Art. 323-1, code pénal — accès ou maintien frauduleux dans un STAD : 3 ans d'emprisonnement et 100 000 € d'amende ; 5 ans et 150 000 € si suppression, modification de données ou altération du fonctionnement du système.Art. 323-3, code pénal — introduction, suppression ou modification frauduleuse de données dans un STAD.Un salarié, administrateur du réseau informatique de son entreprise, disposait par ses fonctions d'un droit général d'accès à la messagerie de tous les employés, y compris pour des missions de sécurité et de maintenance. Il a utilisé cet accès pour consulter en secret la messagerie de son supérieur hiérarchique, décoder son mot de passe, le remplacer par le sien, et mettre en place un renvoi automatique des e-mails professionnels vers sa propre adresse — à l'insu du titulaire du compte et sans lien avec sa mission technique.
Condamné en appel à trois mois de prison avec sursis, il s'est pourvu en cassation en soutenant que son accès était de toute façon autorisé. La chambre criminelle de la Cour de cassation, le 2 septembre 2025 (pourvoi n° 24-83.605, publié au Bulletin), a rejeté le pourvoi : disposer d'un droit d'accès général en tant qu'administrateur ne couvre pas un usage détourné de sa finalité — le maintien dans le système est frauduleux dès que la mission est dépassée.
Cette décision fixe une limite que tout professionnel disposant d'accès privilégiés — administrateur système, DSI, prestataire infogérance, pentesteur en mission — doit connaître : la légitimité technique de l'accès ne vaut pas autorisation d'usage. C'est exactement la logique qui sous-tend, côté offensif, l'exigence d'une lettre de mission et de règles d'engagement précises (périmètre, finalité, durée) pour tout audit ou test d'intrusion : sortir du périmètre autorisé, même avec des identifiants valides et légitimement obtenus, fait basculer une action licite dans le champ de l'article 323-1.