Défense pénale des entreprises, de leurs dirigeants et des personnes physiques, victimes comme mises en cause, dans les dossiers de cybercriminalité : fuite de données, ransomware, escroquerie aux crypto-actifs, atteintes en ligne.
Le cabinet intervient sur les deux temps du risque numérique : la préparation, avant qu’un incident survienne, et la défense, une fois la procédure ouverte. Ce qui est décidé et écrit dans les premières heures d’une crise détermine ce qui sera opposable des mois plus tard.
Une violation de données personnelles doit être notifiée à la CNIL dans les 72 heures suivant sa découverte. Cette notification est une dénonciation : l’entreprise déclare elle-même son manquement à une autorité qui détient un pouvoir de sanction.
Une particularité commande ces dossiers : l’entreprise y est souvent victime et mise en cause dans la même procédure. Victime de l’attaque, elle a intérêt à déposer plainte. Mise en cause au titre du défaut de sécurisation des données, elle répond devant la CNIL et, le cas échéant, devant le juge pénal. Les deux positions se construisent en même temps.
Les dossiers sont traités en français et en anglais.
La préparation d’une crise cyber est habituellement conçue comme un exercice technique et réglementaire. Elle est aussi, et d’abord, un exercice de constitution de preuve.
Le dispositif des 72 heures. Cette notification est prévue par l’article 33 du RGPD. Ce qui y est écrit pourra être analysé par la CNIL comme par les autorités judiciaires, et engager la responsabilité de l’entreprise ou de son dirigeant. Le délai court à compter de la découverte, pas de l’attaque.
Trois décisions se prennent dans ces heures, et elles se préparent à froid. Qui rédige cette dénonciation, sur quel modèle et avec quelles réserves. S’il faut informer individuellement les personnes concernées (article 34), ce qui conditionne le flux de plaintes à venir. Et si l’entreprise dépose plainte comme victime, l’accès frauduleux à un système étant réprimé par les articles 323-1 et suivants du Code pénal.
La composition de la cellule de crise. Une cellule réunissant un directeur des systèmes d’information, un délégué à la protection des données et un responsable de la communication produit des documents techniques et réglementaires, sans que personne n’y apprécie leur portée pénale. La notification de l’article 33 n’est pas un formulaire : c’est un acte juridique dont chaque formulation engage la suite.
Le périmètre du secret professionnel. L’article 66-5 de la loi du 31 décembre 1971 couvre du secret professionnel, en toutes matières et dans le domaine du conseil comme dans celui de la défense, les consultations de l’avocat, les correspondances échangées avec son client et les pièces du dossier. Le rapport d’un prestataire de réponse à incident n’en bénéficie pas. L’article 56-1-2 du Code de procédure pénale écarte l’opposabilité du secret du conseil pour une liste limitée d’infractions, qui vise la fraude fiscale, la corruption et le financement du terrorisme, et qui ne comprend ni les atteintes aux systèmes de traitement automatisé de données ni le défaut de sécurisation des données personnelles.
L’exercice de crise. Un exercice de simulation dont le livrable porte non sur la réactivité des équipes mais sur les documents qu’elles ont produits, et sur ce qu’un dossier pénal en retiendrait, révèle des vulnérabilités qu’aucun audit de conformité ne fait apparaître.
Le droit pénal du numérique ne forme pas un corps autonome : il mobilise des incriminations dispersées, dont la combinaison détermine la compétence, les techniques d’enquête disponibles et le quantum encouru.
Les atteintes aux systèmes de traitement automatisé de données. L’accès ou le maintien frauduleux dans un système est puni de trois ans d’emprisonnement et de 100 000 euros d’amende (article 323-1 du Code pénal). La peine passe à cinq ans et 150 000 euros lorsqu’il en résulte la suppression ou la modification de données, ou l’altération du fonctionnement du système. Elle est portée à sept ans et 300 000 euros lorsque le système visé traite des données à caractère personnel et est mis en œuvre par l’État, depuis la loi du 24 janvier 2023.
Le défaut de sécurisation des données personnelles. L’article 226-17 du Code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende le fait de procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites par les articles 24, 25, 30 et 32 du RGPD. L’infraction peut viser la personne morale, dont l’amende est portée au quintuple par l’article 131-38, soit 1 500 000 euros, comme les personnes physiques auteurs des mêmes faits.
La rançon. La demande de paiement sous menace de divulgation ou de blocage relève de l’extorsion (article 312-1 du Code pénal), en concours avec les atteintes au système.
L’escroquerie et l’usurpation d’identité. Les fraudes au président, les faux ordres de virement et les campagnes d’hameçonnage relèvent de l’escroquerie (article 313-1 du Code pénal), souvent aggravée par la bande organisée. L’usurpation d’identité, y compris sur un réseau de communication au public en ligne, est punie d’un an d’emprisonnement et de 15 000 euros d’amende (article 226-4-1 du Code pénal).
Les crypto-actifs. Le détournement, le blanchiment et la saisie de jetons numériques appliquent le droit commun des atteintes aux biens et le régime des saisies spéciales, que la matière met à l’épreuve plus qu’elle ne le renouvelle.
Lire l’analyse consacrée à la responsabilité pénale du dirigeant.
L’enquête. Le dépôt de plainte ouvre une enquête préliminaire, conduite le plus souvent avec le concours de services spécialisés. Elle mobilise des perquisitions informatiques, des saisies de supports et de données, des réquisitions auprès des opérateurs et des hébergeurs, et, dans les dossiers de criminalité organisée, les techniques spéciales d’enquête.
L’audition du dirigeant. Le dirigeant, le directeur des systèmes d’information ou le responsable de la sécurité peuvent être entendus à deux titres : comme représentants de l’entreprise victime de l’attaque, et comme personnes susceptibles d’avoir manqué à l’obligation de sécuriser les données. Le cadre de l’audition, témoin, audition libre ou garde à vue, détermine les droits ouverts, et le passage d’un cadre à l’autre peut intervenir au cours de la même procédure.
L’expertise. La qualification dépend de constatations techniques : point d’entrée, chronologie de l’intrusion, périmètre des données exfiltrées, imputabilité. L’expertise judiciaire informatique devient la pièce centrale du dossier, et la discussion de ses conclusions un enjeu de défense à part entière.
La juridiction saisie. Selon l’ampleur et l’organisation des faits, le dossier reste au parquet territorial, remonte à une juridiction interrégionale spécialisée, ou relève du parquet national anti-criminalité organisée pour la cybercriminalité organisée de très grande complexité. Le for saisi détermine les moyens déployés et le régime procédural applicable.
L’articulation des deux procédures. La procédure de sanction de la CNIL et la procédure pénale suivent leur cours en parallèle, sur les mêmes faits et souvent sur les mêmes pièces. Ce qui est concédé devant l’une se retrouve devant l’autre.
Rappel garanti sous une heure en heures ouvrées.
Standard : +33 1 55 27 93 93
Urgences (mobile et WhatsApp) : +33 6 42 29 81 44
Email : mehdy@kadri-avocat.com
