Code pénal et limites¶
Plusieurs infractions du Code pénal concernent directement les pratiques d'enquête en ligne. Les peines évoluent avec les réformes : consultez la version en vigueur sur Légifrance.
Atteintes aux systèmes de traitement automatisé de données (articles 323-1 et suivants)¶
Issues de la loi Godfrain (1988), ces infractions définissent la frontière entre OSINT et intrusion.
| Article | Comportement réprimé |
|---|---|
| 323-1 | Accéder ou se maintenir frauduleusement dans tout ou partie d'un système (STAD) |
| 323-2 | Entraver ou fausser le fonctionnement d'un système |
| 323-3 | Introduire, extraire, détenir, reproduire, transmettre, supprimer ou modifier frauduleusement des données |
| 323-3-1 | Détenir, offrir ou mettre à disposition, sans motif légitime, un outil conçu ou adapté pour commettre ces infractions |
Ce qui est interdit, concrètement¶
- Utiliser un identifiant ou un mot de passe trouvé en ligne (fuite de données, document oublié).
- Exploiter une faille pour accéder à un espace non public.
- Modifier une URL pour accéder à des documents manifestement non destinés au public (par exemple en incrémentant un numéro de facture).
- Se maintenir dans un espace protégé après avoir compris qu'on y est entré par erreur.
- Lancer des requêtes massives qui perturbent le fonctionnement d'un site.
L'affaire dite « Bluetouff »
Un internaute avait accédé, via un moteur de recherche, à des documents d'un organisme public stockés sur un espace mal protégé, puis les avait téléchargés. La Cour de cassation (chambre criminelle, 20 mai 2015) a confirmé sa condamnation : même sans protection technique effective, se maintenir dans un espace dont on sait qu'il n'est pas public et en extraire des données est punissable.
Leçon : si vous tombez sur un espace manifestement privé, quittez-le, ne téléchargez rien et, le cas échéant, signalez la faille au responsable.
Usurpation d'identité (article 226-4-1)¶
Usurper l'identité d'un tiers, ou utiliser des données permettant de l'identifier, en vue de troubler sa tranquillité ou celle d'autrui, ou de porter atteinte à son honneur ou à sa considération, est un délit, y compris en ligne.
Conséquence : un compte de recherche ne doit jamais reprendre le nom, la photo ou les éléments d'identité d'une personne réelle.
Collecte déloyale de données (article 226-18)¶
Collecter des données personnelles par un moyen frauduleux, déloyal ou illicite est un délit. Une collecte par ruse, sous un faux prétexte, ou en violation manifeste des règles d'un service peut tomber sous le coup de cet article.
Atteinte à la vie privée (articles 226-1 et suivants)¶
Capter, enregistrer ou transmettre sans consentement des paroles prononcées à titre privé ou l'image d'une personne se trouvant dans un lieu privé est réprimé. Le droit au respect de la vie privée est par ailleurs protégé par l'article 9 du Code civil.
Mise en danger par diffusion d'informations personnelles (article 223-1-1)¶
Créé en 2021, cet article réprime le fait de révéler, diffuser ou transmettre des informations relatives à la vie privée, familiale ou professionnelle d'une personne permettant de l'identifier ou de la localiser, dans le but de l'exposer, elle ou sa famille, à un risque d'atteinte à sa personne ou à ses biens.
Conséquence : ne publiez jamais les résultats d'une enquête sur une personne (adresse, employeur, proches…).
Harcèlement (article 222-33-2-2)¶
Des recherches répétées suivies de prises de contact, de publications ou de messages peuvent constituer un harcèlement, notamment en ligne. La surveillance d'une personne n'est jamais une pratique OSINT acceptable.
Récapitulatif¶
| Pratique | Statut |
|---|---|
| Consulter une page publique, un registre officiel | Autorisé |
| Archiver une page publique pour une enquête légitime | Autorisé (en respectant le RGPD) |
| Utiliser un mot de passe issu d'une fuite | Interdit (323-1) |
| Deviner l'URL d'un document non public | Interdit (323-1, 323-3) |
| Créer un compte au nom d'une personne réelle | Interdit (226-4-1) |
| Publier l'adresse d'une personne identifiée en ligne | Interdit (223-1-1) |
| Lancer un scan intensif sur un site sans autorisation | Risqué (323-2) et hors OSINT |