[Focus] Cybercriminalité : les qualifications pénales de l’utilisation d’un rançongiciel - La conversion du singulier au pluriel après l’arrêt du 15 décembre 2021

Mots-clés : rançongiciel • extorsion • atteintes aux STAD • cryptologie •concours de qualifications

À l’époque où la Chambre criminelle interdisait encore, sauf exceptions, les cumuls de qualifications, nous nous étions questionnés sur LA qualification pénale de l’utilisation d’un rançongiciel. Nous avions alors conclu que la qualification d’extorsion devait l’emporter sur toutes les autres. Or, depuis un arrêt très remarqué du 15 décembre 2021, la Haute Juridiction a inversé principe et exception : désormais, le juge a la possibilité de cumuler les qualifications en concours. Appliqué au cas particulier de l’utilisation d’un rançongiciel, le principe nouveau permet donc de retenir à la fois la qualification d’extorsion et les différentes qualifications d’atteintes aux STAD. Cette solution n’est pas remise en cause par l’application de la circonstance aggravante générale de cryptologie qui, de notre point de vue, ne saurait absorber les qualifications d’atteintes aux STAD.

1. Dans une précédente étude publiée au début de l’année 2021, nous nous étions interrogés sur « la qualification pénale de l’utilisation d’un rançongiciel » [1]. Plusieurs qualifications avaient paru envisageables. Cependant, et conformément au principe d’unicité (ou d’interdiction du cumul) qui régissait alors les concours de qualifications, nous avions exposé les raisons selon lesquelles il nous semblait que seule la qualification d’extorsion devait être retenue, à l’exclusion de toutes les autres donc.
2. Mais comme diraient certains : « ça, c’était avant ». Avant l’arrêt de la Chambre criminelle du 15 décembre 2021 N° Lexbase : A83502RP [2]. L’affaire ayant conduit à cette décision n’a aucun rapport, même indirect, avec les rançongiciels. Il ne s’agit même pas d’un cas de « cybercriminalité », puisque sont en cause des faits d’escroquerie, de faux et d’usage de faux. Toutefois, la Chambre criminelle y opère un revirement de jurisprudence à propos des règles qui gouvernent le concours de qualifications : « feu le principe d’unicité de qualification » [3], relégué au rang des exceptions, quand l’exception – la possibilité du cumul des qualifications – elle, devient la règle.
3. Cette jurisprudence nouvelle nous oblige à réviser la seconde partie du raisonnement que nous avions tenu dans notre précédente étude. Désormais, il ne s’agit plus de déterminer la qualification applicable, mais plutôt les qualifications applicables. Ce sera l’objet essentiel de cette nouvelle contribution. Toutefois, il n’est pas inutile d’introduire le propos en restituant succinctement les raisons qui nous ont convaincu que l’utilisation d’un rançongiciel réalise les éléments constitutifs d’un certain nombre d’infractions (I.). Après quoi, il nous sera possible d’expliquer que toutes ces qualifications peuvent désormais être retenues, solution en apparence plus simple que l’ancienne (II.), mais qui, revers de la médaille, fait émerger une difficulté nouvelle (III.).

I. Retour sur les qualifications envisageables

4. Dans son panorama de la cybermenace pour 2023, publié fin février 2024, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) a relevé « un regain du nombre d’attaques par rançongiciel contre des organisations françaises ». Le phénomène n’a donc pas cessé d’être actuel et touche essentiellement les TPE, les PME, les ETI, les collectivités territoriales et les établissements de santé, ainsi que les entreprises stratégiques [4].
5. Son fonctionnement est généralement le suivant : après s’être introduit dans le système informatique de la victime (par l’entremise d’un courriel piégé par exemple), le rançongiciel bloque le fonctionnement du système en chiffrant ses données et parfois en exfiltrant celles-ci [5]. S’en suit une demande de rançon dont doit s’acquitter la victime si elle souhaite obtenir la clé de déchiffrement et se garantir contre la divulgation de ses données [6].
6. L’ « utilisation » [7] d’un tel rançongiciel réunit les éléments constitutifs de plusieurs infractions : l’extorsion (A.), les atteintes aux systèmes de traitement automatisé de données (B.) et, dans certains cas, le sabotage (C.).

A. L’extorsion

7. Cette utilisation se coule parfaitement dans l’incrimination d’extorsion, prévue par l’article 312-1 du Code pénal N° Lexbase : L7189ALT [8]. Certes, le rançongiciel opère sans violence physique, encore que la paralysie de certains systèmes, comme celui d’un hôpital, peut avoir des conséquences sur l’intégrité corporelle des personnes. Cependant, cela n’est guère un obstacle à l’application de l’article 312-1 du Code pénal qui, en visant la « contrainte » indépendamment de la « violence » et de la « menace de violences », ouvre l’incrimination à des hypothèses où l’agent use d’une pression morale. L’utilisateur d’un rançongiciel se rend donc coupable d’extorsion lorsqu’il obtient le paiement d’une rançon grâce à la pression exercée sur sa victime puisque celle-ci est contrainte de payer si elle souhaite obtenir la clé de déchiffrement de ses données ou éviter leur divulgation. Et lorsque la victime n’a point cédé, des poursuites peuvent être envisagées sur le fondement de l’article 312-9 du Code pénal N° Lexbase : L7153ALI qui incrimine la tentative d’extorsion [9].

B. Les atteintes aux systèmes de traitement automatisé de données (STAD)

8. Outre l’extorsion, les trois incriminations placées en tête du Chapitre « Des atteintes aux systèmes de traitement automatisé de données » sont naturellement envisageables. Dans notre première étude, nous avions expliqué que le rançongiciel est un véritable « couteau-suisse » qui réalise plusieurs actions qui entrent alternativement dans la définition des trois délits [10]. Il doit généralement être introduit dans le système ciblé, ce qui peut constituer l’infraction d’accès frauduleux à un STAD (C. pén., art. 323-1 N° Lexbase : L6507MG4) [11], procède à des créations, modifications et suppressions de données, parfois même à leur extraction, autant d’actions qui réalisent l’infraction d’atteintes aux données d’un STAD (C. pén., art. 323-3 N° Lexbase : L0872KCB), tout cela dans l’intention d’altérer le fonctionnement du système, fait constitutif de l’entrave au fonctionnement d’un STAD (C. pén., art. 323-2 N° Lexbase : L0871KCA).
9. Quant à la fonction de chiffrement, nous avions souligné la difficulté à déterminer la qualification idoine : entrave au fonctionnement ou modification de données [12] ? Nous sommes aujourd’hui d’avis (sans être parfaitement convaincu) que c’est la seconde des deux qualifications qui correspond le mieux au fait de chiffrement. En effet, l’article 29 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique N° Lexbase : C15764ZE dispose qu’ « on entend par moyen de cryptologie tout matériel ou logiciel conçu ou modifié pour transformer des données […] ». À suivre ce texte, le chiffrement consiste donc à transformer des données plus qu’à entraver l’accès à ces données. Quoi qu’il en soit, que l’on retienne l’article 323-2 (entrave au fonctionnement) ou l’article 323-3 (atteintes aux données) pour qualifier le chiffrement, il demeure, nous l’avons dit, que si le rançongiciel est envisagé dans l’ensemble de ses actions, l’une et l’autre des deux infractions sont constituées.
10. Nuançons toutefois cette conclusion dans une hypothèse particulière : celle d’une attaque qui se serait cantonnée à reproduire des données pour menacer de les divulguer, sans pour autant entraver le fonctionnement du système. Dans ce cas de figure, la qualification de l’article 323-2 doit naturellement être écartée [13].

C. Le sabotage

11. Par ailleurs, lorsque l’utilisation du rançongiciel est de nature à porter atteinte aux intérêts fondamentaux de la nation, elle réalise les éléments constitutifs du crime de sabotage défini par l’article 411-9 du Code pénal N° Lexbase : L1746AMM [14]. Cette qualification ne pourra donc être retenue que dans certains cas, par exemple lorsque le rançongiciel aura attaqué un système concourant à la défense de la nation ou à son potentiel scientifique et économique.
12. Un concours de qualifications se fait donc jour. Nous l’avions déjà relevé, mais c’est la manière de le résoudre qui doit désormais être révisée.

II. Les qualifications applicables

13. Autrefois, les concours de qualifications étaient gouvernés par l’interdiction du cumul de ces qualifications (A.). Désormais et depuis l’arrêt du 15 décembre 2021, il est possible de procéder à un tel cumul (B.).

A. Le passé : l’interdiction du cumul de qualifications

14. Dans notre précédente étude, nous avions expliqué pourquoi une seule des qualifications envisageables à l’égard de l’utilisation d’un rançongiciel devait être retenue [15]. C’est qu’à l’époque, les concours de qualifications étaient gouvernés par un principe d’interdiction du cumul de qualifications ou d’unicité de qualification. Le cumul n’était autorisé que par exception, dans l’hypothèse où les incriminations en concours portaient atteinte à des valeurs sociales distinctes ; exception dont le bien-fondé était d’ailleurs discuté par la doctrine [16].
15. Ce principe d’unicité reposait sur les bases solides de la règle non bis in idem. Règle que la Chambre criminelle interprétait d’ailleurs de manière très énergique, puisqu’elle interdisait le cumul de qualifications même dans l’hypothèse d’une pluralité de faits, dès lors que ceux-ci « procèd[aient] de manière indissociable d’une action unique caractérisée par une seule intention coupable » [17].
16. Appliquant cette solution jurisprudentielle, et puisqu’il ne pouvait en rester qu’une, nous avions poursuivi en recherchant quelle qualification devait être préférée à toutes les autres. Plusieurs raisons nous avaient alors convaincus que ce concours devait se résoudre à l’avantage de la qualification d’extorsion [18].

B. Le présent : la possibilité du cumul de qualifications

1) Le revirement de jurisprudence

17. Par un arrêt du 15 décembre 2021, la Chambre criminelle de la Cour de cassation a opéré un important revirement de jurisprudence [19]. Au moyen d’une motivation enrichie qui emprunte à la pédagogie [20], principe et exception sont inversés : l’unicité de qualification est tout à coup [21] enfermée dans les limites de deux hypothèses particulières [22], tandis que le cumul de qualifications devient possible au-delà, ce qui étend considérablement son empire autrefois cantonné au cas d’une pluralité de valeurs sociales protégées.
18. Bien que la Haute juridiction n’y ait vu qu’un simple « infléchissement » de sa jurisprudence [23], la doctrine n’a pas manqué de souligner le véritable renversement de perspective provoqué par cet arrêt. « Requiem pour Ne bis in idem » et « Sic transit « ne bis in idem » », ont respectivement écrit Olivier Décima [24] et Nicolas Catelan [25].

2) Le cumul de toutes les qualifications envisageables

19. L’objet de cette étude n’est pas de porter une appréciation critique sur la solution nouvelle [26], mais de l’appliquer au cas de l’utilisation d’un rançongiciel. Les qualifications pouvant désormais se cumuler, il serait possible de retenir concomitamment celles d’extorsion, d’accès frauduleux à un STAD [27], d’entrave au fonctionnement d’un STAD [28] et d’atteinte aux données d’un STAD. À ces quatre qualifications, pourraient s’ajouter, dans des hypothèses très particulières, celles de chantage [29] et de sabotage.
20. Encore faut-il s’assurer que le cas du rançongiciel ne tombe pas dans l’une des deux exceptions au nouveau principe du cumul, c’est-à-dire dans l’une des deux hypothèses où le principe d’unicité de qualification a survécu. L’arrêt du 15 décembre 2021 les présente en ces termes : « Dans la première, l’une des qualifications, telles qu’elles résultent des textes d’incrimination, correspond à un élément constitutif ou une circonstance aggravante de l’autre, qui seule doit alors être retenue. Dans la seconde, l’une des qualifications retenues, dite spéciale, incrimine une modalité particulière de l’action répréhensible sanctionnée par l’autre infraction, dite générale ».
21. La seconde hypothèse peut aisément être rejetée, aucune des différentes qualifications énumérées n’étant dans un rapport spécial-général par rapport à une autre [30].
22. S’agissant de la première, nous pourrions remarquer que pour créer les conditions de la contrainte constitutive de l’extorsion et ainsi faire céder la victime, le rançongiciel procède précisément à une entrave au fonctionnement d’un STAD qui se réalise elle-même au moyen d’une atteinte aux données [31]. Plus prosaïquement, c’est en modifiant les données que l’utilisateur du rançongiciel entrave le fonctionnement du système, et c’est en entravant le fonctionnement du système qu’il parvient à créer les conditions d’une contrainte devant conduire la victime à payer une « rançon ». Ainsi, le fait qualifiable d’atteinte aux données s’emboite dans celui constitutif de l’entrave au fonctionnement du STAD, qui à son tour, donne corps à la contrainte qui est un élément constitutif de l’extorsion. Partant, faudrait-il considérer que les deux premières qualifications « correspond[ent] à un élément constitutif » de l’extorsion et se trouvent donc absorbées par elle ? Raisonner ainsi, ce serait toutefois se leurrer sur le sens que la Chambre criminelle a voulu donner à cette première exception. L’identité des éléments constitutifs ne doit pas être envisagée dans un sens matériel, mais plutôt dans un sens textuel. La Chambre criminelle précise en effet : « telles qu’elles résultent des textes d’incrimination ». Ainsi, il ne suffit pas que, dans une affaire donnée, le fait par lequel l’auteur réalise l’un des éléments constitutifs de l’une des infractions, en constitue également la totalité d’une autre. Ce qui est nécessaire pour conclure à l’identité, c’est que les mots employés par la loi afin de décrire l’un des éléments constitutifs de l’une des infractions, soient les mêmes que ceux utilisés pour définir une autre infraction [32]. Par exemple, il n’y a point d’identité entre les manœuvres frauduleuses constitutives de l’escroquerie et l’usage de faux, même si c’est par le second que sont commises les premières, puisque les mots de l’article 313-1 du Code pénal N° Lexbase : L2012AMH ne sont pas identiques à ceux de l’article 441-1 du même code N° Lexbase : L2006AMA [33].
23. Un autre élément permet d’écarter d’un coup d’un seul le jeu des deux exceptions. L’arrêt du 15 décembre 2021 précise que l’une comme l’autre supposent qu’ « un fait ou des faits identiques [soient] en cause » [34]. Or, s’agissant du rançongiciel, il pourrait être défendu que celui-ci réalise successivement plusieurs actions différentes : il chiffre, il exige la remise d’une somme d’argent, il extrait parfois des données. Fait donc défaut la condition commune aux deux exceptions ménagées par l’arrêt du 15 décembre 2021.
24. En somme (et le terme paraît particulièrement approprié), le magistrat qui aurait à connaître des faits d’utilisation d’un rançongiciel pourrait cumuler les qualifications d’extorsion, d’accès frauduleux dans un STAD [35], d’entrave au fonctionnement d’un STAD [36], d’atteinte aux données d’un STAD et, dans certaines hypothèses particulières, de chantage [37] et de sabotage. Précisions que ce cumul est, pour lui, une faculté et non une obligation, la Chambre criminelle ayant simplement levé l’interdiction du cumul sans imposer qu’il y soit procédé [38].

3) Les effets du cumul

25. Si le magistrat fait le choix d’user de cette faculté, alors l’ensemble des peines fulminées contre l’extorsion, l’accès frauduleux à un STAD, l’entrave au fonctionnement d’un STAD et l’atteinte aux données d’un STAD, pourront être prononcées. Toutefois, cela ne l’autorisera en aucune manière à additionner les quanta des peines de même nature. Le concours de qualifications résolu par un cumul de qualifications tombe en effet dans le régime des concours réels [39], gouvernés par la règle du non-cumul des peines de même nature (C. pén., art. 132-3 N° Lexbase : L2106AMX). Ainsi, et malgré la pluralité de qualifications retenues, il ne pourra être prononcé qu’une seule peine d’emprisonnement dans la limite du maximum légal le plus élevé, c’est-à-dire, hors-aggravation, sept ans d’emprisonnement (peine prévue par l’article 312-1 en répression de l’extorsion, qui est l’infraction la plus sévèrement réprimée de ce point de vue). La même règle s’applique à la peine d’amende qui ne pourra donc dépasser, hors-aggravation, 150 000 euros (peine prévue aussi bien par l’article 323-2 que par l’article 323-3 qui sont les plus sévères de ce point de vue). Cette absence d’addition des différents quanta (qui aurait conduit, par exemple, à vingt ans d’emprisonnement…), ne fait pas pour autant perdre son intérêt au cumul. Dans notre précédente étude, lorsque nous avions retenu la seule qualification d’extorsion, nous avions implicitement conclu que l’auteur encourait seulement les peines de l’article 312-1, soit sept ans d’emprisonnement et 100 000 euros d’amende [40]. Le cumul permet désormais, réserve faite de l’hypothèse de l’aggravation [41], de retenir une peine d’amende plus sévère (150 000 euros).
26. Par ailleurs, sur le plan procédural, ce cumul permettra de déjouer la difficulté que nous avions relevée à la fin de notre précédente étude. Puisque nous avions alors expliqué que seule la qualification d’extorsion pouvait être retenue, il fallait logiquement en déduire que se trouvait écarté le jeu de l’article 706-72-1 du Code de procédure pénale N° Lexbase : L4806K8I qui prévoit la compétence concurrente des juridictions parisiennes pour les atteintes aux STAD, mais non pour l’extorsion [42]. Puisque les qualifications des articles 323-1 et suivants peuvent désormais être retenues, en plus de celle de l’article 312-1, les dispositions de l’article 706-72-1 du Code de procédure pénale pourront être appliquées.
27. Ces infractions pourront, le cas échéant, être aggravées par des circonstances aggravantes. Par exemple, par la bande organisée [43] dont, nous le pensons, les conditions seront souvent réunies, l’utilisation d’un rançongiciel supposant généralement la réunion de nombreuses compétences, de la conception du logiciel à la collecte de la rançon, en passant par l’injection [44]. Par ailleurs, si le rançongiciel a paralysé le système d’un établissement hospitalier, la nouvelle circonstance aggravante des atteintes aux STAD prévue par l’article 323-4-2 du Code pénal N° Lexbase : L6510MG9 et créée par la LOPMI 2023 N° Lexbase : L6260MGX, pourra être retenue. Cet article dispose en effet que « lorsque les infractions prévues aux articles 323-1 à 323-3-1 ont pour effet d’exposer autrui à un risque immédiat de mort ou de blessures de nature à entraîner une mutilation ou une infirmité permanente ou de faire obstacle aux secours destinés à faire échapper une personne à un péril imminent ou à combattre un sinistre présentant un danger pour la sécurité des personnes, la peine est portée à dix ans d’emprisonnement et à 300 000 € d’amende ».
28. Une autre circonstance aggravante pourrait prétendre à être appliquée à trois des qualifications en concours. Mais son cas suscite d’importantes difficultés.

III. Les difficultés découlant de la circonstance aggravante de cryptologie

29. La circonstance aggravante de cryptologie, prévue par l’article 132-79 du Code pénal N° Lexbase : L9877GQU, est l’une des rares circonstances aggravantes générales. Elle est non seulement présentée dans le Livre I^er du Code pénal (comme la bande organisée ou la préméditation par exemple), mais surtout – et c’est cela qui lui confère son caractère général –, l’article 132-79 l’attache à tous les crimes (sauf les crimes politiques) et à tous les délits punis d’emprisonnement. Pour être applicable, il n’est donc pas nécessaire qu’elle soit prévue par les différents textes d’incrimination. L’article 132-79 dresse alors un « tableau » général d’aggravation des peines privatives de liberté en cas d’utilisation d’un moyen de cryptologie [45].
30. Lorsque le rançongiciel chiffre les données [46], il est possible de considérer que les éléments de cette circonstance aggravante sont réunis : l’agent a bel et bien utilisé un moyen de cryptologie défini comme « tout matériel ou logiciel conçu ou modifié pour transformer des données, qu’il s’agisse d’informations ou de signaux, à l’aide de conventions secrètes ou pour réaliser l’opération inverse avec ou sans convention secrète » [47]. Partant, et bien qu’elle soit délaissée par la pratique [48], la circonstance aggravante de cryptologie pourrait être retenue pour chacun des délits envisagés [49], à l’exception du délit d’accès frauduleux au STAD puisque celui-ci se réalise avant l’opération de chiffrement. Précisons toutefois que la circonstance aggravante devra être écartée, en application du dernier alinéa de l’article 132-79, lorsque l’utilisateur du rançongiciel aura, à leur demande, remis « la clé de déchiffrement » aux autorités judiciaires ou administratives.
31. Une nouvelle question émerge alors : faut-il retenir cette circonstance pour chacun des trois délits (extorsion, entrave au fonctionnement d’un STAD et atteinte aux données d’un STAD) ou seulement pour un seul d’entre eux, et dans ce dernier cas, pour lequel (B.) ? En vérité, s’interroger sur ce point, c’est peut-être déjà « brûler » l’une des étapes du raisonnement. C’est qu’on pourrait d’abord se questionner sur le point de savoir si la circonstance de cryptologie n’absorbe pas les qualifications d’atteintes aux STAD (A.).

A. La circonstance aggravante de cryptologie absorbe-t-elle les qualifications d’atteintes aux STAD ?

32. L’application de la circonstance aggravante de cryptologie à l’extorsion ne fait-elle pas tomber notre hypothèse d’étude dans le giron de la première des deux exceptions ménagées par l’arrêt du 15 décembre 2021, celle des qualifications absorbantes ? On y revient : « l’une des qualifications, telles qu’elles résultent des textes d’incrimination, correspond à un élément constitutif ou une circonstance aggravante de l’autre, qui seule doit alors être retenue ». En effet, il serait possible d’avancer que les infractions des articles 323-2 et 323-3 correspondent à la circonstance aggravante de cryptologie et, partant, sont absorbées par elle. Or, nous ne sommes pas convaincus de cette identité. Certes, sur le plan matériel, c’est en « cryptant » les données du système que le rançongiciel parvient à entraver son fonctionnement ; et s’il « crypte », c’est parce qu’il modifie les données de façon à les rendre inutilisables. Mais cette identité matérielle ne nous semble pas suffisante pour considérer que sont remplies les conditions du premier cas d’interdiction du cumul de qualifications tel qu’il résulte de l’arrêt du 15 décembre 2021. Il faut en effet se souvenir que l’identité exigée par la Chambre criminelle est d’ordre textuel [50].
33. S’agissant de l’entrave au fonctionnement d’un STAD, cette identité textuelle fait évidemment défaut. L’article 323-2 du Code pénal n’est pas rédigé comme l’article 132-79, ni comme l’article auquel il renvoie, c’est-à-dire l’article 29 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique. D’ailleurs, l’entrave au fonctionnement d’un STAD se conçoit tout à fait en dehors de l’usage d’un moyen de cryptologie (l’arsenal des cyber-malfaiteurs est si varié…) ; inversement, l’usage d’un moyen de cryptologie n’emporte pas nécessairement entrave au fonctionnement du système concerné (parfois, il sert au contraire à le protéger !).
34. S’agissant de l’atteinte aux données d’un STAD, nous pourrions être tentés, dans un premier élan, de relever l’existence d’une identité textuelle entre l’article 323-3 du Code pénal et l’article 29 de la loi du 21 juin 2004. Le premier vise, entre autres, le fait de « modifier » des données, quand le second mentionne le fait de « transformer » des données. Cependant, et quand bien même on admettrait cette identité par synonymes, il faut remarquer qu’une lecture complète du second des deux textes suffit à faire s’effondrer ce qui n’est en fait qu’une apparence d’identité. L’article 29 de la loi du 21 juin 2004 vise en effet une espèce précise de transformation de données, celle qui s’opère « à l’aide de conventions secrètes ». Toutes les modifications de données incriminées par l’article 323-3 du Code pénal ne sont donc pas concernées par l’article 29 de la loi du 21 juin 2004. Autrement dit, l’un n’est pas le décalque textuel de l’autre [51].
35. Par conséquent, il nous semble que la circonstance aggravante de cryptologie appliquée à l’extorsion est impuissante à absorber les deux autres qualifications. Le cas demeure en dehors des deux exceptions prévues par l’arrêt du 15 décembre 2021 et le cumul de qualifications est donc bel et bien possible.

B. La circonstance aggravante de cryptologie peut-elle être retenue plusieurs fois ?

36. On en revient alors à l’interrogation évoquée plus haut : si l’on peut cumuler les qualifications d’extorsion aggravée par l’emploi d’un moyen de cryptologie, d’entrave au fonctionnement d’un STAD et d’atteintes aux données d’un STAD, peut-on également retenir la circonstance aggravante pour ces deux dernières infractions ? En d’autres termes, peut-on cumuler les circonstances de cryptologie sur chacune des trois qualifications retenues ?
37. L’arrêt du 15 décembre 2021 ne précise pas explicitement la marche à suivre dans pareille hypothèse. Toutefois, il est peut-être possible d’en dégager une solution par extrapolation. On se souvient que l’arrêt permet qu’une qualification soit absorbée par une circonstance aggravante si les mots utilisés par la loi pour les décrire toutes deux sont identiques : c’est l’hypothèse de la première exception, déjà évoquée plusieurs fois dans cet article. Or, qui peut le plus, ne peut-il pas le moins ? Une circonstance aggravante ne pourrait-elle pas absorber une autre circonstance aggravante, dès lors que l’une et l’autre sont décrites par les mêmes mots ? Or, dans le cas qui nous intéresse, celui de la circonstance aggravante de cryptologie, ces mots sont absolument identiques puisqu’il s’agit d’une circonstance aggravante générale décrite par les mêmes textes, l’article 132-79 du Code pénal et l’article 29 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique. Ce raisonnement, qui pousse la logique de l’arrêt du 15 décembre 2021 jusqu’au bout d’elle-même, permettrait donc de considérer que la circonstance aggravante de cryptologie ne doit être retenue que pour une seule des qualifications en concours puisque, d’une certaine façon, elle s’auto-absorbe.
38. Toutefois, qu’il nous soit permis de relever que cette question est, du moins dans l’hypothèse qui nous intéresse, sans intérêt pratique majeur. En effet, que la circonstance aggravante de cryptologie soit retenue une seule fois plutôt que trois, les peines encourues par l’auteur des faits demeureront les mêmes, du moins si dans l’hypothèse minimaliste, on veille à attacher la circonstance aggravante à l’infraction dont la peine privative de liberté est déjà la plus élevée, c’est-à-dire, ici, l’extorsion.
39. Ainsi, hors des hypothèses où une autre qualification [52] serait également applicable, l’utilisation d’un rançongiciel fait encourir à son auteur dix ans d’emprisonnement (peine de l’extorsion aggravée par l’usage d’un moyen de cryptologie) et 150 000 euros d’amende (peine des atteintes aux STAD). Si les faits sont commis en bande organisée, cette circonstance porte la peine privative de liberté à trente ans de réclusion criminelle (vingt ans pour l’extorsion en bande organisée + dix ans en raison de la circonstance de cryptologie) et la peine d’amende à 300 000 euros (peine des atteintes aux STAD commises en bande organisée).

***

40. Rien ne garantit que la solution de l’arrêt du 15 décembre 2021 soit pérenne. Elle a suscité de nombreuses critiques [53]. De surcroît, il faut en relativiser la portée simplificatrice. Certes, il n’est désormais plus besoin, en cas de concours, de déterminer quelle qualification doit être choisie entre toutes. Toutefois, et comme cette étude l’a révélé, de nouvelles difficultés peuvent émerger. Ces critiques et ces difficultés auront peut-être raison, un jour, de la nouvelle solution jurisprudentielle. Un nouveau revirement n’est pas exclu. Il se pourrait alors que notre première étude et son singulier « La qualification… », recouvrent leur actualité. À moins qu’une troisième s’avère nécessaire.

© Reproduction interdite, sauf autorisation écrite préalable