Accéder à l'ordinateur de quelqu'un sans autorisation, est-ce illégal en France ?

MacWindowsMis à jour

En France, l'article 323-1 du Code pénal punit le fait d'accéder ou de se maintenir, frauduleusement, dans tout ou partie d'un système de traitement automatisé de données. D'autres articles du Code pénal visent la copie de données, les correspondances et les données personnelles. Voici ce que disent ces textes, tels qu'ils sont publiés sur Légifrance.

Cette page donne une information générale, pas un conseil juridique. Pour une situation précise, adressez-vous à un avocat.

Réponse rapide

L'article 323-1 du Code pénal punit de trois ans d'emprisonnement et de 100 000 € d'amende le fait d'accéder ou de se maintenir, frauduleusement, dans un système de traitement automatisé de données. Extraire, reproduire ou transmettre frauduleusement les données qu'il contient relève de l'article 323-3. Les articles 226-15, 226-18 et 226-22 visent les correspondances et les données personnelles.

Que dit l'article 323-1 du Code pénal ?

L'article 323-1, dans sa version en vigueur depuis le 26 janvier 2023, comporte trois alinéas :

  1. « Le fait d'accéder ou de se maintenir, frauduleusement, dans tout ou partie d'un système de traitement automatisé de données est puni de trois ans d'emprisonnement et de 100 000 € d'amende. »
  2. « Lorsqu'il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de cinq ans d'emprisonnement et de 150 000 € d'amende. »
  3. Lorsque ces infractions visent un système de traitement automatisé de données à caractère personnel mis en œuvre par l'État, la peine est portée à sept ans d'emprisonnement et à 300 000 € d'amende.

Le texte vise le fait d'accéder et celui de se maintenir, dans « tout ou partie » d'un système. Il ne définit pas ce qui rend un accès frauduleux.

L'article 323-7 ajoute : « La tentative des délits prévus par les articles 323-1 à 323-3-1 est punie des mêmes peines. »

Et si la personne copie ou modifie des fichiers ?

C'est l'article 323-3 : « Le fait d'introduire frauduleusement des données dans un système de traitement automatisé, d'extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu'il contient est puni de cinq ans d'emprisonnement et de 150 000 € d'amende. »

La peine est portée à sept ans d'emprisonnement et à 300 000 € d'amende lorsque le système est un traitement de données à caractère personnel mis en œuvre par l'État.

Lire les messages de quelqu'un, est-ce un délit ?

L'article 226-15 du Code pénal protège le secret des correspondances. Son deuxième alinéa vise les messages électroniques : est puni d'un an d'emprisonnement et de 45 000 euros d'amende « le fait, commis de mauvaise foi, d'intercepter, de détourner, d'utiliser ou de divulguer des correspondances émises, transmises ou reçues par la voie électronique ».

Le premier alinéa vise le fait, commis de mauvaise foi, d'ouvrir des correspondances adressées à des tiers « ou d'en prendre frauduleusement connaissance ». Les mots « de mauvaise foi » font partie de l'infraction.

Au travail, la CNIL rappelle de son côté, dans sa page du 9 juillet 2026, que la Cour de cassation a tiré depuis 2001 que « le salarié a droit, même au temps et au lieu de travail, au respect de l'intimité de sa vie privée ». Sa fiche de 2015 sur Internet et la messagerie y ajoute le secret de ses correspondances privées. Ce que l'employeur peut lire ou non est expliqué dans notre guide votre employeur peut-il surveiller votre ordinateur professionnel ?.

Et les données personnelles d'un collègue ?

Le Code pénal consacre une section aux atteintes aux droits de la personne résultant des fichiers ou des traitements informatiques. Deux articles concernent directement la collecte et la divulgation :

  1. Article 226-18. « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d'emprisonnement et de 300 000 euros d'amende. »
  2. Article 226-22. Il punit de cinq ans d'emprisonnement et de 300 000 euros d'amende la personne qui, ayant recueilli des données personnelles à l'occasion de leur traitement, les porte sans autorisation à la connaissance d'un tiers qui n'a pas qualité pour les recevoir, lorsque cette divulgation porterait atteinte à la considération de l'intéressé ou à l'intimité de sa vie privée. Commise par imprudence ou négligence, la divulgation est punie de trois ans d'emprisonnement et de 100 000 euros d'amende.

L'article 226-22 précise que, dans ces deux cas, « la poursuite ne peut être exercée que sur plainte de la victime, de son représentant légal ou de ses ayants droit ».

Le RGPD, lui, définit la « violation de données à caractère personnel » et met des obligations à la charge de l'organisme, pas de la personne qui a consulté les données. Nous l'expliquons dans un collègue qui lit vos fichiers, est-ce une violation de données ?.

Regarder l'écran de quelqu'un, est-ce couvert ?

Le texte de l'article 323-1 parle d'accéder ou de se maintenir dans un système. Il ne mentionne pas le fait de regarder un écran. Nous n'avons trouvé ni sur Légifrance ni auprès de la CNIL de texte qui traite de ce cas précis. Les règles internes de l'entreprise peuvent, elles, en parler. Notre guide sur le shoulder surfing au bureau traite du côté pratique.

Et l'employeur, que lui interdit la loi ?

Le Code du travail encadre ce que l'employeur peut faire sur les outils de ses salariés :

  • Article L1121-1. « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. »
  • Article L1222-4. « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance. »
  • Article L2312-38, dans la section consacrée aux entreprises d'au moins cinquante salariés. Le comité social et économique « est informé et consulté, préalablement à la décision de mise en œuvre dans l'entreprise, sur les moyens ou les techniques permettant un contrôle de l'activité des salariés ».

Ces articles concernent l'employeur, pas un collègue. Le détail, avec les règles de la CNIL, est dans notre guide sur la surveillance de l'ordinateur professionnel.

À qui s'adresser ?

Deux voies distinctes existent, et la CNIL précise que l'une n'est pas le préalable de l'autre :

  1. La plainte pénale. Service-Public.fr indique que vous pouvez porter plainte dans le commissariat ou la gendarmerie de votre choix, ou par courrier au procureur de la République. Les services de police ou de gendarmerie sont obligés d'enregistrer votre plainte si vous êtes victime d'une infraction.
  2. La plainte à la CNIL. Elle porte sur un manquement d'un organisme à la protection des données. La CNIL indique qu'elle ne peut pas régler des problématiques de droit du travail ou de droit pénal, ni vous obtenir des dommages et intérêts, et qu'une plainte à la CNIL « n'a pas valeur de dépôt de plainte pénale et n'en constitue pas un préalable ».

Les étapes, de la hiérarchie au CSE, sont dans signaler un collègue qui a fouillé votre ordinateur ou votre téléphone.

Autres questions

Utiliser l'ordinateur d'un collègue sans lui demander, est-ce illégal ?

L'article 323-1 punit le fait d'accéder ou de se maintenir « frauduleusement » dans un système de traitement automatisé de données. Le texte ne dit pas quand un accès devient frauduleux. Savoir si une situation précise entre dans ce cadre relève des faits et du juge. Pour un cas réel, adressez-vous à un avocat.

La tentative est-elle punie ?

Oui, selon l'article 323-7 : la tentative des délits prévus par les articles 323-1 à 323-3-1 est punie des mêmes peines que le délit lui-même.

Quelle est la peine maximale pour un accès frauduleux ?

Pour l'accès ou le maintien seul, trois ans d'emprisonnement et 100 000 € d'amende. S'il en est résulté une suppression ou une modification de données, ou une altération du fonctionnement du système, cinq ans et 150 000 €. Sept ans et 300 000 € lorsque le système de données personnelles est mis en œuvre par l'État.

La CNIL peut-elle sanctionner un collègue ?

La CNIL contrôle les organismes qui traitent des données personnelles. Elle indique qu'elle ne peut pas régler des questions de droit pénal ni condamner pénalement un organisme. Pour une infraction pénale, la voie est la plainte auprès de la police, de la gendarmerie ou du procureur de la République.

Où trouver le texte exact de ces articles ?

Sur Légifrance, le site officiel de diffusion du droit. Les liens vers chaque article sont dans les sources ci-dessous. Vérifiez la date de la version en vigueur affichée en haut de chaque article.

Sources