Chaque année, des millions de Français sont confrontés à des actes malveillants en ligne. Piratage de compte bancaire, usurpation d’identité, hameçonnage, rançongiciel : les formes prises par la cybercriminalité se multiplient et gagnent en sophistication. Face à cette réalité, beaucoup de victimes ignorent qu’elles disposent de recours juridiques concrets. Comprendre comment la loi vous protège contre la cybercriminalité n’est pas réservé aux juristes. C’est une connaissance pratique, accessible à tout citoyen, qui peut faire la différence entre subir une attaque sans suite et obtenir réparation. En 2022, plus de 1,5 million de cyberattaques ont été signalées en France, selon les données du Ministère de l’Intérieur. Ce chiffre illustre l’ampleur d’un phénomène que le législateur prend désormais très au sérieux.
Ce que recouvre vraiment la cybercriminalité
La cybercriminalité désigne l’ensemble des infractions commises via des réseaux numériques, principalement Internet. Cette définition large englobe des réalités très différentes : le phishing (ou hameçonnage), qui consiste à tromper un utilisateur pour lui soutirer des identifiants ou coordonnées bancaires en se faisant passer pour une entité de confiance, les attaques par ransomware qui bloquent l’accès aux données d’une entreprise ou d’un particulier en échange d’une rançon, mais aussi la diffusion de contenus illicites, le cyberharcèlement ou encore l’espionnage industriel.
Ces infractions touchent aussi bien les particuliers que les organisations. 30 % des entreprises françaises ont déclaré avoir subi une cyberattaque en 2022. Les TPE et PME sont particulièrement exposées, souvent moins bien protégées que les grandes structures. Pour les particuliers, les préjudices vont du simple vol de données personnelles à des pertes financières considérables.
Deux catégories d’infractions se distinguent sur le plan juridique. D’un côté, les infractions spécifiquement numériques : accès frauduleux à un système informatique, atteinte à l’intégrité des données, interception illicite de communications. De l’autre, des infractions classiques dont la commission est facilitée par le numérique : escroquerie, diffamation, menaces, contrefaçon. Cette distinction a des conséquences directes sur les textes applicables et les peines encourues.
Le droit pénal français appréhende ces deux catégories avec des outils différents. La qualification retenue par le parquet détermine la procédure suivie, les services enquêteurs saisis et les sanctions potentielles. Identifier correctement la nature de l’infraction subie est donc la première étape pour toute victime cherchant à faire valoir ses droits.
Les textes qui sanctionnent les auteurs d’infractions numériques
Le socle législatif français en matière de cybercriminalité repose sur plusieurs textes fondateurs. La loi Godfrain du 5 janvier 1988 constitue le premier texte spécifiquement dédié à la criminalité informatique. Elle a introduit dans le Code pénal les articles 323-1 à 323-7, qui répriment l’accès frauduleux à un système de traitement automatisé de données (STAD), la modification ou la suppression de données, et l’entrave au fonctionnement d’un système. Les peines peuvent atteindre trois ans d’emprisonnement et 100 000 euros d’amende pour un accès frauduleux simple, et s’élèvent davantage lorsque le système visé est d’importance vitale.
Le Code pénal prévoit par ailleurs des dispositions spécifiques contre l’escroquerie en ligne (article 313-1), l’usurpation d’identité numérique (article 226-4-1, introduit en 2011), le cyberharcèlement (articles 222-33-2-2 et suivants) et la diffusion non consentie d’images intimes, communément appelée revenge porn, sanctionnée depuis la loi du 7 octobre 2016.
Le RGPD, entré en application en mai 2018, a renforcé la protection des données personnelles des citoyens européens. Il impose aux entreprises des obligations strictes en matière de sécurité des données et prévoit des sanctions pouvant atteindre 4 % du chiffre d’affaires annuel mondial en cas de manquement. La CNIL dispose du pouvoir de contrôler, mettre en demeure et sanctionner les organisations qui ne respectent pas ces règles. Pour les victimes d’une violation de données, le RGPD ouvre un droit à réparation devant les juridictions civiles.
La loi sur la sécurité globale de 2021 a par ailleurs renforcé les pouvoirs des services enquêteurs, notamment en matière de captation de données à distance dans le cadre d’enquêtes judiciaires. Le cadre légal évolue régulièrement pour s’adapter aux nouvelles menaces, ce qui rend la veille juridique indispensable pour tout professionnel du secteur. Les ressources disponibles sur des plateformes spécialisées en Droit permettent d’accéder à une information actualisée sur ces évolutions législatives, utile tant pour les praticiens que pour les justiciables.
Ce que la loi garantit concrètement aux victimes
Être victime de cybercriminalité ouvre des droits précis. Le premier d’entre eux est le droit de déposer plainte, soit auprès d’un commissariat ou d’une brigade de gendarmerie, soit directement auprès du procureur de la République. La plainte peut aussi être déposée en ligne via la plateforme THESEE (Traitement Harmonisé des Enquêtes et Signalements pour les E-Escroqueries), dédiée aux victimes d’escroqueries sur Internet.
Le délai de prescription pour les infractions liées à la cybercriminalité est en principe de 3 ans à compter du jour où l’infraction a été commise ou découverte pour les délits. Ce délai peut varier selon la nature précise des faits et les évolutions législatives récentes. Il est recommandé de déposer plainte le plus rapidement possible pour préserver les preuves numériques, qui peuvent disparaître ou être altérées.
Sur le plan civil, la victime peut demander réparation du préjudice subi devant le tribunal judiciaire. Le préjudice peut être matériel (perte financière directe), moral (atteinte à la réputation, souffrance psychologique) ou professionnel. La Police nationale et la Gendarmerie nationale disposent d’unités spécialisées dans la cybercriminalité : la BEFTI (Brigade d’enquêtes sur les fraudes aux technologies de l’information) et le C3N (Centre de lutte contre les criminalités numériques).
La plateforme cybermalveillance.gouv.fr, gérée par le GIP ACYMA, oriente les victimes vers les bons interlocuteurs et propose un diagnostic personnalisé. L’ANSSI (Agence nationale de la sécurité des systèmes d’information) intervient quant à elle principalement auprès des opérateurs d’importance vitale et des institutions publiques, mais publie des guides accessibles à tous. Seul un avocat spécialisé peut fournir un conseil personnalisé adapté à la situation particulière d’une victime.
Prévenir les risques : ce que chacun peut mettre en place
La protection juridique ne remplace pas la prévention technique. Les deux sont complémentaires. Adopter de bonnes pratiques numériques réduit considérablement l’exposition aux attaques et, en cas d’incident, facilite la constitution du dossier de plainte en conservant des traces exploitables.
Les mesures suivantes sont recommandées par l’ANSSI et les services spécialisés de la Police nationale :
- Utiliser des mots de passe longs et uniques pour chaque service, gérés par un gestionnaire de mots de passe fiable.
- Activer la double authentification (2FA) sur tous les comptes sensibles : messagerie, banque, réseaux sociaux.
- Ne jamais cliquer sur un lien contenu dans un email ou SMS non sollicité, même si l’expéditeur semble connu.
- Mettre à jour régulièrement les systèmes d’exploitation, navigateurs et logiciels pour corriger les failles de sécurité connues.
- Sauvegarder ses données sur un support externe déconnecté du réseau, ce qui permet de résister aux attaques par ransomware.
- Signaler toute tentative d’hameçonnage sur signal-spam.fr ou phishing-initiative.fr afin de contribuer à la protection collective.
Sur le plan documentaire, conserver des captures d’écran horodatées, des en-têtes d’emails suspects et tout échange avec l’auteur présumé de l’infraction renforce considérablement la crédibilité d’une plainte. Les prestataires de constat numérique peuvent aussi intervenir pour constituer une preuve recevable devant un tribunal, notamment dans les affaires de cyberharcèlement ou de diffamation en ligne.
Agir vite après une attaque : les bons réflexes juridiques
Une cyberattaque génère souvent un sentiment de confusion et d’impuissance. La réaction dans les premières heures conditionne pourtant l’efficacité des recours ultérieurs. Couper la connexion d’un appareil compromis, changer immédiatement les mots de passe des comptes potentiellement exposés, alerter sa banque en cas de suspicion de fraude financière : ces gestes techniques doivent précéder toute démarche juridique.
La déclaration à la CNIL s’impose lorsque l’attaque concerne des données personnelles gérées par une organisation. Toute violation de données doit être notifiée à la CNIL dans un délai de 72 heures à compter de sa découverte, sous peine de sanctions. Les particuliers victimes d’une violation de leurs données personnelles par une entreprise peuvent quant à eux saisir la CNIL via son formulaire de plainte en ligne.
Pour les entreprises, la souscription à une assurance cyber avant tout incident permet de couvrir les frais de remédiation, les pertes d’exploitation et parfois les frais de défense juridique. Ce type de contrat se développe rapidement sur le marché français, même si les conditions de couverture varient fortement d’un assureur à l’autre.
Faire appel à un avocat spécialisé en droit du numérique dès les premières heures permet d’orienter les démarches, de sécuriser les preuves dans les formes requises et d’évaluer les chances de succès d’une action pénale ou civile. Le droit français offre des outils réels aux victimes. Les utiliser efficacement demande une connaissance du cadre légal que seul un professionnel du droit peut véritablement maîtriser dans toute sa complexité.