Fuite de données : Condamnation pour abus de confiance d’un salarié ayant détourné des données professionnelles à des fins personnelles

Citation : Cabinet Caprioli & Associés, Fuite de données : Condamnation pour abus de confiance d’un salarié ayant détourné des données professionnelles à des fins personnelles, www.caprioli-avocats.com

Mise en ligne : 23 décembre 2014

L’abus de confiance est une infraction sanctionnant l’atteinte aux biens et incriminant « le fait par une personne de détourner, au préjudice d'autrui, des fonds, des valeurs ou un bien quelconque qui lui ont été remis et qu'elle a acceptés à charge de les rendre, de les représenter ou d'en faire un usage déterminé » (article 314-1 du Code pénal). Dans un arrêt du 22 octobre 2014, la Cour de Cassation est venue approuver la condamnation pour abus de confiance d’un salarié qui avait détourné des milliers de fichiers informatiques de son employeur à des fins personnelles.

Le salarié avait démissionné d’un cabinet de courtage pour en rejoindre un autre. A la suite d’un contrôle interne durant son préavis, son employeur s’était rendu compte que le salarié avait capté sans autorisation 9.824 fichiers sur treize clés USB et 300 fichiers expédiés de son poste professionnel vers sa messagerie privée et ce afin d’alimenter un fonds documentaire personnel. Or, la charte informatique de l’entreprise, ratifiée par le salarié, interdisait notamment l’extraction des données, leur reproduction sans l’autorisation préalable d’un responsable de service et le détournement de leur utilisation normale à des fins personnelles. La Cour d’appel avait alors déclaré le salarié coupable d’abus de confiance (CA Bordeaux, 5 février 2013, n°12/01041). La Cour affirmait qu’en ayant capté les données « dans l’intention avouée d’alimenter un fonds documentaire personnel alors que ces données ne lui avaient été confiées qu’à titre précaire et pour un usage strictement professionnel », le prévenu s’était « comporté à l’instar d’un propriétaire en les détournant à son profit », concluant que « ces pratiques de captations clandestines, déployées en violation de l’engagement écrit qu’il avait souscrit, suffisent à caractériser » l’abus de confiance. Le salarié, condamné à une amende pénale de 10.000 euros et à 1 euros de dommages et intérêts en réparation du préjudice moral, avait alors formé un pourvoi en cassation. La Cour de Cassation a finalement rejeté le pourvoi en énonçant « que le prévenu a, en connaissance de cause, détourné en les dupliquant, pour son usage personnel, au préjudice de son employeur, des fichiers informatiques contenant des informations confidentielles et mises à sa disposition pour un usage professionnel » de sorte que la Cour d’appel avait justifié sa décision en caractérisant tous les éléments de l’abus de confiance.

La Cour de cassation adopte une solution conforme à la jurisprudence qui avait déjà retenu l’abus de confiance pour détournement de données (voir par exemple TGI Versailles, 18 déc. 2007, n° 0511965021, L. c/ Valéo : Comm. com. électr. 2008, comm. 62, note É. A. Caprioli ou encore TGI Clermont-Ferrand, ch. corr., 21 juin 2010 : Comm. com. électr. 2011, comm. 31, note É. A. Caprioli). Elle confirme par ce biais que les données sont des « biens quelconques » au sens de l’article 314-1 du Code pénal et qu’il n’est pas nécessaire que l’employeur soit dépossédé de ses données. En outre, cet arrêt démontre à nouveau l’intérêt pour l’employeur d’adopter une charte informatique puisqu’elle a permis dans cette affaire de caractériser deux éléments matériels de l’infraction (la remise précaire du bien quelconque au salarié et son détournement) ainsi que l’élément intentionnel.

Face à la délicate qualification de vol de données, l’abus de confiance était, avec le recel, une des infractions privilégiées en cas de fuite d’informations réalisées par des salariés. La loi renforçant la lutte contre le terrorisme vient de consacrer à tout le moins indirectement le vol de données et plus directement la fuite d’information entendu largement, en modifiant l’article 323-3 du Code pénal afin de réprimer le fait « d’extraire, de détenir, de reproduire, de transmettre » frauduleusement les données contenues dans un système d’information et offre ainsi de nouvelles perspectives d’actions pour les entreprises victimes (Loi n° 2014-1353 du 13 novembre 2014 renforçant les dispositions relatives à la lutte contre le terrorisme, JO du 14 novembre 2014 p. 19162).

2. Crim. 22 octobre 2014, n°13-82.630