La cybercriminalité ne frappe plus seulement les grandes entreprises. Particuliers, TPE, associations : chaque utilisateur connecté peut se retrouver victime d'un accès frauduleux, d'un hameçonnage ou d'une usurpation d'identité. Face à ces menaces, le droit offre des outils concrets — à condition de savoir les mobiliser. Trop souvent, les victimes réagissent trop tard, effacent des preuves décisives ou ignorent les démarches à accomplir dans les premières heures. Pourtant, la qualification juridique des faits, la conservation des éléments techniques et le dépôt d'une plainte bien construite peuvent faire toute la différence. Cet article présente les mécanismes juridiques disponibles en France, les réflexes à adopter immédiatement et les obligations qui pèsent sur les organisations traitant des données personnelles.
Quels recours le droit prévoit-il face à une cyberattaque ?
Le Code pénal français réprime spécifiquement les infractions informatiques depuis la loi Godfrain de 1988, codifiée aux articles 323-1 et suivants. L'accès ou le maintien frauduleux dans un système de traitement automatisé de données constitue une infraction pénale autonome. La peine varie selon la gravité des faits et les conséquences provoquées sur le système ciblé.
Plusieurs qualifications peuvent s'appliquer à une même attaque. Un ransomware peut simultanément relever de l'atteinte à un système informatique, de l'extorsion et, si des données personnelles sont dérobées, d'une violation au sens du RGPD. Une arnaque au faux conseiller bancaire sera souvent qualifiée d'escroquerie au sens de l'article 313-1 du Code pénal, voire de phishing si l'usurpation d'identité d'un organisme est avérée. L'usurpation d'identité numérique, quant à elle, est réprimée par l'article 226-4-1.
La distinction entre victime particulière et organisation n'est pas anodine. Un particulier peut porter plainte pour obtenir réparation d'un préjudice matériel ou moral. Une entreprise, en plus du recours pénal, engage potentiellement sa responsabilité civile envers ses clients si une négligence dans la sécurisation des données est démontrée. Les peines encourues par les auteurs d'infractions informatiques peuvent atteindre plusieurs années d'emprisonnement et des amendes substantielles, selon la qualification retenue et les circonstances aggravantes.
Les délais de prescription pénale varient selon la nature de l'infraction. Pour un crime, la prescription est de vingt ans ; pour un délit, elle est en principe de six ans à compter du jour où l'infraction a été commise ou découverte. Vérifier la qualification exacte des faits auprès d'un avocat spécialisé en droit du numérique reste indispensable pour ne pas laisser prescrire une action légitime.
Réagir immédiatement sans compromettre les preuves
Les premières heures après une cyberattaque sont déterminantes. Une mauvaise réaction — réinitialiser un appareil, supprimer des messages suspects, changer des mots de passe sans noter les éléments techniques — peut détruire des preuves numériques précieuses. Or, sans preuve, pas de procédure efficace.
Les réflexes à adopter immédiatement, dans l'ordre :
- Sécuriser les accès compromis : changer les mots de passe depuis un appareil sain, activer la double authentification sur les comptes sensibles.
- Prévenir la banque sans délai en cas d'opération frauduleuse, afin de déclencher la procédure de contestation et limiter les pertes financières.
- Conserver les preuves techniques : captures d'écran avec URL visible, courriels complets avec en-têtes, journaux de connexion, relevés bancaires, noms de domaine frauduleux.
- Isoler l'appareil compromis du réseau sans l'éteindre ni le formater, pour préserver les journaux système utiles à une expertise ultérieure.
- Déposer plainte ou signaler les faits auprès de la police nationale ou de la gendarmerie, et signaler le contenu illicite sur la plateforme PHAROS.
- Vérifier les obligations liées aux données personnelles si l'incident a pu exposer des données de tiers, notamment l'obligation de notification à la CNIL.
La valeur probatoire d'une capture d'écran seule reste limitée. Conserver le courriel complet avec ses en-têtes techniques (adresse IP d'expédition, serveur relais, horodatage) renforce considérablement le dossier. Un huissier de justice peut également constater des faits en ligne et dresser un procès-verbal qui aura une force probante accrue devant les juridictions.
Contacter Cybermalveillance.gouv.fr permet d'être orienté vers des prestataires techniques référencés, capables d'intervenir rapidement pour sécuriser un système sans détruire les traces utiles à l'enquête.
Plainte, signalement et accompagnement officiel
Déposer une plainte et signaler un contenu illicite sont deux démarches distinctes aux finalités différentes. Le signalement sur PHAROS (la plateforme nationale de signalement des contenus illicites) alerte les services de police et de gendarmerie sur un contenu ou un comportement en ligne, mais ne suffit pas à déclencher une procédure judiciaire au bénéfice de la victime. Pour faire valoir ses droits et demander réparation, le dépôt d'une plainte auprès du procureur de la République, d'un commissariat ou d'une brigade de gendarmerie reste la voie appropriée.
Le dispositif 17Cyber, opérationnel depuis 2024, permet d'évaluer une situation de cybermalveillance et d'être orienté vers les services compétents. Ses modalités d'accès et ses horaires sont à vérifier sur le site officiel 17cyber.gouv.fr. Ce dispositif complète l'offre de Cybermalveillance.gouv.fr sans s'y substituer.
Faire appel à un avocat spécialisé en droit du numérique dès les premières démarches présente plusieurs avantages concrets. L'avocat aide à qualifier juridiquement les faits, à constituer un dossier probatoire solide et à orienter vers la juridiction compétente. Dans les cas d'usurpation d'identité, de harcèlement en ligne ou de violation de données sensibles, une assistance juridique rapide peut éviter des erreurs de procédure difficiles à corriger.
L'Agence nationale de la sécurité des systèmes d'information (ANSSI) publie des recommandations techniques à destination des organisations et des particuliers. Son site cyber.gouv.fr constitue une référence pour comprendre les obligations réglementaires et les bonnes pratiques de sécurité numérique applicables en France.
Données personnelles : obligations et responsabilités
Toute organisation qui traite des données personnelles — qu'il s'agisse d'une PME, d'une association ou d'une collectivité — peut se retrouver en situation de responsable de traitement au sens du RGPD dès qu'un incident compromet ces données. La réglementation européenne impose alors des obligations précises, dont le non-respect expose à des sanctions sévères.
Lorsqu'une violation de données présente un risque pour les droits et libertés des personnes concernées, le responsable de traitement dispose de 72 heures pour en informer la CNIL à compter du moment où il en prend connaissance. Ce délai court même si l'ampleur exacte de l'incident n'est pas encore établie : une notification initiale peut être complétée ultérieurement. En cas de risque élevé, les personnes dont les données ont été compromises doivent également être informées directement.
Les sanctions administratives prévues par le RGPD peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. La CNIL a démontré sa capacité à prononcer des amendes significatives, y compris contre des acteurs de taille modeste ayant négligé leurs obligations de sécurité. Au-delà de la sanction administrative, la victime d'une violation peut exercer un droit à réparation devant les juridictions civiles si un préjudice matériel ou moral est démontré.
Les sous-traitants ne sont pas exemptés. Tout prestataire traitant des données pour le compte d'un responsable de traitement engage sa propre responsabilité s'il ne respecte pas les instructions contractuelles ou les obligations du RGPD. Rédiger des contrats de sous-traitance conformes à l'article 28 du règlement est une obligation, pas une formalité optionnelle.
Prévenir le risque avec des mesures juridiquement traçables
La prévention technique ne suffit pas si elle n'est pas documentée. Face à une mise en cause — qu'elle vienne de la CNIL, d'un client ou d'une juridiction — une organisation doit être capable de démontrer qu'elle a pris des mesures adaptées. C'est le principe d'accountability posé par le RGPD : ne pas seulement agir, mais pouvoir en apporter la preuve.
Plusieurs mesures concrètes permettent de construire cette traçabilité. Les politiques d'habilitation définissent qui accède à quoi dans le système d'information. Les journaux d'accès conservés selon une durée proportionnée permettent de retracer les événements en cas d'incident. Les sauvegardes régulières, testées et stockées hors ligne, limitent l'impact d'un ransomware et témoignent d'une gestion sérieuse du risque.
La sensibilisation des collaborateurs figure parmi les mesures les plus efficaces. Une grande partie des incidents résulte d'une erreur humaine : clic sur un lien de phishing, mot de passe partagé, pièce jointe ouverte sans précaution. Documenter les sessions de formation, les tests de phishing internes et les procédures d'alerte interne constitue une preuve de diligence opposable en cas de litige.
La directive NIS2, dont la transposition en droit français est en cours de consolidation, renforce les obligations de cybersécurité des entités dites essentielles et importantes. Son périmètre exact et les textes nationaux d'application doivent être vérifiés à la date de publication, car les exigences évoluent. Les organisations concernées ont tout intérêt à anticiper ces obligations plutôt qu'à attendre une mise en demeure.
Relier prévention technique et conformité juridique n'est pas une contrainte supplémentaire : c'est la seule façon de défendre efficacement sa position lorsqu'une attaque survient. Une organisation qui documente ses choix de sécurité, forme ses équipes et contractualise ses relations avec ses prestataires dispose d'arguments solides face à toute mise en cause, qu'elle soit administrative, civile ou pénale.
