Cyberattaque : la responsabilité pénale du dirigeant

Une fuite de données expose l’entreprise à trois risques : la procédure de sanction de la CNIL, dont l’amende n’est pas la seule issue, la responsabilité pénale de la personne morale et, au dernier étage, celle du dirigeant en personne. Cette exposition se prépare avant l’incident et, en tout état de cause, se gère dès sa découverte : tout ce qui sera écrit, décidé et déclaré ensuite pourra être analysé par la CNIL comme par les autorités judiciaires, et engager la responsabilité de l’entreprise ou de son dirigeant.

Depuis le 17 août 2026, 678 000 particuliers et professionnels reçoivent un message de la Direction générale des finances publiques les informant que leurs données (noms, revenus, coordonnées postales et téléphoniques) ont été dérobées lors de la cyberattaque de juin contre le système d’information de la DGFiP, et qu’elles circulent désormais à la vente sur Internet. Une enquête a été ouverte par le parquet de Paris.

Cette fuite n’est pas un accident isolé. Elle s’inscrit dans une année noire : selon l’étude Surfshark publiée en juillet 2026, plus de 43 millions de comptes français ont été compromis au seul premier semestre, faisant de la France le deuxième pays le plus touché au monde. Fichiers de l’ANTS et de France Titres, triple intrusion à la DGFiP, fédérations sportives pillées les unes après les autres, éditeurs de logiciels de santé, opérateurs télécoms : plus aucun secteur n’est épargné.

Face à cette actualité, le débat public s’est concentré sur une indignation compréhensible : l’État, victime des fuites les plus massives, n’encourt aucune amende. C’est exact. Mais s’arrêter là, c’est passer à côté de l’essentiel pour un dirigeant d’entreprise : la même fuite, transposée dans le secteur privé, déclenche une mécanique répressive à trois étages, administrative, civile et pénale, dont le dernier étage vise une personne physique : le dirigeant lui-même.

Ce que risque l’entreprise : amende CNIL et responsabilité pénale de la personne morale

Une affirmation revient partout dans le débat public : après une fuite de données, l’entreprise « risquerait 4 % de son chiffre d’affaires mondial ». C’est juridiquement approximatif.

Le plafond de 20 millions d’euros ou 4 % du chiffre d’affaires mondial (article 83, § 5, du RGPD) sanctionne certaines catégories de manquements : violation des principes fondamentaux du traitement, des droits des personnes, des règles de transfert. Or le cas type de la fuite de données, le défaut de sécurisation au sens de l’article 32 du RGPD, relève du paragraphe 4 de l’article 83, dont le plafond est de 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial. L’architecture est fidèlement reprise à l’article 20, IV, 7° de la loi du 6 janvier 1978.

Deux pour cent du chiffre d’affaires mondial reste une somme considérable, et la pratique récente montre que la menace n’est pas théorique.

Le 13 janvier 2026, la CNIL a prononcé deux sanctions à l’encontre des sociétés Free Mobile et Free, de 27 et 15 millions d’euros, soit 42 millions au total, après l’intrusion d’octobre 2024 qui avait exposé les données de 24 millions de contrats d’abonnés, coordonnées bancaires comprises. La formation restreinte a notamment relevé que la procédure d’authentification d’accès au réseau privé virtuel n’était pas suffisamment sécurisée. Plus de 2 500 plaintes de clients avaient été déposées auprès de la commission. Le 22 janvier 2026, France Travail a été sanctionné à hauteur de 5 millions d’euros pour ne pas avoir assuré la sécurité des données des demandeurs d’emploi.

Et le bilan répressif de la CNIL confirme la tendance de fond : la sécurité des données figure parmi les premiers motifs de sanction, et la procédure simplifiée de l’article 22-1 de la loi de 1978 permet désormais de sanctionner en circuit court, jusqu’à 20 000 €, porté à 100 000 € lorsque le chiffre d’affaires excède 50 millions d’euros. Autrement dit : la sanction n’est plus réservée aux géants du numérique. Les PME sont entrées dans le champ de tir.

À quoi s’ajoutent les obligations déclenchées par la violation elle-même : notification à la CNIL dans les 72 heures (article 33 du RGPD), information individuelle des personnes concernées en cas de risque élevé (article 34). Le retard ou l’absence de notification constitue un manquement autonome, sanctionnable en tant que tel, indépendamment de la faille d’origine.

Et la sanction administrative n’épuise pas le risque de l’entreprise : la personne morale elle-même peut être pénalement poursuivie. L’article 121-2 du Code pénal rend les personnes morales, à l’exclusion de l’État, responsables des infractions commises pour leur compte par leurs organes ou représentants. Appliqué au défaut de sécurisation des données (article 226-17 du Code pénal), le mécanisme de l’article 131-38 porte l’amende encourue par la société au quintuple de celle prévue pour les personnes physiques, soit 1 500 000 €. L’amende n’est d’ailleurs pas le seul enjeu : par le renvoi de l’article 226-24 du Code pénal aux peines de l’article 131-39, la personne morale encourt également l’exclusion des marchés publics, à titre définitif ou pour une durée de cinq ans au plus, l’interdiction d’exercer l’activité dans l’exercice ou à l’occasion de laquelle l’infraction a été commise, ainsi que l’affichage ou la diffusion de la décision de condamnation.

Ce que risque le dirigeant : l’étage pénal

C’est ici que les analyses publiées s’arrêtent généralement.

L’article 226-17 du Code pénal punit de cinq ans d’emprisonnement et de 300 000 € d’amende le fait de procéder à un traitement de données personnelles sans mettre en œuvre les mesures de sécurité prescrites, notamment, par l’article 32 du RGPD. Cette infraction ne vise pas une abstraction : elle peut être reprochée à la personne morale, mais aussi, l’article 121-2 du Code pénal le rappelle dans son dernier alinéa, aux personnes physiques auteurs des mêmes faits. Le dirigeant qui a arbitré les budgets, repoussé les mises à jour, ignoré les alertes de son prestataire informatique, est en première ligne.

Les condamnations sur ce fondement sont restées rares. Trois évolutions convergentes sont en train de changer la donne.

La première est mécanique : chaque notification adressée aux victimes en application de l’article 34 du RGPD est, de fait, une invitation à déposer plainte. Le dossier Free et ses 2 500 plaintes donnent la mesure du phénomène. Quand 678 000 contribuables reçoivent un courriel les informant que leurs revenus sont en vente en ligne, une fraction d’entre eux ira au commissariat. Le même raisonnement vaut pour n’importe quel fichier clients.

La deuxième est judiciaire : le contentieux cyber est devenu un contentieux pénal. Enquêtes du parquet de Paris sur les fuites de l’été, interpellations d’auteurs d’attaques contre les fédérations sportives, démantèlements de groupes spécialisés dans les données scolaires. Or toute information judiciaire ouverte sur une fuite explore les deux versants : celui de l’attaquant, et celui des défaillances de la cible. Les pièces réunies pour confondre le premier documentent, au passage, la négligence du second.

La troisième est législative : la directive NIS 2 fait remonter la cybersécurité au niveau des organes de direction, dont elle prévoit qu’ils approuvent les mesures de gestion des risques, en supervisent la mise en œuvre et puissent voir leur responsabilité engagée. Sa transposition française, le projet de loi « Résilience », a été adoptée par le Sénat en première lecture les 11 et 12 mars 2025, puis à l’unanimité par la commission spéciale de l’Assemblée nationale les 9 et 10 septembre 2025 ; son examen en séance publique est annoncé pour septembre 2026, l’échéance de transposition fixée au 17 octobre 2024 étant dépassée depuis près de deux ans. L’ANSSI a déjà publié son référentiel de mesures, le ReCyF, en mars 2026, et environ 15 000 entités françaises entreront dans le champ du texte. La direction d’entreprise qui attend la promulgation pour s’y intéresser découvrira que le standard de diligence, lui, existe déjà, et qu’il lui sera opposé rétrospectivement.

Les 72 heures qui engagent la suite du dossier

De cette triple exposition découle le point le plus important de cet article, et le moins compris : dans les 72 heures suivant la découverte d’une intrusion, tout ce que l’entreprise écrit pourra être analysé par la CNIL comme par les autorités judiciaires.

La notification à la CNIL décrit les failles de sécurité de l’entreprise. Le registre des violations fixe la chronologie de ce qu’elle savait, et depuis quand. Les courriels de crise entre la direction et la DSI établissent qui a décidé quoi. Le rapport du prestataire de réponse à incident qualifie techniquement la vulnérabilité exploitée. Chacun de ces documents est produit sous stress, dans l’urgence réglementaire. Chacun peut devenir une pièce dans un dossier pénal, au soutien d’une plainte de victime ou d’une enquête préliminaire.

C’est pourquoi la cellule de crise cyber ne devrait jamais réunir seulement un DSI, un DPO et un communicant. La notification de l’article 33 n’est pas un formulaire technique : c’est un acte juridique dont chaque formulation engage la suite. Le choix d’informer ou non les personnes concernées (article 34) n’est pas qu’une question d’image : il conditionne le flux de plaintes à venir. Et une décision est trop souvent oubliée dans la panique : l’entreprise attaquée est d’abord une victime, qui a intérêt à déposer plainte sans délai, l’accès et le maintien frauduleux dans un système de traitement automatisé de données étant réprimés par les articles 323-1 et suivants du Code pénal. Se constituer victime déclarée, préserver la preuve sans altérer les systèmes, documenter avec l’idée que chaque mot compte : c’est une stratégie de défense qui se construit à la première heure, pas après la convocation.

L’État, lui, est doublement immunisé, et c’est la loi

Reste la question qui alimente la polémique depuis le début de l’été : pourquoi l’État, victime des fuites les plus massives, ne risque-t-il rien de tout cela ? Les textes sont sans ambiguïté.

Premièrement, l’amende administrative de la CNIL est légalement impossible contre l’État. L’article 20, IV, 7° de la loi Informatique et Libertés du 6 janvier 1978 réserve l’amende administrative aux responsables de traitement « à l’exception des cas où le traitement est mis en œuvre par l’État ». La même exception s’applique à l’astreinte dont peut être assortie l’injonction de mise en conformité (article 20, IV, 2°). Face à une fuite comme celle de la DGFiP, la formation restreinte conserve ses autres pouvoirs correcteurs, du rappel à l’ordre à l’injonction, et jusqu’à la limitation ou l’interdiction du traitement (article 20, IV, 3°), mais aucun d’eux ne se chiffre en euros. Ce à quoi l’État échappe, c’est la sanction pécuniaire.

Deuxièmement, l’État échappe également au juge pénal en tant que personne morale. L’article 121-2 du Code pénal, qui fonde la responsabilité pénale des personnes morales, l’exclut expressément : « Les personnes morales, à l’exclusion de l’État, sont responsables pénalement… ».

L’ironie du dispositif mérite d’être soulignée : le législateur a en revanche pensé à aggraver la répression contre ceux qui attaquent l’État. Depuis la loi du 24 janvier 2023, l’accès frauduleux à un système de traitement automatisé de données à caractère personnel mis en œuvre par l’État est puni de sept ans d’emprisonnement et 300 000 € d’amende (article 323-1, alinéa 3, du Code pénal), contre trois ans et 100 000 € pour un système ordinaire. L’État s’est donc doté d’une protection pénale renforcée en tant que victime, tout en demeurant structurellement irresponsable en tant que gardien défaillant des données.

On peut en penser ce que l’on veut. Le constat, lui, est acquis : pour la même fuite de données, l’entreprise répond sur tous les fronts quand l’État n’en affronte aucun.

Ce qu’il faut retenir

Cette asymétrie n’est pas une raison de s’indigner, c’est une raison de s’organiser : le dirigeant privé n’a pas le luxe de l’immunité. La différence entre un incident maîtrisé et une mise en cause se joue rarement sur la technique : elle se joue sur ce qui a été écrit, décidé et déclaré dans les premiers jours. Un dossier pénal se défend toujours, y compris tard. Mais il se défend avec les pièces qui existent : ceux qui ont préparé leurs 72 heures se défendent avec des pièces choisies, les autres avec des pièces subies.

Le cabinet intervient aux côtés des dirigeants et des entreprises, en amont comme dans l’urgence : préparation du protocole de crise et du dispositif des 72 heures, assistance en cellule de crise, sécurisation juridique des notifications, dépôt de plainte et constitution de partie civile, défense devant la CNIL et les juridictions pénales. Contacter le cabinet →

Questions fréquentes

1. Quelle amende risque une entreprise après une fuite de données ?

Pour un défaut de sécurisation (article 32 du RGPD), l’amende administrative peut atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, et non 4 %, plafond réservé à d’autres catégories de manquements. La procédure simplifiée de la CNIL permet en outre des sanctions rapides jusqu’à 20 000 € (100 000 € pour les entreprises réalisant plus de 50 millions d’euros de chiffre d’affaires), qui touchent désormais aussi les PME.

2. Un dirigeant peut-il être pénalement responsable d’une cyberattaque subie par son entreprise ?

Oui. L’article 226-17 du Code pénal punit de cinq ans d’emprisonnement et 300 000 € d’amende le traitement de données sans mesures de sécurité suffisantes. Cette infraction peut viser la personne morale comme les personnes physiques, dont le dirigeant. La directive NIS 2, en cours de transposition, renforcera encore la responsabilité des organes de direction.

3. L’entreprise elle-même peut-elle être pénalement condamnée après une fuite de données ?

Oui. En application de l’article 121-2 du Code pénal, la personne morale est responsable des infractions commises pour son compte par ses organes ou représentants. Pour le défaut de mesures de sécurité (article 226-17 du Code pénal), l’amende encourue par la société est portée au quintuple de celle des personnes physiques (article 131-38), soit 1 500 000 €, sans préjudice de l’amende administrative de la CNIL, les deux pouvant se cumuler.

4. Faut-il notifier la CNIL après une cyberattaque ?

Oui, dans les 72 heures suivant la découverte d’une violation de données personnelles (article 33 du RGPD), sauf si la violation ne présente aucun risque pour les personnes. L’absence ou le retard de notification est un manquement sanctionnable en soi. En cas de risque élevé, les personnes concernées doivent également être informées individuellement (article 34).

5. Pourquoi l’État ne paie-t-il aucune amende pour ses propres fuites de données ?

Parce que la loi l’exclut expressément : l’article 20 de la loi Informatique et Libertés interdit à la CNIL de prononcer une amende ou une astreinte lorsque le traitement est mis en œuvre par l’État, et l’article 121-2 du Code pénal exclut l’État de la responsabilité pénale des personnes morales. Les autres mesures correctrices de la commission, du rappel à l’ordre à la limitation du traitement, demeurent en revanche applicables.