Amendement n° 391

Dans le texte adopté par la commission spéciale le 10 septembre 2025, le titre II impose aux personnes mentionnées à son article 14 de mettre en place « des outils et des procédures pour assurer la défense des réseaux et des systèmes d’information et gérer les incidents » (3°), et de notifier les incidents ayant causé ou susceptibles de causer « l’extraction de données sensibles » des destinataires de leurs services (art. 17, III, 1°). La directive NIS 2, que le titre II transpose, impose aux entités essentielles et importantes de prévenir, détecter et traiter les incidents (art. 21, § 2). L’ENISA, dans son guide de mise en œuvre du règlement d’exécution (UE) 2024/2690, leur demande de tenir compte des violations de données subies par des tiers. Le règlement DORA prévoit expressément des « analyses de sources ouvertes » au titre des tests de résilience (art. 25, § 1).

Or une part essentielle de ces missions repose sur l’exploitation de données publiées à la suite d’une cyberattaque : identifiants et mots de passe dérobés, bases de données exfiltrées, revendications de rançongiciels, etc. Faute de texte, les praticiens redoutent d’être poursuivis pour recel (art. 321-1 du code pénal), dont la définition couvre la simple détention comme la transmission. Des victimes renoncent ainsi à rechercher leurs propres données, et des acteurs publics de la cyberdéfense s’interdisent d’exploiter les fuites.

Le présent amendement transpose à ces données la solution que le législateur a déjà retenue pour les outils d’attaque : depuis 2013, l’article 323-3-1 du code pénal réserve le « motif légitime, notamment de recherche ou de sécurité informatique ». Le fait justificatif est strictement borné : il ne vaut que pour des données issues d’atteintes aux systèmes d’information, de vols ou de collectes frauduleuses de données personnelles, pour des actes nécessaires et proportionnés à la cybersécurité, lorsque la collecte respecte la vie privée, la protection des données à caractère personnel, les secrets protégés par la loi et les droits de propriété intellectuelle. Le juge conserve ainsi la maîtrise de l’appréciation, sans que la loi fige des pratiques en constante évolution. Il répond enfin au considérant 60 de la directive NIS 2, qui invite les États membres à garantir l’absence de poursuites contre les chercheurs en sécurité de l’information. Il s’insère, de surcroît, dans les dispositions pénales que comporte déjà le projet de loi : le texte de la commission rend applicables outre-mer les livres Ier à V du code pénal « dans leur rédaction résultant » de la présente loi (art. 3, II), ce qui garantit l’application du fait justificatif sur l’ensemble du territoire.