STAD

Ce que ça change pour une organisation

Le Code pénal réprime, dans son chapitre consacré aux systèmes de traitement automatisé de données, plusieurs infractions distinctes : l’accès ou le maintien frauduleux dans tout ou partie d’un système (article 323-1), l’entrave ou l’altération de son fonctionnement (article 323-2) et l’introduction, l’extraction, la détention, la reproduction, la transmission, la suppression ou la modification frauduleuse de données (article 323-3). L’accès ou le maintien frauduleux est puni de trois ans d’emprisonnement et de 100 000 euros d’amende ; ces peines passent à cinq ans et 150 000 euros lorsqu’il en résulte une suppression ou une modification de données ou une altération du fonctionnement du système, et à sept ans et 300 000 euros lorsque le système de données à caractère personnel est mis en œuvre par l’État. L’entrave et la manipulation frauduleuse de données sont chacune punies de cinq ans et 150 000 euros, avec les mêmes aggravations pour les systèmes de l’État.

Pour une organisation, cette qualification joue dans les deux sens. Victime d’une intrusion, elle peut porter plainte pour atteinte à un STAD et déclencher une enquête judiciaire, en parallèle de ses obligations de notification en cas de violation de données. Côté sécurité, l’article 323-3-1 punit aussi l’importation, la détention, la cession ou la mise à disposition d’outils conçus pour commettre ces infractions lorsqu’elle intervient sans motif légitime, ce que le texte illustre notamment par la recherche et la sécurité informatique : les équipes de test d’intrusion ont donc intérêt à documenter l’autorisation et le périmètre de leurs missions.

Exemple

Dans l’affaire Cegedim, l’éditeur Cegedim Santé a déposé plainte le 27 octobre 2025 après une intrusion visant les comptes d’environ 1 500 médecins utilisant son logiciel, et le parquet de Paris a ouvert en novembre 2025 une enquête pour atteintes à un système automatisé de données, selon franceinfo. Le 27 février 2026, le ministère de la Santé a confirmé la fuite de données administratives de 15 millions de Français : l’exemple montre la voie pénale (plainte, puis enquête du parquet) qui s’ajoute aux démarches de protection des données.

À ne pas confondre avec

• La violation de données personnelles : notion du RGPD qui se notifie à la CNIL, alors que l’atteinte à un STAD est une infraction pénale poursuivie par le parquet ; un même incident peut relever des deux.
• Le « piratage » : terme courant sans définition pénale propre, derrière lequel plusieurs infractions peuvent s’appliquer selon les faits (accès, entrave, manipulation de données).