En bref
Avocat cybercriminalité à Paris : pour qui intervient le cabinet ?
Kadri Avocat, cabinet d’avocat pénaliste situé 9 rue Boissy d’Anglas à Paris 8ᵉ, intervient dans les dossiers de cybercriminalité pour les entreprises et leurs dirigeants comme pour les particuliers, du côté des victimes comme des personnes mises en cause. Cyberattaque, ransomware et fuite de données, piratage d’un compte ou d’un téléphone, escroquerie en ligne ou aux crypto-actifs, usurpation d’identité, chantage, cyberharcèlement : le cabinet fait conserver les preuves, dépose la plainte et la suit jusqu’au jugement, ou assure la défense dès la garde à vue. Aux côtés des entreprises et de leurs dirigeants, il prépare, avant l’incident, le dispositif de crise et, après l’incident, sécurise la notification à la CNIL dans les 72 heures, puis les défend lorsque l’enquête met en cause leur responsabilité pénale. Il dispose d’une expertise globale de ces procédures, des deux côtés : l’accompagnement de l’entreprise attaquée et de son dirigeant dès la cellule de crise, et la défense, qu’il a notamment assurée pour le principal mis en cause dans une cyberattaque contre une plateforme numérique de l’État. Les dossiers sont traités en français et en anglais.
La Boîte Noire · 14 octobre 2026
Cryptos et cyberattaques : entretien avec Me Mehdy Kadri
Ce qui est décidé et écrit dans les premières heures d’une crise détermine ce qui sera opposable des mois plus tard. Une violation de données personnelles doit être notifiée à la CNIL dans les 72 heures suivant sa découverte, et cette notification est une dénonciation : l’entreprise déclare elle-même son manquement à une autorité qui détient un pouvoir de sanction.
Une particularité commande ces dossiers : l’entreprise y est souvent victime et mise en cause dans la même procédure. Victime de l’attaque, elle a intérêt à déposer plainte. Mise en cause au titre du défaut de sécurisation des données, elle répond devant la CNIL et, le cas échéant, devant le juge pénal. Les deux positions se construisent en même temps.
La préparation d’une crise cyber est habituellement conçue comme un exercice technique et réglementaire. Elle est aussi, et d’abord, un exercice de constitution de preuve.
Le dispositif des 72 heures. Cette notification est prévue par l’article 33 du RGPD. Ce qui y est écrit pourra être analysé par la CNIL comme par les autorités judiciaires, et engager la responsabilité de l’entreprise ou de son dirigeant. Le délai court à compter de la découverte, pas de l’attaque.
Trois décisions se prennent dans ces heures, et elles se préparent à froid. Qui rédige cette dénonciation, sur quel modèle et avec quelles réserves. S’il faut informer individuellement les personnes concernées (article 34), ce qui conditionne le flux de plaintes à venir. Et si l’entreprise dépose plainte comme victime, l’accès frauduleux à un système étant réprimé par les articles 323-1 et suivants du Code pénal.
La composition de la cellule de crise. Une cellule réunissant un directeur des systèmes d’information, un délégué à la protection des données et un responsable de la communication produit des documents techniques et réglementaires, sans que personne n’y apprécie leur portée pénale. La notification de l’article 33 n’est pas un formulaire : c’est un acte juridique dont chaque formulation engage la suite.
Le périmètre du secret professionnel. L’article 66-5 de la loi du 31 décembre 1971 couvre du secret professionnel, en toutes matières et dans le domaine du conseil comme dans celui de la défense, les consultations de l’avocat, les correspondances échangées avec son client et les pièces du dossier. Le rapport d’un prestataire de réponse à incident n’en bénéficie pas. L’article 56-1-2 du Code de procédure pénale écarte l’opposabilité du secret du conseil pour une liste limitée d’infractions, qui vise la fraude fiscale, la corruption et le financement du terrorisme, et qui ne comprend ni les atteintes aux systèmes de traitement automatisé de données ni le défaut de sécurisation des données personnelles.
L’exercice de crise. Un exercice de simulation dont le livrable porte non sur la réactivité des équipes mais sur les documents qu’elles ont produits, et sur ce qu’un dossier pénal en retiendrait, révèle des vulnérabilités qu’aucun audit de conformité ne fait apparaître.
Après une cyberattaque ou une fuite de données, l’entreprise n’est pas seule exposée. Trois risques se cumulent, et ils ne s’adressent pas à la même personne.
L’entreprise répond d’abord devant la CNIL du défaut de sécurisation des données, et l’amende n’est pas la seule issue : la décision est publiée. Elle peut ensuite être poursuivie pénalement pour les mêmes faits, avec une amende plusieurs fois supérieure à celle encourue par une personne physique. Le dirigeant, enfin, peut être poursuivi à titre personnel pour le même défaut de sécurisation, et c’est lui que les enquêteurs entendent : d’abord comme représentant de l’entreprise victime, puis, parfois dans la même procédure, comme personne susceptible d’avoir manqué à ses obligations.
À cette exposition s’ajoutent celles qu’ouvrent la rançon, les faux ordres de virement et les campagnes d’hameçonnage, qui relèvent d’autres poursuites, et la notification faite à la CNIL dans les 72 heures, qui est une déclaration de l’entreprise contre elle-même.
Le cabinet construit les deux positions en même temps, celle de l’entreprise victime et celle de l’entreprise et du dirigeant mis en cause, dès les premières heures et jusqu’à l’audience. Lire l’analyse consacrée à la responsabilité pénale du dirigeant.
L’enquête. Le dépôt de plainte ouvre une enquête préliminaire, conduite le plus souvent avec le concours de services spécialisés. Elle mobilise des perquisitions informatiques, des saisies de supports et de données, des réquisitions auprès des opérateurs et des hébergeurs, et, dans les dossiers de criminalité organisée, les techniques spéciales d’enquête.
L’audition du dirigeant. Le dirigeant, le directeur des systèmes d’information ou le responsable de la sécurité peuvent être entendus à deux titres : comme représentants de l’entreprise victime de l’attaque, et comme personnes susceptibles d’avoir manqué à l’obligation de sécuriser les données. Le cadre de l’audition, témoin, audition libre ou garde à vue, détermine les droits ouverts, et le passage d’un cadre à l’autre peut intervenir au cours de la même procédure.
L’expertise. La qualification dépend de constatations techniques : point d’entrée, chronologie de l’intrusion, périmètre des données exfiltrées, imputabilité. L’expertise judiciaire informatique devient la pièce centrale du dossier, et la discussion de ses conclusions un enjeu de défense à part entière.
La juridiction saisie. Selon l’ampleur et l’organisation des faits, le dossier reste au parquet territorial, remonte à une juridiction interrégionale spécialisée, ou relève du parquet national anti-criminalité organisée pour la cybercriminalité organisée de très grande complexité. Le for saisi détermine les moyens déployés et le régime procédural applicable.
L’articulation des deux procédures. La procédure de sanction de la CNIL et la procédure pénale suivent leur cours en parallèle, sur les mêmes faits et souvent sur les mêmes pièces. Ce qui est concédé devant l’une se retrouve devant l’autre.
Un compte de messagerie ou de réseau social dont on vous a pris le contrôle, un virement obtenu par un faux conseiller bancaire ou un faux site, une identité utilisée pour ouvrir un crédit ou publier en votre nom, des photos ou des conversations privées brandies pour exiger de l’argent : ces situations relèvent du juge pénal, et elles se traitent vite.
Les premières heures comptent. Avant toute autre démarche, il faut fixer la preuve : captures d’écran datées, adresses des pages, courriels complets avec leurs en-têtes, relevés bancaires, références des virements, identifiants des comptes en cause. Le cabinet fait au besoin constater les contenus par un commissaire de justice et demande aux plateformes la conservation des données du compte, avant qu’elles ne soient effacées.
La plainte se rédige. Déposée au commissariat, elle tient souvent en quelques lignes prises par un agent, et l’enquête part sans direction. Rédigée par l’avocat et adressée au procureur de la République, elle expose les faits dans l’ordre, chiffre ce qui a été perdu, joint les preuves et dit ce que l’enquête doit obtenir : l’identification de l’auteur derrière un compte ou une adresse, le gel des fonds là où ils sont arrivés, les réquisitions auprès des banques et des plateformes. C’est cette plainte que le cabinet rédige, et c’est elle qui sépare le plus souvent un dossier classé d’une enquête qui aboutit.
Si la plainte reste sans suite, elle n’est pas perdue. Après trois mois sans réponse du procureur, ou dès qu’il a fait connaître sa décision de ne pas poursuivre, une plainte avec constitution de partie civile peut être déposée devant un juge d’instruction, qui doit alors enquêter. Et des faits anciens restent poursuivables : pour un délit, le délai est de six ans à compter des faits.
Le cabinet intervient à chacun de ces stades, dès les premières heures comme des mois après les faits, et jusqu’à l’audience où se décide la réparation.
Un faux profil, une adresse de messagerie jetable ou un numéro étranger ne mettent pas l’auteur hors de portée. Les plateformes et les opérateurs conservent des données de connexion et d’identification que la justice peut exiger. Depuis le 18 août 2026, un procureur ou un juge français peut s’adresser directement aux grandes plateformes établies dans un autre pays de l’Union européenne pour obtenir ces données dans un délai fixé par le règlement européen.
C’est souvent ce qui sépare une plainte classée d’une plainte qui aboutit : savoir ce qu’il faut demander, à qui, et dans quel délai avant effacement. Le cabinet formule ces demandes dans la plainte, puis par des demandes d’acte au juge d’instruction lorsque l’enquête s’enlise. Voir l’analyse consacrée à l’identification de l’auteur d’un compte anonyme.
Une convocation pour une audition libre, une garde à vue ou une perquisition au domicile avec saisie des ordinateurs et des téléphones ouvre une procédure dont les premières heures engagent la suite. La personne gardée à vue a le droit d’être assistée d’un avocat dès le début de la mesure, et le droit de se taire. L’un et l’autre s’exercent avant toute déclaration.
Lors d’une perquisition, les enquêteurs peuvent accéder aux données stockées sur les appareils présents et, à partir de ceux-ci, aux comptes et services en ligne qui leur sont reliés ; ils peuvent copier ces données et saisir les supports. Ils peuvent aussi demander les codes et les moyens d’accès. Le code de déverrouillage d’un téléphone soulève une question à part : le refus de le remettre peut, à certaines conditions, constituer un délit, et la décision se prend en garde à vue, avec l’avocat. Voir l’analyse consacrée au code de déverrouillage.
Dans ces dossiers, la preuve est technique : journaux de connexion, adresses, rapports d’analyse des appareils saisis, expertises. Le cabinet en discute la portée dès l’enquête, fait valoir les accès légitimes, les usages partagés d’un appareil ou d’une connexion, et conteste les constatations que le dossier ne soutient pas. Il intervient en garde à vue, pendant l’enquête ou l’instruction, et devant le tribunal.
Il n’est pas nécessaire d’avoir tout réuni pour appeler : le cabinet indique, dès le premier échange, ce qui manque et comment l’obtenir.
Oui, et sans attendre. La plainte ouvre l’enquête qui permet d’identifier l’auteur et de faire conserver les données avant leur effacement. Une plainte rédigée par l’avocat et adressée au procureur de la République, avec les preuves et les demandes d’enquête, pèse davantage qu’une déclaration recueillie au commissariat. Le cabinet la rédige et la suit ensuite.
Souvent, oui. Les plateformes et les opérateurs conservent des données d’identification et de connexion que la justice peut exiger, y compris auprès des grandes plateformes établies dans un autre pays de l’Union européenne depuis le 18 août 2026. Encore faut-il le demander, à temps : c’est ce que le cabinet fait dans la plainte, puis par des demandes d’acte.
Une plainte avec constitution de partie civile peut être déposée devant un juge d’instruction, dès que le procureur a fait connaître sa décision de ne pas poursuivre ou après trois mois sans réponse. Le juge est alors tenu d’enquêter. Le cabinet rédige cette plainte et suit l’instruction.
Le plus tôt possible pour les preuves, qui s’effacent vite. Pour la poursuite elle-même, un délit peut être poursuivi pendant six ans à compter des faits. Des faits anciens ne sont donc pas perdus.
Oui. En audition libre comme en garde à vue, vous avez le droit d’être assisté d’un avocat et le droit de garder le silence. Ce qui est déclaré lors de cette première audition pèse sur toute la suite. Le cabinet prépare l’audition avec vous et y assiste.
La question se décide au cas par cas et avec l’avocat. Le refus de remettre un code de déchiffrement peut, à certaines conditions, constituer un délit ; dans d’autres cas, il ne peut pas être reproché. Le cabinet examine la situation avant toute réponse.
Le montant des honoraires est fixé dans une convention écrite, remise avant toute intervention, après un premier échange sur la situation.
La loi ne l’interdit pas, mais les autorités le déconseillent, et pour un professionnel le paiement n’est couvert par l’assurance que si une plainte a été déposée dans les 72 heures suivant la connaissance de l’attaque. Payer ne dispense ni de notifier la CNIL ni de répondre d’un éventuel défaut de sécurisation des données. La décision se prend en cellule de crise, avec les éléments techniques et juridiques, et le cabinet y participe.
Une adresse IP identifie un abonnement, pas une personne : une connexion partagée, un réseau d’entreprise, un appareil compromis ou un Wi-Fi ouvert laissent la même trace. L’imputation suppose d’autres éléments, et une juridiction d’instruction a déjà écarté une intrusion attribuée à l’adresse IP d’une société dès lors que le mis en examen prouvait qu’il était à l’étranger ce jour-là. Le cabinet fait valoir ces éléments dès la garde à vue.
Non. Lorsque le contrat comporte une garantie de protection juridique, l’assuré choisit librement son avocat, et l’assureur ne peut que lui en proposer un. Le contrat fixe en revanche le plafond des frais pris en charge. Le cabinet travaille avec l’assureur et les prestataires techniques désignés par lui, tout en ne répondant qu’à l’entreprise ou au dirigeant qu’il défend.
Les enquêteurs peuvent accéder aux données des appareils présents et, à partir d’eux, aux comptes et espaces en ligne qui y sont reliés, copier ces données et saisir les supports, placés sous scellés. Ils peuvent demander à toute personne les informations permettant d’accéder aux données protégées : ne pas répondre expose à une amende, et refuser de remettre une clé de déchiffrement peut constituer un délit distinct. Ce qui est dit et remis pendant la perquisition engage la suite ; l’avocat intervient dès la garde à vue qui, souvent, la suit.
Oui, à deux titres : au pénal, si l’enquête révèle qu’il a manqué aux mesures de sécurité qui lui incombaient pour les données qu’il traitait, et au civil, pour l’indemnisation du client. L’hébergeur, l’éditeur ou l’infogérant est souvent entendu d’abord comme témoin, puis mis en cause. Le cabinet assiste les prestataires dès la première audition et discute, pièce par pièce, le partage des responsabilités fixé par les contrats.
Rappel garanti sous une heure en heures ouvrées.
Standard : +33 1 55 27 93 93
Urgences (mobile et WhatsApp) : +33 6 42 29 81 44
Email : mehdy@kadri-avocat.com
'/%3E%3C/svg%3E){kind=small}
