Vol de données : qualification, réflexes et responsabilité

Fichier clients copié par un ancien salarié, base de données aspirée par un attaquant, identifiants dérobés puis réutilisés : le vol de données touche aussi bien les grandes structures que les PME. Pour l'entreprise, il présente une double face. Elle est victime d'une infraction pénale, qu'elle peut faire poursuivre. Elle reste aussi responsable du traitement au sens du RGPD, et doit répondre de la sécurité des données qu'elle détenait.

Que recouvre juridiquement un vol d'informations ?

Le Code pénal ne prévoit pas d'infraction spécifique portant ce nom : les faits sont principalement poursuivis au titre des atteintes aux systèmes de traitement automatisé de données. Le Code pénal sanctionne à la fois l'intrusion dans le système et le fait d'en extraire ou d'en copier frauduleusement le contenu. Côté RGPD, l'incident est qualifié de violation de données dès que des données personnelles sont concernées.

Concrètement, un même vol de données peut relever de plusieurs textes, qui ne poursuivent pas le même objectif :

Les peines prévues par le Code pénal varient selon les circonstances, par exemple la suppression ou la modification de données, ou la commission en bande organisée. Consultez la version en vigueur sur Legifrance, et la présentation des infractions proposée par Cybermalveillance.gouv.fr.

Comment les données sont-elles dérobées en entreprise ?

Les attaques exploitent le plus souvent des identifiants volés, une détection trop tardive ou un prestataire insuffisamment sécurisé. Dans ses consignes publiées le 30 avril 2025, la CNIL relève que les violations massives de 2024 résultaient surtout de défauts récurrents.

D'après la CNIL, les scénarios les plus fréquents sont les suivants :

• l'usurpation d'un couple identifiant et mot de passe appartenant à un utilisateur légitime, souvent obtenu par hameçonnage ;
• l'absence de détection précoce : l'attaquant extrait des volumes importants sans déclencher d'alerte ;
• des mesures de sécurité insuffisantes chez un sous-traitant disposant d'un accès aux données.

Il faut y ajouter le risque interne : un collaborateur qui emporte un fichier à son départ commet lui aussi un vol de données au sens courant, dès lors qu'il n'avait pas le droit de copier ces informations.

Quels réflexes adopter dans les premières heures ?

Isolez les équipements touchés, conservez les preuves et déposez plainte avant toute remise en état. En parallèle, évaluez si des données personnelles sont concernées pour lancer, le cas échéant, la procédure prévue par le RGPD. Ces étapes reprennent les recommandations de Cybermalveillance.gouv.fr pour les dirigeants.

1. 1Isoler — Déconnectez du réseau les postes et serveurs compromis pour stopper l'extraction et limiter la propagation.
2. 2Conserver les preuves — Gardez les journaux de connexion, les fichiers suspects, les messages reçus et des captures d'écran, sans réinstaller les systèmes.
3. 3Porter plainte — Déposez plainte auprès de la police, de la gendarmerie ou par écrit au procureur de la République, avant toute remise en état.
4. 4Se faire assister — Sollicitez un prestataire via Cybermalveillance.gouv.fr et prévenez votre assureur dans les délais prévus par votre contrat.
5. 5Qualifier la violation — Déterminez si des données personnelles sont touchées et quel risque en découle pour les personnes concernées.
6. 6Documenter — Consignez les faits, leurs effets et les mesures prises dans votre registre des violations (article 33, paragraphe 5, du RGPD).

Si des données personnelles sont concernées, la notification à la CNIL et l'éventuelle information des personnes obéissent à des règles précises. Elles sont détaillées pas à pas dans notre guide Violation de données : réagir en 72 heures.

L'entreprise victime peut-elle être sanctionnée au titre du RGPD ?

Oui. Être victime d'une infraction n'exonère pas l'entreprise de son obligation de sécurité. La CNIL examine si les mesures en place étaient adaptées au risque, et un manquement à l'article 32 peut être sanctionné même si l'attaquant est seul responsable sur le plan pénal.

Cette obligation est appréciée au cas par cas, selon la nature des données, le volume traité et l'état des connaissances. Le texte cite notamment la pseudonymisation et le chiffrement, la confidentialité et la disponibilité des systèmes, la capacité à rétablir l'accès aux données et le test régulier des mesures. Face à un vol de données, l'entreprise doit donc pouvoir démontrer ce qu'elle avait mis en place. Selon l'article 83 du RGPD, ce manquement expose à une amende administrative pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

Quelles mesures réduisent le risque ?

Les mesures prioritaires sont souvent simples : authentification forte, surveillance des accès et encadrement des prestataires. La CNIL les met en avant dans ses consignes de 2025 et dans son guide de la sécurité des données personnelles.

Ces mesures limitent la probabilité d'un vol de données et constituent, en cas d'incident, la preuve que l'organisme a pris son obligation de sécurité au sérieux.

À retenir

• Le Code pénal réprime l'intrusion (article 323-1) et l'extraction ou la copie frauduleuse de données (article 323-3).
• Conservez les preuves et déposez plainte avant de remettre les systèmes en état.
• Si des données personnelles sont touchées, l'incident est aussi une violation au sens du RGPD, à documenter et, selon le risque, à notifier.
• Être victime n'efface pas l'obligation de sécurité de l'article 32 du RGPD.
• Authentification forte, journalisation et encadrement des sous-traitants sont les premiers leviers de prévention.