Chapitre 111 minIntermédiaire
Le droit du numérique : textes, acteurs et responsabilités
Par Josselyn C., prof de BTS SIO. Mis à jour le .
À la fin de ce chapitre, tu sauras
- distinguer un règlement européen d'une directive et citer les grands textes du numérique ;
- dire quelle autorité contacter : CNIL, ANSSI, OFAC, Pharos, Afnic ;
- repérer les responsabilités civile, pénale, administrative et disciplinaire d'un incident ;
- savoir où le droit du numérique tombe aux épreuves E4, E5, E6 et E7.
3 exercices corrigés1 schéma
Le droit du numérique (on dit aussi droit de l'informatique) est l'ensemble des règles juridiques qui s'appliquent aux données, aux systèmes d'information, aux logiciels et aux services en ligne. Il ne forme pas un code à part : il emprunte au droit européen, au Code pénal, au Code civil, au Code du travail et au Code de la propriété intellectuelle. Ce chapitre présente ses grands textes, les autorités qui le font respecter et les quatre responsabilités qu'un incident informatique peut déclencher.
Pourquoi un informaticien doit connaître le droit
Trois situations ordinaires chez Cèdre Habitat :
- Nadia ajoute au portail locataires un champ « situation familiale » et un champ « revenus » pour préparer une future fonctionnalité. Elle vient de collecter des données personnelles sans finalité ni base légale : la CNIL peut sanctionner l'organisation.
- Thomas découvre qu'un ancien prestataire se connecte encore au serveur de fichiers avec un compte oublié. Le prestataire commet un accès frauduleux, puni par le Code pénal ; Cèdre Habitat a manqué à son obligation de sécurité.
- Sarah intègre une bibliothèque sous licence AGPL dans une application proposée aux locataires. Si elle ne respecte pas la licence, l'organisation commet une contrefaçon.
Dans chaque cas, le geste technique a une conséquence juridique. Le droit ne demande pas au technicien d'être juriste : il lui demande de repérer le risque, d'appliquer les règles simples et d'alerter quand la situation le dépasse (la responsable, le délégué à la protection des données, le service juridique).
Les grands textes à connaître
Le droit du numérique est d'abord européen. Un règlement de l'Union s'applique directement dans tous les États membres, comme une loi française ; une directive fixe des objectifs que chaque État doit transposer dans son droit par une loi nationale, avant une date limite (le droit de l'Union : règlement et directive).
| Texte | Nature | Ce qu'il encadre | Chapitre |
|---|---|---|---|
| RGPD (règlement 2016/679), applicable depuis le 25 mai 2018 | Règlement européen | Protection des données personnelles | 2 à 6 |
| Loi Informatique et libertés du 6 janvier 1978, réécrite en 2018 | Loi française | CNIL, compléments au RGPD, cookies (article 82) | 2 à 7 |
| Directive ePrivacy (2002/58/CE) | Directive | Cookies et traceurs, confidentialité des communications | 7 |
| Code pénal, articles 323-1 à 323-8 (issus de la loi Godfrain de 1988) | Loi française | Atteintes aux systèmes de traitement automatisé de données | 8 |
| LCEN (loi du 21 juin 2004 pour la confiance dans l'économie numérique), modifiée par la loi SREN du 21 mai 2024 | Loi française | Mentions légales, éditeurs, hébergeurs, conservation des données d'identification | 10 |
| DSA (règlement 2022/2065 sur les services numériques), pleinement applicable depuis le 17 février 2024 | Règlement européen | Responsabilité et obligations des hébergeurs et des plateformes | 10 |
| Directive NIS 2 (2022/2555) | Directive | Cybersécurité des entités essentielles et importantes | 6 et 15 |
| eIDAS (règlement 910/2014, révisé par le règlement 2024/1183, dit eIDAS 2) | Règlement européen | Signature électronique, horodatage, identité numérique | 12 |
| Code de la propriété intellectuelle | Loi française | Droit d'auteur du logiciel, licences, contrefaçon | 13 |
| Code civil | Loi française | Contrats, responsabilité, preuve | 12 et 14 |
| Règlement sur l'IA (2024/1689) et Cyber Resilience Act (2024/2847) | Règlements européens | Systèmes d'intelligence artificielle, sécurité des produits numériques | 15 |
Les acteurs qui font respecter ces règles
| Acteur | Qui est-ce ? | Ce qu'il fait pour toi |
|---|---|---|
| CNIL (Commission nationale de l'informatique et des libertés) | Autorité administrative indépendante créée en 1978 | Conseille, reçoit les plaintes et les notifications de violations, contrôle et sanctionne en matière de données personnelles et de cookies |
| ANSSI (Agence nationale de la sécurité des systèmes d'information) | Service du Premier ministre | Publie les guides de sécurité, certifie des produits et des prestataires, supervise les opérateurs d'importance vitale ; son centre CERT-FR traite les incidents |
| Cybermalveillance.gouv.fr | Dispositif national d'assistance | Aide les particuliers, entreprises et collectivités victimes, sensibilise ; avec la police et la gendarmerie, il opère depuis décembre 2024 le service 17Cyber |
| OFAC (Office anti-cybercriminalité) | Office de la police nationale, créé le 1er décembre 2023, qui a remplacé l'OCLCTIC | Enquête sur la cybercriminalité ; il héberge la plateforme Pharos de signalement des contenus illicites |
| ComCyberMI | Commandement de la gendarmerie dans le cyberespace | Enquête sur la cybercriminalité côté gendarmerie |
| Section J3 du parquet de Paris | Section spécialisée du ministère public | Poursuit les atteintes aux systèmes d'information les plus graves, avec une compétence nationale |
| Arcom | Autorité de régulation de la communication audiovisuelle et numérique | Coordonne en France l'application du DSA |
| Afnic | Association désignée par l'État | Gère les noms de domaine en .fr et ses procédures de litige |
Un incident, quatre responsabilités
Un même incident peut déclencher plusieurs responsabilités, chacune avec son juge, sa logique et sa sanction. Prenons une fuite de données chez Cèdre Habitat : un technicien d'un prestataire laisse une sauvegarde de la base des locataires accessible sur Internet, et un pirate la télécharge.
| Responsabilité | Elle répond à la question | Qui décide | Sanction | Dans l'exemple |
|---|---|---|---|---|
| Civile | Qui doit réparer le dommage ? | Le juge civil (tribunal judiciaire, tribunal de commerce) | Dommages et intérêts | Cèdre Habitat demande réparation à son prestataire (contrat) ; un locataire victime d'escroquerie peut agir contre Cèdre Habitat |
| Pénale | Une infraction a-t-elle été commise ? | Le juge pénal, sur poursuite du procureur | Amende, prison, peines complémentaires | Le pirate (accès frauduleux, extraction de données) ; éventuellement l'organisation, si la sécurité était manifestement négligée |
| Administrative | Les règles du RGPD ont-elles été respectées ? | La CNIL | Mise en demeure, amende administrative, injonction | Défaut de sécurité, retard de notification de la violation |
| Disciplinaire | Le salarié a-t-il commis une faute dans son travail ? | L'employeur, sous le contrôle du conseil de prud'hommes | Avertissement, mise à pied, licenciement | Le technicien qui a désactivé une protection malgré les consignes, s'il est salarié |
La responsabilité civile et la responsabilité pénale sont détaillées dans le cours CEJM : droit. Retiens ici deux règles utiles en cybersécurité :
- l'employeur répond civilement des dommages causés par ses salariés dans leurs fonctions (article 1242 du Code civil) : c'est l'entreprise que la victime poursuit, pas le technicien ;
- une personne morale peut être pénalement responsable des infractions commises pour son compte par ses organes ou représentants (article 121-2 du Code pénal), avec une amende jusqu'à cinq fois celle d'une personne physique.
Où ce droit tombe à l'examen
| Épreuve | Ce qu'on peut te demander |
|---|---|
| E7, écrit de 4 heures, bloc 3, coefficient 4 | Caractériser un risque juridique, identifier les obligations RGPD d'un traitement, dire si une charte est opposable, qualifier une infraction, indiquer qui notifier et dans quel délai, justifier une mesure de journalisation ou de conservation |
| E5, oral du bloc 1 | Mentions légales et politique de confidentialité d'un site, gestion des licences du parc, charte informatique, traitement des données dans les tickets |
| E6, épreuve d'option | Données personnelles traitées par ta réalisation : minimisation, droits d'accès, conservation, sécurité |
| E4, CEJM | Thème 4 : données personnelles, identité numérique, droit d'auteur, contrat électronique, preuve |
Les compétences du bloc 3 évaluées à l'E7 incluent explicitement « protéger les données à caractère personnel » et « préserver l'identité numérique de l'organisation » : c'est l'objet des chapitres 2 à 7 et 9. La méthode pour répondre à une question juridique est détaillée au chapitre 16.
Pour aller plus loin. Les cours Épreuve E7 SLAM et Épreuve E7 SISR montrent comment ces questions juridiques sont posées dans les sujets, avec des annales classées par thème.
Exercices
Exercice 1 sur 3 Règlement ou directive ? Réussi À revoir
Pour chaque texte, dis s'il s'applique directement en France ou s'il a besoin d'une loi de transposition, et donne une conséquence pratique.
- Le RGPD.
- La directive NIS 2.
- Le DSA.
Voir la réponseMasquer la réponse de l'exercice 1
- Règlement : il s'applique directement depuis le 25 mai 2018. La loi Informatique et libertés ne fait que le compléter sur les points que le RGPD laisse aux États (âge du consentement des mineurs, organisation de la CNIL, cookies…).
- Directive : chaque État devait la transposer avant le 17 octobre 2024. En France, la loi de transposition n'était toujours pas promulguée début novembre 2026 (chapitre 6) : ses obligations précises (liste des entités, contrôles, sanctions) ne s'imposent pas encore aux entreprises françaises.
- Règlement : il s'applique directement. La loi SREN de 2024 a seulement adapté la LCEN et désigné l'Arcom comme coordinateur.
Tu avais trouvé ?
Exercice 2 sur 3 Quel acteur ? Réussi À revoir
Cèdre Habitat est confrontée à cinq situations. Indique à chaque fois l'acteur à contacter.
- Un locataire se plaint de ne pas avoir reçu de réponse à sa demande de copie de ses données.
- Un rançongiciel a chiffré deux serveurs ; la DSI veut de l'aide pour qualifier l'attaque et trouver un prestataire.
- Une vidéo d'appel à la violence contre un gardien d'immeuble circule sur un site.
- Un site en
cedre-habitat-paiement.frimite le portail locataires. - La sauvegarde des données des locataires a fuité.
Voir la réponseMasquer la réponse de l'exercice 2
- La CNIL, auprès de laquelle le locataire peut porter plainte : Cèdre Habitat doit répondre dans le délai d'un mois (chapitre 4).
- Cybermalveillance.gouv.fr (ou le 17Cyber) pour l'assistance et l'orientation vers un prestataire ; plainte auprès de la police ou de la gendarmerie ; le CERT-FR de l'ANSSI peut aussi être alerté.
- Pharos, la plateforme de signalement des contenus illicites, hébergée par l'OFAC ; on peut aussi notifier l'hébergeur du site (chapitre 10).
- L'Afnic, par une procédure Syreli ou PARL Expert, pour récupérer ou supprimer le nom de domaine, et une plainte pour l'escroquerie (chapitre 9).
- La CNIL, par une notification de violation dans les 72 heures, et les locataires concernés si le risque est élevé (chapitre 6).
Tu avais trouvé ?
Exercice 3 sur 3 Quatre responsabilités Réussi À revoir
Un administrateur salarié de Cèdre Habitat, mécontent d'avoir été muté, supprime volontairement la base des tickets avant de partir. Les locataires ne peuvent plus suivre leurs demandes pendant trois jours. Quelles responsabilités sont engagées ?
Voir la réponseMasquer la réponse de l'exercice 3
- Pénale : suppression frauduleuse de données dans un système de traitement automatisé (article 323-3 du Code pénal, 5 ans d'emprisonnement et 150 000 € d'amende). Le fait qu'il ait eu des droits d'administrateur ne l'autorise pas à détruire les données (chapitre 8).
- Disciplinaire : faute grave, voire faute lourde puisqu'il a agi dans l'intention de nuire à l'employeur. Cèdre Habitat peut le licencier.
- Civile : Cèdre Habitat peut se constituer partie civile pour obtenir réparation (coût de restauration, temps passé). Envers les locataires, c'est Cèdre Habitat qui répond, l'administrateur ayant agi dans le cadre de ses fonctions ou à l'occasion de celles-ci.
- Administrative : la perte de disponibilité des données est une violation de données personnelles (les tickets contiennent des noms et des coordonnées). Cèdre Habitat doit la documenter et, si elle présente un risque pour les locataires, la notifier à la CNIL.
Tu avais trouvé ?