- Peines principales
Le fait d'accéder ou de se maintenir, frauduleusement, dans tout ou partie d'un système de traitement automatisé de données est puni de deux ans d'emprisonnement et de 60 000 euros d'amende.
Lorsqu'il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de trois ans d'emprisonnement et de 100 000 euros d'amende.
Lorsque les infractions susvisées ont été commises à l'encontre d'un système de traitement automatisé de données à caractère personnel mis en oeuvre par l'Etat, la peine est portée à cinq ans d'emprisonnement et à 150 000 euros d'amende.
Le fait d'entraver ou de fausser le fonctionnement d'un système de traitement automatisé de données est puni de cinq ans d'emprisonnement et de 150 000 euros d'amende.
Lorsque cette infraction a été commise à l'encontre d'un système de traitement automatisé de données à caractère personnel mis en oeuvre par l'Etat, la peine est portée à sept ans d'emprisonnement et à 300 000 euros d'amende.
Le fait d'introduire frauduleusement des données dans un système de traitement automatisé, d'extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu'il contient est puni de cinq ans d'emprisonnement et de 150 000 euros d'amende.
Lorsque cette infraction a été commise à l'encontre d'un système de traitement automatisé de données à caractère personnel mis en oeuvre par l'Etat, la peine est portée à sept ans d'emprisonnement et à 300 000 euros d'amende.
Le fait, sans motif légitime, notamment de recherche ou de sécurité informatique, d'importer, de détenir, d'offrir, de céder ou de mettre à disposition un équipement, un instrument, un programme informatique ou toute donnée conçus ou spécialement adaptés pour commettre une ou plusieurs des infractions prévues par les articles 323-1 à 323-3 est puni des peines prévues respectivement pour l'infraction elle-même ou pour l'infraction la plus sévèrement réprimée.
La participation à un groupement formé ou à une entente établie en vue de la préparation, caractérisée par un ou plusieurs faits matériels, d'une ou de plusieurs des infractions prévues par les articles 323-1 à 323-3-1 est punie des peines prévues pour l'infraction elle-même ou pour l'infraction la plus sévèrement réprimée.
La tentative des délits prévus par les articles 323-1 à 323-3-1 du Code pénal est punie des mêmes peines.
- Peines complémentaires
Les personnes physiques encourent également les peines complémentaires suivantes :
- l'interdiction, pour une durée de cinq ans au plus, des droits civiques, civils et de famille ;
- l'interdiction, pour une durée de cinq ans au plus, d'exercer une fonction publique ou d'exercer l'activité professionnelle ou sociale dans l'exercice de laquelle ou à l'occasion de laquelle l'infraction a été commise ;
- la confiscation de la chose qui a servi ou était destinée à commettre l'infraction ou de la chose qui en est le produit, à l'exception des objets susceptibles de restitution ;
- la fermeture, pour une durée de cinq ans au plus, des établissements ou de l'un ou de plusieurs des établissements de l'entreprise ayant servi à commettre les faits incriminés ;
- l'exclusion, pour une durée de cinq ans au plus, des marchés publics ;
- l'interdiction, pour une durée de cinq ans au plus, d'émettre des chèques autres que ceux qui permettent le retrait de fonds par le tireur auprès du tiré ou ceux qui sont certifiés ;
- l'affichage ou la diffusion de la décision prononcée.
Les personnes morales déclarées responsables pénalement encourent, outre l'amende, les peines prévues par l'article 131-39 du Code pénal.
L'interdiction d'exercer directement ou indirectement une ou plusieurs activités professionnelles ou sociales porte sur l'activité dans l'exercice ou à l'occasion de l'exercice de laquelle l'infraction a été commise.
- Illustrations jurisprudentielles
Compétence. La saisine fondée sur la compétence nationale concurrente du tribunal de grande instance de Paris pour les infractions relatives au système de traitement automatisé de données relève de la seule prérogative du procureur de la République, de sorte qu’elle ne peut être le fait de la partie civile. ► Lire : W. Azoulay, Cybercriminalité : d’une compétence concurrente parisienne à une prérogative du Parquet, Lexbase Pénal, 2018, n° 9.
Encourt la censure l'arrêt qui, constatant l'introduction d'un virus, lors d'un compactage des données du logiciel d'un client, dans des circonstances laissant penser qu'elle a été volontaire, relaxe le prévenu sans ordonner les auditions nécessaires.
Doit être censuré l'arrêt relaxant un prévenu du chef de maintien frauduleux dans un système de traitement automatisé de données alors qu'il relève que celui-ci a utilisé pendant 2 ans une base de données qui n'était accessible qu'aux personnes autorisées.
Est justifié l'arrêt retenant qu'un prévenu ne pouvait arguer d'un motif légitime tiré de la volonté d'information dès lors que, du fait de son expertise, il savait qu'il diffusait des informations présentant un risque d'utilisation à des fins de piratage.
Est coupable de maintien frauduleux dans un système de traitement automatisé, le prévenu qui s'est maintenu dans un système de traitement automatisé après avoir découvert que celui-ci était protégé et a soustrait des données qu'il a utilisées sans le consentement de leur propriétaire.
Le fait de modifier ou supprimer intentionnellement des données contenues dans un système de traitement automatisé caractérise le délit, sans qu'il soit nécessaire que ces modifications ou suppressions émanent d'une personne n'ayant pas un droit d'accès au système ni que leur auteur soit animé de la volonté de nuire. Justifie sa décision la cour qui, pour déclarer le prévenu coupable, relève qu'il avait modifié, en violation des règles et principes comptables, des données qui avaient été enregistrées de manière définitive dans le système automatisé de comptabilité dont il avait la charge.
La fourniture de moyens techniques, comme un serveur informatique, ainsi que la présence du fournisseur sur des sites de discussion ayant permis la préparation d'une attaque contre le site d'EDF, suffit à caractériser la participation à une entente, en vue de la préparation d'entrave au bon fonctionnement d'un système de traitement automatisé de données.
Les modifications ou suppressions de données d’un STAD sont nécessairement frauduleuses dès lors qu’elles ont été sciemment dissimulées à au moins un autre utilisateur d’un tel système, même lorsque ce dernier n’est pas titulaire de droits de modification. Dès lors, se rend coupable du délit d'atteinte à un STAD la personne qui supprime, en toute connaissance de cause, la minute numérisée d'un jugement du tribunal de commerce et les mentions informatiques relatives au dossier concerné, à l'insu d'un autre utilisateur du système.