Comprendre l’accès indu système informatique suisse en entreprise
Faire face à un accès indu système informatique suisse représente un défi majeur pour les employeurs modernes. Lorsqu’une faille provient de l’interne, la confiance est rompue. Vous pensez peut-être que les cyberattaques viennent exclusivement de l’extérieur, menées par des pirates anonymes. Pourtant, les statistiques montrent qu’une proportion importante des incidents de sécurité trouve son origine au sein même des entreprises. Récemment, une affaire a secoué le monde professionnel romand. Un collaborateur a délibérément exploité une vulnérabilité du réseau de son employeur pour augmenter ses droits informatiques. Cette escalade de privilèges lui a permis d’installer un logiciel non autorisé. La question s’est alors posée devant la justice : un employé, ayant déjà accès au réseau interne, peut-il être condamné pour piratage ? Le Tribunal fédéral vient de trancher la question dans une décision très attendue.
Ce que dit l’arrêt du TF sur l’accès indu système informatique suisse
Dans son arrêt 6B_120/2026 publié à la mi-août 2026, la Haute Cour a confirmé la condamnation pénale d’un employé. L’individu avait exploité une faiblesse technique pour obtenir des droits d’administrateur, un acte qualifié d’accès indu système informatique suisse par les juges.
Le Tribunal fédéral confirme que l’escalade de privilèges par un collaborateur constitue un accès non autorisé, même si la personne possède déjà des accès de base au réseau de l’entreprise.
La ligne de défense du collaborateur reposait sur un argument simple : étant salarié, il bénéficiait d’un accès légitime au réseau de la société. Par conséquent, il estimait ne pas s’être introduit sans droit. Les juges de Mon-Repos ont balayé cet argument. Ils ont rappelé que l’infraction protège des espaces virtuels délimités. Dans ce cas précis, le secteur administratif du serveur était spécialement protégé par des mesures de sécurité que le collaborateur a sciemment contournées. L’élévation de privilèges équivaut donc à forcer une porte verrouillée à l’intérieur d’un bâtiment où l’on a le droit d’entrer. Cette décision clarifie le champ d’application de la loi pénale face aux menaces internes.
Le contexte juridique : article 143bis CP et sécurité interne
L’article 143bis du Code pénal suisse (CP) punit celui qui s’introduit sans droit, au moyen d’un dispositif de transmission de données, dans un système informatique appartenant à autrui et spécialement protégé contre tout accès de sa part.
Avant cette décision, de nombreuses entreprises hésitaient à dénoncer pénalement un employé fautif. La définition de l’accès indu système informatique suisse repose sur la notion de système spécialement protégé. Si le réseau interne ne comporte aucune barrière technique, l’infraction ne peut pas être retenue. Le législateur exige une volonté claire du maître du système de restreindre l’accès. Il ne suffit pas de donner une consigne orale ; des mesures techniques telles que des mots de passe, un cloisonnement des droits ou des pare-feu internes doivent être actives. Le Tribunal fédéral précise que la protection ne doit pas nécessairement être inviolable, mais elle doit représenter un obstacle sérieux pour une personne non autorisée. En parallèle, l’employeur doit respecter la Loi fédérale sur la protection des données (LPD) lorsqu’il surveille son réseau. Les contrôles doivent être proportionnés et annoncés dans une directive interne claire. Une surveillance secrète pourrait rendre les preuves irrecevables devant un tribunal cantonal.
Ce que ça change pour les entreprises romandes
L’arrêt modifie profondément la gestion des risques informatiques pour les PME en Suisse. Voici trois situations concrètes qui tombent désormais sous le coup de la loi :
Piratage de compte administrateur
Un collaborateur à Genève qui devine le mot de passe du service informatique pour installer des logiciels non autorisés commet un délit pénal clair.
Consultation de données RH
Un employé vaudois qui exploite une faille pour accéder aux fiches de salaire réalise un cas classique d’accès indu système informatique suisse.
Contournement du pare-feu
Un salarié fribourgeois désactivant les sécurités pour utiliser des applications bloquées par l’employeur s’expose à des poursuites.
Ces exemples démontrent que la tolérance face aux indiscrétions numériques n’a plus sa place. Les tribunaux romands, se basant sur cette nouvelle jurisprudence, se montreront plus sévères. Pour l’employeur, cela signifie qu’il faut revoir l’attribution des droits informatiques. Le principe du moindre privilège doit prévaloir : chaque salarié ne doit avoir accès qu’aux données nécessaires à son travail. Si un employé outrepasse ses droits, le licenciement pour justes motifs (art. 337 CO) devient nettement plus facile à justifier, soutenu par une possible condamnation pénale.
Vos droits et les démarches face à un piratage interne
Lorsqu’une entreprise découvre une violation de ses systèmes, elle doit agir rapidement et méthodiquement. La première étape consiste à sécuriser les preuves informatiques. Les fichiers journaux doivent être sauvegardés sans être altérés, idéalement avec l’aide d’un expert en informatique légale. Si vous soupçonnez une infraction, il est urgent de contacter les autorités.
Délai d’action : 3 mois
La plainte pénale pour un accès indu système informatique suisse simple (art. 143bis al. 1 CP) doit être déposée dans les trois mois (art. 31 CP) suivant l’identification de l’auteur par l’employeur lésé.
Ne tentez pas de confronter l’employé sans preuves solides. Vous risquez une plainte pour atteinte à la personnalité. Il est recommandé de suspendre l’accès informatique du collaborateur suspecté à titre préventif, tout en lui versant son salaire durant l’enquête interne. Si les faits sont avérés, vous pourrez engager des sanctions disciplinaires allant jusqu’au licenciement immédiat. De plus, vous pouvez réclamer des dommages et intérêts pour les frais d’investigation et de remise en état du réseau. Pour vous accompagner dans ces démarches complexes, notre plateforme vous permet de déposer une demande ou de nous contacter afin de trouver un avocat spécialisé dans votre canton. Si vous êtes un professionnel du droit, vous pouvez aussi rejoindre notre réseau.
L’avis de la rédaction JuriUp
Cette décision du Tribunal fédéral clarifie salutairement les limites du droit d’accès au sein de l’entreprise, en criminalisant fermement l’escalade de privilèges. Elle impose toutefois aux employeurs une responsabilité accrue concernant le cloisonnement technique de leurs réseaux. Une simple directive interne ne suffit plus pour protéger pénalement des données sensibles face à la curiosité malveillante d’un collaborateur.
Ce que retient la rédaction : L’escalade de privilèges en interne est désormais une infraction pénale stricte, obligeant les employeurs à mettre en place de véritables barrières techniques entre leurs départements.
Jurisprudence : autres cas de violations internes
Les tribunaux suisses ont déjà eu à traiter des affaires similaires par le passé. Dans un arrêt cantonal précédent concernant un accès indu système informatique suisse, la justice avait condamné un employé qui utilisait la session restée ouverte de son supérieur hiérarchique. Le fait de profiter d’une inattention humaine pour s’infiltrer dans un espace protégé tombe sous le coup de l’article 143bis CP. Une autre erreur fréquente des entreprises consiste à ne pas modifier les mots de passe génériques lors du départ d’un collaborateur. Si l’ancien salarié se connecte depuis l’extérieur en utilisant ses anciens identifiants, il commet également une infraction, à condition que le système soit considéré comme protégé. Cependant, la nouvelle décision 6B_120/2026 va plus loin en sanctionnant l’utilisation de compétences techniques pour forcer une protection interne de l’intérieur même du réseau de l’employeur.
Questions fréquentes sur le piratage interne
Qu’est-ce qu’une escalade de privilèges ?
C’est une technique informatique qui consiste à exploiter un défaut de conception ou un bug pour obtenir des droits d’accès supérieurs à ceux prévus. Dans le cadre professionnel, cela permet à un simple utilisateur de devenir administrateur du réseau. La jurisprudence qualifie cela d’infraction pénale grave.
Puis-je licencier un employé fautif avec effet immédiat ?
Oui, si la violation de confiance est d’une gravité telle que la poursuite des rapports de travail n’est plus exigible (art. 337 CO). Le fait de s’introduire illégalement dans le système de l’entreprise justifie généralement un renvoi immédiat. Veillez cependant à réunir des preuves irréfutables avant de prendre cette décision.
Que faire si mon réseau interne n’avait pas de mot de passe ?
Si le dossier visé par l’employé n’était protégé par aucune mesure technique, l’infraction pénale de l’article 143bis CP ne sera pas retenue. La loi exige que le système soit spécialement protégé contre les intrusions non autorisées pour qu’il y ait condamnation.
L’analyse des adresses IP en interne est-elle légale ?
Vous pouvez utiliser les fichiers journaux du serveur pour identifier l’auteur, à condition d’avoir établi un règlement d’utilisation des outils informatiques. Ce règlement doit informer les collaborateurs que des contrôles peuvent être effectués en cas de soupçon d’abus. Une surveillance permanente et secrète viole la loi sur la protection des données.
Quel est le délai pour porter plainte en cas de piratage ?
L’accès non autorisé relève de l’accès indu système informatique suisse (art. 143bis al. 1 CP) et se poursuit sur plainte. L’employeur dispose d’un délai strict de trois mois dès la connaissance de l’auteur pour agir (art. 31 CP). Au-delà de ce délai, l’action pénale est prescrite et impossible.
Vous êtes concerné par un piratage interne ?
Découvrir qu’un collaborateur a délibérément compromis la sécurité informatique de votre entreprise est une situation très délicate à gérer. Les démarches pénales et civiles requièrent une excellente connaissance du droit technologique et du droit du travail. N’attendez pas que la situation empire ou que le délai de plainte expire pour agir efficacement et protéger vos données.