Droit Vivant · Droit pénal du numérique · 4 juillet 2026

3 mois de prison, 10 000 € de dommages-intérêts : le prix d'un admin réseau qui lisait les mails de son patron

Principe-clé : détenir un accès technique général à un système informatique ne vaut pas autorisation d'en faire n'importe quel usage — l'article 323-1 du code pénal punit le maintien frauduleux dans un système dès que cet accès sert une fin étrangère à la mission confiée, même par celui qui dispose légitimement des droits.

Textes de référence

Art. 323-1 CP — accès et maintien frauduleux dans un système de traitement automatisé de données (STAD)
Art. 323-3 CP — introduction, modification ou suppression frauduleuse de données (ici : remplacement du mot de passe du gérant)
Art. 2 et 3 CPP — recevabilité de la constitution de partie civile, préjudice direct et personnel
Principe non bis in idem — écarté faute de qualification définitive antérieure

L'affaire

Un administrateur réseau salarié disposait d'un accès général et légitime à la messagerie professionnelle de l'entreprise, dans le cadre de ses missions de sécurité et de maintenance. Il a utilisé cet accès pour consulter, à l'insu de son gérant, la boîte mail de ce dernier, en a décodé le mot de passe, l'a remplacé par le sien, puis a mis en place un transfert automatique des courriels professionnels vers son adresse personnelle.

Condamné par la cour d'appel de Versailles à 3 mois de prison avec sursis et 10 000 € de dommages-intérêts, il s'est pourvu en cassation en soutenant qu'un droit d'accès technique général excluait tout caractère frauduleux. La Cour de cassation rejette le pourvoi le 2 septembre 2025 (n° 24-83.605, publié au Bulletin) : l'usage doit rester conforme à la mission, peu importe l'étendue des droits techniques détenus.

Pourquoi c'est important

Tout le monde a déjà pensé : « est-ce que la personne qui gère mon réseau ou ma messagerie pourrait lire mes mails ? ». Techniquement, souvent oui. Juridiquement, la Cour de cassation vient de trancher : la réponse est non, sauf si c'est la mission. Pour un professionnel de la sécurité offensive ou un administrateur, cet arrêt est une pierre angulaire : il confirme que la légitimité d'un accès se juge à l'aune du mandat (contrat de travail, lettre de mission, périmètre d'un test d'intrusion), et non à l'aune des droits techniques effectivement possédés. Un compte admin, un accès root ou une autorisation d'audit qui « déborde » de son objet peut, à lui seul, constituer le délit de maintien frauduleux — exactement le risque juridique que doit couvrir une lettre d'autorisation (rules of engagement) avant tout pentest ou audit interne.

Mini-glossaire

STAD: Système de traitement automatisé de données : toute notion large couvrant un serveur, une messagerie, un réseau ou une application dès lors qu'un traitement informatisé y est opéré.
Maintien frauduleux: Fait de rester dans un système sans droit, y compris pour celui qui y avait initialement un accès légitime, dès lors qu'il en détourne l'usage.
Non bis in idem: Principe interdisant de juger deux fois une même personne pour les mêmes faits déjà définitivement qualifiés — ici jugé inapplicable, la qualification pénale n'étant pas encore arrêtée.
Constitution de partie civile: Action par laquelle une victime demande réparation de son préjudice dans le cadre d'une procédure pénale ; ici admise pour le gérant, distinct de l'employeur, en raison d'un préjudice moral personnel et direct.