Un accès technique n'est pas un droit illimité : ce que dit vraiment l'article 323-1 du code pénal

Imaginez une entreprise ordinaire. Un salarié occupe le poste d'administrateur réseau : il gère les serveurs, les postes de travail, la messagerie professionnelle de tous les collaborateurs, y compris celle du dirigeant. Ce poste suppose, par construction, qu'il détienne des droits d'accès très larges — c'est même la condition de son travail. Un jour, ce même administrateur utilise ces droits pour consulter en secret la boîte mail de son gérant, en décode le mot de passe, le remplace par le sien, puis programme un transfert automatique des courriels professionnels vers son adresse personnelle. Poursuivi pénalement, il se défend en expliquant qu'il avait, précisément, un droit d'accès général et légitime à cette messagerie : comment pourrait-on lui reprocher d'avoir utilisé des droits qu'on lui avait donnés ?

C'est exactement la question qu'a tranchée la chambre criminelle de la Cour de cassation dans un arrêt du 2 septembre 2025 (pourvoi n° 24-83.605, publié au Bulletin), et la réponse qu'elle apporte intéresse directement quiconque travaille avec des accès privilégiés à des systèmes d'information : administrateurs, DSI, mais aussi consultants en tests d'intrusion, red teamers et auditeurs de sécurité.

Le cadre légal : l'article 323-1 du code pénal

Depuis la loi Godfrain de 1988, le droit pénal français protège les systèmes informatiques à travers plusieurs infractions regroupées aux articles 323-1 et suivants du code pénal. L'article 323-1 sanctionne le fait d'accéder ou de se maintenir, frauduleusement, dans tout ou partie d'un système de traitement automatisé de données — ce que la pratique désigne par l'acronyme STAD. La notion de STAD est volontairement large : elle couvre un serveur, un réseau, une messagerie, une application, dès lors qu'un traitement automatisé de l'information y est mis en œuvre.

L'article a été pensé, à l'origine, pour viser des intrusions extérieures — le pirate qui s'introduit dans un système sans y avoir jamais eu droit. Mais la jurisprudence l'a progressivement étendu à une hypothèse plus subtile et, pour un professionnel de la sécurité, bien plus intéressante : celle de la personne qui dispose d'un accès légitime au départ, mais qui en détourne l'usage. C'est le « maintien frauduleux » : rester dans un système, alors que l'on n'y a plus droit compte tenu de la finalité poursuivie, même si l'on continue techniquement à pouvoir y accéder.

L'affaire jugée en 2025 illustre ce second cas de figure de façon presque pédagogique. L'administrateur réseau avait un droit d'accès général et documenté à la messagerie de l'entreprise, justifié par ses missions de sécurité et de maintenance. Rien d'irrégulier, en soi, à ce qu'il puisse techniquement ouvrir n'importe quelle boîte mail : c'est le sens même de son rôle. Le problème n'est pas venu de l'existence de l'accès, mais de son usage : consulter en cachette les messages du dirigeant, s'approprier son mot de passe, et faire fuiter ses correspondances vers une adresse personnelle n'a strictement rien à voir avec une mission de sécurité ou de maintenance.

Ce que dit la Cour de cassation

Le raisonnement de la Cour de cassation tient en une phrase que l'on peut désormais citer comme principe directeur : la détention d'un droit d'accès technique général n'équivaut pas à un droit juridique d'utilisation illimitée ; l'usage doit rester conforme à la mission confiée. Autrement dit, le périmètre légal d'un accès ne se définit pas par ce que le système permet techniquement de faire, mais par ce pour quoi cet accès a été accordé.

L'arrêt tranche également deux points procéduraux qui, sans être le cœur du sujet, montrent le sérieux de l'examen. D'abord, l'administrateur invoquait le principe non bis in idem — l'interdiction d'être jugé deux fois pour les mêmes faits — en expliquant qu'une information judiciaire distincte était déjà en cours. La Cour écarte l'argument : ce principe suppose une qualification pénale définitivement arrêtée, ce qui n'était pas le cas ici, les juges du fond ayant retenu une qualification distincte de celle examinée par l'instruction. Ensuite, l'administrateur contestait la recevabilité de la constitution de partie civile du gérant, en avançant que seul l'employeur — la société elle-même — pouvait se prétendre victime. La Cour rejette également ce moyen : le gérant a subi un préjudice moral personnel et direct, distinct de celui de la société, résultant notamment de la perte de chance liée à la divulgation de sa correspondance privée professionnelle. Résultat : la condamnation prononcée par la cour d'appel de Versailles — trois mois d'emprisonnement avec sursis et 10 000 euros de dommages-intérêts — est confirmée.

Pourquoi cet arrêt parle à un chercheur en cybersécurité

Pour un professionnel de l'offensive security, cette décision n'est pas une curiosité de droit du travail : elle touche au cœur de la notion d'autorisation, qui est la ligne de partage entre un test d'intrusion légal et une infraction pénale. Le droit français ne raisonne pas en termes de capacité technique — « pouvait-il accéder à ce système ? » — mais en termes de finalité autorisée — « cet accès, dans ce but précis, avait-il été consenti ? ». Un pentester disposant d'un accès VPN, d'un compte de service ou d'un accès physique à des locaux dans le cadre d'une mission peut, en théorie, dépasser le périmètre contractuel fixé par la lettre de mission ou les règles d'engagement (rules of engagement) : consulter des données hors périmètre, persister au-delà de la fenêtre temporelle accordée, ou réutiliser des accès obtenus pendant l'audit à d'autres fins. L'arrêt du 2 septembre 2025 confirme que, dans un tel cas, la jurisprudence n'hésitera pas à qualifier le maintien frauduleux, quand bien même l'accès initial aurait été parfaitement légitime et documenté.

Cela a une conséquence concrète et immédiate sur la rédaction des contrats et lettres d'autorisation qui encadrent un audit de sécurité : le périmètre (systèmes, plages horaires, données concernées, actions autorisées) doit être défini avec la plus grande précision, car c'est ce périmètre — et non l'étendue technique des accès obtenus pendant la mission — qui fixera la limite entre le licite et l'infraction pénale. À l'inverse, côté défense d'un administrateur ou d'un chercheur agissant de bonne foi, l'arrêt rappelle l'intérêt des dispositifs comme l'article L. 2321-4 du code de la défense, qui permet de signaler une vulnérabilité ou une menace de bonne foi à l'ANSSI sans encourir de poursuites, à la condition expresse d'agir dans cette seule finalité de protection du système — et non, comme dans l'affaire jugée, à des fins personnelles étrangères à toute mission de sécurité.

Une décision qui s'inscrit dans une tendance plus large

Cet arrêt ne doit pas être lu isolément. Il complète une ligne jurisprudentielle et réglementaire française de plus en plus attentive à la manière dont les accès privilégiés sont contrôlés et tracés au sein des systèmes d'information — qu'il s'agisse des exigences de traçabilité et de contrôle indépendant posées par la Cour de justice de l'Union européenne pour l'accès aux données de connexion, des obligations d'authentification robuste sanctionnées par la CNIL en matière de RGPD, ou des futures obligations de la directive NIS2 imposant une gestion rigoureuse des accès privilégiés aux entités essentielles et importantes, sous peine, désormais, d'engager la responsabilité personnelle des dirigeants. Le fil conducteur est le même : la simple possession d'un pouvoir technique ne suffit jamais à en légitimer n'importe quel usage — il faut un cadre, une finalité, et une traçabilité qui permette, le cas échéant, de démontrer que l'usage est resté dans les clous.

Sources

Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)

Choisissez l'angle qui correspond le mieux à ce que vous cherchez à approfondir aujourd'hui — chacun peut se coller tel quel dans le champ de personnalisation de l'Audio Overview.

Angle 1 — Audit offensif et lettre de mission. Concentre-toi sur ce que cet arrêt implique concrètement pour la rédaction d'une lettre d'autorisation ou de règles d'engagement avant un test d'intrusion : quels éléments de périmètre (systèmes, horaires, données, actions permises) doivent être précisés pour éviter qu'un dépassement d'accès légitime bascule dans le maintien frauduleux. Donne des exemples de clauses concrètes qu'un consultant en sécurité offensive devrait exiger avant toute mission.

Angle 2 — Architecture des accès privilégiés. Explique comment cette décision éclaire la conception d'une architecture d'accès en entreprise (comptes admin, comptes de service, séparation des privilèges, principe du moindre privilège, journalisation des accès à la messagerie). Relie le principe juridique « l'usage doit rester conforme à la mission » aux bonnes pratiques techniques de type RBAC, PAM (privileged access management) et zero trust.

Angle 3 — Comparaison avec les autres décisions du dépôt. Compare le raisonnement de cet arrêt avec d'autres décisions déjà traitées dans les archives de Droit Vivant, notamment la sanction CNIL contre Free et Free Mobile sur l'authentification VPN insuffisante (article 32 du RGPD) et la censure des « boîtes noires » du renseignement par le Conseil constitutionnel : dans les trois cas, discute comment le droit français encadre non pas l'existence d'un accès ou d'un pouvoir technique, mais son étendue et son contrôle.

Angle 4 — Veille réglementaire automatisée. Propose une méthode pour construire une veille automatisée des décisions de la Cour de cassation et des juridictions du fond sur l'article 323-1 du code pénal, en s'appuyant sur les API ouvertes de Judilibre et de Légifrance : quels mots-clés, quelles alertes, quelle fréquence, pour qu'un chercheur en sécurité soit informé rapidement des évolutions de la notion de maintien frauduleux.

Angle 5 — Prospective : NIS2 et responsabilité des dirigeants. Explore comment la logique de cet arrêt pourrait se combiner avec les futures obligations de la directive NIS2 et de la loi française de transposition (gestion des accès privilégiés, traçabilité, responsabilité personnelle des dirigeants) : anticipe si l'on peut s'attendre à une multiplication des contentieux pénaux liés à des abus d'accès internes dans les entités soumises à NIS2, et ce que cela change pour la documentation interne des habilitations.