Le directeur des systèmes d’information (DSI) et le responsable de la sécurité des systèmes d’information (RSSI) occupent une place centrale face aux cyberattaques, sans qu’aucun texte ne définisse leur fonction. Leur responsabilité pénale n’en est pas moins réelle. Tout dépend de l’organisation retenue dans l’entreprise, et d’abord de l’existence ou non d’une délégation de pouvoirs.
Une fonction sans statut, mais des infractions bien identifiées
Le droit français ne consacre ni le DSI ni le RSSI. Leur rôle se déduit de leur contrat de travail, de leur fiche de poste et des documents internes qui encadrent l’usage du système d’information : règlement intérieur, charte informatique, charte administrateur. L’exercice de ces fonctions les confronte pourtant directement à des obligations de sécurité et de conformité pénalement sanctionnées.
Plusieurs familles d’infractions les concernent au premier chef. L’article 226-15 du Code pénal protège le secret des correspondances, ce qui intéresse toute intervention sur les messageries. Les articles 226-16 et suivants répriment les atteintes aux droits des personnes résultant des traitements de données personnelles. Les articles 323-1 à 323-7 visent les atteintes aux systèmes de traitement automatisé de données. Enfin, l’usage de moyens de cryptologie relève de l’article 35 de la loi du 21 juin 2004 pour la confiance dans l’économie numérique et de l’article 132-79 du Code pénal.
L’article 226-17 mérite une attention particulière. Il punit de cinq ans d’emprisonnement et de 300 000 euros d’amende le fait de procéder ou de faire procéder à un traitement de données personnelles sans mettre en œuvre les mesures prescrites, notamment, par l’article 32 du RGPD, qui porte sur la sécurité du traitement. Un défaut de sécurisation des données n’est donc pas seulement un sujet de conformité réglementaire : il peut recevoir une qualification pénale.
Le sujet n’est pas théorique. Aux États-Unis, l’ancien responsable de la sécurité d’Uber a été condamné en 2023 pour avoir dissimulé une violation de données aux autorités fédérales, condamnation confirmée en appel en mars 2025. En France, la Cour de cassation n’a pas encore eu à se prononcer spécifiquement sur la responsabilité pénale d’un RSSI. Les juges apprécieront donc au cas par cas, au regard de l’organisation de l’entreprise, de la place du responsable dans l’organigramme, des procédures en place et de l’état de l’art en matière de sécurité.
Sans délégation de pouvoirs, le dirigeant reste en première ligne
Le point de départ est l’article 121-1 du Code pénal : nul n’est responsable pénalement que de son propre fait. Le DSI ou le RSSI répond donc de ses propres agissements, par exemple s’il accède sans droit à des correspondances ou dissimule sciemment un incident.
Les obligations de sécurité qui pèsent sur l’entreprise en tant que telle relèvent en revanche, par principe, de ceux qui la dirigent. En l’absence de délégation, c’est le dirigeant dont la responsabilité est recherchée pour les manquements aux obligations légales de l’entreprise, au titre de ses pouvoirs de direction et de surveillance. Le DSI salarié qui agit dans le cadre de ses fonctions reste alors soumis au pouvoir disciplinaire de l’employeur, dans les limites tracées par son contrat de travail et les chartes internes.
La personne morale peut, en outre, être poursuivie sur le fondement de l’article 121-2 du Code pénal, pour les infractions commises pour son compte par ses organes ou représentants. La chambre criminelle rappelle que les juges doivent identifier l’organe ou le représentant par l’intermédiaire duquel l’infraction a été commise. Un DSI titulaire d’une délégation de pouvoirs peut précisément avoir cette qualité de représentant.
La délégation de pouvoirs, outil de transfert de la responsabilité pénale
La délégation de pouvoirs permet au dirigeant de confier à un salarié une part de ses prérogatives dans un domaine déterminé, ici la sécurité des systèmes d’information. Lorsqu’elle est valable, elle transfère au délégataire la responsabilité pénale attachée aux manquements commis dans ce domaine. Le dirigeant ne peut cependant pas s’en prévaloir s’il a personnellement pris part à l’infraction.
Elle ne doit pas être confondue avec la délégation de signature. Celle-ci autorise seulement le salarié à signer certains actes, sans dessaisir le délégant de son pouvoir de décision. Elle n’opère aucun transfert de responsabilité. Il est donc indispensable de savoir précisément ce dont dispose le DSI.
La jurisprudence pénale exige que le délégataire soit pourvu de la compétence, de l’autorité et des moyens nécessaires. Transposées à la sécurité informatique, ces conditions sont concrètes. La compétence suppose une qualification et un niveau hiérarchique adaptés, que des formations ou certifications reconnues peuvent aider à démontrer. L’autorité implique une réelle autonomie de décision : le RSSI doit pouvoir imposer ses choix à ses équipes, sans contrôle permanent du dirigeant. Les moyens, enfin, sont humains, techniques et financiers. Une délégation consentie à un responsable privé de budget ou d’outils adaptés ne lui sera pas opposable.
D’autres exigences s’ajoutent. Pour une même mission, la délégation ne peut être confiée concurremment à plusieurs personnes. L’écrit n’est pas une condition de validité, mais il est vivement recommandé pour en prouver l’existence et le contenu : objet, périmètre, date d’effet, durée. La délégation doit aussi être compatible avec les statuts de la société et justifiée par la taille et l’organisation de l’entreprise.
Le DSI peut à son tour subdéléguer, aux mêmes conditions, par exemple à un responsable par métier ou par filiale. La Cour de cassation a jugé que la subdélégation n’avait pas à être autorisée par le chef d’entreprise. Il reste prudent de le prévoir expressément dans la délégation initiale.
Les précautions à prendre dans l’entreprise
La responsabilité pénale en matière de cybersécurité se joue largement en amont, dans l’organisation interne. Quelques mesures permettent de clarifier les rôles et de documenter les diligences :
- formaliser par écrit une délégation de pouvoirs précise en matière de sécurité des systèmes d’information, distincte d’une simple délégation de signature, et la mettre à jour lorsque la fonction évolue ;
- s’assurer que le budget, les effectifs et les outils alloués correspondent réellement au périmètre délégué, et conserver la trace des demandes de moyens et des arbitrages ;
- aligner le contrat de travail, la fiche de poste et les chartes informatiques sur la réalité des missions ;
- encadrer les éventuelles subdélégations et éviter les chevauchements de compétences ;
- documenter les procédures de gestion des incidents, y compris la remontée d’information vers la direction et les autorités compétentes.
Reste la question de l’assurance. L’article L. 113-1 du Code des assurances exclut la garantie des dommages provenant d’une faute intentionnelle ou dolosive de l’assuré. La Cour de cassation retient une conception étroite de la faute intentionnelle, entendue comme la volonté de créer le dommage tel qu’il est survenu. Une condamnation pénale n’exclut donc pas nécessairement toute prise en charge de l’indemnisation des victimes. Les sanctions pénales elles-mêmes restent, en tout état de cause, personnelles.
Ce qu’il faut retenir
Le DSI et le RSSI répondent pénalement de leurs propres fautes. Pour les manquements aux obligations de sécurité de l’entreprise, la responsabilité pèse en principe sur le dirigeant et, le cas échéant, sur la personne morale, sauf délégation de pouvoirs valable. Celle-ci n’est efficace que si le délégataire dispose réellement de la compétence, de l’autorité et des moyens nécessaires. En l’absence de jurisprudence française propre au RSSI, la clarté de l’organisation et la traçabilité des moyens alloués sont les meilleures protections, pour le dirigeant comme pour le responsable de la sécurité.
Références
C. pén., art. 121-1, 121-2, 132-79, 226-15, 226-16 et s., 226-17, 323-1 à 323-7.
Loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique, art. 35.
Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), art. 32.
C. assur., art. L. 113-1.
Cass. crim., 6 juin 1989, n° 88-82.266.
Cass. crim., 30 oct. 1996, n° 94-83.650.
Cass. crim., 17 févr. 2015, n° 14-80.422.
Cass. crim., 30 mars 2016, n° 14-87.511.
Cass. crim., 31 oct. 2017, n° 16-83.683, publié au Bulletin.
