La cybercriminalité progresse à un rythme que le droit peine parfois à suivre, mais les outils juridiques existent et méritent d'être mobilisés. Cybercriminalité : se protéger avec le droit n'est pas une formule abstraite : c'est une démarche concrète, articulée autour de textes précis, d'institutions compétentes et de réflexes à adopter dès les premières heures d'une attaque. Particuliers, professionnels indépendants et entreprises sont tous exposés — aux rançongiciels, à l'hameçonnage, aux violations de données personnelles ou à l'usurpation d'identité numérique. Comprendre le cadre légal applicable, savoir comment réagir et connaître les voies de recours disponibles change radicalement la situation d'une victime. Ce tour d'horizon présente les infractions concernées, les bons réflexes à adopter et les obligations qui pèsent sur les organisations.
Cybercriminalité : se protéger avec le droit, un cadre à connaître
Le droit français réprime les atteintes numériques depuis la loi Godfrain de 1988, codifiée aux articles 323-1 à 323-8 du Code pénal. Ces dispositions visent les accès ou maintiens frauduleux dans un système informatique, la perturbation de son fonctionnement et l'introduction, la modification ou la suppression de données. S'y ajoutent des infractions de droit commun transposées au contexte numérique : escroquerie, extorsion, diffamation, usurpation d'identité ou recel de données.
La protection juridique s'organise sur trois niveaux distincts. Le premier est préventif : mettre en place des mesures techniques et contractuelles pour réduire l'exposition au risque. Le deuxième est réactif : savoir préserver les preuves et alerter les bons interlocuteurs dès qu'un incident survient. Le troisième est réparateur : obtenir indemnisation du préjudice subi, que ce soit par la voie pénale ou civile.
Au-delà du Code pénal, le RGPD et la loi Informatique et Libertés imposent des obligations aux responsables de traitement. La directive européenne NIS 2, dont la transposition devait intervenir au plus tard en octobre 2024, renforce les exigences de cybersécurité pour les entités dites essentielles ou importantes. Pour le secteur financier, le règlement DORA s'applique depuis le 17 janvier 2025. Ces textes ne se substituent pas au droit pénal : ils s'y ajoutent, créant un environnement réglementaire dense que seule une lecture croisée permet de maîtriser.
Quelles infractions numériques peuvent être poursuivies ?
L'accès frauduleux à un système informatique constitue le socle des infractions numériques. L'article 323-1 du Code pénal punit ce comportement de 3 ans d'emprisonnement et 100 000 euros d'amende. La peine monte à 5 ans et 150 000 euros lorsque l'intrusion entraîne la suppression ou la modification de données, ou une altération du fonctionnement du système. Des circonstances aggravantes s'appliquent notamment en cas d'atteinte à un système de l'État ou de commission en bande organisée.
À lire aussi : Fiscalité des crypto-monnaies : décryptage de la législation en vigueur
L'escroquerie en ligne relève de l'article 313-1 du Code pénal. Elle couvre les arnaques aux faux virements, les fraudes au président, les sites de vente fictifs ou les faux supports informatiques. L'usurpation d'identité numérique, prévue à l'article 226-4-1, vise l'utilisation frauduleuse de données permettant d'identifier une personne dans un espace numérique. Ces deux infractions peuvent se cumuler avec d'autres qualifications.
Le rançongiciel combine généralement plusieurs qualifications pénales : accès frauduleux, altération de données et extorsion. L'hameçonnage peut relever de l'escroquerie ou de la tentative d'escroquerie. La violation de données personnelles engage, quant à elle, une responsabilité administrative devant la CNIL mais peut également donner lieu à des poursuites pénales si des manquements délibérés sont caractérisés. Chaque qualification détermine la juridiction compétente, le délai de prescription applicable et les sanctions encourues : un point sur lequel seul un avocat peut apporter une analyse adaptée à la situation concrète.
Victime d'une attaque : préserver les preuves et agir rapidement
La réaction dans les premières heures conditionne souvent la suite de la procédure. Une preuve numérique mal conservée devient inexploitable devant un tribunal. Avant toute manipulation du système compromis, il faut documenter l'état des équipements et des données, sans effacer ni écraser les traces de l'attaque.
Les actions prioritaires à mener sont les suivantes :
À lire aussi : Ce que changent les nouvelles lois sur le droit d'asile
- Isoler le matériel compromis du réseau sans l'éteindre brutalement, pour préserver les journaux d'activité et les fichiers temporaires susceptibles de constituer des preuves.
- Conserver l'intégralité des courriels, messages et journaux liés à l'incident : captures d'écran horodatées, en-têtes de mails, historiques de connexion.
- Déposer plainte auprès du commissariat, de la gendarmerie ou directement via la plateforme THESEE pour certaines escroqueries en ligne, et signaler les contenus illicites via PHAROS.
- Prévenir les organismes concernés : la banque en cas de fraude financière, l'assureur cyber si une police est souscrite, et les partenaires contractuels si des données partagées sont compromises.
- Documenter le préjudice de façon précise et datée : pertes d'exploitation, coûts de remédiation, atteinte à la réputation, données détruites ou exfiltrées.
La plateforme Cybermalveillance.gouv.fr propose un diagnostic en ligne et oriente vers des prestataires référencés. Un commissaire de justice peut établir un constat numérique ayant valeur probatoire. Le recours à un expert judiciaire en informatique permet de reconstituer le déroulement de l'attaque de manière opposable. Ces démarches ne remplacent pas le dépôt de plainte, elles le renforcent.
Plainte, juridiction et indemnisation du préjudice
Le dépôt de plainte peut s'effectuer auprès de n'importe quel commissariat ou brigade de gendarmerie, ou directement auprès du procureur de la République. L'Office anti-cybercriminalité (OFAC) de la Police nationale et le Centre de lutte contre les criminalités numériques (C3N) de la Gendarmerie nationale disposent de compétences spécialisées pour les enquêtes complexes. La juridiction territorialement compétente dépend du lieu de commission de l'infraction, du domicile de la victime ou du siège social de l'entreprise, selon les cas et la qualification retenue.
La constitution de partie civile permet à la victime de demander réparation de son préjudice dans le cadre de la procédure pénale. Elle peut intervenir dès le stade de l'instruction ou à l'audience. Cette démarche suppose de justifier d'un préjudice personnel et direct découlant de l'infraction poursuivie. Une action civile distincte reste possible même en l'absence de condamnation pénale, notamment pour obtenir réparation sur le fondement de la responsabilité délictuelle.
Le délai de prescription de droit commun pour les délits est fixé à 6 ans à compter du jour où l'infraction a été commise, conformément à l'article 8 du Code de procédure pénale issu de la réforme de 2017. Ce délai peut être interrompu ou suspendu par des actes de procédure. Certaines infractions relèvent de régimes spéciaux — notamment celles soumises au droit de la presse — ce qui impose une vérification au cas par cas. Pour les professionnels du droit, la plateforme Monexpertjuridique référence des experts capables d'accompagner les victimes dans l'analyse de leur situation et le montage de leur dossier.
À lire aussi : Jurisprudence récente et droit des successions : Quels impacts sur votre héritage ?
Entreprises : réduire le risque juridique et réglementaire
Les entreprises font face à une double exposition : elles peuvent être victimes d'une cyberattaque et, simultanément, se retrouver en défaut de conformité réglementaire si elles n'ont pas pris les mesures adéquates. Le RGPD impose au responsable de traitement de notifier toute violation de données personnelles à la CNIL dans un délai de 72 heures après en avoir pris connaissance, dès lors que la violation présente un risque pour les droits et libertés des personnes. Une notification hors délai doit être motivée.
Les sanctions administratives prévues par le RGPD peuvent atteindre 20 millions d'euros ou, pour une entreprise, 4 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu. La CNIL tient compte, dans son appréciation, des mesures techniques et organisationnelles mises en place avant l'incident. Une politique de sécurité documentée, des contrats de sous-traitance conformes à l'article 28 du RGPD et des formations régulières du personnel constituent des éléments atténuants non négligeables.
La directive NIS 2 étend les obligations de cybersécurité à un spectre plus large d'entités, en distinguant les entités essentielles des entités importantes selon leur secteur d'activité et leur taille. Les obligations portent sur la gestion des risques, la déclaration des incidents significatifs et la sécurité de la chaîne d'approvisionnement. Pour le secteur financier, le règlement DORA impose des exigences spécifiques en matière de résilience opérationnelle numérique. L'état exact de la transposition française de NIS 2 et les textes d'application doivent être vérifiés dans leur version consolidée en vigueur, les obligations directement applicables pouvant varier selon le statut de l'entité concernée.
Sur le plan contractuel, les entreprises ont intérêt à auditer leurs clauses de responsabilité avec les prestataires informatiques et les hébergeurs, à souscrire une assurance cyber couvrant les frais de remédiation et les pertes d'exploitation, et à prévoir des procédures internes de gestion de crise documentées. Les honoraires d'un avocat spécialisé ou d'un expert en réponse à incident ne sont pas fixés par un barème légal : ils varient selon la complexité du dossier, l'urgence et le professionnel choisi, et font l'objet d'une convention d'honoraires. Anticiper ce coût dans le budget de sécurité évite de devoir l'absorber dans l'urgence d'une crise.
