Responsabilité civile et pénale de l'administrateur et du développeur

La responsabilité juridique d'un informaticien, c'est l'obligation de répondre de ses actes et de ses erreurs : devant son employeur (sanction disciplinaire), devant les victimes (réparation civile) et devant la justice pénale (amende, prison). Un administrateur peut tout lire et tout effacer, un développeur (le « concepteur de solutions applicatives » du référentiel) met en production un code qui traite des données : leurs pouvoirs techniques dépassent de loin leurs droits. Ce chapitre explique qui paie les dégâts selon que l'informaticien est salarié, consultant d'une ESN ou indépendant, ce qu'un administrateur ne doit jamais faire même sur ordre, ce qu'un développeur engage avec son code, comment une charte encadre tout cela dans une petite entreprise comme Sorbier, et les réflexes qui protègent. Les règles générales sont dans les cours CEJM : droit et droit du numérique.

Pourquoi l'informaticien est exposé

Trois raisons rendent l'informaticien plus exposé que la plupart des salariés :

• ses pouvoirs : un administrateur du domaine Active Directory de Sorbier peut réinitialiser le mot de passe de la directrice, lire une boîte aux lettres, supprimer un partage ; un développeur peut modifier une requête qui touche toute la base clients ;
• l'ampleur des erreurs : une commande mal tapée ou une mise à jour non testée peut arrêter toute l'entreprise ou exposer des milliers de données ;
• la traçabilité : ses actions laissent des traces (journaux, historique Git, tickets), qui serviront de preuve, contre lui comme pour lui.

Un même incident peut déclencher plusieurs responsabilités, indépendantes et cumulables : disciplinaire (l'employeur sanctionne une faute), civile (quelqu'un répare le dommage), pénale (une infraction est poursuivie) et, pour l'organisation, administrative (la CNIL sanctionne un manquement au RGPD). Le cours droit du numérique les présente en détail ; ici, on s'intéresse à la question pratique : qui paie ?

Salarié, consultant ou indépendant : qui paie les dégâts ?

La réponse dépend du statut de l'informaticien et de la personne lésée.

L'administrateur salarié. Envers les tiers (un client, un fournisseur), c'est l'employeur qui répond des dommages causés par son salarié dans ses fonctions (article 1242, alinéa 5, du Code civil). Depuis l'arrêt Costedoat de la Cour de cassation (assemblée plénière, 25 février 2000), le salarié qui agit sans excéder les limites de sa mission n'engage pas sa responsabilité personnelle envers les victimes. Cette protection tombe s'il commet une infraction pénale intentionnelle, même sur ordre (arrêt Cousin, assemblée plénière, 14 décembre 2001), ou s'il agit hors de ses fonctions, à des fins personnelles. Envers son employeur, le salarié ne répond pécuniairement que de sa faute lourde, commise avec l'intention de nuire : une erreur, même grave, peut justifier une sanction disciplinaire, pas une retenue sur salaire ni une demande de remboursement.

Le consultant d'une ESN. Quand le consultant de Kerys efface par erreur une table de production pendant une intervention de TMA, Sorbier n'agit pas contre le consultant : elle agit contre Kerys, au titre du contrat (inexécution, dans les limites des clauses de responsabilité). Kerys répond de son salarié, et ne peut à son tour s'en prendre à lui qu'en cas de faute lourde.

Le développeur indépendant. Le freelance est lui-même le cocontractant : il répond personnellement de l'inexécution de son contrat, sur son patrimoine professionnel. C'est pourquoi il a intérêt à souscrire une assurance de responsabilité civile professionnelle et à négocier une clause qui plafonne sa responsabilité.

Dans tous les cas, la responsabilité pénale est personnelle : « Nul n'est responsable pénalement que de son propre fait » (article 121-1 du Code pénal). L'administrateur qui lit de sa propre initiative la messagerie d'un collègue, le développeur qui copie la base clients pour un concurrent, le prestataire qui garde ses accès après la fin de sa mission répondent eux-mêmes de l'infraction, à côté de la responsabilité éventuelle de la personne morale.

L'administrateur : ce que ses droits techniques ne lui donnent pas

Un compte d'administration est un outil de travail, pas une autorisation générale. Le tableau suivant résume ce que l'administrateur peut, doit et ne doit pas faire.

Les infractions des articles 323-1 et suivants, et leur interprétation par les tribunaux, sont détaillées dans le chapitre cybercriminalité.

Quand la hiérarchie demande l'illégal

« La directrice m'a demandé de lui transférer tous les courriels de Karim, dossier Personnel compris, pour savoir s'il cherche un autre emploi. » La consigne vient de la direction, mais elle ne rend pas l'acte légal : les messages identifiés comme personnels sont protégés par le secret des correspondances, et fouiller la vie privée d'un salarié est disproportionné. Le Code pénal n'exonère que la personne qui accomplit un acte commandé par l'autorité légitime, c'est-à-dire une autorité publique, et jamais pour un acte manifestement illégal (article 122-4) : l'ordre d'un employeur privé ne couvre pas l'administrateur. Et la protection civile de l'arrêt Costedoat tombe en cas d'infraction pénale intentionnelle, même commise sur ordre.

La bonne réaction tient en quatre gestes :

1. ne pas exécuter tout de suite, et rester courtois ;
2. rappeler la règle : la charte, le secret des correspondances, la procédure prévue (par exemple, l'accès aux fichiers d'un absent en présence d'un témoin) ;
3. exiger une demande écrite, qui oblige le demandeur à assumer et laisse une trace ;
4. alerter le délégué à la protection des données (DPO) ou la direction si la demande est maintenue.

Le développeur : ce qu'il engage avec son code

Le développeur n'administre pas les serveurs, mais son code engage l'organisation de plusieurs façons.

• La conformité au contrat. Pour une ESN au forfait, un code qui ne respecte pas le cahier des charges est une inexécution (chapitre 9). Le développeur salarié n'en répond pas personnellement envers le client, mais son travail engage son employeur.
• La sécurité et les données personnelles. Le RGPD impose au responsable de traitement la protection des données dès la conception et par défaut (article 25) ; le prestataire qui développe pour lui, sous-traitant, doit l'y aider. Concrètement : requêtes préparées, mots de passe hachés, droits minimaux, journalisation, et des données fictives dans les environnements de test, jamais une copie brute de la production (sécurité applicative). Une faille due au non-respect des règles de l'art (une injection SQL connue depuis vingt ans) sera difficile à défendre.
• Les licences des composants. Intégrer une bibliothèque sans respecter sa licence, c'est une contrefaçon ; copier du code sous GPL dans un logiciel distribué sous licence propriétaire oblige à publier le code, ou à retirer la bibliothèque (licences logicielles).
• La propriété du code. Le code écrit par un salarié dans ses fonctions appartient à l'employeur (article L113-9 du Code de la propriété intellectuelle). Celui d'un indépendant ou d'une ESN reste à son auteur, sauf cession écrite qui précise les droits cédés, leur étendue, leur destination, le lieu et la durée (article L131-3). Un développeur qui réutilise chez un nouvel employeur le code de l'ancien s'expose à la contrefaçon ; celui qui emporte le code source ou des fichiers clients, à la violation du secret des affaires (CEJM : à qui appartient le code ?).
• Le code généré par une IA. L'outil ne porte aucune responsabilité : le code livré engage celui qui le livre. Il doit être relu, testé et vérifié (licences, failles), et aucune donnée confidentielle ne doit être collée dans un outil non autorisé par l'organisation.
• Les nouveaux textes européens. Pour les éditeurs qui mettent des logiciels sur le marché, le Cyber Resilience Act impose des exigences de sécurité tout au long de la vie du produit (obligations de signalement depuis le 11 septembre 2026, application complète le 11 décembre 2027), et la directive 2024/2853 sur les produits défectueux, à transposer avant le 9 décembre 2026, range les logiciels parmi les produits dont le fabricant répond (AI Act et Cyber Resilience Act).

La charte informatique et la charte administrateur chez Sorbier

La charte informatique fixe les règles d'usage des outils numériques par tous les utilisateurs ; la charte administrateur fixe en plus les devoirs de ceux qui ont des droits élevés. Leur valeur juridique dépend de la façon dont elles sont adoptées (valeur juridique de la charte).

Sorbier compte 14 salariés. Le règlement intérieur n'est obligatoire qu'à partir de 50 salariés (article L1311-2 du Code du travail) : Sorbier n'en a pas. Pour que sa charte puisse fonder une sanction, deux voies s'offrent à elle :

• adopter volontairement un règlement intérieur, en suivant sa procédure, et y annexer la charte ;
• ou faire signer la charte en annexe du contrat de travail de chaque salarié : elle devient contractuelle, mais toute modification ultérieure demande l'accord de chacun.

Une charte simplement envoyée par courriel informe les salariés (ce qui compte pour annoncer les contrôles, article L1222-4), mais ne suffit pas, seule, à fonder une sanction.

Pour les prestataires, qui ont aussi des accès élevés (Kerys sur srv-web, Bréval si l'infogérance est signée), les règles passent par le contrat : clause de confidentialité, respect de la charte de Sorbier et de sa propre charte administrateur, comptes nominatifs, journalisation, retrait des accès en fin de mission.

Une charte administrateur pour une petite équipe comme celle d'Antoine tient en une page, autour de quelques engagements :

Se protéger : les bons réflexes

• Un ticket pour chaque intervention, surtout quand elle touche aux données d'un utilisateur : la trace protège autant qu'elle contrôle.
• Un compte nominatif, jamais de compte partagé : en cas de problème, on doit pouvoir prouver que ce n'était pas toi.
• Un ordre écrit pour toute demande inhabituelle (accéder à une boîte aux lettres, extraire une liste de salariés, désactiver une protection).
• Le périmètre, rien que le périmètre : ne pas « en profiter » pour regarder ce qui ne te concerne pas.
• Signaler plutôt que taire : une erreur avouée tout de suite se répare ; une erreur cachée devient une faute.
• Rendre tes accès à la fin d'un stage, d'une mission ou d'un contrat, et le demander par écrit si on oublie de te les retirer.

Exercices

Exercice 1 sur 4 Qui paie ? Réussi À revoir

Pour chaque incident, dis qui doit réparer le dommage subi par la victime, et si l'auteur risque une sanction personnelle.

1. Moussa Diallo, technicien salarié de Sorbier, supprime par erreur le partage du service commercial ; la restauration fait perdre une demi-journée de travail et un devis n'est pas envoyé à temps.
2. Le consultant de Kerys, en intervention de TMA, efface une table de la base du site de suivi ; Sorbier doit ressaisir deux jours de livraisons.
3. Un développeur indépendant, payé par Sorbier pour un petit script d'import, l'exécute sur la base de production au lieu de la base de test et corrompt des données.
4. Un ancien technicien de Sorbier se connecte au VPN avec son compte non désactivé, trois mois après son départ, et télécharge la liste des clients.

Voir la réponseMasquer la réponse de l'exercice 1

1. Le dommage reste chez Sorbier, employeur : Moussa est resté dans sa mission, son erreur n'est pas une faute lourde (pas d'intention de nuire), Sorbier ne peut pas lui en demander le remboursement. Une sanction disciplinaire proportionnée est possible si l'erreur révèle une négligence (manipulation sans vérification), mais un simple rappel des procédures est plus adapté. Leçon : sauvegardes testées, droits de suppression limités.
2. Kerys répond envers Sorbier, au titre du contrat de TMA (inexécution, dans les limites des clauses de responsabilité). Le consultant n'est pas poursuivi par Sorbier ; Kerys ne peut se retourner contre lui qu'en cas de faute lourde.
3. Le développeur indépendant répond personnellement envers Sorbier, au titre de son contrat : il a commis une faute dans l'exécution de sa prestation. S'il a une assurance de responsabilité civile professionnelle, elle prendra le relais. Sorbier aurait dû aussi lui refuser l'accès à la production.
4. L'ancien technicien commet un maintien frauduleux dans un système (article 323-1 du Code pénal, 3 ans et 100 000 €) et une extraction frauduleuse de données (article 323-3, 5 ans et 150 000 €) : sa responsabilité pénale et civile est personnelle. Sorbier, de son côté, a manqué à son obligation de sécurité (compte non désactivé) : c'est une violation de données à documenter et, selon le risque pour les clients, à notifier à la CNIL.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 4 Les demandes adressées à Antoine Réussi À revoir

Antoine Mercier reçoit trois demandes. Pour chacune, dis s'il peut y donner suite, et comment.

1. La directrice lui demande de « jeter un œil » aux courriels d'un commercial qu'elle soupçonne de travailler pour un concurrent.
2. Le comptable, en congé maladie pour un mois, détient sur son poste le fichier des virements à envoyer demain.
3. Kerys demande un compte administrateur permanent sur srv-web « pour gagner du temps ».

Voir la réponseMasquer la réponse de l'exercice 2

1. Oui pour les messages professionnels, non pour les messages personnels. Les courriels de la messagerie fournie par l'entreprise sont présumés professionnels : l'employeur peut les consulter, même hors de la présence du salarié, et y chercher la preuve d'un manquement (la charte informatique). Antoine obtient une demande écrite de la directrice, limite la recherche aux échanges professionnels utiles (messages avec le concurrent, envois de fichiers clients), n'ouvre aucun message ni dossier identifié comme personnel (secret des correspondances, article 226-15 du Code pénal : ceux-là ne s'ouvrent qu'en présence du salarié ou après l'avoir dûment appelé, ou sur mesure d'instruction ordonnée par un juge), trace son intervention dans un ticket et ne transmet que les messages utiles, pas une copie de toute la boîte.
2. Oui, pour la continuité de l'activité : le fichier est professionnel. Antoine limite l'accès au fichier utile, en présence d'un témoin si la charte le prévoit, n'ouvre rien d'identifié comme personnel, trace l'intervention dans un ticket et informe le comptable.
3. Non, pas sous cette forme. Un accès permanent à privilèges élevés contredit le moindre privilège. Antoine propose un compte nominatif pour chaque intervenant de Kerys, avec authentification multifacteur, ouvert pour la durée d'une intervention demandée par ticket, et journalisé ; le contrat de TMA doit rappeler ces règles et la confidentialité.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 4 Le développeur et la bibliothèque Réussi À revoir

Pour le module de bon de livraison, un développeur de Kerys intègre une bibliothèque de signature électronique sous licence GPL v3, alors que le contrat cède à Sorbier un code qu'elle pourra distribuer à ses clients transporteurs sous sa propre licence. Qui risque quoi, et que faut-il faire ?

Voir la réponseMasquer la réponse de l'exercice 3

La GPL v3 impose que toute œuvre dérivée distribuée le soit sous GPL, avec son code source. Si Sorbier distribue le module à ses clients sous une autre licence, elle commet une contrefaçon. Envers Sorbier, c'est Kerys qui répond : elle a livré un code qui ne permet pas l'usage prévu au contrat (non-conformité), et devait vérifier les licences des composants (règles de l'art). Le développeur, salarié, n'est pas personnellement poursuivi par Sorbier ; Kerys peut le sanctionner s'il a ignoré une procédure interne de validation des licences. Il faut remplacer la bibliothèque par une bibliothèque sous licence permissive (MIT, Apache 2.0) ou acheter une licence commerciale si l'auteur en propose une, et ajouter au contrat la liste des composants et de leurs licences.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 4 sur 4 La charte de Sorbier Réussi À revoir

Antoine a rédigé une charte informatique et l'a envoyée à tous les salariés par courriel. Un an plus tard, un salarié installe un logiciel de prise de main à distance non autorisé, qui sert de porte d'entrée à une intrusion. La directrice veut le sanctionner « en application de la charte ». Est-ce possible ? Que conseilles-tu pour l'avenir ?

Voir la réponseMasquer la réponse de l'exercice 4

Sorbier compte 14 salariés : le règlement intérieur n'est pas obligatoire (article L1311-2 du Code du travail) et elle n'en a pas. Une charte simplement envoyée par courriel a une valeur d'information, pas de règle disciplinaire opposable : la sanction ne peut pas se fonder sur elle seule. La directrice peut toutefois sanctionner un manquement du salarié à ses obligations générales (exécution de bonne foi du contrat, respect des consignes de sécurité clairement communiquées), si la faute est réelle et la sanction proportionnée, en suivant la procédure disciplinaire. Pour l'avenir : faire signer la charte en annexe des contrats de travail, ou adopter volontairement un règlement intérieur et l'y annexer ; et, techniquement, retirer aux utilisateurs le droit d'installer des logiciels.

Tu avais trouvé ?

Oui, j'avais bonPas encore