemple complet : trafic naturel

Une annonce très populaire est publiée. Deux millions d’utilisateurs visitent simultanément le site. Il tombe.

pas de 323-2 simplement parce que le serveur est saturé.

Aucune attaque intentionnelle n’est établie.

CCLIV. Exemple complet : sabotage salarié

Un administrateur mécontent supprime volontairement la configuration réseau avant son départ. Tous les services deviennent indisponibles. À examiner :

323-2 : entrave

et :

323-3 : suppression ou modification frauduleuse de données.

CCLV. Exemple complet : erreur salarié

Même résultat, mais l’administrateur a chargé par erreur le mauvais fichier de configuration. Il alerte immédiatement son équipe et restaure le système.

intention pénale non automatiquement caractérisée.

CCLVI. Exemple complet : fausser un calcul

Un développeur modifie volontairement une table afin que le système applique systématiquement un mauvais taux. Le service reste disponible. Mais ses résultats sont volontairement faux.

323-2 possible pour fonctionnement faussé

et :

323-3 possible pour modification des données.

CCLVII. Exemple complet : virus

Une personne introduit sciemment un virus destiné à perturber le programme. La jurisprudence ancienne reconnaît qu’une telle contamination peut relever des incriminations relatives à l’introduction de données et au fonctionnement faussé, à condition que la volonté et l’imputation soient établies.

CCLVIII. Exemple complet : attaque de 2013

Un salarié est soupçonné d’avoir lancé depuis son poste une attaque entraînant un grave dysfonctionnement. L’enquête et l’expertise identifient :

chronologie ;
répertoires ;
fichiers correspondant au déroulement de l’attaque.

La condamnation pour modification frauduleuse de données et entrave a finalement été maintenue, la Cour estimant que les éléments techniques soumis contradictoirement avaient permis aux juges de statuer. Cass. crim., 13 février 2024, n° 23-81.121.

CCLIX. Exemple complet : simulation massive de paniers

Un script crée des milliers de paniers sur un site afin de saturer ses ressources. Une affaire examinée en 2018 mentionnait précisément des faits de saturation par simulation de milliers de paniers dans une plainte pour accès et entrave informatique. La décision portait sur la compétence juridictionnelle, mais les faits constituent une bonne illustration technique du type d’entrave dénoncée.

CCLX. Exemple complet : test de charge

Entreprise autorise :

100 000 requêtes maximum.

Le prestataire respecte le seuil. Le serveur tombe malgré tout en raison d’une faiblesse imprévue.

pas de délit intentionnel automatiquement.

CCLXI. Dépassement volontaire

Le prestataire lance :

10 millions de requêtes

alors que le périmètre l’interdit expressément. Le serveur est indisponible.

analyse pénale différente.

CCLXII. Exemple complet : ransomware hospitalier

Une attaque chiffre les serveurs d’un hôpital. Le système devient indisponible. À examiner :

323-1 si intrusion frauduleuse ;
323-2 pour entrave ;
323-3 pour les données ;
323-4-2 si les conditions précises relatives au danger immédiat ou aux secours sont réunies.

CCLXIII. Exemple complet : base de données de l’État

Une attaque perturbe volontairement une base de données personnelles mise en œuvre par l’État. Le second alinéa de 323-2 prévoit :

7 ans + 300 000 €.

CCLXIV. Exemple complet : commune

Une attaque frappe le système informatique d’une mairie. Il contient des données personnelles. Il ne faut pas écrire automatiquement :

7 ans au titre du second alinéa.

Le texte vise un système :

mis en œuvre par l’État.

Il faut donc caractériser précisément cette condition.

CCLXV. Exemple complet : configuration falsifiée

A modifie une règle de pare-feu pour bloquer l’accès de tous les utilisateurs légitimes.

modification de donnée/configuration

et :

entrave fonctionnelle.

CCLXVI. Exemple complet : redirection DNS

A modifie frauduleusement la configuration pour que les utilisateurs soient dirigés vers un faux serveur. Le système de résolution continue techniquement à répondre. Mais son fonctionnement est faussé. D’autres infractions, notamment d’escroquerie, peuvent être examinées selon la finalité.

CCLXVII. Exemple complet : compte administrateur légitime

A est administrateur. Il a le droit de se connecter. Il désactive volontairement tous les services pour nuire à son employeur.

323-1 non nécessairement

mais :

323-2 possible.

CCLXVIII. Exemple complet : accès frauduleux sans entrave

A se connecte illicitement. Il lit seulement des informations sans perturber le système.

323-1 possible

mais :

323-2 non automatique.

CCLXIX. Exemple complet : atteinte aux données sans entrave

A copie frauduleusement un fichier. Le système continue à fonctionner normalement.

323-3 possible

mais :

323-2 non automatique.

CCLXX. Checklist générale de qualification

Devant une perturbation informatique, demander :

Quel est le STAD ?
Quelle est sa fonction normale ?
Quelle anomalie a été observée ?
Indisponibilité ?
Ralentissement ?
Blocage ?
Résultats erronés ?
Qui a déclenché l’anomalie ?
Par quel procédé ?
Volontairement ?
Malware ?
Saturation ?
Modification de configuration ?
Suppression de données ?
L’auteur avait-il un accès autorisé ?
Cela importe-t-il pour 323-2 ?
Y a-t-il également 323-1 ?
Y a-t-il 323-3 ?
Quel est le lien causal ?
Quels logs ?
Quelle expertise ?
Système de données personnelles de l’État ?
Bande organisée ?
Risque immédiat pour les personnes ?
Obstacle aux secours ?
Outils préparatoires ?
Groupement ou entente ?
Personne morale ?
Préjudice ?
Prescription ?

CCLXXI. Checklist DDoS

Volume normal du trafic ?
Volume durant l’attaque ?
Durée ?
Nature des requêtes ?
Automatisation ?
Origines IP ?
Botnet ?
Cible identifiée ?
Intention ?
Indisponibilité réelle ?
Services dégradés ?
Logs réseau ?
Personnes ayant commandé l’opération ?
Bande organisée ?
Infrastructure utilisée ?

CCLXXII. Checklist sabotage interne

Fonction du salarié ?
Habilitations ?
Commandes exécutées ?
Horaire ?
Ticket de maintenance ?
Message d’avertissement ?
Incident antérieur identique ?
Suppression de traces ?
Mobile éventuel ?
Messages préparatoires ?
Fichier supprimé ?
Configuration modifiée ?
Panne directement causée ?
Données également atteintes ?

CCLXXIII. Checklist ransomware

Vecteur d’entrée.
Compte compromis.
Déploiement.
Chiffrement.
Données modifiées.
Services indisponibles.
Exfiltration éventuelle.
Demande de rançon.
Infrastructure d’attaque.
Mise en danger éventuelle.
Bande organisée.
Outils spécifiques.

CCLXXIV. Checklist probatoire

Conserver ou rechercher :

journaux système ;
journaux réseau ;
authentification ;
pare-feu ;
captures mémoire ;
copies de disques ;
fichiers malveillants ;
scripts ;
commandes ;
métadonnées ;
monitoring ;
tickets de maintenance ;
courriels ;
messageries internes.

CCLXXV. Méthode ultra-rapide

Face à une panne prétendument criminelle :

1. LE SYSTÈME A-T-IL ÉTÉ ENTRAVÉ OU FAUSSÉ ?

Si non :

323-2 écarté.

Si oui :

2. QU’EST-CE QUI A CAUSÉ CET EFFET ?

Puis :

3. QUI A PROVOQUÉ CETTE CAUSE ?

Puis :

4. VOLONTAIREMENT ?

Puis :

5. LES DONNÉES ONT-ELLES ÉGALEMENT ÉTÉ MODIFIÉES/SUPPRIMÉES ?

Puis :

6. Y A-T-IL EU ACCÈS FRAUDULEUX ?

Puis :

7. AGGRAVATION ÉTAT / BANDE ORGANISÉE / DANGER POUR LES PERSONNES ?

CCLXXVI. Erreurs fréquentes

Erreur n° 1 : toute panne informatique est une entrave pénale

Faux. Il faut démontrer :

acte ;
causalité ;
intention.

Erreur n° 2 : il faut nécessairement pirater le système avant de l’entraver

Faux. Une personne disposant d’un accès parfaitement légitime peut saboter le fonctionnement.

Erreur n° 3 : 323-2 et 323-1 sont synonymes

Faux. 323-1 protège l’accès. 323-2 protège le fonctionnement.

Erreur n° 4 : 323-2 et 323-3 sont synonymes

Faux. 323-3 concerne les opérations frauduleuses sur les données.

Erreur n° 5 : toute modification de donnée entraîne automatiquement 323-2

Faux. Il faut démontrer une entrave ou un fonctionnement faussé.

Erreur n° 6 : toute entrave implique nécessairement une modification de données

Faux. Une saturation réseau peut entraver le service sans modification directe nécessaire d’une donnée métier.

Erreur n° 7 : le système doit être totalement détruit

Faux. Le texte vise l’entrave ou le fonctionnement faussé, non exclusivement la destruction totale.

Erreur n° 8 : un ralentissement insignifiant constitue toujours le délit

Faux. Il faut caractériser une véritable atteinte fonctionnelle.

Erreur n° 9 : DDoS = 323-1 automatiquement

Pas nécessairement. Le terrain directement pertinent pour l’indisponibilité est 323-2 ; l’existence d’un accès frauduleux doit être démontrée séparément.

Erreur n° 10 : une requête informatique techniquement valide est toujours licite

Faux. L’utilisation massive et organisée d’une fonctionnalité normale peut avoir pour objet et effet d’entraver le système.

Erreur n° 11 : une mise à jour ayant provoqué une panne suffit

Faux. L’intention reste essentielle.

Erreur n° 12 : salarié habilité = immunité

Faux. Autorisation d’accès ≠ autorisation d’entraver.

Erreur n° 13 : un test de charge ne peut jamais être une infraction

Faux. Tout dépend du périmètre de l’autorisation et du comportement réel.

Erreur n° 14 : tout outil de stress réseau est interdit

Faux. De tels outils peuvent avoir un usage légitime ; l’article 323-3-1 raisonne notamment sur l’absence de motif légitime.

Erreur n° 15 : données personnelles = aggravation de 7 ans automatiquement

Faux. Pour 323-2, le texte exige un STAD de données à caractère personnel :

mis en œuvre par l’État.

Erreur n° 16 : mairie = État automatiquement

Faux. La condition légale doit être vérifiée strictement.

Erreur n° 17 : plusieurs auteurs = bande organisée

Faux. Il faut caractériser une organisation préparée.

Erreur n° 18 : attaque d’un hôpital = 323-4-2 automatiquement

Faux. Il faut démontrer l’effet légalement requis :

risque immédiat de mort ou de blessures très graves ;
ou obstacle aux secours correspondants.

Erreur n° 19 : tout pic de trafic est une attaque DDoS

Faux. Une affluence légitime peut avoir techniquement des effets similaires.

Erreur n° 20 : une IP suffit pour identifier le coupable

Faux. L’attribution doit être approfondie.

Erreur n° 21 : compte utilisateur = personne physique certaine

Faux. Un compte peut avoir été :

partagé ;
compromis ;
usurpé.

Erreur n° 22 : l’expertise informatique est inutile si la panne est évidente

Faux. Il faut établir :

cause ;
auteur ;
chronologie.

L’affaire jugée le 13 février 2024 illustre l’importance déterminante de l’analyse des données techniques dans une condamnation pour modification de données et entrave.

Erreur n° 23 : si l’auteur supprime des données, il faut retenir seulement 323-2

Faux. L’article 323-3 doit être examiné.

Erreur n° 24 : la volonté de protester justifie l’attaque

Faux comme règle générale. Le mobile ne remplace pas l’analyse des éléments constitutifs.

Erreur n° 25 : l’absence de préjudice financier exclut 323-2

Faux. Le texte incrimine l’atteinte au fonctionnement elle-même.

CCLXXVII. Jurisprudence historique : virus informatique

La jurisprudence ancienne relative à un logiciel contaminé par le virus « Frodo » reste pédagogiquement utile. La chambre criminelle y rattache l’introduction d’un virus aux infractions devenues les articles 323-2 et 323-3, tout en exigeant que les juges recherchent correctement si l’infection avait effectivement été volontaire. La leçon demeure :

VIRUS + DYSFONCTIONNEMENT NE SUFFISENT PAS : IL FAUT PROUVER L’IMPUTATION ET L’INTENTION.

CCLXXVIII. Jurisprudence : attaques et saturation de serveur

Cass. crim., 20 août 2018, n° 18-84.728, concernait notamment des attaques alléguées contre un site web et la saturation d’un serveur par la simulation de milliers de paniers. La décision est avant tout procédurale — elle porte sur la compétence juridictionnelle — et ne doit donc pas être citée comme arrêt définissant les éléments de 323-2. Elle constitue néanmoins une illustration factuelle utile de l’entrave informatique par saturation applicative.

CCLXXIX. Jurisprudence : Cass. crim., 13 février 2024, n° 23-81.121

Cette décision concerne directement une condamnation pour :

modification frauduleuse de données ;
entrave au fonctionnement d’un STAD.

Une société avait subi un grave dysfonctionnement en 2013. Les investigations informatiques avaient rattaché l’attaque au poste du prévenu. Après expertise judiciaire, les juges avaient fondé leur appréciation sur les fichiers et données techniques soumis au débat contradictoire. La Cour de cassation rejette le pourvoi, jugeant que la cour d’appel pouvait se convaincre de l’inutilité d’examiner les autres données du serveur dès lors que les éléments sélectionnés par l’expert et discutés contradictoirement suffisaient à fonder la culpabilité.

CCLXXX. Portée de l’arrêt de 2024

Il ne crée pas une nouvelle définition abstraite de l’entrave. Son intérêt principal est probatoire :

UNE CONDAMNATION POUR CYBERATTAQUE DOIT REPOSER SUR UNE ANALYSE TECHNIQUE IDENTIFIABLE ET CONTRADICTOIREMENT DISCUTABLE.

CCLXXXI. Jurisprudence 2009 sur les outils

Cass. crim., 27 octobre 2009, n° 09-82.346, reste une décision majeure pour l’article 323-3-1. La Cour juge que la connaissance de la dangerosité du moyen diffusé et l’absence de motif légitime permettent de caractériser l’intention coupable. Le statut d’expert en sécurité informatique n’accorde donc aucune immunité lorsque les informations sont consciemment diffusées dans des conditions permettant leur exploitation malveillante.

CCLXXXII. Articulation avec CLXXIX

Le chapitre précédent a montré qu’un administrateur réseau disposant de droits techniques généraux peut malgré tout commettre un maintien frauduleux lorsqu’il détourne ces droits de sa mission. Cass. crim., 2 septembre 2025, n° 24-83.605. Cette jurisprudence renforce une règle générale en cybercriminalité :

PRIVILÈGE TECHNIQUE ≠ LIBERTÉ PÉNALE ILLIMITÉE.

Pour 323-2 :

le titulaire d’un droit administrateur peut parfaitement engager sa responsabilité s’il utilise volontairement ses privilèges pour saboter le système.

CCLXXXIII. Actualité du droit au 13 août 2026

Au 13 août 2026, l’article 323-2 demeure en vigueur selon la structure suivante :

ENTRAVER OU FAUSSER LE FONCTIONNEMENT D’UN STAD

→ 5 ans + 150 000 €.

STAD DE DONNÉES PERSONNELLES MIS EN ŒUVRE PAR L’ÉTAT

→ 7 ans + 300 000 €. Le chapitre comprend en outre :

BANDE ORGANISÉE

→ 10 ans + 300 000 € et :

EFFETS GRAVES IMMÉDIATS SUR LA SÉCURITÉ DES PERSONNES OU LES SECOURS

→ 10 ans + 300 000 €.

CCLXXXIV. À retenir

La première règle est :

ARTICLE 323-2 = PROTECTION DU FONCTIONNEMENT DU SYSTÈME.

Au 13 août 2026 :

5 ANS D’EMPRISONNEMENT + 150 000 € D’AMENDE.

La deuxième règle est :

ENTRAVER ≠ FAUSSER.

Entraver :

empêcher ou perturber le fonctionnement normal.

Fausser :

faire fonctionner le système d’une manière différente ou trompeuse par rapport à sa fonction normale.

La troisième règle est :

323-1 ≠ 323-2 ≠ 323-3.

323-1 : ACCÈS / MAINTIEN

323-2 : FONCTIONNEMENT

323-3 : DONNÉES.

La quatrième règle est :

UN ACCÈS FRAUDULEUX N’EST PAS NÉCESSAIRE POUR COMMETTRE UNE ENTRAVE.

Un salarié ou administrateur disposant d’un accès régulier peut saboter le système.

ACCÈS AUTORISÉ ≠ SABOTAGE AUTORISÉ.

La cinquième règle est :

PANNE ≠ INFRACTION AUTOMATIQUE.

Il faut démontrer :

ACTE → CAUSALITÉ → INTENTION.

Une erreur :

de maintenance ;
de configuration ;
de programmation

ne constitue pas automatiquement 323-2. La sixième règle est :

LE DÉNI DE SERVICE PEUT CONSTITUER UNE ENTRAVE.

Le système peut être perturbé par :

saturation réseau ;
saturation applicative ;
multiplication artificielle des opérations.

Une affaire de 2018 mentionnait notamment la saturation d’un serveur par la simulation de milliers de paniers, même si l’arrêt portait lui-même sur une question de compétence juridictionnelle. La septième règle est :

VIRUS OU MALWARE → ANALYSER À LA FOIS LE FONCTIONNEMENT ET LES DONNÉES.

La jurisprudence historique relative à un virus rappelle qu’une infection susceptible de fausser le fonctionnement peut relever du droit pénal informatique, sous réserve de la preuve de son caractère volontaire. La huitième règle est :

MODIFIER UNE DONNÉE ≠ ENTRAVER AUTOMATIQUEMENT LE SYSTÈME.

Mais :

MODIFICATION DE DONNÉES + DYSFONCTIONNEMENT RÉSULTANT

peut conduire à examiner conjointement :

323-2 + 323-3.

Une condamnation pour ces deux qualifications a notamment été examinée par Cass. crim., 13 février 2024, n° 23-81.121. La neuvième règle est probatoire :

CYBERATTAQUE = RECONSTRUIRE LA CHRONOLOGIE TECHNIQUE.

Il faut rechercher :

logs ;
commandes ;
scripts ;
sauvegardes ;
fichiers ;
adresses ;
expertise ;
chaîne de conservation.

La dixième règle concerne les systèmes étatiques :

STAD DE DONNÉES PERSONNELLES MIS EN ŒUVRE PAR L’ÉTAT → 7 ANS + 300 000 €.

La onzième règle est :

BANDE ORGANISÉE → 10 ANS + 300 000 €.

La douzième règle concerne les infrastructures critiques : lorsqu’une atteinte informatique produit le risque immédiat très grave pour les personnes ou l’obstacle aux secours prévu par l’article 323-4-2 :

10 ANS + 300 000 €.

Enfin, la méthode générale est :

IDENTIFIER LE STAD → DÉFINIR SON FONCTIONNEMENT NORMAL → IDENTIFIER L’ANOMALIE → ÉTABLIR LA CAUSE → IDENTIFIER L’AUTEUR → PROUVER L’INTENTION → DISTINGUER ACCÈS / FONCTIONNEMENT / DONNÉES → RECHERCHER L’ÉTAT, LA BANDE ORGANISÉE ET LE RISQUE POUR LES PERSONNES → ÉTABLIR LE PRÉJUDICE ET LA PREUVE NUMÉRIQUE.

CLXXXI. Introduction, extraction, détention, reproduction, transmission, suppression et modification frauduleuses de données

L’article 323-3 du Code pénal protège directement les données contenues dans un système de traitement automatisé de données. Il complète les deux infractions étudiées précédemment :

ARTICLE 323-1 : PROTECTION DE L’ACCÈS AU SYSTÈME

ARTICLE 323-2 : PROTECTION DU FONCTIONNEMENT DU SYSTÈME

ARTICLE 323-3 : PROTECTION DES DONNÉES CONTENUES DANS LE SYSTÈME.

Au 13 août 2026, l’article 323-3 sanctionne le fait :

d’introduire frauduleusement des données dans un STAD ;
d’extraire frauduleusement les données qu’il contient ;
de les détenir frauduleusement ;
de les reproduire frauduleusement ;
de les transmettre frauduleusement ;
de les supprimer frauduleusement ;
ou de les modifier frauduleusement.

La peine de base est :

5 ans d’emprisonnement et 150 000 euros d’amende.

Lorsque l’infraction est commise contre un système de traitement automatisé de données à caractère personnel mis en œuvre par l’État, elle est punie de :

7 ans d’emprisonnement et 300 000 euros d’amende.

La formule fondamentale est :

ACCÈS AUTORISÉ AU SYSTÈME ≠ DROIT ILLIMITÉ DE FAIRE N’IMPORTE QUOI AUX DONNÉES.

Mais cette formule doit immédiatement être nuancée par une jurisprudence importante :

UNE PERSONNE DISPOSANT RÉELLEMENT DU DROIT D’ACCÈS ET DU DROIT DE MODIFICATION PEUT, DANS CERTAINES CIRCONSTANCES, SUPPRIMER DES DONNÉES SANS COMMETTRE 323-3, NOTAMMENT LORSQU’ELLE NE DISSIMULE PAS CES SUPPRESSIONS AUX AUTRES UTILISATEURS.

C’est l’enseignement majeur de Cass. crim., 7 janvier 2020, n° 18-84.755, complété par Cass. crim., 8 juin 2021, n° 20-85.853.

I. L’article 323-3 protège directement les données

L’objet immédiat de l’infraction n’est pas :

le boîtier informatique ;
le disque dur comme chose matérielle ;
le local où se trouve le serveur.

Ce sont les :

DONNÉES CONTENUES DANS UN SYSTÈME DE TRAITEMENT AUTOMATISÉ.

II. Une incrimination devenue très large

L’article 323-3 ne vise plus seulement :

l’introduction ;
la suppression ;
la modification.

Depuis la réforme de 2015, il couvre également :

extraction ;
détention ;
reproduction ;
transmission.

Cette extension permet de saisir beaucoup plus directement les phénomènes modernes d’exfiltration de données, alors même que la donnée originale reste dans le système. La rédaction actuelle résulte de la loi du 24 juillet 2015.

III. Pourquoi cette extension était-elle importante ?

Parce qu’un attaquant peut aujourd’hui :

copier une base ;
l’exfiltrer ;
la conserver ;
la diffuser,

sans :

la supprimer ;
ni la modifier.

Le système victime peut continuer à fonctionner parfaitement. Pourtant :

L’ATTEINTE AUX DONNÉES EST CONSIDÉRABLE.

IV. Sept comportements doivent être distingués

L’article 323-3 permet de raisonner autour de sept verbes :

introduire ;
extraire ;
détenir ;
reproduire ;
transmettre ;
supprimer ;
modifier.

V. Première opération : introduire des données

Introduire signifie faire entrer dans le système des données qui n’y figuraient pas encore sous cette forme.

VI. Exemple

A injecte dans une base :

de faux comptes ;
de fausses transactions ;
de faux paramètres.

Introduction frauduleuse possible.

VII. Introduction de données ≠ accès frauduleux

On peut introduire des données :

après un accès frauduleux ;
mais aussi éventuellement grâce à un accès techniquement autorisé.

Il faut donc distinguer :

323-1 : COMMENT SUIS-JE ENTRÉ ?

et :

323-3 : QU’AI-JE FAIT AUX DONNÉES ?

VIII. Exemple : salarié habilité

A est autorisé à saisir des dossiers clients. Il crée sciemment de faux dossiers pour détourner le fonctionnement du système. Son accès initial peut être parfaitement autorisé. Mais :

l’introduction frauduleuse de données peut être examinée.

IX. Introduction de malware

Un programme malveillant injecté dans un système constitue également une donnée informatique. Selon ses effets, il peut relever :

de 323-3 ;
de 323-2 s’il fausse ou entrave le fonctionnement.

X. Virus et données

La jurisprudence ancienne relative à l’introduction volontaire d’un virus illustre cette articulation entre :

introduction de données ;
perturbation ou fonctionnement faussé du système.

La qualification suppose évidemment de démontrer le caractère volontaire de l’opération.

XI. Deuxième opération : extraire

L’extraction est devenue l’un des verbes les plus importants de la cybercriminalité contemporaine. Elle consiste à :

SORTIR LES DONNÉES DU SYSTÈME OU À EN OBTENIR UNE COPIE HORS DU PÉRIMÈTRE OÙ ELLES ÉTAIENT CONTENUES.

XII. Exemple

A télécharge sur une clé USB :

l’intégralité du fichier clients.

Extraction à examiner.

XIII. Copie vers un cloud personnel

Même logique.

XIV. Envoi vers une adresse personnelle

A exporte les fichiers vers :

sa messagerie privée.

Cela peut participer à :

extraction ;
transmission.

XV. Extraction ≠ suppression

La donnée d’origine peut rester intacte. C’est précisément l’un des intérêts de la réforme de 2015.

XVI. Exemple

Base de données :

1 million de clients.

L’attaquant en fait une copie complète. La base originale n’est absolument pas modifiée.

323-3 peut néanmoins être directement pertinent.

XVII. Le téléchargement est typiquement une extraction

La qualification dépendra naturellement :

du droit d’accès ;
du droit de copie ;
de la finalité ;
du caractère frauduleux.

XVIII. Affaire ANSES

Dans Cass. crim., 20 mai 2015, n° 14-81.336, le prévenu avait récupéré une quantité importante de données d’un extranet de l’ANSES, généré une archive volumineuse puis utilisé et communiqué une partie des fichiers. L’affaire avait été principalement jugée sous les qualifications de maintien frauduleux et de vol, la version alors applicable de l’article 323-3 n’ayant pas encore intégré toutes les opérations d’extraction, détention, reproduction et transmission aujourd’hui expressément visées.

XIX. Importance temporelle de la réforme de 2015

Il faut donc être très prudent pour les faits anciens. Aujourd’hui :

EXTRACTION FRAUDULEUSE = EXPRESSÉMENT 323-3.

Mais cette branche ne peut être appliquée rétroactivement à des faits antérieurs à son entrée en vigueur.

XX. Principe de non-rétroactivité

Une extension de l’incrimination pénale plus sévère ne peut s’appliquer rétroactivement à des faits antérieurs. Cette règle est particulièrement importante dans les dossiers d’exfiltration datant d’avant 2015.

XXI. Troisième opération : détenir

Le texte vise désormais la :

DÉTENTION FRAUDULEUSE DES DONNÉES EXTRAITES.

XXII. Intérêt pratique

Une personne n’a peut-être :

ni extrait elle-même ;
ni piraté le système.

Mais elle conserve sciemment des données frauduleusement obtenues dans des conditions permettant d’examiner l’article 323-3.

XXIII. Exemple

A pirate une base. B reçoit l’archive et la conserve sciemment sur son serveur. Il faut examiner le comportement propre de B :

DÉTENTION FRAUDULEUSE.

XXIV. Détention ≠ possession innocente

Une personne reçoit accidentellement un fichier et le supprime dès qu’elle comprend sa nature. La seule présence transitoire du fichier ne suffit pas automatiquement. Le caractère :

frauduleux

doit être établi.

XXV. Connaissance

La personne doit notamment être consciente des conditions rendant sa détention illégitime.

XXVI. Exemple

Message reçu :

« voici la base volée hier à notre concurrent ».

B télécharge l’archive et la conserve. La connaissance est beaucoup plus facile à caractériser.

XXVII. Cache temporaire

Un ordinateur peut techniquement détenir des fragments de données :

cache ;
fichiers temporaires ;
mémoire.

Il serait absurde d’en déduire automatiquement une détention pénale intentionnelle.

XXVIII. La détention doit être imputable à la personne

Il faut démontrer :

connaissance ;
maîtrise suffisante ;
contexte frauduleux.

XXIX. Quatrième opération : reproduire

La reproduction consiste à créer :

UNE COPIE DES DONNÉES.

XXX. Exemple

A duplique une base interne sur :

un disque externe.

reproduction frauduleuse possible.

XXXI. Reproduction locale

Il n’est pas nécessaire d’envoyer immédiatement les fichiers à l’extérieur. Une copie interne non autorisée peut déjà constituer une reproduction.

XXXII. Capture d’écran

Selon la nature des données et le mécanisme utilisé, une capture d’écran peut constituer une forme de reproduction du contenu. Il faut toutefois rattacher précisément l’opération aux données contenues dans le STAD et au caractère frauduleux.

XXXIII. Impression

La question peut devenir plus délicate lorsque les données numériques sont reproduites sur papier. Le point essentiel reste l’opération sur les données et son rattachement au système.

XXXIV. Export CSV

Une base est exportée en :

CSV.

Le format change. Mais son contenu informationnel est reproduit.

XXXV. Copie partielle

Le texte ne fixe aucun minimum quantitatif. Une reproduction peut porter sur :

toute la base ;
ou seulement certaines données.

XXXVI. Importance qualitative

Une seule donnée peut être extrêmement sensible :

mot de passe maître ;
clé privée ;
secret industriel.

La qualification ne dépend donc pas exclusivement du volume.

XXXVII. Cinquième opération : transmettre

La transmission vise la communication des données à un tiers ou vers une autre destination.

XXXVIII. Exemple

A envoie la base par courriel à B.

transmission frauduleuse possible.

XXXIX. Messagerie instantanée

Même logique.

XL. Plateforme de partage

Même logique.

XLI. Mise à disposition sur un serveur

Une transmission peut être accomplie en donnant accès à un fichier sur :

cloud ;
FTP ;
espace de partage.

XLII. Publication publique

Une diffusion sur internet constitue naturellement une modalité particulièrement grave de transmission.

XLIII. Transmission interne

L’envoi à un collègue peut aussi être frauduleux si :

ce collègue n’est pas autorisé à recevoir les données ;
et l’expéditeur le sait.

XLIV. Destinataire autorisé

Un service envoie normalement les données au service habilité.

pas de fraude.

XLV. Sixième opération : supprimer

La suppression constitue l’une des branches historiques de l’article 323-3. Elle vise :

FAIRE DISPARAÎTRE UNE DONNÉE DU SYSTÈME.

XLVI. Exemple

Un salarié efface :

dossiers clients ;
historiques ;
journaux.

suppression frauduleuse possible.

XLVII. Suppression logique

Une donnée peut être marquée comme supprimée sans que ses bits soient immédiatement écrasés. La qualification ne dépend pas nécessairement de l’impossibilité technique absolue de récupération.

XLVIII. Corbeille

Déplacer un fichier vers une corbeille peut ou non constituer une véritable suppression selon :

architecture ;
droits ;
possibilité d’utilisation normale.

L’analyse doit être concrète.

XLIX. Suppression des traces

L’auteur efface spécialement :

logs ;
historique ;
journal d’activité.

Cela peut constituer :

suppression frauduleuse ;
et indice de dissimulation de l’infraction principale.

L. Septième opération : modifier

Modifier signifie altérer le contenu de données préexistantes.

LI. Exemple

A change :

1 000 €

en :

10 000 €.

modification frauduleuse possible.

LII. Modification comptable

La jurisprudence la plus importante sur cette branche est Cass. crim., 8 décembre 1999, n° 98-84.752. Un chef comptable avait modifié des écritures déjà enregistrées définitivement dans un système automatisé. La Cour juge que le fait de modifier ou supprimer intentionnellement, en violation de la réglementation applicable, des données peut caractériser l’article 323-3 :

même si l’auteur avait le droit d’accéder au système ;
et sans nécessité de démontrer une volonté spécifique de nuire.

LIII. Première règle jurisprudentielle de 1999

DROIT D’ACCÈS ≠ DROIT DE MODIFICATION.

Une personne peut légitimement avoir accès au système mais ne pas être autorisée à modifier certaines données.

LIV. Deuxième règle

VOLONTÉ DE NUIRE NON NÉCESSAIRE.

Le caractère frauduleux ne suppose pas forcément :

vengeance ;
intention de causer un dommage personnel.

Il peut résulter de la modification intentionnelle accomplie en violation des règles gouvernant les données.

LV. Exemple comptable

Un chef comptable peut :

consulter ;
saisir certaines écritures.

Mais les règles comptables interdisent de modifier directement une écriture définitivement validée. Il la modifie pourtant volontairement.

323-3 peut être constitué.

LVI. Une réglementation externe peut donc compter

Le caractère frauduleux peut être éclairé par :

loi ;
règlement ;
règles professionnelles ;
droits informatiques ;
organisation du système.

LVII. Mais toutes les règles internes ne transforment pas automatiquement un acte en délit

Il faut rester prudent. La simple violation d’une consigne mineure ne suffit pas mécaniquement. Le comportement doit correspondre réellement à une opération frauduleuse sur les données.

LVIII. Cass. crim., 7 janvier 2020, n° 18-84.755

Cette décision apporte une nuance majeure à la jurisprudence de 1999. Un logiciel de pharmacie permettait à son acquéreur d’effacer certaines lignes de vente avant leur arrêté comptable. La Cour juge que les infractions des articles 323-1 à 323-3 ne sauraient être reprochées à la personne qui :

bénéficie des droits d’accès ;
bénéficie des droits de modification ;
procède aux suppressions ;
sans les dissimuler à d’éventuels autres utilisateurs du système.

LIX. Pourquoi cette décision est-elle capitale ?

Parce qu’elle montre que :

SUPPRESSION INTENTIONNELLE ≠ SUPPRESSION FRAUDULEUSE AUTOMATIQUEMENT.

Il faut rechercher le véritable périmètre des droits sur les données.

LX. Droit d’accès et droit de modification

Il faut donc poser deux questions séparées :

PEUT-IL VOIR ?

et :

PEUT-IL MODIFIER OU SUPPRIMER ?

LXI. Exemple

A peut lire les données mais pas les effacer. Il les supprime.

fraude possible.

LXII. Situation inverse

A est propriétaire du système et dispose explicitement :

du droit d’accès ;
du droit de modification ;
du droit de suppression.

Il efface normalement certaines données, de manière visible.

323-3 non automatique.

LXIII. Propriété ≠ solution unique

Il faut néanmoins éviter de résumer l’arrêt de 2020 par :

« propriétaire = jamais coupable ».

La formulation de la Cour porte sur :

les droits d’accès ;
les droits de modification ;
l’absence de dissimulation à d’autres utilisateurs.

LXIV. Cass. crim., 8 juin 2021, n° 20-85.853

Cette décision complète précisément celle de 2020. Elle énonce que des modifications ou suppressions sont nécessairement frauduleuses lorsqu’elles ont été :

SCIEMMENT DISSIMULÉES À AU MOINS UN AUTRE UTILISATEUR DU SYSTÈME

même si cet autre utilisateur n’est pas titulaire de droits de modification.

LXV. Les faits de 2021

L’affaire concernait notamment la disparition d’un jugement :

de l’historique informatique d’un greffe de tribunal de commerce ;
ainsi que du minutier.

Le prévenu disposait de droits d’accès et invoquait ses droits sur le système. La suppression avait néanmoins été opérée à l’insu d’un autre utilisateur.

LXVI. Formule majeure

DROIT DE MODIFICATION + DISSIMULATION SCIEMMENT OPÉRÉE À UN AUTRE UTILISATEUR = FRAUDE POSSIBLE ET MÊME NÉCESSAIREMENT FRAUDULEUSE SELON LA FORMULE DE 2021.

LXVII. L’autre utilisateur n’a pas besoin de pouvoir modifier

C’est un apport très important. Il suffit qu’il soit :

UTILISATEUR DU SYSTÈME

et que la modification ou suppression lui soit sciemment dissimulée.

LXVIII. Exemple

Deux associés utilisent un logiciel. A peut techniquement modifier la base. Il supprime clandestinement un document afin que B ignore son existence.

323-3 devient particulièrement pertinent.

LXIX. Pourquoi la dissimulation est-elle importante ?

Parce qu’elle révèle que l’auteur n’exerce pas simplement normalement son pouvoir sur les données. Il cherche à :

ALTÉRER L’ÉTAT INFORMATIONNEL DU SYSTÈME À L’INSU D’UN AUTRE UTILISATEUR.

LXX. Suppression visible

A supprime une donnée conformément à la procédure. Le journal mentionne :

auteur ;
date ;
motif.

Tous les utilisateurs habilités voient l’opération. La fraude est beaucoup moins évidente.

LXXI. Suppression clandestine

A efface :

la donnée ;
puis son historique ;
puis les logs.

Le caractère frauduleux peut être particulièrement manifeste.

LXXII. Droit technique ≠ droit fonctionnel

Comme pour l’article 323-1 :

disposer techniquement de la fonction « supprimer »

ne signifie pas nécessairement avoir l’autorisation fonctionnelle de supprimer n’importe quelle donnée.

LXXIII. Administrateur système

L’administrateur peut techniquement :

modifier ;
effacer ;
copier.

Il faut examiner :

mission ;
instruction ;
finalité ;
dissimulation.

LXXIV. Jurisprudence 2025 sur les privilèges administrateur

Dans le domaine voisin de l’article 323-1, la Cour de cassation a jugé en septembre 2025 que des privilèges techniques généraux d’administrateur n’excluent pas un maintien frauduleux lorsque l’accès est détourné de la mission professionnelle. Cette approche fonctionnelle est utile pour comprendre pourquoi il ne faut jamais confondre :

CAPACITÉ TECHNIQUE

et :

AUTORISATION JURIDIQUE.

LXXV. Modification légitime

Administrateur :

corrige une erreur autorisée.

Pas de fraude.

LXXVI. Modification clandestine

Même administrateur :

modifie un journal pour masquer une faute personnelle.

323-3 possible.

LXXVII. Modification d’un fichier de log

Le log est lui-même une donnée. Il peut donc être :

supprimé ;
modifié.

LXXVIII. Effacement des logs après intrusion

Peuvent se cumuler dans la séquence :

accès frauduleux ;
extraction ;
suppression de logs.

LXXIX. Article 323-1 + 323-3

Un accès frauduleux suivi d’une opération frauduleuse sur les données peut permettre d’examiner les deux textes.

LXXX. Mais l’accès frauduleux n’est pas indispensable

L’arrêt de 1999 le démontre. Le prévenu avait accès au système comptable. La modification des données pouvait néanmoins être frauduleuse.

LXXXI. Article 323-2 + 323-3

Une modification de données peut en outre :

fausser ;
entraver

le fonctionnement du système.

LXXXII. Exemple

Suppression du fichier de configuration indispensable. Conséquences :

données supprimées ;
serveur indisponible.

À examiner :

323-3 + 323-2.

LXXXIII. Modification sans effet fonctionnel

A modifie une donnée isolée. Le système continue à fonctionner normalement.

323-3 peut suffire.

323-2 n’est pas automatique.

LXXXIV. Extraction sans effet fonctionnel

A copie toute la base. Le système ne ralentit même pas.

323-3 peut être constitué indépendamment de 323-2.

LXXXV. C’est une différence essentielle

L’absence de panne ne protège pas l’exfiltrateur.

LXXXVI. Extraction par salarié

Cas extrêmement fréquent : un salarié prépare son départ et exporte :

fichier clients ;
tarifs ;
projets ;
documents.

Il faut examiner :

droit d’accès ;
droit de copie ;
nature des données ;
finalité ;
conditions de l’extraction.

LXXXVII. Droit de consulter ≠ droit d’emporter

Un salarié peut être autorisé à consulter quotidiennement le CRM. Cela ne signifie pas nécessairement qu’il puisse :

télécharger toute la base sur son disque personnel.

LXXXVIII. Mais attention aux qualifications civiles

Tout manquement à une obligation de confidentialité ou à un contrat de travail ne constitue pas automatiquement 323-3. Il faut caractériser les éléments pénaux.

LXXXIX. Extraction ordinaire prévue par les fonctions

Un commercial est autorisé à exporter une liste de prospects pour accomplir sa mission.

pas de fraude dans ce périmètre.

XC. Même export effectué la veille du départ

Le contexte peut modifier l’analyse si l’opération :

excède clairement la mission ;
est massive ;
est dissimulée ;
vise un usage personnel.

XCI. USB personnel

Indice possible. Pas preuve automatique.

XCII. Compression d’une base

L’auteur crée :

clients.zip

puis la transfère. Cela peut documenter :

reproduction ;
extraction ;
transmission.

XCIII. Envoi à un concurrent

Le caractère frauduleux apparaît plus nettement. D’autres qualifications peuvent être applicables :

secret des affaires selon le contexte ;
abus de confiance ;
corruption ;
recel.

XCIV. Vol de données

La jurisprudence ANSES avait admis en 2015 que le téléchargement sans consentement de fichiers que le prévenu savait protégés pouvait constituer une soustraction frauduleuse, donc un vol. Depuis l’extension de l’article 323-3, l’extraction frauduleuse dispose en outre d’une incrimination informatique explicite.

XCV. Concours avec le vol

Il faut donc appliquer les règles modernes du concours de qualifications sans supposer automatiquement :

absorption ;
ou cumul.

Le comportement et les intérêts protégés doivent être analysés.

XCVI. Extraction par photographie

A ne télécharge pas le fichier. Il photographie l’écran avec son téléphone. Il reproduit néanmoins le contenu informationnel. La qualification exacte doit être appréciée à partir de la manière dont les données ont été captées.

XCVII. Recopie manuelle

Même difficulté. Un salarié recopie manuellement une liste affichée par le système. Le rattachement à « extraction » ou « reproduction » au sens de 323-3 doit être juridiquement argumenté avec prudence.

XCVIII. Impression en masse

Il ne faut pas limiter l’analyse à la technique informatique pure. La donnée peut changer de support lors de sa reproduction. Mais le texte pénal doit rester interprété strictement.

XCIX. Extraction via API

A utilise une API à laquelle il a accès. Il détourne néanmoins cette faculté pour exporter l’intégralité de la base.

droit de requête ≠ droit d’exfiltration générale.

C. API publique

Si les données sont réellement ouvertes au public et l’API réellement destinée à leur extraction :

fraude beaucoup moins évidente.

CI. API privée

Clé d’API volée.

extraction frauduleuse particulièrement plausible.

CII. API interne avec périmètre limité

Compte autorisé pour :

100 dossiers.

L’utilisateur contourne les limites et extrait :

100 000 dossiers.

L’analyse doit porter sur :

autorisation réelle ;
contournement ;
connaissance.

CIII. Base librement accessible

Il faut distinguer :

libre accès ;
données techniquement accessibles par erreur ;
données manifestement protégées.

CIV. Affaire ANSES et accessibilité

L’arrêt de 2015 rappelle qu’un accès initial facilité par une défaillance technique ne signifie pas nécessairement autorisation d’exploiter les données après découverte du caractère protégé du système.

CV. Une donnée publique n’est pas nécessairement libre de tout régime juridique

Même en dehors de 323-3 peuvent intervenir :

données personnelles ;
propriété intellectuelle ;
secret.

Mais 323-3 exige son propre caractère frauduleux.

CVI. Donnée « publique » au sens courant

Une information connue de tous peut néanmoins se trouver dans un système. La question pénale n’est pas seulement :

« l’information est-elle secrète ? »

mais :

« l’opération sur les données du système est-elle frauduleuse ? »

CVII. Secret non exigé par le texte

L’article 323-3 ne dit pas :

données secrètes ou confidentielles.

Il protège les données contenues dans le STAD contre les opérations frauduleuses qu’il énumère.

CVIII. Confidentialité reste néanmoins probatoirement importante

Elle peut révéler :

absence d’autorisation ;
connaissance ;
gravité.

CIX. Données personnelles

Lorsque les données sont personnelles, d’autres infractions ou régimes relatifs aux fichiers peuvent également être applicables.

CX. Données personnelles mises en œuvre par l’État

Article 323-3, alinéa 2 :

7 ans + 300 000 €.

CXI. Conditions cumulatives

Il faut :

un STAD ;
comportant des données à caractère personnel ;
mis en œuvre par l’État.

CXII. Toute administration ≠ État

Même prudence que dans les chapitres précédents. Le texte doit être interprété strictement.

CXIII. Entreprise privée avec données personnelles

La simple présence :

de noms ;
emails ;
données clients

ne suffit pas à déclencher l’aggravation étatique.

CXIV. Modification de résultat dans un moteur de recherche

Une actualité jurisprudentielle récente mérite d’être signalée. En 2025, à propos d’agissements destinés à influencer certains résultats naturels d’un moteur de recherche, la Cour de cassation a indiqué qu’un moteur de recherche constitue un STAD, mais que des opérations visant à influencer ses résultats ne constituent pas nécessairement une atteinte au sens des articles 323-1 à 323-3 si elles n’atteignent ni :

le fonctionnement du moteur ;
ni les données qu’il contient.

CXV. Enseignement

INFLUENCER INDIRECTEMENT UN ALGORITHME ≠ MODIFIER FRAUDULEUSEMENT SES DONNÉES AUTOMATIQUEMENT.

Il faut identifier une véritable opération correspondant au texte pénal.

CXVI. SEO agressif

Des contenus publiés sur internet peuvent influencer un classement. Cela ne signifie pas que l’auteur :

a modifié les données internes du moteur.

CXVII. Situation différente

Une intrusion dans l’index interne du moteur afin de modifier directement les données enregistrées poserait évidemment une question différente.

CXVIII. Données et base de recherche

L’article 323-3 exige toujours de répondre à :

QUELLE DONNÉE PRÉCISE A ÉTÉ INTRODUITE, EXTRAITE, DÉTENUE, REPRODUITE, TRANSMISE, SUPPRIMÉE OU MODIFIÉE ?

CXIX. Ne pas poursuivre une abstraction

Une prévention du type :

« atteinte aux données informatiques »

est méthodologiquement trop vague.

CXX. Il faut identifier l’opération

Par exemple :

SUPPRESSION DE LA LIGNE 843

ou :

EXTRACTION DU FICHIER CLIENTS.CSV

ou :

TRANSMISSION DE L’ARCHIVE BACKUP.ZIP.

CXXI. Preuve de l’introduction

Rechercher notamment :

logs d’écriture ;
historique ;
auteur ;
horodatage.

CXXII. Preuve de l’extraction

Rechercher :

téléchargement ;
export ;
volume ;
destination ;
support USB.

CXXIII. Preuve de la détention

Rechercher :

fichier sur le disque ;
archive cloud ;
sauvegarde ;
compte utilisateur.

CXXIV. Preuve de la reproduction

Rechercher :

copies multiples ;
export ;
duplication.

CXXV. Preuve de la transmission

Rechercher :

email ;
messagerie ;
upload ;
partage.

CXXVI. Preuve de la suppression

Rechercher :

journal de suppression ;
différence avec sauvegarde ;
corbeille ;
espace libéré.

CXXVII. Preuve de la modification

Rechercher :

version antérieure ;
version nouvelle ;
logs ;
métadonnées ;
historique Git selon les cas.

CXXVIII. Versioning

Les systèmes modernes conservent souvent :

V1 ;
V2 ;
V3.

Ces historiques sont particulièrement précieux pour démontrer une modification.

CXXIX. Git

Dans un dépôt logiciel :

commit ;
auteur ;
date ;
diff

peuvent permettre de reconstruire une altération.

CXXX. Mais l’auteur affiché n’est pas nécessairement l’auteur réel

Des identifiants peuvent être :

partagés ;
usurpés ;
compromis.

CXXXI. Logs altérés

Il faut envisager que l’auteur ait également modifié :

les éléments censés prouver sa présence.

CXXXII. Journal immuable

Un système d’audit indépendant peut renforcer considérablement la preuve.

CXXXIII. Sauvegarde

Comparer :

sauvegarde avant incident ;
système après incident.

Permet d’identifier :

suppressions ;
modifications.

CXXXIV. Hash

Une empreinte cryptographique différente prouve une modification du fichier, mais ne dit pas nécessairement :

qui ;
pourquoi.

CXXXV. Attribuer l’acte

La preuve technique doit être complétée par :

accès ;
présence ;
mobile éventuel ;
messages ;
chronologie.

CXXXVI. Droit d’accès

Première question :

POUVAIT-IL CONSULTER ?

CXXXVII. Droit d’extraire

Deuxième question :

POUVAIT-IL EXPORTER ?

CXXXVIII. Droit de modifier

Troisième :

POUVAIT-IL ALTÉRER ?

CXXXIX. Droit de supprimer

Quatrième :

POUVAIT-IL EFFACER ?

CXL. Ces droits peuvent être différents

Un profil peut être :

lecture seule.

Un autre :

lecture + écriture.

Un autre :

administrateur.

CXLI. Même administrateur, droits fonctionnels limités

Il faut toujours confronter les droits techniques à :

mission ;
règles ;
finalité.

CXLII. Dissimuler à un autre utilisateur

Après les arrêts de 2020 et 2021, cette question doit être posée systématiquement lorsque l’auteur prétend avoir un droit de modification.

CXLIII. Exemple

A peut modifier un dossier commun. Il efface une pièce en secret pour empêcher B de la retrouver.

fraude particulièrement caractérisable.

CXLIV. Exemple inverse

A supprime normalement les fichiers expirés dans le cadre d’une procédure de purge connue de tous.

pas de fraude sur ce seul fait.

CXLV. Politique de rétention

Une entreprise prévoit la suppression automatique après :

trois ans.

Le système purge les fichiers conformément à cette politique.

pas d’infraction.

CXLVI. Désactivation de la politique

Un administrateur empêche secrètement la conservation réglementaire de certaines preuves.

analyse différente.

CXLVII. Effacement légal

Certaines obligations juridiques peuvent imposer la suppression de données. Une suppression effectuée pour respecter la loi n’est évidemment pas frauduleuse.

CXLVIII. Droit à l’effacement

Même logique lorsque la suppression intervient légitimement en application du régime des données personnelles.

CXLIX. Faux prétexte RGPD

Une personne invoque abusivement le RGPD pour effacer clandestinement une preuve qu’elle n’avait aucun droit de supprimer. L’étiquette juridique utilisée ne suffit pas. Il faut apprécier le droit réel.

CL. Suppression de sa propre donnée

La personne n’a pas nécessairement le droit technique de supprimer elle-même une donnée du système simplement parce qu’elle la concerne.

CLI. Propriétaire de l’information ≠ propriétaire du système

Distinction essentielle.

CLII. Propriétaire du système ≠ droit absolu face aux autres utilisateurs

La jurisprudence de 2021 montre que la dissimulation à un autre utilisateur peut transformer l’analyse même lorsque l’auteur invoque des droits importants sur le système.

CLIII. Données comptables

Elles sont particulièrement encadrées. La jurisprudence de 1999 montre qu’une écriture validée peut devenir une donnée dont la modification volontaire en violation des règles comptables constitue une atteinte frauduleuse.

CLIV. Correction comptable normale

Les règles comptables prévoient des mécanismes de correction. Une correction effectuée selon ces règles ne doit pas être confondue avec une falsification clandestine de l’écriture validée.

CLV. Correction directe prohibée

La personne modifie l’écriture définitive hors du mécanisme prévu.

323-3 à examiner.

CLVI. Données judiciaires

L’arrêt de 2021 concernant la suppression d’un jugement d’un système de greffe montre la gravité particulière d’une disparition clandestine de données participant au fonctionnement de la justice.

CLVII. Suppression du jugement

Les faits portaient notamment sur la disparition :

de l’historique informatique ;
du minutier.

La Cour retient l’importance de la dissimulation à un autre utilisateur.

CLVIII. Donnée principale et historique

Supprimer seulement :

l’historique

peut constituer une atteinte en soi.

CLIX. Audit trail

Le journal d’audit est une donnée autonome.

CLX. Exemple

A laisse la transaction principale visible mais supprime l’historique prouvant qu’il l’a modifiée. Deux catégories de données peuvent alors avoir été atteintes.

CLXI. Extraction et détention peuvent se succéder

Chronologie :

extraction ;
stockage local ;
conservation.

Le texte couvre plusieurs étapes.

CLXII. Reproduction puis transmission

Même logique :

copie ;
envoi.

CLXIII. Une seule séquence technique, plusieurs verbes

Il ne faut toutefois pas transformer mécaniquement chaque étape technique d’un même acte en autant de condamnations indépendantes. Les règles relatives :

à l’unité des faits ;
au concours de qualifications ;
à la consommation de l’infraction

doivent être appliquées.

CLXIV. Qualification descriptive

Il est néanmoins utile de décrire précisément toutes les opérations afin de comprendre la séquence.

CLXV. Exemple

A télécharge un fichier et l’envoie immédiatement. Matériellement :

extraction ;
reproduction ;
transmission.

La réponse pénale finale doit respecter les règles de concours.

CLXVI. Détention après transmission

A conserve une copie pendant deux ans. La question temporelle peut devenir distincte.

CLXVII. Détention durable

Contrairement à certaines opérations instantanées :

introduction ;
suppression ;
modification,

la détention peut soulever une temporalité différente puisqu’elle se prolonge tant que l’intéressé conserve frauduleusement les données. Il faut donc analyser spécifiquement la prescription selon la nature exacte de l’acte poursuivi.

CLXVIII. Extraction instantanée

Une extraction peut être datée :

moment où les données sont sorties ou copiées.

CLXIX. Transmission

Elle est en principe rattachée à :

l’acte de communication.

CLXX. Suppression

Elle est rattachée au moment où :

la donnée est supprimée frauduleusement.

CLXXI. Modification

Même logique.

CLXXII. Tentative et préparation

L’article 323-3 doit être articulé avec les autres dispositions du chapitre relatives :

aux outils ;
au groupement préparatoire.

CLXXIII. Article 323-3-1

Il sanctionne certains actes portant sur :

équipement ;
instrument ;
programme ;
donnée

conçu ou spécialement adapté pour commettre les infractions informatiques, en l’absence de motif légitime.

CLXXIV. Outil d’exfiltration

Un script peut servir légitimement :

aux sauvegardes ;
à la migration.

Le même script peut être utilisé pour voler une base.

L’OUTIL N’EST PAS QUALIFIÉ INDÉPENDAMMENT DE SON CONTEXTE.

CLXXV. Bande organisée

L’article 323-4-1 prévoit que les infractions des articles 323-1 à 323-3-1 commises en bande organisée sont punies de :

10 ans d’emprisonnement et 300 000 euros d’amende.

CLXXVI. Exfiltration organisée

Un groupe prépare :

intrusion ;
extraction ;
revente.

Si la bande organisée est juridiquement caractérisée :

aggravation de 323-4-1.

CLXXVII. Groupement préparatoire

Même avant l’extraction, une entente préparée et matérialisée peut relever de l’article 323-4 dans les conditions prévues par le chapitre.

CLXXVIII. Danger pour les personnes

L’article 323-4-2 porte la peine à :

10 ans + 300 000 €

lorsque les atteintes informatiques ont pour effet :

d’exposer autrui à un risque immédiat de mort ;
ou de blessures susceptibles d’entraîner mutilation ou infirmité permanente ;
ou de faire obstacle aux secours prévus par le texte.

CLXXIX. Suppression de données hospitalières

Si la suppression de données essentielles produit concrètement l’effet de danger visé par 323-4-2 :

aggravation à examiner.

CLXXX. Il ne suffit pas que les données soient médicales

Le texte exige :

L’EFFET DE DANGER OU D’OBSTACLE AUX SECOURS.

CLXXXI. Exfiltration et rançongiciel

Les attaques modernes combinent souvent :

intrusion ;
extraction ;
chiffrement ou modification ;
demande de rançon.

CLXXXII. Double extorsion

L’attaquant menace :

« payez sinon vos fichiers resteront chiffrés et les données seront publiées ».

Plusieurs qualifications doivent alors être examinées :

323-1 ;
323-2 ;
323-3 ;
extorsion ou tentative selon les faits.

CLXXXIII. Chiffrement

Chiffrer frauduleusement les données de la victime revient à modifier leur état.

323-3 directement pertinent.

Si le système devient inutilisable :

323-2 également.

CLXXXIV. Copie avant chiffrement

Exfiltration préalable :

extraction/reproduction.

CLXXXV. Publication

transmission.

CLXXXVI. Suppression après exfiltration

suppression.

La quasi-totalité des verbes de 323-3 peuvent ainsi apparaître dans une même attaque.

CLXXXVII. Données industrielles

Le texte ne protège pas seulement :

données personnelles.

Il peut concerner :

secrets industriels ;
code ;
configurations ;
plans ;
données commerciales.

CLXXXVIII. Code source

Le code source contenu dans un système constitue une donnée susceptible :

d’extraction ;
de reproduction ;
de modification.

CLXXXIX. Clé cryptographique

Même logique.

CXC. Mot de passe

Une base contenant des identifiants relève également des données.

CXCI. Informations de configuration

Elles peuvent elles aussi être des données.

CXCII. Données temporaires

Le texte ne réserve pas expressément la protection aux données permanentes. Il faut néanmoins démontrer qu’elles sont contenues dans le STAD et concernées par l’opération frauduleuse.

CXCIII. RAM

Une information présente seulement en mémoire vive peut techniquement être une donnée. La qualification pénale nécessiterait toutefois une analyse technique particulièrement précise.

CXCIV. Cookie de session

Même prudence.

CXCV. Token d’authentification

Une copie frauduleuse peut servir à accéder ensuite à un système. La séquence peut combiner :

323-3 ;
323-1.

CXCVI. Extraction sans lecture

A copie automatiquement une base chiffrée qu’il est incapable de lire. Le caractère de donnée subsiste. La connaissance détaillée du contenu n’est pas nécessairement exigée pour constater matériellement l’extraction, mais l’intention frauduleuse doit être établie.

CXCVII. Fichier vide

L’intérêt pénal peut être différent si le fichier ne contient aucune donnée utile. Il faut décrire précisément le contenu.

CXCVIII. Données dupliquées par sauvegarde automatique

Un logiciel de sauvegarde copie normalement la base.

pas de fraude.

CXCIX. Détournement du backup

A configure secrètement la sauvegarde pour envoyer une seconde copie à son serveur personnel.

extraction/transmission frauduleuse possible.

CC. Synchronisation cloud

Même logique.

CCI. Intelligence artificielle

Une IA peut être utilisée pour :

classifier ;
copier ;
transformer

des données volées. Mais l’outil d’IA ne modifie pas les éléments constitutifs de 323-3.

CCII. Scraping d’une interface publique

Il faut distinguer soigneusement :

données librement mises à disposition ;
extraction frauduleuse d’une partie protégée du système.

CCIII. Scraping et volume

Le seul volume élevé n’établit pas automatiquement la fraude.

CCIV. Contournement d’une restriction

Un mécanisme est mis en place pour limiter l’accès à certaines données. L’utilisateur le contourne volontairement afin d’extraire les données.

indice beaucoup plus fort.

CCV. Contrôle d’accès

Comme dans l’affaire ANSES, la découverte d’un dispositif de restriction est importante pour établir la conscience du caractère irrégulier.

CCVI. Données d’un concurrent

Un employé conserve encore des identifiants après avoir quitté son entreprise. Il se reconnecte et extrait une base. À examiner :

323-1 + 323-3.

CCVII. Export effectué avant le départ avec accès valide

Situation plus subtile. Le compte est encore valable. Il faut déterminer si l’export lui-même :

entre dans ses droits ;
ou constitue une extraction frauduleuse.

CCVIII. La jurisprudence de 1999 interdit de s’arrêter au droit d’accès

Un droit d’accès n’exclut pas une modification frauduleuse. La même méthode impose d’analyser précisément les droits attachés à l’opération litigieuse.

CCIX. La jurisprudence de 2020 interdit l’excès inverse

On ne peut pas considérer toute suppression par une personne ayant des droits comme frauduleuse. Il faut examiner :

droit réel de modification ;
dissimulation.

CCX. La jurisprudence de 2021 fournit le critère le plus concret

DISSIMULATION SCIEMMENT OPÉRÉE À AU MOINS UN AUTRE UTILISATEUR = FRAUDE CARACTÉRISÉE POUR LES MODIFICATIONS OU SUPPRESSIONS JUGÉES.

CCXI. Tableau : les sept comportements

Comportement	Exemple
Introduire	Injecter de fausses données
Extraire	Télécharger une base
Détenir	Conserver une copie obtenue frauduleusement
Reproduire	Dupliquer les fichiers
Transmettre	Envoyer les données à un tiers
Supprimer	Effacer un enregistrement
Modifier	Altérer un montant ou un paramètre

Le texte actuel vise expressément ces sept catégories.

CCXII. Tableau : 323-1 / 323-2 / 323-3

Question	Article
Puis-je entrer dans le système ?	323-1
Puis-je rester dans le système ?	323-1
Le fonctionnement est-il perturbé ou faussé ?	323-2
Les données ont-elles été introduites/extraites/etc. ?	323-3

CCXIII. Tableau : droit d’accès / droit sur les données

Situation	Analyse
Aucun droit d’accès + copie	323-1 + 323-3 possibles
Droit d’accès mais pas d’export	323-3 possible
Droit d’accès et modification réelle	Fraude non automatique
Modification clandestine à un autre utilisateur	323-3 fortement caractérisable
Suppression normale et transparente dans les droits	323-3 non automatique

Les deux dernières lignes correspondent particulièrement aux arrêts de 2020 et 2021.

CCXIV. Tableau des peines

Hypothèse	Peine
323-3 forme de base	5 ans + 150 000 €
STAD de données personnelles mis en œuvre par l’État	7 ans + 300 000 €
Bande organisée	10 ans + 300 000 €
Effet grave sur personnes/secours, art. 323-4-2	10 ans + 300 000 €

CCXV. Exemple complet : salarié copiant le fichier clients

A dispose quotidiennement d’un accès au CRM. La veille de son départ, il exporte clandestinement :

80 000 clients

vers son cloud personnel. À examiner :

autorisation d’export ;
extraction ;
reproduction ;
détention.

323-3 possible.

CCXVI. Exemple complet : export professionnel normal

Même salarié exporte :

200 prospects

pour préparer une campagne expressément demandée par son directeur.

pas de fraude sur ce seul fait.

CCXVII. Exemple complet : base copiée après rupture du contrat

Le compte de l’ancien salarié n’a pas été désactivé. Il se reconnecte. Il télécharge la base.

323-1 + 323-3 possibles.

Le fait que le compte fonctionne encore techniquement ne constitue pas une autorisation.

CCXVIII. Exemple complet : modification comptable

Le chef comptable modifie directement une écriture définitivement enregistrée alors que les règles de comptabilité l’interdisent.

323-3 possible même s’il avait un droit d’accès au système.

Cass. crim., 8 décembre 1999, n° 98-84.752.

CCXIX. Exemple complet : propriétaire supprimant normalement ses données

Un commerçant utilise un logiciel dont il contrôle légalement les données. La fonctionnalité permet la suppression avant validation définitive. L’opération n’est pas cachée aux autres utilisateurs.

323-3 non automatiquement constitué.

Cass. crim., 7 janvier 2020, n° 18-84.755.

CCXX. Exemple complet : suppression clandestine d’un jugement

Un utilisateur autorisé du système supprime un jugement du système du greffe et le fait à l’insu d’un autre utilisateur.

suppression frauduleuse caractérisable.

Cass. crim., 8 juin 2021, n° 20-85.853.

CCXXI. Exemple complet : ransomware

A pénètre dans le réseau. Il copie les données. Il les chiffre. Puis menace de les publier. À examiner :

323-1 : accès

323-3 : extraction/reproduction/modification/transmission éventuelle

323-2 : fonctionnement entravé

extorsion/tentative selon les faits.

CCXXII. Exemple complet : exfiltration silencieuse

A copie discrètement toute la base. Aucune panne. Aucune suppression. Aucune modification.

323-3 reste directement pertinent grâce aux branches extraction/reproduction.

CCXXIII. Exemple complet : fichier envoyé à un tiers

A extrait la base puis l’envoie à B. A :

extraction ;
reproduction ;
transmission.

B la conserve en connaissance de son origine frauduleuse :

détention à examiner.

CCXXIV. Exemple complet : fausse donnée ajoutée

Un salarié crée artificiellement de faux remboursements dans le logiciel.

introduction frauduleuse de données.

Selon la finalité :

escroquerie ;
abus de confiance ;
faux

peuvent également devoir être examinés.

CCXXV. Exemple complet : modification de paramètre

A modifie un coefficient informatique. Toutes les factures suivantes sont calculées artificiellement.

323-3 pour la modification

et :

323-2 pour le fonctionnement faussé

peuvent être examinés.

CCXXVI. Exemple complet : suppression sans conséquence

A supprime une photographie du serveur. Aucun effet sur le fonctionnement.

323-3 possible

mais :

323-2 non automatique.

CCXXVII. Exemple complet : suppression critique

A supprime la base nécessaire à l’application. Le service tombe.

323-3 + 323-2 possibles.

CCXXVIII. Exemple complet : moteur de recherche

Des internautes publient des messages afin d’influencer les résultats d’un moteur de recherche. L’effet indirect sur le classement ne signifie pas nécessairement qu’ils ont modifié frauduleusement les données internes du moteur ou porté atteinte à son fonctionnement. Une décision récente de la Cour de cassation a précisément retenu cette distinction.

CCXXIX. Exemple complet : hacking de l’index

Situation différente : l’auteur pénètre dans l’index interne du moteur et modifie directement les enregistrements.

323-1 + 323-3, voire 323-2 selon les effets.

CCXXX. Exemple complet : sauvegarde clandestine

Un administrateur configure une seconde sauvegarde cachée vers :

son NAS personnel.

Les sauvegardes professionnelles normales restent intactes.

extraction + reproduction + transmission possibles.

CCXXXI. Exemple complet : fichier reçu accidentellement

B reçoit par erreur une archive confidentielle. Il comprend l’erreur et la supprime immédiatement sans l’exploiter.

détention frauduleuse non automatique.

CCXXXII. Même situation, conservation volontaire

B comprend que l’archive provient d’une extraction illicite et décide :

« je la garde, cela pourra servir ».

détention frauduleuse à examiner.

CCXXXIII. Checklist générale 323-3

Devant une atteinte aux données, demander :

Existe-t-il un STAD ?
Quelles données sont concernées ?
Où étaient-elles stockées ?
Quelle opération précise ?
Introduction ?
Extraction ?
Détention ?
Reproduction ?
Transmission ?
Suppression ?
Modification ?
Qui a accompli l’acte ?
À quelle date ?
Avec quel compte ?
L’auteur avait-il un droit d’accès ?
Un droit de lecture ?
Un droit d’export ?
Un droit de modification ?
Un droit de suppression ?
Quelle était la finalité de ce droit ?
L’opération a-t-elle été dissimulée ?
À quels autres utilisateurs ?
Existe-t-il des logs ?
Une sauvegarde ?
Un export ?
Un support externe ?
Une transmission à un tiers ?
Le système a-t-il également été entravé ?
L’accès était-il lui-même frauduleux ?
Aggravation applicable ?

CCXXXIV. Checklist spéciale salarié sortant

Date du départ.
Fonction.
Droits informatiques.
Volumes habituels d’export.
Volume litigieux.
Destination.
Support personnel ?
Cloud personnel ?
Fichiers compressés ?
Envoi à une adresse privée ?
Utilité professionnelle réelle ?
Instruction hiérarchique ?
Dissimulations ?
Utilisation ultérieure ?

CCXXXV. Checklist spéciale administrateur

Droit root ?
Droit réel de modification ?
Mission ?
Procédure de modification ?
Journalisation ?
Suppression cachée ?
Logs effacés ?
Autre utilisateur tenu dans l’ignorance ?
But professionnel ?
But personnel ?

CCXXXVI. Checklist spéciale exfiltration

Quel fichier ?
Quelle taille ?
Quelle commande ?
Export local ?
USB ?
Cloud ?
FTP ?
Email ?
Compression ?
Chiffrement ?
Destination IP ?
Destinataire ?
Copie conservée ?
Diffusion ultérieure ?

CCXXXVII. Checklist spéciale suppression

Donnée existait-elle ?
Preuve de son état antérieur ?
Qui pouvait la supprimer ?
Auteur avait-il ce droit ?
Suppression normale ou exceptionnelle ?
Était-elle dissimulée ?
Historique également effacé ?
Effet sur le fonctionnement ?
Possibilité de récupération ?
Mobile ?

CCXXXVIII. Checklist spéciale modification

Version originale.
Version modifiée.
Différences.
Auteur.
Heure.
Autorisation.
Règles applicables.
Dissimulations.
Impact sur le système.
Impact économique ou juridique.

CCXXXIX. Preuve numérique : règles pratiques

Conserver notamment :

logs ;
historique d’accès ;
sauvegardes ;
journaux d’audit ;
métadonnées ;
supports ;
messages.

CCXL. Ne pas modifier les preuves en les examinant

Une enquête interne maladroite peut :

changer les dates ;
ouvrir les fichiers ;
modifier les métadonnées.

La chaîne de conservation doit être organisée.

CCXLI. Images forensiques

Elles permettent de préserver l’état du support.

CCXLII. Hash

Il permet de documenter l’intégrité d’une copie.

CCXLIII. Logs cloud

Dans les systèmes SaaS :

historique d’export ;
activité de compte ;
téléchargements

peuvent être décisifs.

CCXLIV. Logs DLP

Un système de prévention des fuites de données peut enregistrer :

copie USB ;
email externe ;
upload.

CCXLV. Mais l’outil de sécurité n’est pas juge

Une alerte DLP :

n’établit pas automatiquement une infraction.

Il faut analyser les droits et le contexte.

CCXLVI. Erreurs fréquentes

Erreur n° 1 : 323-3 suppose un accès frauduleux préalable

Faux. Cass. crim., 8 décembre 1999 : une personne disposant d’un droit d’accès peut néanmoins modifier frauduleusement les données.

Erreur n° 2 : droit d’accès = droit de modifier

Faux.

Erreur n° 3 : droit de modification = jamais de 323-3

Faux également. Une suppression ou modification sciemment dissimulée à un autre utilisateur peut être frauduleuse. Cass. crim., 8 juin 2021.

Erreur n° 4 : toute suppression par le propriétaire est frauduleuse

Faux. Cass. crim., 7 janvier 2020 rappelle qu’une personne disposant réellement des droits d’accès et de modification et n’opérant pas de dissimulation n’entre pas automatiquement dans le champ des articles 323-1 à 323-3.

Erreur n° 5 : il faut prouver une volonté de nuire

Faux. La jurisprudence de 1999 indique que la volonté spécifique de nuire n’est pas nécessaire pour la modification ou suppression frauduleuse.

Erreur n° 6 : si les données originales restent en place, 323-3 ne s’applique pas

Faux. Extraction, reproduction et transmission sont expressément réprimées.

Erreur n° 7 : copier n’est pas une atteinte parce que rien n’est « pris »

Faux depuis la rédaction actuelle de 323-3. La reproduction et l’extraction sont expressément visées.

Erreur n° 8 : l’article 323-3 vise seulement les données personnelles

Faux. Les données personnelles de l’État constituent seulement une aggravation.

Erreur n° 9 : toute base contenant des données personnelles déclenche 7 ans

Faux. Il faut que le STAD soit :

mis en œuvre par l’État.

Erreur n° 10 : supprimer une donnée = entrave 323-2 automatique

Faux. Il faut démontrer un effet sur le fonctionnement.

Erreur n° 11 : copier une base = vol seulement

Trop restrictif. L’article 323-3 réprime expressément aujourd’hui l’extraction et la reproduction frauduleuses.

Erreur n° 12 : la réforme de 2015 peut être appliquée à une extraction de 2012

Faux. Les extensions pénales plus sévères ne s’appliquent pas rétroactivement.

Erreur n° 13 : propriétaire des données = immunité absolue

Faux comme règle générale. Il faut analyser :

droits réels ;
autres utilisateurs ;
dissimulation.

Erreur n° 14 : administrateur = droit de tout copier

Faux. Les privilèges techniques ne définissent pas seuls les autorisations pénales.

Erreur n° 15 : information non secrète = 323-3 impossible

Faux comme principe général. Le texte n’exige pas expressément que la donnée soit secrète.

Erreur n° 16 : influence sur Google = modification de données automatique

Faux. Une décision récente distingue l’influence indirecte sur les résultats de l’atteinte au fonctionnement ou aux données du moteur lui-même.

Erreur n° 17 : recevoir un fichier par erreur = détention frauduleuse automatique

Faux. Il faut établir la connaissance et le caractère frauduleux de la conservation.

Erreur n° 18 : compression du fichier crée nécessairement une nouvelle infraction autonome

Pas automatiquement. Il faut appliquer les règles de concours et ne pas multiplier artificiellement les qualifications d’une séquence unique.

Erreur n° 19 : suppression récupérable = pas suppression

Faux comme proposition absolue. Il faut examiner l’effet réel de l’opération sur la disponibilité de la donnée dans le système.

Erreur n° 20 : données copiées par sauvegarde automatique = infraction

Faux. Le caractère frauduleux reste indispensable.

CCXLVII. Jurisprudence majeure : Cass. crim., 8 décembre 1999, n° 98-84.752

Cette décision demeure fondamentale. Un chef comptable avait modifié des écritures définitivement enregistrées dans le système de comptabilité dont il avait pourtant la charge. La Cour énonce qu’une modification ou suppression intentionnelle accomplie en violation de la réglementation applicable peut constituer l’infraction :

sans qu’il soit nécessaire que l’auteur soit dépourvu de tout droit d’accès ;

et :

sans nécessité d’établir une volonté spécifique de nuire.

CCXLVIII. Principe n° 1 de l’arrêt de 1999

DROIT D’ACCÈS ≠ DROIT SUR LA DONNÉE.

CCXLIX. Principe n° 2

LE CARACTÈRE FRAUDULEUX PEUT RÉSULTER DU DÉTOURNEMENT CONSCIENT DES RÈGLES QUI GOUVERNENT LA MODIFICATION.

CCL. Jurisprudence majeure : Cass. crim., 7 janvier 2020, n° 18-84.755

Cet arrêt apporte la nuance indispensable. La Cour juge que les infractions des articles 323-1 à 323-3 ne peuvent être reprochées à une personne qui :

bénéficie des droits d’accès ;
bénéficie des droits de modification ;
supprime les données ;
sans dissimuler l’opération à d’éventuels autres utilisateurs.

CCLI. Principe de 2020

DROIT RÉEL DE MODIFICATION + ABSENCE DE DISSIMULATION = PAS DE FRAUDE AUTOMATIQUE.

CCLII. Pourquoi 1999 et 2020 ne se contredisent pas

1999 :

l’auteur avait accès au système mais les modifications violaient les règles applicables aux écritures définitivement validées.

2020 :

l’utilisateur disposait réellement de facultés de suppression dans le fonctionnement prévu du logiciel et l’opération n’était pas cachée aux autres utilisateurs.

Les droits sur la donnée n’étaient donc pas les mêmes.

CCLIII. Jurisprudence majeure : Cass. crim., 8 juin 2021, n° 20-85.853

La Cour précise ensuite :

UNE MODIFICATION OU SUPPRESSION SCIEMMENT DISSIMULÉE À AU MOINS UN AUTRE UTILISATEUR DU SYSTÈME EST NÉCESSAIREMENT FRAUDULEUSE

même lorsque cet autre utilisateur ne possède pas lui-même de droits de modification.

CCLIV. Formule définitive de méthode

Pour une suppression ou modification par une personne ayant des droits :

DROIT D’ACCÈS ?

↓

DROIT DE MODIFICATION ?

↓

OPÉRATION CONFORME AUX RÈGLES ?

↓

DISSIMULÉE À UN AUTRE UTILISATEUR ?

↓

CARACTÈRE FRAUDULEUX.

CCLV. Jurisprudence ANSES : Cass. crim., 20 mai 2015, n° 14-81.336

Cette décision est essentielle historiquement. Le prévenu avait téléchargé et copié des fichiers protégés du système de l’ANSES. La Cour avait notamment retenu :

maintien frauduleux ;
vol.

La rédaction de 323-3 actuellement applicable, intégrant explicitement extraction, détention, reproduction et transmission, est entrée en vigueur postérieurement aux faits de cette affaire.

CCLVI. Leçon de l’arrêt ANSES

Le droit positif actuel est plus directement adapté à :

L’EXFILTRATION DE DONNÉES SANS SUPPRESSION DE L’ORIGINAL.

CCLVII. Actualité récente : moteur de recherche

Une décision récente a encore rappelé qu’un moteur de recherche constitue un STAD, mais que des comportements modifiant indirectement les résultats naturels ne relèvent pas automatiquement des articles 323-1 à 323-3 lorsqu’ils ne portent pas atteinte :

au fonctionnement du moteur ;
ou aux données qu’il contient.

CCLVIII. Importance de cette décision

Elle évite d’étendre abusivement 323-3 à toute influence extérieure produisant un effet visible sur un système automatisé.

EFFET SUR LE RÉSULTAT AFFICHÉ ≠ MODIFICATION FRAUDULEUSE DES DONNÉES INTERNES.

CCLIX. Régime légal au 13 août 2026

Au 13 août 2026, l’article 323-3 demeure rédigé autour des opérations suivantes :

INTRODUIRE

EXTRAIRE

DÉTENIR

REPRODUIRE

TRANSMETTRE

SUPPRIMER

MODIFIER

frauduleusement les données concernées. Peine de base :

5 ANS + 150 000 €.

Aggravation étatique :

7 ANS + 300 000 €.

Bande organisée :

10 ANS + 300 000 €.

Effet grave sur la vie, l’intégrité des personnes ou les secours :

10 ANS + 300 000 €.

CCLX. Méthode ultra-rapide

Face à une fuite ou altération de données :

1. QUELLE DONNÉE ?

Puis :

2. QUEL STAD ?

Puis :

3. QUEL VERBE DE 323-3 ?

introduction ?

extraction ?

détention ?

reproduction ?

transmission ?

suppression ?

modification ?

Puis :

4. L’AUTEUR AVAIT-IL UN DROIT D’ACCÈS ?

Puis :

5. AVAIT-IL LE DROIT D’ACCOMPLIR CETTE OPÉRATION PRÉCISE ?

Puis :

6. L’OPÉRATION A-T-ELLE ÉTÉ DISSIMULÉE À D’AUTRES UTILISATEURS ?

Puis :

7. LE SYSTÈME A-T-IL ÉGALEMENT ÉTÉ ENTRAVÉ ?

Puis :

8. ACCÈS FRAUDULEUX PRÉALABLE ?

Puis :

9. AGGRAVATION ÉTAT / BANDE ORGANISÉE / RISQUE POUR LES PERSONNES ?

CCLXI. Formule spéciale salarié

J’AI LE DROIT DE VOIR

ne signifie pas :

J’AI LE DROIT DE COPIER.

J’AI LE DROIT DE COPIER POUR MON TRAVAIL

ne signifie pas :

J’AI LE DROIT D’EMPORTER LES DONNÉES POUR MON USAGE PERSONNEL.

CCLXII. Formule spéciale administrateur

JE PEUX TECHNIQUEMENT TOUT MODIFIER

ne signifie pas :

JE SUIS JURIDIQUEMENT AUTORISÉ À TOUT MODIFIER.

Mais inversement :

SI JE DISPOSE RÉELLEMENT DU DROIT DE MODIFICATION ET QUE L’OPÉRATION EST NORMALE ET NON DISSIMULÉE, 323-3 N’EST PAS AUTOMATIQUE.

Cass. crim., 7 janvier 2020 et 8 juin 2021.

CCLXIII. À retenir

La première règle est :

ARTICLE 323-3 = PROTECTION PÉNALE DIRECTE DES DONNÉES CONTENUES DANS UN STAD.

Au 13 août 2026, il sanctionne :

INTRODUCTION

EXTRACTION

DÉTENTION

REPRODUCTION

TRANSMISSION

SUPPRESSION

MODIFICATION

frauduleuses. La deuxième règle est :

PEINE DE BASE : 5 ANS + 150 000 €.

La troisième règle est :

ACCÈS AU SYSTÈME ≠ DROIT SUR LES DONNÉES.

Cass. crim., 8 décembre 1999 : une personne peut avoir le droit d’accéder au système et néanmoins commettre une modification frauduleuse. La quatrième règle est :

VOLONTÉ SPÉCIFIQUE DE NUIRE NON NÉCESSAIRE.

La modification consciente contraire aux règles gouvernant la donnée peut suffire à caractériser le caractère frauduleux dans les conditions de la jurisprudence. La cinquième règle nuance fortement les précédentes :

DROIT RÉEL DE MODIFICATION + OPÉRATION NORMALE + ABSENCE DE DISSIMULATION = 323-3 NON AUTOMATIQUE.

Cass. crim., 7 janvier 2020, n° 18-84.755. La sixième règle est devenue un critère majeur depuis 2021 :

MODIFICATION OU SUPPRESSION SCIEMMENT DISSIMULÉE À AU MOINS UN AUTRE UTILISATEUR = CARACTÈRE FRAUDULEUX.

Cass. crim., 8 juin 2021, n° 20-85.853. La septième règle est :

COPIER SANS EFFACER PEUT SUFFIRE.

La rédaction actuelle de 323-3 incrimine expressément :

extraction ;
reproduction ;
détention ;
transmission.

La huitième règle est temporelle : ces branches ont été ajoutées en 2015 et ne doivent pas être rétroactivement appliquées à des faits antérieurs. La neuvième règle est :

323-1 ≠ 323-2 ≠ 323-3.

ACCÈS → 323-1

FONCTIONNEMENT → 323-2

DONNÉES → 323-3.

Un même cyberincident peut naturellement comporter les trois dimensions. La dixième règle concerne l’exfiltration :

LAISSER L’ORIGINAL INTACT N’ÉCARTE ABSOLUMENT PAS 323-3.

Le droit pénal actuel vise expressément la copie et la sortie de données du système. La onzième règle est :

TOUTE INFLUENCE SUR LE RÉSULTAT D’UN ALGORITHME N’EST PAS UNE MODIFICATION DE DONNÉES.

La jurisprudence récente relative aux moteurs de recherche exige de caractériser une véritable atteinte :

au système ;
ou aux données qu’il contient.

La douzième règle concerne les aggravations :

STAD DE DONNÉES PERSONNELLES MIS EN ŒUVRE PAR L’ÉTAT → 7 ANS + 300 000 €.

BANDE ORGANISÉE → 10 ANS + 300 000 €.

RISQUE IMMÉDIAT TRÈS GRAVE POUR LES PERSONNES OU OBSTACLE AUX SECOURS → 10 ANS + 300 000 €.

Enfin, la méthode générale est :

IDENTIFIER LE STAD → IDENTIFIER LA DONNÉE → IDENTIFIER L’OPÉRATION → IDENTIFIER LES DROITS DE L’AUTEUR SUR CETTE OPÉRATION PRÉCISE → RECHERCHER UNE DISSIMULATION → PROUVER L’INTENTION → DISTINGUER 323-1 / 323-2 / 323-3 → RECHERCHER EXTRACTION, CONSERVATION ET TRANSMISSION SUCCESSIVES → VÉRIFIER LES AGGRAVATIONS.

CLXXXII. Outils de piratage, programmes malveillants et article 323-3-1

L’article 323-3-1 du Code pénal organise une répression en amont de la cyberattaque. Il permet de sanctionner certains comportements portant sur les moyens techniques spécialement conçus ou adaptés pour commettre les atteintes informatiques des articles :

323-1 : accès ou maintien frauduleux ;
323-2 : entrave ou fonctionnement faussé ;
323-3 : atteinte frauduleuse aux données.

Au 13 août 2026, l’article 323-3-1 sanctionne, lorsqu’ils sont accomplis sans motif légitime, notamment de recherche ou de sécurité informatique, les actes consistant à :

importer ;
détenir ;
offrir ;
céder ;
mettre à disposition

un :

équipement ;
instrument ;
programme informatique ;
ou toute donnée

conçu ou spécialement adapté pour commettre une ou plusieurs infractions des articles 323-1 à 323-3. La peine est celle prévue pour l’infraction que le moyen est destiné à permettre de commettre ou, lorsqu’il en permet plusieurs, celle correspondant à l’infraction la plus sévèrement réprimée. La formule de départ est donc :

OUTIL TECHNIQUEMENT DANGEREUX ≠ OUTIL PÉNALEMENT INTERDIT AUTOMATIQUEMENT.

Il faut réunir plusieurs éléments :

MOYEN CONÇU OU SPÉCIALEMENT ADAPTÉ POUR UNE CYBERINFRACTION

ACTE D’IMPORTATION / DÉTENTION / OFFRE / CESSION / MISE À DISPOSITION

ABSENCE DE MOTIF LÉGITIME.

Cette dernière condition est fondamentale, car un grand nombre d’outils indispensables à la cybersécurité peuvent également être utilisés pour attaquer un système.

I. Une infraction d’anticipation

L’article 323-3-1 permet d’intervenir avant même que l’attaque finale soit consommée. L’auteur peut donc être poursuivi alors même qu’aucun serveur n’a encore été effectivement :

pénétré ;
bloqué ;
modifié.

Le législateur saisit certains moyens de commission lorsqu’ils circulent ou sont détenus sans motif légitime.

II. Pourquoi une telle incrimination ?

Une cyberattaque suppose souvent des préparatifs :

malware ;
exploit ;
keylogger ;
outil d’exfiltration ;
programme de saturation ;
identifiants ou données spécialement préparées.

Attendre systématiquement l’intrusion achevée limiterait considérablement la prévention pénale.

III. Mais le texte ne criminalise pas la cybersécurité

C’est tout aussi important. L’article mentionne expressément les motifs légitimes :

notamment de recherche ou de sécurité informatique.

Le terme « notamment » signifie que la recherche et la sécurité informatique sont des illustrations majeures du motif légitime, non une liste nécessairement exhaustive.

IV. Première condition : un objet entrant dans les catégories légales

Le texte vise :

un équipement ;
un instrument ;
un programme informatique ;
toute donnée.

La notion est donc volontairement large.

V. L’équipement

Il peut s’agir d’un dispositif matériel spécialement destiné ou adapté à la réalisation d’une attaque.

VI. L’instrument

Cette notion permet également d’englober des moyens matériels qui ne constitueraient pas nécessairement à eux seuls un ordinateur complet.

VII. Le programme informatique

C’est la catégorie la plus évidente. Peuvent notamment être concernés, selon leur conception et leur usage :

malware ;
keylogger ;
outil d’exploitation ;
logiciel de sabotage.

VIII. La donnée

Le texte va plus loin :

une donnée peut elle-même constituer le moyen de l’infraction.

Exemple :

code d’exploitation spécialement préparé ;
données techniques permettant de déclencher une vulnérabilité.

IX. Deuxième condition : conçu ou spécialement adapté

Le texte ne vise pas n’importe quel ordinateur ou logiciel. Le moyen doit être :

CONÇU

ou :

SPÉCIALEMENT ADAPTÉ

pour commettre une ou plusieurs infractions des articles 323-1 à 323-3.

X. Logiciel d’usage général

Un navigateur internet peut servir à une attaque. Mais il sert surtout à des milliards d’utilisations légitimes. Le simple fait qu’un navigateur ait été utilisé pendant un piratage ne suffit pas à en faire automatiquement un programme « conçu ou spécialement adapté » au sens de 323-3-1.

XI. Terminal système

Même logique pour :

PowerShell ;
terminal Linux ;
SSH ;
Python.

Ce sont des outils généraux. Ils peuvent être employés :

pour administrer ;
pour développer ;
ou pour attaquer.

L’article 323-3-1 ne saurait être appliqué sur leur seule présence.

XII. Adaptation spécifique

La situation change lorsqu’un programme ou script est spécialement modifié afin de :

contourner une authentification ;
exploiter une vulnérabilité déterminée ;
exfiltrer des données ;
désactiver un service.

XIII. Le double usage

C’est la difficulté centrale du chapitre. De nombreux outils sont dual use :

utiles au défenseur

et :

utiles à l’attaquant.

Exemples :

scanner de ports ;
outil de récupération de mots de passe ;
framework de pentest ;
analyseur réseau.

XIV. Une règle à bannir

« Logiciel de hacking = logiciel interdit. »

C’est juridiquement faux. L’article 323-3-1 contient précisément l’exigence :

SANS MOTIF LÉGITIME.

XV. Troisième condition : un comportement expressément visé

Le texte ne dit pas simplement :

« être en présence d’un outil dangereux ».

Il incrimine cinq comportements :

IMPORTER

DÉTENIR

OFFRIR

CÉDER

METTRE À DISPOSITION.

XVI. Importer

L’importation vise l’introduction du moyen concerné dans le contexte territorial auquel le droit pénal français est applicable. Il faut examiner les faits concrets et les règles générales de compétence pénale.

XVII. Détenir

La détention est particulièrement importante. Elle permet de poursuivre une personne qui conserve sciemment l’outil, même sans l’avoir elle-même fabriqué.

XVIII. Exemple

A télécharge un keylogger. Il le conserve sur son ordinateur dans le but d’espionner les identifiants d’un collègue.

323-3-1 peut être examiné.

XIX. La simple présence d’un fichier n’est pas nécessairement une détention coupable

Un malware peut apparaître :

dans une quarantaine antivirus ;
dans un échantillon reçu automatiquement ;
dans une base de recherche.

Il faut examiner :

connaissance ;
maîtrise ;
motif.

XX. Malware placé en quarantaine

Un antivirus conserve volontairement un fichier malveillant dans une zone isolée.

motif de sécurité informatique évident en principe.

XXI. Laboratoire de sécurité

Un chercheur conserve :

ransomware ;
chevaux de Troie ;
exploits.

S’ils sont détenus pour :

analyse ;
recherche ;
détection ;
développement de contre-mesures,

la notion de motif légitime est directement pertinente.

XXII. Offrir

Le texte sanctionne également le fait de proposer le moyen à autrui. L’offre peut précéder toute remise effective.

XXIII. Exemple

A annonce :

« Je vends un programme permettant de voler les mots de passe de telle application vulnérable. »

L’offre peut être juridiquement analysée même avant la livraison.

XXIV. Céder

La cession vise la transmission du moyen à un tiers. Elle peut être :

rémunérée ;
ou, selon les circonstances, gratuite.

Le texte ne réduit pas la cession à la vente commerciale.

XXV. Mettre à disposition

Cette notion est particulièrement adaptée au numérique. Exemples :

dépôt public ;
serveur de téléchargement ;
lien permettant l’accès au fichier ;
espace de partage.

XXVI. Mise à disposition ≠ utilisation effective obligatoire

La jurisprudence du 27 octobre 2009, n° 09-82.346 est capitale sur ce point. La chambre criminelle a validé une condamnation concernant la diffusion publique de moyens permettant d’exploiter des vulnérabilités et a relevé que l’article 323-3-1 n’exige pas qu’une incitation particulière à leur utilisation malveillante soit caractérisée.

XXVII. Formule de 2009

MISE À DISPOSITION DU MOYEN ≠ NÉCESSITÉ DE PROUVER QUE L’AUTEUR A EXPRESSÉMENT DIT « UTILISEZ-LE POUR PIRATER ».

Ce qui compte est notamment :

nature du moyen ;
mise à disposition ;
absence de motif légitime ;
élément intentionnel.

XXVIII. L’affaire de 2009

Le prévenu administrait un site spécialisé en sécurité informatique. Des informations techniques et programmes d’exploitation de vulnérabilités y avaient été diffusés. Il invoquait :

l’information du public sur les failles.

Les juges ont néanmoins retenu qu’il connaissait des moyens de divulgation plus protecteurs, notamment l’alerte directe de l’éditeur, et qu’il avait conscience du risque que la diffusion publique des exploits soit utilisée à des fins de piratage.

XXIX. Il ne faut pas déformer cet arrêt

La Cour ne dit pas :

« publier une vulnérabilité est toujours pénalement interdit ».

Elle valide une appréciation factuelle du motif légitime au regard :

du mode de divulgation ;
de la connaissance de l’auteur ;
du caractère exploitable des informations ;
des alternatives dont il avait lui-même connaissance.

XXX. Responsible disclosure

La divulgation responsable constitue ainsi un élément pratique essentiel de la cybersécurité. Elle peut notamment consister à :

signaler la vulnérabilité au responsable ;
laisser un délai raisonnable de correction ;
limiter initialement la diffusion des détails permettant l’exploitation.

L’arrêt de 2009 montre l’importance pénale potentielle du mode de divulgation lorsqu’un exploit directement utilisable est concerné.

XXXI. Publication scientifique

Une publication décrivant :

principe de la vulnérabilité ;
méthodologie ;
correctif

peut répondre à une finalité légitime de recherche. Mais la qualification dépend toujours du contenu exact et des circonstances.

XXXII. Publication d’un exploit fonctionnel

La situation devient plus sensible lorsqu’est fourni :

un programme prêt à l’emploi ;
permettant immédiatement l’exploitation ;
sans précaution particulière.

L’arrêt de 2009 est précisément utile pour cette frontière.

XXXIII. Proof of concept

Un PoC n’est pas automatiquement illicite. Il faut analyser :

utilité scientifique ;
précision ;
destinataires ;
conditions de diffusion ;
possibilité immédiate de détournement ;
démarches préalables de sécurité.

XXXIV. Motif légitime : notion centrale

L’article 323-3-1 formule la règle sous une forme négative :

SANS MOTIF LÉGITIME.

La poursuite doit donc être appréciée à la lumière de la justification concrètement invoquée.

XXXV. Recherche informatique

Le texte cite expressément :

la recherche.

Exemples possibles :

laboratoire académique ;
recherche en malware ;
étude de vulnérabilités.

XXXVI. Sécurité informatique

Autre exemple expressément donné :

la sécurité informatique.

Cela couvre notamment les activités professionnelles normales de :

pentest ;
réponse à incident ;
analyse de malware ;
maintenance de sécurité.

XXXVII. « Notamment » est important

Le texte ne dit pas :

« exclusivement recherche ou sécurité informatique ».

Il dit :

« notamment ».

Il faut donc éviter d’affirmer que seules ces deux finalités pourraient jamais constituer un motif légitime.

XXXVIII. Mais le simple mobile personnel ne suffit pas

C’est l’apport central de l’arrêt du 16 janvier 2018, n° 16-87.168. Un praticien hospitalier avait détenu et installé un keylogger sur les ordinateurs de collègues pour intercepter clandestinement leurs frappes, obtenir leurs codes et accéder à leurs courriels. La Cour valide notamment la condamnation pour détention sans motif légitime d’un équipement adapté à de telles atteintes.

XXXIX. Le motif invoqué

Le prévenu soutenait notamment agir afin de :

défendre sa situation professionnelle ;
préserver sa réputation.

Les juges ont considéré que cette motivation personnelle ne constituait pas un motif légitime justifiant la détention et l’installation clandestines du keylogger.

XL. Formule à retenir

SE DÉFENDRE DANS UN CONFLIT PROFESSIONNEL ≠ AUTORISATION D’INSTALLER UN LOGICIEL ESPION SUR L’ORDINATEUR D’AUTRUI.

XLI. La finalité réelle compte

Un même programme peut être détenu :

Cas A

par un analyste pour étudier sa signature.

motif légitime possible.

Cas B

par une personne pour voler les mots de passe de son conjoint ou collègue.

motif légitime très difficile à soutenir.

XLII. Keylogger

Le keylogger est l’exemple pédagogique parfait d’un outil à double usage. Il peut être utilisé :

dans des tests de sécurité autorisés ;
pour certaines fonctions d’administration ;
dans un laboratoire.

Mais il peut également servir à :

espionner ;
voler des identifiants ;
intercepter des correspondances.

XLIII. Cass. crim., 16 janvier 2018

Dans l’affaire jugée, l’usage était clandestin :

installation sur les ordinateurs de tiers ;
interception à leur insu ;
récupération de leurs codes ;
accès à leurs courriels.

Ces circonstances caractérisaient nettement la mauvaise foi.

XLIV. Il ne faut pas généraliser excessivement certains motifs des juges du fond

L’arrêt reproduit une motivation selon laquelle le motif de sécurité concernait les personnes habilitées à la maintenance ou à la sécurité. Mais la règle générale du texte reste celle-ci :

MOTIF LÉGITIME, NOTAMMENT DE RECHERCHE OU DE SÉCURITÉ INFORMATIQUE.

La qualification doit donc rester factuelle et conforme au texte lui-même.

XLV. Chercheur indépendant

Un chercheur n’est pas automatiquement dépourvu de motif légitime parce qu’il n’est pas salarié d’un service informatique. Il faut examiner :

activité réelle ;
méthodologie ;
environnement ;
finalité.

Le mot « notamment » interdit une lecture excessivement fermée de l’article.

XLVI. Étudiant en cybersécurité

Même raisonnement. Détenir un exploit dans :

un cours ;
un laboratoire ;
une machine virtuelle isolée

peut présenter un motif parfaitement légitime.

XLVII. Étudiant attaquant un système tiers

L’étiquette :

« étudiant en cybersécurité »

ne protège évidemment pas un usage illicite.

XLVIII. CTF

Les compétitions Capture The Flag reposent précisément sur :

vulnérabilités ;
outils ;
exploitation.

Dans un environnement volontairement créé à cet effet, la finalité est très différente d’une intrusion contre un tiers.

XLIX. Machine virtuelle de laboratoire

Le confinement technique peut constituer un indice du sérieux du motif de recherche.

L. Absence de confinement

Elle ne suffit pas automatiquement à exclure le motif légitime. Mais elle peut être un élément contextuel lorsque le programme présente un risque réel de propagation.

LI. Analyste malware

Il peut avoir besoin de détenir :

ransomware ;
spyware ;
bot.

Le motif de recherche ou de sécurité informatique est expressément envisagé par la loi.

LII. Antivirus

Les éditeurs conservent également des échantillons malveillants afin :

de les analyser ;
de générer des signatures ;
de protéger les clients.

Cette détention ne doit évidemment pas être confondue avec une détention criminelle destinée à l’attaque.

LIII. CERT ou CSIRT

Même logique pour les équipes de réponse à incident.

LIV. Prestataire de pentest

Le prestataire peut détenir toute une bibliothèque :

exploits ;
scanners ;
outils de post-exploitation.

La question essentielle est :

UTILISÉS DANS QUEL CADRE ?

LV. Autorisation du client

Un pentest devrait reposer sur une autorisation clairement définie.

LVI. L’autorisation ne porte pas uniquement sur 323-3-1

Elle est également essentielle pour déterminer :

323-1 ;
323-2 ;
323-3.

LVII. Périmètre du pentest

L’autorisation peut être limitée :

à certaines IP ;
à certaines applications ;
à certaines heures.

LVIII. Outil autorisé, cible interdite

Le programme lui-même peut être détenu légitimement. Mais son utilisation contre une cible non autorisée peut constituer l’infraction principale. Il faut distinguer :

DÉTENTION DE L’OUTIL

et :

UTILISATION DE L’OUTIL.

LIX. 323-3-1 ne se confond pas avec l’utilisation

L’article vise :

importer ;
détenir ;
offrir ;
céder ;
mettre à disposition.

L’utilisation effective peut ensuite constituer :

323-1 ;
323-2 ;
323-3.

LX. Exemple

A détient un outil d’exploitation sans motif légitime. Il l’utilise ensuite pour accéder à un serveur. À examiner :

323-3-1

et :

323-1.

LXI. Même outil provoquant une panne

À examiner :

323-3-1

323-1

323-2, selon les faits.

LXII. Même outil exfiltrant des données

323-3-1 + 323-1 + 323-3

peuvent entrer dans l’analyse.

LXIII. Concours : prudence

Il ne faut pas pour autant multiplier les condamnations mécaniquement. Les règles générales du concours de qualifications doivent être appliquées à chaque séquence.

LXIV. Peine de 323-3-1 : particularité

Contrairement à de nombreuses incriminations, l’article 323-3-1 ne fixe pas un quantum autonome unique. Il renvoie :

aux peines prévues pour l’infraction que le moyen est destiné à permettre

ou :

à l’infraction la plus sévèrement réprimée lorsqu’il permet d’en commettre plusieurs.

LXV. Outil conçu pour un accès frauduleux simple

Si le programme est spécialement adapté pour permettre l’infraction correspondante de l’article 323-1 :

les peines de cette infraction déterminent le niveau applicable au 323-3-1.

LXVI. Outil permettant une atteinte aux données

Si le moyen est conçu pour permettre une infraction de 323-3 :

renvoi aux peines correspondantes.

LXVII. Outil polyvalent

Il permet :

intrusion ;
destruction ou modification de données.

Le texte retient alors :

L’INFRACTION LA PLUS SÉVÈREMENT RÉPRIMÉE.

LXVIII. Il faut donc identifier la fonction concrète de l’outil

Ne pas écrire simplement :

« malware = peine X ».

Il faut déterminer ce que ce malware est :

conçu ou spécialement adapté à permettre.

LXIX. Ransomware

Un ransomware peut être conçu pour :

pénétrer ou se propager ;
modifier/chiffrer des données ;
perturber le système.

Les articles sous-jacents doivent être identifiés.

LXX. Wiper

Un programme destiné à supprimer massivement les données renvoie directement vers le terrain de 323-3.

LXXI. Outil DDoS

Un programme spécialement conçu pour bloquer un système renvoie principalement vers :

323-2.

LXXII. Credential stealer

Un programme destiné à récupérer des identifiants afin de permettre un accès frauduleux peut être lié à :

323-1.

LXXIII. Remote access Trojan

Un RAT peut permettre :

accès clandestin ;
extraction de données ;
modification.

Il peut donc relever de plusieurs infractions sous-jacentes.

LXXIV. Backdoor

Même raisonnement.

LXXV. Exploit

Un exploit est un code ou mécanisme destiné à exploiter une vulnérabilité. Il n’est pas automatiquement illicite. Il faut examiner :

conception ;
adaptation ;
acte poursuivi ;
motif légitime.

LXXVI. Exploit public dans une base de sécurité

Une base maintenue à des fins professionnelles ou scientifiques peut poursuivre un objectif légitime. Mais l’arrêt de 2009 montre que la façon dont un exploit opérationnel est mis à disposition peut être déterminante.

LXXVII. Exploit privé transmis à l’éditeur

L’envoi confidentiel au responsable du logiciel afin qu’il corrige la faille constitue l’exemple même d’une finalité de sécurité.

LXXVIII. Vente à un attaquant connu

A connaît le projet de B. Il lui cède un exploit spécialement conçu pour pénétrer le serveur C.

absence de motif légitime particulièrement évidente.

LXXIX. Vente de licences d’un outil de pentest

Situation radicalement différente. Un outil commercial peut être vendu à des entreprises pour :

audits ;
pentests ;
formation.

Il faut analyser son usage et les circonstances, non seulement son potentiel technique.

LXXX. Fabrication : une absence remarquable dans l’énumération

L’article 323-3-1 vise expressément :

importer ;
détenir ;
offrir ;
céder ;
mettre à disposition.

Le verbe :

fabriquer

n’apparaît pas, en tant que tel, dans cette liste.

LXXXI. Mais le concepteur peut ensuite détenir le programme

Une personne qui écrit le malware le conserve généralement. La détention peut alors être examinée.

LXXXII. Le concepteur peut également le mettre à disposition

Même logique.

LXXXIII. Développement dans un laboratoire

Un chercheur développe un code malveillant simulé afin de tester un antivirus.

motif légitime à examiner.

LXXXIV. Développement pour une attaque planifiée

Le contexte devient totalement différent.

LXXXV. Données d’authentification volées : attention à la qualification

Un simple mot de passe n’est pas nécessairement, à lui seul, un « programme informatique ». Mais le texte vise aussi :

toute donnée conçue ou spécialement adaptée pour commettre l’une des infractions.

Il faut néanmoins rester prudent avant d’appliquer cette branche à toute information technique.

LXXXVI. Une liste de mots de passe générique

Elle peut avoir :

finalité pédagogique ;
audit de robustesse ;
ou brute force.

Le contexte est déterminant.

LXXXVII. Wordlist

Une wordlist est un excellent exemple de double usage.

LXXXVIII. Hash cracker

Un outil de cassage de hash peut permettre :

récupération légitime de mots de passe ;
audit ;
ou intrusion.

LXXXIX. Scanner de ports

Il sert :

aux administrateurs ;
aux attaquants.

Le simple fait de détenir un scanner ne suffit donc pas raisonnablement à caractériser 323-3-1.

XC. Scanner configuré spécifiquement pour une attaque

La situation peut changer si le programme est :

spécialement adapté ;
associé à une cible ;
conservé sans motif légitime.

XCI. Scripts personnalisés

Les scripts ciblant :

une URL précise ;
un mécanisme précis ;
une vulnérabilité précise

peuvent fournir des indices beaucoup plus forts de préparation.

XCII. Nom du fichier

hack.exe n’a aucune valeur juridique automatique. Inversement : maintenance.exe peut être un malware. Le juge doit analyser le fonctionnement réel.

XCIII. Analyse statique

Elle peut identifier :

fonctions ;
chaînes ;
adresses ;
mécanisme.

XCIV. Analyse dynamique

L’exécution en environnement contrôlé peut révéler :

connexions ;
fichiers créés ;
données envoyées ;
commandes.

XCV. Reverse engineering

Il peut être essentiel pour démontrer que le programme a été :

conçu ou spécialement adapté

pour l’infraction.

XCVI. Documentation de l’outil

Le README peut être probatoirement déterminant. Exemple :

« programme destiné à extraire clandestinement tous les mots de passe de l’application X ».

XCVII. Messages de l’auteur

Même importance :

« voici l’outil qui permet d’entrer sans mot de passe ».

XCVIII. Code source commenté

Les commentaires peuvent révéler la finalité.

XCIX. Fonctions réellement opérationnelles

Il faut vérifier si le programme possède effectivement les fonctions alléguées.

C. Programme non fonctionnel

Un fichier prétend être un malware mais ne fonctionne absolument pas. La qualification de « conçu ou spécialement adapté » doit être soigneusement discutée.

CI. Prototype

Un prototype incomplet peut néanmoins avoir été conçu pour l’infraction. Mais le dossier doit établir suffisamment cette finalité.

CII. Fake malware

Un escroc vend un programme supposé être un ransomware alors qu’il ne fait rien. 323-3-1 n’est pas nécessairement la qualification la plus évidente. L’escroquerie envers l’acheteur peut devenir plus pertinente.

CIII. Contenu manifestement bénin

Un simple fichier texte renommé virus.exe n’est pas un programme malveillant.

CIV. Intention et connaissance

Le prévenu doit avoir conscience des circonstances constituant l’infraction. La simple ignorance raisonnable de la fonction spéciale du programme peut exclure l’intention.

CV. Administrateur recevant un fichier à analyser

Il sait que le programme est un malware. Mais :

sa connaissance n’est pas coupable si sa détention est justifiée par la mission de sécurité.

CVI. Connaissance + motif légitime

C’est une distinction fondamentale. Un analyste malware doit précisément savoir qu’il détient un logiciel malveillant. Sa connaissance ne suffit donc absolument pas à constituer le délit.

CVII. La mauvaise foi ne se réduit pas à connaître la nature du fichier

Il faut également examiner :

L’ABSENCE DE MOTIF LÉGITIME.

CVIII. Affaire du keylogger

La mauvaise foi résultait notamment de :

l’installation clandestine ;
l’espionnage des frappes ;
l’objectif d’obtenir les codes ;
l’accès aux courriels à l’insu des utilisateurs.

CIX. Défense de réputation

La Cour valide le rejet de cette justification. Ce qui montre que :

MOBILE PERSONNEL ≠ MOTIF LÉGITIME AU SENS DE 323-3-1 AUTOMATIQUEMENT.

CX. Affaire de 2009 : intérêt financier

Les juges avaient également pris en compte l’intérêt économique tiré de l’audience du site publiant les exploits pour apprécier la bonne foi invoquée.

CXI. Mais le profit n’est pas un élément constitutif obligatoire

Une mise à disposition gratuite peut tout aussi bien être poursuivie si les autres conditions sont réunies.

CXII. Open source

Le caractère open source d’un programme :

n’est ni une immunité ni une preuve de criminalité.

CXIII. GitHub ou autre dépôt public

La plateforme utilisée est secondaire. Ce qui compte :

nature du code ;
finalité ;
conditions de diffusion ;
motif légitime.

CXIV. Publication après correction de la faille

Elle peut contribuer à caractériser une démarche responsable, selon les circonstances.

CXV. Publication avant correction

Elle peut présenter davantage de risques, surtout si l’exploit est immédiatement opérationnel. Mais la qualification pénale reste factuelle.

CXVI. Délai de divulgation

Le Code pénal ne fixe pas, dans l’article 323-3-1, un nombre automatique de jours de divulgation responsable. Il serait donc erroné d’inventer une règle pénale :

« 90 jours = toujours légal ».

CXVII. Bug bounty

Les règles du programme peuvent fournir un élément essentiel du motif légitime.

CXVIII. Chercheur respectant le périmètre

Il utilise un exploit uniquement sur :

la cible autorisée ;
pendant la période autorisée.

Le motif de sécurité est particulièrement fort.

CXIX. Dépassement volontaire

Il utilise le même exploit contre les systèmes expressément exclus. L’analyse devient différente.

CXX. Cession à l’intérieur d’une équipe de sécurité

Un analyste transmet l’échantillon à un collègue chargé de l’étude.

mise à disposition matériellement possible,

mais :

motif légitime également évident en principe.

CXXI. Plateforme de partage de malware entre CERT

Même logique.

CXXII. Formation professionnelle

Un formateur distribue des échantillons neutralisés à des étudiants dans un environnement fermé.

finalité pédagogique et de sécurité à examiner.

CXXIII. Formation criminelle

Une personne vend :

« kit complet pour pirater des comptes bancaires ».

La prétendue formation ne suffit évidemment pas à créer un motif légitime.

CXXIV. Titre du cours ≠ réalité

Le juge examine les faits.

CXXV. « À des fins éducatives seulement »

Une mention écrite dans le README :

n’est pas une immunité.

Elle doit être confrontée :

au fonctionnement réel ;
au public visé ;
au contexte.

CXXVI. Clause de non-responsabilité

Même règle. Une phrase :

« je ne suis pas responsable de l’usage »

ne fait pas disparaître automatiquement les éléments de 323-3-1.

CXXVII. Absence d’incitation explicite

L’arrêt de 2009 est précisément important : le texte n’exige pas nécessairement une incitation explicite à l’usage malveillant pour sanctionner une mise à disposition dépourvue de motif légitime.

CXXVIII. 323-3-1 et complicité

Les deux mécanismes doivent être distingués.

323-3-1

Incrimination autonome de certains comportements portant sur les moyens.

Complicité

Aide ou assistance intentionnelle à la commission d’une infraction déterminée.

CXXIX. Exemple

A vend un outil spécialisé à B. B l’utilise pour attaquer C. Selon la connaissance de A et les circonstances :

323-3-1 ;
complicité de l’attaque

peuvent devoir être examinés.

CXXX. Fournisseur innocent

Un fournisseur vend un serveur ordinaire. Il ignore complètement le projet de B.

responsabilité pénale non automatique.

CXXXI. Hébergeur

Même logique. Le simple hébergement d’un fichier malveillant à l’insu du prestataire n’établit pas sa participation intentionnelle.

CXXXII. Marketplace clandestine

Une personne sait qu’elle met à disposition des outils spécifiquement destinés au piratage. Le contexte peut renforcer la caractérisation de l’intention.

CXXXIII. Chiffrement ou anonymisation

L’usage de techniques de protection de la vie privée :

chiffrement ;
VPN ;
anonymisation

n’est pas en lui-même une preuve de criminalité.

CXXXIV. Mais la dissimulation peut constituer un indice

Elle peut prendre une signification lorsqu’elle est combinée avec :

contenu du malware ;
messages ;
cible ;
paiement.

CXXXV. Article 323-4 : groupement préparatoire

Le dispositif d’anticipation ne s’arrête pas à 323-3-1. L’article 323-4 sanctionne la participation à un groupement ou une entente établie en vue de préparer une ou plusieurs infractions des articles 323-1 à 323-3-1, lorsque cette préparation est caractérisée par un ou plusieurs faits matériels.

CXXXVI. Deux niveaux d’anticipation

On peut donc schématiser :

OUTIL DANGEREUX SANS MOTIF LÉGITIME → 323-3-1

et :

GROUPEMENT PRÉPARATOIRE MATÉRIALISÉ → 323-4.

CXXXVII. Exemple

A possède seul un malware sans motif légitime.

323-3-1 possible.

CXXXVIII. Exemple collectif

A, B et C :

sélectionnent une cible ;
louent un serveur ;
préparent un ransomware ;
organisent la diffusion.

Même avant l’attaque :

323-4 peut devoir être examiné.

CXXXIX. Simple discussion abstraite

Trois étudiants discutent :

« un ransomware fonctionne comme ça ».

Aucun projet réel ni fait matériel de préparation.

323-4 non automatique.

CXL. Faits matériels de préparation

Le texte exige expressément :

un ou plusieurs faits matériels.

CXLI. Bande organisée

Lorsque les infractions des articles 323-1 à 323-3-1 sont commises en bande organisée, l’article 323-4-1 porte la peine à :

10 ans d’emprisonnement et 300 000 euros d’amende.

CXLII. 323-3-1 est expressément inclus

L’aggravation de bande organisée concerne donc également l’infraction portant sur les outils.

CXLIII. Pluralité ≠ bande organisée

Deux personnes se transmettent un programme. Cela ne suffit pas mécaniquement. La bande organisée suppose les conditions générales de l’article 132-71.

CXLIV. Organisation structurée

Exemples d’indices :

rôles distribués ;
infrastructure préparée ;
cible déterminée ;
financement ;
serveurs de commande.

CXLV. Malware-as-a-Service

Les modèles modernes peuvent répartir :

développeur ;
distributeur ;
opérateur ;
affilié.

La responsabilité doit être individualisée pour chaque participant.

CXLVI. Développeur

Il peut :

créer ;
détenir ;
offrir ;
mettre à disposition.

CXLVII. Affilé

Il peut utiliser l’outil pour :

323-1 ;
323-2 ;
323-3.

CXLVIII. Revendeur

Il peut relever directement des verbes :

offrir ;
céder ;
mettre à disposition.

CXLIX. Acheteur

Sa détention peut relever du texte si :

nature de l’outil ;
connaissance ;
absence de motif légitime

sont établies.

CL. Administrateur innocent

Une entreprise acquiert un outil de pentest pour son équipe sécurité.

motif légitime.

CLI. Détournement personnel par un salarié

Le même outil est ensuite utilisé secrètement par un salarié contre son conjoint. Sa propre responsabilité doit être distinguée de celle de l’entreprise.

CLII. Outil fourni par l’employeur

L’origine légitime du programme ne rend pas toute utilisation ultérieure légitime.

CLIII. Matériel BadUSB

Un périphérique peut être spécialement programmé afin de :

injecter des commandes ;
récupérer des données.

Il peut entrer dans la catégorie :

équipement ;
instrument.

CLIV. Clé USB ordinaire

Une clé standard n’est pas, en elle-même, spécialement conçue pour une atteinte informatique.

CLV. Clé modifiée

La situation change si elle est programmée spécifiquement pour exécuter automatiquement des commandes malveillantes.

CLVI. Wi-Fi auditing

Un outil capable d’analyser ou tester les réseaux Wi-Fi peut être parfaitement légitime. Une décision sociale rendue à Angers mentionne d’ailleurs la découverte, sur un ordinateur professionnel, d’un logiciel qualifié d’outil permettant de « craquer » des réseaux Wi-Fi ; cet exemple montre surtout que la qualification dépend du contexte et ne doit pas être tirée de la seule appellation de l’outil.

CLVII. Une décision sociale n’est pas une jurisprudence pénale de principe

Elle ne doit donc pas être utilisée pour définir les éléments de 323-3-1. Le texte pénal et les arrêts criminels restent prioritaires.

CLVIII. Phishing kit

Un kit préconfiguré peut contenir :

faux formulaire ;
scripts ;
mécanismes de récupération.

Selon sa conception, il peut être spécialement adapté à des infractions informatiques, mais d’autres qualifications comme l’escroquerie peuvent également être centrales.

CLIX. Faux site seul

Un faux site n’entre pas nécessairement dans 323-3-1. Il faut identifier le lien précis avec les infractions 323-1 à 323-3.

CLX. Credential-harvesting malware

S’il est spécifiquement conçu pour récupérer les identifiants permettant l’accès aux systèmes :

323-3-1 devient beaucoup plus directement pertinent.

CLXI. Spyware

Même logique, selon ses fonctions :

keylogging ;
extraction ;
accès.

CLXII. Logiciel de surveillance parentale

Il peut avoir des usages licites. Le seul potentiel de surveillance ne suffit donc pas.

CLXIII. Transformation en stalkerware

La configuration et l’usage clandestins contre un adulte peuvent conduire à plusieurs qualifications. Il faut identifier :

atteinte informatique ;
secret des correspondances ;
vie privée.

CLXIV. Article 226-15

Le keylogger ou spyware peut également servir à intercepter des correspondances. Dans l’affaire du 16 janvier 2018, des poursuites portaient également sur l’atteinte au secret des correspondances électroniques.

CLXV. 323-3-1 n’est donc pas une incrimination isolée

Les outils malveillants peuvent participer à des atteintes :

informatiques ;
aux correspondances ;
aux données personnelles ;
patrimoniales.

CLXVI. Cryptominer clandestin

Un programme installé sans autorisation peut utiliser les ressources d’un tiers. Les qualifications doivent être adaptées aux effets :

accès ;
fonctionnement ;
données.

Sa simple qualification comme « malware » n’impose pas automatiquement 323-3-1 sans analyse de sa conception et de sa finalité.

CLXVII. Adware

Même prudence. Tous les logiciels indésirables ne sont pas nécessairement conçus pour commettre 323-1 à 323-3.

CLXVIII. Programme dangereux mais visant une autre infraction

Si le programme est conçu uniquement pour commettre une infraction qui n’entre pas dans les articles 323-1 à 323-3 :

323-3-1 n’est pas automatiquement applicable.

Le renvoi légal est précis.

CLXIX. Exemple

Un logiciel permettant seulement la contrefaçon d’une œuvre ne relève pas automatiquement de 323-3-1 pour cette seule fonction.

CLXX. Il faut toujours identifier l’infraction cible

Question :

QUEL ARTICLE 323-1, 323-2 OU 323-3 CET OUTIL EST-IL CONÇU POUR PERMETTRE ?

Sans réponse claire, la qualification est fragile.

CLXXI. Affaire de janvier 2020 : logiciel de caisse

Une jurisprudence particulièrement importante montre que l’infraction sous-jacente doit elle-même pouvoir être constituée. Dans Cass. crim., 7 janvier 2020, n° 18-84.755, un logiciel permettait à des pharmaciens de supprimer certaines lignes de ventes avant leur arrêté comptable. La chambre criminelle approuve le non-lieu : les utilisateurs bénéficiaient des droits d’accès et de modification nécessaires et les suppressions n’étaient pas dissimulées aux autres utilisateurs ; dès lors, les infractions des articles 323-1 à 323-3 n’étaient pas caractérisées, et la mise à disposition de l’outil ne pouvait être poursuivie sous 323-3-1 sur ce fondement.

CLXXII. Principe majeur de 2020

PAS D’INFRACTION INFORMATIQUE CIBLE → PAS DE 323-3-1 SIMPLEMENT PARCE QU’UN LOGICIEL PEUT FACILITER UN COMPORTEMENT FRAUDULEUX D’UNE AUTRE NATURE.

CLXXIII. Exemple fiscal

Un logiciel permet éventuellement de masquer fiscalement une opération. Cela ne signifie pas automatiquement qu’il est conçu pour commettre :

323-1 ;
323-2 ;
323-3.

Il faut établir l’atteinte informatique cible elle-même.

CLXXIV. C’est une limite capitale au texte

323-3-1 n’est pas :

l’article général de tous les logiciels utilisés pour frauder.

Il est l’article des moyens spécialement conçus ou adaptés pour les infractions informatiques auxquelles il renvoie.

CLXXV. Exemple de logiciel de comptabilité frauduleuse

S’il permet à un utilisateur, dans ses droits normaux, d’effectuer certaines opérations licites du point de vue informatique mais frauduleuses fiscalement :

l’infraction fiscale doit être examinée ;

323-3-1 n’est pas automatique.

CLXXVI. Situation différente

Le logiciel permet secrètement de supprimer des écritures définitivement verrouillées auxquelles l’utilisateur n’a aucun droit de modification. L’analyse sous 323-3 et 323-3-1 peut devenir radicalement différente.

CLXXVII. L’article 323-3-1 dépend donc du droit positif de 323-1 à 323-3

C’est une incrimination :

ACCESSOIRE PAR SA FINALITÉ

mais :

AUTONOME PAR SON ACTE MATÉRIEL.

CLXXVIII. Autonome

Il n’est pas nécessaire que l’attaque soit effectivement consommée.

CLXXIX. Mais finalisée

L’objet doit être conçu ou spécialement adapté pour commettre l’une des infractions visées.

CLXXX. Distinction avec la tentative

323-3-1 permet de sanctionner certains actes qui se situent avant le commencement d’exécution de l’attaque principale.

CLXXXI. Exemple

A détient un ransomware acheté pour une future opération. Aucune machine n’a encore été ciblée.

323-3-1 peut être examiné.

CLXXXII. Distinction avec 323-4

Si plusieurs personnes préparent collectivement cette opération :

323-4 peut aussi entrer dans l’analyse.

CLXXXIII. Preuve de la détention

Elle peut résulter :

du fichier sur le disque ;
d’un dépôt privé ;
d’un cloud ;
d’un support USB.

CLXXXIV. Mais fichier présent ≠ maîtrise automatique

Un programme peut avoir été téléchargé :

automatiquement ;
par un tiers ;
sans connaissance du titulaire.

CLXXXV. Historique de téléchargement

Il peut être utile.

CLXXXVI. Recherche internet

Les requêtes peuvent contribuer à démontrer la connaissance.

CLXXXVII. Messages

Exemple :

« je viens d’acheter le ransomware, je le testerai demain sur la société X ».

Très fort élément.

CLXXXVIII. Paiement

Un paiement à un vendeur spécialisé peut contribuer au faisceau de preuves.

CLXXXIX. Cryptomonnaie

Le moyen de paiement n’a aucune valeur pénale automatique. Il doit être replacé dans le contexte.

CXC. Adresse de commande

Un serveur de commande et contrôle peut révéler la finalité du malware.

CXCI. Configuration embarquée

Le programme contient directement :

domaine cible ;
identifiants ;
adresse d’exfiltration.

Cela peut démontrer une adaptation spéciale.

CXCII. Keylogger non configuré

Un keylogger standard dans un laboratoire :

motif légitime possible.

CXCIII. Keylogger installé sur les postes de deux collègues

situation très différente.

C’est précisément la configuration de l’arrêt de janvier 2018.

CXCIV. Preuve du motif légitime

Peuvent notamment être utiles :

contrat de pentest ;
convention de recherche ;
ticket d’incident ;
protocole de laboratoire ;
documentation de formation.

CXCV. Autorisation orale

Elle peut exister en fait mais sera souvent plus difficile à démontrer.

CXCVI. Autorisation écrite

Elle est beaucoup plus sûre.

CXCVII. Périmètre

Une autorisation de recherche doit idéalement déterminer :

systèmes ;
techniques ;
horaires ;
limites.

CXCVIII. Motif légitime et proportion du comportement

Une finalité annoncée comme légitime peut être contredite par les actes. Exemple :

prétendre analyser un keylogger

tout en l’installant clandestinement chez un collègue.

CXCIX. L’intention se déduit souvent des circonstances

Comme l’illustre l’arrêt de 2018 :

installation à l’insu des utilisateurs ;
récupération des codes ;
accès aux courriels

permettent de caractériser très fortement la mauvaise foi.

CC. Motif de recherche fictif

A stocke un ransomware et affirme après son arrestation :

« c’était pour étudier ».

Il faut rechercher :

travaux réels ;
environnement ;
documentation ;
communications ;
cibles.

CCI. Absence de diplôme

Ne suffit pas à exclure la recherche.

CCII. Diplôme en cybersécurité

Ne suffit pas à créer un motif légitime.

CCIII. Profession de l’auteur : indice, non solution

Le juge doit analyser l’activité concrète.

CCIV. Consultant sécurité utilisant l’outil contre un ex-employeur

Son métier ne le protège pas.

CCV. Non-professionnel étudiant sérieusement la sécurité

Son absence de statut professionnel ne suffit pas non plus à le condamner. Le texte parle de motif légitime, non d’un monopole professionnel explicite.

CCVI. Tableau : objets

Objet	323-3-1 possible ?
Ransomware	Oui, très directement
Keylogger	Oui selon contexte
Exploit ciblé	Oui selon contexte
Outil de pentest générique	Pas automatiquement
Navigateur	Non sur sa seule nature
Terminal système	Non sur sa seule nature
Échantillon de malware de laboratoire	Motif légitime possible
Script spécialement adapté à une cible	Oui possible

CCVII. Tableau : actes matériels

Comportement	Visé par 323-3-1 ?
Importer	Oui
Détenir	Oui
Offrir	Oui
Céder	Oui
Mettre à disposition	Oui
Utiliser	Pas comme verbe autonome de 323-3-1
Fabriquer	Pas comme verbe autonome, mais détention/mise à disposition possibles

L’énumération résulte directement de l’article 323-3-1.

CCVIII. Tableau : motif légitime

Situation	Analyse
Analyse antivirus	Motif légitime fort
Pentest autorisé	Motif légitime fort
Recherche académique encadrée	Motif légitime possible
Formation en laboratoire	Motif légitime possible
Keylogger installé clandestinement chez autrui	Motif légitime très difficile
Exploit vendu à un attaquant pour une cible	Absence de motif légitime probable
Publication responsable après analyse	À apprécier
Publication publique immédiate d’un exploit opérationnel	Analyse renforcée nécessaire

CCIX. Tableau : articles voisins

Comportement	Texte
Détenir l’outil malveillant sans motif légitime	323-3-1
Utiliser l’outil pour entrer	323-1
Utiliser l’outil pour bloquer	323-2
Utiliser l’outil pour extraire/modifier	323-3
Préparation collective matérialisée	323-4
Commission en bande organisée	323-4-1

CCX. Tableau : jurisprudence essentielle

Arrêt	Enseignement
Crim., 27 oct. 2009, n° 09-82.346	Mise à disposition d’exploits ; absence de nécessité d’incitation explicite ; examen concret du motif légitime
Crim., 16 janv. 2018, n° 16-87.168	Keylogger détenu/installé clandestinement ; défense professionnelle non suffisante
Crim., 7 janv. 2020, n° 18-84.755	Pas de 323-3-1 si l’infraction informatique cible n’est pas constituée dans les conditions de l’espèce

CCXI. Exemple complet : chercheur

A travaille dans un laboratoire universitaire. Il conserve des ransomwares :

sur une machine isolée ;
pour étudier leur comportement ;
avec un protocole scientifique.

motif légitime de recherche très sérieusement caractérisable.

L’article mentionne expressément la recherche.

CCXII. Même chercheur attaquant une entreprise

Il utilise l’un de ces programmes contre le serveur d’un tiers sans autorisation.

la finalité de recherche ne couvre pas automatiquement cette attaque.

Les articles 323-1 à 323-3 doivent être examinés selon ses actes.

CCXIII. Exemple complet : keylogger professionnel

Administrateur autorisé installe temporairement un outil d’audit sur une machine de test avec accord de l’entreprise.

motif de sécurité possible.

CCXIV. Exemple complet : keylogger clandestin

A l’installe sur les ordinateurs de collègues afin de récupérer leurs codes.

323-3-1 directement pertinent, en plus des infractions correspondant à l’accès et aux correspondances.

Cass. crim., 16 janvier 2018, n° 16-87.168.

CCXV. Exemple complet : conflit professionnel

A explique :

« j’avais besoin des mails pour prouver qu’on me persécutait ».

Cette justification ne transforme pas l’installation clandestine du keylogger en motif légitime. L’arrêt de 2018 l’illustre directement.

CCXVI. Exemple complet : exploit communiqué à l’éditeur

A découvre une faille. Il transmet :

preuve technique ;
exploit minimal

au service sécurité de l’éditeur afin de permettre la correction.

motif de sécurité particulièrement crédible.

CCXVII. Exemple complet : même exploit publié immédiatement

A publie un exploit directement opérationnel sur un site ouvert à tous, tout en sachant qu’il permet l’exploitation immédiate d’une vulnérabilité non corrigée. L’analyse du motif légitime devient beaucoup plus délicate. L’arrêt du 27 octobre 2009 montre que le mode de diffusion et la connaissance des risques peuvent conduire à écarter le motif d’information invoqué.

CCXVIII. Exemple complet : logiciel de pentest commercial

Une société commercialise un outil utilisé par :

auditeurs ;
RSSI ;
pentesters.

Le potentiel offensif n’est pas suffisant à lui seul pour faire de sa commercialisation une infraction. Il faut notamment établir que le programme est conçu ou spécialement adapté pour les infractions concernées et que l’acte est accompli sans motif légitime.

CCXIX. Exemple complet : ransomware vendu dans un forum criminel

Le vendeur explique :

« chiffrez le réseau de votre victime et exigez une rançon ».

Il fournit le programme.

323-3-1 directement à examiner.

Selon les circonstances :

complicité ;
bande organisée ;
extorsion

peuvent également être discutées.

CCXX. Exemple complet : outil de DDoS

A conserve un programme configuré pour saturer le serveur d’un concurrent. Il a sélectionné :

cible ;
paramètres ;
heure.

détention sans motif légitime particulièrement plausible.

CCXXI. Exemple complet : même outil pour test de charge

L’entreprise teste son propre serveur avec le même moteur.

motif légitime.

CCXXII. Exemple complet : étudiant

A possède Metasploit dans une machine virtuelle pour ses travaux pratiques.

détention non criminelle automatiquement.

CCXXIII. Même étudiant

Il configure un exploit pour l’infrastructure informatique de son université alors qu’aucun test n’est autorisé.

la qualification change.

CCXXIV. Exemple complet : logiciel de caisse de 2020

Un programme permet de supprimer certaines lignes avant leur validation comptable, les utilisateurs disposant réellement de cette faculté et les suppressions n’étant pas dissimulées. La Cour juge que les infractions cibles 323-1 à 323-3 ne sont pas caractérisées ; par conséquent, la mise à disposition du logiciel ne relève pas de 323-3-1 sur cette construction.

CCXXV. Enseignement pratique

UN OUTIL QUI FACILITE UNE FRAUDE FISCALE N’EST PAS AUTOMATIQUEMENT UN « OUTIL DE PIRATAGE » AU SENS DE 323-3-1.

Il faut une finalité vers les infractions informatiques visées par le texte.

CCXXVI. Exemple complet : scanner trouvé lors d’une perquisition

La police trouve un scanner de ports. Ce fait seul est insuffisant. Il faut rechercher :

pourquoi il est installé ;
comment il a été configuré ;
quelles cibles apparaissent ;
quel motif est invoqué.

CCXXVII. Exemple complet : script ciblé

Le script contient :

adresse IP de la victime ;
exploit ;
mot de passe de commande ;
fonction d’exfiltration.

Le caractère spécialement adapté est beaucoup plus facile à caractériser.

CCXXVIII. Checklist de qualification

Devant un outil suspect :

Quel est exactement l’objet ?
Équipement ?
Instrument ?
Programme ?
Donnée ?
Quelles fonctions possède-t-il ?
Est-il d’usage général ?
A-t-il été spécialement modifié ?
Pour quelle infraction ?
323-1 ?
323-2 ?
323-3 ?
Qui le détient ?
Qui l’a importé ?
Qui l’offre ?
Qui le cède ?
Qui le met à disposition ?
Quel motif est invoqué ?
Recherche ?
Sécurité informatique ?
Formation ?
Pentest ?
Autorisation ?
Périmètre ?
Le programme a-t-il déjà été utilisé ?
Sur quelle cible ?
Des victimes sont-elles identifiées ?
Existe-t-il une diffusion publique ?
À quel public ?
Une vulnérabilité était-elle corrigée ?
Une divulgation préalable avait-elle été faite ?
Y a-t-il un groupement préparatoire ?
Une bande organisée ?
Une autre infraction connexe ?

CCXXIX. Checklist du motif légitime

Rechercher notamment :

contrat ;
lettre de mission ;
convention de stage ;
programme universitaire ;
ticket de sécurité ;
rapport d’audit ;
programme de bug bounty ;
documentation de laboratoire.

CCXXX. Checklist du caractère spécialement adapté

Examiner :

code source ;
configuration ;
cible intégrée ;
fonctions ;
documentation ;
messages ;
paramètres.

CCXXXI. Checklist publication d’un exploit

Vulnérabilité réelle ?
Déjà corrigée ?
Éditeur informé ?
Quel délai ?
Code intégral publié ?
Exploit immédiatement opérationnel ?
Public restreint ou ouvert ?
Finalité de recherche démontrée ?
Précautions ?
Connaissance du risque de détournement ?

L’arrêt du 27 octobre 2009 constitue ici la référence jurisprudentielle majeure.

CCXXXII. Checklist keylogger

Qui l’a installé ?
Sur quel ordinateur ?
Autorisation ?
Pour quelle mission ?
Quelles frappes enregistrées ?
Identifiants récupérés ?
Correspondances consultées ?
Utilisateur informé ?
Motif de sécurité réel ?
Mobile personnel ?

Cass. crim., 16 janvier 2018.

CCXXXIII. Checklist entreprise de cybersécurité

Activité professionnelle réelle ?
Client ?
Autorisation écrite ?
Cible ?
Dates ?
Périmètre ?
Outils autorisés ?
Données pouvant être copiées ?
Méthodes interdites ?
Dépassement du périmètre ?

CCXXXIV. Checklist probatoire

Conserver ou analyser :

programme ;
hash ;
version ;
code ;
fichiers de configuration ;
historique de téléchargement ;
communications ;
factures ;
logs.

CCXXXV. Hash de l’échantillon

Il permet notamment de comparer le fichier à :

bases de malware ;
versions connues.

CCXXXVI. Analyse antivirus

Elle constitue un indice. Mais une détection :

« Trojan »

ne remplace pas une expertise juridique et technique.

CCXXXVII. Faux positif

Les antivirus peuvent produire des faux positifs.

CCXXXVIII. Programme d’administration à distance

Un RAT légitime peut parfois être détecté comme potentiellement indésirable. Il faut examiner :

consentement ;
configuration ;
finalité.

CCXXXIX. Nom de catégorie commerciale

« outil de hacking »

n’est donc jamais une qualification juridique suffisante.

CCXL. Erreurs fréquentes

Erreur n° 1 : toute détention d’un outil de hacking est interdite

Faux. Le texte exige l’absence de motif légitime, notamment de recherche ou de sécurité informatique.

Erreur n° 2 : seuls les professionnels salariés peuvent invoquer un motif légitime

Trop absolu. Le texte dit :

notamment de recherche ou de sécurité informatique

et ne formule pas lui-même un monopole professionnel général.

Erreur n° 3 : un diplôme en cybersécurité rend toute détention légitime

Faux. Il faut regarder l’usage et la finalité réels.

Erreur n° 4 : l’absence de diplôme signifie automatiquement absence de motif légitime

Faux également.

Erreur n° 5 : le keylogger est toujours illégal

Faux comme proposition abstraite. Mais son installation clandestine pour voler les identifiants de tiers est un exemple clair de détention dépourvue de motif légitime.

Erreur n° 6 : défendre sa réputation constitue nécessairement un motif légitime

Faux. L’arrêt du 16 janvier 2018 écarte cette justification dans le contexte d’un keylogger installé clandestinement.

Erreur n° 7 : 323-3-1 exige que l’outil ait effectivement servi

Faux. La détention, l’offre ou la mise à disposition peuvent suffire lorsqu’elles répondent aux conditions légales.

Erreur n° 8 : 323-3-1 exige une incitation explicite à pirater

Faux. La jurisprudence du 27 octobre 2009 indique que la mise à disposition peut être punissable sans exiger une incitation distincte à l’utilisation du moyen.

Erreur n° 9 : toute publication d’un exploit est interdite

Faux. Le motif légitime et les conditions de diffusion doivent être examinés.

Erreur n° 10 : écrire « à but éducatif » suffit

Faux. Le juge examine les faits réels.

Erreur n° 11 : tout outil pouvant être détourné relève de 323-3-1

Faux. Il doit être :

conçu ou spécialement adapté

pour les infractions visées.

Erreur n° 12 : un navigateur est un outil de piratage parce qu’un pirate l’utilise

Faux.

Erreur n° 13 : fabriquer est expressément l’un des verbes de 323-3-1

Faux. Le texte vise :

importer ;
détenir ;
offrir ;
céder ;
mettre à disposition.

Erreur n° 14 : le concepteur échappe donc nécessairement au texte

Faux. Il peut notamment :

détenir ;
offrir ;
céder ;
mettre à disposition.

Erreur n° 15 : un logiciel utilisé pour frauder relève nécessairement de 323-3-1

Faux. Il doit être conçu ou spécialement adapté pour une infraction des articles 323-1 à 323-3. L’arrêt du 7 janvier 2020 fournit une illustration particulièrement importante de cette limite.

Erreur n° 16 : faciliter une fraude fiscale suffit

Faux en soi. Il faut caractériser l’atteinte informatique visée par le renvoi légal.

Erreur n° 17 : mise à disposition gratuite = pas d’infraction

Faux. Le texte n’exige pas une rémunération.

Erreur n° 18 : outil open source = motif légitime automatique

Faux.

Erreur n° 19 : outil propriétaire = outil malveillant

Faux.

Erreur n° 20 : programme non utilisé = aucune preuve possible de finalité

Faux. Le code, les configurations, la documentation et les communications peuvent démontrer sa destination.

Erreur n° 21 : tous les membres d’une équipe sont responsables de la même façon

Faux. Il faut individualiser :

connaissance ;
rôle ;
actes.

Erreur n° 22 : plusieurs personnes = bande organisée

Faux. Les conditions générales de la bande organisée doivent être caractérisées.

Erreur n° 23 : 323-4 exige que l’attaque soit déjà consommée

Faux. Il réprime précisément un groupement ou une entente préparatoire, sous condition de faits matériels de préparation.

Erreur n° 24 : bande organisée n’aggrave pas 323-3-1

Faux. L’article 323-4-1 vise expressément les infractions des articles 323-1 à 323-3-1.

Erreur n° 25 : tous les outils de cyberattaque ont une peine fixe identique

Faux. 323-3-1 renvoie à la peine de l’infraction cible ou à celle de l’infraction la plus sévèrement réprimée parmi celles que le moyen permet de commettre.

CCXLI. Jurisprudence majeure : Cass. crim., 27 octobre 2009, n° 09-82.346

Cet arrêt constitue la décision de principe la plus importante sur la mise à disposition de moyens d’exploitation. Le prévenu, professionnel de la sécurité informatique, diffusait sur son site des programmes et informations permettant d’exploiter des vulnérabilités. La chambre criminelle valide le raisonnement selon lequel l’article 323-3-1 :

n’exige pas une incitation distincte à l’utilisation malveillante ;
impose d’apprécier concrètement le motif légitime ;
permet de tenir compte de la connaissance, par l’auteur, du risque de détournement des informations publiées.

CCXLII. Le motif d’information n’est pas automatiquement légitime

Dans cette affaire, les juges ont notamment relevé que l’intéressé savait :

comment alerter directement l’éditeur ;
comment limiter la diffusion des informations sensibles,

mais avait néanmoins mis les moyens exploitables à disposition d’un public ouvert.

CCXLIII. Formule de 2009

INFORMATION SUR UNE FAILLE ≠ LICÉITÉ AUTOMATIQUE DE LA DIFFUSION PUBLIQUE DE TOUS LES MOYENS TECHNIQUES PERMETTANT DE L’EXPLOITER.

CCXLIV. Mais la recherche en sécurité reste protégée

L’article lui-même préserve expressément le motif légitime de :

recherche ;
sécurité informatique.

Il faut donc éviter de transformer l’arrêt de 2009 en interdiction générale de la recherche sur les vulnérabilités.

CCXLV. Jurisprudence majeure : Cass. crim., 16 janvier 2018, n° 16-87.168

Un praticien hospitalier avait installé un keylogger sur les ordinateurs de deux confrères. Le programme permettait d’enregistrer leurs frappes et d’obtenir les codes de messagerie. Il avait ensuite accédé à leurs courriels à leur insu.

CCXLVI. Apport relatif à 323-3-1

La Cour approuve la condamnation pour la détention de l’équipement adapté, les circonstances établissant :

l’absence de motif légitime ;
la mauvaise foi ;
l’utilisation clandestine.

La prétendue défense de la situation professionnelle ou de la réputation de l’auteur n’a pas été considérée comme suffisante.

CCXLVII. Apport relatif à 323-1

La même affaire illustre parallèlement l’accès frauduleux :

keylogger → codes → accès clandestin aux courriels.

Elle montre parfaitement comment :

323-3-1 PRÉPARE L’ATTAQUE

puis :

323-1 RÉPRIME L’ATTAQUE ELLE-MÊME.

CCXLVIII. Jurisprudence majeure : Cass. crim., 7 janvier 2020, n° 18-84.755

Troisième arrêt indispensable. Un logiciel de gestion permettait notamment la disparition de certaines lignes d’opérations. Des poursuites étaient envisagées pour mise à disposition d’un moyen spécialement adapté à une atteinte informatique. La chambre criminelle approuve néanmoins le non-lieu dès lors que, dans les circonstances retenues, les utilisateurs disposaient effectivement des droits d’accès et de modification et ne dissimulaient pas les suppressions à d’autres utilisateurs ; les infractions des articles 323-1 à 323-3 n’étant pas constituées, 323-3-1 ne pouvait être retenu selon cette construction.

CCXLIX. Apport majeur de 2020

323-3-1 N’EST PAS UNE INCRIMINATION GÉNÉRALE DU « LOGICIEL À FRAUDER ».

Il faut que le moyen soit conçu ou spécialement adapté pour une véritable infraction informatique des articles 323-1 à 323-3.

CCL. Conséquence méthodologique

Devant tout programme suspect :

NE COMMENCEZ PAS PAR DEMANDER : « PEUT-IL SERVIR À FRAUDER ? »

Demandez :

« QUELLE INFRACTION 323-1, 323-2 OU 323-3 EST-IL CONÇU OU SPÉCIALEMENT ADAPTÉ À PERMETTRE ? »

CCLI. Actualité du droit au 13 août 2026

Au 13 août 2026, la rédaction de l’article 323-3-1 demeure fondée sur :

IMPORTER / DÉTENIR / OFFRIR / CÉDER / METTRE À DISPOSITION

sans motif légitime, notamment :

DE RECHERCHE OU DE SÉCURITÉ INFORMATIQUE

un moyen :

CONÇU OU SPÉCIALEMENT ADAPTÉ

pour commettre une ou plusieurs infractions des articles 323-1 à 323-3.

CCLII. Peine

La peine n’est pas un quantum autonome uniforme. Elle correspond :

à celle de l’infraction pour laquelle le moyen est conçu ou adapté,

ou :

à celle de la plus sévèrement réprimée lorsqu’il peut permettre plusieurs infractions.

CCLIII. Bande organisée

Si l’infraction de 323-3-1 est commise en bande organisée :

10 ans d’emprisonnement et 300 000 euros d’amende.

CCLIV. Méthode ultra-rapide

Face à un « outil de piratage » :

1. QU’EST-CE QUE C’EST TECHNIQUEMENT ?

Puis :

2. EST-IL CONÇU OU SPÉCIALEMENT ADAPTÉ POUR 323-1 / 323-2 / 323-3 ?

Puis :

3. QUEL ACTE EST REPROCHÉ ?

importer ?
détenir ?
offrir ?
céder ?
mettre à disposition ?

Puis :

4. EXISTE-T-IL UN MOTIF LÉGITIME ?

recherche ?
sécurité informatique ?
formation ?
autre justification sérieuse ?

Puis :

5. QUELLE EST LA FINALITÉ RÉELLE ?

Puis :

6. L’OUTIL A-T-IL ÉTÉ UTILISÉ ?

Puis :

7. INFRACTION PRINCIPALE ÉGALEMENT CONSOMMÉE ?

Puis :

8. GROUPEMENT PRÉPARATOIRE ?

Puis :

9. BANDE ORGANISÉE ?

CCLV. Schéma de qualification

OUTIL TECHNIQUE

↓

USAGE GÉNÉRAL ?

Si oui :

323-3-1 non automatique.

Si spécialement conçu/adapté : ↓

POUR 323-1 / 323-2 / 323-3 ?

Si non :

323-3-1 écarté.

Si oui : ↓

IMPORTATION / DÉTENTION / OFFRE / CESSION / MISE À DISPOSITION ?

↓

MOTIF LÉGITIME ?

Si oui :

infraction écartée sur ce fondement.

Si non :

323-3-1 POSSIBLE.

CCLVI. À retenir

La première règle est :

ARTICLE 323-3-1 = INCRIMINATION DES MOYENS TECHNIQUES DE CYBERATTAQUE, MAIS PAS INTERDICTION GÉNÉRALE DES OUTILS DE CYBERSÉCURITÉ.

Le texte vise cinq comportements :

IMPORTER

DÉTENIR

OFFRIR

CÉDER

METTRE À DISPOSITION.

La deuxième règle est :

LE MOYEN DOIT ÊTRE CONÇU OU SPÉCIALEMENT ADAPTÉ POUR COMMETTRE 323-1, 323-2 OU 323-3.

Un logiciel simplement susceptible d’être détourné ne relève pas automatiquement du texte. La troisième règle est :

MOTIF LÉGITIME = CONDITION CENTRALE.

La loi mentionne expressément :

RECHERCHE

et :

SÉCURITÉ INFORMATIQUE.

La quatrième règle est :

OUTIL À DOUBLE USAGE ≠ OUTIL ILLICITE PAR NATURE.

Un scanner, framework de pentest, keylogger ou exploit doit être apprécié à partir :

de sa conception ;
de sa détention ;
de son contexte ;
de sa finalité.

La cinquième règle résulte de Cass. crim., 27 octobre 2009, n° 09-82.346 :

LA MISE À DISPOSITION D’UN MOYEN D’EXPLOITATION PEUT ÊTRE PUNISSABLE SANS QU’IL SOIT NÉCESSAIRE DE PROUVER UNE INCITATION EXPLICITE À PIRATER.

Le motif d’information doit être apprécié concrètement, notamment au regard :

du mode de diffusion ;
de la connaissance des risques ;
des solutions de divulgation sécurisée accessibles à l’auteur.

La sixième règle résulte de Cass. crim., 16 janvier 2018, n° 16-87.168 :

KEYLOGGER INSTALLÉ CLANDESTINEMENT POUR RÉCUPÉRER LES CODES DE TIERS = EXEMPLE TYPE D’OUTIL DÉTENU SANS MOTIF LÉGITIME.

La défense de sa propre réputation ou de sa situation professionnelle ne suffit pas à justifier une telle opération. La septième règle est :

PROFESSIONNEL DE LA CYBERSÉCURITÉ ≠ IMMUNITÉ.

Mais inversement :

NON-PROFESSIONNEL ≠ ABSENCE AUTOMATIQUE DE MOTIF LÉGITIME.

Le texte doit être appliqué selon la finalité réelle et les circonstances. La huitième règle découle de Cass. crim., 7 janvier 2020, n° 18-84.755 :

IL FAUT QU’UNE INFRACTION CIBLE DE 323-1 À 323-3 PUISSE RÉELLEMENT ÊTRE CARACTÉRISÉE.

Un logiciel susceptible de favoriser une fraude d’une autre nature n’entre pas automatiquement dans 323-3-1. La neuvième règle est :

323-3-1 PEUT ÊTRE CONSOMMÉ AVANT L’ATTAQUE.

La détention elle-même peut suffire dans les conditions légales. La dixième règle est :

UTILISATION EFFECTIVE → RECHERCHER ENSUITE 323-1 / 323-2 / 323-3.

Ainsi :

KEYLOGGER DÉTENU SANS MOTIF LÉGITIME → 323-3-1

puis :

KEYLOGGER UTILISÉ POUR VOLER DES CODES ET ENTRER → 323-1.

La onzième règle est :

PRÉPARATION COLLECTIVE → PENSER À 323-4.

L’article 323-4 sanctionne le groupement ou l’entente préparatoire matérialisé par un ou plusieurs faits. La douzième règle est :

BANDE ORGANISÉE → 10 ANS + 300 000 €.

Cette aggravation s’applique expressément aux infractions allant de 323-1 à 323-3-1. La treizième règle concerne la peine propre de 323-3-1 :

ELLE EST CALQUÉE SUR L’INFRACTION CIBLE OU SUR LA PLUS SÉVÈRE DES INFRACTIONS QUE LE MOYEN PERMET DE COMMETTRE.

Enfin, la méthode générale est :

IDENTIFIER L’OUTIL → ANALYSER SES FONCTIONS RÉELLES → IDENTIFIER L’INFRACTION CIBLE → IDENTIFIER L’ACTE DE DÉTENTION OU DE DIFFUSION → RECHERCHER UN MOTIF LÉGITIME → VÉRIFIER LA FINALITÉ RÉELLE → RECHERCHER L’UTILISATION EFFECTIVE → EXAMINER 323-4 ET LA BANDE ORGANISÉE.

CLXXXIII. Groupement, entente et préparation d’atteintes informatiques — article 323-4

L’article 323-4 du Code pénal permet de réprimer une cyberattaque avant même que l’atteinte informatique projetée soit consommée. Au 13 août 2026, il punit :

la participation à un groupement formé ou à une entente établie en vue de la préparation, caractérisée par un ou plusieurs faits matériels, d’une ou de plusieurs des infractions prévues par les articles 323-1 à 323-3-1.

La peine encourue correspond :

à celle prévue pour l’infraction préparée ;
ou, lorsque plusieurs infractions sont préparées, à celle de l’infraction la plus sévèrement réprimée.

L’article 323-4 constitue ainsi une véritable incrimination autonome de préparation collective. La formule centrale est :

PAS BESOIN QUE LA CYBERATTAQUE AIT RÉUSSI.

Mais inversement :

UNE SIMPLE DISCUSSION ENTRE PLUSIEURS PERSONNES NE SUFFIT PAS.

Le texte exige conjointement :

un groupement ou une entente ;
une finalité de préparation d’une infraction relevant des articles 323-1 à 323-3-1 ;
au moins un fait matériel de préparation ;
une participation pénalement consciente au projet.

La jurisprudence de référence est Cass. crim., 7 novembre 2017, n° 16-84.918, publiée au Bulletin, relative à une opération de déni de service menée dans le contexte du collectif Anonymous contre notamment EDF. La Cour a jugé que la mise à disposition consciente d’un WebIRC permettant aux internautes de connaître les modalités concrètes d’opérations destinées à entraver le fonctionnement de systèmes informatiques pouvait caractériser l’entente préparatoire de l’article 323-4.

I. L’article 323-4 est une infraction autonome

Le premier point à comprendre est que l’article 323-4 ne constitue pas seulement :

une circonstance aggravante.

Il constitue :

UN DÉLIT AUTONOME.

II. Il sanctionne la préparation collective

L’infraction principale peut ne jamais être commise. Il peut ne jamais y avoir :

intrusion ;
suppression de données ;
DDoS effectif ;
exfiltration.

La participation au groupement préparatoire peut néanmoins être punissable si les conditions du texte sont réunies.

III. Distinction avec la tentative

La tentative suppose normalement :

commencement d’exécution ;
absence de désistement volontaire.

L’article 323-4 intervient plus en amont. Il peut concerner une phase qui n’a pas encore atteint le commencement d’exécution de l’infraction informatique projetée.

IV. Exemple

A, B et C préparent une attaque contre une entreprise. Ils ont :

identifié les serveurs ;
loué l’infrastructure ;
préparé le malware ;
réparti les rôles.

La cyberattaque n’a pas encore commencé.

323-4 peut déjà être constitué.

V. Le texte vise un groupement ou une entente

Deux formes sont envisagées :

GROUPEMENT FORMÉ

ou :

ENTENTE ÉTABLIE.

VI. Le groupement

Il suppose une réunion de plusieurs personnes autour du projet criminel informatique. Il n’est pas nécessaire que cette structure soit :

une société ;
une association ;
une organisation juridiquement constituée.

VII. Le groupement peut être informel

Un collectif créé sur :

un forum ;
une messagerie ;
un serveur de discussion

peut suffire selon les faits.

VIII. L’entente

Le terme permet d’appréhender une coordination qui ne prend pas nécessairement la forme d’une organisation stable.

IX. Pas besoin d’une structure hiérarchique complexe

L’article 323-4 ne formule pas l’exigence :

d’une organisation structurée comparable à une bande organisée.

C’est une différence importante avec l’article 323-4-1.

X. Mais plusieurs personnes présentes ne suffisent pas

Il faut établir :

UNE FINALITÉ COMMUNE DE PRÉPARATION.

XI. Conversation collective ordinaire

Trois personnes discutent de cybersécurité :

« on pourrait techniquement bloquer un serveur comme ceci ».

Cela ne suffit pas à caractériser 323-4.

XII. Conversation devenue opérationnelle

Les mêmes personnes :

désignent la cible ;
choisissent la date ;
répartissent les tâches ;
préparent les outils.

La situation devient radicalement différente.

XIII. Le projet doit viser les articles 323-1 à 323-3-1

L’article 323-4 renvoie précisément aux infractions prévues par :

323-1 ;
323-2 ;
323-3 ;
323-3-1.

XIV. Préparation d’un accès frauduleux

Exemple : le groupe veut pénétrer dans un serveur.

323-1 comme infraction cible.

XV. Préparation d’un DDoS

Le groupe veut rendre un site indisponible.

323-2 comme infraction cible.

XVI. Préparation d’une exfiltration

Le groupe prépare le téléchargement clandestin d’une base.

323-3 comme infraction cible.

XVII. Préparation de la diffusion d’un outil malveillant

Le groupe organise la mise à disposition sans motif légitime d’un moyen spécialement adapté à une cyberinfraction.

323-3-1 comme infraction cible.

XVIII. Préparation d’une infraction qui n’entre pas dans ces textes

Si le projet collectif vise seulement une autre infraction :

323-4 n’est pas automatiquement applicable.

XIX. Exemple

Un groupe prépare exclusivement une escroquerie par mensonge téléphonique sans atteinte informatique correspondant aux articles 323-1 à 323-3-1.

323-4 n’est pas le texte naturel.

XX. Le fait matériel est indispensable

Le texte exige que la préparation soit :

CARACTÉRISÉE PAR UN OU PLUSIEURS FAITS MATÉRIELS.

C’est une garantie essentielle contre la criminalisation de la simple pensée.

XXI. Projet intellectuel ≠ infraction

Penser :

« ce serait possible d’attaquer ce serveur »

n’est pas punissable au titre de 323-4.

XXII. Intention commune sans matérialisation

Même une intention commune, si elle reste purement abstraite et non matérialisée, ne suffit pas nécessairement.

XXIII. Il faut passer à une préparation concrète

Exemples :

acquisition d’outils ;
location de serveurs ;
détermination de cibles ;
création de comptes ;
paramétrage de scripts.

XXIV. Fait matériel : mise à disposition d’une infrastructure de communication

La jurisprudence du 7 novembre 2017 fournit précisément cet exemple. La mise à disposition consciente d’un WebIRC facilitant la participation aux opérations du collectif constituait un élément de préparation concret.

XXV. L’affaire Anonymous / EDF

EDF avait été visée en avril 2011 par une attaque de type :

déni de service distribué — DDoS

dans le cadre d’une opération du collectif Anonymous appelée notamment « Greenrights ».

XXVI. Fonction du WebIRC

Le prévenu mettait à disposition une passerelle permettant à des internautes d’accéder plus facilement aux discussions IRC du collectif sans avoir à installer et paramétrer eux-mêmes un logiciel dédié.

XXVII. Pourquoi cet élément était important

Cette passerelle permettait notamment aux utilisateurs :

de rejoindre les canaux ;
d’avoir accès aux échanges ;
de connaître les modalités concrètes des opérations informatiques projetées.

XXVIII. La Cour retient la conscience

La condamnation n’est pas fondée sur la simple exploitation innocente d’un service de discussion. La mise à disposition était retenue comme :

consciente

dans un contexte où étaient connues les opérations informatiques du collectif.

XXIX. Formule de principe de l’arrêt

La Cour juge en substance que la mise à disposition consciente d’un WebIRC donnant accès aux modalités concrètes d’opérations de pirates informatiques visant à entraver des STAD peut constituer :

le délit d’entente en vue de la préparation d’entraves au fonctionnement de STAD.

XXX. Portée majeure

IL N’EST PAS NÉCESSAIRE DE LANCER PERSONNELLEMENT LES PAQUETS DU DDoS POUR PARTICIPER À L’ENTENTE PRÉPARATOIRE.

XXXI. Fournir l’infrastructure peut suffire

Selon les circonstances :

serveur IRC ;
canal ;
infrastructure de coordination ;
relais technique

peuvent constituer des faits matériels de préparation.

XXXII. Mais l’hébergeur innocent n’est pas automatiquement coupable

Un prestataire héberge une messagerie utilisée à son insu par des pirates.

pas de participation consciente sur ce seul fondement.

XXXIII. Il faut une participation consciente

L’élément moral demeure indispensable.

XXXIV. Connaissance du projet

La personne doit savoir qu’elle participe au groupement ou à l’entente préparatoire.

XXXV. Exemple

A loue un serveur à B. B ne dit rien de son projet. A ignore tout de l’attaque.

323-4 non caractérisé sur cette seule location.

XXXVI. Situation inverse

B dit :

« nous allons attaquer EDF samedi, configure-moi le serveur IRC pour coordonner l’opération ».

A accepte en connaissance de cause.

analyse radicalement différente.

XXXVII. Participation personnelle aux faits matériels

Dans les incriminations voisines de groupement préparatoire, la chambre criminelle rappelle que la participation consciente peut résulter soit de l’accomplissement personnel de faits matériels préparatoires, soit de la connaissance des faits matériels commis par les autres participants. Cette formulation a été expressément retenue en 2025 pour l’article 222-14-2, texte voisin par sa structure ; elle constitue une référence méthodologique utile, sans être un arrêt rendu directement sur 323-4.

XXXVIII. Application prudente au droit informatique

Pour 323-4, il faut donc rechercher concrètement :

ce que le prévenu a fait ;
ce qu’il savait ;
à quel projet il s’associait.

XXXIX. Présence dans un groupe Telegram

La seule appartenance à un canal contenant des pirates :

ne suffit pas automatiquement.

XL. Participation active

La personne :

fournit des cibles ;
transmet les outils ;
donne des horaires ;
coordonne les membres.

323-4 devient beaucoup plus plausible.

XLI. Présence silencieuse

Un utilisateur rejoint un canal mais n’intervient jamais. Il faudra démontrer davantage pour établir sa participation consciente.

XLII. Lecture des discussions

La lecture peut contribuer à établir la connaissance. Mais :

CONNAISSANCE SEULE ≠ PARTICIPATION AUTOMATIQUE.

Il faut caractériser sa participation à l’entente ou au groupement.

XLIII. Message d’approbation vague

« cool ».

Insuffisant à lui seul dans de nombreux cas.

XLIV. Message opérationnel

« je prends le serveur n° 3 et je lance les requêtes à 21 h ».

Fait nettement plus probant.

XLV. Fourniture d’une cible

A transmet :

adresse IP ;
nom de domaine ;
sous-domaines.

Cela peut constituer un acte préparatoire.

XLVI. Cartographie du système

A réalise :

scan ;
cartographie ;
inventaire des ports.

Puis transmet le résultat au groupe pour permettre l’attaque.

fait matériel possible.

XLVII. Recherche d’une vulnérabilité

Même logique si elle est effectuée spécifiquement au service du projet collectif illicite.

XLVIII. Activité professionnelle identique

Un pentester réalise exactement les mêmes opérations :

avec autorisation ;
pour sécuriser un système.

aucune participation criminelle.

XLIX. Le contexte transforme l’analyse

La technique ne suffit pas. Il faut toujours identifier :

POUR QUEL PROJET ?

L. Acquisition d’un malware

Un membre achète un ransomware pour le groupe.

fait matériel préparatoire possible.

LI. Développement du malware

Un membre adapte le code pour la cible.

fait matériel particulièrement évident.

LII. Hébergement du malware

Un autre prépare un serveur de téléchargement.

possible participation.

LIII. Préparation d’un domaine de commande

Le groupe enregistre :

domaine ;
DNS ;
serveur C2.

matérialisation du projet.

LIV. Acquisition de comptes compromis

Des identifiants sont achetés pour pénétrer la cible.

fait préparatoire possible.

LV. Paiement d’une infrastructure

Une cryptomonnaie est utilisée pour payer :

VPS ;
proxy ;
domaine.

Le moyen de paiement n’est pas lui-même incriminant. Mais sa finalité peut participer au faisceau de preuve.

LVI. VPN

L’utilisation d’un VPN est licite en soi.

LVII. VPN configuré pour l’attaque

Il peut toutefois constituer un élément du dispositif préparatoire lorsqu’il est expressément organisé dans le cadre du projet.

LVIII. Achat de SIM

Même prudence. Une carte SIM n’est pas criminelle. Mais plusieurs cartes acquises spécifiquement pour coordonner anonymement une attaque peuvent participer aux faits matériels.

LIX. Comptes temporaires

Création de comptes anonymes destinés à l’opération :

possible fait préparatoire.

LX. Serveur Discord

La plateforme utilisée est juridiquement indifférente. L’entente peut se former sur :

IRC ;
Discord ;
Telegram ;
Matrix ;
forum.

LXI. Le support technologique peut évoluer

La jurisprudence de 2017 portait sur IRC. Le principe porte sur :

LA COORDINATION CONSCIENTE ET MATÉRIALISÉE

et non sur IRC comme technologie particulière.

LXII. Préparation d’une attaque DDoS

Exemples de faits matériels :

recrutement de participants ;
diffusion de l’heure ;
détermination de la cible ;
mise à disposition de l’outil ;
configuration du canal de coordination.

LXIII. Botnet

L’installation ou la préparation d’un botnet pour une attaque déterminée peut constituer un puissant élément matériel.

LXIV. Machines compromises

Les propriétaires des machines utilisées à leur insu :

ne participent évidemment pas au groupement sur ce seul fait.

LXV. Opérateur du botnet

Celui qui :

commande ;
configure ;
met le botnet à disposition

peut avoir un rôle central.

LXVI. Préparation d’un ransomware

Le groupe peut répartir les tâches :

accès initial ;
élévation de privilèges ;
exfiltration ;
chiffrement ;
négociation.

LXVII. Tous n’exécutent pas nécessairement l’attaque finale

323-4 permet précisément d’appréhender les participants préparatoires.

LXVIII. Affilié ransomware

Il peut recevoir l’outil et la cible. Il participe ensuite à la préparation.

LXIX. Développeur du malware

Sa responsabilité dépend :

de sa connaissance du projet ;
de son rôle ;
du contexte.

LXX. Développeur d’un outil vendu publiquement pour pentest

Pas de 323-4 automatiquement.

LXXI. Développeur adaptant expressément le code pour une attaque

Situation différente.

LXXII. Recherche de vulnérabilité par un tiers

Un chercheur publie légalement un rapport. Un groupe criminel l’exploite sans qu’il le sache.

aucune participation à l’entente sur ce seul fait.

LXXIII. Chercheur rejoignant ensuite le projet

S’il accepte de fournir une version opérationnelle précisément pour l’attaque :

analyse différente.

LXXIV. Préparation d’une exfiltration de données

Le groupe peut préparer :

accès ;
script d’export ;
serveur de réception ;
chiffrement de l’archive.

article 323-4 possible.

LXXV. Exfiltration jamais réalisée

L’échec technique final ne fait pas nécessairement disparaître l’infraction préparatoire déjà consommée.

LXXVI. Désistement

La personne quitte le groupe avant l’attaque. Si 323-4 était déjà consommé par sa participation au projet préparatoire matérialisé, le retrait ultérieur n’efface pas nécessairement l’infraction consommée.

LXXVII. Mais le retrait peut avoir une portée probatoire

Il peut notamment éclairer :

date ;
degré de participation ;
individualisation de la peine.

LXXVIII. Repentir actif

Avertir la victime peut être pris en considération. Mais cela n’efface pas automatiquement les faits déjà consommés.

LXXIX. Le projet doit être suffisamment déterminé

Une entente visant vaguement :

« à faire du hacking un jour »

est juridiquement plus fragile.

LXXX. Cible individualisée non toujours indispensable

Le texte ne dit pas explicitement que la victime doit déjà être parfaitement identifiée. Il exige néanmoins une préparation concrète d’une ou plusieurs infractions déterminables.

LXXXI. Exemple

Le groupe prépare un ransomware destiné à être déployé contre :

« n’importe quelle entreprise vulnérable ».

Il faudra examiner la précision suffisante du projet et des faits matériels.

LXXXII. Projet contre une catégorie de cibles

Exemple :

opérateurs énergétiques français.

La jurisprudence Anonymous portait précisément sur des opérations visant notamment des opérateurs d’importance vitale.

LXXXIII. Préparation publique

Le fait que l’appel à l’action soit public ne fait pas disparaître l’infraction.

LXXXIV. Anonymous

La coordination était précisément accessible via un espace de discussion en ligne. La publicité du canal n’excluait pas la qualification de l’entente préparatoire.

LXXXV. Anonymat des autres participants

Il n’est pas nécessairement indispensable d’identifier préalablement tous les autres participants pour caractériser l’existence d’une entente. Il faut néanmoins établir suffisamment la réalité du groupement et la participation du prévenu.

LXXXVI. Collectif diffus

Un mouvement décentralisé peut donc théoriquement former une entente au sens pénal lorsqu’une opération concrète est préparée.

LXXXVII. Simple adhésion idéologique

Être favorable à Anonymous ou à une cause militante :

n’est pas en soi 323-4.

LXXXVIII. Participation à l’opération informatique

Ce sont :

les faits ;
la connaissance ;
le projet

qui déterminent la qualification.

LXXXIX. Mobile politique

Une cyberattaque peut être revendiquée comme :

militante ;
politique ;
écologique.

Le mobile ne fait pas automatiquement disparaître l’article 323-4.

XC. Affaire Greenrights

Le contexte militant de l’opération visant EDF n’a pas empêché l’application de l’article 323-4.

XCI. Liberté d’expression

Une simple communication d’opinion bénéficie évidemment d’un régime très différent.

XCII. Appel politique

« Je suis opposé à la politique énergétique d’EDF ».

Ce n’est pas un fait de préparation informatique.

XCIII. Message opérationnel

« voici l’adresse, voici l’outil, attaque à 20 h ».

Analyse totalement différente.

XCIV. Information technique neutre

Publier :

« un DDoS est une saturation par volume de requêtes ».

Pas de 323-4 automatique.

XCV. Instructions opérationnelles intégrées au projet

La mise à disposition consciente des modalités concrètes d’une opération de pirates constitue précisément le type de situation retenu en 2017.

XCVI. 323-4 et 323-3-1

Ces deux textes sont proches mais différents.

323-3-1

porte sur :

l’outil ou la donnée spécialement conçu/adapté.

323-4

porte sur :

la participation collective à une préparation matérialisée.

XCVII. Une personne seule

Elle peut commettre :

323-3-1.

Mais :

323-4 suppose un groupement ou une entente.

XCVIII. Plusieurs personnes avec un malware

Ils peuvent relever :

de 323-3-1 ;
de 323-4.

XCIX. Exemple

A fournit le ransomware. B prépare la liste de cibles. C prépare les serveurs.

323-4 peut saisir l’entente globale.

C. L’outil lui-même

La détention sans motif légitime du ransomware :

323-3-1 peut également être examinée.

CI. Pas de double automatisme

La coexistence des faits ne signifie pas que toutes les qualifications doivent être cumulées mécaniquement. Les règles de concours doivent être appliquées.

CII. 323-4 et association de malfaiteurs

Une analogie importante existe avec l’article 450-1. Les deux textes incriminent :

participation à un groupement ou une entente ;
préparation matérialisée d’infractions.

CIII. Mais 323-4 est spécial

Il est spécialement consacré aux infractions informatiques :

323-1 à 323-3-1.

CIV. Article 450-1

L’association de malfaiteurs est un régime général visant certains crimes ou délits selon la peine encourue. Il faut donc rechercher la règle de spécialité et les éventuels concours avec prudence.

CV. La jurisprudence sur l’association de malfaiteurs éclaire la méthode

La Cour de cassation rappelle que l’association de malfaiteurs implique un acte de participation à un groupement établi en vue de la commission d’infractions.

CVI. Mais ne pas transposer mécaniquement

L’article 323-4 dispose de :

son propre champ ;
sa propre référence aux infractions informatiques ;
son propre régime de peine.

CVII. 323-4 et bande organisée : surtout ne pas confondre

L’article 323-4-1 prévoit :

lorsque les infractions des articles 323-1 à 323-3-1 sont commises en bande organisée, la peine est portée à 10 ans d’emprisonnement et 300 000 euros d’amende.

CVIII. 323-4 = infraction autonome

Il punit :

la participation à l’entente préparatoire.

CIX. 323-4-1 = circonstance aggravante

Il aggrave :

l’infraction informatique effectivement commise en bande organisée.

CX. Préparation vs commission

C’est la distinction essentielle.

323-4 : ON PRÉPARE COLLECTIVEMENT.

323-4-1 : ON COMMET L’INFRACTION DANS LE CADRE D’UNE BANDE ORGANISÉE.

CXI. La bande organisée exige davantage de structure

La jurisprudence générale définit la bande organisée comme supposant une organisation structurée entre ses membres et la préméditation de l’infraction ; cette circonstance aggravante se distingue de l’association de malfaiteurs, qui repose sur la participation à un groupement préparatoire.

CXII. Transposition à 323-4-1

La même notion générale de bande organisée de l’article 132-71 gouverne l’aggravation cyber de 323-4-1.

CXIII. Plusieurs cyberattaquants ≠ bande organisée automatiquement

Trois personnes agissent ensemble. Cela ne suffit pas nécessairement. Il faut caractériser :

l’organisation structurée.

CXIV. En revanche, 323-4 peut nécessiter moins de structure

Une entente préparatoire réelle et matérialisée peut suffire sans atteindre nécessairement le degré d’organisation requis pour la bande organisée.

CXV. Exemple comparatif

A et B conviennent ponctuellement d’un DDoS et préparent les scripts.

323-4 possible.

CXVI. Exemple de bande organisée

Une équipe dispose de :

administrateurs ;
développeurs ;
botnet ;
infrastructure ;
chaîne de commandement ;
rôles préétablis.

Puis réalise les attaques.

323-4-1 fortement à examiner.

CXVII. L’article 323-4 n’est donc pas une « petite bande organisée »

Les concepts sont distincts.

CXVIII. Peine de 323-4

Le texte adopte un mécanisme particulier. La peine correspond :

à l’infraction préparée

ou :

à la plus sévèrement réprimée lorsque plusieurs sont préparées.

CXIX. Pas de peine uniforme

Il serait faux d’écrire :

« 323-4 = toujours cinq ans ».

CXX. Préparation d’un accès frauduleux simple

La peine correspondra au régime de l’infraction 323-1 préparée.

CXXI. Préparation d’une atteinte plus sévère

Si le groupe prépare une infraction de 323-3 plus sévèrement punie :

le quantum de celle-ci peut déterminer celui de 323-4.

CXXII. Plusieurs infractions préparées

Exemple :

accès frauduleux ;
exfiltration ;
sabotage.

Le texte retient :

l’infraction la plus sévèrement réprimée.

CXXIII. Important : la peine dépend du droit en vigueur

Il faut donc toujours vérifier la version applicable de :

323-1 ;
323-2 ;
323-3 ;
323-3-1.

CXXIV. 323-4 n’a pas changé depuis 2004 sur sa structure actuelle

L’article est en vigueur sous cette rédaction depuis le 22 juin 2004, à la suite de la loi du 21 juin 2004.

CXXV. Mais les infractions auxquelles il renvoie ont évolué

Notamment :

peines de 323-1 ;
contenu de 323-3 ;
aggravations.

Il faut donc déterminer le droit applicable au moment des faits.

CXXVI. Non-rétroactivité

Une aggravation ultérieure de la peine de l’infraction cible ne peut être appliquée rétroactivement aux faits plus anciens si elle est plus sévère.

CXXVII. Exemple

Entente préparatoire de 2012. Il ne faut pas calculer automatiquement la peine avec les quanta de 2026.

CXXVIII. Article 323-4 et déni de service

L’arrêt de 2017 constitue le cas emblématique. L’infraction cible était l’entrave prévue à l’article 323-2.

CXXIX. Déni de service distribué

Le projet consistait à multiplier les sollicitations contre les systèmes informatiques visés afin de perturber leur disponibilité.

CXXX. Participation sans attaque directe personnelle

Le prévenu n’était pas poursuivi uniquement pour avoir personnellement envoyé le trafic. Son rôle portait sur l’outil de coordination. C’est précisément ce qui donne à l’arrêt sa portée pédagogique.

CXXXI. Mise à disposition consciente

La Cour insiste sur ce caractère.

INFRASTRUCTURE + CONNAISSANCE DU PROJET = PARTICIPATION POSSIBLE.

CXXXII. Fourniture d’informations

Le jugement approuvé tenait également compte de la mise à disposition d’informations permettant de réaliser les opérations de déni de service.

CXXXIII. Guide d’attaque

Un document décrivant :

cible ;
heure ;
logiciel ;
paramètres

peut donc constituer un fait préparatoire lorsqu’il est fourni dans le cadre d’une entente consciente.

CXXXIV. Documentation scientifique générale

La même information hors contexte criminel :

n’a pas nécessairement la même qualification.

CXXXV. Le contexte de participation est décisif

C’est une constante de la cybercriminalité :

UN MÊME OUTIL OU UNE MÊME INFORMATION PEUT ÊTRE LICITE OU PARTICIPER À UN PROJET DÉLICTUEUX SELON SON CONTEXTE.

CXXXVI. Préparation d’une attaque contre l’employeur

Un salarié donne à des tiers :

plan du réseau ;
mots de passe ;
créneau de maintenance.

Il sait qu’ils vont attaquer l’entreprise.

323-4 peut être examiné.

CXXXVII. Simple fuite de mot de passe accidentelle

Situation différente. L’intention de participer à l’entente manque.

CXXXVIII. Insider

La participation d’un salarié interne peut faciliter :

accès ;
sabotage ;
exfiltration.

Son statut de salarié n’exclut évidemment pas 323-4.

CXXXIX. Administrateur réseau

Même chose. Il peut fournir :

droits ;
configurations ;
accès temporaires.

CXL. Administrateur agissant pour sécuriser

Il partage ces informations avec son SOC.

aucune entente criminelle.

CXLI. Administrateur partageant avec le groupe attaquant

Analyse opposée.

CXLII. Préparation d’une attaque avec phishing

Le groupe prépare un courriel destiné à récupérer des identifiants permettant ensuite l’accès frauduleux. Si le phishing est intégré au projet de 323-1 :

323-4 peut intervenir sur la phase préparatoire collective.

CXLIII. Le phishing peut relever d’autres textes

Selon les faits :

escroquerie ;
collecte frauduleuse de données ;
usurpation.

Il faut donc raisonner en concours.

CXLIV. Achat de credentials

A achète des identifiants volés pour le groupe. Il les transmet.

fait matériel préparatoire possible.

CXLV. Validation des credentials

Un membre teste qu’ils fonctionnent. Selon les circonstances, on peut déjà entrer dans :

préparation ;
tentative ;
voire accès consommé.

CXLVI. Frontière entre 323-4 et 323-1

Dès qu’une personne accède effectivement frauduleusement au système :

l’infraction principale peut être consommée.

Mais 323-4 peut avoir été consommé antérieurement.

CXLVII. Frontière entre préparation et tentative

Exemple : préparer un script :

préparation.

Le lancer contre la cible mais échouer immédiatement :

peut poser la question d’un commencement d’exécution.

CXLVIII. 323-4 reste utile

Même lorsque la tentative de l’infraction principale pose une difficulté, l’entente préparatoire peut déjà être caractérisée.

CXLIX. Préparation d’une attaque automatisée

Lancement différé programmé :

le malware est installé ;
le déclenchement prévu pour demain.

Selon l’état d’avancement, on peut discuter :

323-4 ;
tentative ;
infraction déjà consommée selon les actes.

CL. Préparation à grande échelle

Un groupe crée :

botnet ;
listes de victimes ;
scripts ;
automatisation.

La matérialité est particulièrement forte.

CLI. Preuve du groupement

Les enquêteurs peuvent rechercher :

conversations ;
rôles ;
identifiants communs ;
accès aux infrastructures.

CLII. Messageries

Exemples :

IRC ;
Telegram ;
Discord.

Les échanges peuvent révéler :

accord ;
préparation ;
conscience.

CLIII. Logs du serveur

Ils peuvent montrer :

connexions ;
administrateurs ;
création de canaux.

CLIV. Paiements

Ils peuvent relier :

personnes ;
VPS ;
domaines ;
outils.

CLV. Dépôts de code

Ils peuvent révéler :

contributions ;
versions ;
auteurs.

CLVI. Git

Un commit peut constituer un fait matériel. Mais :

auteur du commit ≠ identité physique certaine automatiquement.

CLVII. Adresses IP

Même prudence.

CLVIII. Pseudonymes

Un pseudo de forum doit être rattaché à une personne.

CLIX. Corrélation technique

Rechercher :

comptes ;
emails ;
équipements ;
paiements ;
historiques.

CLX. Perquisition numérique

Elle peut révéler :

programmes ;
cibles ;
discussions ;
fichiers de configuration.

CLXI. Simple présence d’un outil

Comme vu au chapitre CLXXXII :

ne suffit pas nécessairement.

Il faut rattacher l’outil au projet collectif.

CLXII. Liste de cibles

Un fichier :

targets.txt

contenant les systèmes visés peut être un élément très fort.

CLXIII. Calendrier d’attaque

Même logique.

CLXIV. Répartition des rôles

Document :

A : infrastructure ;
B : exploit ;
C : exfiltration.

matérialisation particulièrement claire de l’entente.

CLXV. Messages supprimés

Leur effacement peut constituer un indice de dissimulation.

CLXVI. Mais absence de messages ≠ absence d’entente

Le groupement peut être établi par d’autres moyens.

CLXVII. Messages ambigus

Il faut les interpréter avec prudence. Le vocabulaire informatique peut être :

technique ;
humoristique ;
métaphorique.

CLXVIII. « On le tue demain »

Peut vouloir dire :

arrêter un serveur ;
supprimer un processus ;
plaisanter.

Le contexte est indispensable.

CLXIX. Expertise linguistique ou technique

Elle peut parfois aider à comprendre :

jargon ;
commandes ;
références.

CLXX. Preuve de l’intention

Rechercher :

choix de cible ;
connaissance de l’opération ;
rôle volontaire ;
participation aux préparatifs.

CLXXI. Participation involontaire

Un administrateur donne un accès en pensant qu’il sert à un audit légitime. Le groupe détourne cet accès.

pas de 323-4 automatiquement.

CLXXII. Tromperie de l’un des participants

La personne peut être elle-même trompée sur la finalité. L’élément intentionnel doit être individualisé.

CLXXIII. Tous les membres n’ont pas nécessairement la même connaissance

A sait tout. B croit participer à un pentest. C sait que l’opération est illicite. Leur situation pénale peut être différente.

CLXXIV. Groupement à géométrie variable

Un participant peut rejoindre tardivement. Il faut déterminer :

quand ;
avec quelle connaissance ;
quelles opérations.

CLXXV. Participant quittant très tôt

Même analyse individualisée.

CLXXVI. Responsable du canal de discussion

L’arrêt de 2017 montre qu’un rôle technique dans la coordination peut suffire lorsqu’il est conscient.

CLXXVII. Modérateur innocent

Un modérateur général ignore qu’un canal est utilisé pour préparer une attaque.

responsabilité non automatique.

CLXXVIII. Modérateur informé

Il voit les instructions et continue volontairement à faciliter l’organisation.

analyse différente.

CLXXIX. Administration du serveur de discussion

Elle peut constituer un fait matériel si elle facilite consciemment l’opération.

CLXXX. Hébergeur professionnel

La simple mise à disposition commerciale d’un hébergement ne suffit pas sans connaissance et participation.

CLXXXI. Fourniture après avertissement

L’hébergeur reçoit des éléments précis sur le projet. Il ne devient pas automatiquement participant pour autant. Il faut démontrer :

une véritable adhésion ou participation consciente au projet, non une simple abstention.

CLXXXII. 323-4 et complicité

Les deux notions sont différentes.

CLXXXIII. Complicité

Elle suppose l’aide ou l’assistance à une infraction principale dans les conditions du droit commun.

CLXXXIV. 323-4

Elle sanctionne l’appartenance consciente à une préparation collective matérialisée.

CLXXXV. Infraction principale jamais commise

Complicité de cette infraction non consommée peut poser une difficulté. 323-4 conserve précisément son autonomie.

CLXXXVI. Exemple

Le groupe prépare l’attaque. La police intervient avant toute intrusion.

323-4 peut être poursuivi.

CLXXXVII. 323-4 et 323-4-1 : concours temporel

Le groupe prépare. Puis attaque effectivement en bande organisée. Il faut examiner :

l’infraction préparatoire ;
les infractions consommées aggravées.

Le cumul ne doit pas être décidé mécaniquement.

CLXXXVIII. Jurisprudence générale sur association de malfaiteurs et bande organisée

La chambre criminelle a jugé en 2022 que l’association de malfaiteurs et la circonstance de bande organisée ne se confondent pas : la première implique la participation à un groupement en vue de commettre des infractions, tandis que la seconde aggrave l’infraction commise ou préparée par un groupement structuré.

CLXXXIX. Utilité méthodologique pour la cybercriminalité

Cette distinction permet de comprendre :

323-4 ≠ 323-4-1.

CXC. Mais toujours respecter la spécialité des textes

L’arrêt de 2022 portait sur l’association de malfaiteurs et le blanchiment, non directement sur 323-4. Il sert à expliquer la notion générale de bande organisée, pas à substituer 450-1 à 323-4.

CXCI. Bande organisée cyber depuis 2023

L’article 323-4-1 prévoit depuis le 26 janvier 2023 que les infractions des articles 323-1 à 323-3-1 commises en bande organisée sont punies de :

10 ans d’emprisonnement et 300 000 euros d’amende.

CXCII. Réforme de 2023

Cette rédaction résulte de la loi n° 2023-22 du 24 janvier 2023.

CXCIII. Dossiers antérieurs

Pour une attaque de 2020 :

ne pas appliquer automatiquement le régime plus sévère de 2023.

CXCIV. Article 323-4-2

Les attaques ayant certains effets extrêmement graves sur :

la vie ;
l’intégrité physique ;
les secours

relèvent également d’un régime aggravé distinct étudié ultérieurement.

CXCV. L’article 323-4 prépare parfois ces infractions graves

Exemple : un groupe projette de neutraliser les systèmes informatiques d’un hôpital. Si l’attaque n’est pas encore réalisée :

323-4 peut être central.

CXCVI. Risque futur non réalisé

Le régime d’aggravation lié aux conséquences graves exige ses propres conditions. Il ne faut pas imputer automatiquement au groupement préparatoire toutes les conséquences hypothétiques.

CXCVII. Cyberterrorisme

Certaines attaques informatiques peuvent également entrer dans le champ des infractions terroristes si les conditions spécifiques du Code pénal sont réunies.

CXCVIII. Article 323-4 ne doit pas absorber le terrorisme

Le contexte idéologique ne suffit pas. Il faut appliquer les textes spéciaux du terrorisme lorsque leurs conditions propres sont réunies.

CXCIX. Hacktivisme ≠ terrorisme automatique

Une opération militante DDoS peut relever de 323-2 et 323-4 sans devenir automatiquement terroriste.

CC. États étrangers et groupes structurés

Les faits peuvent également soulever :

compétence territoriale ;
intérêts fondamentaux de la Nation ;
espionnage.

Le chapitre 323 n’épuise donc pas toutes les qualifications possibles.

CCI. Territorialité

Un groupement peut être composé :

de personnes en France ;
à l’étranger ;
de serveurs répartis dans plusieurs pays.

La compétence française doit alors être déterminée selon les règles générales.

CCII. Infrastructure française

La présence d’un serveur en France peut constituer un élément de rattachement, mais il faut appliquer strictement les règles de compétence.

CCIII. Cible française

Même logique.

CCIV. Participant français

Autre rattachement possible selon les textes applicables.

CCV. Preuve internationale

Les éléments peuvent nécessiter :

coopération judiciaire ;
réquisitions ;
entraide internationale.

CCVI. Données cloud

Un serveur de messagerie du groupe peut être juridiquement hébergé hors de France. La preuve devra être récupérée selon les mécanismes appropriés.

CCVII. Chiffrement

Les communications peuvent être chiffrées. Cela ne crée pas en soi une infraction supplémentaire.

CCVIII. Usage de chiffrement ≠ preuve de culpabilité

Comme toujours :

outil de confidentialité ≠ indice pénal automatique.

CCIX. Mais contenu déchiffré

S’il révèle :

cible ;
instructions ;
rôles,

il peut caractériser directement l’entente.

CCX. Pseudonymat

Même principe.

CCXI. Prescription

L’article 323-4 est un délit. Le délai de prescription de droit commun de l’action publique est donc en principe :

6 ans, sous réserve des règles générales de prescription déjà étudiées.

CCXII. Point de départ

La datation peut être complexe. Il faut identifier :

date de participation ;
faits préparatoires ;
durée de l’implication.

CCXIII. Entente préparatoire prolongée

Le caractère temporel du délit doit être analysé à partir des actes de participation et de la persistance du groupement. Il ne faut pas traiter mécaniquement tout le projet comme un acte instantané unique sans examen de la jurisprudence applicable.

CCXIV. Preuve chronologique

Construire un tableau :

Date	Acte	Participant
3 mars	choix cible	A/B
5 mars	achat serveur	B
6 mars	configuration outil	C
8 mars	instructions	A
10 mars	attaque prévue	tous

CCXV. L’attaque échoue le 10 mars

Cela n’efface pas les préparatifs antérieurs.

CCXVI. Police intervient le 9 mars

Même conclusion. 323-4 est précisément conçu pour permettre une poursuite avant l’attaque finale si ses conditions sont déjà réunies.

CCXVII. Tentative impossible

Même si la cible avait finalement corrigé sa vulnérabilité :

le groupement préparatoire matérialisé peut exister indépendamment du succès de l’attaque.

CCXVIII. Projet irréaliste

En revanche, si les prétendus préparatifs ne permettent aucunement d’identifier une véritable infraction préparée, la qualification peut devenir fragile.

CCXIX. Fantasmes de piratage

Des adolescents discutent de :

« faire tomber Internet ».

Aucun outil, aucune cible, aucune action.

323-4 non automatique.

CCXX. Script téléchargé seul

A télécharge un outil. B et C discutent vaguement. Il faut encore établir le lien avec :

l’entente ;
la préparation commune.

CCXXI. Fait matériel doit caractériser la préparation

Ce n’est pas n’importe quel comportement quotidien.

CCXXII. Achat d’un ordinateur

Pris isolément :

acte neutre.

CCXXIII. Achat d’un serveur configuré immédiatement pour l’attaque décidée

portée probatoire différente.

CCXXIV. Achat d’une carte réseau

Ne suffit pas.

CCXXV. Configuration d’un botnet

Beaucoup plus directement liée au projet.

CCXXVI. Causalité préparatoire

Le fait doit être suffisamment rattaché à :

LA PRÉPARATION DE L’INFRACTION VISÉE.

CCXXVII. Preuve par faisceau d’indices

Très fréquente :

discussions ;
achats ;
configuration ;
cible.

Pris ensemble, ils peuvent démontrer le projet.

CCXXVIII. Chaque élément isolé peut être neutre

C’est une particularité importante des dossiers cyber.

CCXXIX. VPN + serveur + Python

Pris isolément :

parfaitement licites.

CCXXX. Même ensemble + messages explicites + cible

signification entièrement différente.

CCXXXI. Expertise informatique

Elle peut être nécessaire pour expliquer au juge :

à quoi sert le script ;
si le serveur était configuré ;
quelle cible était prévue.

CCXXXII. Langage technique

La défense et l’accusation doivent éviter de transformer toute commande informatique en comportement criminel.

CCXXXIII. Exemple

nmap :

scanner réseau parfaitement légitime en soi.

CCXXXIV. Script de DDoS spécialement configuré

Peut constituer un élément préparatoire beaucoup plus spécifique.

CCXXXV. Autorisation de pentest collectif

Plusieurs professionnels préparent ensemble une intrusion contrôlée. Matériellement :

cible ;
outils ;
rôles.

Mais ils disposent d’une autorisation.

pas d’entente criminelle.

CCXXXVI. Importance de l’autorisation

Elle constitue donc un élément central pour distinguer :

red team ;
cyberattaque criminelle.

CCXXXVII. Red team

Une équipe peut reproduire presque exactement les techniques d’un groupe hostile. Le droit dépend :

de la mission ;
du consentement ;
du périmètre.

CCXXXVIII. Dépassement volontaire

Une red team vise un système expressément hors périmètre. L’analyse peut basculer.

CCXXXIX. Mais le simple écart contractuel ne suffit pas toujours

Il faut caractériser tous les éléments du texte pénal.

CCXL. CTF collectif

Plusieurs participants organisent une attaque fictive contre un serveur créé spécialement pour l’exercice.

aucune finalité criminelle.

CCXLI. Recherche collective

Même logique pour un laboratoire.

CCXLII. Publication scientifique collective

Les chercheurs peuvent coordonner :

exploits ;
tests ;
outils.

Le caractère préparatoire d’une cyberinfraction n’existe pas si la finalité est réellement légitime.

CCXLIII. Diffusion publique d’un exploit

Peut relever du chapitre précédent, article 323-3-1, selon les circonstances. Mais pour retenir 323-4, il faut encore identifier :

une participation à un groupement ou une entente préparatoire.

CCXLIV. Publication isolée

Une personne seule publie un exploit.

pas de 323-4 faute de pluralité.

CCXLV. Publication coordonnée avec un groupe d’attaquants

323-4 devient possible.

CCXLVI. Intention spécifique du projet

L’article ne demande pas un mobile particulier :

argent ;
vengeance ;
idéologie.

Il exige une finalité :

préparer une cyberinfraction visée.

CCXLVII. Mobile lucratif

Ransomware.

CCXLVIII. Mobile politique

DDoS militant.

CCXLIX. Mobile concurrentiel

Sabotage d’un concurrent.

CCL. Mobile personnel

Attaque contre un ex-employeur. Dans tous les cas :

le mobile n’efface pas le projet préparatoire.

CCLI. Compétence des participants

Il n’est pas nécessaire que chacun soit techniquement capable d’exécuter l’ensemble de l’attaque.

CCLII. Répartition

Un participant peut être chargé uniquement de :

louer les serveurs ;
recruter ;
financer.

CCLIII. Financier du groupe

S’il finance consciemment l’infrastructure dans le projet préparatoire :

participation à examiner.

CCLIV. Financeur innocent

Il croit financer une campagne publicitaire.

élément intentionnel potentiellement absent.

CCLV. Recruteur

Il cherche des personnes capables de lancer des attaques DDoS.

fait matériel possible.

CCLVI. Communicant

Il diffuse les instructions opérationnelles. L’arrêt de 2017 montre que l’activité de facilitation de la communication peut être pénalement centrale.

CCLVII. Administrateur d’infrastructure

Même chose.

CCLVIII. Fournisseur d’exploit

Même chose selon connaissance.

CCLIX. Fournisseur de données de cible

Même chose.

CCLX. Tableau : éléments constitutifs

Élément	Exigence
Pluralité	Groupement ou entente
Finalité	Préparation d’une infraction 323-1 à 323-3-1
Matérialité	Un ou plusieurs faits matériels
Intention	Participation consciente
Cyberattaque consommée	Non nécessaire

Le fondement textuel est l’article 323-4.

CCLXI. Tableau : exemples de faits matériels

Acte	Peut contribuer à 323-4 ?
Choisir une cible	Oui
Louer un VPS pour l’attaque	Oui
Configurer le botnet	Oui
Fournir l’exploit	Oui
Mettre en place le canal IRC	Oui
Répartir les rôles	Oui
Discussion abstraite	Insuffisant en soi
Posséder un ordinateur	Insuffisant en soi

CCLXII. Tableau : 323-3-1 / 323-4

Question	323-3-1	323-4
Outil malveillant	Oui	Peut constituer un fait préparatoire
Personne seule	Oui possible	Non
Groupement requis	Non	Oui
Cyberattaque consommée requise	Non	Non
Motif légitime expressément prévu	Oui	Pas formulé de la même manière
Faits matériels de préparation	Non selon cette formule	Oui

CCLXIII. Tableau : 323-4 / 323-4-1

Critère	323-4	323-4-1
Nature	Infraction autonome	Circonstance aggravante
Objet	Préparation collective	Commission en bande organisée
Attaque consommée nécessaire	Non	Infraction sous-jacente commise
Groupement structuré	Pas formulé au même degré	Oui, bande organisée
Peine	Celle de l’infraction préparée	10 ans + 300 000 €

CCLXIV. Tableau : participation consciente

Situation	323-4
Hébergeur ignorant	Non automatiquement
Administrateur connaissant le projet et facilitant	Oui possible
Membre du canal sans rôle démontré	Non automatique
Fournisseur conscient de l’infrastructure	Oui possible
Pentester autorisé	Non
Participant au DDoS planifié	Oui possible

CCLXV. Exemple complet : Anonymous

A gère une passerelle WebIRC. Elle facilite l’accès aux canaux où sont organisées des attaques DDoS. Il connaît les opérations et permet aux internautes d’avoir accès aux modalités concrètes.

323-4 caractérisable.

Cass. crim., 7 novembre 2017, n° 16-84.918.

CCLXVI. Exemple complet : hébergeur classique

Une société loue un VPS. Le client l’utilise pour une cyberattaque à son insu.

323-4 non caractérisé sur la seule location.

CCLXVII. Même hébergeur averti et complice

Le client explique le projet. L’administrateur optimise lui-même le serveur pour l’attaque et lui transmet les paramètres nécessaires.

analyse différente.

CCLXVIII. Exemple complet : trois étudiants

Ils discutent théoriquement d’un ransomware. Aucun logiciel n’est développé. Aucune cible. Aucune infrastructure.

323-4 non automatique.

CCLXIX. Même groupe une semaine plus tard

Ils :

choisissent une PME ;
achètent les identifiants ;
préparent le ransomware ;
louent un serveur.

323-4 devient directement pertinent.

CCLXX. Exemple complet : red team

Trois consultants préparent exactement la même opération. Mais :

contrat ;
autorisation ;
cible ;
créneau

sont définis par le client.

aucune préparation délictueuse dans ce périmètre.

CCLXXI. Exemple complet : dépassement

Les consultants décident ensuite d’attaquer volontairement une filiale exclue du périmètre.

nouvelle analyse.

CCLXXII. Exemple complet : DDoS non exécuté

Le groupe fixe l’heure et configure les outils. La police intervient une heure avant.

l’absence d’attaque finale n’exclut pas 323-4.

CCLXXIII. Exemple complet : projet abandonné

A et B avaient déjà préparé :

serveur ;
script ;
cible.

Ils décident ensuite de renoncer. Le retrait peut intervenir après la consommation de l’infraction préparatoire.

CCLXXIV. Exemple complet : développeur indépendant

A crée un outil générique de pentest. B l’utilise criminellement sans prévenir A.

A n’appartient pas automatiquement au groupement de B.

CCLXXV. Même développeur intégré

B lui demande :

« adapte le programme pour la cible X vendredi ».

A accepte et fournit la version.

323-4 peut être examiné.

CCLXXVI. Exemple complet : administrateur salarié

A fournit secrètement au groupe externe :

plan réseau ;
compte administrateur ;
heure de sauvegarde.

Le groupe prépare ensuite une exfiltration.

323-4 directement à examiner.

CCLXXVII. Exemple complet : phishing

A prépare la page. B envoie les messages. C doit exploiter les identifiants pour accéder au système. Avant même l’accès :

323-4 peut concerner le projet collectif de 323-1.

CCLXXVIII. Exemple complet : base étatique

Le groupe prépare une intrusion contre un STAD de données personnelles mis en œuvre par l’État. Le quantum de 323-4 doit être déterminé à partir de l’infraction cible effectivement préparée et de son régime applicable au moment des faits.

CCLXXIX. Exemple complet : plusieurs infractions

Le projet prévoit :

intrusion ;
extraction de la base ;
effacement des sauvegardes.

323-4 renvoie à :

l’infraction la plus sévèrement réprimée parmi celles préparées.

CCLXXX. Checklist de qualification

Devant un groupe cyber, demander :

Combien de personnes ?
Existe-t-il un groupement ou une entente ?
Quel est le projet exact ?
Quelle infraction cible ?
323-1 ?
323-2 ?
323-3 ?
323-3-1 ?
Quels faits matériels ?
Quelle cible ?
Quels outils ?
Quelle infrastructure ?
Qui finance ?
Qui configure ?
Qui recrute ?
Qui fournit les accès ?
Qui connaît le projet ?
Quel rôle pour chaque personne ?
L’attaque a-t-elle commencé ?
Est-elle consommée ?
Existe-t-il une tentative ?
Existe-t-il une bande organisée ?
Article 323-4-1 ?
Autres infractions ?

CCLXXXI. Checklist des faits matériels

Rechercher :

achat de malware ;
location de serveur ;
création d’un canal ;
liste de cibles ;
scan de reconnaissance ;
script ;
botnet ;
identifiants.

CCLXXXII. Checklist des communications

Rechercher :

accord explicite ;
heure ;
cible ;
répartition des rôles ;
confirmation de participation ;
instructions.

CCLXXXIII. Checklist de l’intention

Le prévenu connaissait-il l’objectif ?
Savait-il que l’attaque n’était pas autorisée ?
A-t-il accepté d’y participer ?
A-t-il accompli un acte utile au projet ?
Ou avait-il connaissance des préparatifs accomplis par le groupe tout en participant consciemment à celui-ci ?

La dernière distinction est cohérente avec la jurisprudence générale récente relative aux délits de groupement préparatoire.

CCLXXXIV. Checklist bande organisée

Organisation structurée ?
Répartition durable des rôles ?
Préparation ?
Faits matériels ?
Préméditation ?
Infrastructure ?
Commission effective de l’infraction ?

La Cour de cassation distingue la bande organisée du simple groupement préparatoire par le caractère structuré de l’organisation.

CCLXXXV. Checklist probatoire numérique

Conserver notamment :

logs ;
messages ;
serveurs ;
dépôts de code ;
clés ;
paiements ;
fichiers de configuration ;
machines saisies.

CCLXXXVI. Erreurs fréquentes

Erreur n° 1 : 323-4 exige que la cyberattaque ait été commise

Faux. Il sanctionne précisément la préparation collective matérialisée.

Erreur n° 2 : un simple projet verbal suffit toujours

Faux. La préparation doit être caractérisée par :

un ou plusieurs faits matériels.

Erreur n° 3 : plusieurs personnes = 323-4

Faux. Il faut un véritable :

groupement ;
ou entente

orienté vers la préparation d’une infraction informatique déterminable.

Erreur n° 4 : être dans un canal Telegram de pirates suffit

Faux. La participation consciente doit être caractérisée.

Erreur n° 5 : fournir un serveur suffit automatiquement

Faux. L’hébergeur ou le fournisseur doit être rattaché consciemment au projet préparatoire.

Erreur n° 6 : il faut personnellement lancer l’attaque

Faux. L’arrêt du 7 novembre 2017 montre qu’un rôle de facilitation consciente de la coordination peut suffire.

Erreur n° 7 : le WebIRC est interdit par nature

Faux. Ce qui a justifié la condamnation était le contexte de mise à disposition consciente liée aux opérations de cyberattaque.

Erreur n° 8 : discuter de cybersécurité = entente criminelle

Faux.

Erreur n° 9 : un outil de pentest dans un groupe suffit

Faux. Il faut établir le projet illicite.

Erreur n° 10 : 323-4 et 323-3-1 sont synonymes

Faux. 323-3-1 :

moyen technique.

323-4 :

préparation collective.

Erreur n° 11 : 323-4 et bande organisée sont synonymes

Faux. 323-4 est une infraction autonome. 323-4-1 est une circonstance aggravante.

Erreur n° 12 : plusieurs auteurs = bande organisée

Faux. La bande organisée suppose notamment une organisation structurée.

Erreur n° 13 : 323-4 a toujours une peine fixe

Faux. La peine dépend de l’infraction préparée ou de la plus sévèrement réprimée.

Erreur n° 14 : le mobile militant exclut le délit

Faux. L’affaire Anonymous/EDF constitue précisément une illustration contraire.

Erreur n° 15 : le mobile lucratif est nécessaire

Faux. Aucun profit n’est exigé.

Erreur n° 16 : le groupe doit avoir un chef

Faux. Le texte vise aussi une simple entente établie.

Erreur n° 17 : tous les participants doivent se connaître personnellement

Pas nécessairement. Dans un collectif numérique, les participants peuvent être coordonnés sous pseudonymes. Il faut toutefois démontrer l’existence de l’entente et la participation du prévenu.

Erreur n° 18 : tous doivent accomplir un acte technique

Faux comme règle absolue. Un rôle de coordination ou d’infrastructure peut être matériellement décisif.

Erreur n° 19 : héberger un service utilisé par des pirates rend automatiquement complice

Faux. La connaissance et la participation doivent être prouvées.

Erreur n° 20 : l’abandon ultérieur efface nécessairement les préparatifs

Faux. Une infraction déjà consommée n’est pas automatiquement effacée par un retrait ultérieur.

Erreur n° 21 : tout scan réseau est un fait matériel criminel

Faux. Un scan peut être parfaitement légitime. Il doit être rattaché au projet préparatoire.

Erreur n° 22 : la cible doit toujours avoir subi un dommage

Faux. L’attaque peut n’avoir jamais été déclenchée.

Erreur n° 23 : 323-4 ne vise que 323-1 à 323-3

Faux. Il vise également :

323-3-1.

Erreur n° 24 : 323-4-1 aggrave aussi directement 323-4

Attention. Le texte de 323-4-1 vise les infractions prévues aux articles :

323-1 à 323-3-1

commises en bande organisée ; il ne cite pas 323-4 dans cette énumération.

Erreur n° 25 : 323-4-1 et 323-4 portent sur la même étape

Faux.

323-4 = PRÉPARATION COLLECTIVE

323-4-1 = INFRACTION CYBER SOUS-JACENTE COMMISE EN BANDE ORGANISÉE.

CCLXXXVII. Jurisprudence majeure : Cass. crim., 7 novembre 2017, n° 16-84.918

Cet arrêt publié au Bulletin est la décision de référence sur l’article 323-4. Il concernait une campagne de déni de service menée dans le cadre du collectif Anonymous, visant notamment EDF.

CCLXXXVIII. Les faits essentiels

Le prévenu mettait à disposition :

un système WebIRC

permettant aux internautes de rejoindre plus facilement les canaux utilisés par le collectif.

CCLXXXIX. Les utilisateurs pouvaient y connaître les modalités concrètes

Le service permettait de faciliter l’accès :

aux discussions ;
aux informations opérationnelles ;
aux actions prévues.

CCXC. L’acte n’était donc pas neutre dans le contexte retenu

La Cour relève le caractère :

conscient

de cette mise à disposition.

CCXCI. Principe majeur

FOURNIR CONSCIEMMENT UNE INFRASTRUCTURE DE COORDINATION PERMETTANT DE CONNAÎTRE LES MODALITÉS CONCRÈTES D’UNE CYBERATTAQUE PEUT CONSTITUER LA PARTICIPATION À L’ENTENTE PRÉPARATOIRE.

CCXCII. Cette décision ne criminalise pas IRC

Le protocole de communication est techniquement neutre. C’est :

son usage ;
la connaissance ;
le contexte du projet

qui expliquent la qualification.

CCXCIII. Portée moderne

Le raisonnement peut être appliqué méthodologiquement à des outils contemporains :

serveur de discussion ;
plateforme collaborative ;
infrastructure privée,

à condition de retrouver les mêmes éléments constitutifs.

CCXCIV. Mais pas d’analogie pénale extensive

Il faut toujours respecter l’article 111-4 et interpréter strictement la loi pénale. On ne peut donc retenir 323-4 simplement parce qu’une technologie ressemble vaguement au WebIRC de 2017.

CCXCV. Jurisprudence générale : participation consciente

La décision du 5 février 2025, n° 24-80.051, rendue sur le texte voisin de l’article 222-14-2, rappelle qu’un délit de participation à un groupement préparatoire suppose une participation sciemment accomplie, l’intéressé ayant soit réalisé personnellement des faits matériels de préparation, soit eu connaissance des faits matériels commis par d’autres membres.

CCXCVI. Utilité pour 323-4

Cette décision n’est pas rendue sur 323-4. Mais elle fournit une grille très utile pour ne pas assimiler :

simple présence

et :

participation consciente à un groupement préparatoire.

CCXCVII. Jurisprudence générale : bande organisée

L’arrêt du 9 juin 2022, n° 21-80.237, publié au Bulletin, rappelle que la bande organisée implique une organisation structurée entre ses membres et se distingue d’une infraction autonome de participation à un groupement préparatoire.

CCXCVIII. Conséquence pour la cybercriminalité

Ne jamais écrire :

« 323-4 = bande organisée ».

Le premier est :

un délit de préparation collective.

Le second :

un mode aggravé de commission des cyberinfractions visées par 323-4-1.

CCXCIX. État du droit au 13 août 2026

Au 13 août 2026, l’article 323-4 reste en vigueur dans sa rédaction issue de la loi du 21 juin 2004 :

participation à un groupement ou à une entente ;

préparation d’une ou plusieurs infractions des articles 323-1 à 323-3-1 ;

préparation caractérisée par au moins un fait matériel ;

peine de l’infraction préparée ou de la plus sévèrement réprimée.

CCC. Article 323-4-1 au 13 août 2026

Lorsque les infractions des articles 323-1 à 323-3-1 ont effectivement été commises en bande organisée, la peine est :

10 ans d’emprisonnement et 300 000 euros d’amende.

CCCI. Méthode ultra-rapide

Face à plusieurs personnes soupçonnées de préparer une cyberattaque :

1. EXISTE-T-IL RÉELLEMENT PLUSIEURS PARTICIPANTS ?

↓

2. EXISTE-T-IL UN GROUPEMENT OU UNE ENTENTE ?

↓

3. QUELLE CYBERINFRACTION EST PRÉPARÉE ?

↓

4. QUELS FAITS MATÉRIELS PROUVENT LA PRÉPARATION ?

↓

5. QUE SAVAIT CHAQUE PARTICIPANT ?

↓

6. QU’A FAIT CHACUN ?

↓

7. L’ATTAQUE A-T-ELLE ENSUITE ÉTÉ COMMISE ?

↓

8. BANDE ORGANISÉE ?

↓

9. AUTRES QUALIFICATIONS ?

CCCII. Formule finale de qualification

PLUSIEURS PERSONNES

PROJET COMMUN VISANT 323-1 À 323-3-1

FAIT(S) MATÉRIEL(S) DE PRÉPARATION

PARTICIPATION CONSCIENTE

ARTICLE 323-4 POSSIBLE.

CCCIII. À retenir

La première règle est :

ARTICLE 323-4 = DÉLIT AUTONOME DE PRÉPARATION COLLECTIVE D’ATTEINTES INFORMATIQUES.

La deuxième règle est :

L’ATTAQUE N’A PAS BESOIN D’AVOIR ÉTÉ COMMISE.

L’article permet précisément de réprimer la phase préparatoire. La troisième règle est :

UNE SIMPLE INTENTION OU DISCUSSION NE SUFFIT PAS.

La préparation doit être :

CARACTÉRISÉE PAR UN OU PLUSIEURS FAITS MATÉRIELS.

La quatrième règle est :

LE PROJET DOIT VISER 323-1, 323-2, 323-3 OU 323-3-1.

La cinquième règle est :

LA PARTICIPATION DOIT ÊTRE CONSCIENTE.

Il ne suffit pas :

d’héberger un serveur ;
d’être inscrit sur un forum ;
de posséder un outil.

Il faut rattacher la personne à l’entente préparatoire. La sixième règle est illustrée par Cass. crim., 7 novembre 2017, n° 16-84.918 :

METTRE SCIEMMENT À DISPOSITION UNE INFRASTRUCTURE DE COMMUNICATION DONNANT ACCÈS AUX MODALITÉS CONCRÈTES D’UNE OPÉRATION DE CYBERATTAQUE PEUT CONSTITUER UNE PARTICIPATION À L’ENTENTE.

La septième règle est :

IL N’EST PAS NÉCESSAIRE DE LANCER PERSONNELLEMENT L’ATTAQUE.

Un rôle de :

coordination ;
infrastructure ;
fourniture de moyens

peut suffire selon les circonstances. La huitième règle est :

323-3-1 ≠ 323-4.

323-3-1 concerne :

les outils et moyens de cyberattaque détenus ou diffusés sans motif légitime.

323-4 concerne :

la préparation collective.

La neuvième règle est :

323-4 ≠ BANDE ORGANISÉE.

La bande organisée exige notamment une organisation structurée et constitue une circonstance aggravante de l’infraction sous-jacente. La dixième règle est :

ARTICLE 323-4-1 : 10 ANS + 300 000 € LORSQUE LES INFRACTIONS 323-1 À 323-3-1 SONT COMMISES EN BANDE ORGANISÉE.

La onzième règle concerne la peine de 323-4 :

ELLE CORRESPOND À L’INFRACTION PRÉPARÉE OU À LA PLUS SÉVÈREMENT RÉPRIMÉE SI PLUSIEURS INFRACTIONS SONT PRÉPARÉES.

La douzième règle est probatoire :

LES ACTES TECHNIQUES SONT SOUVENT NEUTRES PRIS ISOLÉMENT.

Un :

VPN ;
serveur ;
scanner ;
script ;
compte IRC

n’est pas criminel en soi. C’est le faisceau :

OUTIL + CIBLE + COORDINATION + CONNAISSANCE + ACTES MATÉRIELS

qui permet de caractériser l’infraction. Enfin, la méthode générale est :

IDENTIFIER LE GROUPEMENT → IDENTIFIER LE PROJET → IDENTIFIER L’INFRACTION CIBLE → RECHERCHER LES FAITS MATÉRIELS → INDIVIDUALISER LA CONNAISSANCE ET LE RÔLE DE CHACUN → DISTINGUER 323-3-1 / 323-4 / 323-4-1 → RECHERCHER LES INFRACTIONS PRINCIPALES ÉVENTUELLEMENT CONSOMMÉES.

CLXXXIV. Cybercriminalité en bande organisée — article 323-4-1

L’article 323-4-1 du Code pénal constitue l’un des principaux mécanismes d’aggravation de la cybercriminalité organisée. Au 13 août 2026, il prévoit que lorsque les infractions des articles 323-1 à 323-3-1 sont commises en bande organisée, la peine est portée à :

10 ans d’emprisonnement et 300 000 euros d’amende.

Cette disposition, dans sa rédaction actuelle, est en vigueur depuis le 26 janvier 2023, à la suite de la loi n° 2023-22 du 24 janvier 2023. La première difficulté est cependant conceptuelle. La bande organisée n’est :

ni la simple pluralité d’auteurs ;
ni la réunion ;
ni la complicité ;
ni le groupement préparatoire de l’article 323-4.

Elle possède une définition générale donnée par l’article 132-71 du Code pénal :

constitue une bande organisée le groupement formé ou l’entente établie en vue de la préparation, caractérisée par un ou plusieurs faits matériels, d’une ou plusieurs infractions.

Mais la jurisprudence ajoute une exigence essentielle :

LA BANDE ORGANISÉE SUPPOSE UNE ORGANISATION STRUCTURÉE ENTRE SES MEMBRES ET UNE PRÉMÉDITATION DES INFRACTIONS.

Cass. crim., 8 juillet 2015, n° 14-88.329, publié au Bulletin. La formule fondamentale est donc :

PLUSIEURS CYBERATTAQUANTS ≠ BANDE ORGANISÉE AUTOMATIQUEMENT.

Il faut caractériser :

PLURALITÉ + PRÉPARATION + FAITS MATÉRIELS + STRUCTURATION DU GROUPE + COMMISSION DE L’INFRACTION CYBER.

I. L’article 323-4-1 est une circonstance aggravante

Contrairement à l’article 323-4, l’article 323-4-1 ne crée pas principalement un délit autonome de préparation. Il prévoit une :

CIRCONSTANCE AGGRAVANTE

applicable à certaines infractions informatiques lorsqu’elles sont effectivement commises en bande organisée.

II. Textes concernés

L’article 323-4-1 vise les infractions prévues aux articles :

323-1 ;
323-2 ;
323-3 ;
323-3-1.

III. Article 323-1

Sont donc concernés :

accès ou maintien frauduleux dans un STAD.

IV. Article 323-2

Est concernée :

l’entrave ou le fonctionnement faussé d’un STAD.

V. Article 323-3

Sont concernées les atteintes frauduleuses aux données :

introduction ;
extraction ;
détention ;
reproduction ;
transmission ;
suppression ;
modification.

VI. Article 323-3-1

Sont également concernés certains comportements portant sur des outils ou moyens spécialement conçus ou adaptés pour commettre les cyberinfractions.

VII. L’article 323-4 n’est pas cité

C’est un point technique essentiel. L’article 323-4-1 vise :

323-1 à 323-3-1

et non :

323-4 lui-même.

VIII. Conséquence

Il serait incorrect d’écrire :

« tout groupement préparatoire de 323-4 est automatiquement aggravé par 323-4-1 ».

Ce n’est pas la structure du texte.

IX. L’infraction sous-jacente doit être commise

La rédaction est :

lorsque les infractions ont été commises en bande organisée.

La logique diffère donc de celle de l’article 323-4.

X. 323-4

PRÉPARATION COLLECTIVE.

XI. 323-4-1

COMMISSION DE LA CYBERINFRACTION EN BANDE ORGANISÉE.

XII. Exemple simple

A, B et C préparent une intrusion. La police intervient avant toute tentative effective.

323-4 à examiner.

XIII. Même groupe commettant effectivement l’intrusion

Si les éléments de la bande organisée sont caractérisés :

323-1 aggravé par 323-4-1.

XIV. Définition légale de la bande organisée

L’article 132-71 est le texte général. Il exige :

un groupement formé ou une entente établie ;
une finalité de préparation ;
un ou plusieurs faits matériels de préparation.

XV. Aucun nombre minimum particulier supérieur à deux

Le texte ne fixe pas un seuil comme :

« cinq personnes ».

Il faut toutefois bien évidemment une pluralité permettant l’existence d’un groupement ou d’une entente.

XVI. Deux personnes peuvent-elles théoriquement suffire ?

La définition ne fixe pas de minimum numérique supérieur à deux. Mais la qualification dépendra du degré réel :

de préparation ;
de structure ;
d’organisation.

XVII. Trois personnes ne suffisent pas automatiquement davantage

Même avec :

trois ;
dix ;
cent participants,

il faut toujours caractériser la bande organisée.

XVIII. Cass. crim., 8 juillet 2015

La décision de principe est capitale. La Cour affirme que :

LA SEULE CONSTITUTION D’UNE ÉQUIPE DE PLUSIEURS MALFAITEURS NE SUFFIT PAS.

Elle exige un critère supplémentaire :

UNE ORGANISATION STRUCTURÉE ENTRE LES MEMBRES.

XIX. Préméditation

Le même arrêt rattache également la bande organisée à la :

PRÉMÉDITATION DES INFRACTIONS.

XX. Article 132-72

Le Code pénal définit la préméditation comme :

le dessein formé avant l’action de commettre un crime ou un délit déterminé.

XXI. Cyberattaque improvisée

Trois personnes discutent dans un bar. Une heure plus tard, elles décident spontanément d’attaquer un site. Elles agissent sans préparation structurée.

pluralité, certes ; bande organisée, pas automatiquement.

XXII. Cyberattaque préparée

Même groupe :

choisit la cible plusieurs semaines avant ;
répartit les rôles ;
configure les serveurs ;
développe les outils ;
définit le jour de l’attaque.

bande organisée beaucoup plus plausible.

XXIII. Le temps n’est pas le seul critère

Une organisation peut être préparée rapidement. Inversement, une relation ancienne entre plusieurs personnes ne prouve pas automatiquement qu’elles ont structuré une cyberattaque.

XXIV. Organisation structurée

La jurisprudence exige davantage qu’une simple équipe occasionnelle. Il faut rechercher une véritable organisation du projet.

XXV. Répartition des fonctions

Exemple :

A développe le malware ;
B obtient les accès ;
C administre l’infrastructure ;
D exfiltre les données ;
E négocie la rançon.

indice très important de structuration.

XXVI. Hiérarchie

Une hiérarchie formelle peut renforcer la qualification. Mais elle n’est pas nécessairement indispensable si l’organisation structurée ressort autrement des faits.

XXVII. Chef de groupe

L’absence d’un « chef » identifiable ne fait pas automatiquement disparaître la bande organisée.

XXVIII. Organisation horizontale

Une équipe peut fonctionner de manière décentralisée tout en disposant :

de rôles ;
de procédures ;
d’infrastructures communes.

XXIX. Cybercriminalité décentralisée

Cela est particulièrement important pour :

collectifs ;
groupes ransomware ;
réseaux d’affiliés.

XXX. Pseudonymes

Les membres peuvent ne se connaître que sous pseudonymes. Ce fait n’exclut pas la structuration.

XXXI. Absence de rencontre physique

Même règle. Une bande organisée cyber peut fonctionner entièrement :

à distance ;
sur messagerie chiffrée ;
à travers des serveurs intermédiaires.

XXXII. L’organisation se prouve par les faits

Il faut rechercher :

répartition ;
infrastructure ;
calendrier ;
objectifs ;
échanges.

XXXIII. Structure informatique commune

Exemples :

serveur de commande ;
dépôt de code ;
serveur d’exfiltration ;
plateforme de communication.

XXXIV. Infrastructure réutilisable

L’existence d’une infrastructure préparée pour plusieurs attaques peut constituer un indice particulièrement puissant.

XXXV. Équipe variable

La jurisprudence de 2015 a précisément relevé qu’une équipe dont la composition changeait constamment sans structure stable ne suffisait pas à caractériser la bande organisée dans l’affaire jugée.

XXXVI. Attention à la transposition

Cet arrêt concernait des vols et destructions, non directement la cybercriminalité. Mais il définit la notion générale de bande organisée applicable au Code pénal.

XXXVII. Exemple cyber équivalent

Un forum compte des centaines d’utilisateurs. Chaque attaque est lancée par des participants différents sans :

organisation stable ;
répartition ;
préparation identifiable.

bande organisée non automatique.

XXXVIII. Collectif structuré

Situation différente : un noyau permanent :

sélectionne les cibles ;
distribue les rôles ;
contrôle l’infrastructure ;
perçoit les produits.

critère de structure nettement plus fort.

XXXIX. Ransomware-as-a-Service

Ce modèle est particulièrement intéressant pour comprendre la bande organisée.

XL. Développeurs

Ils créent le ransomware.

XLI. Opérateurs

Ils maintiennent l’infrastructure.

XLII. Affiliés

Ils obtiennent les accès aux réseaux victimes.

XLIII. Négociateurs

Ils gèrent :

demande de rançon ;
communication avec la victime.

XLIV. Blanchisseurs

Ils peuvent intervenir ensuite sur les produits.

XLV. Qualification individuelle

Tous les participants ne sont pas automatiquement coupables de toutes les infractions. Il faut individualiser :

rôle ;
connaissance ;
participation.

XLVI. Bande organisée ≠ responsabilité collective automatique

C’est fondamental. La circonstance aggravante ne permet pas de condamner une personne simplement parce qu’elle connaît un membre du groupe.

XLVII. Chaque prévenu

Il faut déterminer :

A-T-IL PARTICIPÉ À L’INFRACTION COMMISE DANS LE CADRE DE CETTE ORGANISATION ?

XLVIII. Fournisseur innocent

Un hébergeur loue un serveur. Il ignore son utilisation criminelle.

pas de bande organisée sur ce seul fait.

XLIX. Fournisseur intégré

Le prestataire sait :

quelles attaques sont préparées ;
fournit des serveurs dédiés ;
les reconfigure après chaque blocage.

analyse différente.

L. Complice

Un participant peut être poursuivi comme :

auteur ;
coauteur ;
complice,

selon son rôle. La bande organisée constitue ensuite la circonstance aggravante lorsque ses conditions sont réunies.

LI. Bande organisée et complicité

Il faut donc distinguer :

FORME DE PARTICIPATION PERSONNELLE

et :

MODE ORGANISÉ DE COMMISSION.

LII. Bande organisée et réunion

La « réunion » est une circonstance aggravante dans diverses infractions. Elle ne doit jamais être confondue avec la bande organisée.

LIII. Réunion

Plusieurs auteurs agissent ensemble.

LIV. Bande organisée

Il existe en plus :

préparation ;
faits matériels ;
structure.

LV. Formule

RÉUNION = PLUSIEURS AU MOMENT DES FAITS.

BANDE ORGANISÉE = PLUSIEURS + PRÉPARATION STRUCTURÉE EN AMONT.

LVI. Article 132-71 et faits matériels

La préparation doit être :

caractérisée par un ou plusieurs faits matériels.

LVII. Cyberattaque : faits matériels typiques

création du malware ;
achat de serveurs ;
collecte d’identifiants ;
scan de la cible ;
création du canal de commande.

LVIII. Liste de victimes

Une liste préparée à l’avance peut être particulièrement probante.

LIX. Scripts de déploiement

Même logique.

LX. Infrastructure d’exfiltration

Serveur préparé avant l’attaque :

fait matériel de préparation.

LXI. Wallet de rançon

Une adresse préparée pour recevoir les paiements peut contribuer à démontrer l’organisation.

LXII. Mais cryptomonnaie ≠ bande organisée

L’utilisation du bitcoin ou d’une autre cryptomonnaie n’établit rien par elle-même.

LXIII. Chiffrement ≠ bande organisée

Même règle pour :

messagerie chiffrée ;
VPN ;
Tor.

LXIV. Ce sont des outils neutres en eux-mêmes

Ils deviennent probatoires lorsqu’ils sont intégrés à une structure criminelle caractérisée par d’autres faits.

LXV. Exemple : accès frauduleux en bande organisée

A obtient des identifiants. B prépare le serveur relais. C exploite la vulnérabilité. D organise l’exfiltration. Le groupe fonctionne selon un plan préparé.

323-1 + 323-4-1 à examiner.

LXVI. Peine

Si l’accès ou le maintien de 323-1 est commis en bande organisée :

10 ans d’emprisonnement + 300 000 € d’amende.

LXVII. Même peine malgré un quantum simple inférieur

C’est précisément l’effet aggravant de 323-4-1.

LXVIII. Entrave en bande organisée

Un groupe prépare un DDoS structuré. Il dispose :

d’un botnet ;
d’un opérateur ;
de serveurs ;
d’un calendrier.

L’attaque est exécutée.

323-2 + 323-4-1 possibles.

LXIX. Peine

10 ans + 300 000 €.

LXX. Atteinte aux données en bande organisée

Un groupe :

pénètre un réseau ;
copie les données ;
les revend.

La séquence peut relever de 323-3, aggravé par 323-4-1 si la structure de bande organisée est caractérisée.

LXXI. Exfiltration

Ce comportement est particulièrement fréquent dans la criminalité organisée numérique.

LXXII. Data broker criminel

Un participant peut se charger uniquement de la revente. Sa responsabilité doit être analysée selon :

connaissance ;
participation ;
opérations exactes.

LXXIII. Article 323-3-1 en bande organisée

La circonstance aggravante concerne aussi les outils.

LXXIV. Exemple

Un réseau structuré fabrique, détient et distribue sans motif légitime un malware spécialement adapté aux infractions des articles 323-1 à 323-3.

323-3-1 + 323-4-1 à examiner.

LXXV. Différence avec simple vendeur isolé

Une personne vend seule un outil sans motif légitime.

323-3-1 possible.

Mais :

pas de bande organisée sans éléments supplémentaires.

LXXVI. Historique législatif

L’actuel régime de 10 ans et 300 000 euros résulte de la loi du 24 janvier 2023 et est en vigueur depuis le 26 janvier 2023.

LXXVII. Conséquence temporelle

Pour des faits antérieurs :

NE PAS APPLIQUER AUTOMATIQUEMENT LA VERSION 2023.

LXXVIII. Principe de non-rétroactivité

Une aggravation plus sévère de la peine ne peut être appliquée rétroactivement aux faits antérieurs.

LXXIX. Exemple

Cyberattaque commise en :

La qualification et la peine doivent être déterminées selon le droit applicable à cette date, sous réserve des règles de droit transitoire.

LXXX. Cyberattaque 2026

Pour des faits commis au 13 août 2026 :

version actuelle de 323-4-1.

LXXXI. Pourquoi la réforme de 2023 est importante

Elle aligne la répression des cyberattaques structurées sur un niveau particulièrement élevé :

10 années d’emprisonnement.

LXXXII. Mais dix ans reste correctionnel

Point fondamental :

10 ans d’emprisonnement = délit correctionnel

et non crime.

LXXXIII. Emprisonnement / réclusion

La qualification dépend de la nature légale de la peine. Ici :

emprisonnement.

LXXXIV. Conséquence prescription

Sous réserve des règles particulières :

délai de droit commun des délits.

LXXXV. Bande organisée et article 132-71

La définition générale demeure inchangée au 13 août 2026.

LXXXVI. Structure du groupe

La jurisprudence impose de ne pas se contenter de recopier le terme :

« bande organisée ».

Il faut caractériser les faits.

LXXXVII. Cour d’assises et question factuelle

La chambre criminelle avait déjà jugé, le 15 mars 2006, que la circonstance de bande organisée doit être posée et appréciée en référence aux éléments factuels définis par l’article 132-71, et non au moyen d’une simple formule abstraite.

LXXXVIII. Transposition méthodologique

Dans un dossier cyber, il ne suffit pas d’écrire :

« les prévenus agissaient en bande organisée ».

Il faut expliquer :

quelle entente ;
quelle préparation ;
quels faits matériels ;
quelle structure.

LXXXIX. Prévention précise

Une prévention de qualité devrait permettre de comprendre :

COMMENT LE GROUPE ÉTAIT ORGANISÉ.

XC. Faits matériels possibles

création des comptes ;
location des serveurs ;
achat des noms de domaine ;
constitution du botnet.

XCI. Structure

rôles ;
organisation ;
coordination ;
mécanismes de remplacement.

XCII. Préméditation

dates décidées ;
cible sélectionnée ;
vulnérabilité reconnue ;
attaque planifiée.

XCIII. Commission

Enfin :

infraction 323-1 à 323-3-1 effectivement commise.

XCIV. Tableau de qualification

Élément	Question
Infraction cyber	323-1 à 323-3-1 ?
Pluralité	Plusieurs participants ?
Entente/groupement	Projet commun ?
Préparation	En amont ?
Faits matériels	Lesquels ?
Structure	Organisation entre les membres ?
Préméditation	Projet conçu avant l’action ?
Commission	Infraction effectivement commise ?

XCV. Structure permanente non nécessairement requise éternellement

La jurisprudence parle d’une organisation structurée. Elle ne suppose pas nécessairement une association officiellement constituée ou permanente.

XCVI. Mais structure éphémère trop faible

Une simple coalition ponctuelle peut ne pas suffire. C’était précisément l’une des difficultés relevées par l’arrêt du 8 juillet 2015.

XCVII. Groupe constitué spécialement pour une attaque

Il peut néanmoins être suffisamment structuré même s’il n’existe que pour cette opération. La question est factuelle.

XCVIII. Structure préalable

Ce qui compte est que l’organisation :

existe dans la préparation de l’infraction.

XCIX. Cybercriminalité « as a service »

Les modèles de services criminels offrent souvent de puissants indices :

infrastructure permanente ;
clientèle ;
support ;
affiliés.

C. Ransomware-as-a-Service

Il peut comporter :

tableau de bord ;
système d’affiliation ;
partage des profits ;
assistance.

CI. La structure commerciale criminelle

Elle peut contribuer fortement à caractériser la bande organisée.

CII. Mais utilisateur occasionnel

Un utilisateur achète une fois un malware. Il ne devient pas automatiquement membre de la bande du vendeur.

CIII. Il faut un lien

Rechercher :

accord ;
coordination ;
connaissance de la structure ;
participation.

CIV. Forum criminel

Être inscrit sur un forum :

insuffisant.

CV. Acheter un outil

insuffisant à lui seul pour la bande organisée.

CVI. Participer à une opération organisée

beaucoup plus significatif.

CVII. Affilié rémunéré au pourcentage

Indice important.

CVIII. Contrôle central

Exemple : les opérateurs :

fournissent le ransomware ;
contrôlent les clés ;
perçoivent la rançon ;
reversent un pourcentage.

organisation structurée plausible.

CIX. DDoS-as-a-Service

Même logique.

CX. Botnet loué

Une infrastructure DDoS professionnelle clandestine peut traduire une organisation particulièrement structurée.

CXI. Acheteur du service

Il faut néanmoins individualiser son intégration au réseau. Un simple client n’est pas automatiquement membre de la bande organisée exploitant le botnet.

CXII. Connaissance de la structure

Le participant doit être rattaché à la circonstance aggravante selon les règles pénales applicables.

CXIII. Cyberattaque commandée par un client

Le commanditaire peut être :

auteur intellectuel ;
complice ;
participant organisé,

selon les faits.

CXIV. Commanditaire extérieur

Il paye un groupe pour attaquer un concurrent. Il ne connaît peut-être pas l’identité de tous les opérateurs. Cela n’exclut pas nécessairement toute responsabilité, mais son rôle doit être caractérisé précisément.

CXV. Sous-traitance criminelle

La cybercriminalité moderne peut fonctionner en modules. Cela ne dispense jamais d’établir juridiquement les liens entre eux.

CXVI. Initial access broker

Il vend des accès déjà compromis.

CXVII. Opérateur ransomware

Il exploite ensuite cet accès.

CXVIII. Blanchisseur

Il traite les fonds.

CXIX. Un même dossier peut contenir plusieurs groupes

Il serait donc erroné de considérer automatiquement tous les intervenants comme membres d’une seule bande organisée.

CXX. Unité de projet

Il faut identifier :

objectif commun ;
coordination ;
structure.

CXXI. Deux groupes indépendants

A vole les identifiants. Il les revend sur une plateforme sans connaître B. B les achète et attaque la victime. Il peut exister :

deux séquences criminelles ;

plutôt qu’une bande unique.

CXXII. Relation durable A/B

Si A fournit systématiquement les accès à B selon une organisation convenue et rémunérée :

analyse différente.

CXXIII. Preuve de la structure

Elle peut résulter :

de messages ;
de paiements ;
de pseudonymes récurrents ;
de serveurs partagés.

CXXIV. Organigramme criminel

Les enquêteurs peuvent reconstituer :

administrateurs ;
développeurs ;
affiliés ;
négociateurs.

CXXV. Prudence

Un organigramme policier n’est pas une preuve par lui-même. Il doit être fondé sur des éléments de procédure.

CXXVI. Messages chiffrés

Le chiffrement n’est pas illicite en soi.

CXXVII. Article 132-79

Le Code pénal prévoit néanmoins un mécanisme distinct d’aggravation lorsqu’un moyen de cryptologie est utilisé pour préparer ou commettre certaines infractions ou en faciliter la préparation ou la commission. Le maximum de la peine peut alors être relevé selon l’échelle prévue par cet article, sous réserve de son champ exact et de son articulation avec les autres aggravations.

CXXVIII. Ne pas confondre

BANDE ORGANISÉE ≠ UTILISATION DE CRYPTOLOGIE.

Deux mécanismes distincts.

CXXIX. Cryptologie sans groupe

Un auteur isolé peut utiliser du chiffrement.

pas de bande organisée sur ce seul fait.

CXXX. Groupe sans chiffrement

Une bande organisée peut fonctionner sans cryptologie.

CXXXI. Sky ECC : illustration générale

La Cour de cassation a été amenée à examiner des dossiers de criminalité organisée utilisant des solutions sophistiquées de cryptologie, notamment Sky ECC. Ces affaires illustrent l’importance probatoire des communications chiffrées et des flux financiers, mais ne constituent pas à elles seules une jurisprudence spécifique définissant l’article 323-4-1.

CXXXII. Ne pas surinterpréter la technologie

Le fait d’utiliser :

Signal ;
Telegram ;
EncroChat ;
Sky ECC

ne suffit jamais seul à établir une bande organisée.

CXXXIII. Ce qui compte

CONTENU DES ÉCHANGES + STRUCTURE + PRÉPARATION + COMMISSION.

CXXXIV. Cyberattaque internationale

La bande organisée peut être transnationale.

CXXXV. Membres situés dans plusieurs pays

Cela n’empêche pas nécessairement l’existence d’une organisation structurée.

CXXXVI. Infrastructure dispersée

Serveurs :

France ;
Allemagne ;
Pays-Bas ;
États-Unis.

La géographie informatique ne détruit pas la qualification.

CXXXVII. Mais la compétence française doit être établie

La circonstance aggravante ne dispense pas d’examiner :

territorialité ;
compétence personnelle ;
rattachements.

CXXXVIII. Groupe étatique

Une attaque attribuée à une structure soutenue par un État peut soulever des questions supplémentaires.

CXXXIX. Le Code pénal ordinaire reste potentiellement applicable

Selon :

auteurs ;
territoire ;
qualification.

CXL. Espionnage

D’autres infractions relatives aux intérêts fondamentaux de la Nation peuvent primer ou se cumuler selon les faits.

CXLI. Terrorisme

Certaines atteintes informatiques peuvent également devenir des actes de terrorisme si les conditions propres aux textes concernés sont réunies.

CXLII. Bande organisée ≠ terrorisme

Il ne faut jamais confondre les deux.

CXLIII. Groupe militant

Un groupe militant peut constituer :

une entente ;
éventuellement une bande organisée

si les critères objectifs sont réunis. Mais le mobile politique ne suffit pas à lui seul.

CXLIV. Groupe criminel lucratif

Le profit n’est pas davantage nécessaire à la définition.

CXLV. Vengeance collective

Même chose.

CXLVI. Finalité de la bande

L’article 132-71 exige une préparation d’une ou plusieurs infractions.

CXLVII. Pas besoin d’un mobile uniforme

Les participants peuvent avoir des motivations différentes. Mais ils doivent être rattachés au projet criminel organisé.

CXLVIII. Exemple

A cherche de l’argent. B veut nuire à la victime. C veut se faire connaître. Ils coordonnent néanmoins la même attaque structurée.

la différence de mobile n’exclut pas automatiquement la bande.

CXLIX. Article 323-4-1 et responsabilité des personnes morales

Une entreprise utilisée comme support à une activité cybercriminelle peut engager sa responsabilité dans les conditions générales de l’article 121-2.

CL. Société-écran

Une société loue :

serveurs ;
domaines ;
équipements

pour le groupe.

CLI. Société véritablement criminelle

Si les actes sont accomplis pour son compte par ses organes ou représentants :

responsabilité de la personne morale à examiner.

CLII. Société innocente détournée

Pas de responsabilité automatique.

CLIII. Peines complémentaires

Les dispositions du chapitre 323 prévoient également des peines complémentaires applicables selon les personnes poursuivies et les faits.

CLIV. Confiscation

Dans les affaires de cybercriminalité organisée, peuvent notamment être saisis ou confisqués, sous réserve des conditions légales :

serveurs ;
ordinateurs ;
cryptoactifs ;
produits de l’infraction.

CLV. La bande organisée ne dispense pas de motiver la confiscation

Chaque mesure patrimoniale doit conserver son fondement légal propre.

CLVI. Preuve informatique de la bande

Les éléments essentiels sont souvent numériques.

CLVII. Discussions préparatoires

Elles peuvent établir :

anticipation ;
répartition des rôles.

CLVIII. Historique de code

Il peut révéler une spécialisation.

CLIX. Infrastructure

Les accès administrateurs aux mêmes serveurs peuvent rapprocher les participants.

CLX. Transactions

Les répartitions de rançon peuvent montrer :

structure ;
rémunération.

CLXI. Tableaux de bord criminels

Certains groupes gèrent des tableaux de suivi des victimes. Ils peuvent constituer des preuves puissantes d’organisation.

CLXII. Tickets de support

Dans les modèles ransomware-as-a-service, même un « support technique » criminel peut révéler une structure stable.

CLXIII. Documentation interne

Guides pour affiliés :

méthodes ;
répartition ;
paiement.

CLXIV. Contrats criminels

Des règles internes peuvent être établies :

« 20 % pour l’opérateur, 80 % pour l’affilié ».

Indice très fort d’organisation.

CLXV. Mais structure commerciale apparente ≠ preuve suffisante de chaque participant

Encore une fois :

individualisation.

CLXVI. Pseudonyme du développeur

Il faut le rattacher à une personne.

CLXVII. Pseudonyme réutilisé

Peut contribuer au faisceau.

CLXVIII. Analyse linguistique

Peut aider.

CLXIX. Empreintes numériques

clés PGP ;
wallets ;
comptes ;
adresses.

CLXX. Clé PGP

Elle peut permettre de relier différentes communications au même opérateur.

CLXXI. Wallet

Une adresse cryptographique peut révéler des flux. Mais elle n’identifie pas automatiquement la personne physique.

CLXXII. Attribution croisée

Il faut rapprocher :

finance ;
logs ;
comptes ;
appareils.

CLXXIII. Perquisition

Peut retrouver :

clés privées ;
codes ;
messages.

CLXXIV. Infrastructure hébergée

Les réquisitions peuvent identifier :

création ;
paiement ;
connexions d’administration.

CLXXV. VPN

L’adresse de sortie n’est pas l’identité de l’auteur.

CLXXVI. Machine compromise

Même prudence.

CLXXVII. Bandes organisées et botnets

Des milliers de machines participent techniquement à l’attaque. Leurs propriétaires :

ne deviennent évidemment pas membres de la bande s’ils sont infectés à leur insu.

CLXXVIII. Membres humains

Il faut distinguer :

ordinateurs bots ;
opérateurs criminels.

CLXXIX. Utilisateur volontaire d’un outil DDoS

S’il rejoint consciemment une opération structurée :

sa responsabilité est différente.

CLXXX. Participant occasionnel

Quelqu’un répond à un appel public et lance quelques requêtes. Il faut vérifier s’il est réellement intégré à l’organisation structurée ou s’il s’agit seulement d’une participation ponctuelle.

CLXXXI. Importance de l’arrêt 2015

L’équipe changeante et occasionnelle peut ne pas atteindre le seuil de la bande organisée.

CLXXXII. Noyau organisé + participants périphériques

Un dossier peut donc comporter :

un noyau en bande organisée ;
des participants ponctuels non nécessairement membres de cette bande.

CLXXXIII. Même attaque, qualifications différentes selon les auteurs

C’est parfaitement possible.

CLXXXIV. Dirigeants

323-4-1 possible.

CLXXXV. Participant ponctuel

323-2 simple ou complicité, selon les faits, sans forcément retenir l’aggravation.

CLXXXVI. Il faut éviter la contamination automatique

BANDE ORGANISÉE DU GROUPE ≠ BANDE ORGANISÉE DE CHAQUE PERSONNE PAR SIMPLE PROXIMITÉ.

CLXXXVII. Préparation de plusieurs infractions

Une bande peut préparer :

accès ;
extraction ;
sabotage.

CLXXXVIII. Mais 323-4-1 s’applique à chaque infraction effectivement commise concernée par son champ

La qualification doit être individualisée infraction par infraction.

CLXXXIX. Exemple

Le groupe prépare :

intrusion ;
extraction ;
effacement.

Il réalise seulement :

intrusion ;
extraction.

aggravation à examiner sur les infractions effectivement commises.

CXC. L’effacement seulement préparé

Peut continuer à relever du groupement préparatoire de 323-4 selon les conditions.

CXCI. Articulation subtile

On peut donc avoir dans un même dossier :

323-4 pour certaines infractions préparées

et :

323-4-1 pour les infractions effectivement commises en bande organisée.

CXCII. Pas d’automatisme de cumul

La jurisprudence générale sur le concours d’infractions doit être appliquée.

CXCIII. Article 323-4-2

Le chapitre prévoit par ailleurs une aggravation autonome lorsque certaines cyberatteintes produisent des conséquences particulièrement graves pour la sécurité des personnes ou les secours.

CXCIV. 323-4-1 et 323-4-2

Deux mécanismes distincts :

organisation du groupe

versus :

gravité de l’effet.

CXCV. Cyberattaque hospitalière organisée

Peuvent potentiellement être examinés :

323-2 ;
323-3 ;
323-4-1 ;
323-4-2,

selon les faits et les règles de concours.

CXCVI. Ne jamais additionner mécaniquement les peines

Les maxima légaux et les règles de concours doivent être appliqués juridiquement.

CXCVII. Prescription

323-4-1 n’est pas une infraction indépendante dont la prescription serait calculée séparément comme si elle existait seule. Il s’agit de la circonstance aggravante attachée à l’infraction sous-jacente.

CXCVIII. Date de l’infraction

Il faut donc dater :

l’accès ;
l’entrave ;
l’atteinte aux données ;
ou le comportement de 323-3-1.

CXCIX. Préparation antérieure

Elle sert notamment à caractériser la bande organisée.

CC. Mais la commission déclenche la qualification aggravée

L’analyse porte sur l’infraction effectivement réalisée dans ce cadre.

CCI. Faits antérieurs à 2023

Encore une fois :

version applicable à la date des faits.

CCII. Faits commencés avant 2023 et poursuivis après

La question temporelle peut devenir délicate. Il faut déterminer la nature exacte de chaque comportement et sa date de consommation.

CCIII. Pas de rétroactivité artificielle

Un acte achevé avant l’entrée en vigueur de la nouvelle peine ne devient pas punissable selon la version aggravée simplement parce que le groupe existe encore ensuite.

CCIV. Nouvelle attaque après 2023

Elle constitue une nouvelle situation temporelle.

CCV. Exemple

Même groupe :

attaque A en 2022 ;
attaque B en 2024.

Il faut appliquer séparément le droit applicable à chacune.

CCVI. Qualification procédurale

La bande organisée peut également avoir des conséquences procédurales dans certains régimes spécialisés. Mais il faut vérifier précisément les articles du Code de procédure pénale applicables à l’infraction concernée et à la date des faits.

CCVII. Ne pas déduire automatiquement toutes les techniques spéciales d’enquête

Le seul mot :

« bande organisée »

ne suffit pas pour conclure sans vérification que toutes les techniques dérogatoires sont disponibles.

CCVIII. Principe de légalité procédurale

Chaque mesure intrusive doit disposer de son fondement propre.

CCIX. Preuve de la bande organisée

La jurisprudence exige une caractérisation factuelle. Cass. crim., 15 mars 2006, puis 8 juillet 2015, le rappellent nettement.

CCX. Motivation insuffisante

« les prévenus étaient plusieurs et se connaissaient »

ne suffit pas.

CCXI. Motivation plus solide

« depuis plusieurs mois, A développait les outils, B administrait les serveurs, C obtenait les accès et D organisait le blanchiment ; plusieurs attaques avaient été planifiées depuis une infrastructure commune ».

CCXII. Le temps renforce parfois l’organisation

Une structure existant depuis des mois peut faciliter la preuve.

CCXIII. Mais aucune durée légale fixe

Il n’existe pas de règle :

« bande organisée = trois mois minimum ».

CCXIV. Organisation courte mais intensive

Une opération complexe préparée pendant quinze jours peut éventuellement satisfaire les critères.

CCXV. Structure variable

Un groupe peut remplacer certains membres sans perdre nécessairement son organisation.

CCXVI. Ce qui compte

L’existence d’un noyau structuré ou d’un fonctionnement organisé peut subsister malgré certains changements.

CCXVII. Arrêt de 2015

Dans l’affaire jugée, les variations de composition participaient précisément à l’absence de structure suffisante dans le contexte factuel retenu.

CCXVIII. Il ne faut donc pas en déduire

« un seul changement de membre détruit la bande organisée ».

Faux.

CCXIX. Dossier cyber typique

Les rôles peuvent être remplacés :

nouvel affilié ;
nouveau serveur ;
nouveau négociateur.

La structure globale peut rester stable.

CCXX. Preuve de permanence fonctionnelle

Rechercher :

protocoles ;
règles ;
accès centraux ;
répartition du profit.

CCXXI. Préparation répétée

Une série d’attaques similaires contre plusieurs victimes constitue un indice particulièrement significatif d’organisation.

CCXXII. Même outil

Réutilisé.

CCXXIII. Même infrastructure

Réutilisée.

CCXXIV. Même répartition

Réutilisée.

CCXXV. Même méthode de rançon

Même logique.

CCXXVI. Mais modus operandi similaire ≠ identité de bande automatique

Plusieurs groupes peuvent utiliser le même malware ou la même technique.

CCXXVII. Malware acheté publiquement

Des groupes distincts peuvent utiliser le même code.

CCXXVIII. Attribution au groupe

Il faut des indices complémentaires.

CCXXIX. Code personnalisé

Une version propre au groupe peut être plus probante.

CCXXX. Signature cryptographique

Peut aider à relier les attaques.

CCXXXI. Serveurs communs

Même logique.

CCXXXII. Victimes choisies selon une stratégie

Exemple :

uniquement cabinets médicaux ;
uniquement collectivités.

Cela peut montrer une planification.

CCXXXIII. Mais spécialisation sectorielle ≠ bande organisée à elle seule

Il faut toujours revenir à l’article 132-71 et à la structure.

CCXXXIV. Checklist : définition légale

Groupement ?
Entente ?
Préparation ?
Fait matériel ?
Infraction déterminable ?

CCXXXV. Checklist : jurisprudence

Préméditation ?
Organisation structurée ?
Répartition des rôles ?
Structure plus qu’occasionnelle ?

Cass. crim., 8 juillet 2015.

CCXXXVI. Checklist : article 323-4-1

Infraction relevant de 323-1 à 323-3-1 ?
Effectivement commise ?
Dans le cadre de cette bande ?
Date postérieure à l’entrée en vigueur du régime invoqué ?
Peine applicable ?

CCXXXVII. Checklist : infrastructure

Rechercher :

VPS ;
botnet ;
C2 ;
domaines ;
VPN ;
dépôts.

CCXXXVIII. Checklist : rôles

développeur ;
administrateur ;
intrus ;
exfiltrateur ;
négociateur ;
blanchisseur.

CCXXXIX. Checklist : chronologie

Date de formation.
Date de choix de cible.
Date des achats.
Date des configurations.
Date de l’attaque.
Date des paiements.

CCXL. Checklist : communications

instructions ;
planning ;
partage de profits ;
comptes rendus ;
répartition.

CCXLI. Checklist : individualisation

Pour chaque prévenu :

identité/pseudonyme ;
rôle ;
connaissance ;
actes ;
bénéfice éventuel ;
date d’entrée dans le groupe.

CCXLII. Exemple complet : groupe ransomware structuré

A développe le ransomware. B administre le panneau central. C obtient les accès. D chiffre les serveurs. E négocie la rançon. Ils se partagent les paiements selon une règle préalable.

organisation structurée fortement caractérisable.

Si 323-1, 323-2 ou 323-3 sont effectivement commis :

323-4-1 à examiner.

CCXLIII. Exemple complet : quatre adolescents improvisant

Ils se retrouvent sur un canal. Quelqu’un propose :

« on fait tomber ce site maintenant ? »

Ils lancent immédiatement un outil.

pluralité et éventuellement coauteurs de 323-2 ;

mais :

bande organisée non automatique faute de structure et préparation suffisantes.

CCXLIV. Exemple complet : DDoS préparé pendant plusieurs semaines

Le groupe :

constitue un botnet ;
choisit la victime ;
répartit la commande ;
programme les horaires.

critères nettement plus compatibles avec la bande organisée.

CCXLV. Exemple complet : simple forum

100 utilisateurs fréquentent un forum de hacking. 10 commettent ensuite chacun des attaques différentes.

pas de bande organisée unique automatiquement.

CCXLVI. Exemple complet : équipe permanente

Le même noyau :

vend des accès ;
exfiltre ;
chiffre ;
partage les profits.

analyse inverse.

CCXLVII. Exemple complet : ancien salarié

A fournit des identifiants de son ex-employeur à un groupe ransomware structuré. Il connaît leur projet. Il indique :

horaires ;
sauvegardes ;
comptes privilégiés.

Sa participation peut devenir particulièrement importante dans la qualification globale.

CCXLVIII. Exemple complet : salarié trompé

Le groupe prétend effectuer un audit mandaté. A fournit des informations en croyant sincèrement à cette mission.

élément intentionnel à examiner très différemment.

CCXLIX. Exemple complet : fournisseur de VPN

Un fournisseur classique loue un service à des attaquants.

bande organisée non automatique.

CCL. Fournisseur volontaire

Il crée spécialement des comptes anonymes, les renouvelle après blocage et connaît le projet.

analyse différente.

CCLI. Exemple complet : malware-as-a-service

A vend un malware à de nombreux utilisateurs indépendants. Le seul lien vendeur-client ne suffit pas nécessairement à faire de tous une même bande.

CCLII. Programme d’affiliation organisé

Le fournisseur :

sélectionne les affiliés ;
distribue les victimes ;
partage les rançons ;
impose des règles.

beaucoup plus proche d’une structure organisée.

CCLIII. Exemple complet : outil 323-3-1

Plusieurs développeurs structurés créent et diffusent un kit spécifiquement destiné à l’intrusion. Ils organisent :

vente ;
support ;
mises à jour.

Si 323-3-1 est constitué en bande organisée :

peine de 323-4-1 : 10 ans + 300 000 €.

CCLIV. Exemple complet : données de l’État

Un groupe structuré attaque un STAD de données personnelles mis en œuvre par l’État. Même si l’infraction sous-jacente comporte déjà une aggravation propre, 323-4-1 prévoit, lorsque ses conditions sont réunies :

10 ans + 300 000 €.

CCLV. Attention au concours d’aggravations

Il faut déterminer quelle disposition fixe finalement le maximum applicable. On ne peut pas additionner arithmétiquement :

7 ans + 10 ans.

CCLVI. Exemple complet : hôpital

Un groupe ransomware structuré provoque une indisponibilité grave. À examiner :

323-1 ;
323-2 ;
323-3 ;
323-4-1 ;
éventuellement 323-4-2 selon les conséquences exactes.

CCLVII. Exemple complet : attaque jamais réalisée

Le groupe est parfaitement structuré mais la police intervient avant la commission.

323-4-1 n’est pas le texte principal sur ce seul fait.

323-4 est alors à examiner.

CCLVIII. Voilà la distinction décisive

STRUCTURE + PRÉPARATION SANS COMMISSION → 323-4.

INFRACTION CYBER COMMISE DANS CETTE STRUCTURE → 323-4-1.

CCLIX. Erreurs fréquentes

Erreur n° 1 : plusieurs auteurs = bande organisée

Faux. Cass. crim., 8 juillet 2015 : la seule constitution d’une équipe de plusieurs personnes ne suffit pas ; il faut une organisation structurée.

Erreur n° 2 : bande organisée = réunion

Faux. La bande suppose une préparation et une structure supplémentaires.

Erreur n° 3 : bande organisée = association de malfaiteurs

Faux. La jurisprudence distingue la circonstance aggravante de bande organisée d’une infraction autonome de groupement préparatoire.

Erreur n° 4 : 323-4 = 323-4-1

Faux.

323-4 : préparation collective.

323-4-1 : circonstance aggravante de l’infraction cyber effectivement commise.

Erreur n° 5 : 323-4-1 aggrave 323-4

Faux textuellement. 323-4-1 vise :

323-1 à 323-3-1.

Erreur n° 6 : il suffit d’écrire « bande organisée » dans la prévention

Faux. La circonstance doit être caractérisée en fait.

Erreur n° 7 : il faut nécessairement une hiérarchie verticale

Trop absolu. L’exigence est celle d’une organisation structurée, qui peut être organisée autrement.

Erreur n° 8 : il faut au moins cinq personnes

Faux. Aucun tel seuil n’apparaît dans l’article 132-71.

Erreur n° 9 : utiliser Telegram prouve la bande organisée

Faux.

Erreur n° 10 : utiliser Tor prouve la bande organisée

Faux.

Erreur n° 11 : utiliser de la cryptomonnaie prouve la bande organisée

Faux.

Erreur n° 12 : utiliser un malware commun prouve l’existence du même groupe

Faux. Le même outil peut être utilisé par des équipes distinctes.

Erreur n° 13 : toute organisation préparatoire suffit pour 323-4-1

Faux. Il faut encore que l’infraction sous-jacente ait été commise en bande organisée.

Erreur n° 14 : une attaque réussie suffit à démontrer la bande

Faux. Il faut prouver l’organisation.

Erreur n° 15 : une attaque techniquement sophistiquée implique nécessairement plusieurs auteurs

Faux. Un auteur isolé peut être techniquement très compétent.

Erreur n° 16 : sophistication = bande organisée

Faux.

Erreur n° 17 : organisation criminelle ancienne obligatoire

Pas de durée légale fixe. Mais la structuration réelle doit être caractérisée.

Erreur n° 18 : changement d’un membre exclut automatiquement la bande

Faux.

Erreur n° 19 : tous les participants périphériques sont automatiquement membres de la bande

Faux. Il faut individualiser.

Erreur n° 20 : client d’un ransomware-as-a-service = membre automatique de la bande du fournisseur

Faux. Il faut démontrer son intégration au groupement structuré.

Erreur n° 21 : la bande organisée est une infraction autonome

Pas dans 323-4-1. Il s’agit ici d’une circonstance aggravante.

Erreur n° 22 : 10 ans d’emprisonnement transforme le délit en crime

Faux. La peine demeure une peine d’emprisonnement, donc correctionnelle.

Erreur n° 23 : le régime de 2023 peut être appliqué à une attaque de 2020

Faux si cela aggrave rétroactivement la peine.

Erreur n° 24 : bande organisée = 323-4-2

Faux. 323-4-2 repose sur les effets graves de l’atteinte, non sur l’organisation du groupe.

Erreur n° 25 : toute messagerie chiffrée constitue un indice décisif

Faux. La cryptologie peut contribuer au faisceau mais n’établit pas la bande à elle seule.

CCLX. Jurisprudence fondamentale : Cass. crim., 8 juillet 2015, n° 14-88.329

Cet arrêt publié au Bulletin doit être mémorisé. La chambre criminelle rappelle que la bande organisée suppose :

PRÉMÉDITATION

et :

ORGANISATION STRUCTURÉE ENTRE SES MEMBRES.

CCLXI. L’affaire

Les juges avaient relevé des équipes variables :

trois ;
quatre ;
cinq membres,

sans structure suffisamment stable. La Cour approuve l’absence de bande organisée.

CCLXII. Principe

UNE ÉQUIPE DE MALFAITEURS ≠ AUTOMATIQUEMENT UNE BANDE ORGANISÉE.

CCLXIII. Transposition cyber

Une attaque collective improvisée :

peut relever de la coauteurie ou de la complicité,

sans nécessairement relever de 323-4-1.

CCLXIV. En revanche

Une équipe structurée :

durable ou spécifiquement préparée ;
spécialisée ;
coordonnée

peut satisfaire le critère.

CCLXV. Jurisprudence : Cass. crim., 15 mars 2006, n° 05-82.785

Cette décision rappelle que la bande organisée doit être caractérisée factuellement selon les éléments de l’article 132-71 et ne peut être traitée comme une simple qualification abstraite.

CCLXVI. Application au juge correctionnel

Même en dehors de la cour d’assises, la méthode reste :

DÉCRIRE LES FAITS QUI CONSTITUENT L’ORGANISATION.

CCLXVII. Article 132-71 au 13 août 2026

La définition générale est toujours :

groupement ou entente ;

préparation ;

un ou plusieurs faits matériels.

CCLXVIII. Article 323-4-1 au 13 août 2026

La rédaction actuelle est toujours :

cyberinfractions 323-1 à 323-3-1 commises en bande organisée ;

10 ans + 300 000 euros.

CCLXIX. Date d’entrée en vigueur

Cette version est en vigueur depuis :

26 janvier 2023.

CCLXX. Méthode ultra-rapide

Face à une cyberattaque collective :

1. QUELLE INFRACTION ?

323-1 ? 323-2 ? 323-3 ? 323-3-1 ? ↓

2. PLUSIEURS PERSONNES ?

↓

3. SIMPLE COACTION OU GROUPEMENT PRÉPARÉ ?

↓

4. QUELS FAITS MATÉRIELS DE PRÉPARATION ?

↓

5. EXISTE-T-IL UNE ORGANISATION STRUCTURÉE ?

↓

6. EXISTE-T-IL UNE PRÉMÉDITATION ?

↓

7. L’INFRACTION A-T-ELLE ÉTÉ EFFECTIVEMENT COMMISE ?

↓

8. SI OUI : 323-4-1 POSSIBLE.

CCLXXI. Formule de qualification

INFRACTION 323-1 À 323-3-1

GROUPEMENT OU ENTENTE

PRÉPARATION MATÉRIALISÉE

ORGANISATION STRUCTURÉE

PRÉMÉDITATION

COMMISSION

BANDE ORGANISÉE — ARTICLE 323-4-1.

CCLXXII. Schéma comparatif

UNE PERSONNE SEULE

→ infraction cyber simple.

PLUSIEURS PERSONNES IMPROVISANT

→ coauteurie/complicité possible.

PLUSIEURS PERSONNES PRÉPARANT MATÉRIELLEMENT

→ 323-4 possible.

GROUPE STRUCTURÉ COMMETTANT L’INFRACTION

→ 323-4-1 possible.

CCLXXIII. À retenir

La première règle est :

ARTICLE 323-4-1 = CIRCONSTANCE AGGRAVANTE DE CYBERCRIMINALITÉ EN BANDE ORGANISÉE.

Au 13 août 2026 :

10 ANS D’EMPRISONNEMENT + 300 000 EUROS D’AMENDE.

La deuxième règle est :

SON CHAMP EST LIMITÉ AUX INFRACTIONS DES ARTICLES 323-1 À 323-3-1.

La troisième règle est :

ARTICLE 323-4 N’EST PAS LUI-MÊME CITÉ PAR 323-4-1.

La quatrième règle est :

BANDE ORGANISÉE ≠ PLURALITÉ D’AUTEURS.

L’article 132-71 exige :

groupement ou entente ;
préparation ;
faits matériels.

La cinquième règle résulte de Cass. crim., 8 juillet 2015, n° 14-88.329 :

LA BANDE ORGANISÉE SUPPOSE UNE PRÉMÉDITATION ET UNE ORGANISATION STRUCTURÉE ENTRE SES MEMBRES.

La sixième règle est donc :

UNE ÉQUIPE IMPROVISÉE PEUT COMMETTRE UNE CYBERINFRACTION COLLECTIVEMENT SANS CONSTITUER UNE BANDE ORGANISÉE.

La septième règle est :

LA CIRCONSTANCE DOIT ÊTRE CARACTÉRISÉE PAR DES FAITS CONCRETS.

Cass. crim., 15 mars 2006, n° 05-82.785. La huitième règle est :

323-4 ≠ 323-4-1.

323-4 :

PRÉPARATION COLLECTIVE MATÉRIALISÉE, même avant l’attaque.

323-4-1 :

INFRACTION CYBER EFFECTIVEMENT COMMISE DANS LE CADRE D’UNE BANDE ORGANISÉE.

La neuvième règle est :

LA STRUCTURE PEUT ÊTRE ENTIÈREMENT NUMÉRIQUE.

Aucune rencontre physique n’est nécessaire :

serveurs ;
messageries ;
dépôts ;
infrastructures communes

peuvent matérialiser l’organisation. La dixième règle est :

OUTILS TECHNIQUES NEUTRES ≠ PREUVE AUTOMATIQUE DE BANDE ORGANISÉE.

VPN, Tor, chiffrement, cryptomonnaies ou serveurs cloud ne suffisent pas à eux seuls. La onzième règle est :

LA RESPONSABILITÉ DOIT ÊTRE INDIVIDUALISÉE.

Un hébergeur, un client, un affilié ou un développeur n’est pas automatiquement membre de la bande du seul fait qu’il se situe quelque part dans la chaîne technique. La douzième règle est temporelle :

LE QUANTUM ACTUEL DE 10 ANS ET 300 000 € EST EN VIGUEUR DEPUIS LE 26 JANVIER 2023.

Il faut donc appliquer avec rigueur les règles de droit pénal dans le temps pour les attaques plus anciennes. Enfin, la méthode générale est :

IDENTIFIER L’INFRACTION CYBER → RECONSTRUIRE LE GROUPE → RECHERCHER LA PRÉPARATION → IDENTIFIER LES FAITS MATÉRIELS → CARACTÉRISER LA STRUCTURE → ÉTABLIR LA PRÉMÉDITATION → INDIVIDUALISER LE RÔLE DE CHAQUE PARTICIPANT → VÉRIFIER QUE L’INFRACTION A ÉTÉ COMMISE → APPLIQUER 323-4-1 SI TOUTES LES CONDITIONS SONT RÉUNIES.

CLXXXV. Cyberattaques mettant en danger les personnes ou faisant obstacle aux secours — article 323-4-2

L’article 323-4-2 du Code pénal marque un changement important dans la philosophie du droit pénal informatique français. Les articles précédents protègent principalement :

l’accès au système ;
le fonctionnement du système ;
les données ;
les outils susceptibles de permettre l’attaque ;
et l’organisation collective des cyberattaques.

L’article 323-4-2 ajoute une dimension beaucoup plus grave :

LA PROTECTION DE LA VIE ET DE L’INTÉGRITÉ PHYSIQUE DES PERSONNES CONTRE LES CONSÉQUENCES D’UNE CYBERATTAQUE.

Au 13 août 2026, il prévoit que lorsque les infractions des articles 323-1 à 323-3-1 ont pour effet :

d’exposer autrui à un risque immédiat de mort ;
ou à un risque immédiat de blessures de nature à entraîner une mutilation ou une infirmité permanente ;
ou de faire obstacle aux secours destinés à faire échapper une personne à un péril imminent ;
ou de faire obstacle aux secours destinés à combattre un sinistre présentant un danger pour la sécurité des personnes,

la peine est portée à :

10 ans d’emprisonnement et 300 000 euros d’amende.

L’article a été créé par la loi n° 2023-22 du 24 janvier 2023 et est entré en vigueur le 26 janvier 2023. Sa rédaction demeure inchangée au 13 août 2026. La formule fondamentale est :

IL NE SUFFIT PAS QU’UNE CYBERATTAQUE TOUCHE UN HÔPITAL, UN SERVICE DE SECOURS OU UNE INFRASTRUCTURE SENSIBLE.

Il faut caractériser :

UN EFFET CONCRET CORRESPONDANT EXACTEMENT À L’UNE DES HYPOTHÈSES DE L’ARTICLE 323-4-2.

I. Une circonstance aggravante fondée sur les conséquences de l’attaque

L’article 323-4-2 n’incrimine pas une nouvelle technique de piratage. Il aggrave certaines infractions informatiques en raison de leurs conséquences humaines particulièrement graves.

II. La logique est différente de celle de l’article 323-4-1

L’article 323-4-1 s’intéresse à :

L’ORGANISATION DES AUTEURS.

L’article 323-4-2 s’intéresse à :

L’EFFET DE L’ATTAQUE SUR LES PERSONNES OU LES SECOURS.

III. Article 323-4-1

Question :

l’infraction a-t-elle été commise en bande organisée ?

IV. Article 323-4-2

Question :

l’infraction informatique a-t-elle créé le risque ou l’obstacle aux secours précisément décrit par le texte ?

V. Les deux circonstances sont donc conceptuellement distinctes

Une attaque peut être :

commise par une seule personne ;
sans bande organisée ;

mais produire néanmoins un effet relevant de 323-4-2.

VI. À l’inverse

Une attaque peut être commise par une bande organisée sans jamais exposer quiconque à un danger physique. Dans ce cas :

323-4-1 peut être applicable ;

323-4-2 ne l’est pas nécessairement.

VII. Infractions concernées

L’article 323-4-2 vise les infractions prévues aux articles :

323-1 ;
323-2 ;
323-3 ;
323-3-1.

VIII. Article 323-1

L’accès ou le maintien frauduleux peut donc être aggravé lorsqu’il produit l’un des effets corporels ou de secours prévus.

IX. Article 323-2

L’entrave ou le fonctionnement faussé d’un STAD constitue probablement le terrain le plus évident pour cette aggravation.

X. Article 323-3

La suppression ou modification frauduleuse de données peut également produire directement un danger humain.

XI. Article 323-3-1

Le texte vise même l’infraction relative aux moyens conçus ou spécialement adaptés pour commettre les cyberinfractions. Cette inclusion doit cependant être appliquée avec une grande rigueur quant au lien entre l’infraction et l’effet exigé par 323-4-2.

XII. Article 323-4 n’est pas cité

Comme pour 323-4-1, le texte renvoie :

323-1 à 323-3-1

et ne mentionne pas directement :

323-4.

XIII. Première branche : risque immédiat de mort

L’article vise d’abord le cas où l’infraction informatique :

EXPOSE AUTRUI À UN RISQUE IMMÉDIAT DE MORT.

XIV. « Autrui »

Il faut une personne autre que l’auteur exposée au risque. Il n’est pas nécessaire que le texte exige qu’elle soit nominativement identifiée dès l’origine de l’attaque. Mais le risque doit concerner réellement des personnes.

XV. « Risque »

Le décès n’a pas besoin de s’être produit. C’est l’un des points les plus importants du texte.

LA MORT EFFECTIVE N’EST PAS UNE CONDITION DE 323-4-2.

Le texte parle de :

risque immédiat de mort.

XVI. Exemple

Une cyberattaque neutralise un système indispensable au fonctionnement immédiat d’un dispositif médical maintenant un patient en vie. Même si le patient survit :

323-4-2 peut devoir être examiné si le risque immédiat de mort est concrètement établi.

XVII. L’immédiateté est indispensable

Le texte ne parle pas d’un risque :

hypothétique ;
lointain ;
éventuel à plusieurs mois.

Il exige :

UN RISQUE IMMÉDIAT.

XVIII. Exemple insuffisant

Une attaque entraîne une baisse générale de la qualité des services hospitaliers et pourrait, à terme, avoir des effets sanitaires. Ce seul raisonnement abstrait ne suffit pas nécessairement.

XIX. Il faut rapprocher le risque de l’attaque

La question est :

À CAUSE DE CETTE CYBERATTAQUE, UNE PERSONNE A-T-ELLE ÉTÉ IMMÉDIATEMENT EXPOSÉE À UN RISQUE DE MORT ?

XX. Deuxième branche : blessures d’une particulière gravité

Le texte vise également le risque immédiat de blessures :

DE NATURE À ENTRAÎNER UNE MUTILATION OU UNE INFIRMITÉ PERMANENTE.

XXI. Toute blessure ne suffit donc pas

L’article ne prévoit pas simplement :

« risque de blessure ».

Il impose un niveau très élevé de gravité.

XXII. Exemple

Une cyberattaque fausse les paramètres d’une machine industrielle. Un opérateur est immédiatement exposé au risque qu’un mécanisme lui écrase un membre.

323-4-2 peut être examiné.

XXIII. Exemple plus faible

Une panne informatique provoque un risque de petite coupure ou de contusion mineure.

le seuil de 323-4-2 n’est pas nécessairement atteint.

XXIV. Il faut apprécier la nature de la blessure potentielle

La question n’est pas seulement :

« quelqu’un aurait-il pu être blessé ? »

Mais :

« LA BLESSURE POTENTIELLE ÉTAIT-ELLE DE NATURE À ENTRAÎNER MUTILATION OU INFIRMITÉ PERMANENTE ? »

XXV. Troisième branche : obstacle aux secours permettant d’échapper à un péril imminent

Le texte vise ensuite le fait de :

FAIRE OBSTACLE AUX SECOURS DESTINÉS À FAIRE ÉCHAPPER UNE PERSONNE À UN PÉRIL IMMINENT.

XXVI. Ici encore, le mot « imminent » est essentiel

Le danger n’est pas abstrait. Une personne doit être confrontée à un péril dont la réalisation est suffisamment proche.

XXVII. Exemple

Une cyberattaque bloque le système permettant de transmettre immédiatement une intervention médicale urgente pour une personne victime d’un accident grave.

obstacle aux secours possible.

XXVIII. Service de secours momentanément indisponible

Il faut déterminer :

quelles fonctions sont indisponibles ;
pendant combien de temps ;
quels secours ont été empêchés ;
quelles personnes étaient concernées.

XXIX. Une simple gêne administrative ne suffit pas

Exemple : le logiciel administratif des congés des pompiers est indisponible. Cela ne signifie pas automatiquement :

obstacle aux secours au sens de 323-4-2.

XXX. Il faut atteindre la fonction de secours elle-même

Ou, au minimum, démontrer que l’atteinte informatique a concrètement empêché ou entravé les secours visés par le texte.

XXXI. Quatrième branche : obstacle à la lutte contre un sinistre dangereux

L’article vise également les secours destinés :

À COMBATTRE UN SINISTRE PRÉSENTANT UN DANGER POUR LA SÉCURITÉ DES PERSONNES.

XXXII. « Sinistre »

Exemples possibles selon les faits :

incendie ;
accident industriel ;
catastrophe technique.

XXXIII. L’existence d’un danger pour les personnes est expressément requise

Un sinistre concernant seulement un bien matériel sans danger pour les personnes ne satisfait pas nécessairement cette branche.

XXXIV. Exemple

Une cyberattaque bloque le système de transmission utilisé par les pompiers alors qu’un incendie menace les occupants d’un immeuble.

323-4-2 peut devenir directement pertinent.

XXXV. Exemple inverse

Le même système est momentanément indisponible un jour où aucune intervention ou situation dangereuse n’est concernée.

l’obstacle aux secours exigé par le texte n’est pas automatiquement caractérisé.

XXXVI. Le texte exige un effet

La rédaction est particulièrement importante :

« lorsque les infractions […] ont pour effet ».

Il faut donc démontrer une conséquence.

XXXVII. Simple intention de mettre en danger ≠ effet

A veut provoquer un danger. Mais son attaque échoue totalement. Aucun système n’est perturbé. Aucune personne n’est exposée.

323-4-2 n’est pas automatiquement constitué.

D’autres qualifications peuvent en revanche être discutées.

XXXVIII. Simple possibilité technique ≠ effet

Un expert affirme :

« théoriquement, cette intrusion aurait pu perturber le système médical ».

Cela ne suffit pas nécessairement. Il faut établir l’effet légalement requis.

XXXIX. Causalité

Le ministère public doit donc établir une chaîne :

CYBERINFRACTION

↓

CONSÉQUENCE SUR LE SYSTÈME OU LES DONNÉES

↓

EXPOSITION IMMÉDIATE AU RISQUE OU OBSTACLE AUX SECOURS.

XL. Rupture de causalité

Si le risque résulte exclusivement d’un événement totalement indépendant de l’attaque, 323-4-2 devient beaucoup plus difficile à retenir.

XLI. Multiplicité des causes

En pratique, les infrastructures sensibles possèdent souvent :

redondances ;
modes dégradés ;
procédures manuelles.

Il faut donc déterminer quel effet réel l’attaque a eu malgré ces protections.

XLII. Mode dégradé fonctionnel

Une attaque bloque le système informatique principal. Mais le service bascule immédiatement vers une procédure de secours totalement efficace. Aucune personne n’est exposée à un risque immédiat.

323-4-2 non automatique.

XLIII. Mode dégradé insuffisant

Le système de secours fonctionne partiellement mais provoque un retard critique dans le traitement d’un patient.

analyse différente.

XLIV. Hôpital : secteur emblématique

Les cyberattaques hospitalières constituent évidemment l’un des premiers contextes auxquels l’article 323-4-2 fait penser. Mais la qualification ne peut reposer sur la seule formule :

« HÔPITAL ATTAQUÉ = 323-4-2 ».

XLV. Il faut identifier le service atteint

Par exemple :

urgences ;
réanimation ;
imagerie ;
pharmacie ;
bloc opératoire.

XLVI. Puis identifier la conséquence

Exemples :

impossibilité d’accéder à une prescription vitale ;
indisponibilité d’un système indispensable à une intervention urgente ;
retard critique dans l’orientation d’un patient.

XLVII. Puis démontrer l’immédiateté

Le risque corporel doit répondre exactement au texte.

XLVIII. Serveur de communication institutionnelle

Un hôpital voit son site internet public indisponible. Aucun système de soins n’est touché.

323-2 peut éventuellement être discuté selon les faits ;

323-4-2 n’en résulte pas automatiquement.

XLIX. Messagerie administrative

Même prudence.

L. Messagerie médicale critique

La situation peut être différente si elle constitue, dans le contexte précis, le canal indispensable de transmission d’informations urgentes.

LI. Dossier patient informatisé

Une attaque le rend indisponible. Question :

cette indisponibilité a-t-elle concrètement créé le risque immédiat grave exigé ?

LII. Impossible de raisonner abstraitement

Un dossier patient informatisé contient des informations importantes. Mais il peut exister :

sauvegardes ;
impressions ;
procédures de secours.

LIII. Patient précis

La preuve devient particulièrement forte si l’on peut montrer :

traitement urgent ;
information indisponible ;
retard ;
risque grave immédiat.

LIV. Ransomware hospitalier

Un ransomware peut combiner :

accès frauduleux — 323-1 ;
entrave — 323-2 ;
modification/chiffrement de données — 323-3.

Si cette attaque produit ensuite l’un des effets corporels ou de secours de l’article 323-4-2 :

la peine peut être portée à 10 ans et 300 000 euros.

LV. Le ransomware ne déclenche pas automatiquement 323-4-2

Il peut atteindre :

facturation ;
ressources humaines ;
fonctions non critiques.

L’effet doit être démontré.

LVI. SAMU et centres d’appel

Une cyberattaque touchant des systèmes de traitement ou transmission des appels d’urgence peut potentiellement relever du texte lorsque l’obstacle concret aux secours est établi.

LVII. Numéro d’urgence

Le simple fait qu’une infrastructure soit associée aux secours ne suffit pas. Il faut démontrer :

UNE OBSTRUCTION EFFECTIVE AUX SECOURS CONCERNÉS PAR LE TEXTE.

LVIII. Pompiers

Même raisonnement.

LIX. Services de police

Un système policier peut également intervenir dans la protection immédiate des personnes. Mais l’analyse doit porter sur la fonction concrètement empêchée.

LX. Sécurité civile

Même logique.

LXI. Centrale d’alarme

Une attaque neutralise une centrale reliée à un site occupé où un incendie est en cours.

obstacle aux secours possible.

LXII. Centrale neutralisée sans danger en cours

L’effet particulier exigé par 323-4-2 n’est pas automatiquement présent.

LXIII. Transport

Une cyberattaque peut également atteindre :

signalisation ferroviaire ;
contrôle aérien ;
systèmes routiers.

LXIV. Signalisation ferroviaire

Si le fonctionnement est faussé au point d’exposer immédiatement les passagers à un risque mortel :

323-4-2 peut être examiné.

LXV. Réseau ferroviaire arrêté par sécurité

Une attaque conduit automatiquement le système à bloquer tous les trains. Le service est interrompu mais les voyageurs sont protégés.

323-2 peut être constitué ;

323-4-2 n’est pas nécessairement constitué.

LXVI. C’est une distinction capitale

INDISPONIBILITÉ GRAVE DU SERVICE ≠ DANGER PHYSIQUE IMMÉDIAT AUTOMATIQUE.

LXVII. Aviation

Même logique.

LXVIII. Système de réservation aérienne

Une attaque contre le site de réservation peut être économiquement très grave. Mais elle ne crée pas nécessairement un risque immédiat de mort.

LXIX. Système de navigation ou de contrôle

Situation radicalement différente si une manipulation expose réellement un aéronef ou ses occupants à un danger immédiat.

LXX. Infrastructure industrielle

Les systèmes industriels peuvent commander :

machines ;
températures ;
pressions ;
vannes.

LXXI. Faussement des paramètres

Une cyberattaque modifie intentionnellement les paramètres d’une machine. Elle risque immédiatement d’exploser. Des salariés se trouvent à proximité.

323-4-2 peut être directement pertinent.

LXXII. Système industriel arrêté en sécurité

Si le dispositif de sécurité coupe automatiquement l’installation avant tout danger :

323-4-2 n’est pas automatique.

LXXIII. Réseau électrique

Une attaque du réseau électrique peut produire des conséquences humaines très graves. Mais il faut les établir concrètement.

LXXIV. Panne locale sans danger particulier

Pas de 323-4-2 automatique.

LXXV. Panne touchant un appareil médical critique sans secours

Analyse différente.

LXXVI. Eau potable

Une attaque peut fausser :

dosage ;
traitement ;
distribution.

Si elle expose immédiatement des personnes à un risque correspondant au seuil légal :

323-4-2 possible.

LXXVII. Simple perturbation de facturation de l’eau

Non.

LXXVIII. Barrages

Une prise de contrôle d’un système de barrage peut théoriquement créer un danger grave pour des populations. Mais la qualification suppose de démontrer l’effet concret.

LXXIX. Infrastructure nucléaire

Même prudence renforcée. Il ne suffit pas d’invoquer le caractère sensible de l’installation.

LXXX. Principe

SENSIBILITÉ DE LA CIBLE ≠ ÉLÉMENT CONSTITUTIF SUFFISANT.

LXXXI. Cyberattaque de véhicule

Un véhicule connecté peut constituer un système comportant plusieurs STAD ou fonctions automatisées.

LXXXII. Contrôle d’un véhicule en mouvement

Si une intrusion fausse la direction ou le freinage et expose immédiatement les occupants à la mort :

323-4-2 peut être examiné.

LXXXIII. Infodivertissement seulement

Une attaque du système multimédia ne crée pas nécessairement un danger corporel.

LXXXIV. Objets médicaux connectés

Exemples :

pompes ;
dispositifs de surveillance ;
systèmes implantables.

LXXXV. Mais attention aux scénarios purement théoriques

Le droit pénal ne doit pas être construit à partir d’un film de science-fiction. Il faut établir :

existence du système ;
possibilité réelle d’action ;
effet concret de l’attaque.

LXXXVI. « A pour effet »

Cette formulation distingue 323-4-2 d’une simple incrimination d’intention. L’effet doit exister.

LXXXVII. Prévisibilité

La question de savoir si l’auteur avait prévu la conséquence peut devenir importante pour l’élément moral et les qualifications concurrentes. Mais le texte de 323-4-2 est d’abord rédigé à partir de l’effet produit.

LXXXVIII. Article 121-3

Les infractions des articles 323-1 à 323-3-1 possèdent leurs propres éléments intentionnels. L’aggravation résultant de 323-4-2 doit être articulée avec les principes généraux de responsabilité pénale.

LXXXIX. Ne pas affirmer sans nuance que l’auteur doit avoir recherché le danger corporel

Le texte ne dit pas :

« dans l’intention d’exposer autrui ».

Il dit :

« ont pour effet d’exposer autrui ».

XC. Exemple

A veut seulement bloquer le système pour exercer une pression économique. L’attaque provoque néanmoins un risque immédiat très grave. La question de l’application de l’aggravation doit être examinée à partir du texte et des règles générales sur les circonstances aggravantes.

XCI. Mobile financier

Le fait d’agir pour obtenir une rançon n’exclut donc pas l’aggravation.

XCII. Mobile militant

Même chose.

XCIII. Mobile de vengeance

Même chose.

XCIV. Cyberattaque hospitalière non ciblée spécifiquement

Un ransomware est diffusé sans connaître précisément toutes les victimes. Il infecte un hôpital. L’analyse de l’effet corporel reste nécessaire.

XCV. Il faut distinguer l’effet de l’intention générale

Une attaque indiscriminée peut produire un effet répondant au texte. Mais la responsabilité de chaque personne doit rester individualisée.

XCVI. Preuve du risque immédiat

Elle peut nécessiter :

témoignages médicaux ;
expertise ;
chronologie technique ;
dossiers de soins.

XCVII. Témoignage du médecin

Il peut expliquer :

quel patient ;
quel traitement ;
quel délai ;
quel risque.

XCVIII. Expertise biomédicale

Elle peut déterminer si l’indisponibilité informatique a réellement créé un risque vital immédiat.

XCIX. Expertise informatique

Elle établit :

quelle fonction était hors service ;
pendant combien de temps ;
en raison de quelle attaque.

C. Croisement des deux expertises

Le dossier peut exiger :

EXPERTISE TECHNIQUE + EXPERTISE MÉDICALE.

CI. Exemple

Expert informatique :

le serveur des prescriptions était inaccessible de 14 h 02 à 15 h 18.

Médecin :

à 14 h 20, un traitement urgent devait être administré à un patient dont la posologie n’était disponible que sur ce système.

Le lien devient particulièrement précis.

CII. À l’inverse

Le médecin confirme qu’une procédure papier complète permettait l’administration normale du traitement.

le risque immédiat peut ne pas être établi.

CIII. Obstacle aux secours : preuve

Il faut documenter :

appel ;
demande d’intervention ;
système bloqué ;
retard produit ;
nature du péril.

CIV. Chronologie indispensable

Exemple :

18 h 03 : incendie signalé.

18 h 04 : système de transmission indisponible.

18 h 12 : appel finalement transféré par voie alternative.

18 h 15 : secours engagés.

Cette chronologie permet d’évaluer la réalité de l’obstacle.

CV. « Faire obstacle » ≠ nécessairement empêcher totalement

Le mot obstacle peut couvrir une entrave substantielle. Mais il faut éviter de le réduire à toute difficulté insignifiante.

CVI. Retard d’une seconde

Pas automatiquement.

CVII. Retard critique

Peut être déterminant.

CVIII. Absence de victime effectivement blessée

Encore une fois :

323-4-2 peut être applicable sans blessure effective,

puisqu’il vise l’exposition à un risque immédiat.

CIX. Victime effectivement blessée

D’autres qualifications pénales relatives aux atteintes à l’intégrité physique peuvent alors également devoir être examinées.

CX. Décès effectif

Même chose. Le décès ne doit pas être absorbé intellectuellement par la seule aggravation cyber.

CXI. Concours avec homicide

Si une cyberattaque cause effectivement la mort d’une personne, il faut étudier séparément :

l’élément moral ;
la causalité ;
les infractions contre les personnes éventuellement applicables.

CXII. 323-4-2 n’est pas un homicide informatique

C’est une circonstance aggravante des infractions cyber visées.

CXIII. Concours avec violences

Même prudence.

CXIV. Cyberattaque intentionnellement destinée à blesser

Si l’auteur manipule intentionnellement un système dans le but de provoquer une atteinte physique :

les infractions contre les personnes peuvent devenir centrales.

CXV. Exemple

A prend volontairement le contrôle d’une machine industrielle dans le but de blesser B. Il déclenche le mécanisme.

ne pas analyser seulement 323-2 et 323-4-2.

CXVI. Tentative d’homicide éventuelle

Elle devra être examinée si ses conditions particulières sont réunies.

CXVII. Concours raisonné

Il faut donc distinguer les intérêts protégés :

sécurité du système ;
intégrité physique ;
vie.

CXVIII. Article 323-4-2 et extorsion

Ransomware :

« payez sinon nous ne rétablissons pas le système hospitalier ».

Peuvent entrer en discussion :

cyberinfractions ;
323-4-2 ;
extorsion.

CXIX. Article 323-4-2 et terrorisme

Une cyberattaque visant délibérément à terroriser une population ou perturber gravement l’ordre public peut aussi soulever les qualifications terroristes lorsque toutes leurs conditions sont réunies.

CXX. Ne pas automatiser

infrastructure vitale attaquée ≠ terrorisme automatique.

CXXI. Article 323-4-2 et bande organisée

Une cyberattaque peut simultanément :

être commise en bande organisée ;
produire un risque immédiat de mort.

CXXII. Deux circonstances distinctes

Article 323-4-1 :

STRUCTURE CRIMINELLE.

Article 323-4-2 :

CONSÉQUENCE SUR LES PERSONNES OU SECOURS.

CXXIII. Même quantum apparent

Les deux textes peuvent prévoir :

10 ans + 300 000 €.

Mais ce sont juridiquement deux fondements différents.

CXXIV. Pas d’addition 10 + 10

On n’additionne pas :

20 ans

par simple cumul arithmétique des aggravations. Il faut appliquer les règles du concours et de détermination des peines.

CXXV. 10 ans d’emprisonnement

Comme vu précédemment :

il s’agit d’une peine correctionnelle.

CXXVI. 323-4-2 ne crée donc pas en lui-même un crime

La peine prévue est :

emprisonnement

et non :

réclusion criminelle.

CXXVII. Date d’entrée en vigueur

Le texte est applicable depuis :

26 janvier 2023.

CXXVIII. Faits de 2022

L’article 323-4-2 n’existait pas encore. Il ne peut donc pas être appliqué rétroactivement comme aggravation plus sévère.

CXXIX. Faits du 27 janvier 2023

Il peut en principe entrer dans l’analyse, sous réserve du droit applicable au moment exact des faits.

CXXX. Attaque commencée avant et poursuivie après

Il faut déterminer :

dates des différents actes ;
caractère instantané ou prolongé ;
moment où l’effet aggravant s’est produit.

CXXXI. Ne pas choisir artificiellement une date postérieure

Le principe de légalité interdit de faire entrer rétroactivement des faits consommés avant le 26 janvier 2023 dans le nouveau régime.

CXXXII. Jurisprudence directe encore limitée

Au 13 août 2026, la recherche des sources officielles ne fait pas apparaître de jurisprudence publiée de la chambre criminelle fournissant déjà une doctrine générale détaillée sur les éléments propres de l’article 323-4-2. Il faut donc, pour le moment, s’appuyer prioritairement sur :

le texte légal ;
les principes généraux ;
la jurisprudence relative aux infractions 323-1 à 323-3-1.

La décision du 2 septembre 2025, par exemple, précise l’article 323-1 mais ne porte pas sur l’aggravation de 323-4-2.

CXXXIII. Prudence doctrinale

Il serait donc prématuré d’affirmer que la Cour de cassation a déjà fixé :

un nombre minimal de minutes de retard ;
un seuil hospitalier précis ;
une liste d’infrastructures automatiquement couvertes.

Aucun de ces automatismes ne résulte du texte.

CXXXIV. Le juge devra raisonner au cas par cas

Sur :

réalité ;
immédiateté ;
gravité ;
causalité.

CXXXV. Tableau : structure de l’article

Branche	Condition
Risque de mort	Risque immédiat
Risque de blessure	Mutilation ou infirmité permanente possible
Obstacle aux secours	Personne confrontée à un péril imminent
Obstacle à la lutte contre un sinistre	Sinistre dangereux pour la sécurité des personnes

CXXXVI. Tableau : exemples

Situation	323-4-2 ?
Site public d’un hôpital indisponible	Pas automatiquement
Dossier patient indisponible sans conséquence vitale	Pas automatiquement
Système de soins bloqué avec risque vital immédiat	Oui possible
Serveur RH des pompiers indisponible	Pas automatiquement
Transmission urgente des secours bloquée pendant un sinistre	Oui possible
Usine arrêtée automatiquement en sécurité	Pas automatiquement
Paramètres industriels falsifiés créant risque d’explosion immédiat	Oui possible

CXXXVII. Tableau : 323-4-1 / 323-4-2

Question	Article
Groupe structuré ?	323-4-1
Risque immédiat pour les personnes ?	323-4-2
Obstacle aux secours ?	323-4-2
Bande organisée sans danger corporel ?	323-4-1 seulement possible
Auteur isolé créant un danger corporel ?	323-4-2 possible

CXXXVIII. Exemple complet : hôpital

A diffuse un ransomware. Le système de prescriptions devient indisponible. Un patient en réanimation doit recevoir immédiatement un médicament à dose personnalisée. L’information indispensable est inaccessible et aucun mode de secours n’est disponible. Le patient est exposé à un risque vital immédiat. À examiner :

323-1 ;
323-2 ;
323-3 ;
323-4-2.

CXXXIX. Même ransomware, situation différente

Le ransomware bloque uniquement :

la comptabilité ;
le portail fournisseur.

Les soins continuent normalement.

323-4-2 non automatique.

CXL. Exemple complet : pompiers

Une attaque par déni de service bloque le système informatique affectant les équipes alors qu’un incendie menace des occupants. L’attaque provoque concrètement un retard dans l’engagement des secours.

323-2 + 323-4-2 à examiner.

CXLI. Même attaque sans sinistre

Le système tombe pendant dix minutes. Aucune intervention urgente n’est en cours.

323-2 possible ;

323-4-2 non automatique.

CXLII. Exemple complet : industrie

A modifie frauduleusement un paramètre de pression. La machine continue à fonctionner mais entre immédiatement dans une zone dangereuse pouvant entraîner l’explosion de l’installation alors que des salariés sont présents. À examiner :

323-3 ;

323-2 ;

323-4-2.

CXLIII. Exemple complet : sécurité automatique

La modification déclenche immédiatement l’arrêt automatique sécurisé. Aucun salarié n’est exposé.

323-2/323-3 possibles ;

323-4-2 non automatique.

CXLIV. Exemple complet : ferroviaire

Une cyberattaque neutralise l’affichage des horaires dans une gare.

pas de danger physique immédiat sur ce seul fait.

CXLV. Même secteur, système de signalisation

Le système de sécurité est faussé au point de permettre deux trains sur une trajectoire incompatible.

risque immédiat de mort possible.

CXLVI. Exemple complet : système de secours hospitalier

Le système principal tombe. Un système secondaire prend immédiatement le relais. Aucun retard de soins.

l’aggravation n’est pas automatiquement constituée.

CXLVII. Exemple complet : exfiltration seule

Des pirates copient les dossiers médicaux. Ils ne perturbent aucun soin.

323-3 possible ;

323-4-2 non automatique.

CXLVIII. Exemple complet : suppression de données critiques

Ils suppriment en revanche les informations indispensables à un traitement urgent. Le patient se trouve immédiatement exposé à un risque de mort.

323-4-2 devient pertinent.

CXLIX. Exemple complet : appel d’urgence

Une attaque bloque un centre d’appel. Mais tous les appels sont automatiquement reroutés vers un autre centre sans retard significatif.

obstacle aux secours non automatiquement caractérisé.

CL. Même attaque sans redondance

Les appels ne peuvent plus être reçus. Plusieurs personnes sont confrontées à des périls imminents.

323-4-2 à examiner.

CLI. Checklist générale

Devant une cyberattaque contre une infrastructure sensible, demander :

Quelle infraction 323-1 à 323-3-1 ?
Quel système ?
Quelle fonction était atteinte ?
Quelle durée ?
Quel effet concret ?
Une personne a-t-elle été exposée ?
À un risque de mort ?
Ce risque était-il immédiat ?
Risque de mutilation ?
Risque d’infirmité permanente ?
Des secours ont-ils été empêchés ?
Pour quel péril ?
Ce péril était-il imminent ?
Quel sinistre ?
Était-il dangereux pour les personnes ?
Existe-t-il un lien causal ?
Mode dégradé ?
Redondance ?
Retard réellement produit ?
Expertises nécessaires ?

CLII. Checklist hôpital

Service atteint.
Patient concerné.
Traitement urgent ?
Donnée inaccessible ?
Appareil bloqué ?
Délai médical critique ?
Procédure papier ?
Système de secours ?
Risque vital documenté ?
Avis du médecin ?

CLIII. Checklist secours

Appel reçu ?
Heure exacte ?
Système touché ?
Fonction rendue impossible ?
Moyen alternatif ?
Retard ?
Péril imminent ?
Personne à secourir ?
Conséquence du retard ?

CLIV. Checklist industrie

Processus commandé ?
Paramètre modifié ?
Valeur normale ?
Valeur frauduleuse ?
Danger immédiat ?
Présence humaine ?
Sécurité automatique ?
Expertise industrielle ?

CLV. Checklist causalité

SANS L’ATTAQUE, LE RISQUE AURAIT-IL EXISTÉ DANS LES MÊMES CONDITIONS ?

Cette question ne résout pas seule la causalité juridique, mais elle est un excellent point de départ factuel.

CLVI. Preuve documentaire

Rechercher :

logs ;
rapports d’incident ;
dossier médical ;
appels d’urgence ;
rapports des secours.

CLVII. Témoignages

médecins ;
infirmiers ;
pompiers ;
ingénieurs ;
opérateurs.

CLVIII. Enregistrement des appels

Peut établir :

heure ;
absence de réponse ;
durée du retard.

CLIX. Logs du système

Permettent d’établir :

panne ;
origine ;
durée.

CLX. Procédures de continuité

Elles permettent de déterminer si la panne pouvait être absorbée sans danger.

CLXI. Plan de reprise

Même utilité.

CLXII. Preuve de l’immédiateté

Elle doit être particulièrement soigneuse.

CLXIII. Exemple probatoire fort

Médecin :

« sans intervention dans les cinq minutes, le patient était exposé à un risque vital majeur ».

CLXIV. Exemple plus faible

« une panne informatique dans un hôpital est toujours potentiellement dangereuse ».

Trop général pour caractériser à lui seul le texte.

CLXV. Erreurs fréquentes

Erreur n° 1 : toute cyberattaque hospitalière relève de 323-4-2

Faux. Le texte exige un effet précis.

Erreur n° 2 : une victime doit nécessairement être morte

Faux. Le risque immédiat de mort suffit.

Erreur n° 3 : toute blessure potentielle suffit

Faux. La blessure doit être de nature à entraîner :

mutilation ;
ou infirmité permanente.

Erreur n° 4 : tout retard des secours suffit

Faux. Il faut satisfaire exactement les conditions prévues par le texte.

Erreur n° 5 : une infrastructure sensible suffit

Faux. Le statut de la cible n’est pas le critère autonome de l’article.

Erreur n° 6 : hôpital = risque immédiat présumé

Faux.

Erreur n° 7 : pompiers = obstacle aux secours présumé

Faux.

Erreur n° 8 : une panne électrique créée par l’attaque suffit toujours

Faux. Il faut encore le risque ou l’obstacle qualifié.

Erreur n° 9 : la conséquence peut être purement théorique

Faux. Le texte parle de l’effet de l’infraction.

Erreur n° 10 : risque à long terme = risque immédiat

Faux.

Erreur n° 11 : bande organisée obligatoire

Faux. 323-4-2 ne l’exige pas.

Erreur n° 12 : 323-4-2 = 323-4-1

Faux.

Erreur n° 13 : 323-4-2 vise directement 323-4

Faux textuellement. Il vise les articles 323-1 à 323-3-1.

Erreur n° 14 : 10 ans signifie crime

Faux. Le texte prévoit :

10 ans d’emprisonnement.

Erreur n° 15 : article applicable aux cyberattaques de 2020

Faux. Il n’est en vigueur que depuis le 26 janvier 2023.

Erreur n° 16 : le simple vol de données médicales suffit

Faux. Une exfiltration peut constituer 323-3 sans produire l’effet supplémentaire exigé par 323-4-2.

Erreur n° 17 : l’attaque doit nécessairement avoir été dirigée contre la personne exposée

Le texte est formulé à partir de l’effet de la cyberinfraction ; il ne faut donc pas ajouter sans fondement textuel une condition générale selon laquelle l’auteur devait nécessairement avoir individuellement ciblé la personne exposée.

Erreur n° 18 : absence de blessure = absence d’aggravation

Faux. L’exposition au risque immédiat suffit lorsqu’elle répond au seuil légal.

Erreur n° 19 : tout danger économique peut être assimilé au danger des personnes

Faux. 323-4-2 protège ici :

vie ;
intégrité corporelle grave ;
secours.

Erreur n° 20 : il existe déjà une jurisprudence abondante fixant tous les seuils

Faux. Au 13 août 2026, le texte est encore récent et la jurisprudence publiée de la chambre criminelle directement consacrée à ses critères propres reste limitée.

CLXVI. État de la jurisprudence au 13 août 2026

L’article n’étant entré en vigueur qu’en janvier 2023, sa construction jurisprudentielle est encore récente. La Cour de cassation a, en revanche, continué à préciser les infractions informatiques sous-jacentes : ainsi, l’arrêt du 2 septembre 2025, n° 24-83.605, publié au Bulletin, confirme qu’un administrateur réseau disposant techniquement d’un droit général d’accès peut néanmoins se rendre coupable de maintien frauduleux lorsqu’il consulte des messages à des fins étrangères à sa mission et à l’insu de leurs titulaires. Cette jurisprudence est pertinente pour déterminer d’abord l’existence de l’infraction informatique de base, mais elle ne doit pas être présentée comme une décision d’application de l’article 323-4-2.

CLXVII. Méthode en deux temps

Il faut impérativement séparer :

TEMPS 1 : L’INFRACTION CYBER EST-ELLE CONSTITUÉE ?

Puis seulement :

TEMPS 2 : A-T-ELLE PRODUIT L’EFFET GRAVE DE 323-4-2 ?

CLXVIII. Exemple

Administrateur :

se maintient frauduleusement dans le système.

Puis :

son comportement perturbe un dispositif médical.

Il faut d’abord caractériser :

323-1.

Puis établir :

le risque immédiat ou l’obstacle aux secours.

CLXIX. Le simple fait que le système soit critique ne dispense jamais du temps 1

Il faut une infraction des articles 323-1 à 323-3-1.

CLXX. Et le simple fait qu’une infraction cyber soit constituée ne dispense jamais du temps 2

Il faut l’effet aggravant.

CLXXI. Tableau de synthèse

Étape	Question
1	Infraction 323-1 à 323-3-1 ?
2	Effet concret ?
3	Risque de mort immédiat ?
4	Risque de mutilation/infirmité permanente ?
5	Obstacle aux secours ?
6	Péril imminent ou sinistre dangereux ?
7	Causalité ?
8	Preuve médicale/technique ?

CLXXII. Formule de qualification

CYBERINFRACTION 323-1 À 323-3-1

EFFET CONCRET

RISQUE IMMÉDIAT DE MORT

RISQUE IMMÉDIAT DE BLESSURE POUVANT ENTRAÎNER MUTILATION/INFIRMITÉ PERMANENTE

OBSTACLE AUX SECOURS FACE À UN PÉRIL IMMINENT

OBSTACLE AUX SECOURS FACE À UN SINISTRE DANGEREUX POUR LES PERSONNES

ARTICLE 323-4-2 POSSIBLE.

CLXXIII. Méthode ultra-rapide

Face à une cyberattaque visant un hôpital ou une infrastructure critique :

1. QUELLE CYBERINFRACTION ?

↓

2. QUELLE FONCTION DU SYSTÈME A ÉTÉ ATTEINTE ?

↓

3. QUELLE CONSÉQUENCE CONCRÈTE ?

↓

4. UNE PERSONNE A-T-ELLE ÉTÉ IMMÉDIATEMENT MISE EN DANGER ?

↓

5. QUEL DEGRÉ DE DANGER ?

↓

6. DES SECOURS ONT-ILS ÉTÉ EMPÊCHÉS ?

↓

7. POUR QUEL PÉRIL OU SINISTRE ?

↓

8. LIEN CAUSAL PROUVÉ ?

↓

9. 323-4-2.

CLXXIV. À retenir

La première règle est :

ARTICLE 323-4-2 = AGGRAVATION FONDÉE SUR LES CONSÉQUENCES HUMAINES GRAVES DE LA CYBERATTAQUE.

Au 13 août 2026 :

10 ANS D’EMPRISONNEMENT + 300 000 € D’AMENDE.

La deuxième règle est :

LE TEXTE EST APPLICABLE AUX INFRACTIONS 323-1 À 323-3-1.

La troisième règle est :

LE TEXTE EXIGE UN EFFET.

Ce n’est pas une simple incrimination de danger abstrait. L’infraction doit avoir pour effet :

d’exposer autrui à un risque immédiat de mort ;
ou à une blessure de nature à entraîner mutilation ou infirmité permanente ;
ou de faire obstacle aux secours dans les hypothèses précisément visées.

La quatrième règle est :

IMMÉDIATETÉ.

Un danger lointain ou hypothétique ne doit pas être confondu avec :

un risque immédiat.

La cinquième règle est :

TOUTE CYBERATTAQUE CONTRE UN HÔPITAL N’EST PAS 323-4-2.

Il faut rechercher :

LA CONSÉQUENCE RÉELLE SUR LES PATIENTS OU LES SECOURS.

La sixième règle est :

IL N’EST PAS NÉCESSAIRE QU’UNE PERSONNE MEURE OU SOIT EFFECTIVEMENT MUTILÉE.

L’exposition au risque immédiat suffit lorsqu’elle répond au seuil légal. La septième règle est :

OBSTACLE AUX SECOURS = PAS SIMPLE DYSFONCTIONNEMENT ADMINISTRATIF.

Il faut démontrer que l’attaque a affecté les secours destinés :

à faire échapper une personne à un péril imminent ;
ou à combattre un sinistre dangereux pour la sécurité des personnes.

La huitième règle est :

323-4-1 ≠ 323-4-2.

323-4-1 :

BANDE ORGANISÉE.

323-4-2 :

DANGER POUR LES PERSONNES OU OBSTACLE AUX SECOURS.

La neuvième règle est :

UN AUTEUR ISOLÉ PEUT RELEVER DE 323-4-2.

Aucune bande organisée n’est exigée par ce texte. La dixième règle est temporelle :

ARTICLE CRÉÉ PAR LA LOI DU 24 JANVIER 2023, EN VIGUEUR DEPUIS LE 26 JANVIER 2023.

Il ne peut donc pas être appliqué rétroactivement comme aggravation à des faits entièrement consommés auparavant. La onzième règle est probatoire :

IL FAUT SOUVENT UNE DOUBLE DÉMONSTRATION TECHNIQUE ET MÉDICALE.

Par exemple :

LOGS DU SYSTÈME + CHRONOLOGIE DES SOINS + EXPERTISE MÉDICALE.

La douzième règle est :

LE MODE DÉGRADÉ COMPTE.

Si la panne est immédiatement compensée par un système de secours réellement efficace, le risque exigé peut ne pas être caractérisé. La treizième règle est :

L’INFRASTRUCTURE CRITIQUE NE CRÉE PAS UNE PRÉSOMPTION AUTOMATIQUE DE DANGER.

Hôpital, centrale, transport, secours ou industrie :

il faut toujours démontrer l’effet concret.

Enfin, la méthode générale est :

IDENTIFIER L’INFRACTION CYBER → IDENTIFIER LA FONCTION DU SYSTÈME ATTEINTE → RECONSTRUIRE L’EFFET CONCRET → ÉTABLIR L’IMMÉDIATETÉ ET LA GRAVITÉ DU RISQUE → RECHERCHER UN OBSTACLE AUX SECOURS → PROUVER LE LIEN CAUSAL → ARTICULER 323-4-2 AVEC LES AUTRES INFRACTIONS ET AGGRAVATIONS.

CLXXXVI. Peines complémentaires, confiscation et responsabilité des personnes morales en matière d’atteintes aux STAD — articles 323-5 et 323-6

Après les incriminations relatives :

à l’accès ou au maintien frauduleux ;
à l’entrave au fonctionnement ;
aux atteintes aux données ;
aux outils de piratage ;
au groupement préparatoire ;
à la bande organisée ;
et aux cyberattaques mettant gravement en danger les personnes,

le Code pénal organise les conséquences complémentaires de la condamnation. Deux articles sont essentiels :

ARTICLE 323-5 : PEINES COMPLÉMENTAIRES APPLICABLES AUX PERSONNES PHYSIQUES

et :

ARTICLE 323-6 : RESPONSABILITÉ ET PEINES APPLICABLES AUX PERSONNES MORALES.

Au 13 août 2026, l’article 323-5 prévoit sept catégories de peines complémentaires applicables aux personnes physiques reconnues coupables des délits du chapitre III relatif aux atteintes aux systèmes de traitement automatisé de données. L’article 323-6 prévoit quant à lui que les personnes morales déclarées pénalement responsables, dans les conditions de l’article 121-2, des infractions du chapitre encourent :

l’amende selon l’article 131-38 ;
ainsi que les peines prévues à l’article 131-39.

La première formule fondamentale est donc :

LA CONDAMNATION POUR CYBERINFRACTION NE SE RÉDUIT PAS À L’EMPRISONNEMENT ET À L’AMENDE PRINCIPALE.

La deuxième est :

UNE SOCIÉTÉ PEUT ÊTRE PÉNALEMENT RESPONSABLE D’UNE ATTEINTE À UN STAD, MAIS PAS SIMPLEMENT PARCE QU’UN DE SES SALARIÉS A COMMIS L’INFRACTION.

Il faut satisfaire aux conditions de l’article 121-2 :

INFRACTION COMMISE POUR LE COMPTE DE LA PERSONNE MORALE PAR UN ORGANE OU UN REPRÉSENTANT.

I. L’article 323-5 concerne les personnes physiques

Le texte dispose que les personnes physiques coupables des délits prévus au chapitre III encourent également plusieurs peines complémentaires. Cela signifie qu’elles viennent s’ajouter, lorsque les conditions légales sont réunies, aux peines principales attachées à l’infraction considérée.

II. Les sept catégories prévues par l’article 323-5

Au 13 août 2026, l’article 323-5 prévoit :

l’interdiction de certains droits civiques, civils et de famille ;
certaines interdictions professionnelles ou de fonction publique ;
la confiscation ;
la fermeture d’établissement ;
l’exclusion des marchés publics ;
l’interdiction d’émettre certains chèques ;
l’affichage ou la diffusion de la décision.

III. Première peine : interdiction des droits civiques, civils et de famille

L’article 323-5 permet une interdiction d’une durée maximale de :

5 ANS

selon les modalités de l’article 131-26.

IV. Il s’agit d’une peine complémentaire

Elle ne résulte pas automatiquement de toute condamnation informatique. Le juge doit prononcer la peine dans les conditions générales applicables à l’individualisation des sanctions.

V. La cyberinfraction ne fait donc pas automatiquement perdre les droits civiques

Une formule telle que :

« condamné pour piratage = privation automatique des droits civiques »

serait juridiquement inexacte.

VI. Deuxième peine : interdiction professionnelle ou fonction publique

L’article 323-5 autorise, pour une durée maximale de cinq ans, l’interdiction :

d’exercer une fonction publique ;
ou d’exercer l’activité professionnelle ou sociale dans l’exercice ou à l’occasion de laquelle l’infraction a été commise.

VII. Lien fonctionnel avec l’activité

Le texte vise spécialement l’activité :

dans l’exercice ou à l’occasion de laquelle l’infraction a été commise.

Cette précision est particulièrement importante en cybercriminalité interne.

VIII. Exemple : administrateur système

Un administrateur utilise ses privilèges professionnels pour :

consulter clandestinement des données ;
exfiltrer des fichiers ;
saboter le système.

Une interdiction professionnelle peut devenir particulièrement pertinente selon les faits et l’individualisation de la peine.

IX. Exemple : développeur

Un développeur exploite volontairement ses accès pour modifier frauduleusement les données de son employeur. Même logique.

X. Profession sans rapport avec l’infraction

Si l’activité professionnelle n’a aucun lien avec les faits, l’interdiction spécialement fondée sur ce 2° doit être analysée conformément à son champ.

XI. La peine n’est pas une interdiction générale de travailler

Elle doit correspondre aux termes précis du texte.

XII. Fonction publique

La possibilité d’interdiction vise expressément l’exercice d’une fonction publique. Elle peut donc présenter une importance particulière lorsqu’un agent utilise frauduleusement ses accès institutionnels.

XIII. Troisième peine : confiscation

La confiscation constitue probablement la peine complémentaire la plus importante dans les dossiers de cybercriminalité. L’article 323-5 vise la confiscation :

de la chose ayant servi ou destinée à commettre l’infraction ;
ou de la chose qui en constitue le produit,

sous réserve notamment des biens devant être restitués.

XIV. Exemples évidents d’instruments

Peuvent être concernés selon les faits :

ordinateur ;
serveur ;
support de stockage ;
dispositif utilisé pour l’attaque.

Mais chaque confiscation doit disposer d’un fondement juridique exact.

XV. Ordinateur utilisé pour l’intrusion

Un ordinateur personnel utilisé pour conduire une attaque peut constituer :

un bien ayant servi à commettre l’infraction.

L’article 131-21 organise plus généralement la confiscation des biens ayant servi ou destinés à commettre l’infraction, sous les conditions qu’il prévoit.

XVI. Serveur d’exfiltration

Un serveur appartenant au condamné et utilisé pour réceptionner les données volées peut également entrer dans cette logique.

XVII. Clé USB

Elle peut être l’instrument d’une extraction ou d’une reproduction frauduleuse.

XVIII. Smartphone

Un smartphone peut, selon son utilisation concrète, devenir un instrument de l’infraction.

XIX. Il faut toutefois distinguer instrument et simple présence

Le fait qu’un appareil soit retrouvé au domicile du prévenu ne signifie pas automatiquement :

qu’il a servi à l’infraction.

Il faut établir le lien fonctionnel.

XX. Confiscation du produit

La confiscation peut également porter sur le produit direct ou indirect de l’infraction, selon le régime général de l’article 131-21.

XXI. Exemple : rançon

Une somme obtenue après une cyberextorsion peut constituer un produit de l’activité criminelle, sous réserve de la qualification retenue et des règles propres à la confiscation.

XXII. Cryptoactifs

La forme numérique d’un actif ne lui confère aucune immunité. Le régime général de confiscation s’applique également aux droits incorporels dans les conditions prévues par l’article 131-21.

XXIII. Wallet ≠ automatiquement produit criminel

Le simple fait qu’un portefeuille de cryptoactifs appartienne à un cyberdélinquant ne signifie pas que son intégralité constitue le produit de l’infraction. Il faut rechercher le fondement exact de la confiscation.

XXIV. Produit mêlé à des fonds licites

L’article 131-21 organise également l’hypothèse où le produit de l’infraction a été mêlé à des fonds d’origine licite, avec une confiscation pouvant être limitée à la valeur correspondant au produit criminel dans les conditions prévues par le texte.

XXV. Confiscation en nature et confiscation en valeur

Le droit général de la confiscation permet différents mécanismes qui doivent être distingués. Le praticien doit donc toujours identifier :

l’instrument ;
l’objet ;
le produit ;
ou la valeur correspondant au produit.

XXVI. Réforme importante de 2024

Le régime général de la confiscation a été substantiellement modifié par la loi du 24 juin 2024 relative à l’efficacité des dispositifs de saisie et de confiscation des avoirs criminels. La version de l’article 131-21 applicable au 13 août 2026 est issue de cette réforme et demeure prévue jusqu’au 1er janvier 2029 selon la chronologie affichée par Légifrance.

XXVII. Confiscation de plein droit dans de nombreux délits

L’article 131-21 prévoit que la confiscation est également encourue de plein droit pour les délits punis de plus d’un an d’emprisonnement, à l’exception des délits de presse. Les infractions informatiques étudiées, dont les maxima dépassent généralement ce seuil, doivent donc être analysées également à la lumière de ce régime général.

XXVIII. Article 323-5 et article 131-21 se combinent

Il ne faut donc pas lire l’article 323-5 isolément. Il constitue un fondement spécial de confiscation dans le chapitre cyber, tandis que l’article 131-21 organise le régime général de la peine.

XXIX. Instrument d’accès à un service en ligne

Depuis la réforme de 2024, l’article 131-21 précise également que, lorsqu’une infraction passible de confiscation a été commise au moyen d’un service de communication au public en ligne, l’instrument utilisé pour accéder à ce service est considéré comme un bien meuble ayant servi à commettre l’infraction et peut être confisqué.

XXX. Importance pratique

Selon les faits, cette disposition peut concerner :

ordinateur ;
téléphone ;
terminal

utilisé comme instrument d’accès.

XXXI. Cela ne signifie pas confiscation automatique de tous les appareils

Le juge doit toujours respecter :

le fondement juridique ;
les droits des tiers ;
les règles propres au prononcé de la peine.

XXXII. Propriétaire de bonne foi

Le régime général de l’article 131-21 protège, dans les conditions qu’il fixe, les droits du propriétaire de bonne foi.

XXXIII. Exemple

Un salarié utilise clandestinement :

l’ordinateur appartenant à son conjoint

pour une intrusion. La confiscation ne peut pas être analysée comme si l’appareil appartenait automatiquement au condamné.

XXXIV. Libre disposition

Le régime général tient également compte, dans certaines hypothèses, de la libre disposition que le condamné peut avoir de biens appartenant formellement à un tiers, sous réserve des protections prévues pour le propriétaire de bonne foi.

XXXV. Société-écran

Un cyberdélinquant peut placer :

serveurs ;
véhicules ;
actifs

au nom d’une société qu’il contrôle. L’analyse patrimoniale doit alors aller au-delà de la seule apparence du titre de propriété.

XXXVI. Droits de la victime

Les biens qui doivent être restitués à la victime ne sont pas traités comme un produit définitivement confiscable au détriment de ses droits. L’article 131-21 réserve notamment les biens susceptibles de restitution.

XXXVII. Exemple

Des fonds frauduleusement transférés peuvent devoir être restitués à leur propriétaire plutôt que confisqués au profit de l’État.

XXXVIII. Saisie ≠ confiscation

Distinction fondamentale :

SAISIE = MESURE PATRIMONIALE PENDANT LA PROCÉDURE

CONFISCATION = PEINE OU CONSÉQUENCE PATRIMONIALE PRONONCÉE SELON LE FONDEMENT APPLICABLE.

XXXIX. Un bien saisi n’est donc pas automatiquement confisqué

Le jugement doit déterminer son sort.

XL. Jurisprudence récente de 2026 sur la motivation de la confiscation

Dans un arrêt du 18 février 2026, n° 24-86.195, publié au Bulletin, la chambre criminelle a précisé l’incidence de la réforme de 2024 sur la motivation de certaines confiscations. Elle juge que, dans le cadre visé par l’article 485-1 du Code de procédure pénale, le juge prononçant la confiscation en nature ou en valeur du produit ou de l’objet de l’infraction n’a pas à motiver cette peine au regard des critères personnels du dernier alinéa de l’article 132-1.

XLI. Portée de cette décision

Cet arrêt ne concerne pas spécifiquement les cyberinfractions. Il fournit néanmoins une règle actuelle importante pour le droit général de la confiscation applicable également aux affaires informatiques lorsque le même fondement est mobilisé.

XLII. Ne pas généraliser à toutes les confiscations

Il serait excessif d’écrire :

« depuis 2026 aucune confiscation n’a besoin d’être motivée ».

L’arrêt porte précisément sur certaines confiscations du produit ou de l’objet et sur l’interprétation de l’article 485-1 après la réforme de 2024.

XLIII. Instrument / produit : distinction essentielle

Instrument

Le bien utilisé pour commettre l’infraction.

Produit

Ce que l’infraction a permis d’obtenir.

XLIV. Exemple

Ordinateur ayant servi à une intrusion :

instrument.

Cryptoactifs correspondant à la rançon :

produit potentiel.

XLV. Objet de l’infraction

La jurisprudence et le régime général utilisent également la notion d’objet de l’infraction dans certaines hypothèses patrimoniales. L’arrêt du 18 février 2026 distingue notamment les confiscations du produit ou de l’objet.

XLVI. Quatrième peine de l’article 323-5 : fermeture d’établissement

Le juge peut prononcer, pour une durée maximale de cinq ans, la fermeture :

d’un établissement ;
ou de plusieurs établissements de l’entreprise

ayant servi à commettre les faits incriminés.

XLVII. Peine particulièrement sévère économiquement

Pour une structure commerciale, cette peine peut être plus lourde, en pratique, qu’une simple amende.

XLVIII. Exemple

Une entreprise organise depuis un établissement spécialisé :

la commercialisation de malwares ;
ou une infrastructure de cyberattaques.

La fermeture peut être examinée selon les conditions légales.

XLIX. Établissement ayant « servi » à commettre les faits

Il faut un lien entre l’établissement et la commission de l’infraction.

L. Siège social purement administratif

La seule présence de l’adresse sur le Kbis ne suffit pas nécessairement à démontrer qu’il a servi aux faits.

LI. Cinquième peine : exclusion des marchés publics

L’article 323-5 prévoit une exclusion des marchés publics pouvant aller jusqu’à :

5 ANS.

LII. Importance pour les prestataires informatiques

Cette peine peut avoir des conséquences majeures pour une entreprise ou un entrepreneur travaillant avec :

administrations ;
établissements publics ;
collectivités.

LIII. Personne physique

Dans l’article 323-5, cette peine est prévue à l’encontre des personnes physiques coupables du délit.

LIV. Personnes morales

L’article 131-39 prévoit également, pour les personnes morales lorsque la loi le permet, l’exclusion des marchés publics à titre définitif ou pour une durée maximale de cinq ans.

LV. Sixième peine : interdiction d’émettre certains chèques

L’article 323-5 permet une interdiction pouvant durer jusqu’à cinq ans d’émettre certains chèques, à l’exception notamment de ceux permettant le retrait de fonds par le tireur auprès du tiré ou des chèques certifiés.

LVI. Peine aujourd’hui moins centrale dans les dossiers cyber

Elle demeure néanmoins juridiquement prévue.

LVII. Septième peine : affichage ou diffusion de la décision

L’article 323-5 permet l’affichage ou la diffusion de la décision conformément aux modalités de l’article 131-35.

LVIII. Dimension réputationnelle

Cette peine peut être particulièrement lourde pour :

consultant ;
prestataire ;
entreprise ;
professionnel de la cybersécurité.

LIX. Publication de la condamnation ≠ simple communication judiciaire

Il s’agit d’une véritable peine complémentaire lorsqu’elle est prononcée sur ce fondement.

LX. Tableau des peines de l’article 323-5

Peine complémentaire	Durée maximale lorsque prévue
Interdiction de droits civiques/civils/famille	5 ans
Interdiction de fonction ou activité	5 ans
Confiscation	Selon son objet et son régime
Fermeture d’établissement	5 ans
Exclusion des marchés publics	5 ans
Interdiction d’émettre certains chèques	5 ans
Affichage/diffusion	Selon article 131-35

Ce tableau reprend la structure de l’article 323-5 applicable au 13 août 2026.

LXI. L’article 323-5 est ancien

La version actuellement en vigueur de l’article 323-5 est indiquée par Légifrance comme applicable depuis le 1er mars 1994.

LXII. Cela ne signifie pas que tout le régime de confiscation est resté identique depuis 1994

L’article 131-21 a, lui, connu plusieurs réformes, notamment celle du 24 juin 2024.

LXIII. Il faut donc combiner texte spécial et droit général des peines

C’est une règle méthodologique fondamentale.

LXIV. Passage aux personnes morales : article 323-6

L’article 323-6 dispose que les personnes morales déclarées responsables pénalement, dans les conditions de l’article 121-2, des infractions du chapitre III encourent :

l’amende selon l’article 131-38 ;

et :

les peines prévues par l’article 131-39.

LXV. Article 323-6 ne crée pas une responsabilité automatique

Il faut d’abord remplir les conditions de :

L’ARTICLE 121-2.

LXVI. Personne morale

Peuvent notamment être concernées, selon leur statut :

société ;
association ;
certaines personnes morales de droit public.

Mais le régime diffère selon la catégorie.

LXVII. L’État est exclu

L’article 121-2 exclut expressément :

L’ÉTAT

de la responsabilité pénale des personnes morales.

LXVIII. Collectivités territoriales : régime limité

Les collectivités territoriales et leurs groupements ne sont responsables pénalement que pour les infractions commises dans l’exercice d’activités susceptibles de faire l’objet d’une convention de délégation de service public.

LXIX. Société privée

Pour une société commerciale ordinaire, le mécanisme général s’applique sans cette limitation propre aux collectivités territoriales.

LXX. Première condition : une infraction

Il faut d’abord qu’une infraction du chapitre ait été commise.

LXXI. Exemple

Un salarié exfiltre des données. Cela peut constituer 323-3. Mais :

cela ne suffit pas encore à condamner automatiquement sa société.

LXXII. Deuxième condition : organe ou représentant

L’article 121-2 exige que l’infraction ait été commise par :

UN ORGANE OU UN REPRÉSENTANT DE LA PERSONNE MORALE.

LXXIII. Salarié ordinaire ≠ représentant automatique

Le simple contrat de travail ne transforme pas tout salarié en représentant pénal de la personne morale.

LXXIV. Dirigeant

Un dirigeant social peut, selon les circonstances, constituer l’organe ou le représentant permettant l’imputation.

LXXV. Délégation de pouvoirs

La qualité de représentant peut également être discutée lorsque la personne dispose d’une délégation effective lui conférant l’autorité et les moyens correspondant à son rôle.

LXXVI. Responsable informatique

Un DSI n’est pas automatiquement représentant au seul titre de son intitulé de poste. Il faut examiner :

pouvoirs ;
délégation ;
autonomie ;
capacité d’engager la société.

LXXVII. Administrateur réseau ordinaire

Même prudence.

LXXVIII. Troisième condition : pour le compte de la personne morale

L’infraction doit avoir été commise :

POUR LE COMPTE DE LA PERSONNE MORALE.

LXXIX. Intérêt purement personnel

Un salarié pirate la messagerie de son conjoint depuis l’ordinateur de l’entreprise.

responsabilité pénale de la société non automatique.

LXXX. Acte accompli pour obtenir un avantage commercial à la société

Situation différente.

LXXXI. Exemple

Le dirigeant ordonne à un technicien :

d’accéder frauduleusement au serveur d’un concurrent afin de récupérer sa base clients.

Si les conditions de l’article 121-2 sont établies :

responsabilité de la personne morale à examiner.

LXXXII. Exemple de sabotage concurrentiel

Une entreprise organise volontairement un DDoS contre un concurrent afin de détourner sa clientèle. Même logique.

LXXXIII. Acte contraire aux intérêts de la société

Lorsque l’auteur agit uniquement :

par vengeance personnelle ;
pour voler son employeur ;
ou contre l’intérêt de la société,

la condition « pour le compte » peut manquer.

LXXXIV. Mais contraire aux règles internes ≠ nécessairement hors du compte de la société

Un dirigeant peut agir :

illégalement ;
en violation des procédures internes ;

tout en cherchant un avantage pour la société. Il faut distinguer :

ILLICÉITÉ DE L’ACTE

et :

FINALITÉ POUR LE COMPTE DE LA PERSONNE MORALE.

LXXXV. Responsabilité cumulative

L’article 121-2 précise expressément que la responsabilité pénale de la personne morale n’exclut pas celle des personnes physiques auteurs ou complices des mêmes faits, sous réserve du régime de l’article 121-3.

LXXXVI. Société + dirigeant

Il est donc parfaitement possible que soient poursuivis :

le dirigeant ;
et la société.

LXXXVII. Ce n’est pas une responsabilité subsidiaire

La personne morale n’est pas poursuivie uniquement si la personne physique échappe aux poursuites.

LXXXVIII. Ce n’est pas non plus une responsabilité automatique par ricochet

Il faut caractériser le mécanisme de l’article 121-2.

LXXXIX. Tableau de responsabilité

Situation	Personne morale
Salarié agit uniquement pour lui-même	Non automatique
Dirigeant agit pour obtenir un avantage à la société	Oui possible
Administrateur agit par vengeance personnelle contre l’entreprise	Non automatique
Responsable habilité agit pour le compte de l’entreprise	Oui possible
État	Exclu par 121-2

XC. L’amende de la personne morale

L’article 323-6 renvoie à l’article 131-38.

XCI. Principe du quintuple

Au 13 août 2026, l’article 131-38 fixe le maximum de l’amende encourue par une personne morale à :

CINQ FOIS CELUI PRÉVU POUR LA PERSONNE PHYSIQUE.

XCII. Exemple : 323-1 simple

Si l’amende maximale de la personne physique est de :

100 000 €

le maximum théorique pour la personne morale selon la règle du quintuple est :

500 000 €.

Cette conséquence découle de l’article 131-38.

XCIII. Exemple : 323-2

Amende personne physique :

150 000 €.

Personne morale :

750 000 € maximum, par application du quintuple.

XCIV. Exemple : 323-3

Même quantum de base pour la personne physique :

150 000 €.

Donc :

750 000 €

pour la personne morale selon la règle générale.

XCV. Aggravation à 300 000 €

Lorsque l’infraction sous-jacente prévoit :

300 000 €

pour la personne physique, le maximum de l’amende de la personne morale peut atteindre :

1 500 000 €.

C’est l’application arithmétique du quintuple prévu à l’article 131-38.

XCVI. Ne pas confondre amende et dommages-intérêts

Une personne morale peut devoir :

payer une amende pénale ;
réparer civilement les dommages.

Ce sont deux mécanismes distincts.

XCVII. Ne pas confondre amende et confiscation

La confiscation est également indépendante de l’amende.

XCVIII. Article 131-39

L’article 323-6 renvoie en outre à l’ensemble des peines prévues par l’article 131-39.

XCIX. Les peines de l’article 131-39

Lorsque la loi le prévoit, une personne morale peut notamment encourir :

dissolution ;
interdiction d’activité ;
surveillance judiciaire ;
fermeture d’établissement ;
exclusion des marchés publics ;
certaines interdictions financières ;
confiscation ;
affichage ou diffusion de la décision ;
interdiction de percevoir certaines aides publiques.

C. Première peine : dissolution

L’article 131-39 prévoit la dissolution lorsque :

la personne morale a été créée pour commettre les faits ;
ou, pour certains crimes ou délits punis d’au moins trois ans d’emprisonnement pour les personnes physiques, elle a été détournée de son objet afin de commettre les faits.

CI. Peine extrêmement sévère

La dissolution correspond pratiquement à la disparition juridique de l’entité.

CII. Société créée pour exploiter un ransomware

Exemple paradigmatique : une société n’a d’existence que pour :

louer des serveurs ;
diffuser le ransomware ;
recevoir les rançons.

La dissolution peut être examinée si les conditions de 131-39 sont remplies.

CIII. Entreprise licite détournée

Une société normalement licite peut également être détournée de son objet pour commettre certaines infractions répondant au seuil légal de l’article 131-39.

CIV. Une cyberinfraction isolée ne signifie pas dissolution automatique

Le texte pose des conditions strictes.

CV. Deuxième peine : interdiction d’activité

Une personne morale peut se voir interdire, à titre définitif ou pour une durée maximale de cinq ans, d’exercer directement ou indirectement une ou plusieurs activités professionnelles ou sociales.

CVI. Article 323-6 précise le champ

L’interdiction mentionnée au 2° de l’article 131-39 porte, pour les cyberinfractions, sur l’activité :

dans l’exercice ou à l’occasion de laquelle l’infraction a été commise.

CVII. Exemple

Une société prétend vendre des services de cybersécurité mais utilise cette activité pour fournir clandestinement des intrusions illicites. L’interdiction de l’activité peut devenir centrale.

CVIII. Troisième peine : surveillance judiciaire

L’article 131-39 permet le placement sous surveillance judiciaire pendant une durée maximale de cinq ans.

CIX. Certaines personnes morales sont exclues de cette peine

L’article 131-39 prévoit des restrictions spécifiques pour certaines catégories de personnes morales, notamment certaines personnes morales de droit public.

CX. Quatrième peine : fermeture d’établissement

Elle peut être :

définitive ;
ou prononcée pour cinq ans au plus,

pour les établissements ayant servi à commettre les faits incriminés.

CXI. Cinquième peine : exclusion des marchés publics

Pour la personne morale, elle peut être :

définitive ;
ou prononcée pour cinq ans au plus.

CXII. Différence avec l’article 323-5

Pour la personne physique, 323-5 prévoit au maximum :

cinq ans.

Pour la personne morale, 131-39 permet également, dans son régime général, l’exclusion définitive ou temporaire selon le texte.

CXIII. Sixième catégorie : certaines interdictions financières

L’article 131-39 prévoit notamment certaines interdictions relatives :

aux chèques ;
et aux cartes de paiement,

dans son régime propre aux personnes morales.

CXIV. Septième catégorie centrale : confiscation

L’article 131-39 renvoie expressément à la confiscation dans les conditions de l’article 131-21.

CXV. Société propriétaire du serveur

Un serveur appartenant à la personne morale et ayant servi à la cyberattaque peut entrer dans le champ de la confiscation si les conditions légales sont réunies.

CXVI. Produit détenu par la société

Même raisonnement pour des avoirs correspondant au produit de l’infraction.

CXVII. Huitième : affichage ou diffusion

La personne morale peut également subir l’affichage ou la diffusion de la décision pénale.

CXVIII. Impact réputationnel

Pour une entreprise technologique, cette peine peut être particulièrement dommageable :

confiance clients ;
partenaires ;
appels d’offres.

CXIX. Neuvième : aides publiques

L’article 131-39 prévoit aussi l’interdiction, pendant cinq ans au maximum, de percevoir certaines aides publiques ou aides financières versées par certaines personnes privées chargées d’une mission de service public.

CXX. Intérêt pratique pour les entreprises subventionnées

Une start-up bénéficiant :

d’aides publiques ;
de financements d’innovation

peut donc être très lourdement affectée par une condamnation.

CXXI. Tableau des conséquences pour la personne morale

Peine	Régime possible
Amende	Jusqu’au quintuple
Dissolution	Sous conditions
Interdiction d’activité	Définitive ou jusqu’à 5 ans
Surveillance judiciaire	Jusqu’à 5 ans
Fermeture	Définitive ou jusqu’à 5 ans
Marchés publics	Définitive ou jusqu’à 5 ans
Confiscation	Selon 131-21
Affichage/diffusion	Oui
Aides publiques	Interdiction jusqu’à 5 ans

CXXII. La responsabilité de la société n’efface pas celle du dirigeant

L’article 121-2 prévoit expressément le principe du cumul possible entre responsabilité de la personne morale et celle des personnes physiques.

CXXIII. Exemple complet : espionnage concurrentiel

Le président d’une société ordonne à son responsable informatique de pénétrer le CRM d’un concurrent. Objectif :

récupérer la liste de prospects pour développer l’activité de la société.

À examiner :

323-1 ;
323-3 ;
responsabilité du dirigeant ;
responsabilité de la société selon 121-2 et 323-6.

CXXIV. Exemple complet : salarié solitaire

Le même responsable informatique agit sans en parler à personne :

uniquement pour préparer son futur départ chez un concurrent.

Il copie les données. La société qui l’emploie n’en tire aucun bénéfice et n’a donné aucune instruction.

responsabilité de cette société non automatique.

CXXV. Exemple complet : ransomware commercialisé par une société

Une société est constituée pour :

développer ;
vendre ;
administrer

un ransomware. Ses dirigeants agissent pour son compte. La responsabilité pénale de la personne morale peut être envisagée ; selon les conditions légales, peuvent également être examinées :

amende ;
dissolution ;
confiscation ;
interdiction d’activité.

CXXVI. Exemple complet : société de cybersécurité

Une société de pentest réalise une mission autorisée. Un consultant respecte strictement :

périmètre ;
méthodes ;
autorisation.

aucune cyberinfraction sur ce seul fait.

CXXVII. Même société donnant volontairement l’ordre de dépasser le périmètre

Le directeur ordonne :

« attaquez aussi le concurrent du client pour récupérer ses données ».

Analyse totalement différente.

CXXVIII. Exemple complet : outil détourné par un technicien

La société achète légitimement un outil de pentest. Un technicien l’utilise secrètement contre son ex-conjoint.

la simple propriété de l’outil par la société ne rend pas celle-ci pénalement responsable.

CXXIX. Exemple complet : infrastructure détenue par une société-écran

Une société détient :

serveurs ;
domaines ;
comptes

uniquement pour un groupe cybercriminel. La responsabilité de cette personne morale et le sort patrimonial de ses actifs doivent être examinés séparément.

CXXX. Exemple complet : DDoS commandé par un dirigeant

Le directeur général ordonne une attaque contre le site d’un concurrent pendant son lancement commercial. L’opération vise à augmenter les ventes de sa propre entreprise.

acte pour le compte de la société possible.

CXXXI. Exemple complet : fonction publique

Un agent public utilise son accès institutionnel pour extraire clandestinement une base. L’article 323-5 permet notamment l’interdiction d’exercer une fonction publique pendant cinq ans au plus, selon les conditions de prononcé de cette peine.

CXXXII. Exemple complet : matériel personnel

A commet une intrusion depuis son ordinateur personnel. L’ordinateur contient :

scripts ;
identifiants ;
données exfiltrées.

La confiscation peut être examinée comme instrument de l’infraction sous les textes applicables.

CXXXIII. Exemple complet : ordinateur prêté

A commet l’attaque depuis un ordinateur appartenant réellement à B. B l’avait prêté pour une utilisation ordinaire et ignore tout du projet.

les droits du propriétaire de bonne foi doivent être pris en compte dans l’analyse de la confiscation.

CXXXIV. Exemple complet : produit converti

Le cyberdélinquant reçoit une rançon puis achète un bien avec les fonds. La confiscation du produit indirect ou du bien acquis peut être examinée selon le régime général de l’article 131-21.

CXXXV. Exemple complet : produit mêlé

La rançon est mélangée avec des revenus licites sur le même compte. La loi prévoit des mécanismes permettant de tenir compte de ce mélange et, notamment, d’une confiscation à concurrence de la valeur correspondante dans les conditions qu’elle fixe.

CXXXVI. Exemple complet : téléphone utilisé pour piloter l’attaque

Le téléphone sert :

à administrer le botnet ;
à communiquer les commandes.

Il peut constituer un instrument de l’infraction.

CXXXVII. Exemple inverse

Le même téléphone est seulement trouvé dans la poche du prévenu sans aucun lien avec l’opération.

confiscation comme instrument non automatique.

CXXXVIII. Proportionnalité et droits des tiers

L’analyse patrimoniale doit toujours distinguer :

propriété ;
libre disposition ;
bonne foi ;
produit ;
instrument.

CXXXIX. Confiscation de l’ensemble du patrimoine ?

L’article 323-5 ne doit pas être lu comme autorisant automatiquement :

la confiscation générale de tout le patrimoine d’un cyberdélinquant.

Le régime dépend du fondement légal de confiscation mobilisé.

CXL. Article 131-21 comporte plusieurs niveaux de confiscation

Il distingue notamment :

instrument ;
objet ;
produit ;
certains mécanismes patrimoniaux plus étendus lorsqu’un texte les permet.

CXLI. Il faut donc identifier le bon alinéa

C’est une exigence pratique majeure des réquisitions et jugements patrimoniaux.

CXLII. « Tout confisquer parce que c’est un hacker » est juridiquement insuffisant

La peine doit être rattachée à un fondement précis.

CXLIII. Confiscation et restitution des données

La confiscation d’un support n’autorise pas à ignorer :

les données appartenant à des tiers ;
les droits de la victime ;
les obligations de restitution.

CXLIV. Données licites mélangées

Un serveur peut contenir :

données criminelles ;
données professionnelles licites ;
données de tiers.

Le traitement du support matériel et celui des informations qu’il contient peuvent appeler des analyses différentes.

CXLV. Cloud

Une infrastructure cloud ne constitue pas nécessairement un bien physiquement possédé par le condamné. La confiscation de comptes, droits contractuels ou actifs incorporels doit être juridiquement qualifiée avec précision.

CXLVI. Nom de domaine

Il peut constituer un droit incorporel. Le régime général de confiscation s’étend, dans les conditions prévues par l’article 131-21, aux droits incorporels.

CXLVII. Cryptoactifs et clés privées

Il faut distinguer :

actif ;
clé donnant la maîtrise de l’actif ;
support sur lequel se trouve la clé.

CXLVIII. Confisquer le hardware wallet ≠ nécessairement confisquer juridiquement l’actif

La qualification patrimoniale doit être exacte.

CXLIX. Valeur importante du produit

La valeur peut largement dépasser :

le montant de l’amende.

La confiscation et l’amende ont des finalités et des régimes différents.

CL. La peine d’amende de la personne morale peut être considérable

Rappel :

MAXIMUM = QUINTUPLE DU MAXIMUM PERSONNE PHYSIQUE.

CLI. Tableau arithmétique

Amende maximale personne physique	Maximum personne morale
100 000 €	500 000 €
150 000 €	750 000 €
300 000 €	1 500 000 €

Ces montants résultent de l’application du coefficient cinq prévu par l’article 131-38.

CLII. Une personne morale n’encourt pas l’emprisonnement

L’emprisonnement est une peine applicable aux personnes physiques. La personne morale encourt :

amende ;
et peines spécifiques prévues par le droit des personnes morales.

CLIII. Ne pas transposer « dix ans » à une société

Lorsqu’une cyberinfraction en bande organisée est punie de dix ans d’emprisonnement pour une personne physique :

la société n’encourt évidemment pas dix ans « d’emprisonnement ».

Son régime est celui des articles 323-6, 131-38 et 131-39.

CLIV. Peines pouvant entraîner la disparition économique

Pour la personne morale, certaines conséquences peuvent néanmoins être extraordinairement lourdes :

dissolution ;
interdiction définitive d’activité ;
fermeture ;
exclusion définitive des marchés publics.

CLV. Dissolution : restrictions

L’article 131-39 exclut l’application de certaines peines, notamment la dissolution, à plusieurs catégories de personnes morales spécialement protégées par le texte.

CLVI. Partis et syndicats

L’article 131-39 prévoit notamment des restrictions concernant :

partis ou groupements politiques ;
syndicats professionnels,

pour certaines peines.

CLVII. Personnes morales de droit public

Le régime comporte lui aussi des limitations particulières.

CLVIII. Il faut donc éviter les tableaux trop simplistes

Toutes les peines de 131-39 ne s’appliquent pas indistinctement à toutes les personnes morales.

CLIX. Responsabilité des collectivités territoriales

Rappel : elle est elle-même limitée par l’article 121-2 aux infractions commises dans le cadre d’activités susceptibles de délégation de service public.

CLX. Exemple : commune victime d’une cyberattaque

Le simple fait qu’une commune possède un STAD ne signifie évidemment pas :

qu’elle est pénalement responsable de l’attaque dont elle est victime.

CLXI. Commune auteur d’une infraction ?

Il faudrait satisfaire au régime particulier de 121-2.

CLXII. Personne morale étrangère

La responsabilité peut soulever des questions de compétence territoriale et de reconnaissance de la personnalité juridique. Il faut appliquer les règles pertinentes au cas concret.

CLXIII. Groupe de sociétés

La responsabilité pénale ne se transfère pas automatiquement :

de la filiale ;
à la société mère.

CLXIV. Il faut identifier la personne morale pour le compte de laquelle l’acte a été commis

et :

l’organe ou représentant concerné.

CLXV. Exemple groupe international

Un cadre de la filiale française organise une intrusion pour obtenir un avantage exclusivement au bénéfice de cette filiale. Il ne faut pas automatiquement poursuivre toute la holding.

CLXVI. Société mère ayant donné l’ordre

Analyse différente.

CLXVII. Sous-traitant

Une entreprise donne une mission de cybersécurité à un prestataire. Le prestataire dépasse frauduleusement le périmètre. La responsabilité de :

la société cliente ;
la société prestataire ;
leurs dirigeants

doit être analysée séparément.

CLXVIII. Ordre exprès du client

Si le client demande :

« piratez le concurrent »

l’imputation peut devenir beaucoup plus claire.

CLXIX. Initiative isolée du consultant

Si le consultant agit pour lui-même et hors mission :

responsabilité du client non automatique.

CLXX. Le contrat est une preuve, pas la seule preuve

L’article 121-2 repose sur la réalité de :

l’organe ou représentant ;
l’acte pour le compte.

CLXXI. Fiche de poste

Peut aider à déterminer la qualité et les pouvoirs.

CLXXII. Délégation de pouvoirs

Peut être déterminante.

CLXXIII. Procès-verbal du conseil

Peut établir un ordre donné au nom de la société.

CLXXIV. Messages du dirigeant

Même utilité.

CLXXV. Comptabilité

Peut révéler que l’entreprise a payé :

malware ;
serveurs ;
prestataires.

CLXXVI. Facture maquillée

Peut encore soulever d’autres qualifications.

CLXXVII. Responsabilité parallèle

Un dossier peut ainsi associer :

cyberinfractions ;
faux ;
blanchiment ;
recel ;
corruption ;
infractions économiques.

CLXXVIII. La responsabilité de la personne morale ne remplace pas l’analyse des qualifications

Chaque infraction doit être caractérisée séparément.

CLXXIX. Personne morale et bande organisée

Une société peut être utilisée comme élément de la structure d’une bande organisée. Mais il faut distinguer :

circonstance de bande organisée attachée aux infractions ;
responsabilité propre de la société.

CLXXX. Société-écran du groupe

Elle peut :

louer les serveurs ;
encaisser les produits ;
acheter les domaines.

Cela peut constituer un élément de preuve de l’organisation.

CLXXXI. Mais société-écran ≠ personne morale automatiquement condamnable

Il faut toujours passer par l’article 121-2.

CLXXXII. Confiscation et personne morale

Une personne morale condamnée peut subir la confiscation prévue par 131-39 et organisée par 131-21.

CLXXXIII. Biens de la société

Exemples :

serveurs ;
fonds ;
droits ;
actifs numériques.

CLXXXIV. Bien appartenant à un tiers

Les droits du propriétaire de bonne foi doivent encore être pris en compte.

CLXXXV. Jurisprudence de 2026 et personne morale

L’arrêt du 18 février 2026 concernait précisément plusieurs personnes physiques ainsi qu’une société à propos d’une confiscation du produit d’infractions. La Cour a confirmé l’application de la nouvelle règle de motivation issue de la réforme de 2024.

CLXXXVI. Intérêt pour le manuel cyber

Même s’il ne s’agissait pas d’une cyberinfraction, il faut retenir la méthodologie :

DÉTERMINER D’ABORD LA NATURE JURIDIQUE DU BIEN CONFISQUÉ ET LE FONDEMENT EXACT DE LA CONFISCATION.

CLXXXVII. Checklist des peines pour personne physique

Après une condamnation cyber, vérifier :

peine principale ;
droits civiques ;
interdiction professionnelle ;
confiscation ;
fermeture ;
marchés publics ;
chèques ;
affichage/diffusion.

CLXXXVIII. Checklist confiscation

Quel bien ?
À qui appartient-il ?
Le condamné en avait-il la libre disposition ?
Propriétaire de bonne foi ?
Instrument ?
Destiné à commettre ?
Objet ?
Produit direct ?
Produit indirect ?
Bien à restituer ?
Confiscation en nature ?
En valeur ?
Quel texte ?
Quelle motivation nécessaire ?

CLXXXIX. Checklist appareil informatique

Utilisé pour l’infraction ?
Seulement présent ?
Propriétaire ?
Données du tiers ?
Logs ?
Scripts ?
Comptes ?
Lien causal ?

CXC. Checklist produit financier

Origine des fonds ?
Rançon ?
Vente de données ?
Vente d’un malware ?
Fonds licites mélangés ?
Traçabilité ?
Conversion en autre actif ?

CXCI. Checklist personne morale

Quelle personne morale ?
Infraction caractérisée ?
Quel organe ?
Quel représentant ?
Acte accompli pour son compte ?
Quel avantage recherché ?
Initiative personnelle ?
Ordre du dirigeant ?
Délégation ?
Responsabilité simultanée d’une personne physique ?

CXCII. Checklist des peines de la personne morale

Amende ?
Quintuple ?
Dissolution possible ?
Interdiction d’activité ?
Surveillance ?
Fermeture ?
Marchés publics ?
Confiscation ?
Publication ?
Aides publiques ?

CXCIII. Erreurs fréquentes

Erreur n° 1 : le cyberdélinquant encourt uniquement prison + amende

Faux. L’article 323-5 prévoit sept catégories de peines complémentaires.

Erreur n° 2 : tout ordinateur saisi doit être confisqué

Faux. Il faut caractériser le fondement de la confiscation.

Erreur n° 3 : saisie = confiscation

Faux. La saisie est une mesure procédurale ; la confiscation obéit au régime des peines patrimoniales.

Erreur n° 4 : tout le patrimoine d’un hacker est automatiquement confiscable

Faux. Le champ dépend du fondement légal applicable.

Erreur n° 5 : un bien appartenant à un tiers peut toujours être confisqué sans autre examen

Faux. Les droits du propriétaire de bonne foi doivent être pris en compte dans les conditions légales.

Erreur n° 6 : le produit criminel se limite à l’argent physiquement reçu

Faux. Le régime général envisage aussi le produit indirect et les droits incorporels.

Erreur n° 7 : les cryptoactifs échappent à la confiscation

Faux. Ils peuvent relever du régime patrimonial applicable aux droits incorporels et produits de l’infraction.

Erreur n° 8 : toute confiscation exige depuis toujours exactement la même motivation

Faux. La réforme de 2024 et la jurisprudence du 18 février 2026 ont précisé le régime de motivation de certaines confiscations du produit ou de l’objet de l’infraction.

Erreur n° 9 : aucune confiscation n’a besoin d’être motivée depuis 2026

Faux également. L’arrêt doit être lu dans son champ précis.

Erreur n° 10 : toute condamnation informatique interdit automatiquement l’exercice de la profession

Faux. C’est une peine complémentaire que le juge peut prononcer dans les conditions prévues par le texte.

Erreur n° 11 : interdiction professionnelle = interdiction de tout travail

Faux. Le texte vise spécialement la fonction publique ou l’activité dans l’exercice ou à l’occasion de laquelle l’infraction a été commise.

Erreur n° 12 : tout salarié engage automatiquement la responsabilité pénale de son entreprise

Faux. L’article 121-2 exige une infraction commise pour le compte de la personne morale par son organe ou représentant.

Erreur n° 13 : si la société est responsable, le dirigeant ne peut plus être poursuivi

Faux. Les responsabilités peuvent se cumuler.

Erreur n° 14 : la société est responsable uniquement si son dirigeant a personnellement exécuté le piratage

Faux. L’article 121-2 vise l’organe ou représentant ; les mécanismes d’imputation ne supposent pas que le dirigeant tape personnellement les commandes informatiques.

Erreur n° 15 : l’État peut être pénalement condamné comme une société

Faux. L’État est expressément exclu par l’article 121-2.

Erreur n° 16 : les collectivités territoriales sont responsables comme n’importe quelle société privée

Faux. Leur responsabilité est limitée aux activités susceptibles de délégation de service public.

Erreur n° 17 : l’amende de la personne morale est identique à celle de la personne physique

Faux. Le maximum est en principe multiplié par cinq.

Erreur n° 18 : personne physique encourt 300 000 €, donc société aussi 300 000 €

Faux. Le maximum de la personne morale peut atteindre :

1 500 000 €

par application du quintuple.

Erreur n° 19 : une personne morale peut être emprisonnée

Faux. Son régime de sanction est celui des peines applicables aux personnes morales.

Erreur n° 20 : dissolution automatique dès qu’une entreprise commet une cyberinfraction

Faux. L’article 131-39 pose des conditions particulières à cette peine.

Erreur n° 21 : société créée avant les faits = dissolution impossible

Faux comme proposition générale. Une personne morale peut, sous les conditions de 131-39 et le seuil de peine prévu, avoir été détournée de son objet pour commettre les faits.

Erreur n° 22 : exclusion des marchés publics toujours limitée à cinq ans pour une société

Faux. L’article 131-39 permet pour les personnes morales une exclusion définitive ou temporaire jusqu’à cinq ans.

Erreur n° 23 : toutes les peines de 131-39 sont applicables indistinctement à toutes les personnes morales

Faux. Le texte prévoit des exclusions pour certaines catégories.

Erreur n° 24 : une société mère répond automatiquement des cyberinfractions de sa filiale

Faux. L’imputation doit être caractérisée pour chaque personne morale selon 121-2.

Erreur n° 25 : cyberattaque réalisée avec le matériel de l’entreprise = responsabilité de l’entreprise

Faux. Le matériel utilisé n’établit pas à lui seul :

l’organe ou représentant ;
l’acte pour le compte.

CXCIV. Méthode ultra-rapide : personne physique

Après avoir caractérisé la cyberinfraction :

1. PEINE PRINCIPALE ?

↓

2. INTERDICTION CIVIQUE ?

↓

3. INTERDICTION PROFESSIONNELLE ?

↓

4. QUELS BIENS PEUVENT ÊTRE CONFISQUÉS ?

↓

5. FERMETURE ?

↓

6. MARCHÉS PUBLICS ?

↓

7. PUBLICATION DE LA CONDAMNATION ?

CXCV. Méthode ultra-rapide : confiscation

QUEL BIEN ?

↓

POURQUOI CE BIEN ?

instrument ?
destiné à commettre ?
objet ?
produit ?

↓

QUI EN EST PROPRIÉTAIRE ?

↓

PROPRIÉTAIRE DE BONNE FOI ?

↓

RESTITUTION À UNE VICTIME ?

↓

CONFISCATION EN NATURE OU EN VALEUR ?

↓

QUEL FONDEMENT ?

CXCVI. Méthode ultra-rapide : personne morale

1. INFRACTION DU CHAPITRE 323 ?

↓

2. ORGANE OU REPRÉSENTANT ?

↓

3. POUR LE COMPTE DE LA PERSONNE MORALE ?

↓

4. RESPONSABILITÉ 121-2.

↓

5. AMENDE = QUINTUPLE POSSIBLE.

↓

6. PEINES 131-39 À EXAMINER.

CXCVII. Schéma de responsabilité

SALARIÉ COMMET UNE CYBERINFRACTION

ne donne pas automatiquement :

SOCIÉTÉ COUPABLE.

Il faut ajouter :

ORGANE/REPRÉSENTANT

POUR LE COMPTE DE LA SOCIÉTÉ

RESPONSABILITÉ PERSONNE MORALE POSSIBLE.

CXCVIII. Schéma de confiscation

ORDINATEUR SAISI

ne donne pas automatiquement :

ORDINATEUR CONFISQUÉ.

Il faut déterminer :

INSTRUMENT / OBJET / PRODUIT / FONDEMENT LÉGAL / DROITS DU TIERS.

CXCIX. Schéma de cumul

DIRIGEANT RESPONSABLE

SOCIÉTÉ RESPONSABLE

est juridiquement possible. L’article 121-2 prévoit expressément que la responsabilité pénale des personnes morales n’exclut pas celle des personnes physiques.

CC. À retenir

La première règle est :

ARTICLE 323-5 = PEINES COMPLÉMENTAIRES DES PERSONNES PHYSIQUES.

Elles comprennent notamment :

interdictions civiques ;
interdiction professionnelle ;
confiscation ;
fermeture d’établissement ;
exclusion des marchés publics ;
interdiction de certains chèques ;
publication de la décision.

La deuxième règle est :

LA CONFISCATION EST CENTRALE EN CYBERCRIMINALITÉ.

Elle peut concerner, selon le fondement applicable :

instrument ;
objet ;
produit direct ou indirect ;
droits incorporels.

La troisième règle est :

SAISIE ≠ CONFISCATION.

Un appareil saisi pendant l’enquête n’est pas automatiquement définitivement perdu. La quatrième règle est :

LES DROITS DU PROPRIÉTAIRE DE BONNE FOI DOIVENT ÊTRE PRIS EN COMPTE.

La cinquième règle est :

LE RÉGIME GÉNÉRAL DE LA CONFISCATION A ÉTÉ MODIFIÉ PAR LA LOI DU 24 JUIN 2024.

La sixième règle est jurisprudentielle et actuelle :

CASS. CRIM., 18 FÉVRIER 2026, N° 24-86.195

précise qu’après cette réforme, certaines confiscations en nature ou en valeur du produit ou de l’objet de l’infraction n’ont pas à être motivées par référence aux critères personnels du dernier alinéa de l’article 132-1. La septième règle est :

ARTICLE 323-6 = RESPONSABILITÉ DES PERSONNES MORALES POUR LES INFRACTIONS DU CHAPITRE.

La huitième règle est :

PERSONNE MORALE ≠ RESPONSABILITÉ AUTOMATIQUE DU FAIT DU SALARIÉ.

Il faut satisfaire à l’article 121-2 :

INFRACTION COMMISE POUR SON COMPTE PAR UN ORGANE OU UN REPRÉSENTANT.

La neuvième règle est :

L’ÉTAT N’EST PAS PÉNALEMENT RESPONSABLE COMME PERSONNE MORALE.

Les collectivités territoriales ont, elles, un régime limité. La dixième règle est :

RESPONSABILITÉ DE LA SOCIÉTÉ + RESPONSABILITÉ DU DIRIGEANT = CUMUL POSSIBLE.

La onzième règle concerne l’amende :

PERSONNE MORALE = MAXIMUM EN PRINCIPE ÉGAL AU QUINTUPLE DU MAXIMUM DE LA PERSONNE PHYSIQUE.

Ainsi :

100 000 € → 500 000 €

150 000 € → 750 000 €

300 000 € → 1 500 000 €.

La douzième règle est :

ARTICLE 131-39 = PEINES TRÈS LOURDES POUR LA PERSONNE MORALE.

Peuvent notamment être examinées :

dissolution ;
interdiction d’activité ;
surveillance judiciaire ;
fermeture ;
exclusion des marchés publics ;
confiscation ;
affichage ;
interdiction de certaines aides publiques.

La treizième règle est :

DISSOLUTION ≠ AUTOMATIQUE.

Elle obéit aux conditions précises de l’article 131-39. La quatorzième règle est :

CHAQUE PERSONNE MORALE DOIT ÊTRE ANALYSÉE SÉPARÉMENT.

Une filiale n’engage pas automatiquement :

la société mère ;
les autres sociétés du groupe.

Enfin, la méthode générale est :

CARACTÉRISER LA CYBERINFRACTION → IDENTIFIER LES PEINES PRINCIPALES → EXAMINER LES PEINES COMPLÉMENTAIRES → QUALIFIER PRÉCISÉMENT LES BIENS CONFISCABLES → PROTÉGER LES DROITS DES TIERS → POUR LA PERSONNE MORALE, IDENTIFIER L’ORGANE OU LE REPRÉSENTANT ET L’ACTE COMMIS POUR SON COMPTE → CALCULER L’AMENDE SELON 131-38 → EXAMINER LES PEINES DE 131-39.

CLXXXVII. Tentative, complicité et concours de qualifications en matière de cybercriminalité

Les infractions informatiques ne sont pas seulement sanctionnées lorsqu’un pirate réussit entièrement son opération. Le droit pénal permet également d’appréhender :

la tentative d’atteinte informatique ;
la complicité de celui qui facilite l’opération sans accomplir lui-même tous les actes constitutifs ;
la pluralité d’infractions susceptibles de résulter d’une même cyberattaque ;
et les rapports entre les incriminations spéciales du chapitre 323 et les infractions de droit commun.

Au 13 août 2026, trois séries de dispositions doivent être articulées. D’abord, les articles 121-4 et 121-5 du Code pénal définissent le régime général de la tentative. Un délit ne peut être poursuivi au titre de la tentative que lorsque la loi le prévoit, et la tentative suppose un commencement d’exécution dont l’échec ou l’interruption provient de circonstances indépendantes de la volonté de l’auteur. Ensuite, l’article 323-7 pose une règle spéciale extrêmement importante :

la tentative des délits prévus par les articles 323-1 à 323-3-1 est punie des mêmes peines.

Enfin, les articles 121-6 et 121-7 organisent la complicité : le complice est puni comme auteur ; est notamment complice celui qui, sciemment, par aide ou assistance, facilite la préparation ou la consommation d’un crime ou d’un délit, ainsi que celui qui provoque à l’infraction ou donne des instructions pour la commettre dans les conditions prévues par l’article 121-7. La formule générale est donc :

ÉCHEC DE L’ATTAQUE ≠ IMPUNITÉ.

et :

NE PAS EXÉCUTER PERSONNELLEMENT LE PIRATAGE ≠ ABSENCE DE RESPONSABILITÉ.

Mais il faut éviter trois automatismes :

PRÉPARATION ≠ TENTATIVE AUTOMATIQUEMENT.

AIDE TECHNIQUE ≠ COMPLICITÉ AUTOMATIQUEMENT.

UNE CYBERATTAQUE COMPLEXE ≠ CUMUL AUTOMATIQUE DE TOUTES LES QUALIFICATIONS POSSIBLES.

I. La tentative : principe général

L’article 121-4 considère comme auteur de l’infraction celui qui :

commet les faits incriminés ;
ou tente de commettre un crime ;
ou, lorsque la loi le prévoit, tente de commettre un délit.

Cette seconde branche est essentielle en matière informatique puisque les infractions du chapitre 323 sont, pour l’essentiel, des délits.

II. La tentative d’un délit n’est pas automatiquement punissable

Principe :

POUR UN DÉLIT, IL FAUT UN TEXTE PRÉVOYANT LA TENTATIVE.

L’article 121-4 le dit expressément en réservant les « cas prévus par la loi ».

III. Le texte spécial : article 323-7

En matière d’atteintes aux STAD, ce texte existe. L’article 323-7 dispose :

La tentative des délits prévus par les articles 323-1 à 323-3-1 est punie des mêmes peines.

IV. Infractions couvertes

Sont ainsi visées par 323-7 :

323-1 : accès ou maintien frauduleux ;
323-2 : entrave ou fonctionnement faussé ;
323-3 : atteintes aux données ;
323-3-1 : moyens conçus ou spécialement adaptés pour commettre ces atteintes.

V. Une précision nouvelle devenue importante depuis 2025

Le chapitre comporte désormais également l’article 323-3-2, relatif à certaines plateformes en ligne facilitant sciemment des transactions manifestement illicites. Cet article, introduit puis modifié récemment, possède son propre régime de tentative : son IV prévoit que la tentative des infractions définies à ses I, II et III est punie des mêmes peines.

VI. Conséquence méthodologique

Il ne faut donc pas écrire en 2026 :

« l’article 323-7 couvre toute tentative de toute infraction du chapitre III ».

Ce serait trop large. 323-7 vise textuellement :

323-1 à 323-3-1.

323-3-2 dispose quant à lui de son propre IV relatif à la tentative.

VII. Deux conditions fondamentales de la tentative

L’article 121-5 exige :

un commencement d’exécution ;
un échec ou une interruption provenant de circonstances indépendantes de la volonté de l’auteur.

VIII. Première condition : commencement d’exécution

C’est la frontière la plus difficile. Il faut distinguer :

LES ACTES PRÉPARATOIRES

et :

LE COMMENCEMENT D’EXÉCUTION.

IX. Préparer un ordinateur

Configurer une machine pour une future attaque ne constitue pas nécessairement, à lui seul, le commencement d’exécution de l’accès frauduleux.

X. Préparer un script

Même prudence. Créer :

exploit.py

peut être :

préparation ;
détention d’un outil relevant éventuellement de 323-3-1 ;
acte participant à une entente de 323-4.

Mais ce n’est pas nécessairement encore une tentative de 323-1.

XI. Commencement d’exécution

La tentative devient beaucoup plus plausible lorsque l’auteur commence directement à accomplir les actes tendant à la réalisation de l’infraction déterminée.

XII. Exemple : authentification frauduleuse

A possède des identifiants volés. Il les conserve.

préparation possible.

Il les introduit dans le portail de la victime et tente de se connecter.

commencement d’exécution beaucoup plus facilement caractérisable.

XIII. Mot de passe incorrect

Le mot de passe a entre-temps été changé. La connexion échoue. L’échec résulte d’une circonstance extérieure à la volonté de A.

tentative de 323-1 possible.

XIV. Serveur hors ligne

A lance l’exploit contre le serveur. Le serveur est accidentellement arrêté à cet instant. Même raisonnement possible :

attaque commencée ;

échec indépendant de sa volonté.

XV. Vulnérabilité déjà corrigée

A lance effectivement son exploit contre la cible, mais le correctif de sécurité a supprimé la vulnérabilité.

tentative possible, sous réserve de caractériser précisément le commencement d’exécution et l’intention.

XVI. Préparer l’exploit sans jamais l’envoyer

Situation différente.

acte préparatoire.

L’article 323-3-1 ou 323-4 peut être pertinent selon les circonstances, mais la tentative de 323-1 n’est pas automatiquement caractérisée.

XVII. Cybercriminalité : plusieurs incriminations d’anticipation se superposent

C’est une particularité du droit informatique. Le législateur ne dépend pas seulement de la tentative. Il sanctionne également :

LES OUTILS → 323-3-1

et :

LE GROUPEMENT PRÉPARATOIRE → 323-4.

XVIII. Schéma temporel

CONCEPTION / DÉTENTION DE L’OUTIL

↓

323-3-1 POSSIBLE

↓

ENTENTE ET PRÉPARATION COLLECTIVE

↓

323-4 POSSIBLE

↓

COMMENCEMENT D’EXÉCUTION

↓

TENTATIVE

↓

RÉALISATION DES ÉLÉMENTS

↓

INFRACTION CONSOMMÉE.

XIX. Ces étapes peuvent se chevaucher

Le droit pénal ne découpe pas nécessairement une attaque informatique en compartiments parfaitement étanches. Il faut reconstruire précisément la chronologie.

XX. Deuxième condition : absence de désistement volontaire

L’article 121-5 exige que l’infraction ait été suspendue ou ait manqué son effet en raison de circonstances indépendantes de la volonté de l’auteur.

XXI. Désistement volontaire

A commence l’opération mais décide spontanément :

« je renonce ».

Il arrête avant l’achèvement de l’infraction. La tentative peut ne pas être constituée si l’abandon est véritablement volontaire et intervient avant la consommation.

XXII. Désistement parce que la police arrive

A voit les enquêteurs entrer. Il arrête son script. L’interruption n’est pas réellement volontaire au sens classique :

elle est provoquée par une circonstance extérieure.

XXIII. Désistement parce que la victime détecte l’attaque

Même logique. Le système de détection bloque l’adresse IP. L’auteur aurait poursuivi sans ce blocage.

tentative possible.

XXIV. Arrêt volontaire avant toute exécution

A prépare le script puis renonce avant de l’envoyer.

pas de tentative sur ce seul fondement.

Mais les actes préparatoires déjà consommés peuvent relever d’autres textes.

XXV. Repentir actif après consommation

Une fois l’infraction consommée, réparer ensuite ses conséquences ne constitue plus un désistement empêchant la consommation.

XXVI. Exemple

A extrait frauduleusement la base. Une heure plus tard, il la supprime volontairement de son ordinateur. L’extraction de 323-3 était déjà consommée.

XXVII. Tentative d’accès frauduleux

L’article 323-7 la rend expressément punissable.

XXVIII. Exemple

A lance une authentification avec :

login volé ;
faux token.

Le système refuse.

tentative possible.

XXIX. Simple recherche Google

A recherche :

« vulnérabilité société X ».

Cela ne constitue pas à lui seul une tentative d’accès frauduleux.

XXX. Scan réseau

Le scan peut être préparatoire. Selon la nature technique et le contexte, il ne doit pas être automatiquement assimilé à un commencement d’exécution de 323-1.

XXXI. Exploitation effectivement lancée

La frontière est beaucoup plus nettement franchie lorsque l’auteur déclenche un code d’exploitation contre la cible précise.

XXXII. Tentative de maintien frauduleux

Elle est conceptuellement plus délicate puisque le maintien suppose déjà la présence dans le système. Il faut caractériser précisément le comportement poursuivi et la configuration factuelle.

XXXIII. Tentative d’entrave

L’article 323-7 vise également l’article 323-2.

XXXIV. Exemple : DDoS bloqué

A lance une attaque de saturation. Le pare-feu absorbe intégralement le trafic. Le service reste disponible.

l’entrave n’est peut-être pas consommée ;

tentative de 323-2 à examiner.

XXXV. Botnet préparé mais jamais activé

préparation.

323-3-1 ou 323-4 éventuellement. Pas automatiquement tentative de 323-2.

XXXVI. Commande de destruction envoyée mais bloquée

A envoie une commande destinée à arrêter un serveur. Une protection la neutralise avant exécution.

tentative d’entrave possible.

XXXVII. Tentative d’atteinte aux données

L’article 323-7 couvre l’article 323-3.

XXXVIII. Tentative d’extraction

A commence à exporter la base. Le système de prévention des fuites interrompt le transfert avant qu’aucune donnée utile ne quitte réellement le système.

tentative à examiner.

XXXIX. Export partiel

Si une partie des données est déjà effectivement extraite :

l’infraction peut déjà être consommée au moins pour cette partie.

XL. Tentative de suppression

A lance :

delete

mais ses droits ne permettent pas l’effacement.

tentative possible.

XLI. Suppression effectuée puis restauration automatique

Si la donnée a réellement été supprimée avant restauration :

l’infraction peut être consommée.

La restauration ne transforme pas nécessairement rétroactivement le fait en tentative.

XLII. Tentative de modification

A envoie une requête destinée à modifier le solde d’un compte. Le système refuse la requête.

tentative possible.

XLIII. Modification partiellement réussie

Il faut identifier exactement quelles données ont été atteintes.

XLIV. Tentative de 323-3-1

Particularité intéressante : l’article 323-7 vise également 323-3-1.

XLV. Exemple

A tente d’importer un outil spécialement adapté à une cyberattaque et dépourvu de motif légitime. L’opération est interceptée avant achèvement.

tentative de 323-3-1 théoriquement possible si les éléments de 121-5 sont réunis.

XLVI. Attention : la détention elle-même peut être consommée très tôt

Si A possède déjà effectivement le programme :

il ne faut pas inventer une tentative de détention alors que la détention est consommée.

XLVII. Même logique pour la mise à disposition

Une publication peut constituer l’infraction achevée dès que les conditions de la mise à disposition sont remplies. La jurisprudence du 27 octobre 2009 rappelle que 323-3-1 est intentionnel lorsque l’auteur agit sans motif légitime et en connaissance de cause.

XLVIII. L’article 323-3-2 : régime particulier

Depuis 2025, l’article 323-3-2 incrimine notamment certains fournisseurs de plateformes en ligne qui permettent sciemment des transactions portant sur des produits, contenus ou services manifestement illicites dans les conditions précisées par le texte.

XLIX. Peine de la forme de base de 323-3-2

Au 13 août 2026, son I prévoit :

7 ans d’emprisonnement et 500 000 euros d’amende.

L. Bande organisée de 323-3-2

Son III prévoit :

10 ans d’emprisonnement et 1 000 000 d’euros d’amende

lorsque les infractions visées sont commises en bande organisée.

LI. Tentative de 323-3-2

Son IV prévoit expressément :

tentative punie des mêmes peines.

LII. Cette infraction mérite donc un chapitre propre

Elle est suffisamment nouvelle et distincte des atteintes classiques aux STAD pour être étudiée séparément après le présent chapitre.

II. La complicité en matière de cybercriminalité

LIII. Article 121-6

Le principe est simple :

LE COMPLICE EST PUNI COMME AUTEUR.

LIV. Article 121-7 : aide ou assistance

Est complice celui qui :

sciemment, par aide ou assistance, facilite la préparation ou la consommation d’un crime ou d’un délit.

LV. Article 121-7 : provocation et instructions

Est également complice celui qui :

par don ;
promesse ;
menace ;
ordre ;
abus d’autorité ou de pouvoir

provoque à l’infraction ; ou :

donne des instructions pour la commettre.

LVI. La connaissance est essentielle

Le texte utilise le terme :

sciemment.

L’aide innocente ne suffit pas.

LVII. Hébergeur ignorant

Une société fournit un VPS. Le client s’en sert pour une intrusion. L’hébergeur ignore l’opération.

complicité non automatique.

LVIII. Hébergeur conscient

Le client explique :

« ce serveur servira demain à attaquer la société X ».

Le prestataire configure spécialement l’infrastructure pour faciliter l’intrusion.

complicité à examiner.

LIX. Fourniture de mot de passe

A remet volontairement à B un mot de passe permettant à B d’entrer frauduleusement dans le système. A sait exactement ce que B va faire.

aide ou assistance possible.

LX. Mot de passe communiqué légitimement

A transmet ses identifiants à l’administrateur chargé d’une intervention autorisée. B les détourne ensuite à son insu.

complicité de A non automatique.

LXI. Fourniture d’un exploit

A transmet un exploit spécialement adapté à la cible. Il sait que B va l’utiliser pour une intrusion illicite.

complicité potentielle.

LXII. En parallèle : 323-3-1

La transmission de l’outil peut elle-même relever de 323-3-1 lorsque ses conditions propres sont satisfaites.

LXIII. Deux questions distinctes

A A-T-IL MIS À DISPOSITION UN OUTIL SANS MOTIF LÉGITIME ?

→ 323-3-1. et :

A A-T-IL SCIEMMENT FACILITÉ L’INFRACTION PRÉCISE DE B ?

→ complicité.

LXIV. Concours à examiner

Les deux qualifications ne doivent pas être automatiquement cumulées ou automatiquement absorbées. Il faut appliquer les principes du concours de qualifications.

LXV. Fourniture de script générique

A publie légitimement un outil de pentest. B le détourne ensuite.

complicité de A non automatique.

LXVI. Instructions

A explique précisément à B :

quelle vulnérabilité exploiter ;
quelle commande exécuter ;
quels identifiants employer.

Il sait que B va attaquer sans autorisation.

complicité par instructions possible.

LXVII. Formation générale

Un professeur explique :

comment fonctionne SQL injection.

Un étudiant utilise ensuite ce savoir illégalement.

complicité du professeur non automatique.

LXVIII. Pourquoi ?

Parce qu’enseigner une technique générale ne signifie pas nécessairement :

donner consciemment des instructions pour commettre l’infraction précise.

LXIX. Conseil individualisé criminel

Situation inverse :

« attaque ce serveur précis, à cette adresse, avec cette commande ».

Le lien est beaucoup plus direct.

LXX. Commanditaire

Un chef d’entreprise ordonne à un prestataire :

« entrez dans le serveur du concurrent et récupérez sa clientèle ».

Même s’il ne touche jamais personnellement un clavier :

complicité par ordre ou provocation à examiner.

LXXI. Répartition des rôles

Une cyberattaque collective peut ainsi comporter :

auteur ;
coauteur ;
complice ;
participant à 323-4.

Il faut choisir la qualification correspondant au comportement individuel.

LXXII. Coauteur

Le coauteur accomplit personnellement des actes relevant de la réalisation de l’infraction.

LXXIII. Complice

Le complice facilite sciemment la préparation ou la consommation sans nécessairement exécuter lui-même tous les éléments matériels du délit.

LXXIV. Participant au groupement 323-4

L’article 323-4 permet de sanctionner la participation à une entente préparatoire matérialisée même avant que l’infraction principale ne soit consommée.

LXXV. Distinction essentielle

COMPLICITÉ = RATTACHEMENT À UNE INFRACTION PRINCIPALE.

323-4 = INFRACTION AUTONOME DE GROUPEMENT PRÉPARATOIRE.

LXXVI. Exemple

A et B préparent une attaque. La police intervient avant tout commencement d’exécution. La complicité d’une intrusion consommée ne peut être artificiellement invoquée. Mais :

323-4 peut être constitué.

LXXVII. Cyberattaque réalisée

B pénètre effectivement le système. A lui avait fourni sciemment les identifiants pour cette attaque.

complicité de 323-1 possible.

LXXVIII. Complicité d’une tentative

Lorsque la tentative de l’infraction principale est elle-même punissable et caractérisée, la complicité peut également devoir être examinée selon les principes généraux.

LXXIX. Exemple

A donne l’exploit à B. B lance l’attaque. Elle échoue en raison d’un correctif. Si la tentative de 323-1 est caractérisée :

le rôle de A comme complice doit être examiné.

LXXX. Aide postérieure

Une difficulté classique concerne l’aide apportée seulement après l’infraction. L’article 121-7 vise l’aide ayant facilité :

préparation ;
consommation.

LXXXI. Aide après consommation sans accord préalable

Une personne intervient seulement après l’attaque, sans avoir promis son aide auparavant. Il faut rechercher plutôt :

recel ;
blanchiment ;
détention frauduleuse de données ;
autres qualifications.

La complicité de l’infraction initiale n’est pas automatique.

LXXXII. Accord préalable d’assistance ultérieure

Si l’aide postérieure avait été promise avant l’infraction et a facilité sa commission, l’analyse peut être différente au regard des règles générales de complicité.

LXXXIII. Exemple

A promet avant l’attaque :

« exfiltre les données ; je les hébergerai ensuite sur mon serveur ».

Cette garantie peut faciliter le projet principal.

LXXXIV. Acheteur de données après coup

B découvre après l’attaque qu’une base a été volée. Il l’achète en connaissance de cause. L’article 323-3 réprime aujourd’hui notamment la détention et la transmission frauduleuses de données contenues dans un STAD. Il faut donc examiner son comportement propre plutôt que de le qualifier automatiquement de complice rétroactif de l’intrusion.

III. Complicité et professionnels techniques

LXXXV. Administrateur système

Un administrateur peut faciliter :

création d’un compte ;
ouverture d’un port ;
suppression d’une règle de sécurité.

LXXXVI. Administration légitime

Ces actes sont banals dans son métier. Leur caractère technique ne suffit pas à établir une complicité.

LXXXVII. Connaissance du projet

Il faut prouver que l’administrateur savait qu’il facilitait la cyberinfraction.

LXXXVIII. Exemple

Il reçoit l’ordre :

« crée ce compte temporaire pour l’audit ».

Il croit sincèrement que l’audit est autorisé.

élément moral de la complicité potentiellement absent.

LXXXIX. Même acte, connaissance réelle

Il sait que le compte sera utilisé pour voler les données d’un concurrent.

analyse inverse.

XC. Développeur

Il crée un module à la demande d’un attaquant.

XCI. Code légitime

Développer un outil réseau générique n’est pas une complicité automatique.

XCII. Code spécialement commandé

Le client précise :

« je veux contourner le système d’authentification de cette entreprise ».

Le développeur accepte en connaissance de cause.

complicité et/ou 323-3-1 à examiner.

XCIII. Prestataire de cybersécurité

Le caractère professionnel ne crée aucune immunité. Mais il rend aussi particulièrement important le périmètre de l’autorisation.

XCIV. Pentest autorisé

Pas d’infraction dans le périmètre.

XCV. Dépassement volontaire

Une société cliente demande au pentester d’attaquer un tiers sans son consentement. Le prestataire sait que le tiers n’a rien autorisé.

responsabilité propre à examiner.

XCVI. Fournisseur de plateforme

Depuis l’apparition de 323-3-2, certains comportements de plateformes facilitant sciemment des transactions manifestement illicites relèvent désormais d’une incrimination autonome, lorsqu’ils satisfont précisément aux conditions techniques et juridiques de cet article.

XCVII. Il ne faut donc pas toujours raisonner en complicité

Le droit spécial peut prévoir une infraction autonome correspondant précisément au rôle de l’intermédiaire.

IV. Concours de qualifications

XCVIII. Une seule cyberattaque peut correspondre à plusieurs infractions

Exemple classique :

intrusion ;
extraction ;
sabotage ;
demande de rançon.

XCIX. Qualification possible des différentes étapes

intrusion → 323-1 ;

extraction → 323-3 ;

blocage → 323-2 ;

rançon → extorsion ou tentative selon les circonstances.

Les articles 323-1, 323-2 et 323-3 protègent des aspects distincts du système informatique.

C. Le cumul n’est pas mécaniquement interdit

La jurisprudence et le droit général du concours permettent plusieurs déclarations de culpabilité lorsque les faits ou intérêts protégés sont suffisamment distincts. Mais l’unité de l’action doit toujours être examinée.

CI. Ne pas « saucissonner » artificiellement

Une même commande informatique ne doit pas être artificiellement transformée en dix infractions indépendantes simplement parce qu’elle comporte dix étapes techniques internes.

CII. Mais ne pas absorber artificiellement non plus

Une intrusion suivie plusieurs heures plus tard :

d’une extraction ;
puis d’un sabotage

ne doit pas être réduite automatiquement à un seul « piratage ».

CIII. Méthode

Pour chaque acte, demander :

QUEL COMPORTEMENT MATÉRIEL ?

QUEL TEXTE ?

QUEL INTÉRÊT PROTÉGÉ ?

QUEL MOMENT ?

CIV. 323-1 + 323-3

A entre frauduleusement dans un système. Il télécharge ensuite une base. Le premier acte porte sur :

l’accès.

Le second porte sur :

les données.

Le Code distingue expressément ces incriminations.

CV. Accès sans extraction

323-1 peut exister seul.

CVI. Extraction sans accès frauduleux

323-3 peut également exister alors que l’utilisateur disposait d’un accès légitime mais a détourné ses droits sur les données. La Cour de cassation admet depuis longtemps qu’une modification frauduleuse peut être caractérisée malgré un droit d’accès au système.

CVII. Jurisprudence de 2021

La Cour a encore précisé que des suppressions ou modifications de données sciemment dissimulées à un autre utilisateur peuvent être frauduleuses dans les circonstances qu’elle a examinées.

CVIII. 323-2 + 323-3

A supprime un fichier de configuration. Cette suppression :

constitue une atteinte aux données ;
fait tomber le serveur.

Deux intérêts distincts apparaissent :

donnée ;

fonctionnement.

CIX. Mais une suppression isolée sans effet fonctionnel

323-3 seulement peut être pertinent.

CX. 323-1 + 323-2

A entre frauduleusement puis lance un DDoS interne ou arrête les services.

accès + entrave.

CXI. 323-1 + 323-2 + 323-3

Un ransomware peut réaliser les trois dimensions.

CXII. Ransomware : séquence typique

entrée frauduleuse ;
élévation de privilèges ;
exfiltration ;
chiffrement ;
indisponibilité.

CXIII. Ne pas qualifier uniquement « ransomware »

Le terme désigne une technique ou une catégorie d’attaque. Le droit pénal exige de décomposer les comportements.

V. Concours avec le vol

CXIV. La question du vol de données

Historiquement, une difficulté s’est posée :

peut-on voler une donnée sans priver matériellement la victime de son original ?

CXV. Affaire ANSES

Dans l’arrêt du 20 mai 2015, la Cour de cassation a admis dans les circonstances de l’affaire la qualification de vol à propos du téléchargement et de la copie de fichiers dont le prévenu savait qu’ils étaient protégés.

CXVI. Réforme de 2015

Le législateur a ensuite expressément inclus dans l’article 323-3 :

extraction ;
détention ;
reproduction ;
transmission.

CXVII. Conséquence

Le droit spécial informatique permet désormais de qualifier directement l’exfiltration sans devoir faire reposer toute l’analyse sur le vol.

CXVIII. Mais le vol n’a pas nécessairement disparu de tous les dossiers

Il faut analyser les faits et les règles de concours plutôt que d’énoncer :

« depuis 2015 le vol de données n’existe plus ».

CXIX. Décision du 5 juin 2024

Une affaire concernant l’emport de données par un ancien salarié a conduit la Cour de cassation à rappeler l’obligation, pour les juridictions d’instruction, d’examiner les faits sous les qualifications pénales susceptibles de leur correspondre ; les débats portaient notamment sur le vol et sur l’extraction/reproduction de données visée par 323-3.

CXX. Enseignement

NE PAS S’ARRÊTER À LA QUALIFICATION PROPOSÉE PAR LE PLAIGNANT.

Un même comportement numérique peut appeler l’examen de qualifications voisines.

VI. Concours avec l’abus de confiance

CXXI. Salarié autorisé à accéder

Un salarié reçoit légitimement des fichiers pour son travail. Il les détourne ensuite pour un usage personnel. Il faut examiner :

323-3 ;
éventuellement abus de confiance selon la nature de la remise et du détournement.

CXXII. Droit d’accès ≠ solution unique

Comme vu précédemment, l’existence de droits d’accès ne suffit pas à écarter automatiquement une atteinte frauduleuse aux données.

CXXIII. Mais toute violation contractuelle n’est pas une cyberinfraction

Il faut caractériser les éléments propres à chaque texte.

VII. Concours avec l’escroquerie

CXXIV. Manipulation informatique comme moyen frauduleux

Une cyberattaque peut servir à obtenir :

paiement ;
prestation ;
remise.

CXXV. Exemple

A pénètre dans un compte client et modifie les coordonnées bancaires afin que les paiements lui soient envoyés. À examiner :

323-1 ;
323-3 ;
escroquerie selon les actes de tromperie et de remise.

CXXVI. Faux site

Un faux portail peut servir :

au phishing ;
à la récupération d’identifiants ;
à une escroquerie.

Les qualifications doivent être choisies selon la séquence.

VIII. Concours avec le faux

CXXVII. Modification de données et faux

Modifier frauduleusement une donnée n’est pas automatiquement commettre un faux au sens de l’article 441-1.

CXXVIII. Faux

Il faut notamment un support ayant pour objet ou pouvant avoir pour effet d’établir la preuve d’un droit ou d’un fait ayant des conséquences juridiques, ainsi qu’une altération frauduleuse de la vérité de nature à causer un préjudice.

CXXIX. Donnée technique sans valeur probatoire

Modifier un paramètre serveur peut relever de 323-3 sans constituer nécessairement un faux.

CXXX. Donnée probatoire

La manipulation d’un document électronique probatoire peut en revanche conduire à examiner :

323-3 ;
faux.

CXXXI. Exemple

A pénètre dans un système. Il modifie un document comptable électronique probatoire pour faire apparaître une dette inexistante. Plusieurs qualifications peuvent entrer en discussion.

IX. Concours avec atteintes aux correspondances et à la vie privée

CXXXII. Accès à une messagerie

A pénètre dans la boîte de B.

323-1 possible.

CXXXIII. Lecture des correspondances

Le secret des correspondances peut également être atteint selon les circonstances.

CXXXIV. Jurisprudence du keylogger

Dans l’affaire du 16 janvier 2018, un keylogger avait permis de récupérer des codes puis d’accéder aux courriels de collègues ; l’affaire illustrait précisément la coexistence possible entre infractions informatiques et atteintes aux correspondances.

CXXXV. Accès frauduleux ≠ atteinte aux correspondances automatiquement

Un serveur peut ne contenir aucune correspondance.

CXXXVI. Inversement

Une interception de communication peut parfois être réalisée sans correspondre exactement à un accès frauduleux à un STAD.

X. Concours avec l’extorsion

CXXXVII. Ransomware

La séquence est typique :

CHIFFREMENT / BLOCAGE

MENACE DE MAINTENIR LE BLOCAGE OU PUBLIER LES DONNÉES

DEMANDE DE PAIEMENT.

CXXXVIII. Cyberinfractions

Les premières étapes peuvent relever de :

323-1 ;
323-2 ;
323-3.

CXXXIX. Demande de rançon

Elle peut relever :

de l’extorsion ;
ou de sa tentative,

selon les circonstances.

CXL. Paiement non effectué

L’absence de paiement n’efface pas nécessairement :

les cyberinfractions déjà consommées ;
ni la tentative d’extorsion si ses conditions sont caractérisées.

XI. Concours avec recel et blanchiment

CXLI. Données frauduleusement obtenues

Un tiers peut recevoir et conserver les données. Aujourd’hui, 323-3 incrimine expressément notamment la détention frauduleuse des données contenues dans le système.

CXLII. Produit financier

Une personne reçoit ensuite la rançon et cherche à dissimuler son origine.

blanchiment à examiner.

CXLIII. Actifs numériques

L’emploi de cryptoactifs ne change pas la structure juridique :

il faut déterminer l’origine des fonds et les actes accomplis.

XII. Complicité et 323-4

CXLIV. Deux instruments voisins mais distincts

L’article 323-4 sanctionne la participation à un groupement formé ou une entente établie pour préparer les infractions de 323-1 à 323-3-1, lorsque cette préparation est matérialisée.

CXLV. Avant l’infraction principale

323-4 est particulièrement utile lorsque :

l’attaque principale n’a encore jamais commencé.

CXLVI. Après commencement d’exécution

La tentative peut alors s’ajouter à l’analyse.

CXLVII. Après consommation

La complicité et les infractions principales deviennent également centrales.

CXLVIII. Exemple chronologique

J-30 :

création de l’équipe.

J-20 :

achat du malware.

J-10 :

reconnaissance de la cible.

J-1 :

distribution des identifiants.

Jour J :

exploit lancé mais bloqué.

Analyse :

323-3-1 éventuellement ;
323-4 ;
tentative de 323-1 ;
complicité éventuelle de certains membres.

CXLIX. L’infraction de groupement ne remplace pas nécessairement les autres qualifications

Chaque comportement doit être individualisé.

XIII. Complicité et bande organisée

CL. Bande organisée

L’article 323-4-1 porte à dix ans d’emprisonnement et 300 000 euros d’amende les infractions de 323-1 à 323-3-1 commises en bande organisée.

CLI. Complice extérieur au groupe

Une personne peut faciliter ponctuellement une infraction commise par une bande sans être nécessairement intégrée à la structure organisée. Sa situation doit être appréciée individuellement.

CLII. Participant intégré

Inversement, une personne qui occupe un rôle stable et préparé dans l’organisation peut être rattachée à la bande organisée selon les critères déjà étudiés.

CLIII. Ne pas contaminer automatiquement tous les complices

La connaissance et les circonstances aggravantes doivent être analysées individuellement.

XIV. Tentative et aggravations

CLIV. Article 323-7 : mêmes peines

Lorsque la tentative d’une infraction 323-1 à 323-3-1 est caractérisée :

elle est punie des mêmes peines que l’infraction consommée.

CLV. Cela ne signifie pas que le juge prononcera nécessairement la même peine concrète

La formule détermine le maximum légal applicable. L’individualisation de la peine subsiste.

CLVI. Tentative d’une forme aggravée

La question exige d’établir que les éléments de l’aggravation sont juridiquement applicables aux faits tentés. Il faut éviter d’appliquer automatiquement chaque conséquence aggravante prévue pour une infraction consommée.

CLVII. Exemple : donnée de l’État

Une personne tente une atteinte contre un STAD de données personnelles mis en œuvre par l’État. Il faut vérifier :

objet effectivement ciblé ;
conscience et faits ;
texte aggravant applicable.

CLVIII. 323-4-2 et tentative : difficulté spécifique

L’article 323-4-2 repose sur un effet réalisé :

exposition à un risque immédiat grave ou obstacle aux secours.

Une attaque qui échoue totalement avant de produire cet effet ne permet donc pas de prétendre automatiquement que l’aggravation de résultat est elle-même constituée.

CLIX. Exemple

A tente de faire tomber le système hospitalier. Le pare-feu bloque immédiatement l’attaque. Aucun service n’est perturbé. Aucun patient n’est exposé.

tentative de l’infraction cyber de base possible ;

323-4-2 non automatique faute d’effet.

XV. Infraction impossible et moyens inefficaces

CLX. Mauvais mot de passe

A croit disposer du bon mot de passe. Il tente de l’utiliser. Le mot de passe est faux.

tentative possible.

CLXI. Serveur inexistant

A attaque une adresse qu’il croit être celle de la victime. La question de la tentative impossible doit être examinée à partir du commencement d’exécution et de son intention, sans confondre impossibilité du résultat et absence totale d’acte exécutif.

CLXII. Faux malware

A pense acheter un ransomware fonctionnel. Le programme est totalement inerte. S’il ne fait ensuite qu’en conserver le fichier :

la qualification doit être soigneusement examinée.

CLXIII. Il faut caractériser l’objet du 323-3-1

Le programme doit être conçu ou spécialement adapté pour commettre les infractions visées. Un fichier absolument incapable de remplir cette fonction peut soulever une difficulté spécifique.

XVI. Complicité par omission ?

CLXIV. Principe de prudence

L’article 121-7 vise l’aide ou l’assistance et certaines formes de provocation ou d’instructions. Il ne faut donc pas transformer automatiquement une simple passivité en complicité.

CLXV. Administrateur qui ne bloque pas l’attaque

Le seul fait :

de ne pas intervenir

ne suffit pas nécessairement à caractériser une aide intentionnelle.

CLXVI. Entente préalable

La situation est différente si l’administrateur avait convenu :

de laisser volontairement le pare-feu désactivé à l’heure de l’attaque.

Son comportement peut constituer une contribution positive au projet.

CLXVII. Abstention concertée

Il faut alors analyser :

pouvoirs ;
accord ;
intention ;
utilité causale de cette abstention dans le dispositif.

XVII. Preuve de la complicité

CLXVIII. Messages

Exemple :

« Je t’ouvre le port à 22 heures, tu pourras entrer. »

Très probant.

CLXIX. Logs

Ils peuvent montrer :

modification volontaire ;
création de compte ;
désactivation d’une protection.

CLXX. Paiements

Une rémunération peut démontrer la coordination.

CLXXI. Mais rémunération non obligatoire

La complicité peut être gratuite.

CLXXII. Répartition des produits

Le partage de rançon peut néanmoins constituer un puissant indice du projet commun.

CLXXIII. Connaissance de l’infraction principale

Le complice doit avoir conscience de faciliter une opération délictueuse suffisamment déterminée.

CLXXIV. Connaissance purement vague

Un prestataire sait seulement que son client est :

« un peu louche ».

Cela ne suffit pas automatiquement.

CLXXV. Instructions explicites

À l’inverse :

« ce serveur sert à attaquer tel hôpital ce soir ».

La connaissance est nettement plus aisée à caractériser.

XVIII. Preuve de la tentative

CLXXVI. Logs de requêtes

Ils peuvent démontrer que l’exploit a effectivement été envoyé.

CLXXVII. Logs du pare-feu

Ils peuvent montrer que l’opération a été bloquée.

CLXXVIII. Machine de l’auteur

Elle peut contenir :

script ;
historique de lancement ;
paramètres de cible.

CLXXIX. Messages préparatoires

Ils permettent d’établir l’intention.

CLXXX. Chronologie

Exemple :

14 h 01 : lancement script.

14 h 01 min 03 : requête reçue.

14 h 01 min 04 : WAF bloque.

14 h 02 : attaquant recommence.

Cette chronologie peut caractériser fortement le commencement d’exécution.

XIX. Désistement ou échec extérieur ?

CLXXXI. Question systématique

POURQUOI L’ATTAQUE S’EST-ELLE ARRÊTÉE ?

CLXXXII. Choix spontané

Potentiellement désistement volontaire.

CLXXXIII. Blocage du firewall

Circonstance indépendante.

CLXXXIV. Mot de passe changé

Circonstance indépendante.

CLXXXV. Coupure internet accidentelle de l’attaquant

Circonstance extérieure pouvant avoir empêché le résultat.

CLXXXVI. Peur après début d’exécution

A commence, puis renonce sans intervention extérieure. L’analyse du caractère volontaire du désistement devient centrale.

XX. Concours avec 323-3-2

CLXXXVII. Nouvelle difficulté depuis 2025

Le chapitre III ne s’arrête plus aux cyberatteintes classiques. L’article 323-3-2 vise certaines plateformes en ligne dans des conditions très spécifiques.

CLXXXVIII. Il ne faut pas confondre avec 323-3-1

323-3-1 :

outils destinés aux atteintes aux STAD.

323-3-2 :

certaines plateformes permettant sciemment des transactions manifestement illicites lorsque les conditions légales tenant notamment au service et aux obligations applicables sont réunies.

CLXXXIX. Tentative distincte

323-3-2 possède son propre régime :

tentative punie des mêmes peines.

CXC. Importance pour la structure du manuel

Cette création récente justifie qu’après les règles générales du présent chapitre, un chapitre autonome soit consacré à :

PLATEFORMES ILLICITES ET ARTICLE 323-3-2.

XXI. Tableau général : consommation / tentative / préparation

Situation	Qualification à examiner
Idée seule	Aucune sur ce seul fait
Outil malveillant détenu sans motif légitime	323-3-1
Préparation collective matérialisée	323-4
Exploit lancé mais bloqué	Tentative de 323-1
Intrusion réussie	323-1 consommé
Extraction lancée mais empêchée	Tentative de 323-3
Données effectivement copiées	323-3 consommé

L’article 323-7 rend punissables les tentatives de 323-1 à 323-3-1.

XXII. Tableau : auteur / complice / groupement

Situation	Analyse
Exécute personnellement l’intrusion	Auteur
Fournit sciemment les identifiants	Complice possible
Donne les instructions précises	Complice possible
Participe à l’entente préparatoire	323-4 possible
Héberge sans connaissance	Pas de complicité automatique
Fournit volontairement l’infrastructure pour l’attaque	Complicité/323-4 possibles

Le régime général de la complicité résulte des articles 121-6 et 121-7.

XXIII. Tableau : concours cyber

Fait	Qualification principale à examiner
Entrer sans droit	323-1
Bloquer le système	323-2
Extraire des données	323-3
Détenir outil offensif sans motif légitime	323-3-1
Préparer collectivement	323-4
Commission en bande organisée	323-4-1
Effet corporel grave	323-4-2
Plateforme illicite répondant aux conditions spéciales	323-3-2

Le chapitre III, dans sa version actuelle, comprend désormais notamment l’article 323-3-2, créé et modifié récemment.

XXIV. Exemple complet : intrusion échouée

A obtient des identifiants volés. B lui fournit l’adresse exacte. C a créé le serveur de relais en sachant qu’il servira à l’attaque. A tente de se connecter. Le compte a été désactivé. À examiner :

tentative 323-1 contre A ;
complicité de B et C selon leur aide consciente ;
éventuellement 323-4 si une véritable entente préparatoire matérialisée existe ;
éventuellement 323-3-1 pour les moyens utilisés.

XXV. Exemple complet : DDoS empêché

A et B organisent l’attaque. C fournit sciemment un botnet. L’attaque est lancée mais intégralement absorbée par l’infrastructure défensive. Le service n’est jamais entravé.

tentative de 323-2 possible ;

complicité de C à examiner ;

323-4 selon les préparatifs ;

323-3-1 selon l’outil.

XXVI. Exemple complet : extraction partiellement réussie

A tente de copier 500 000 dossiers. Le système DLP bloque après :

2 000 dossiers.

Pour les 2 000 effectivement extraits :

323-3 consommé possible.

Pour le reste :

la tentative peut entrer dans l’analyse, mais il faut éviter un dédoublement artificiel du même fait.

XXVII. Exemple complet : salarié et concurrent

A, salarié, fournit à B, concurrent :

ses identifiants ;
la structure du réseau ;
l’heure de maintenance.

B entre ensuite dans le système. Selon les faits :

B : auteur de 323-1.

A : complice possible.

Si A et B avaient préparé matériellement ensemble l’opération :

323-4 également à examiner.

XXVIII. Exemple complet : développeur de malware

A développe un outil à double usage. Il le publie pour un cours universitaire. B l’utilise illégalement.

complicité de A non automatique.

CXCI. Même développeur, autre contexte

B lui demande de modifier l’outil précisément pour :

contourner l’authentification de la victime X.

A accepte en connaissance de cause.

323-3-1 et complicité à examiner.

XXIX. Exemple complet : ransomware

A pénètre. B exfiltre. C chiffre. D négocie. Selon leur rôle :

323-1 ;
323-2 ;
323-3 ;
complicité ;
323-4 ;
323-4-1

peuvent être discutés. Si l’attaque crée en outre l’effet grave requis pour les personnes ou les secours :

323-4-2 à examiner.

XXX. Exemple complet : attaque hospitalière échouée

Le groupe veut bloquer le système de réanimation. Il lance le malware. Le système de sécurité l’arrête avant toute modification. Aucun service n’est perturbé. Aucun patient n’est exposé.

tentative des cyberinfractions de base possible ;

323-4 possible ;

323-4-2 non automatique, puisque l’effet spécial n’est pas réalisé.

XXXI. Exemple complet : attaque hospitalière réussie

Le malware bloque effectivement le dispositif. Un patient est immédiatement exposé au risque grave défini par 323-4-2.

infraction cyber consommée + aggravation spéciale possible.

XXXII. Exemple complet : acheteur tardif des données

A a terminé l’attaque. B, qui n’avait jamais participé au projet, apprend ensuite l’existence des données et les achète.

complicité rétroactive non automatique.

Mais :

détention, reproduction ou transmission frauduleuse relevant de 323-3 à examiner selon les faits.

XXXIII. Checklist tentative

Quelle infraction est visée ?
Tentative légalement punissable ?
Article 323-7 ?
Article 323-3-2 IV ?
Acte préparatoire ou commencement d’exécution ?
Quelle date ?
Quelle cible ?
Quelle commande ?
Pourquoi l’infraction a-t-elle échoué ?
Circonstance extérieure ?
Désistement volontaire ?
Infraction déjà partiellement consommée ?

XXXIV. Checklist complicité

Quelle infraction principale ?
Auteur principal ?
Infraction consommée ou tentative punissable ?
Quel acte d’aide ?
Quelle assistance ?
Quelles instructions ?
Quel ordre ?
Quel avantage fourni ?
Le complice savait-il ?
À quel moment ?
Aide antérieure ou concomitante ?
Participation à 323-4 plutôt que simple complicité ?
Infraction autonome de 323-3-1 ?

XXXV. Checklist concours

Pour chaque séquence :

accès ?
maintien ?
fonctionnement ?
données ?
outils ?
groupement ?
bande organisée ?
risque humain ?
plateforme 323-3-2 ?
extorsion ?
escroquerie ?
faux ?
vol ?
abus de confiance ?
recel ?
blanchiment ?
atteinte aux correspondances ?

XXXVI. Erreurs fréquentes

Erreur n° 1 : la tentative d’un délit est toujours punissable

Faux. Elle ne l’est que dans les cas prévus par la loi.

Erreur n° 2 : la tentative de cyberintrusion n’est pas punissable

Faux. L’article 323-7 prévoit expressément la tentative de 323-1 à 323-3-1.

Erreur n° 3 : préparer un script = tentative automatique

Faux. Il faut caractériser un commencement d’exécution au sens de l’article 121-5.

Erreur n° 4 : lancer l’exploit puis échouer = aucune infraction

Faux. La tentative peut être constituée.

Erreur n° 5 : abandonner après consommation = désistement volontaire

Faux. L’infraction déjà consommée demeure.

Erreur n° 6 : article 323-7 couvre 323-4

Faux textuellement. Il vise 323-1 à 323-3-1.

Erreur n° 7 : article 323-7 couvre directement 323-3-2

Faux. 323-3-2 contient sa propre clause de tentative à son IV.

Erreur n° 8 : toute assistance informatique constitue une complicité

Faux. L’aide doit être apportée sciemment dans les conditions de l’article 121-7.

Erreur n° 9 : vendre un serveur à un pirate rend automatiquement complice

Faux. Il faut démontrer la connaissance et l’aide intentionnelle.

Erreur n° 10 : donner une formation en cybersécurité rend responsable des attaques ultérieures d’un étudiant

Faux sur ce seul fait.

Erreur n° 11 : donner des instructions ciblées en sachant l’attaque projetée ne peut jamais être une complicité

Faux. L’article 121-7 vise expressément les instructions données pour commettre l’infraction.

Erreur n° 12 : complice = peine nécessairement inférieure à celle de l’auteur

Faux comme règle. L’article 121-6 dispose que le complice est puni comme auteur.

Erreur n° 13 : 323-4 et complicité sont synonymes

Faux. 323-4 est une infraction autonome de groupement préparatoire.

Erreur n° 14 : toute aide après l’attaque est automatiquement complicité de l’attaque

Faux. Il faut examiner la temporalité et, selon les faits, les infractions autonomes postérieures.

Erreur n° 15 : intrusion + extraction = une seule infraction nécessairement

Faux. 323-1 et 323-3 protègent des aspects distincts et peuvent correspondre à des actes distincts.

Erreur n° 16 : extraction suppose nécessairement accès frauduleux

Faux. Une personne disposant d’un droit d’accès peut néanmoins porter frauduleusement atteinte aux données selon les circonstances.

Erreur n° 17 : données copiées sans suppression = aucune atteinte informatique

Faux. 323-3 réprime explicitement l’extraction et la reproduction.

Erreur n° 18 : ransomware = une qualification pénale unique

Faux. C’est une technique pouvant comporter plusieurs infractions.

Erreur n° 19 : cyberattaque + demande de rançon = seulement 323-2

Faux. Extorsion et autres qualifications doivent également être examinées.

Erreur n° 20 : modifier une donnée = faux automatiquement

Faux. Le faux possède ses propres éléments constitutifs.

Erreur n° 21 : accès à une messagerie = seulement 323-1

Pas nécessairement. Les atteintes aux correspondances peuvent également entrer dans l’analyse selon les faits.

Erreur n° 22 : tous les membres d’une équipe sont coauteurs

Faux. Certains peuvent être :

complices ;
participants à 323-4 ;
auteurs d’infractions autonomes.

Erreur n° 23 : 323-3-1 absorbe toujours la complicité

Faux. Il faut raisonner selon les actes et les principes de concours.

Erreur n° 24 : une attaque empêchée par un WAF ne peut jamais être punie

Faux. Si le commencement d’exécution est établi, la tentative peut être retenue.

Erreur n° 25 : 323-4-2 s’applique à une attaque hospitalière totalement empêchée

Pas automatiquement. 323-4-2 repose sur l’effet grave défini par le texte.

XXXVII. Jurisprudence utile : Cass. crim., 27 octobre 2009, n° 09-82.346

Cette décision relative à l’article 323-3-1 illustre l’importance de l’élément intentionnel. La Cour retient que le fait d’agir :

sans motif légitime ;
et en connaissance de cause

permet de caractériser l’intention coupable pour la détention ou la mise à disposition d’un moyen spécialement adapté aux atteintes informatiques.

CXCII. Portée pour la complicité

Le simple potentiel offensif de l’outil ne permet donc pas de transformer son détenteur ou diffuseur en complice de n’importe quelle attaque. Il faut individualiser :

son propre délit de 323-3-1 ;
sa connaissance d’une attaque déterminée ;
l’aide effectivement apportée.

XXXVIII. Jurisprudence : Cass. crim., 7 janvier 2020, n° 18-84.755

Cette décision rappelle qu’une infraction 323-3-1 ne peut être construite artificiellement si l’infraction informatique que l’outil est censé permettre ne peut elle-même être caractérisée dans les circonstances retenues. La Cour a approuvé le non-lieu dès lors que les infractions des articles 323-1 à 323-3 n’étaient pas caractérisées à l’égard des utilisateurs du logiciel dans l’affaire examinée.

CXCIII. Enseignement

IL FAUT TOUJOURS IDENTIFIER L’INFRACTION CIBLE.

Même exigence pour la complicité :

aider à un comportement qui n’est pas pénalement constitué ne permet pas de construire artificiellement une complicité.

XXXIX. Jurisprudence : Cass. crim., 8 juin 2021, n° 20-85.853

La Cour rappelle qu’une modification ou suppression frauduleuse de données peut être constituée malgré un droit d’accès au système et précise les conditions dans lesquelles la dissimulation à un autre utilisateur permet de caractériser la fraude.

CXCIV. Portée pour le concours

Dans une affaire interne à une entreprise ou une organisation :

NE PAS CONFONDRE AUTORISATION D’ACCÈS ET AUTORISATION DE MODIFIER.

Cela permet de distinguer :

323-1 ;
323-3.

XL. Jurisprudence : Cour de cassation, 5 juin 2024, n° 22-86.361

Cette décision est particulièrement intéressante pour la méthode de qualification. Les griefs portaient notamment sur des données emportées par un ancien salarié et sur l’obligation d’examiner les faits sous les qualifications pénales pertinentes, dont l’extraction ou la reproduction sanctionnées par 323-3.

CXCV. Leçon méthodologique

LE JUGE N’EST PAS ENFERMÉ DANS LE VOCABULAIRE UTILISÉ PAR LA VICTIME.

Il doit examiner juridiquement les faits.

XLI. Jurisprudence récente : Cass. crim., 2 septembre 2025, n° 24-83.605

La Cour de cassation a confirmé qu’un administrateur réseau disposant de privilèges techniques généraux peut commettre un maintien frauduleux lorsqu’il utilise ces privilèges à des fins étrangères à sa mission et consulte clandestinement des communications auxquelles il ne devait pas accéder dans ces conditions.

CXCVI. Portée pour ce chapitre

L’arrêt montre une nouvelle fois qu’une même situation peut appeler l’examen de plusieurs niveaux :

droit technique ;
autorisation fonctionnelle ;
actes accomplis ;
données consultées ;
infractions connexes.

XLII. Article 323-3-2 : correction importante du panorama 2026

CXCVII. Le chapitre III a évolué

Au 13 août 2026, le chapitre ne comprend plus seulement :

323-1, 323-2, 323-3, 323-3-1.

Il comporte également l’article 323-3-2, consacré à certaines plateformes en ligne.

CXCVIII. Pourquoi cette précision est importante

Les chapitres précédents consacrés à la cybercriminalité classique ont principalement suivi la structure historique des atteintes aux STAD. Pour un manuel à jour en 2026, l’article 323-3-2 doit désormais être intégré séparément.

CXCIX. Son champ est très spécifique

Il vise notamment certaines plateformes :

recourant à des restrictions d’accès liées à l’anonymisation ;
ou ne respectant pas certaines obligations légales ou européennes mentionnées par le texte ;

qui permettent sciemment des transactions portant sur des produits, contenus ou services manifestement illicites.

CC. Il ne faut pas l’assimiler à tout site ayant un contenu illégal

Le texte comporte de nombreuses conditions cumulatives. Il mérite donc une analyse autonome et rigoureuse.

XLIII. Méthode générale de qualification d’une cyberattaque complexe

CCI. Étape 1 : identifier les acteurs

intrus ;
développeur ;
administrateur ;
fournisseur d’outil ;
commanditaire ;
hébergeur ;
détenteur des données ;
blanchisseur.

CCII. Étape 2 : établir la chronologie

préparation

↓

lancement

↓

accès

↓

extraction

↓

sabotage

↓

demande de paiement

↓

dissimulation du produit.

CCIII. Étape 3 : distinguer préparation et commencement d’exécution

C’est la clé de la tentative.

CCIV. Étape 4 : qualifier chaque acte matériel

323-1 ;
323-2 ;
323-3 ;
323-3-1 ;
323-3-2 ;
323-4.

CCV. Étape 5 : qualifier le rôle personnel

auteur ;
coauteur ;
complice.

CCVI. Étape 6 : rechercher les aggravations

État ;
bande organisée ;
danger pour les personnes.

CCVII. Étape 7 : rechercher les infractions de droit commun

vol ;
escroquerie ;
extorsion ;
faux ;
recel ;
blanchiment ;
atteinte aux correspondances.

CCVIII. Étape 8 : appliquer les règles de concours

Ne pas :

multiplier artificiellement ;

ni :

absorber artificiellement.

CCIX. Étape 9 : individualiser la responsabilité

Chaque personne doit répondre :

DE CE QU’ELLE A FAIT ET SCIEMMENT FACILITÉ.

Le principe de complicité demeure celui des articles 121-6 et 121-7.

XLIV. Tableau final

Situation	Qualification
Préparation individuelle d’un exploit	323-3-1 éventuel
Préparation collective matérialisée	323-4
Exploit effectivement lancé mais bloqué	Tentative 323-1
Connexion réussie	323-1 consommé
Aide consciente à la connexion	Complicité
Base téléchargée	323-3
Serveur bloqué	323-2
Attaque structurée	323-4-1 éventuel
Danger corporel spécial	323-4-2 éventuel
Plateforme spéciale facilitant sciemment l’illicite	323-3-2

XLV. À retenir

La première règle est :

LA TENTATIVE DES DÉLITS DE 323-1 À 323-3-1 EST PUNIE DES MÊMES PEINES.

C’est l’article 323-7. La deuxième règle est :

TENTATIVE = COMMENCEMENT D’EXÉCUTION + ÉCHEC OU INTERRUPTION INDÉPENDANTE DE LA VOLONTÉ DE L’AUTEUR.

La troisième règle est :

PRÉPARATION ≠ COMMENCEMENT D’EXÉCUTION.

Préparer :

un exploit ;
un VPS ;
un malware

peut relever de 323-3-1 ou 323-4 sans constituer encore nécessairement une tentative de l’infraction principale. La quatrième règle est :

DÉSISTEMENT VOLONTAIRE AVANT CONSOMMATION ≠ ÉCHEC IMPOSÉ PAR LE PARE-FEU, LA POLICE OU LA CORRECTION DE LA FAILLE.

La cinquième règle est :

LE COMPLICE EST PUNI COMME AUTEUR.

La sixième règle est :

L’AIDE OU L’ASSISTANCE DOIT ÊTRE SCIEMMENT APPORTÉE.

La septième règle est :

DONNER DES INSTRUCTIONS POUR COMMETTRE L’INFRACTION PEUT CONSTITUER UNE COMPLICITÉ.

La huitième règle est :

HÉBERGEUR, DÉVELOPPEUR, ADMINISTRATEUR OU PRESTATAIRE ≠ COMPLICE AUTOMATIQUEMENT.

Il faut établir :

CONNAISSANCE + AIDE INTENTIONNELLE.

La neuvième règle est :

COMPLICITÉ ≠ 323-4.

La complicité se rattache à l’infraction principale. 323-4 sanctionne une entente préparatoire matérialisée même avant sa consommation. La dixième règle est :

ACCÈS / FONCTIONNEMENT / DONNÉES SONT TROIS OBJETS JURIDIQUES DISTINCTS.

Une intrusion suivie d’une extraction et d’un sabotage peut donc appeler l’examen successif de :

323-1 + 323-3 + 323-2.

La onzième règle est :

LE DROIT D’ACCÈS N’ÉCARTE PAS AUTOMATIQUEMENT 323-3.

Une opération frauduleuse sur les données peut être caractérisée indépendamment de l’existence initiale d’une habilitation d’accès. La douzième règle est :

UNE CYBERATTAQUE PEUT AUSSI RELEVER DU DROIT COMMUN.

Il faut rechercher selon les faits :

extorsion ;
escroquerie ;
faux ;
vol ;
abus de confiance ;
recel ;
blanchiment ;
atteinte aux correspondances.

La treizième règle est :

RANSOMWARE ≠ QUALIFICATION PÉNALE UNIQUE.

Il faut décomposer :

accès → données → fonctionnement → demande de rançon → produit de l’infraction.

La quatorzième règle est nouvelle et importante en 2026 :

L’ARTICLE 323-3-2 POSSÈDE SON PROPRE RÉGIME DE TENTATIVE.

Son IV punit la tentative des infractions prévues à ses I, II et III des mêmes peines. La quinzième règle est donc :

323-7 ≠ TOUT LE CHAPITRE III.

323-7 vise :

323-1 À 323-3-1.

323-3-2 comporte son propre dispositif. Enfin, la méthode générale est :

RECONSTRUIRE LA CHRONOLOGIE → DISTINGUER PRÉPARATION / COMMENCEMENT D’EXÉCUTION / CONSOMMATION → IDENTIFIER LE RÔLE DE CHAQUE PARTICIPANT → CARACTÉRISER L’AIDE SCIENTE → DÉCOMPOSER ACCÈS / FONCTIONNEMENT / DONNÉES → RECHERCHER LES INFRACTIONS CONNEXES → APPLIQUER LES RÈGLES DE CONCOURS SANS CUMUL ARTIFICIEL.

CLXXXVIII. Plateformes en ligne facilitant des transactions manifestement illicites — article 323-3-2

L’article 323-3-2 du Code pénal constitue une extension récente et importante du chapitre consacré aux atteintes aux systèmes de traitement automatisé de données. Il ne réprime pas directement :

une intrusion ;
un sabotage ;
une extraction de données ;
ou la détention d’un malware.

Il vise certaines plateformes en ligne qui, dans des conditions légales très particulières, permettent sciemment des transactions portant sur des produits, contenus ou services manifestement illicites, ainsi que certains services d’intermédiation ou de séquestre destinés à mettre en œuvre, dissimuler ou faciliter ces transactions. Au 13 août 2026, l’article 323-3-2 est en vigueur dans sa rédaction issue de la loi n° 2025-532 du 13 juin 2025, applicable depuis le 15 juin 2025. Il comporte quatre parties :

I — RESPONSABILITÉ DE CERTAINS FOURNISSEURS DE PLATEFORMES

II — INTERMÉDIAIRES ET SERVICES DE SÉQUESTRE

III — BANDE ORGANISÉE

IV — TENTATIVE.

La peine de base est aujourd’hui :

7 ans d’emprisonnement et 500 000 € d’amende.

En bande organisée :

10 ans d’emprisonnement et 1 000 000 € d’amende.

La tentative est punie :

des mêmes peines.

La formule fondamentale est :

PLATEFORME SUR LAQUELLE UNE TRANSACTION ILLICITE A LIEU ≠ ARTICLE 323-3-2 AUTOMATIQUEMENT.

Le texte exige plusieurs conditions cumulatives concernant :

la qualité du fournisseur ;
le type de plateforme ;
son fonctionnement ou son défaut de conformité à certaines obligations ;
la connaissance de l’activité illicite ;
et le caractère manifestement illicite de l’objet de la transaction.

I. Une incrimination récente

L’article 323-3-2 a d’abord été introduit dans le droit positif dans le contexte de la loi du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique. Sa première version était applicable du 17 février 2024 au 15 juin 2025.

II. Première version du texte

Dans cette première rédaction, la peine de base était de :

5 ans d’emprisonnement et 150 000 € d’amende.

La bande organisée portait les peines à :

10 ans d’emprisonnement et 500 000 € d’amende.

III. Réforme du 13 juin 2025

La loi n° 2025-532 visant à sortir la France du piège du narcotrafic a modifié l’article 323-3-2.

IV. Depuis le 15 juin 2025

Le quantum de base est désormais :

7 ans + 500 000 €.

La bande organisée est désormais punie de :

10 ans + 1 000 000 €.

V. Autre modification importante de 2025

La rédaction actuelle ajoute également, parmi les conditions auxquelles renvoie le I, le non-respect de certaines obligations issues des articles 15, 16 et 18 du règlement (UE) 2022/2065, dit Digital Services Act — DSA.

VI. Première conclusion temporelle

Il faut donc absolument distinguer :

FAITS ENTRE LE 17 FÉVRIER 2024 ET LE 14 JUIN 2025

et :

FAITS À PARTIR DU 15 JUIN 2025.

VII. Non-rétroactivité de la loi plus sévère

Les peines aggravées de 2025 ne peuvent pas être appliquées rétroactivement à des faits définitivement consommés avant leur entrée en vigueur lorsque cette nouvelle loi est plus sévère.

VIII. Article particulièrement complexe

Contrairement à 323-1 ou 323-3, l’article 323-3-2 ne peut être compris correctement en lisant seulement le Code pénal. Il renvoie notamment :

à la LCEN du 21 juin 2004 ;
au règlement européen 2022/2065 — DSA.

IX. Première condition : être fournisseur d’une plateforme en ligne

Le I vise une personne :

dont l’activité consiste à fournir un service de plateforme en ligne mentionné au 4 du I de l’article 6 de la LCEN.

X. Définition par renvoi

Le 4 du I de l’article 6 de la LCEN définit la « plateforme en ligne » par renvoi à l’article 3, i), du règlement DSA.

XI. Notion européenne

Le DSA envisage essentiellement comme plateforme en ligne un service d’hébergement qui, à la demande d’un destinataire, stocke et diffuse au public des informations, sous réserve de l’exception relative aux fonctionnalités purement accessoires. Cette définition est reprise par renvoi dans le droit français.

XII. Il ne suffit donc pas d’être « un site internet »

Un simple site vitrine n’est pas automatiquement une plateforme en ligne au sens juridique du texte.

XIII. Exemple

Une entreprise publie uniquement :

son adresse ;
ses tarifs ;
ses horaires.

Elle ne constitue pas automatiquement une plateforme en ligne au sens visé par 323-3-2.

XIV. Marketplace

Une place de marché permettant à des utilisateurs :

de proposer ;
d’acheter ;
d’échanger

des produits constitue un cas beaucoup plus naturellement compatible avec la notion de plateforme.

XV. Réseau social

Un réseau social peut également être une plateforme en ligne au sens du DSA, selon les caractéristiques du service. Mais :

RÉSEAU SOCIAL ≠ ARTICLE 323-3-2 AUTOMATIQUEMENT.

XVI. Forum

Même prudence.

XVII. Service de petites annonces

Même analyse : il faut déterminer s’il entre juridiquement dans la définition de plateforme en ligne.

XVIII. Première erreur à éviter

« Tout intermédiaire numérique est une plateforme 323-3-2. »

Faux. La catégorie légale doit être caractérisée.

II. Une condition alternative concernant le fonctionnement de la plateforme

XIX. Le texte ne vise pas toutes les plateformes

Le I ajoute une condition supplémentaire. La plateforme doit notamment relever de l’une des situations décrites par le texte.

XX. Première branche : accès réservé aux utilisateurs de techniques d’anonymisation

Le texte vise la plateforme qui :

restreint l’accès au service aux personnes utilisant des techniques d’anonymisation des connexions.

XXI. Le terme « restreint » est important

Le texte ne dit pas simplement :

« plateforme accessible via Tor ».

Il vise une plateforme qui conditionne ou restreint son accès à l’utilisation de techniques d’anonymisation.

XXII. Site accessible normalement et également via Tor

Ce seul fait ne correspond pas nécessairement à la branche textuelle :

« restreint l’accès […] aux personnes utilisant »

une technique d’anonymisation.

XXIII. Service exclusivement accessible par réseau d’anonymisation

La situation se rapproche beaucoup plus directement du texte.

XXIV. Anonymisation ≠ criminalité

L’usage de :

Tor ;
VPN ;
proxy ;

n’est pas illégal par nature.

XXV. Le texte n’incrimine donc pas l’anonymisation elle-même

Il utilise le mode d’accès comme l’un des critères permettant de délimiter le champ de la nouvelle infraction.

XXVI. Deuxième branche : non-respect du V de l’article 6 de la LCEN

Le I vise également le fournisseur qui ne respecte pas les obligations mentionnées au V de l’article 6 de la LCEN.

XXVII. Importance du renvoi

Il faut donc vérifier, au jour des faits :

quelles obligations figurent au V ;
si elles sont applicables au fournisseur considéré ;
si elles ont réellement été méconnues.

XXVIII. Ne pas substituer une impression générale

Il ne suffit pas de dire :

« la plateforme était opaque ».

Il faut identifier précisément l’obligation légale méconnue.

XXIX. Troisième branche depuis 2025 : obligations DSA

Le texte actuel vise aussi la plateforme qui ne respecte pas les obligations mentionnées aux articles :

15 ;
16 ;
18

du règlement DSA.

XXX. Conséquence

Le droit pénal français renvoie ainsi directement à certaines obligations européennes de gouvernance et de traitement des contenus ou informations illicites.

XXXI. Il faut interpréter ces renvois strictement

On ne peut pas remplacer les articles 15, 16 et 18 par :

« toutes les obligations du DSA ».

XXXII. Toute violation du DSA ≠ 323-3-2

Le Code pénal vise spécifiquement les obligations citées.

XXXIII. Même violation de ces obligations ≠ condamnation automatique

Encore faut-il satisfaire aux autres éléments de 323-3-2.

III. Élément matériel central : permettre une cession

XXXIV. Le fournisseur doit permettre la cession

Le texte punit le fait :

de permettre sciemment la cession de certains produits, contenus ou services.

XXXV. Il ne suffit donc pas que quelque chose d’illicite soit « visible »

La notion centrale est ici la transaction ou la cession permise par la plateforme.

XXXVI. Exemple

Un utilisateur publie une photographie illicite. Cela ne suffit pas nécessairement à constituer l’infraction particulière de 323-3-2 si aucune opération de cession correspondant au texte n’est caractérisée.

XXXVII. Place de marché

A propose un produit. B l’acquiert. La plateforme :

met en relation ;
organise l’offre ;
facilite le paiement.

Le mécanisme de cession est beaucoup plus net.

XXXVIII. « Permettre »

Le fournisseur n’a pas nécessairement besoin :

d’être lui-même vendeur ;
de posséder lui-même les biens.

XXXIX. Il fournit l’environnement transactionnel

C’est ce rôle que le texte vise.

XL. Mais simple infrastructure technique générale ≠ nécessairement plateforme coupable

Il faut revenir :

au statut de la plateforme ;
aux conditions spéciales du I ;
à la connaissance.

IV. L’élément moral : « sciemment »

XLI. Le terme est expressément inscrit dans la loi

Le fournisseur doit :

permettre sciemment les opérations.

XLII. Connaissance indispensable

La simple présence d’une transaction illicite sur une plateforme comptant des millions d’utilisateurs ne suffit donc pas.

XLIII. Exemple

Une transaction frauduleuse est publiée puis supprimée avant même que le service n’en ait connaissance.

323-3-2 non automatique.

XLIV. Notification précise

La plateforme reçoit des informations très précises sur des transactions manifestement illicites. Elle maintient délibérément le dispositif en connaissance de cause.

situation beaucoup plus directement concernée.

XLV. Connaissance générale d’un risque

« Internet comporte des contenus illicites »

ne suffit évidemment pas.

XLVI. Connaissance de l’activité concrète

Il faut rechercher :

messages internes ;
signalements ;
fonctionnement commercial ;
modération ;
nature des offres ;
choix délibérés du fournisseur.

XLVII. « Sciemment » protège contre la responsabilité automatique

L’infraction n’est pas un régime de responsabilité objective.

XLVIII. Négligence seule

Une modération imparfaite ou lente ne suffit pas nécessairement à établir que le fournisseur permet sciemment la cession.

XLIX. Choix délibéré

Situation différente lorsque le modèle économique est expressément conçu autour de transactions dont l’illicéité manifeste est connue.

V. « Manifestement illicites »

L. Qualification fondamentale

Le texte actuel ne vise pas n’importe quelle transaction juridiquement discutable. Il vise des produits, contenus ou services dont :

la cession ;
l’offre ;
l’acquisition ;
ou la détention

sont manifestement illicites.

LI. « Illicite » ne suffit donc pas

Le législateur ajoute :

MANIFESTEMENT.

LII. Intérêt de cette exigence

Elle limite l’incrimination aux hypothèses dans lesquelles l’illicéité présente un caractère suffisamment évident.

LIII. Litige contractuel complexe

Un vendeur commercialise un produit. La validité d’une licence fait l’objet d’un débat juridique particulièrement complexe.

le caractère « manifestement illicite » ne peut pas être présumé.

LIV. Bien dont la détention est clairement prohibée

La condition peut être beaucoup plus facilement remplie, sous réserve évidemment de la réglementation applicable au bien en cause.

LV. Objet illicite par nature ou par régime

Il faut identifier :

QUEL TEXTE REND LA CESSION, L’OFFRE, L’ACQUISITION OU LA DÉTENTION ILLICITE ?

LVI. Le Code pénal ne crée pas ici l’illicéité de l’objet

323-3-2 suppose qu’un autre régime juridique permette d’établir le caractère illicite de la transaction.

LVII. Infraction de renvoi matériel

Il faut donc souvent raisonner en deux temps :

1. L’OBJET DE LA TRANSACTION EST-IL MANIFESTEMENT ILLICITE ?

puis :

2. LES CONDITIONS PROPRES À 323-3-2 SONT-ELLES RÉUNIES ?

LVIII. Produits

Le texte vise :

produits.

LIX. Contenus

Il vise également :

contenus.

LX. Services

Et enfin :

services.

LXI. Champ volontairement large

L’infraction n’est donc pas limitée aux marchandises matérielles.

LXII. Service criminel

Une offre de service peut elle-même être manifestement illicite.

LXIII. Contenu numérique

Même logique pour certains contenus dont :

l’offre ;
la cession ;
l’acquisition ;
ou la détention

sont prohibées.

LXIV. Il faut néanmoins une « cession »

La relation avec le mécanisme transactionnel du I reste centrale.

VI. Ne pas confondre objet douteux et objet manifestement illicite

LXV. Exemple commercial banal

Un vendeur est accusé d’avoir enfreint une clause de distribution exclusive. Le litige est complexe.

323-3-2 n’a pas vocation à devenir le droit pénal général des conflits commerciaux.

LXVI. Produit contrefaisant allégué

La contrefaçon peut être pénalement réprimée. Mais le caractère manifestement illicite doit être apprécié au regard des éléments disponibles.

LXVII. Une simple dénonciation privée n’établit pas automatiquement l’illicéité manifeste

Il faut confronter :

nature du produit ;
textes applicables ;
informations transmises ;
éventuelles contestations sérieuses.

LXVIII. Importance du principe de légalité

L’article 323-3-2 doit être interprété strictement.

VII. Le paragraphe II : intermédiaires et services de séquestre

LXIX. Deuxième infraction autonome

Le II sanctionne le fait de proposer :

par l’intermédiaire d’un fournisseur de plateformes en ligne

ou :

au soutien de transactions qu’elles permettent,

des prestations :

d’intermédiation ;
ou de séquestre

ayant pour objet unique ou principal de :

mettre en œuvre ;
dissimuler ;
ou faciliter

les opérations visées au I.

LXX. Ce paragraphe ne vise pas nécessairement le fournisseur principal

Il peut viser un acteur intervenant autour de la transaction.

LXXI. Exemple

Une personne propose un service consistant à recevoir les fonds de l’acheteur puis à ne les libérer au vendeur qu’après validation de l’opération. C’est un mécanisme de séquestre.

LXXII. Séquestre licite en soi

Les services d’escrow ou de séquestre sont parfaitement licites dans de nombreux contextes.

LXXIII. Ce qui compte ici

Le service doit avoir pour objet unique ou principal de :

mettre en œuvre, dissimuler ou faciliter

les opérations illicites visées.

LXXIV. « Unique ou principal »

Formule essentielle. Un prestataire généraliste ayant des millions de transactions licites ne devient pas automatiquement coupable parce qu’un utilisateur détourne ponctuellement son service.

LXXV. Service spécialisé

Situation différente lorsqu’un service est principalement conçu pour sécuriser ou dissimuler les transactions illicites de la plateforme.

LXXVI. Intermédiation

Peut notamment consister à organiser :

mise en relation ;
paiement ;
négociation ;
réalisation technique de l’échange.

LXXVII. Mais l’intermédiation doit répondre à la finalité du texte

Elle doit avoir pour objet principal ou unique de faciliter les opérations relevant du I.

LXXVIII. Prestataire de paiement généraliste

Il ne devient pas automatiquement pénalement responsable parce qu’une opération illicite transite par son infrastructure.

LXXIX. Prestataire spécialisé dans les transactions illicites

Analyse différente.

LXXX. Service de séquestre du darknet

Dans un marché illicite, le service peut :

recevoir les fonds ;
attendre la confirmation de l’acheteur ;
reverser au vendeur ;
prélever une commission.

Le II a précisément vocation à pouvoir appréhender ce type d’intermédiation lorsqu’il satisfait aux conditions légales.

VIII. Cryptomonnaies

LXXXI. Le texte n’exige pas la cryptomonnaie

Une transaction en euros peut théoriquement entrer dans le champ.

LXXXII. Cryptoactif ≠ illicéité

Le paiement en :

bitcoin ;
stablecoin ;
autre cryptoactif

n’est pas en lui-même criminel.

LXXXIII. En revanche

Un système de séquestre en cryptoactifs exclusivement destiné à faciliter les transactions manifestement illicites peut être concerné par le II.

LXXXIV. Mixer ou service de dissimulation

La qualification dépendra :

du service exact ;
de son objet principal ;
des opérations facilitées.

Il ne faut pas déduire automatiquement 323-3-2 du seul emploi d’un mécanisme de confidentialité financière.

IX. Peines du I et du II

LXXXV. Même peine

Le II renvoie aux peines du I :

7 ans d’emprisonnement et 500 000 € d’amende.

LXXXVI. Peines particulièrement élevées

Le quantum dépasse celui de nombreuses infractions informatiques classiques simples du chapitre 323.

LXXXVII. Délit correctionnel

Malgré les sept années d’emprisonnement :

il s’agit d’un délit.

X. Bande organisée

LXXXVIII. Le III prévoit une aggravation propre

Les infractions des I et II, lorsqu’elles sont commises en bande organisée, sont punies de :

10 ans d’emprisonnement et 1 000 000 € d’amende.

LXXXIX. Article 323-3-2 a donc son propre régime de bande organisée

C’est un point important.

XC. Ne pas utiliser mécaniquement 323-4-1

L’article 323-4-1 vise textuellement les infractions :

323-1 à 323-3-1.

Il ne couvre donc pas 323-3-2. L’article 323-3-2 contient lui-même son aggravation de bande organisée.

XCI. Tableau

Infraction	Bande organisée
323-1 à 323-3-1	Article 323-4-1
323-3-2	Article 323-3-2 III

XCII. Peines différentes

Pour 323-1 à 323-3-1 :

10 ans + 300 000 €.

Pour 323-3-2 :

10 ans + 1 000 000 €.

XCIII. Pourquoi cette différence importe

Le législateur a prévu un régime spécialement sévère pour les infrastructures transactionnelles illicites organisées.

XCIV. Définition de la bande organisée

Elle reste gouvernée par la définition générale déjà étudiée :

groupement ou entente ;
préparation ;
faits matériels ;
et, selon la jurisprudence, organisation structurée.

XCV. Simple pluralité d’administrateurs

Ne suffit pas automatiquement.

XCVI. Marketplace structurée

Exemple :

administrateur ;
modérateur ;
développeur ;
intermédiaire financier ;
séquestre ;
gestionnaire des vendeurs.

Une telle organisation peut fournir de puissants indices de structuration.

XCVII. Mais les rôles doivent être individualisés

Un simple utilisateur n’est pas automatiquement membre de la bande organisée exploitant la plateforme.

XI. Tentative

XCVIII. Le IV du texte est explicite

La tentative des infractions prévues aux I, II et III est punie des mêmes peines.

XCIX. Régime autonome

La tentative de 323-3-2 ne dépend pas de l’article 323-7.

C. Pourquoi ?

Parce que l’article 323-7 ne vise que :

323-1 à 323-3-1.

CI. Exemple de tentative

Une plateforme est techniquement préparée pour permettre les opérations visées. Les premiers vendeurs sont inscrits. Mais les transactions sont empêchées par l’intervention judiciaire avant leur réalisation. Il faut examiner :

commencement d’exécution ;
intention ;
circonstance extérieure.

CII. Simple conception du site

Ne suffit pas nécessairement à une tentative. Cela peut rester :

préparation.

CIII. Mise en ligne opérationnelle

La frontière avec le commencement d’exécution devient beaucoup plus proche.

CIV. Tentative du service de séquestre

Un intermédiaire commence à mettre en place une transaction déterminée, mais l’opération est bloquée.

tentative possible si les critères de droit commun sont réunis.

XII. 323-3-2 et complicité

CV. Pourquoi le texte était-il utile ?

Avant une incrimination autonome, certains comportements d’intermédiaires pouvaient être appréhendés notamment par les règles de complicité, à condition d’en démontrer tous les éléments. 323-3-2 incrimine désormais directement certains rôles spécifiques.

CVI. Mais la complicité ne disparaît pas

Une personne peut encore être complice :

de l’infraction du fournisseur ;
de l’infraction du vendeur ;
d’une autre infraction principale,

selon son comportement.

CVII. Exemple

A administre la plateforme. B sait exactement comment elle fonctionne et lui fournit volontairement une infrastructure destinée à empêcher les saisies. Selon les faits :

complicité ;
bande organisée ;
infraction autonome

peuvent être examinées.

CVIII. Ne pas cumuler mécaniquement

Comme toujours, les règles de concours doivent être appliquées.

XIII. 323-3-2 ≠ 323-3-1

CIX. 323-3-1

Objet :

outils conçus ou spécialement adaptés pour commettre des atteintes aux STAD.

CX. 323-3-2

Objet :

plateforme facilitant sciemment certaines transactions manifestement illicites.

CXI. Exemple

Malware vendu sur une marketplace. Plusieurs niveaux peuvent coexister :

vendeur du malware : 323-3-1 possible ;
plateforme : 323-3-2 possible ;
intermédiaire de séquestre : 323-3-2 II possible.

CXII. Mais il faut caractériser séparément chaque infraction

Le seul fait qu’un malware soit proposé ne rend pas automatiquement la plateforme coupable.

XIV. 323-3-2 ≠ recel

CXIII. Recel

Le recel suppose ses propres éléments concernant une chose provenant d’un crime ou d’un délit ou le produit d’une infraction.

CXIV. 323-3-2

Il vise un rôle de plateforme ou d’intermédiation déterminé.

CXV. Une plateforme n’est donc pas automatiquement un receleur

Les qualifications doivent être distinguées.

XV. 323-3-2 ≠ blanchiment

CXVI. Séquestre ou intermédiaire financier

Peut éventuellement aussi accomplir des actes de blanchiment si les conditions du blanchiment sont réunies.

CXVII. Mais le II a son autonomie

Il vise spécifiquement une prestation dont l’objet principal ou unique est :

mettre en œuvre ;
dissimuler ;
faciliter

les opérations du I.

XVI. 323-3-2 et DSA

CXVIII. L’article pénal utilise désormais le droit européen comme critère de champ

La version applicable depuis juin 2025 renvoie aux articles :

15 ;
16 ;
18

du DSA.

CXIX. Article 15

Il relève notamment du dispositif de transparence imposé à certaines catégories de fournisseurs de services intermédiaires. La LCEN organise en France le contrôle de plusieurs obligations issues du DSA.

CXX. Article 16

Il concerne le mécanisme permettant de notifier des informations considérées comme illicites dans le cadre du régime européen.

CXXI. Article 18

Il s’inscrit dans le régime de coopération et de signalement de certaines suspicions d’infractions pénales.

CXXII. Prudence

Le présent chapitre n’a pas pour objet de transformer les trois articles européens en un traité du DSA. Ce qui compte ici est que :

leur non-respect constitue désormais l’une des portes d’entrée possibles du I de 323-3-2.

CXXIII. Le renvoi est cumulatif avec les autres éléments

Même si une obligation DSA est méconnue : il faut encore caractériser :

plateforme ;
cession ;
caractère manifestement illicite ;
connaissance.

XVII. Signalements et connaissance

CXXIV. Signalement formel

Un signalement peut constituer un élément important de preuve de la connaissance.

CXXV. Mais signalement ≠ culpabilité immédiate

Une dénonciation peut être :

erronée ;
abusive ;
juridiquement contestable.

CXXVI. Il faut apprécier sa précision

Un signalement indiquant :

vendeur ;
produit ;
texte applicable ;
preuves ;

est très différent d’un message :

« votre site est louche ».

CXXVII. Multiplication des signalements

Des centaines de signalements précis ignorés peuvent renforcer la démonstration de la connaissance.

CXXVIII. Modération interne

Les messages internes peuvent montrer :

« nous savons que ces vendeurs commercialisent exclusivement des produits interdits mais nous les laissons car ils génèrent 80 % du chiffre d’affaires ».

Une telle preuve serait particulièrement forte.

CXXIX. À l’inverse

« ce vendeur a été suspendu dès la vérification du signalement ».

La situation est différente.

XVIII. Modèle économique

CXXX. Commission sur les ventes

La plateforme prélève :

5 %.

La rémunération ne suffit pas à elle seule.

CXXXI. Mais elle peut participer au faisceau de preuves

Surtout si la majorité du chiffre d’affaires provient de transactions manifestement illicites connues.

CXXXII. Gratuité

Une plateforme gratuite peut également relever du texte. Le I ne conditionne pas l’infraction à la perception d’une commission.

CXXXIII. Motivation idéologique

Même logique. L’absence de profit n’est pas une immunité.

XIX. Darknet

CXXXIV. L’article pense manifestement à certaines infrastructures anonymisées

Mais il serait juridiquement excessif d’écrire :

« DARKNET = 323-3-2 ».

CXXXV. Darknet technique

Un service peut être accessible par un réseau anonymisant pour :

protection de journalistes ;
dissidents ;
lanceurs d’alerte.

CXXXVI. Ce seul mode d’accès n’est pas suffisant

Il faut encore :

permettre sciemment des cessions manifestement illicites.

CXXXVII. Marketplace criminelle

Si le service est :

réservé à Tor ;
organisé autour de cessions manifestement illicites ;
administré en connaissance de cause ;

le rapprochement avec 323-3-2 est beaucoup plus évident.

XX. Plateformes ordinaires

CXXXVIII. Grande marketplace légitime

Un vendeur illicite parvient ponctuellement à contourner les contrôles.

323-3-2 non automatique.

CXXXIX. Pourquoi ?

Parce qu’il faut notamment établir :

la condition alternative relative au fonctionnement ou au non-respect des obligations ;
et la connaissance de l’opération illicite.

CXL. Réseau social généraliste

Même logique.

CXLI. Service de messagerie

Il ne devient pas une marketplace criminelle parce que deux utilisateurs s’échangent des messages relatifs à une transaction. Il faut d’abord vérifier que le service répond juridiquement à la notion de plateforme visée et aux autres conditions.

XXI. L’infraction n’exige pas nécessairement une atteinte au STAD

CXLII. Particularité structurelle

323-3-2 est inséré dans le chapitre :

Des atteintes aux systèmes de traitement automatisé de données.

Pourtant son fait matériel n’est pas construit comme :

accès frauduleux ;
sabotage ;
atteinte aux données.

CXLIII. C’est une incrimination d’environnement numérique

Elle vise la mise à disposition consciente d’une infrastructure transactionnelle criminelle répondant aux conditions légales.

CXLIV. Ne pas lui ajouter une condition absente

Il serait erroné d’exiger automatiquement :

« une intrusion dans un STAD »

pour appliquer 323-3-2.

XXII. Personnes visées

CXLV. Fournisseur de plateforme

Le I vise directement le fournisseur du service.

CXLVI. Personne physique ou morale

La formulation vise une « personne » dont l’activité consiste à fournir le service. Les règles générales relatives aux personnes morales doivent être articulées avec l’article 323-6 lorsque son champ est applicable au chapitre.

CXLVII. Administrateur technique

Il n’est pas automatiquement le fournisseur juridiquement responsable.

CXLVIII. Il faut identifier l’exploitant réel

Questions :

qui décide des règles ?
qui contrôle le service ?
qui perçoit les commissions ?
qui administre juridiquement l’infrastructure ?

CXLIX. Personne de façade

Un prête-nom peut figurer comme propriétaire du domaine. Cela ne suffit pas à lui attribuer automatiquement l’exploitation consciente.

CL. Bénéficiaire réel

À l’inverse, les enquêteurs peuvent devoir reconstruire l’organisation au-delà des apparences.

XXIII. Responsabilité des personnes morales

CLI. Société exploitante

Si une société fournit la plateforme dans les conditions pénalement prohibées :

sa responsabilité pénale peut être recherchée selon les règles du chapitre et de l’article 121-2.

CLII. Il faut identifier l’organe ou représentant

Comme étudié au chapitre précédent.

CLIII. Employé modérateur

Un modérateur isolé ne rend pas automatiquement la société responsable.

CLIV. Politique décidée par la direction

Situation différente si les dirigeants organisent sciemment le modèle transactionnel illicite.

XXIV. Bande organisée : acteurs périphériques

CLV. Administrateur

Peut appartenir à la structure.

CLVI. Développeur

Même chose.

CLVII. Modérateur

Même chose selon son rôle.

CLVIII. Service de séquestre

Peut constituer une fonction centrale.

CLIX. Vendeur

N’est pas automatiquement membre de la bande qui exploite la plateforme.

CLX. Acheteur

Encore moins automatiquement.

CLXI. Utilisateur occasionnel

La simple utilisation d’une plateforme criminelle ne suffit pas à intégrer la bande organisée qui l’exploite.

XXV. Preuve technique

CLXII. Serveurs

Permettent d’identifier :

administration ;
journaux ;
infrastructure.

CLXIII. Base de données

Peut révéler :

vendeurs ;
commandes ;
comptes ;
commissions.

CLXIV. Code source

Peut montrer que le système a été conçu autour :

du séquestre ;
de l’anonymisation ;
de la suppression des traces.

CLXV. Mais code orienté confidentialité ≠ criminalité

Le caractère criminel dépend de l’usage et des autres éléments.

CLXVI. Logs

Peuvent démontrer :

intervention des administrateurs ;
connaissance des annonces ;
maintien volontaire des vendeurs.

CLXVII. Messages internes

Souvent décisifs.

CLXVIII. Portefeuilles de paiement

Peuvent permettre :

calcul des commissions ;
reconstruction des flux.

CLXIX. Comptabilité clandestine

Peut révéler la structure économique du service.

CLXX. Copies de sauvegarde

Peuvent permettre de reconstituer des annonces supprimées.

XXVI. Preuve du caractère manifestement illicite

CLXXI. Première étape

Identifier l’objet exact.

CLXXII. Deuxième étape

Identifier le texte qui en prohibe :

cession ;
offre ;
acquisition ;
détention.

CLXXIII. Troisième étape

Établir pourquoi cette illicéité était :

manifeste

pour le fournisseur.

CLXXIV. Quatrième étape

Établir qu’il permettait néanmoins :

sciemment

la cession.

XXVII. Exemple complet : plateforme criminelle anonymisée

A exploite une marketplace accessible exclusivement via un réseau anonymisant. La plateforme :

met en relation vendeurs et acheteurs ;
perçoit une commission ;
permet des cessions de produits dont l’offre et la détention sont manifestement prohibées ;
les administrateurs connaissent parfaitement la nature des transactions.

323-3-2 I à examiner directement.

XXVIII. Exemple complet : marketplace licite infiltrée par un vendeur

Une grande plateforme généraliste découvre qu’un vendeur a mis en ligne pendant quelques minutes un produit interdit. Elle supprime immédiatement l’annonce.

323-3-2 non automatique.

XXIX. Exemple complet : signalements ignorés

La plateforme reçoit pendant plusieurs semaines :

signalements documentés ;
preuves ;
listes d’annonces.

La direction décide expressément de ne rien retirer afin de conserver les commissions. Si les autres conditions du I sont réunies :

323-3-2 devient beaucoup plus plausible.

XXX. Exemple complet : transaction juridiquement contestée

Un titulaire de marque soutient qu’un produit est une contrefaçon. Le vendeur apporte :

licence ;
contrat ;
contestation sérieuse.

Il est impossible de conclure immédiatement à l’illicéité.

le terme manifestement doit être pris au sérieux.

XXXI. Exemple complet : service de séquestre

B n’exploite pas la marketplace. Il fournit uniquement le système financier qui :

bloque le paiement ;
vérifie la livraison ;
reverse les fonds ;
prélève 3 %.

Le service est spécialement conçu pour les transactions manifestement illicites de la plateforme.

323-3-2 II possible.

XXXII. Exemple inverse : banque généraliste

Une transaction illicite passe par un compte bancaire ordinaire à l’insu de l’établissement.

323-3-2 II non automatique.

XXXIII. Exemple : prestataire de paiement informé

Le prestataire découvre précisément la nature des transactions. Mais il fournit un service généraliste dont l’objet principal reste licite. La condition :

objet unique ou principal

du II doit être vérifiée avant toute qualification.

XXXIV. Exemple : bande organisée

Six personnes gèrent :

infrastructure ;
vendeurs ;
sécurité ;
séquestre ;
support ;
blanchiment.

La plateforme est conçue pour des transactions manifestement illicites. Si la bande organisée est juridiquement caractérisée :

10 ans + 1 000 000 €.

XXXV. Exemple : simple coadministration

Deux amis gèrent un forum ponctuellement. Aucune structure particulière.

bande organisée non automatique.

XXXVI. Exemple : tentative

Les administrateurs ouvrent la marketplace et commencent à enregistrer les premiers vendeurs. La police saisit les serveurs avant toute transaction. Selon le degré d’exécution :

tentative de 323-3-2 possible, puisque le IV la prévoit expressément.

XXXVII. Exemple : projet seulement théorique

Des personnes dessinent une maquette de marketplace mais ne mettent rien en ligne.

tentative non automatique.

Il faut caractériser le commencement d’exécution.

XXXVIII. Articulation avec le narcotrafic

CLXXV. Réforme 2025

La modification de 323-3-2 a été introduite par la loi visant à sortir la France du piège du narcotrafic.

CLXXVI. Mais le champ de 323-3-2 n’est pas limité aux stupéfiants

Le texte actuel parle de :

produits, contenus ou services

manifestement illicites.

CLXXVII. Donc

Il serait faux d’écrire :

« 323-3-2 = uniquement marchés de drogue en ligne ».

CLXXVIII. Narcotrafic = contexte législatif

Pas limite générale du texte.

XXXIX. Evolution des peines

CLXXIX. Tableau

Période	Forme simple	Bande organisée
17 févr. 2024 – 14 juin 2025	5 ans / 150 000 €	10 ans / 500 000 €
Depuis 15 juin 2025	7 ans / 500 000 €	10 ans / 1 000 000 €

CLXXX. Modification substantielle

La hausse de l’amende est particulièrement importante.

CLXXXI. Personne morale

Lorsque la responsabilité de la personne morale est applicable, le régime général de l’amende doit être articulé avec les règles étudiées au chapitre précédent.

XL. Jurisprudence au 13 août 2026

CLXXXII. Texte très récent

Au 13 août 2026, 323-3-2 n’est en vigueur que depuis 2024 et sa rédaction actuelle depuis juin 2025.

CLXXXIII. Prudence jurisprudentielle

Les recherches officielles ne font pas apparaître, à cette date, une jurisprudence publiée de la chambre criminelle de la Cour de cassation fixant déjà de manière générale les principaux critères propres à l’article 323-3-2.

CLXXXIV. Conséquence

Les affirmations telles que :

« la Cour de cassation considère qu’un taux de 20 % d’annonces illicites suffit »

ou :

« trois signalements valent connaissance »

seraient infondées à ce stade.

CLXXXV. Le texte doit rester le point de départ

En particulier :

« sciemment » ;
« manifestement illicites » ;
« objet unique ou principal » ;
conditions alternatives relatives à la plateforme.

XLI. Comparaison avec les hébergeurs classiques

CLXXXVI. Régime différent

Le droit de la responsabilité des hébergeurs et le DSA disposent de leurs mécanismes propres. 323-3-2 est une :

INCRIMINATION PÉNALE SPÉCIALE.

CLXXXVII. Ne pas importer mécaniquement toutes les règles civiles

Une règle de responsabilité civile ou de modération n’est pas automatiquement un élément constitutif pénal.

CLXXXVIII. Mais les renvois législatifs comptent

Le Code pénal renvoie explicitement :

à la LCEN ;
aux articles 15, 16 et 18 DSA.

Ces renvois doivent être appliqués exactement.

XLII. Distinction : absence de modération / participation consciente

CLXXXIX. Absence de modération

Une plateforme mal administrée peut laisser passer des offres interdites.

CXC. Participation consciente

323-3-2 exige davantage :

permettre sciemment la cession.

CXCI. Faute d’organisation

Peut relever d’autres régimes.

CXCII. Intention pénale

Doit être démontrée pour 323-3-2.

XLIII. Distinction : anonymat et connaissance

CXCIII. Paradoxe apparent

Une plateforme peut organiser l’anonymisation de ses utilisateurs. Mais cela ne signifie pas que ses propres administrateurs ignorent la nature générale de l’activité.

CXCIV. Exemple

Les vendeurs utilisent des pseudonymes. Mais les catégories du site sont explicitement organisées autour d’objets manifestement interdits.

la connaissance peut être établie autrement.

CXCV. Inversement

L’utilisation d’un réseau anonymisant ne prouve pas à elle seule que l’administrateur connaît chaque transaction.

XLIV. Qualification de l’administrateur

CXCVI. Auteur direct

Celui qui exploite personnellement la plateforme et satisfait aux conditions du I peut être auteur.

CXCVII. Coauteur

Plusieurs exploitants peuvent éventuellement être coauteurs.

CXCVIII. Complice

Un technicien extérieur peut être complice s’il facilite sciemment le délit dans les conditions du droit commun.

CXCIX. Participant au séquestre

Peut relever directement du II.

CC. Donc : toujours qualifier le rôle exact

ADMINISTRATION

INTERMÉDIATION

SÉQUESTRE

AIDE TECHNIQUE

ne sont pas juridiquement synonymes.

XLV. Checklist du paragraphe I

CCI. Question 1

La personne fournit-elle juridiquement une plateforme en ligne au sens du 4 du I de l’article 6 de la LCEN ?

CCII. Question 2

La plateforme :

restreint-elle son accès aux utilisateurs de techniques d’anonymisation ?

ou :

méconnaît-elle les obligations du V de l’article 6 LCEN ?

ou :

méconnaît-elle les obligations des articles 15, 16 ou 18 DSA ?

CCIII. Question 3

La plateforme permet-elle une :

cession ?

CCIV. Question 4

Cette cession porte-t-elle sur :

produit ;
contenu ;
service ?

CCV. Question 5

La cession, l’offre, l’acquisition ou la détention de cet objet est-elle :

manifestement illicite ?

CCVI. Question 6

Le fournisseur le permet-il :

sciemment ?

CCVII. Si une condition manque

323-3-2 I ne doit pas être retenu mécaniquement.

XLVI. Checklist du paragraphe II

CCVIII. Quel service est proposé ?

intermédiation ?
séquestre ?

CCIX. Où ?

par l’intermédiaire de la plateforme ?
au soutien de ses transactions ?

CCX. Quelle finalité ?

Le service a-t-il pour objet :

unique ;
ou principal

de :

mettre en œuvre ;
dissimuler ;
faciliter

les opérations du I ?

CCXI. Service généraliste ?

Si oui :

prudence.

CCXII. Service spécifiquement criminel ?

qualification beaucoup plus plausible.

XLVII. Checklist de connaissance

CCXIII. Rechercher

signalements ;
messages internes ;
consignes de modération ;
catégories du site ;
commissions ;
historique des vendeurs ;
refus de suppression.

CCXIV. Questions

Qui savait ?
Quoi ?
Depuis quand ?
Quelle transaction ?
Quelle illicéité ?
Quelle action après connaissance ?

XLVIII. Checklist de l’illicéité manifeste

CCXV. Identifier

objet ;
texte de prohibition ;
nature de la prohibition ;
absence ou existence d’une contestation sérieuse.

CCXVI. Ne jamais remplacer

« manifestement illicite »

par :

« suspect ».

XLIX. Checklist bande organisée

CCXVII. Rechercher

organisation structurée ;
répartition des tâches ;
préparation ;
infrastructure ;
administration ;
séquestre ;
commissions.

CCXVIII. Simple marketplace avec plusieurs modérateurs

Pas automatiquement.

CCXIX. Organisation criminelle structurée

Beaucoup plus directement concernée.

L. Checklist tentative

CCXX. Identifier

infraction visée ;
commencement d’exécution ;
interruption ;
cause indépendante ;
éventuel désistement volontaire.

CCXXI. Article spécial

La tentative est punie des mêmes peines par le IV.

LI. Erreurs fréquentes

CCXXII. Erreur n° 1 : toute plateforme contenant un produit interdit relève de 323-3-2

Faux. Le texte exige plusieurs conditions cumulatives.

CCXXIII. Erreur n° 2 : tout site internet est une plateforme en ligne

Faux. La LCEN renvoie à la définition du DSA.

CCXXIV. Erreur n° 3 : toute plateforme accessible via Tor est coupable

Faux. Le texte exige notamment une cession sciemment permise portant sur un objet manifestement illicite.

CCXXV. Erreur n° 4 : utiliser un VPN est illicite

Faux. 323-3-2 n’interdit pas les techniques d’anonymisation en elles-mêmes.

CCXXVI. Erreur n° 5 : toute violation du DSA constitue 323-3-2

Faux. Le texte vise certains articles et impose en outre ses autres éléments constitutifs.

CCXXVII. Erreur n° 6 : toute violation des articles 15, 16 ou 18 DSA suffit

Faux. Il faut encore :

la plateforme visée ;
l’opération ;
l’illicéité manifeste ;
la connaissance.

CCXXVIII. Erreur n° 7 : une transaction seulement juridiquement contestable est « manifestement illicite »

Faux automatiquement. Le mot « manifestement » doit conserver son sens restrictif.

CCXXIX. Erreur n° 8 : une simple notification établit définitivement l’illicéité

Faux. Elle est un élément de connaissance à apprécier.

CCXXX. Erreur n° 9 : le fournisseur doit être lui-même vendeur

Faux. Le texte vise le fait de permettre la cession.

CCXXXI. Erreur n° 10 : la plateforme doit obligatoirement toucher une commission

Faux. Aucune rémunération n’est expressément exigée par le I.

CCXXXII. Erreur n° 11 : seul un produit matériel peut être concerné

Faux. Le texte vise :

produits ;
contenus ;
services.

CCXXXIII. Erreur n° 12 : tout intermédiaire financier relève du II

Faux. Son service doit avoir pour objet unique ou principal de mettre en œuvre, dissimuler ou faciliter les opérations visées.

CCXXXIV. Erreur n° 13 : toute banque dont un client paie un produit interdit est coupable

Faux.

CCXXXV. Erreur n° 14 : un escrow est illicite par nature

Faux. Le séquestre est un mécanisme licite dans de nombreux domaines.

CCXXXVI. Erreur n° 15 : 323-4-1 aggrave 323-3-2

Faux. 323-3-2 comporte son propre III de bande organisée.

CCXXXVII. Erreur n° 16 : bande organisée 323-3-2 = 300 000 €

Faux. Depuis le 15 juin 2025 :

1 000 000 € d’amende.

CCXXXVIII. Erreur n° 17 : la forme simple est punie de cinq ans en 2026

Faux. Depuis le 15 juin 2025 :

7 ans + 500 000 €.

CCXXXIX. Erreur n° 18 : la tentative n’est pas punissable

Faux. Le IV la punit des mêmes peines.

CCXL. Erreur n° 19 : la tentative dépend de 323-7

Faux. 323-3-2 possède son propre IV.

CCXLI. Erreur n° 20 : l’article existait déjà avant 2024

Faux. Sa première version est entrée dans le droit positif en 2024.

CCXLII. Erreur n° 21 : la version actuelle existe depuis février 2024

Faux. La version actuelle est en vigueur depuis le 15 juin 2025.

CCXLIII. Erreur n° 22 : la réforme de 2025 ne change que les peines

Faux. Elle a également intégré le renvoi aux obligations des articles 15, 16 et 18 du DSA.

CCXLIV. Erreur n° 23 : 323-3-2 vise uniquement les stupéfiants

Faux. La formulation est générale.

CCXLV. Erreur n° 24 : il faut nécessairement une intrusion informatique préalable

Faux. 323-3-2 possède un fait matériel autonome.

CCXLVI. Erreur n° 25 : hébergement d’un contenu illicite = 323-3-2 automatiquement

Faux. Le texte vise notamment une cession permise sciemment dans les conditions particulières qu’il prévoit.

CCXLVII. Erreur n° 26 : modération insuffisante = connaissance pénale automatique

Faux. Il faut démontrer le « sciemment ».

CCXLVIII. Erreur n° 27 : cryptoactif = transaction criminelle

Faux.

CCXLIX. Erreur n° 28 : Tor = preuve suffisante de connaissance

Faux.

CCL. Erreur n° 29 : tous les vendeurs sont membres de la bande organisée des administrateurs

Faux. L’appartenance doit être individualisée.

CCLI. Erreur n° 30 : tous les utilisateurs d’une marketplace illicite commettent 323-3-2

Faux. Le texte vise des rôles spécifiques de fournisseur, d’intermédiaire ou de séquestre ; les vendeurs et acheteurs peuvent relever d’autres infractions selon leurs propres actes.

LII. Tableau de synthèse du I

Élément	Condition
Auteur	Fournisseur d’une plateforme en ligne visée
Condition relative au service	Anonymisation obligatoire ou manquement LCEN/DSA visé
Acte	Permettre la cession
Objet	Produit, contenu ou service
Illicéité	Manifestement illicite
Élément moral	Sciemment
Peine	7 ans + 500 000 €

LIII. Tableau de synthèse du II

Élément	Condition
Activité	Intermédiation ou séquestre
Support	Plateforme ou transactions qu’elle permet
Finalité	Mettre en œuvre, dissimuler ou faciliter
Importance de la finalité	Objet unique ou principal
Opérations	Celles du I
Peine	7 ans + 500 000 €

LIV. Tableau des aggravations

Forme	Peine
I ou II simple	7 ans + 500 000 €
I ou II en bande organisée	10 ans + 1 000 000 €
Tentative	Mêmes peines que la forme correspondante

LV. Tableau temporel

Date des faits	Version
Avant 17 février 2024	323-3-2 non encore applicable
17 février 2024 – 14 juin 2025	ancienne version
Depuis 15 juin 2025	version actuelle

LVI. Exemple méthodologique complet

Une enquête découvre une plateforme. Il ne faut pas commencer par :

« C’EST UN DARKNET, DONC 323-3-2. »

Il faut procéder dans cet ordre.

CCLII. Étape 1

Est-ce juridiquement une plateforme en ligne ?

CCLIII. Étape 2

L’une des conditions alternatives relatives à l’anonymisation ou aux manquements LCEN/DSA est-elle caractérisée ?

CCLIV. Étape 3

La plateforme permet-elle réellement des cessions ?

CCLV. Étape 4

Que vend-on ?

CCLVI. Étape 5

Quelle disposition rend cette offre, acquisition, cession ou détention illicite ?

CCLVII. Étape 6

Cette illicéité est-elle manifeste ?

CCLVIII. Étape 7

Le fournisseur le savait-il ?

CCLIX. Étape 8

L’a-t-il néanmoins permis ?

CCLX. Étape 9

Existe-t-il un séquestre ou un intermédiaire spécialisé ?

CCLXI. Étape 10

Bande organisée ?

CCLXII. Étape 11

Infraction consommée ou tentative ?

LVII. Cas pratique : marketplace anonymisée

Une marketplace n’est accessible que par un réseau d’anonymisation. Elle permet à des vendeurs de proposer des services dont l’exécution est manifestement illicite. Les administrateurs :

valident les vendeurs ;
perçoivent des commissions ;
savent précisément ce qui est proposé.

323-3-2 I très directement à examiner.

LVIII. Cas pratique : marketplace classique

Une plateforme licite dispose :

d’un service de signalement ;
d’un contrôle ;
d’une modération.

Un vendeur parvient pendant deux heures à proposer un objet interdit. L’annonce est retirée dès le signalement.

323-3-2 ne résulte pas automatiquement des seuls faits.

LIX. Cas pratique : plateforme volontairement permissive

La direction reçoit des centaines de signalements précis. Elle ordonne aux modérateurs :

« ne retirez rien ; ces ventes représentent notre activité principale ».

Si les autres conditions légales sont remplies :

le « sciemment » devient fortement caractérisable.

LX. Cas pratique : intermédiaire escrow

Un tiers gère exclusivement le service de séquestre d’une marketplace criminelle. Il connaît les produits concernés. Il reçoit :

argent ;
validation ;
commission.

323-3-2 II possible.

LXI. Cas pratique : prestataire d’hébergement

Une société héberge techniquement le serveur. Elle ignore totalement la nature du service.

323-3-2 non automatique.

LXII. Même hébergeur intégré au projet

Le dirigeant connaît la plateforme. Il fournit :

serveurs sans journalisation ;
rotations d’IP ;
réinstallation après saisies ;

dans le cadre d’un accord avec les administrateurs.

complicité ou participation organisée à examiner selon les faits.

LXIII. Cas pratique : avocat ou tiers séquestre licite

Un professionnel intervient dans une opération commerciale légitime. Il utilise un compte séquestre classique.

aucun rapport avec 323-3-2 sur ce seul fait.

LXIV. Cas pratique : transaction ambiguë

Le caractère illicite dépend d’une question très technique de propriété intellectuelle non tranchée.

prudence maximale quant au terme manifestement.

LXV. Cas pratique : offre explicitement prohibée

L’annonce elle-même explique que le produit est interdit à la vente et propose des moyens de contourner les contrôles.

preuve beaucoup plus forte de l’illicéité manifeste et de la connaissance.

LXVI. Cas pratique : plateforme de services criminels

Le site ne vend aucun objet matériel. Il propose uniquement :

intrusion ;
sabotage ;
exfiltration

comme prestations. Le terme services de 323-3-2 permet en principe d’envisager ce type d’objet transactionnel si toutes les autres conditions sont réunies.

LXVII. Cas pratique : malware marketplace

La plateforme permet la vente de malwares spécialement conçus pour attaquer des STAD. Peuvent être examinés :

323-3-1 pour les vendeurs ou diffuseurs concernés

et :

323-3-2 pour la plateforme, selon les conditions propres à chaque texte.

LXVIII. Cas pratique : données volées

Une marketplace permet la cession de bases de données obtenues par intrusion. Il faut notamment examiner :

323-3 pour les auteurs de l’extraction, de la détention ou de la transmission ;
323-3-2 pour le rôle de la plateforme.

LXIX. Cas pratique : plateforme saisie avant ouverture

Tout est configuré mais le site n’est jamais rendu accessible et aucune transaction n’a commencé.

préparation seule ou tentative ?

La réponse dépendra du commencement d’exécution. Le IV autorise la poursuite de la tentative mais ne supprime pas l’exigence générale d’un commencement d’exécution.

LXX. À retenir

La première règle est :

ARTICLE 323-3-2 = INCRIMINATION SPÉCIALE DE CERTAINES PLATEFORMES PERMETTANT SCIEMMENT DES TRANSACTIONS MANIFESTEMENT ILLICITES.

La deuxième règle est :

TOUTE PLATEFORME AYANT UN CONTENU ILLICITE N’EST PAS CONCERNÉE AUTOMATIQUEMENT.

Le I exige une plateforme répondant à la définition légale ainsi qu’aux conditions spéciales relatives :

à l’anonymisation ;
ou au non-respect de certaines obligations LCEN ou DSA.

La troisième règle est :

LE FOURNISSEUR DOIT PERMETTRE SCIEMMENT LA CESSION.

Le terme :

SCIEMMENT

interdit une responsabilité purement automatique du fait des utilisateurs. La quatrième règle est :

L’OBJET DOIT ÊTRE MANIFESTEMENT ILLICITE.

Le texte ne vise pas une simple irrégularité contestable ou un litige juridique complexe. La cinquième règle est :

PRODUITS + CONTENUS + SERVICES

peuvent être concernés. La sixième règle est :

LE II INCRIMINE CERTAINS SERVICES D’INTERMÉDIATION OU DE SÉQUESTRE.

Ils doivent avoir pour objet unique ou principal de :

mettre en œuvre ;
dissimuler ;
faciliter

les opérations du I. La septième règle est :

UN ESCROW N’EST PAS ILLICITE PAR NATURE.

C’est sa finalité principale et son rattachement aux opérations visées qui comptent. La huitième règle est :

FORME SIMPLE DEPUIS LE 15 JUIN 2025 : 7 ANS + 500 000 €.

La neuvième règle est :

BANDE ORGANISÉE : 10 ANS + 1 000 000 €.

La dixième règle est :

323-4-1 NE GOUVERNE PAS CETTE BANDE ORGANISÉE.

323-3-2 possède sa propre aggravation au III. La onzième règle est :

LA TENTATIVE EST PUNIE DES MÊMES PEINES.

C’est le IV de 323-3-2, et non l’article 323-7. La douzième règle est temporelle :

17 FÉVRIER 2024 → PREMIÈRE VERSION.

15 JUIN 2025 → VERSION ACTUELLE.

La treizième règle est :

LA LOI DU 13 JUIN 2025 A DURCI LES PEINES ET ÉLARGI LE RENVOI AUX OBLIGATIONS DSA, NOTAMMENT AUX ARTICLES 15, 16 ET 18.

La quatorzième règle est :

LE TEXTE N’EST PAS LIMITÉ AU NARCOTRAFIC.

Même si sa réforme de 2025 est issue de la loi visant à lutter contre le narcotrafic, sa rédaction vise de façon générale des :

produits ;
contenus ;
services

manifestement illicites. La quinzième règle est :

DARKNET ≠ CULPABILITÉ AUTOMATIQUE.

Anonymisation, Tor ou VPN ne remplacent jamais :

l’objet manifestement illicite ;
la connaissance ;
la cession permise.

La seizième règle est :

323-3-2 ≠ 323-3-1.

323-3-1 → outils permettant les cyberattaques.

323-3-2 → certaines infrastructures transactionnelles illicites.

La dix-septième règle est :

323-3-2 N’EXIGE PAS EN LUI-MÊME UNE INTRUSION OU UNE ATTEINTE AUX DONNÉES.

Sa présence dans le chapitre des atteintes aux STAD ne permet pas d’ajouter une condition que le texte ne prévoit pas. La dix-huitième règle est probatoire :

SIGNALER ≠ PROUVER AUTOMATIQUEMENT.

Mais des signalements précis et répétés, confrontés à un maintien volontaire des transactions, peuvent jouer un rôle central pour démontrer le « sciemment ». La dix-neuvième règle est :

L’ABSENCE DE JURISPRUDENCE CRIMINELLE DE PRINCIPE ABONDANTE IMPOSE UNE APPLICATION PARTICULIÈREMENT TEXTUELLE EN 2026.

Le texte est récent et sa rédaction actuelle n’est en vigueur que depuis le 15 juin 2025. Enfin, la méthode générale est :

QUALIFIER LA PLATEFORME → IDENTIFIER LA CONDITION ANONYMISATION/LCEN/DSA → IDENTIFIER LA TRANSACTION → PROUVER L’ILLICÉITÉ MANIFESTE → PROUVER LE « SCIEMMENT » → IDENTIFIER ÉVENTUELLEMENT L’INTERMÉDIAIRE OU LE SÉQUESTRE → RECHERCHER LA BANDE ORGANISÉE → DISTINGUER CONSOMMATION ET TENTATIVE → ARTICULER AVEC 323-3-1, 323-3, RECEL, BLANCHIMENT ET COMPLICITÉ.

CLXXXIX. Régime de la tentative des atteintes aux STAD — article 323-7 : commencement d’exécution, désistement et infraction impossible

La tentative occupe une place particulière en matière de cybercriminalité. Dans de nombreux dossiers, l’auteur :

prépare ses outils ;
cible un système ;
lance un exploit ;
essaie des identifiants ;
envoie une commande de suppression ;
tente de saturer un service ;

mais l’opération échoue avant que l’atteinte recherchée ne soit pleinement réalisée. L’échec peut résulter :

d’un pare-feu ;
d’un correctif de sécurité ;
d’une authentification renforcée ;
d’une coupure du réseau ;
de l’intervention d’un administrateur ;
de l’intervention des enquêteurs ;
ou tout simplement du fait que l’outil utilisé ne fonctionne pas comme prévu.

Le droit pénal français ne réserve évidemment pas sa réponse aux attaques réussies. Au 13 août 2026, l’article 323-7 du Code pénal prévoit que la tentative des délits prévus par les articles 323-1 à 323-3-1 est punie des mêmes peines que l’infraction consommée. La rédaction actuelle de cet article est en vigueur depuis le 22 juin 2004. Mais l’article 323-7 ne définit pas lui-même la tentative. Il faut revenir à l’article 121-5 du Code pénal, qui dispose que la tentative est constituée lorsqu’elle est manifestée par un commencement d’exécution et qu’elle n’a été suspendue ou n’a manqué son effet qu’en raison de circonstances indépendantes de la volonté de son auteur. Cette définition générale demeure inchangée au 13 août 2026. La formule fondamentale du chapitre est donc :

INTENTION CRIMINELLE + ACTE PRÉPARATOIRE ≠ TENTATIVE AUTOMATIQUEMENT.

Il faut atteindre :

LE COMMENCEMENT D’EXÉCUTION.

Puis vérifier :

POURQUOI L’INFRACTION N’A-T-ELLE PAS ÉTÉ CONSOMMÉE ?

I. L’article 323-7 est un texte spécial de punissabilité de la tentative

En droit pénal français, la tentative des délits n’est punissable que lorsque la loi le prévoit. Pour les atteintes classiques aux systèmes de traitement automatisé de données, cette autorisation résulte précisément de l’article 323-7.

II. Les infractions expressément visées

L’article 323-7 couvre la tentative des délits prévus aux articles :

323-1 : accès ou maintien frauduleux ;
323-2 : entrave ou fonctionnement faussé ;
323-3 : atteintes frauduleuses aux données ;
323-3-1 : certains moyens conçus ou spécialement adaptés pour commettre ces atteintes.

III. L’article 323-7 ne vise pas tout le chapitre III

Cette précision est désormais indispensable depuis l’apparition de l’article 323-3-2. L’article 323-7 s’arrête textuellement à :

323-3-1.

La tentative de l’infraction nouvelle de l’article 323-3-2 repose sur son propre régime spécial, étudié au chapitre précédent.

IV. Il ne vise pas non plus l’article 323-4

L’article 323-4 constitue déjà une infraction autonome de préparation collective. Il n’est donc pas inclus dans le renvoi de 323-7.

V. Il ne vise pas directement 323-4-1 ou 323-4-2

Ces textes organisent des aggravations ou régimes particuliers. Il faut donc raisonner d’abord sur la tentative de l’infraction de base et ensuite sur les conditions propres de l’aggravation.

VI. Même peine légale

Le texte est très clair :

la tentative est punie des mêmes peines que l’infraction consommée.

VII. Même peine encourue ≠ peine effectivement identique

Le juge conserve son pouvoir d’individualisation. Deux personnes peuvent donc encourir le même maximum légal tout en recevant des peines concrètes différentes selon :

gravité ;
personnalité ;
circonstances ;
conséquences.

VIII. La tentative possède deux éléments matériels essentiels

Article 121-5 :

commencement d’exécution ;
interruption ou échec indépendant de la volonté de l’auteur.

IX. À cela s’ajoute nécessairement l’intention correspondant à l’infraction projetée

Une personne ne peut pas tenter involontairement :

une intrusion frauduleuse.

Il faut établir le projet délictueux correspondant.

X. Première grande frontière : actes préparatoires / commencement d’exécution

C’est la difficulté majeure. La cybercriminalité comporte souvent une succession d’opérations techniques très en amont de l’attaque finale.

XI. Exemple de chaîne préparatoire

A :

recherche la cible ;
achète un serveur ;
télécharge un exploit ;
configure le logiciel ;
identifie l’adresse IP ;
lance finalement le code contre le serveur.

Les cinq premières étapes peuvent rester, selon les circonstances, des actes préparatoires. La sixième se rapproche nettement du commencement d’exécution.

XII. Pourquoi cette frontière compte-t-elle ?

Parce que les actes préparatoires ne sont pas, par principe, automatiquement punis comme tentative.

XIII. Mais ils peuvent relever d’autres incriminations

En cybercriminalité, les actes préparatoires peuvent néanmoins être saisis par :

323-3-1 ;
323-4 ;
voire d’autres qualifications.

XIV. C’est une particularité du droit cyber

Le système pénal comprend donc plusieurs degrés d’anticipation :

OUTIL

↓

PRÉPARATION COLLECTIVE

↓

TENTATIVE

↓

CONSOMMATION.

XV. Commencement d’exécution : principe général

La Cour de cassation exige que la tentative soit réellement manifestée par un commencement d’exécution. Elle a notamment rappelé, dans un arrêt publié du 24 février 1982, n° 81-93.497, que le commencement d’exécution constitue une condition autonome indispensable de la tentative.

XVI. Une simple intention ne suffit jamais

A écrit dans son journal :

« demain je vais pirater la société X ».

Pas de tentative sur ce seul fait.

XVII. Une recherche technique ne suffit pas automatiquement

A consulte :

documentation ;
CVE ;
architecture publique du site.

Cela reste potentiellement préparatoire.

XVIII. Télécharger un outil

A télécharge un framework offensif.

tentative non automatique.

XIX. Configurer l’outil

Il y inscrit l’adresse de la future cible.

indice beaucoup plus fort du projet,

mais pas nécessairement encore commencement d’exécution.

XX. Lancer effectivement l’exploit contre la cible

Cette étape est beaucoup plus naturellement analysable comme commencement d’exécution.

XXI. Formule pratique

PRÉPARER L’ARME NUMÉRIQUE ≠ COMMENCER NÉCESSAIREMENT L’ATTAQUE.

DÉCLENCHER L’OUTIL CONTRE LA CIBLE = FRONTIÈRE BEAUCOUP PLUS PROCHE DE LA TENTATIVE.

XXII. Il faut toujours examiner les actes précis

Il serait juridiquement dangereux de fixer une règle abstraite :

« premier paquet réseau = commencement d’exécution dans tous les cas ».

La fonction technique du paquet et son lien avec l’infraction projetée doivent être établis.

XXIII. Ping

Un simple ping peut être :

diagnostic ;
reconnaissance ;
supervision.

Il n’est pas automatiquement une tentative d’intrusion.

XXIV. Scan de ports

Même prudence. Le scan peut servir :

à l’administration légitime ;
à la recherche ;
à la préparation d’une attaque.

Il ne constitue pas automatiquement l’exécution de 323-1.

XXV. Exploit d’authentification lancé

La situation change lorsque l’outil tente effectivement de contourner le mécanisme d’accès.

XXVI. Tentative de brute force

A envoie une série d’authentifications frauduleuses contre un compte déterminé. Le système refuse toutes les tentatives.

tentative de 323-1 possible.

XXVII. Pourquoi ?

Parce que l’auteur ne se contente plus de préparer ses moyens. Il accomplit directement les opérations destinées à obtenir l’accès.

XXVIII. Identifiants volés mais jamais utilisés

A possède :

login ;
mot de passe.

Il ne tente jamais de se connecter.

préparation.

XXIX. Identifiants utilisés mais compte désactivé

A tente effectivement la connexion. Le compte a été désactivé la veille.

commencement d’exécution beaucoup plus clair.

XXX. Circonstance indépendante

L’échec provient :

de la désactivation du compte,

et non de la volonté de l’auteur.

XXXI. Article 121-5 satisfait en principe sur ce second aspect

Il faut toujours vérifier les autres éléments.

II. Tentative d’accès frauduleux — article 323-1

XXXII. Premier cas : mot de passe modifié

A obtient frauduleusement un ancien mot de passe. Il tente de l’utiliser. La victime l’a changé.

tentative possible.

XXXIII. Deuxième cas : MFA

A possède le mot de passe. Il déclenche la connexion. La double authentification bloque l’accès.

tentative possible.

XXXIV. Troisième cas : exploit corrigé

A cible une vulnérabilité. Il lance effectivement le code. Le serveur a été patché.

tentative possible.

XXXV. Quatrième cas : mauvais serveur

A vise une adresse qu’il croit correspondre au système de la victime. L’adresse ne dessert plus le serveur concerné. La question de l’infraction impossible peut se poser.

XXXVI. Cinquième cas : serveur hors ligne

L’auteur lance l’attaque. Le serveur est éteint pour maintenance.

l’échec est extérieur à sa volonté.

XXXVII. Sixième cas : honeypot

A croit pénétrer le véritable système. Il attaque en réalité un dispositif leurre. L’analyse de la tentative dépendra :

de l’intention ;
du commencement d’exécution ;
de la circonstance ayant rendu impossible le résultat recherché.

XXXVIII. Honeypot et infraction impossible

Le mécanisme rappelle la théorie générale de l’infraction impossible :

l’auteur accomplit les actes qu’il croit aptes à réaliser l’infraction, mais la réalité matérielle rend le résultat impossible.

III. L’infraction impossible

XXXIX. Principe

Le droit français admet que l’impossibilité matérielle du résultat ne détruit pas nécessairement la tentative.

XL. Arrêt fondamental : Cass. crim., 16 janvier 1986, n° 85-95.461

Cette décision publiée au Bulletin est l’arrêt classique sur l’infraction impossible. L’auteur avait exercé des violences avec l’intention de tuer une personne qu’il croyait vivante, alors qu’elle était déjà décédée. La Cour considère que la mort préalable de la victime constitue une circonstance indépendante de la volonté de l’auteur et n’empêche donc pas, en elle-même, la qualification de tentative d’homicide dès lors que les autres conditions sont réunies.

XLI. Portée générale

L’arrêt ne concerne évidemment pas la cybercriminalité. Mais son raisonnement est directement utile.

XLII. Transposition informatique

A croit attaquer un serveur vulnérable. La vulnérabilité n’existe plus. Il lance néanmoins le code destiné à l’exploiter.

l’impossibilité technique du résultat n’exclut pas automatiquement la tentative.

XLIII. Serveur inexistant

A envoie son exploit vers une infrastructure qu’il croit active mais qui n’existe plus. Même question.

XLIV. Compte supprimé

A tente de compromettre un compte supprimé la veille. L’impossibilité peut être purement matérielle.

XLV. Base vide

A pénètre dans un mécanisme qu’il croit contenir une base de données et lance une commande d’extraction. La table est en réalité vide.

tentative d’extraction possible selon les actes accomplis et l’intention.

XLVI. Donnée déjà supprimée

A lance une commande destinée à supprimer un fichier déterminé. Ce fichier avait été supprimé avant l’attaque.

infraction impossible à examiner.

XLVII. Attention : il faut toujours un commencement d’exécution

L’arrêt du 16 janvier 1986 n’autorise pas la répression d’une simple imagination criminelle. Il faut toujours des actes exécutifs.

XLVIII. Exemple

A pense :

« si ce serveur existait, je le supprimerais ».

Aucun acte.

aucune tentative.

XLIX. Exemple inverse

A envoie effectivement la commande destructive au serveur qu’il croit actif.

commencement d’exécution possible.

L. Impossibilité absolue ou relative

La doctrine distingue traditionnellement :

impossibilité relative ;
impossibilité absolue.

Mais la jurisprudence française met surtout l’accent sur :

l’intention ;
le commencement d’exécution ;
la circonstance indépendante.

LI. Mauvais outil

A veut supprimer une base avec une commande totalement inadaptée. Il la lance néanmoins dans l’intention de réaliser la suppression. La tentative peut devoir être examinée même si son moyen est techniquement inefficace.

LII. Moyen totalement fantaisiste

La difficulté devient plus importante lorsque le comportement ne constitue objectivement aucun commencement d’exécution crédible de l’infraction.

LIII. Exemple

A croit qu’écrire :

« DELETE INTERNET »

dans un document texte va détruire un serveur distant. Il ne transmet rien au système.

absence probable de commencement d’exécution.

LIV. Distinction cruciale

MOYEN INEFFICACE UTILISÉ DANS UNE ATTAQUE RÉELLEMENT COMMENCÉE

peut permettre la tentative. Mais :

GESTE PUREMENT IMAGINAIRE SANS ACTE DIRIGÉ VERS LA CIBLE

ne suffit pas.

IV. Tentative d’entrave — article 323-2

LV. DDoS lancé mais absorbé

A lance effectivement le trafic destiné à saturer le service. L’infrastructure anti-DDoS absorbe tout. Le service reste entièrement disponible.

tentative de 323-2 possible.

LVI. Botnet simplement constitué

Le botnet existe mais aucune commande d’attaque n’a été envoyée.

préparation.

LVII. Commande d’attaque envoyée aux bots

Les machines compromises ne répondent pas.

commencement d’exécution beaucoup plus plausible.

LVIII. Mauvaise adresse de cible

Le botnet attaque une IP désaffectée. L’auteur croyait viser la victime.

infraction impossible à examiner.

LIX. Attaque bloquée à l’entrée

Le trafic est filtré avant d’atteindre le service.

tentative possible.

LX. Service ralenti mais pas totalement indisponible

Il faut vérifier si l’entrave elle-même est déjà consommée. 323-2 ne suppose pas nécessairement une destruction totale du fonctionnement.

LXI. Dès qu’une véritable entrave existe

Il ne faut plus parler uniquement de tentative.

LXII. Tentative de fausser le fonctionnement

A injecte une commande destinée à faire produire au système des résultats erronés. Elle est rejetée.

tentative possible.

LXIII. Commande acceptée mais corrigée immédiatement

Si le fonctionnement a réellement été faussé, même brièvement :

l’infraction peut déjà être consommée.

V. Tentative d’atteinte aux données — article 323-3

LXIV. Tentative d’introduction

A lance une requête destinée à injecter frauduleusement des données. Le filtre la bloque.

tentative possible.

LXV. Tentative d’extraction

A lance le transfert. Le DLP coupe immédiatement avant toute donnée effectivement extraite.

tentative possible.

LXVI. Quelques octets déjà extraits

La distinction devient factuelle. Si une partie pertinente des données a déjà été effectivement extraite :

consommation partielle possible.

LXVII. Tentative de reproduction

A lance une commande de copie. Le système refuse.

tentative possible.

LXVIII. Tentative de transmission

A tente d’envoyer les données frauduleusement détenues vers un serveur externe. Le transfert est bloqué.

tentative possible.

LXIX. Tentative de suppression

A exécute une commande de suppression. Les droits sont insuffisants.

tentative possible.

LXX. Tentative de modification

A tente de modifier une donnée. La base refuse la transaction.

tentative possible.

LXXI. Transaction rollback

A modifie la donnée mais le système annule immédiatement la transaction avant validation. Il faut déterminer techniquement :

si la donnée a réellement été modifiée ;
ou si l’opération n’a jamais produit d’effet.

LXXII. Importance de l’expertise

La qualification pénale dépend ici du fonctionnement réel :

COMMANDE LANCÉE ≠ MODIFICATION EFFECTIVE AUTOMATIQUEMENT.

VI. Tentative de 323-3-1

LXXIII. Particularité

L’article 323-7 couvre expressément 323-3-1.

LXXIV. Tentative d’importation

A tente d’importer un programme spécialement adapté à une attaque et détenu sans motif légitime. Le transfert est intercepté avant qu’il ne puisse entrer en sa possession dans les conditions recherchées.

tentative à examiner.

LXXV. Tentative de mise à disposition

A commence à publier un outil offensif sur un serveur. La plateforme bloque la publication avant qu’un tiers puisse y accéder.

tentative possible selon les circonstances.

LXXVI. Mise à disposition réellement réalisée

Dès que l’outil est effectivement accessible dans les conditions du texte :

infraction consommée.

LXXVII. Tentative d’offre

La notion peut être délicate parce que l’offre peut elle-même être consommée avant toute remise.

LXXVIII. Exemple

A rédige une annonce mais ne la transmet à personne.

préparation.

LXXIX. Annonce publiée

L’offre peut déjà être constituée même sans vente.

LXXX. Tentative de détention

Conceptuellement plus délicate. La détention repose sur la maîtrise effective de l’objet. Une opération destinée à obtenir le programme mais interrompue avant sa possession peut éventuellement être analysée comme tentative selon les faits.

VII. Le désistement volontaire

LXXXI. Deuxième pilier de l’article 121-5

La tentative n’est constituée que lorsque l’infraction a été suspendue ou a manqué son effet :

en raison de circonstances indépendantes de la volonté de son auteur.

LXXXII. Conséquence inverse

Lorsque l’auteur abandonne réellement et spontanément avant la consommation :

la tentative peut ne pas être punissable.

LXXXIII. Mais l’abandon doit être volontaire

C’est la difficulté centrale.

LXXXIV. Exemple clair

A lance le processus d’intrusion. Il peut poursuivre. Personne ne l’a détecté. Il décide spontanément :

« je ne veux plus le faire ».

Il arrête.

désistement volontaire possible.

LXXXV. Exemple inverse

A arrête parce qu’il voit :

« intrusion detected ».

Il comprend que les administrateurs l’ont identifié.

arrêt imposé par une circonstance extérieure.

LXXXVI. Police à la porte

Même logique.

LXXXVII. Compte bloqué

L’auteur ne « se désiste » pas. Il est empêché.

LXXXVIII. Exploit qui plante

Même logique.

LXXXIX. Internet de l’auteur coupé

L’opération s’arrête. Si la coupure est extérieure :

pas de désistement volontaire.

XC. Serveur cible arrêté

Même conclusion.

XCI. Intervention d’un tiers

La jurisprudence générale fournit une illustration utile. Dans Cass. crim., 13 décembre 2016, n° 14-87.473, la Cour a considéré que le comportement de personnes qui avaient commencé l’exécution d’un projet de vol et avaient renoncé uniquement parce qu’une occupante avait manifesté sa présence caractérisait une interruption indépendante de leur volonté, et non un désistement volontaire.

XCII. Transposition cyber

A commence son intrusion. L’administrateur :

bloque son IP ;
réinitialise les comptes ;
coupe la session.

l’interruption est extérieure.

XCIII. Une simple peur peut-elle être volontaire ?

Il faut distinguer. A prend peur sans événement extérieur précis et renonce.

désistement volontaire possible.

XCIV. A prend peur parce que la police vient de l’appeler

circonstance extérieure potentiellement déterminante.

XCV. A renonce parce qu’il découvre que la cible est un hôpital

Il avait commencé l’attaque mais n’était pas empêché de poursuivre. Il arrête volontairement.

désistement volontaire possible concernant l’infraction non encore consommée.

XCVI. Mais les infractions déjà consommées demeurent

S’il avait déjà :

accédé ;
extrait des données ;

ces infractions ne disparaissent pas.

VIII. Désistement volontaire / repentir actif

XCVII. Distinction fondamentale

DÉSISTEMENT VOLONTAIRE

intervient :

avant la consommation.

XCVIII. Repentir actif

Il intervient :

après la consommation.

XCIX. Exemple

A pénètre frauduleusement dans le système. Puis se sent coupable et se déconnecte. L’accès de 323-1 a déjà été consommé.

le repentir n’efface pas l’infraction.

C. Exemple

A supprime une base. Puis la restaure lui-même depuis une sauvegarde.

suppression déjà consommée.

CI. Exemple

A extrait un fichier. Puis le détruit sans le lire.

extraction déjà consommée.

CII. Le repentir peut néanmoins avoir d’autres effets

Il peut influencer notamment :

appréciation de la personnalité ;
peine ;
réparation du dommage.

Mais il ne transforme pas l’infraction consommée en tentative.

IX. Désistement dans une attaque en plusieurs étapes

CIII. Cas complexe

A :

entre dans le système ;
commence à préparer l’extraction ;
renonce avant de copier les données.

CIV. Résultat

323-1 :

consommé.

323-3 extraction :

éventuellement non consommé.

La tentative de 323-3 dépendra de la question du commencement d’exécution et du caractère volontaire du renoncement.

CV. Exemple

Il clique sur :

« Export ».

Puis annule immédiatement sans raison extérieure avant toute extraction.

désistement volontaire possible pour l’extraction.

CVI. Mais l’accès antérieur subsiste

Il ne disparaît pas.

X. Tentative interrompue par une mesure de cybersécurité

CVII. Pare-feu

Circonstance extérieure classique.

CVIII. WAF

Même logique.

CIX. EDR

L’outil neutralise le malware avant exécution.

échec indépendant de l’auteur.

CX. MFA

Empêche l’authentification.

CXI. DLP

Empêche l’exfiltration.

CXII. Sandboxing

Le malware est exécuté uniquement dans un environnement isolé. L’auteur croit viser un système réel.

infraction impossible / tentative à examiner.

CXIII. Honeypot

Même raisonnement.

CXIV. Déception active

La victime présente volontairement de faux services à l’attaquant. Cela peut rendre impossible l’objectif réel tout en permettant d’observer un commencement d’exécution.

XI. Infraction impossible et cyberdéfense

CXV. Faux identifiants

La police ou une entreprise fournit volontairement de faux identifiants à un suspect. Il les utilise pour essayer d’entrer.

impossibilité du résultat ≠ absence automatique de tentative.

CXVI. Faux serveur

Un serveur leurre reproduit l’apparence de la véritable cible. L’attaquant croit réellement pénétrer le système protégé. La théorie de l’infraction impossible peut devenir directement pertinente.

CXVII. Base fictive

L’attaquant tente de voler une base de données créée uniquement pour l’enquête. Même analyse.

CXVIII. Important

Cela ne signifie pas que tout comportement dans un honeypot constitue automatiquement une tentative. Il faut encore :

intention frauduleuse ;
commencement d’exécution ;
cible supposée ;
actes précis.

XII. L’intention dans la tentative

CXIX. L’auteur doit poursuivre l’infraction déterminée

Un scan automatique effectué à grande échelle peut être ambigu.

CXX. Scanner de vulnérabilités d’un chercheur

Pas d’intention frauduleuse.

CXXI. Même scanner configuré pour exploiter automatiquement les systèmes vulnérables

Analyse différente.

CXXII. Preuve de l’intention

Elle peut résulter de :

messages ;
configurations ;
historique ;
listes de cibles ;
commandes.

CXXIII. Nom du fichier

attack.py est un indice très faible isolément.

CXXIV. Message explicite

« je lance l’exploit contre la banque à 22 heures ».

Beaucoup plus fort.

CXXV. Tentatives répétées

La répétition d’authentifications frauduleuses peut contribuer à établir l’intention.

CXXVI. Mais erreur d’utilisateur légitime

Une personne saisit trois fois un mauvais mot de passe.

pas de tentative pénale.

XIII. Tentative et autorisation

CXXVII. Pentest autorisé

Le pentester lance effectivement un exploit. Techniquement, il accomplit les mêmes opérations qu’un attaquant. Mais il agit dans le périmètre autorisé.

pas de tentative frauduleuse.

CXXVIII. Dépassement du périmètre

Le pentester vise volontairement une infrastructure exclue de sa mission.

l’analyse pénale change.

CXXIX. Test accidentel hors périmètre

La simple erreur de configuration ne constitue pas automatiquement une tentative intentionnelle.

CXXX. Importance de l’élément moral

Le commencement d’exécution doit être rattaché au projet frauduleux.

XIV. Tentative et administrateur disposant d’accès techniques

CXXXI. Droit technique d’accès

La Cour de cassation a encore rappelé en 2025 qu’un administrateur réseau pouvait commettre un maintien frauduleux lorsqu’il utilisait ses droits généraux pour consulter, à l’insu des titulaires, des messages à des fins étrangères à sa mission.

CXXXII. Portée

La tentative peut donc aussi concerner une personne qui dispose techniquement :

des codes ;
des privilèges ;

mais tente d’accomplir une opération en dehors de son autorisation fonctionnelle.

CXXXIII. Exemple

L’administrateur tente d’ouvrir une boîte protégée dont les clés ont été révoquées. Il agit à des fins personnelles.

tentative à examiner.

XV. Tentative et 323-4

CXXXIV. Préparation collective sans commencement d’exécution

A, B et C :

sélectionnent la cible ;
louent le serveur ;
développent le malware.

La police intervient.

323-4 possible.

Mais :

tentative de 323-1 ou 323-2 pas automatiquement.

CXXXV. Le lendemain

Ils lancent effectivement le malware. Le pare-feu bloque.

tentative + 323-4 peuvent entrer dans l’analyse.

CXXXVI. Pourquoi ?

Parce qu’il existe deux faits juridiques différents :

participation à une entente préparatoire ;
commencement d’exécution de l’infraction principale.

CXXXVII. Concours à apprécier

Le cumul de déclarations de culpabilité doit néanmoins être soumis aux règles générales de concours.

XVI. Tentative et 323-3-1

CXXXVIII. Outil déjà détenu

Si A détient déjà sans motif légitime un malware relevant de 323-3-1 :

323-3-1 peut être consommé avant toute tentative d’attaque.

CXXXIX. Puis attaque lancée

Le même outil est envoyé contre la cible.

tentative de 323-1/323-2/323-3 selon sa fonction.

CXL. Séquence

323-3-1 CONSOMMÉ

puis :

TENTATIVE DE L’INFRACTION CIBLE.

CXLI. Ne pas confondre les deux

L’échec de l’attaque ne fait pas disparaître la détention antérieure de l’outil.

XVII. Tentative et bande organisée

CXLII. Groupe structuré

Une bande organisée prépare une intrusion. Puis l’opération échoue.

CXLIII. Première question

L’infraction principale est-elle tentée au sens de 121-5 ?

CXLIV. Deuxième question

La circonstance de bande organisée peut-elle juridiquement se rattacher à la tentative dans les conditions du texte applicable ? Il faut examiner précisément :

la prévention ;
l’infraction ;
les éléments de la bande ;
le régime de la circonstance aggravante.

CXLV. Ne jamais raisonner

« bande organisée = automatiquement infraction consommée ».

La bande peut exister avant le résultat.

XVIII. Tentative et article 323-4-2

CXLVI. Cas particulier

L’article 323-4-2 repose sur un effet concret :

risque immédiat de mort ou de mutilation/infirmité permanente ;
ou obstacle aux secours.

CXLVII. Attaque totalement bloquée

A tente de bloquer un hôpital. Le pare-feu empêche toute perturbation. Aucun patient n’est exposé.

tentative de 323-2 possible ;

323-4-2 non automatiquement réalisé.

CXLVIII. Attaque partiellement réussie

Le service est perturbé et un patient est réellement exposé au risque immédiat prévu.

l’aggravation peut être examinée.

CXLIX. Le mot « effet » reste central

La tentative de créer l’effet ne doit pas être confondue avec l’effet lui-même.

XIX. Infraction impossible : cas pratiques cyber

CL. Exploit contre une vulnérabilité inexistante

A croit à tort que la version du logiciel est vulnérable. Il lance le code.

tentative possible.

CLI. Mot de passe qui n’a jamais été valide

A croit disposer du vrai mot de passe. Il l’utilise.

tentative possible.

CLII. Compte fictif

Même logique.

CLIII. Faux site de la police

A tente de se connecter avec des identifiants volés sur un environnement contrôlé qu’il croit être le système réel.

tentative à examiner.

CLIV. Fichier déjà supprimé

A tente de le supprimer.

impossible matériellement, mais tentative possible selon le commencement d’exécution.

CLV. Base déjà vide

A tente de l’exfiltrer.

même raisonnement.

CLVI. Service arrêté

A lance un DDoS sur un service déjà hors ligne. Il voulait le rendre indisponible.

tentative possible, à condition de caractériser les autres éléments.

CLVII. Serveur qui n’appartient pas à la victime

L’auteur se trompe de cible. La qualification dépend :

de ce qu’il croyait attaquer ;
de ce qu’il a effectivement fait ;
de la situation réelle du système atteint.

CLVIII. Il peut aussi avoir commis une autre infraction consommée

Exemple : A croit attaquer X mais pénètre effectivement Y. La tentative contre X et l’infraction consommée contre Y peuvent poser des questions de concours particulièrement délicates.

XX. Infraction impossible et outil totalement inoffensif

CLIX. Faux ransomware

A achète un programme qu’il croit capable de chiffrer un réseau. Le fichier est un faux. Il le lance effectivement contre la cible.

tentative à examiner.

CLX. Fichier jamais exécuté

Il le conserve seulement. La tentative de 323-2 ou 323-3 n’est pas automatiquement constituée.

CLXI. Qualification 323-3-1 ?

Si le fichier n’est en réalité ni conçu ni spécialement adapté pour commettre les infractions visées, l’objet matériel de 323-3-1 peut lui-même devenir problématique.

CLXII. D’où une distinction

INTENTION DE DÉTENIR UN MALWARE

ne suffit pas nécessairement si l’objet réel n’entre pas dans la définition spéciale. Mais :

UTILISATION D’UN MOYEN INEFFICACE DANS UN COMMENCEMENT D’EXÉCUTION

peut malgré tout relever de la théorie générale de la tentative de l’infraction principale.

XXI. Tentative achevée et tentative interrompue

CLXIII. Tentative interrompue

L’auteur n’a pas pu accomplir tous les actes qu’il voulait accomplir. Exemple :

firewall bloque son exploit.

CLXIV. Tentative manquée

L’auteur accomplit tous les actes qu’il croit nécessaires, mais le résultat ne se produit pas. Exemple :

exploit exécuté mais vulnérabilité corrigée.

CLXV. Dans les deux cas

Article 121-5 peut être applicable si l’échec dépend de circonstances indépendantes.

XXII. La réaction de la victime

CLXVI. Changement de mot de passe

Circonstance extérieure.

CLXVII. Déconnexion forcée

Même chose.

CLXVIII. Blocage de compte

Même chose.

CLXIX. Fermeture du port

Même chose.

CLXX. Restauration immédiate après atteinte

Attention : si l’infraction avait déjà été consommée avant restauration, le fait que la victime corrige ensuite les conséquences ne réduit pas le fait à une tentative.

XXIII. La réaction de l’auteur

CLXXI. Effacement de ses traces

Ne constitue pas un désistement. C’est un comportement postérieur.

CLXXII. Réparation volontaire

Même chose si l’infraction est déjà consommée.

CLXXIII. Retour des données

N’efface pas l’extraction.

CLXXIV. Restitution d’un mot de passe

N’efface pas l’accès déjà réalisé.

XXIV. Preuve du commencement d’exécution

CLXXV. Logs de la cible

Ils peuvent révéler :

requête ;
tentative de login ;
payload ;
commande.

CLXXVI. Logs de l’attaquant

Ils peuvent montrer :

exécution du script ;
paramètres ;
heure.

CLXXVII. Historique shell

Très utile.

CLXXVIII. Commande enregistrée

Exemple :

lancement de l’exploit vers une IP déterminée.

CLXXIX. Capture réseau

Elle peut démontrer que les paquets ont réellement été envoyés.

CLXXX. Horodatage

La synchronisation entre :

machine de l’auteur ;
pare-feu ;
serveur ;

peut reconstituer la séquence.

CLXXXI. Messages

« je viens de lancer l’attaque ».

Indice puissant.

CLXXXII. Mais aveu informel ≠ preuve technique suffisante à lui seul dans tous les cas

Il faut confronter les sources.

XXV. Preuve de l’échec extérieur

CLXXXIII. Logs du WAF

requête bloquée.

CLXXXIV. Journal MFA

second facteur refusé.

CLXXXV. Patch

Historique montrant :

vulnérabilité corrigée avant l’attaque.

CLXXXVI. Coupure réseau

Logs de l’opérateur.

CLXXXVII. Intervention administrateur

Ticket :

« compte désactivé à 16 h 12 après détection ».

XXVI. Preuve du désistement volontaire

CLXXXVIII. Plus difficile

Le désistement relève souvent de l’intention.

CLXXXIX. Message contemporain

« j’arrête, personne ne m’a détecté, je ne veux plus faire ça ».

Peut constituer un indice.

CXC. Mais déclaration postérieure intéressée

« j’allais arrêter de toute façon ».

Elle doit être confrontée aux éléments objectifs.

CXCI. L’auteur avait-il encore matériellement la possibilité de poursuivre ?

Question essentielle.

CXCII. Si non

Le désistement est difficile à qualifier de volontaire.

CXCIII. Si oui

Il faut rechercher pourquoi il a renoncé.

XXVII. Tentative et victime qui piège l’auteur

CXCIV. Opération contrôlée

La victime ou les enquêteurs peuvent laisser un système fonctionner pour observer l’attaquant.

CXCV. L’auteur croit l’attaque réelle

Il accomplit le commencement d’exécution.

CXCVI. Absence réelle de risque

Cela n’exclut pas automatiquement la tentative. La jurisprudence sur l’infraction impossible l’illustre par analogie.

XXVIII. Tentative et erreur sur les faits

CXCVII. Erreur sur l’existence d’une vulnérabilité

Compatible avec la tentative.

CXCVIII. Erreur sur la victime

Peut également être compatible avec un projet délictueux.

CXCIX. Erreur sur l’autorisation

Plus délicate. A croit sincèrement que la mission de pentest l’autorise.

l’intention frauduleuse peut manquer.

CC. Fausse autorisation fabriquée par l’auteur lui-même

Situation différente.

XXIX. Tentative et automatisation

CCI. Scanner automatique exploitant les vulnérabilités

Un programme peut lui-même :

détecter ;
attaquer automatiquement.

CCII. Qui commence l’exécution ?

La responsabilité remonte à celui qui configure et déclenche volontairement l’automatisation dans un objectif frauduleux.

CCIII. Scan lancé sans fonction d’exploitation

Préparation/reconnaissance possible.

CCIV. Option « exploit automatically » activée

La frontière vers l’exécution devient plus nette.

CCV. Programme lancé sur Internet entier

La cible individuelle n’est peut-être pas prédéterminée. Mais cela n’empêche pas nécessairement un commencement d’exécution contre les systèmes effectivement sollicités.

XXX. Tentative et malware autonome

CCVI. Malware programmé pour s’activer à une date

Avant activation :

préparation ou 323-3-1 possible.

CCVII. Malware effectivement déployé chez la victime

Selon ce qu’il accomplit déjà :

tentative ou consommation.

CCVIII. Bombe logique

Le code est installé mais le déclencheur n’a pas encore été activé. La question du commencement d’exécution est particulièrement subtile.

CCIX. Installation dans le système cible

Elle peut déjà constituer :

323-1 ;
323-3 ;

indépendamment du sabotage futur.

CCX. Il ne faut donc pas regarder seulement le résultat final

Une attaque peut comporter plusieurs infractions déjà consommées avant son objectif ultime.

XXXI. Tentative et exfiltration

CCXI. Archive préparée localement

A regroupe les fichiers dans une archive sur le serveur de la victime.

acte préparatoire à l’extraction ou autre atteinte déjà possible selon les modifications réalisées.

CCXII. Transfert lancé

commencement d’exécution plus évident.

CCXIII. DLP bloque avant sortie

tentative d’extraction.

CCXIV. 10 % de l’archive sort

extraction consommée au moins pour la partie effectivement copiée.

CCXV. Il ne faut pas nécessairement créer 90 % de tentative séparée

Le concours doit rester juridiquement cohérent.

XXXII. Tentative et suppression

CCXVI. Commande préparée

Pas encore exécutée :

préparation.

CCXVII. Commande envoyée

commencement possible.

CCXVIII. Permission refusée

tentative.

CCXIX. Fichier supprimé puis restauré automatiquement

suppression probablement consommée si elle a réellement eu lieu.

CCXX. Fichier inexistant

infraction impossible possible.

XXXIII. Tentative et modification

CCXXI. Requête SQL créée

préparation.

CCXXII. Requête envoyée

commencement.

CCXXIII. Transaction rejetée

tentative possible.

CCXXIV. Transaction validée

consommation.

CCXXV. Transaction annulée ultérieurement

Ne transforme pas nécessairement la consommation en tentative.

XXXIV. Tentative et preuve de l’intention frauduleuse

CCXXVI. Liste de cibles

Indice.

CCXXVII. Exploit personnalisé

Indice plus fort.

CCXXVIII. Instructions écrites

Indice très fort.

CCXXIX. Paiement pour l’attaque

Peut renforcer le dossier.

CCXXX. Recherche sur la vulnérabilité

Seule, demeure ambiguë.

CCXXXI. Activité de sécurité professionnelle

Peut fournir une explication légitime.

XXXV. Tableau : préparation / tentative / consommation

Situation	Analyse dominante
Lire une documentation	Acte neutre/préparatoire
Télécharger un exploit	Préparation / 323-3-1 possible
Configurer la cible	Préparation forte
Lancer l’exploit	Commencement d’exécution possible
Exploit bloqué	Tentative possible
Accès réussi	323-1 consommé
Extraction lancée et bloquée	Tentative 323-3 possible
Données copiées	323-3 consommé
Suppression effectuée puis restaurée	Infraction consommée possible

XXXVI. Tableau : raison de l’échec

Cause	Désistement volontaire ?
Pare-feu bloque	Non
MFA bloque	Non
Police intervient	Non
Victime change le mot de passe	Non
Serveur s’arrête	Non
Auteur renonce spontanément alors qu’il peut continuer	Oui possible
Auteur renonce après détection	Non, en principe
Auteur répare après réussite	Repentir, pas désistement

XXXVII. Tableau : infraction impossible

Situation	Tentative possible ?
Vulnérabilité déjà corrigée	Oui possible
Mot de passe déjà changé	Oui possible
Victime déjà « inexistante » techniquement	Oui possible selon actes
Fichier déjà supprimé	Oui possible
Serveur leurre	Oui possible
Aucun acte dirigé vers une cible	Non sur la seule intention
Moyen inefficace mais réellement utilisé	Oui possible
Geste totalement imaginaire sans exécution	Non

Le principe général est éclairé par Cass. crim., 16 janvier 1986, n° 85-95.461.

XXXVIII. Tableau : textes

Question	Texte
Définition de la tentative	121-5
Punissabilité de la tentative cyber	323-7
Outils préparatoires	323-3-1
Groupement préparatoire	323-4
Tentative plateforme 323-3-2	323-3-2 IV

XXXIX. Cas pratique complet : brute force

A obtient une liste d’identifiants. Il lance un script contre le portail de la société X. Toutes les authentifications sont bloquées par MFA. Analyse :

intention frauduleuse ?
commencement d’exécution : oui possible ;
échec : MFA ;
circonstance indépendante : oui ;
tentative 323-1 : possible.

L’article 323-7 permet de punir cette tentative des mêmes peines que l’infraction correspondante.

XL. Cas pratique complet : exploit non lancé

A télécharge l’exploit. Il configure l’IP. Il renonce avant de l’exécuter.

tentative de 323-1 non automatique.

À examiner :

323-3-1 ;
323-4 si préparation collective.

XLI. Cas pratique complet : patch de sécurité

A lance l’exploit. La victime a corrigé la faille vingt minutes auparavant.

résultat impossible ;

commencement d’exécution possible ;

échec indépendant ;

tentative possible.

XLII. Cas pratique complet : honeypot

A croit attaquer un serveur bancaire. Il attaque en réalité un honeypot contrôlé par l’entreprise. Il envoie l’exploit et tente une authentification frauduleuse.

le caractère factice de la cible réelle ne détruit pas automatiquement la tentative.

La logique de l’arrêt du 16 janvier 1986 sur l’impossibilité matérielle du résultat fournit ici une analogie particulièrement forte.

XLIII. Cas pratique complet : désistement volontaire

A lance son exploit. Il obtient une première réponse. Personne ne l’a détecté. Il décide spontanément de tout arrêter avant tout accès.

tentative possiblement neutralisée par le désistement volontaire, selon l’état exact de l’exécution.

XLIV. Cas pratique complet : détection

Même faits. Cette fois le SIEM affiche :

« votre IP est identifiée et transmise aux autorités ».

A arrête immédiatement.

désistement volontaire beaucoup plus difficile à soutenir.

XLV. Cas pratique complet : accès déjà réussi

A pénètre dans le système. Puis se ravise.

323-1 déjà consommé.

Il n’existe plus de désistement utile pour cette infraction.

XLVI. Cas pratique complet : extraction abandonnée

A est déjà dans le système. Il lance l’export. Après quelques secondes, avant tout transfert effectif, il annule spontanément. Analyse :

323-1 : consommé ;
323-3 : tentative ou absence de tentative selon le commencement exact et le désistement ;
désistement volontaire possible pour l’extraction.

XLVII. Cas pratique complet : DDoS

A lance le botnet. Le CDN absorbe intégralement l’attaque. A continue pendant 30 minutes. Le service ne ralentit jamais.

tentative 323-2 possible.

XLVIII. Cas pratique complet : DDoS déjà sur service hors ligne

Le service était en maintenance depuis une heure. A l’ignore et lance l’attaque destinée à le rendre indisponible.

infraction impossible à examiner.

XLIX. Cas pratique complet : suppression impossible

A lance une commande destructive. Le compte est en lecture seule.

tentative 323-3 possible.

L. Cas pratique complet : fichier déjà supprimé

A lance la commande contre un fichier qui n’existe plus. Il croyait qu’il existait.

tentative impossible possible selon la grille générale.

LI. Checklist tentative

Quelle infraction ?
323-1 ?
323-2 ?
323-3 ?
323-3-1 ?
Tentative légalement punissable ?
Quel objectif précis ?
Quel acte préparatoire ?
Quel premier acte exécutif ?
L’acte a-t-il été dirigé vers la cible ?
Quel résultat manquait ?
Pourquoi a-t-il manqué ?
Intervention extérieure ?
Défense technique ?
Désistement volontaire ?
Infraction impossible ?
Infraction déjà partiellement consommée ?

LII. Checklist commencement d’exécution

CCXXXII. Demander :

la cible était-elle identifiée ?
l’outil était-il seulement préparé ?
a-t-il été lancé ?
une requête a-t-elle été envoyée ?
l’authentification a-t-elle été tentée ?
une commande a-t-elle été exécutée ?

CCXXXIII. Question décisive

L’AUTEUR ÉTAIT-IL ENCORE DANS LA PHASE DE PRÉPARATION OU AVAIT-IL COMMENCÉ DIRECTEMENT À RÉALISER L’INFRACTION ?

LIII. Checklist désistement

L’auteur pouvait-il encore continuer ?
Qui a arrêté l’opération ?
Pourquoi ?
Détection ?
Police ?
Blocage technique ?
Décision spontanée ?
Infraction déjà consommée ?

LIV. Checklist infraction impossible

Quelle infraction était voulue ?
L’auteur croyait-il le résultat possible ?
A-t-il commencé l’exécution ?
Pourquoi le résultat était-il impossible ?
Vulnérabilité inexistante ?
Objet absent ?
Cible fictive ?
Moyen inefficace ?
Absence totale d’acte d’exécution ?

LV. Erreurs fréquentes

CCXXXIV. Erreur n° 1 : toute préparation est une tentative

Faux. L’article 121-5 exige un commencement d’exécution.

CCXXXV. Erreur n° 2 : télécharger un exploit suffit toujours

Faux. Cela peut relever d’autres incriminations mais ne constitue pas nécessairement une tentative de 323-1.

CCXXXVI. Erreur n° 3 : scanner un réseau = tentative automatique

Faux. Il faut analyser la fonction réelle du scan et l’intention.

CCXXXVII. Erreur n° 4 : une cyberattaque qui échoue n’est pas punissable

Faux. L’article 323-7 prévoit expressément la tentative.

CCXXXVIII. Erreur n° 5 : la tentative est moins sévèrement punie par principe

Faux. 323-7 prévoit les mêmes peines encourues.

CCXXXIX. Erreur n° 6 : mot de passe changé = aucune infraction

Faux. Une connexion effectivement tentée peut constituer un commencement d’exécution.

CCXL. Erreur n° 7 : vulnérabilité patchée = aucune tentative possible

Faux. L’impossibilité matérielle du résultat n’exclut pas nécessairement la tentative. Le principe général est illustré par Cass. crim., 16 janvier 1986.

CCXLI. Erreur n° 8 : serveur leurre = aucune tentative

Faux automatiquement.

CCXLII. Erreur n° 9 : il suffit d’avoir l’intention

Faux. La tentative doit être matérialisée par un commencement d’exécution.

CCXLIII. Erreur n° 10 : l’auteur qui arrête est toujours désisté volontairement

Faux. Il faut rechercher la cause de l’arrêt.

CCXLIV. Erreur n° 11 : arrêter parce que le firewall bloque = désistement volontaire

Faux.

CCXLV. Erreur n° 12 : arrêter parce que la police intervient = désistement volontaire

Faux.

CCXLVI. Erreur n° 13 : réparer après coup = désistement volontaire

Faux. C’est éventuellement un repentir actif.

CCXLVII. Erreur n° 14 : restaurer la base transforme la suppression en tentative

Faux. Si la suppression a été consommée, elle le reste.

CCXLVIII. Erreur n° 15 : se déconnecter après intrusion empêche 323-1

Faux. L’accès peut déjà avoir été consommé.

CCXLIX. Erreur n° 16 : article 323-7 couvre 323-3-2

Faux. Il s’arrête à 323-3-1.

CCL. Erreur n° 17 : article 323-7 couvre directement 323-4

Faux.

CCLI. Erreur n° 18 : l’infraction impossible n’est jamais punissable

Faux. Cass. crim., 16 janvier 1986 constitue la jurisprudence classique contraire.

CCLII. Erreur n° 19 : toute impossibilité signifie tentative

Faux également. Il faut toujours un commencement d’exécution.

CCLIII. Erreur n° 20 : moyen totalement imaginaire = tentative automatique

Faux.

CCLIV. Erreur n° 21 : DDoS inefficace = aucune responsabilité

Faux. La tentative de 323-2 peut être envisagée.

CCLV. Erreur n° 22 : extraction bloquée avant sortie = aucune infraction

Faux. Tentative de 323-3 possible.

CCLVI. Erreur n° 23 : une extraction partielle est toujours seulement une tentative

Faux. Elle peut être déjà consommée pour les données réellement extraites.

CCLVII. Erreur n° 24 : honeypot protège automatiquement l’auteur de toute tentative

Faux.

CCLVIII. Erreur n° 25 : pentester ayant lancé un exploit = tentative pénale automatique

Faux. L’autorisation et l’élément frauduleux doivent être examinés.

LVI. Jurisprudence fondamentale : article 121-5

CCLIX. Cass. crim., 24 février 1982, n° 81-93.497

La chambre criminelle rappelle expressément que le commencement d’exécution constitue une condition indispensable de la tentative et que l’échec doit résulter d’une circonstance indépendante de la volonté de l’auteur.

CCLX. Portée cyber

Dans tout dossier d’intrusion échouée, les enquêteurs et le juge doivent identifier :

L’ACTE PRÉCIS QUI CONSTITUERAIT LE COMMENCEMENT D’EXÉCUTION.

Il ne suffit pas de dire :

« il avait l’intention de pirater ».

LVII. Jurisprudence fondamentale : désistement

CCLXI. Cass. crim., 13 décembre 2016, n° 14-87.473

Dans cette affaire de tentative de vol, la Cour retient qu’une action interrompue par la réaction inattendue d’une personne présente sur les lieux ne constitue pas un désistement volontaire : l’interruption provient d’une circonstance indépendante de la volonté des auteurs.

CCLXII. Transposition cyber

Même principe lorsqu’un auteur arrête parce que :

la victime le détecte ;
le compte est bloqué ;
le WAF intervient ;
le système coupe sa session.

LVIII. Jurisprudence fondamentale : infraction impossible

CCLXIII. Cass. crim., 16 janvier 1986, n° 85-95.461

L’auteur croyait sa victime encore vivante et accomplissait des violences destinées à lui donner la mort alors qu’elle était déjà décédée. La Cour admet que la mort préalable de la victime puisse être regardée comme la circonstance indépendante ayant empêché le résultat recherché.

CCLXIV. Principe transposable

L’IMPOSSIBILITÉ DU RÉSULTAT N’EXCLUT PAS NÉCESSAIREMENT LA TENTATIVE SI L’AUTEUR CROYAIT LE RÉSULTAT POSSIBLE ET AVAIT COMMENCÉ SON EXÉCUTION.

CCLXV. Exemple cyber typique

vulnérabilité déjà corrigée.

L’auteur :

ignore le correctif ;
lance l’exploit ;
cherche réellement à pénétrer.

tentative possible.

LIX. Jurisprudence cyber récente et autorisation

CCLXVI. Cass. crim., 2 septembre 2025, n° 24-83.605

La chambre criminelle a jugé qu’un administrateur réseau bénéficiant d’un droit général d’accès peut néanmoins commettre un maintien frauduleux lorsqu’il consulte des messages à des fins étrangères à sa mission et à l’insu de leurs titulaires.

CCLXVII. Intérêt pour la tentative

Une personne disposant de capacités techniques légitimes peut donc tenter une opération frauduleuse lorsqu’elle sort volontairement du cadre de sa mission.

LX. Méthode ultra-rapide

Face à une cyberattaque ayant échoué :

1. QUELLE INFRACTION L’AUTEUR VOULAIT-IL COMMETTRE ?

↓

2. LA TENTATIVE EST-ELLE LÉGALEMENT PUNISSABLE ?

Pour 323-1 à 323-3-1 :

oui, article 323-7.

↓

3. QUEL EST LE DERNIER ACTE PRÉPARATOIRE ?

↓

4. QUEL EST LE PREMIER ACTE D’EXÉCUTION ?

↓

5. POURQUOI LE RÉSULTAT N’A-T-IL PAS ÉTÉ OBTENU ?

↓

6. CAUSE EXTÉRIEURE OU RENONCEMENT VOLONTAIRE ?

↓

7. LE RÉSULTAT ÉTAIT-IL MATÉRIELLEMENT IMPOSSIBLE ?

↓

8. L’INFRACTION ÉTAIT-ELLE DÉJÀ PARTIELLEMENT CONSOMMÉE ?

↓

9. AUTRES INFRACTIONS PRÉPARATOIRES ?

323-3-1 ? 323-4 ?

LXI. Formule générale

INTENTION

COMMENCEMENT D’EXÉCUTION

ÉCHEC OU INTERRUPTION INDÉPENDANTE

TENTATIVE PUNISSABLE.

LXII. Formule du désistement

COMMENCEMENT D’EXÉCUTION

RENONTIATION RÉELLEMENT SPONTANÉE AVANT CONSOMMATION

DÉSISTEMENT VOLONTAIRE POSSIBLE

et donc :

tentative non constituée sur ce fondement.

LXIII. Formule de l’infraction impossible

INTENTION DÉLICTUEUSE

COMMENCEMENT D’EXÉCUTION

RÉSULTAT MATÉRIELLEMENT IMPOSSIBLE POUR UNE RAISON INDÉPENDANTE

TENTATIVE POSSIBLE.

Cass. crim., 16 janvier 1986.

LXIV. À retenir

La première règle est :

ARTICLE 323-7 REND PUNISSABLE LA TENTATIVE DES DÉLITS DE 323-1 À 323-3-1.

Elle est punie :

DES MÊMES PEINES QUE L’INFRACTION CONSOMMÉE.

La deuxième règle est :

ARTICLE 121-5 = COMMENCEMENT D’EXÉCUTION + CIRCONSTANCE INDÉPENDANTE DE LA VOLONTÉ.

La troisième règle est :

ACTE PRÉPARATOIRE ≠ TENTATIVE.

Télécharger un outil, étudier une cible ou configurer un serveur ne suffit pas automatiquement. La quatrième règle est :

LANCER EFFECTIVEMENT L’ATTAQUE CONTRE LA CIBLE RAPPROCHE FORTEMENT DU COMMENCEMENT D’EXÉCUTION.

La cinquième règle est :

L’ÉCHEC TECHNIQUE N’EST PAS UNE IMMUNITÉ.

Pare-feu, MFA, patch, DLP ou arrêt du serveur peuvent constituer précisément les circonstances extérieures ayant empêché le résultat. La sixième règle est :

LE DÉSISTEMENT DOIT ÊTRE VOLONTAIRE.

Renoncer spontanément alors qu’on peut continuer est différent de :

se faire bloquer ;
être détecté ;
voir arriver la police.

La septième règle est :

REPENTIR ACTIF ≠ DÉSISTEMENT VOLONTAIRE.

Une infraction déjà consommée n’est pas effacée parce que l’auteur :

restaure ;
restitue ;
supprime ce qu’il a copié.

La huitième règle est :

INFRACTION IMPOSSIBLE ≠ IMPUNITÉ AUTOMATIQUE.

Cass. crim., 16 janvier 1986, n° 85-95.461, admet le principe de la tentative malgré l’impossibilité matérielle du résultat lorsque l’auteur croyait celui-ci possible et avait commencé son exécution. La neuvième règle est directement applicable au numérique :

VULNÉRABILITÉ DÉJÀ CORRIGÉE, COMPTE SUPPRIMÉ, FAUX SERVEUR OU HONEYPOT PEUVENT LAISSER SUBSISTER UNE TENTATIVE.

Il faut néanmoins toujours établir :

l’intention ;
le commencement d’exécution.

La dixième règle est :

UNE CYBERATTAQUE PEUT ÊTRE À LA FOIS PRÉPARÉE, TENTÉE ET PARTIELLEMENT CONSOMMÉE POUR DES INFRACTIONS DIFFÉRENTES.

Exemple :

accès réussi → 323-1 consommé ;

extraction bloquée → tentative de 323-3.

La onzième règle est :

323-3-1 ET 323-4 PERMETTENT UNE RÉPRESSION EN AMONT DE LA TENTATIVE.

Il ne faut donc pas forcer artificiellement la notion de commencement d’exécution pour punir des préparatifs déjà susceptibles de relever de textes spéciaux. La douzième règle est :

LE DROIT TECHNIQUE D’ACCÈS N’EXCLUT PAS UNE TENTATIVE FRAUDULEUSE HORS MISSION.

La jurisprudence du 2 septembre 2025 confirme que l’habilitation technique et l’autorisation fonctionnelle doivent être distinguées. La treizième règle probatoire est :

IL FAUT RECONSTRUIRE LA CHRONOLOGIE TECHNIQUE.

Les éléments déterminants sont souvent :

logs ;
requêtes ;
captures réseau ;
commandes ;
protections ayant bloqué l’attaque ;
messages contemporains.

La quatorzième règle est :

LA QUESTION « POURQUOI L’ATTAQUE A-T-ELLE ÉCHOUÉ ? » EST AUSSI IMPORTANTE QUE « QU’A FAIT L’AUTEUR ? ».

Enfin, la méthode générale est :

IDENTIFIER L’INFRACTION PROJETÉE → ISOLER LE COMMENCEMENT D’EXÉCUTION → DISTINGUER PRÉPARATION ET EXÉCUTION → IDENTIFIER LA CAUSE DE L’ÉCHEC → RECHERCHER UN DÉSISTEMENT RÉELLEMENT VOLONTAIRE → TRAITER L’ÉVENTUELLE IMPOSSIBILITÉ DU RÉSULTAT → VÉRIFIER LES INFRACTIONS DÉJÀ CONSOMMÉES → ARTICULER AVEC 323-3-1 ET 323-4.

CXC. Compétence territoriale, cyberattaques transfrontalières et application de la loi pénale française

La cybercriminalité met particulièrement à l’épreuve les règles classiques d’application territoriale de la loi pénale. Une seule attaque peut faire intervenir simultanément :

un auteur physiquement situé dans un État étranger ;
un ordinateur de commande situé dans un deuxième État ;
un VPN situé dans un troisième ;
un serveur compromis situé dans un quatrième ;
un service cloud réparti entre plusieurs centres de données ;
et une victime établie en France.

Il serait donc erroné de raisonner uniquement à partir :

DE L’ADRESSE IP DU SERVEUR

ou :

DU LIEU PHYSIQUE DE L’ATTAQUANT.

En droit français, plusieurs rattachements distincts peuvent permettre l’application de la loi pénale française. Au 13 août 2026, les deux textes les plus importants pour une cyberattaque internationale sont les articles 113-2 et 113-2-1 du Code pénal. L’article 113-2 pose le principe territorial : la loi française s’applique aux infractions commises en France, et l’infraction est réputée commise en France dès lors qu’un de ses faits constitutifs s’y est produit. Depuis le 5 juin 2016, l’article 113-2-1 ajoute une règle particulièrement adaptée à Internet : tout crime ou délit réalisé au moyen d’un réseau de communication électronique, tenté ou commis au préjudice d’une personne physique résidant en France ou d’une personne morale ayant son siège en France, est réputé commis sur le territoire français. Cette disposition est fondamentale. Elle signifie notamment qu’une cyberattaque exécutée matériellement depuis l’étranger peut néanmoins être considérée comme commise en France lorsque la victime répond aux conditions de l’article 113-2-1. La formule essentielle est donc :

ATTAQUANT À L’ÉTRANGER ≠ LOI FRANÇAISE NÉCESSAIREMENT INAPPLICABLE.

Mais l’inverse est tout aussi important :

SERVEUR ACCESSIBLE DEPUIS LA FRANCE ≠ COMPÉTENCE FRANÇAISE UNIVERSELLE.

Il faut toujours identifier un critère légal de rattachement.

I. Trois questions qu’il ne faut pas confondre

Dans une affaire cyber internationale, trois problèmes différents peuvent apparaître :

La loi pénale française est-elle applicable ?
Les juridictions françaises ont-elles compétence pour poursuivre et juger ?
Quel tribunal français territorialement compétent doit être saisi ?

Ces questions sont proches, mais elles ne sont pas identiques.

II. Première question : application de la loi pénale française

C’est essentiellement le Code pénal, notamment ses articles 113-1 à 113-14, qui organise cette matière. Au 13 août 2026, cette section comprend toujours les critères territoriaux, personnels et certains critères extraterritoriaux particuliers.

III. Deuxième question : compétence internationale des juridictions françaises

Lorsqu’un rattachement prévu par les articles 113-2 et suivants existe, les juridictions françaises peuvent connaître de l’infraction dans les conditions légales.

IV. Troisième question : compétence territoriale interne

Il faudra encore déterminer, à l’intérieur de la France :

le tribunal compétent ;
les éventuelles juridictions spécialisées ;
les règles particulières de procédure.

V. Le principe de territorialité — article 113-2

L’article 113-2 commence par une règle simple :

LA LOI PÉNALE FRANÇAISE EST APPLICABLE AUX INFRACTIONS COMMISES SUR LE TERRITOIRE DE LA RÉPUBLIQUE.

VI. L’infraction n’a pas besoin d’être entièrement commise en France

Deuxième phrase essentielle :

il suffit qu’un de ses faits constitutifs ait eu lieu en France pour que l’infraction soit réputée commise sur le territoire français.

VII. Conséquence pour la cybercriminalité

Une opération informatique transfrontalière ne doit donc pas être considérée comme étrangère uniquement parce que :

l’auteur est à l’étranger ;
le malware a été lancé depuis l’étranger ;
ou le serveur de commande se trouve à l’étranger.

VIII. Il suffit éventuellement d’un fait constitutif en France

Mais attention :

IL FAUT UN FAIT CONSTITUTIF.

Un simple élément périphérique ou accidentel ne doit pas être confondu avec un élément constitutif de l’infraction.

IX. Exemple simple

A, situé en Belgique, pénètre frauduleusement un système dont l’infrastructure attaquée est située en France. L’article 113-2 doit être examiné directement.

X. Exemple inverse

A est en France. Il lance depuis son ordinateur français une intrusion contre un système situé à l’étranger. Une partie des actes constitutifs est accomplie depuis la France.

application possible de l’article 113-2.

XI. L’endroit où se trouve l’auteur n’est donc pas le seul critère

C’est une erreur fréquente.

XII. Cyberattaque distribuée

Une attaque peut être composée de :

préparation en France ;
commande depuis l’étranger ;
exécution par un botnet mondial ;
victime en France.

Il faut reconstituer juridiquement chaque étape.

XIII. Jurisprudence générale de l’article 113-2

La Cour de cassation rappelle qu’un seul fait constitutif situé en France suffit à rendre l’infraction réputée commise en France. Elle l’a notamment appliqué dans son arrêt du 26 septembre 2007, n° 07-83.829.

XIV. L’arrêt de 2007 n’était pas cyber

Il concernait des faits de recel liés à des vols commis en France. Mais il confirme la portée générale du principe de l’article 113-2 :

UN FAIT CONSTITUTIF EN FRANCE PEUT SUFFIRE.

II. La règle fondamentale d’Internet — article 113-2-1

XV. Création en 2016

L’article 113-2-1 a été créé par la loi du 3 juin 2016 et est en vigueur depuis le 5 juin 2016.

XVI. Pourquoi ce texte est majeur

Il évite une grande partie des difficultés résultant de la délocalisation technique des infractions commises en ligne.

XVII. Première condition

Il faut :

UN CRIME OU UN DÉLIT.

XVIII. Deuxième condition

L’infraction doit être :

RÉALISÉE AU MOYEN D’UN RÉSEAU DE COMMUNICATION ÉLECTRONIQUE.

XIX. Troisième condition

Elle peut être :

consommée ;
ou seulement tentée.

Le texte vise expressément les deux situations.

XX. Quatrième condition : victime personne physique

La victime doit :

RÉSIDER SUR LE TERRITOIRE DE LA RÉPUBLIQUE.

XXI. Point très important

Le critère n’est pas ici :

nationalité française.

Il est :

RÉSIDENCE EN FRANCE.

XXII. Victime étrangère résidant en France

Elle peut donc relever de 113-2-1.

XXIII. Français vivant à l’étranger

Le seul article 113-2-1 ne se fonde pas sur sa nationalité mais sur sa résidence. D’autres mécanismes, notamment l’article 113-7, peuvent toutefois devenir pertinents.

XXIV. Cinquième condition : victime personne morale

Lorsque la victime est une personne morale :

son siège doit se situer sur le territoire de la République.

XXV. Société française attaquée depuis l’étranger

Exemple : A agit depuis un pays tiers. Il pénètre le système d’une société ayant son siège à Paris. L’article 113-2-1 permet de considérer le crime ou délit réalisé par réseau électronique et commis ou tenté à son préjudice comme commis en France.

XXVI. Peu importe que l’auteur soit étranger

Le texte ne limite pas cette règle aux auteurs français.

XXVII. Peu importe également que l’auteur soit physiquement hors de France

C’est précisément l’un des intérêts majeurs de la disposition.

XXVIII. Exemple ransomware

Le groupe :

agit depuis plusieurs États étrangers ;
utilise des serveurs étrangers ;
chiffre les données d’une entreprise ayant son siège à Lyon.

113-2-1 est directement à examiner.

XXIX. Tentative de ransomware

Le malware est bloqué avant chiffrement. Si l’infraction cyber tentée est juridiquement caractérisée et commise au préjudice de la société française :

113-2-1 vise expressément les infractions tentées.

XXX. Attaque contre un particulier résidant en France

Même logique.

XXXI. Résidence ≠ présence momentanée

Le texte emploie le concept de :

résidence.

Il ne faut donc pas réduire ce critère au fait que la victime se trouvait physiquement en France quelques heures.

XXXII. Personne morale : siège ≠ simple client français

Une plateforme étrangère attaquée à l’étranger n’entre pas automatiquement dans 113-2-1 parce qu’elle possède quelques clients en France. Il faut identifier la victime juridique exacte.

III. Article 113-2-1 et atteintes aux STAD

XXXIII. 323-1

Un accès frauduleux réalisé depuis l’étranger au préjudice d’une personne physique résidant en France ou d’une personne morale dont le siège est en France peut relever du mécanisme de 113-2-1 lorsqu’il est réalisé au moyen d’un réseau de communication électronique.

XXXIV. 323-2

Même logique pour une attaque DDoS ou une autre entrave réalisée à distance.

XXXV. 323-3

Même logique pour :

extraction ;
reproduction ;
modification ;
suppression ;
transmission frauduleuse de données.

XXXVI. 323-3-1

La situation doit être analysée plus finement selon le comportement précis :

importation ;
détention ;
offre ;
cession ;
mise à disposition.

Tous les faits ne comportent pas nécessairement une victime individualisée correspondant immédiatement au schéma de 113-2-1.

XXXVII. Il faut éviter le raisonnement automatique

INFRACTION NUMÉRIQUE = 113-2-1

est trop large. Le texte exige expressément une infraction réalisée au moyen d’un réseau de communication électronique au préjudice de la personne répondant aux critères territoriaux.

IV. Le lieu du serveur

XXXVIII. Serveur en France

Il peut constituer un rattachement particulièrement fort selon l’infraction et les faits constitutifs qui s’y réalisent.

XXXIX. Serveur à l’étranger

Cela ne prive pas nécessairement la France de compétence.

XL. Pourquoi ?

Parce qu’il peut exister :

un fait constitutif en France — 113-2 ;
une victime relevant de 113-2-1 ;
un auteur français — 113-6 ;
une victime française — 113-7.

XLI. La géolocalisation du serveur n’est donc jamais l’unique question

XLII. Cloud

Cette observation est particulièrement importante dans les environnements cloud. Un système logique unique peut utiliser des machines réparties entre plusieurs pays.

XLIII. Région cloud

Le choix :

Europe-West

ou :

EU

ne détermine pas à lui seul la compétence pénale.

XLIV. Infrastructure répartie

Une donnée peut être :

stockée en France ;
répliquée en Allemagne ;
sauvegardée en Irlande.

La localisation technique doit être rapprochée des éléments constitutifs juridiques.

V. L’adresse IP

XLV. Adresse IP française de l’auteur

C’est un indice de localisation. Mais :

IP FRANÇAISE ≠ PREUVE ABSOLUE QUE L’AUTEUR ÉTAIT EN FRANCE.

XLVI. VPN

L’IP visible peut être celle d’un relais.

XLVII. Proxy

Même chose.

XLVIII. Machine compromise

L’attaque peut partir d’un ordinateur français contrôlé à distance par un auteur situé ailleurs.

XLIX. Botnet

Des milliers de machines peuvent être utilisées simultanément.

L. Il faut distinguer

LOCALISATION DU PAQUET

et :

LOCALISATION DE L’AUTEUR HUMAIN.

LI. Mais juridiquement, la localisation de l’auteur n’est pas toujours décisive

Puisque l’article 113-2-1 peut rattacher l’infraction à la France en fonction de la victime.

VI. Un simple accès depuis la France à un contenu Internet ne suffit pas toujours

LII. Principe jurisprudentiel important

Avant et indépendamment des hypothèses précises de l’article 113-2-1, la Cour de cassation a refusé de transformer l’accessibilité mondiale d’Internet en compétence territoriale universelle française.

LIII. Cass. crim., 12 juillet 2016, n° 15-86.645

Dans une affaire de diffamation en ligne, la Cour a jugé que la seule circonstance qu’un contenu étranger soit accessible depuis la France ne caractérise pas, en l’absence d’autre critère de rattachement, un acte de publication en France permettant de retenir la compétence française.

LIV. L’affaire était une infraction de presse

Il ne faut donc pas appliquer mécaniquement cette jurisprudence aux articles 323-1 et suivants.

LV. Mais le principe méthodologique demeure utile

INTERNET EST MONDIAL ; L’ACCESSIBILITÉ SEULE NE DOIT PAS ÊTRE CONFONDUE AVEC UNE COMPÉTENCE PÉNALE UNIVERSELLE.

LVI. QPC du 26 juillet 2017

La chambre criminelle a encore relevé que la diffusion mondiale propre à Internet justifie que la simple accessibilité ne soit pas nécessairement suffisante pour rattacher une publication à la France.

LVII. Mais pour les victimes françaises ou résidant en France

Il faut désormais examiner prioritairement l’article 113-2-1 lorsqu’il est applicable.

VII. Auteur français agissant entièrement à l’étranger — article 113-6

LVIII. Principe de personnalité active

La loi pénale française est applicable à tout crime commis à l’étranger par un Français.

LIX. Pour les délits

La loi française est applicable aux délits commis par un Français à l’étranger si :

LES FAITS SONT AUSSI PUNIS PAR LA LÉGISLATION DU PAYS OÙ ILS ONT ÉTÉ COMMIS.

LX. C’est la condition de double incrimination

Pour les délits relevant de cette branche de 113-6 :

comportement punissable en France

comportement punissable dans l’État de commission.

LXI. Application aux cyberinfractions

La plupart des atteintes étudiées dans le chapitre 323 sont des délits. Un Français qui pirate entièrement depuis l’étranger un système lui aussi situé à l’étranger peut donc conduire à examiner :

113-6 + double incrimination.

LXII. Exemple

A, Français, vit temporairement dans l’État X. Il attaque une entreprise de l’État Y. Aucun fait constitutif n’est localisé en France et aucune victime ne relève de 113-2-1.

113-6 peut néanmoins permettre l’application de la loi française si les conditions prévues sont satisfaites.

LXIII. Nationalité acquise après les faits

L’article 113-6 précise en outre qu’il s’applique même lorsque l’intéressé a acquis la nationalité française après les faits.

LXIV. Point important

Il serait donc faux d’écrire :

« il devait impérativement être Français au moment de l’attaque ».

L’article prévoit expressément l’hypothèse de l’acquisition ultérieure.

VIII. Victime française à l’étranger — article 113-7

LXV. Personnalité passive

La loi française est également applicable aux :

crimes ;
et délits punis d’emprisonnement

commis à l’étranger lorsque la victime est française au moment de l’infraction.

LXVI. Auteur français ou étranger

L’article 113-7 vise expressément une infraction commise :

par un Français ou par un étranger.

LXVII. Distinction avec 113-2-1

113-2-1 :

résidence de la personne physique en France.

113-7 :

nationalité française de la victime.

LXVIII. Les critères peuvent coïncider

Une victime :

française ;
résidant en France

peut relever des deux logiques selon les circonstances.

LXIX. Mais ils peuvent diverger

Français résidant à l’étranger :

113-7 peut être important.

Étranger résidant en France :

113-2-1 peut être important.

LXX. Tableau

Victime	113-2-1	113-7
Français résidant en France	Oui possible	Oui possible
Étranger résidant en France	Oui possible	Non sur la seule nationalité
Français résidant à l’étranger	Pas sur la seule résidence	Oui possible
Étranger résidant à l’étranger	Non sur ces seuls critères	Non sur ces seuls critères

Les deux textes utilisent donc volontairement des critères différents.

IX. Article 113-8 : condition procédurale pour certains délits extraterritoriaux

LXXI. Point très important

Lorsqu’on se fonde sur les articles 113-6 ou 113-7 pour poursuivre un délit commis à l’étranger, l’article 113-8 prévoit un régime procédural particulier.

LXXII. Première condition

La poursuite des délits ne peut être exercée que :

À LA REQUÊTE DU MINISTÈRE PUBLIC.

LXXIII. Deuxième condition

Elle doit en principe être précédée :

d’une plainte de la victime ou de ses ayants droit ;
ou d’une dénonciation officielle par l’autorité du pays où le fait a été commis.

LXXIV. Cela concerne le fondement extraterritorial de 113-6/113-7

Il ne faut pas transposer mécaniquement ces conditions à une infraction réputée commise en France sur le fondement de 113-2 ou 113-2-1.

LXXV. Exemple

Un Français commet intégralement depuis l’étranger une cyberinfraction contre une victime elle aussi étrangère. La compétence française repose uniquement sur 113-6. Pour le délit, les conditions de 113-8 doivent être examinées.

X. Exception actuelle de l’article 113-8-1

LXXVI. Situation particulière au 13 août 2026

L’article 113-8-1 est encore en vigueur à cette date, même si son abrogation a déjà été décidée pour une date ultérieure. Il prévoit que la plainte ou la dénonciation requises par 113-8 ne sont pas nécessaires lorsque la poursuite est exercée devant une juridiction pénale disposant d’une compétence territoriale concurrente et spécialisée couvrant plusieurs tribunaux judiciaires ou l’ensemble du territoire.

LXXVII. Particularité temporelle

Légifrance indique que cette disposition reste en vigueur jusqu’au 1er janvier 2029 ; son abrogation future résulte de l’ordonnance du 19 novembre 2025.

LXXVIII. Conséquence méthodologique

Dans un dossier ouvert en 2026 :

NE PAS TRAITER 113-8-1 COMME DÉJÀ ABROGÉ.

Il est encore applicable au 13 août 2026.

XI. Jugement déjà intervenu à l’étranger — article 113-9

LXXIX. Principe

Dans les hypothèses des articles 113-6 et 113-7, aucune poursuite ne peut être exercée en France contre une personne qui justifie :

avoir été définitivement jugée à l’étranger pour les mêmes faits ;
et, en cas de condamnation, avoir subi sa peine ou que celle-ci soit prescrite.

LXXX. Objectif

Éviter, dans ces hypothèses, une double poursuite internationale lorsque les conditions du texte sont réunies.

LXXXI. Exemple

Un pirate français est définitivement condamné à l’étranger pour une attaque. Sa peine y est entièrement exécutée. Une nouvelle poursuite française fondée sur 113-6 devra être confrontée à l’article 113-9.

LXXXII. Attention au périmètre du texte

113-9 vise expressément :

les cas prévus aux articles 113-6 et 113-7.

Il ne faut donc pas en faire une règle uniforme résolvant toutes les hypothèses internationales possibles.

XII. Complicité commise en France d’une infraction commise à l’étranger — article 113-5

LXXXIII. Cas très important en cybercriminalité

Un développeur ou un fournisseur d’infrastructure peut se trouver en France alors que l’auteur principal attaque depuis l’étranger.

LXXXIV. Article 113-5

La loi française est applicable à celui qui, en France, s’est rendu complice d’un crime ou délit commis à l’étranger lorsque :

l’infraction est punie par la loi française ;
elle est également punie par la loi étrangère ;
elle a été constatée par une décision définitive de la juridiction étrangère.

LXXXV. Exemple

A, situé hors de France, commet l’intrusion. B, situé en France :

lui fournit volontairement les identifiants ;
configure un serveur pour l’attaque.

Si le fondement retenu est la complicité en France d’une infraction étrangère, l’article 113-5 doit être analysé.

LXXXVI. Attention

Cette disposition possède des conditions plus précises qu’une simple formule :

« le complice était en France ».

LXXXVII. Deuxième alinéa de 113-5

Depuis 2020, une règle particulière existe pour certains actes de provocation ou instructions commis en France concernant à l’étranger les crimes du livre II du Code pénal.

LXXXVIII. Cette seconde branche n’est pas le régime ordinaire des atteintes aux STAD

Les infractions des articles 323-1 et suivants appartiennent au livre III. Il faut donc éviter de l’appliquer automatiquement aux cyberinfractions étudiées ici.

XIII. Auteur étranger, victime française

LXXXIX. Cas pratique

A :

nationalité étrangère ;
réside hors de France ;
attaque depuis l’étranger.

Victime :

société ayant son siège à Paris.

113-2-1 peut suffire à réputer l’infraction commise en France si ses conditions sont satisfaites.

XC. Il n’est pas nécessaire de rechercher d’abord la nationalité de l’auteur

C’est le rattachement à la victime qui est central dans cette hypothèse.

XCI. Auteur étranger / particulier français résidant en France

Même logique.

XCII. Auteur étranger / Français résidant à l’étranger

113-2-1 peut manquer sur la résidence. Mais :

113-7 doit être examiné en raison de la nationalité française de la victime.

XIV. Auteur français, victime étrangère

XCIII. Première hypothèse : attaque depuis la France

113-2 peut suffire si un fait constitutif se produit en France.

XCIV. Deuxième hypothèse : attaque entièrement depuis l’étranger

113-6 peut devenir le fondement central.

XCV. Pour un délit

Il faut alors examiner la double incrimination.

XCVI. Exemple

Le pays étranger ne punit absolument pas le comportement considéré. Si la compétence repose uniquement sur 113-6 pour un délit :

la condition du deuxième alinéa de 113-6 devient déterminante.

XV. Auteur étranger, victime étrangère, infrastructure française

XCVII. Situation délicate

Ni auteur français. Ni victime française. Ni victime résidant en France. Mais une partie de l’infrastructure de l’attaque est située en France.

XCVIII. Question centrale

Un fait constitutif de l’infraction s’est-il produit en France ? Si oui :

113-2 peut être applicable.

XCIX. Simple transit réseau

Un paquet traverse un routeur français. Ce seul élément ne doit pas être assimilé sans analyse à un fait constitutif.

C. Serveur de commande volontairement implanté en France

La question est beaucoup plus sérieuse.

CI. Serveur français utilisé pour héberger le malware

Selon l’infraction poursuivie, cela peut constituer :

un acte préparatoire ;
une mise à disposition ;
un acte de complicité ;
ou un élément d’une infraction autonome.

Il faut identifier le texte précis.

XVI. L’infrastructure française involontaire

CII. Machine zombie

Un ordinateur français est infecté et utilisé comme bot. Son propriétaire ignore totalement l’opération.

CIII. Le propriétaire n’est évidemment pas auteur sur ce seul fondement

CIV. Mais la machine peut constituer matériellement un relais en France

Il faut encore déterminer si cela fournit juridiquement un rattachement suffisant à l’infraction considérée.

CV. Ne pas confondre

ÉLÉMENT TECHNIQUE SITUÉ EN FRANCE

et :

FAIT CONSTITUTIF AU SENS DE 113-2.

XVII. Botnets mondiaux

CVI. Exemple

Un DDoS utilise :

2 000 machines françaises ;
5 000 allemandes ;
3 000 américaines.

La cible est japonaise. L’auteur est situé dans un quatrième pays.

CVII. Impossible de raisonner uniquement sur une carte des IP

Il faut déterminer :

infraction poursuivie ;
rôle des machines françaises ;
faits constitutifs ;
éventuelle complicité.

CVIII. En revanche, cible française

Si la société victime a son siège en France :

113-2-1 offre un rattachement beaucoup plus direct.

XVIII. Exfiltration de données vers l’étranger

CIX. Exemple

A, situé au Canada, exfiltre les données d’une société française vers un serveur situé dans l’État X.

CX. Plusieurs rattachements possibles

La victime personne morale a son siège en France :

113-2-1.

Selon la localisation du système et des actes :

113-2 peut également être examiné.

CXI. Destination des données

Le fait que les données arrivent finalement sur un serveur étranger ne fait pas automatiquement perdre la compétence française.

XIX. Données françaises hébergées à l’étranger

CXII. Cas fréquent

Une société française utilise :

AWS ;
Azure ;
Google Cloud ;
autre fournisseur étranger.

Ses données peuvent physiquement être hébergées hors de France.

CXIII. Une attaque depuis l’étranger vise ces données

Il serait faux de conclure :

« serveur étranger donc aucun droit pénal français ».

CXIV. Si la société victime a son siège en France

L’article 113-2-1 doit être examiné.

CXV. Le siège de la victime peut donc être plus important que le datacenter

Dans cette hypothèse particulière.

XX. Filiale française et maison mère étrangère

CXVI. Question essentielle

QUI EST LA VICTIME JURIDIQUE ?

CXVII. Maison mère étrangère seule victime

Son siège est à l’étranger. La simple existence d’une filiale française ne déclenche pas automatiquement 113-2-1.

CXVIII. Filiale française elle-même victime

Si son siège se trouve en France :

113-2-1 peut devenir applicable.

CXIX. Groupe de sociétés ≠ personne morale unique

Il faut individualiser.

XXI. Établissement français d’une société étrangère

CXX. Difficulté

Une société a son siège à l’étranger mais possède une succursale importante à Paris. Le texte 113-2-1 parle :

du siège de la personne morale.

CXXI. Il serait donc imprudent de remplacer « siège » par :

« activité économique en France ».

Ce n’est pas le critère employé par 113-2-1.

CXXII. D’autres rattachements peuvent cependant exister

Notamment :

113-2 ;
victime physique ;
autres règles particulières.

XXII. Attaque contre une administration française

CXXIII. L’État comme victime

La situation ne se résume pas nécessairement au mécanisme applicable aux personnes morales privées.

CXXIV. Système étatique situé en France

113-2 peut constituer un rattachement naturel si un fait constitutif s’y réalise.

CXXV. Atteinte aux intérêts fondamentaux de la Nation

Une attaque informatique peut, dans certaines hypothèses particulièrement graves, relever également des infractions protégeant les intérêts fondamentaux de la Nation.

CXXVI. Article 113-10

La loi française est applicable à certaines atteintes aux intérêts fondamentaux de la Nation commises à l’étranger.

CXXVII. Ne pas automatiser

CYBERATTAQUE CONTRE L’ÉTAT ≠ ATTEINTE AUX INTÉRÊTS FONDAMENTAUX AUTOMATIQUEMENT.

Il faut caractériser l’infraction spéciale concernée.

XXIII. Cyberterrorisme

CXXVIII. Article 113-13

La loi française s’applique aux crimes et délits qualifiés d’actes de terrorisme commis à l’étranger par :

un Français ;
ou une personne résidant habituellement en France.

CXXIX. Conséquence

Une cyberattaque ayant véritablement la qualification terroriste peut relever de règles extraterritoriales différentes et plus larges que celles des simples délits informatiques.

CXXX. Mais encore une fois

CYBERATTAQUE GRAVE ≠ TERRORISME AUTOMATIQUEMENT.

XXIV. Extradition refusée et compétence française — article 113-8-2

CXXXI. Hypothèse particulière

La loi française peut également s’appliquer à certains crimes ou délits punis d’au moins cinq ans d’emprisonnement, commis à l’étranger par un étranger, lorsque son extradition ou sa remise a été refusée par les autorités françaises pour certains motifs précisément énumérés par l’article 113-8-2.

CXXXII. Exemples de motifs légaux

Le texte envisage notamment certaines hypothèses où :

la peine étrangère serait contraire à l’ordre public français ;
les garanties fondamentales du procès ne seraient pas assurées ;
l’infraction présenterait un caractère politique ;
l’extradition aurait des conséquences d’une gravité exceptionnelle pour la personne.

CXXXIII. Poursuite

Dans cette hypothèse :

la poursuite ne peut être exercée qu’à la requête du ministère public.

CXXXIV. Intérêt cyber

Plusieurs cyberinfractions aggravées atteignent ou dépassent le seuil de cinq années d’emprisonnement. 113-8-2 peut donc devenir pertinent dans certains dossiers internationaux très particuliers.

XXV. Double incrimination

CXXXV. Concept

La double incrimination signifie :

le comportement doit être punissable selon les deux législations concernées.

CXXXVI. Elle apparaît notamment dans l’article 113-6 pour les délits commis à l’étranger par un Français.

CXXXVII. Elle apparaît aussi dans le premier alinéa de 113-5 relatif à la complicité en France d’une infraction commise à l’étranger.

CXXXVIII. Attention

Double incrimination ne signifie pas nécessairement :

articles identiques ;

mêmes peines ;

même nomenclature.

La question centrale est celle de la punissabilité du comportement selon les règles applicables.

CXXXIX. Exemple

La France qualifie :

accès frauduleux à un STAD.

Le pays étranger possède une infraction de :

unauthorized computer access.

La terminologie différente n’exclut pas nécessairement la double incrimination.

XXVI. Le pays où le serveur est hébergé n’est pas nécessairement « le pays où le fait a été commis »

CXL. Erreur fréquente

En cybercriminalité :

DATACENTER ≠ TERRITOIRE UNIQUE DE L’INFRACTION.

CXLI. Pourquoi ?

Parce que les faits constitutifs peuvent être répartis entre plusieurs États.

CXLII. Il faut cartographier

auteur ;
victime ;
infrastructure cible ;
infrastructure de commande ;
lieu des actes préparatoires ;
flux de données.

XXVII. Lieu de l’effet

CXLIII. Les conséquences en France peuvent avoir une importance juridique

Mais il faut distinguer :

simple conséquence économique ;
élément constitutif ;
mécanisme spécifique de 113-2-1.

CXLIV. Il ne suffit donc pas toujours de dire

« la société française a perdu de l’argent ».

CXLV. Le meilleur fondement cyber est souvent plus précis

Lorsque la victime française correspond aux critères du texte :

113-2-1.

XXVIII. Accessibilité d’un outil de piratage depuis la France

CXLVI. Un outil est publié à l’étranger

Il est accessible depuis la France.

CXLVII. Peut-on dire automatiquement :

« 323-3-1 est commis en France » ?

Non.

CXLVIII. Il faut analyser

où a lieu la mise à disposition ;
qui est visé ;
quels faits constitutifs ;
existe-t-il un rattachement concret à la France ?

CXLIX. Jurisprudence Internet générale

La simple accessibilité depuis la France ne doit pas devenir un substitut systématique au rattachement territorial. L’arrêt du 12 juillet 2016 l’illustre clairement dans le contexte de la presse en ligne.

XXIX. Marketplace étrangère accessible depuis la France

CL. Même difficulté

Pour l’article 323-3-2 :

disponibilité mondiale de la plateforme

ne suffit pas nécessairement à elle seule à caractériser une compétence française.

CLI. Il faut rechercher

fournisseurs ;
victimes ;
utilisateurs concernés ;
actes en France ;
opérations réalisées depuis ou vers la France ;
autres rattachements légaux.

XXX. Complicité internationale

CLII. Exemple

A, en France, développe volontairement un malware pour B. B, à l’étranger, l’utilise contre une société étrangère.

CLIII. Première question

A commet-il personnellement 323-3-1 en France ? Si oui, il peut exister une infraction autonome française indépendamment de la complicité.

CLIV. Deuxième question

A est-il complice de l’infraction commise à l’étranger ? Alors :

113-5 doit être examiné avec ses propres conditions.

CLV. Importance méthodologique

Toujours rechercher l’infraction autonome avant de construire inutilement une compétence sur la seule complicité.

XXXI. Attaque par étapes dans plusieurs États

CLVI. Exemple

A en France :

obtient les identifiants.

B en Allemagne :

pénètre le système.

C aux Pays-Bas :

reçoit les données.

Victime :

société espagnole.

CLVII. Qualifications possibles différentes

A pourrait relever :

d’une infraction propre ;
de complicité ;
de 323-4 selon l’entente.

B :

323-1/323-3.

C :

détention/transmission frauduleuse selon les circonstances.

CLVIII. La compétence doit être individualisée par comportement

UN DOSSIER = PLUSIEURS AUTEURS ≠ MÊME FONDEMENT TERRITORIAL POUR TOUS.

XXXII. Groupement préparatoire international — article 323-4

CLIX. Groupe réparti dans plusieurs pays

Aucune difficulté conceptuelle à ce qu’une entente numérique soit transnationale.

CLX. Participant en France

S’il participe depuis la France à l’entente préparatoire :

113-2 peut devenir particulièrement pertinent puisque l’un des faits constitutifs de sa participation peut se réaliser en France.

CLXI. Tous les autres membres sont à l’étranger

Cela n’empêche pas nécessairement la poursuite de l’intéressé en France.

CLXII. Mais leur propre compétence doit être examinée séparément

XXXIII. Bande organisée transnationale

CLXIII. Une bande organisée peut parfaitement être internationale

Les membres n’ont pas besoin :

d’habiter le même pays ;
de se rencontrer physiquement.

CLXIV. Les serveurs peuvent être répartis

Cela n’empêche pas l’existence de l’organisation structurée.

CLXV. Mais le caractère international n’est pas lui-même une nouvelle circonstance aggravante automatique

Il faut appliquer les textes prévus.

XXXIV. Victime personne physique : résidence ou nationalité ?

CLXVI. Ne jamais mélanger les deux fondements

Article 113-2-1

résidence en France.

Article 113-7

nationalité française au moment de l’infraction.

CLXVII. Exemple 1

Victime :

Italienne résidant à Nice.

Attaque par réseau électronique depuis l’étranger.

113-2-1 possible.

CLXVIII. Exemple 2

Victime :

Française résidant à Montréal.

113-7 possible.

CLXIX. Exemple 3

Victime :

Française résidant à Marseille.

Les deux critères peuvent se rencontrer.

XXXV. Victime personne morale : importance du siège

CLXX. Société de droit étranger, siège à Londres

Son site français est perturbé. Il faut identifier :

qui supporte réellement l’atteinte ;
quels faits sont survenus en France.

CLXXI. Le seul domaine « .fr »

Ne signifie pas :

siège en France.

CLXXII. Nom de domaine ≠ siège social

CLXXIII. Serveur français ≠ siège social

CLXXIV. Clientèle française ≠ siège social

CLXXV. Filiale française ≠ siège français de la société mère

XXXVI. Cas du nom de domaine « .fr »

CLXXVI. Erreur fréquente

Une attaque contre :

exemple.fr

n’est pas automatiquement une infraction commise en France uniquement en raison du suffixe.

CLXXVII. Il faut rechercher

titulaire ;
siège ;
infrastructure ;
faits constitutifs ;
victime.

XXXVII. Cas d’un serveur hébergé en France pour une entreprise étrangère

CLXXVIII. Exemple

Société américaine. Serveur applicatif à Paris. Attaquant allemand.

CLXXIX. 113-2-1

Peut ne pas être fondé sur le siège de la personne morale, qui est à l’étranger.

CLXXX. Mais 113-2

Peut devenir pertinent si un fait constitutif de l’infraction se réalise sur le système situé en France.

XXXVIII. Cas d’une entreprise française hébergée aux États-Unis

CLXXXI. Situation inverse

Si la société a son siège en France et est victime d’une attaque réalisée par réseau électronique :

113-2-1 peut établir le rattachement, indépendamment de l’hébergement américain.

CLXXXII. C’est l’un des exemples les plus importants à mémoriser

SIÈGE FRANÇAIS + VICTIME + INFRACTION PAR RÉSEAU = NE PAS S’ARRÊTER À LA LOCALISATION DU DATACENTER.

XXXIX. Attaque contre un Français de passage en France

CLXXXIII. Article 113-2-1

Le texte parle de résidence.

CLXXXIV. Article 113-7

Le texte parle de nationalité française.

CLXXXV. Donc

Une personne française résidant habituellement hors de France mais temporairement présente à Paris peut relever plus naturellement de 113-7 que du critère de résidence de 113-2-1.

XL. Étranger de passage victime en France

CLXXXVI. Situation inverse

Un étranger résidant habituellement à l’étranger est temporairement en France lorsqu’il subit une attaque.

CLXXXVII. 113-2-1

Le critère de résidence n’est pas automatiquement satisfait.

CLXXXVIII. Il faudra rechercher

un fait constitutif en France ;
ou un autre fondement.

XLI. Le lieu du préjudice financier

CLXXXIX. Compte bancaire français

Le seul lieu d’un compte bancaire ne doit pas remplacer l’analyse des faits constitutifs.

CXC. Victime ayant son siège en France

113-2-1 sera souvent un fondement plus direct pour une infraction réalisée par réseau.

XLII. Preuve de la territorialité

CXCI. La compétence doit être établie par des faits

Il faut documenter :

siège de la société ;
résidence de la personne physique ;
localisation des infrastructures ;
localisation des auteurs ;
flux techniques.

CXCII. Kbis ou données officielles

Peuvent établir le siège de la personne morale.

CXCIII. Résidence

Peut être établie par les éléments classiques de preuve du domicile ou de la résidence.

CXCIV. Logs

Peuvent contribuer à localiser :

connexions ;
relais ;
administration.

CXCV. Hébergeur

Ses données peuvent identifier :

région ;
compte ;
moyen de paiement ;
administrateur.

CXCVI. Fournisseur VPN

Selon les données effectivement conservées et accessibles légalement.

CXCVII. Paiements

Peuvent contribuer à la localisation ou à l’attribution.

CXCVIII. Horodatage

Doit être normalisé.

CXCIX. Fuseaux horaires

Une erreur UTC / heure locale peut totalement fausser la chronologie internationale.

CC. Bonne pratique

Convertir les événements dans une référence temporelle commune.

XLIII. Adresse IP et preuve territoriale

CCI. IP source

Indice.

CCII. IP d’un VPN

Ne prouve pas la présence de l’auteur.

CCIII. IP d’un serveur cloud

Ne prouve pas davantage que l’auteur se trouvait dans ce pays.

CCIV. Géolocalisation IP

Elle possède une marge d’erreur.

CCV. Il faut croiser

logs ;
abonnements ;
paiements ;
terminaux ;
données de connexion.

XLIV. Cyberattaque préparée en France et réalisée à l’étranger

CCVI. Exemple

A configure le malware depuis Paris. Il part ensuite à l’étranger et déclenche l’attaque.

CCVII. L’acte français est-il constitutif ?

Il faut distinguer :

simple préparation ;
élément constitutif de l’infraction poursuivie.

CCVIII. Si seulement préparatoire

113-2 de l’infraction principale n’est pas automatiquement acquis sur ce seul fondement.

CCIX. Mais

Le préparatif peut lui-même constituer :

323-3-1 ;
323-4.

Et ces infractions peuvent être commises en France.

XLV. Distinction capitale : fait constitutif / acte préparatoire

CCX. Article 113-2 exige

UN FAIT CONSTITUTIF.

CCXI. Il ne dit pas

« n’importe quel acte préparatoire ».

CCXII. Exemple

Acheter légalement un ordinateur en France puis partir trois ans plus tard commettre une cyberattaque à l’étranger :

l’achat ne constitue évidemment pas un fait constitutif de 323-1.

CCXIII. En revanche

Détenir en France sans motif légitime un programme relevant de 323-3-1 :

infraction autonome pouvant déjà être consommée en France.

XLVI. Territorialité de la tentative

CCXIV. Article 113-2-1 vise expressément

les infractions :

TENTÉES OU COMMISES.

CCXV. Exemple

Attaquant situé au Brésil. Victime :

entreprise française.

L’exploit échoue. Si la tentative de 323-1 est constituée :

113-2-1 peut réputer cette tentative commise en France.

CCXVI. C’est particulièrement important

La compétence française n’attend pas la réussite technique de l’attaque.

XLVII. Territorialité et infraction impossible

CCXVII. Serveur français leurre

L’auteur étranger croit attaquer une vraie infrastructure française.

CCXVIII. La tentative

Peut être juridiquement constituée malgré l’impossibilité du résultat, selon les règles étudiées au chapitre précédent.

CCXIX. Territorialité

Doit ensuite être analysée séparément.

XLVIII. Multiplicité des États compétents

CCXX. Une même cyberattaque peut relever de plusieurs législations

Exemple :

auteur en Allemagne ;
victime en France ;
serveur aux Pays-Bas.

CCXXI. Il est possible que

Allemagne ;
France ;
Pays-Bas

disposent chacune de critères de compétence selon leurs propres droits.

CCXXII. Compétence française ≠ compétence française exclusive

C’est une distinction fondamentale.

CCXXIII. Plusieurs États peuvent simultanément poursuivre

Sous réserve :

des mécanismes de coopération ;
des règles relatives aux poursuites déjà exercées ;
du ne bis in idem applicable.

XLIX. Article 113-9 et jugement étranger

CCXXIV. Pour 113-6 / 113-7

Un jugement étranger définitif accompagné de l’exécution ou de la prescription de la peine peut faire obstacle à une nouvelle poursuite française dans les conditions du texte.

CCXXV. Ne pas écrire

« tout jugement étranger interdit toujours toute poursuite française ».

Ce serait trop général.

L. Preuve située à l’étranger

CCXXVI. Compétence et accès à la preuve sont deux questions distinctes

La France peut être compétente tout en ayant besoin d’obtenir :

logs ;
données cloud ;
informations d’abonné

situés ou contrôlés à l’étranger.

CCXXVII. Une compétence française ne donne pas un pouvoir matériel universel

Les autorités doivent respecter les mécanismes procéduraux applicables à la collecte transfrontalière de preuves.

CCXXVIII. Exemple

La France est compétente grâce à 113-2-1. Mais le fournisseur cloud est américain.

compétence pénale française et obtention de la preuve sont deux problèmes séparés.

LI. Serveur saisi à l’étranger

CCXXIX. Même logique

Le juge français ne peut pas nécessairement saisir physiquement une machine étrangère comme si elle se trouvait à Paris.

CCXXX. Coopération internationale

Elle peut être indispensable.

LII. Extradition

CCXXXI. Compétence ≠ présence de l’auteur

Un tribunal français peut avoir compétence alors que le suspect se trouve à l’étranger.

CCXXXII. Il faudra alors éventuellement

obtenir sa remise ;
obtenir son extradition ;
ou poursuivre selon les possibilités procédurales applicables.

CCXXXIII. Refus d’extradition

Dans certaines hypothèses prévues par l’article 113-8-2, ce refus peut lui-même ouvrir une compétence française particulière lorsque les conditions strictes de ce texte sont réunies.

LIII. Exemple complet n° 1 — entreprise française, hacker étranger

A vit en Russie. Il pénètre depuis son domicile dans le système cloud d’une société ayant son siège à Bordeaux. Le cloud est situé en Allemagne. Analyse :

113-2-1 : critère particulièrement fort, puisque l’infraction est réalisée par réseau électronique au préjudice d’une personne morale ayant son siège en France.

Le fait que :

A soit étranger ;
A soit hors de France ;
le serveur soit allemand

n’écarte pas ce mécanisme.

LIV. Exemple complet n° 2 — Français attaquant totalement à l’étranger

A est Français. Il vit en Espagne. Il attaque depuis l’Espagne une société portugaise dont les serveurs sont au Portugal. Aucun élément ne se situe en France.

113-6 doit être examiné.

Pour un délit :

double incrimination requise.

Et les conditions de poursuite de 113-8 doivent également être examinées.

LV. Exemple complet n° 3 — victime française à l’étranger

A, étranger, attaque une personne française installée au Japon. Aucun fait constitutif n’est localisé en France. La victime est française au moment de l’infraction.

113-7 à examiner.

Pour le délit :

113-8 doit également être pris en compte.

LVI. Exemple complet n° 4 — victime étrangère résidant en France

A attaque depuis l’étranger B :

nationalité italienne ;
résidence à Marseille.

L’attaque est commise par réseau électronique.

113-2-1 peut être applicable même si B n’est pas français.

LVII. Exemple complet n° 5 — société américaine, serveur français

Victime :

société américaine ayant son siège à New York.

Serveur attaqué :

Paris.

Attaquant :

Canada.

113-2-1 ne peut pas être fondé sur un siège français. Mais :

113-2 doit être examiné si un fait constitutif de l’infraction s’est produit sur le système situé en France.

LVIII. Exemple complet n° 6 — entreprise française hébergée aux États-Unis

Victime :

société ayant son siège à Toulouse.

Serveurs :

Virginie, États-Unis.

Attaquant :

États-Unis.

113-2-1 peut permettre de réputer l’infraction commise en France.

LIX. Exemple complet n° 7 — site étranger simplement consultable en France

Plateforme :

administrée à l’étranger ;
auteurs étrangers ;
victimes étrangères ;
aucune opération spécialement rattachée à la France.

Le site est néanmoins accessible depuis Lyon.

cette seule accessibilité ne doit pas être érigée en compétence française universelle.

La jurisprudence de la chambre criminelle sur les publications Internet l’illustre.

LX. Exemple complet n° 8 — DDoS international

Attaquant :

Maroc.

Botnet :

plusieurs continents.

Victime :

société ayant son siège à Paris.

Même si aucun ordinateur de l’attaquant n’est physiquement en France :

113-2-1 constitue un rattachement particulièrement important.

LXI. Exemple complet n° 9 — attaque contre un hôpital français

Groupe étranger. Infrastructure étrangère. Hôpital situé et exploité en France. Il faudra examiner :

113-2 ;
113-2-1 selon l’identité juridique de la victime ;
les infractions 323-1 à 323-4-2.

LXII. Exemple complet n° 10 — complice en France

A, étranger, attaque depuis l’étranger une victime étrangère. B, à Paris, lui fournit sciemment le moyen indispensable à l’attaque. Il faut distinguer :

une éventuelle infraction autonome de B commise en France ;
la complicité de l’infraction étrangère.

Pour cette seconde question :

article 113-5.

LXIII. Exemple complet n° 11 — groupe préparatoire en France

Trois personnes situées en France préparent une attaque contre une entreprise étrangère. La police intervient avant l’attaque. Le groupement de 323-4 est lui-même formé et matérialisé en France.

113-2 peut permettre l’application de la loi française à cette infraction autonome.

LXIV. Exemple complet n° 12 — auteur français déjà jugé

Un Français commet depuis l’étranger une cyberinfraction entièrement étrangère. Il est définitivement condamné dans l’État concerné et y exécute sa peine. Une poursuite française reposant sur 113-6 doit être confrontée à :

113-9.

LXV. Tableau des principaux rattachements

Situation	Fondement principal à examiner
Fait constitutif en France	113-2
Infraction par réseau contre résident français	113-2-1
Infraction par réseau contre société ayant siège en France	113-2-1
Français auteur entièrement à l’étranger	113-6
Victime française à l’étranger	113-7
Complice agissant en France d’une infraction étrangère	113-5
Auteur étranger non extradé dans certains cas	113-8-2
Terrorisme commis à l’étranger par Français/résident	113-13

Les conditions propres à chacun de ces fondements doivent être examinées séparément.

LXVI. Tableau : 113-2 / 113-2-1

Question	113-2	113-2-1
Fait constitutif en France	Oui	Pas le critère central
Infraction par réseau	Pas nécessairement	Oui
Victime personne physique résidant en France	Pas nécessairement	Oui
Société ayant siège en France	Pas nécessairement	Oui
Tentative expressément visée	Régime général	Oui

LXVII. Tableau : résidence / nationalité

Critère	Texte
Résidence de la victime physique en France	113-2-1
Siège français de la personne morale	113-2-1
Auteur français à l’étranger	113-6
Victime française à l’étranger	113-7

LXVIII. Tableau : délits commis entièrement à l’étranger

Situation	Double incrimination ?
Français auteur — 113-6	Oui pour les délits
Victime française — 113-7	Le texte ne pose pas cette condition
Complice en France — premier alinéa 113-5	Oui
Infraction réputée française par 113-2-1	Pas ce mécanisme

LXIX. Tableau : conditions de poursuite de 113-8

Pour les délits relevant de 113-6 et 113-7 :

Condition	Principe
Initiative	Ministère public
Plainte victime/ayants droit	Requise en principe
Dénonciation officielle étrangère	Alternative
Exception actuelle	113-8-1 pour certaines juridictions spécialisées

LXX. Checklist générale de compétence

CCXXXIV. Étape 1 : localiser les personnes

auteur ;
complice ;
victime.

CCXXXV. Étape 2 : identifier les nationalités

auteur français ?
victime française ?

CCXXXVI. Étape 3 : identifier les résidences

La victime physique réside-t-elle en France ?

CCXXXVII. Étape 4 : identifier le siège

La victime personne morale a-t-elle son siège en France ?

CCXXXVIII. Étape 5 : identifier les faits constitutifs

Un fait constitutif s’est-il produit en France ?

CCXXXIX. Étape 6 : identifier le réseau

L’infraction a-t-elle été réalisée :

au moyen d’un réseau de communication électronique ?

CCXL. Étape 7 : tentative ou consommation ?

113-2-1 vise les deux.

CCXLI. Étape 8 : si faits entièrement étrangers

Examiner :

113-6 ;
113-7.

CCXLII. Étape 9 : pour un délit relevant de ces articles

Examiner :

113-8.

CCXLIII. Étape 10

Existe-t-il :

une juridiction spécialisée faisant jouer actuellement 113-8-1 ?

CCXLIV. Étape 11

La personne a-t-elle déjà été définitivement jugée à l’étranger ?

113-9.

CCXLV. Étape 12

Complicité commise en France ?

113-5.

LXXI. Checklist technique

Localisation ordinateur auteur.
IP réelle ou relais ?
VPN ?
Proxy ?
Botnet ?
Serveur de commande ?
Serveur cible ?
Cloud ?
Datacenter ?
Réplication des données ?
Lieu d’extraction ?
Destination des données ?

LXXII. Checklist juridique

113-2 ?
113-2-1 ?
113-5 ?
113-6 ?
113-7 ?
113-8 ?
113-8-1 ?
113-8-2 ?
113-9 ?
113-10 ?
113-13 ?

LXXIII. Erreurs fréquentes

CCXLVI. Erreur n° 1 : l’auteur est à l’étranger, donc la France est incompétente

Faux. 113-2 et surtout 113-2-1 peuvent conduire à appliquer la loi française.

CCXLVII. Erreur n° 2 : le serveur est à l’étranger, donc aucun droit français

Faux.

CCXLVIII. Erreur n° 3 : le serveur est en France, donc la France est toujours compétente

Trop absolu. Il faut caractériser un rattachement légal et notamment déterminer si un fait constitutif s’est produit en France.

CCXLIX. Erreur n° 4 : toute donnée passant par la France constitue un fait constitutif

Faux. Le simple transit technique ne doit pas être confondu avec les éléments légaux de l’infraction.

CCL. Erreur n° 5 : une adresse IP française prouve que l’attaquant était en France

Faux. VPN, proxy ou machine compromise peuvent intervenir.

CCLI. Erreur n° 6 : une adresse IP étrangère exclut la compétence française

Faux.

CCLII. Erreur n° 7 : tout site accessible depuis la France est soumis au droit pénal français pour tout son contenu

Faux. La Cour de cassation a refusé cette logique d’accessibilité universelle dans sa jurisprudence relative aux publications sur Internet.

CCLIII. Erreur n° 8 : 113-2-1 exige que la victime soit française

Faux. Pour une personne physique :

le critère est la résidence en France.

CCLIV. Erreur n° 9 : une victime française vivant à l’étranger n’offre aucun rattachement

Faux. 113-7 doit être examiné.

CCLV. Erreur n° 10 : une victime étrangère vivant en France n’offre aucun rattachement

Faux. 113-2-1 peut être applicable.

CCLVI. Erreur n° 11 : pour une société, il suffit d’avoir des clients français

Faux pour le critère spécifique de 113-2-1. Le texte vise :

le siège situé en France.

CCLVII. Erreur n° 12 : nom de domaine .fr = siège français

Faux.

CCLVIII. Erreur n° 13 : serveur français = siège français

Faux.

CCLIX. Erreur n° 14 : Français auteur à l’étranger = loi française automatiquement applicable à tout délit

Incomplet. 113-6 exige en principe, pour les délits, que les faits soient aussi punis dans le pays de commission.

CCLX. Erreur n° 15 : victime française à l’étranger exige nécessairement double incrimination

Ce n’est pas ce que prévoit 113-7. Le texte vise les crimes et délits punis d’emprisonnement lorsque la victime est française.

CCLXI. Erreur n° 16 : les délits relevant de 113-6 ou 113-7 peuvent toujours être poursuivis spontanément comme une infraction française ordinaire

Faux. 113-8 prévoit en principe :

requête du ministère public ;
plainte ou dénonciation officielle préalable.

CCLXII. Erreur n° 17 : 113-8-1 est déjà abrogé en 2026

Faux. Au 13 août 2026, il demeure en vigueur ; son abrogation est programmée au 1er janvier 2029.

CCLXIII. Erreur n° 18 : un jugement étranger est toujours indifférent

Faux. 113-9 doit être examiné dans les hypothèses de 113-6 et 113-7.

CCLXIV. Erreur n° 19 : tout jugement étranger interdit automatiquement toute poursuite en France

Faux également. Le champ de 113-9 doit être respecté.

CCLXV. Erreur n° 20 : complice en France = compétence automatique sans condition

Faux. 113-5 contient plusieurs conditions propres.

CCLXVI. Erreur n° 21 : compétence française = possibilité de saisir immédiatement n’importe quel serveur étranger

Faux. Compétence juridictionnelle et pouvoir de collecte de preuves à l’étranger sont deux questions distinctes.

CCLXVII. Erreur n° 22 : compétence française = compétence exclusive

Faux. Plusieurs États peuvent être compétents simultanément.

CCLXVIII. Erreur n° 23 : cloud = absence de territorialité

Faux. Le cloud complique la localisation technique mais ne supprime pas les critères légaux.

CCLXIX. Erreur n° 24 : datacenter = seul lieu de commission

Faux.

CCLXX. Erreur n° 25 : 113-2-1 ne s’applique qu’aux infractions consommées

Faux. Il vise expressément celles qui sont :

tentées ou commises.

LXXIV. Jurisprudence fondamentale : Cass. crim., 26 septembre 2007, n° 07-83.829

La chambre criminelle rappelle le principe général de l’article 113-2 :

il suffit qu’un fait constitutif se soit produit en France pour que l’infraction soit réputée commise sur le territoire français.

CCLXXI. Enseignement cyber

Lorsqu’une opération traverse plusieurs pays :

NE PAS CHERCHER UN « PAYS UNIQUE » DE LA CYBERATTAQUE.

Chercher plutôt :

OÙ SE SONT PRODUITS LES FAITS CONSTITUTIFS ?

LXXV. Jurisprudence Internet : Cass. crim., 12 juillet 2016, n° 15-86.645

La chambre criminelle a jugé que la seule accessibilité en France d’un contenu mis en ligne à l’étranger ne pouvait, en l’absence d’un critère de rattachement au territoire français, suffire à caractériser un acte de publication en France.

CCLXXII. Portée limitée mais importante

L’arrêt concernait la diffamation, et non 323-1. Il ne faut pas le transformer en arrêt général sur toutes les cyberinfractions.

CCLXXIII. Mais il interdit un raisonnement excessif

« INTERNET EST ACCESSIBLE EN FRANCE, DONC TOUT EST COMMIS EN FRANCE ».

LXXVI. Article 113-2-1 : réponse législative majeure au numérique

CCLXXIV. Texte actuel

Depuis le 5 juin 2016 :

crime ou délit réalisé au moyen d’un réseau électronique ;

tentative ou consommation ;

victime physique résidant en France ou personne morale ayant son siège en France ;

→ infraction réputée commise en France.

CCLXXV. C’est la règle à mémoriser prioritairement pour les cyberattaques transfrontalières

LXXVII. Méthode ultra-rapide

Face à une cyberattaque internationale :

1. Y A-T-IL UN FAIT CONSTITUTIF EN FRANCE ?

Oui :

113-2.

Sinon ou en complément :

2. INFRACTION RÉALISÉE PAR RÉSEAU ÉLECTRONIQUE ?

↓

3. VICTIME PHYSIQUE RÉSIDANT EN FRANCE ?

ou :

SOCIÉTÉ AYANT SON SIÈGE EN FRANCE ?

Oui :

113-2-1.

Sinon :

4. AUTEUR FRANÇAIS ?

Oui :

113-6.

Sinon ou cumulativement :

5. VICTIME FRANÇAISE ?

Oui :

113-7.

Puis :

6. SI 113-6/113-7 ET DÉLIT : CONDITIONS DE 113-8 ?

↓

7. EXCEPTION 113-8-1 ?

↓

8. JUGEMENT ÉTRANGER DÉFINITIF : 113-9 ?

↓

9. COMPLICE EN FRANCE : 113-5 ?

↓

10. EXTRADITION REFUSÉE : 113-8-2 ?

LXXVIII. Formule générale de rattachement territorial

UN FAIT CONSTITUTIF EN FRANCE

ARTICLE 113-2.

LXXIX. Formule spéciale cyber

CRIME OU DÉLIT PAR RÉSEAU ÉLECTRONIQUE

VICTIME RÉSIDANT EN FRANCE

PERSONNE MORALE AYANT SON SIÈGE EN FRANCE

INFRACTION RÉPUTÉE COMMISE EN FRANCE — 113-2-1.

LXXX. Formule personnalité active

AUTEUR FRANÇAIS

DÉLIT COMPLÈTEMENT ÉTRANGER

DOUBLE INCRIMINATION

113-6 POSSIBLE.

LXXXI. Formule personnalité passive

VICTIME FRANÇAISE AU MOMENT DE L’INFRACTION

CRIME OU DÉLIT PUNI D’EMPRISONNEMENT COMMIS À L’ÉTRANGER

113-7 POSSIBLE.

LXXXII. À retenir

La première règle est :

UNE CYBERATTAQUE N’A PAS NÉCESSAIREMENT UN TERRITOIRE UNIQUE.

Elle peut relier simultanément :

auteur ;
victime ;
serveur ;
données ;
infrastructure

situés dans plusieurs États. La deuxième règle est :

ARTICLE 113-2 : UN SEUL FAIT CONSTITUTIF EN FRANCE PEUT SUFFIRE À RÉPUTER L’INFRACTION COMMISE EN FRANCE.

La troisième règle, fondamentale pour Internet, est :

ARTICLE 113-2-1.

Depuis le 5 juin 2016, tout crime ou délit réalisé au moyen d’un réseau de communication électronique, tenté ou commis au préjudice :

d’une personne physique résidant en France ;
ou d’une personne morale ayant son siège en France,

est réputé commis en France. La quatrième règle est :

RÉSIDENCE ≠ NATIONALITÉ.

Un étranger résidant en France peut bénéficier du rattachement de 113-2-1. La cinquième règle est :

SIÈGE SOCIAL ≠ DATACENTER.

Une société française hébergée à l’étranger peut néanmoins entrer dans le champ de 113-2-1. La sixième règle est :

SERVEUR ÉTRANGER ≠ ABSENCE DE COMPÉTENCE FRANÇAISE.

La septième règle est :

SERVEUR FRANÇAIS ≠ COMPÉTENCE AUTOMATIQUE.

Il faut identifier le fait constitutif correspondant. La huitième règle est :

ACCESSIBILITÉ DEPUIS LA FRANCE ≠ COMPÉTENCE UNIVERSELLE.

La jurisprudence de la chambre criminelle en matière de publications en ligne refuse que la seule accessibilité mondiale d’Internet devienne un critère universel de compétence. La neuvième règle est :

ARTICLE 113-6 = PERSONNALITÉ ACTIVE.

Pour un délit commis par un Français entièrement à l’étranger, il faut en principe une double incrimination. La dixième règle est :

ARTICLE 113-7 = PERSONNALITÉ PASSIVE.

Une infraction punie d’emprisonnement commise à l’étranger contre une victime française peut relever de la loi française. La onzième règle est :

113-6 / 113-7 → VÉRIFIER 113-8.

Pour les délits, l’action suppose en principe :

requête du ministère public ;
plainte de la victime ou dénonciation officielle étrangère.

La douzième règle est particulièrement importante en 2026 :

113-8-1 EST ENCORE EN VIGUEUR.

Il écarte l’exigence de plainte ou de dénonciation dans certaines poursuites exercées devant des juridictions pénales à compétence territoriale concurrente et spécialisée. Son abrogation n’interviendra qu’au 1er janvier 2029. La treizième règle est :

JUGEMENT ÉTRANGER DÉFINITIF : EXAMINER 113-9.

La quatorzième règle est :

COMPLICE EN FRANCE D’UNE INFRACTION ÉTRANGÈRE : EXAMINER 113-5 ET SES CONDITIONS PROPRES.

La quinzième règle est :

VPN, TOR, PROXY ET BOTNET NE DÉTERMINENT PAS À EUX SEULS LE TERRITOIRE JURIDIQUE DE L’INFRACTION.

Ils compliquent surtout la preuve de la localisation et de l’attribution. La seizième règle est :

COMPÉTENCE JURIDIQUE ≠ POSSIBILITÉ MATÉRIELLE DE SAISIR UNE PREUVE À L’ÉTRANGER.

La collecte des preuves transfrontalières possède ses propres règles. La dix-septième règle est :

PLUSIEURS ÉTATS PEUVENT ÊTRE COMPÉTENTS EN MÊME TEMPS.

La compétence française n’est donc pas nécessairement exclusive. Enfin, la méthode générale est :

IDENTIFIER L’AUTEUR → IDENTIFIER LA VICTIME → LOCALISER LES FAITS CONSTITUTIFS → VÉRIFIER 113-2 → VÉRIFIER PRIORITAIREMENT 113-2-1 POUR LES ATTAQUES PAR RÉSEAU → EXAMINER NATIONALITÉ DE L’AUTEUR ET DE LA VICTIME → APPLIQUER 113-6/113-7 LE CAS ÉCHÉANT → CONTRÔLER 113-8 ET 113-8-1 → RECHERCHER UN JUGEMENT ÉTRANGER AU TITRE DE 113-9 → TRAITER SÉPARÉMENT LA COMPLICITÉ INTERNATIONALE ET L’OBTENTION DES PREUVES À L’ÉTRANGER.