Le jugement commenté, rendu par la septième chambre correctionnelle du tribunal d'arrondissement de Luxembourg, retient l'infraction de fraude informatique (accès frauduleux et maintien dans des systèmes de traitement automatisé de données, avec modification de données, et introduction intentionnelle de données) à l'encontre d'un ancien compagnon ayant utilisé, sans autorisation actuelle, le mot de passe qui lui avait été confié pour créer un compte de réseau social. Le tribunal relève la contradiction entre l'autorisation originelle, datant de 2004 ou 2005, et l'accès litigieux de 2009, dont le caractère frauduleux résulte de l'absence de consentement réel de la titulaire au moment des faits et de la volonté manifeste de nuire, établie notamment par le contenu injurieux des messages expédiés depuis la boîte électronique usurpée. Les infractions sont retenues en concours réel et la peine la plus forte, celle prévue à l'article 509-3 du Code pénal, est prononcée sous la forme d'une amende de 1.250 euros, le tribunal ayant tenu compte de la gravité relative des faits et des aveux complets du prévenu. Le jugement illustre la portée pratique des dispositions de 2003 sur la criminalité informatique en matière de fraude commise dans un cadre privé et intime. ## I. Faits et procédure Par citation du 29 décembre 2010, le procureur d'État près le tribunal d'arrondissement de Luxembourg a saisi le tribunal correctionnel d'une prévention de fraude informatique à l'encontre de A.), après une ordonnance de renvoi de la chambre du conseil du 29 septembre 2010. Les faits, situés entre avril et juin 2009 dans l'arrondissement judiciaire de Luxembourg, ont été révélés par la plainte de B.), qui constatait l'impossibilité d'accéder à son compte de messagerie électronique depuis le 23 avril 2009, le système lui signalant un mot de passe incorrect. Deux messages injurieux, comportant les termes « Fuck you » et « Asshole », avaient été adressés depuis ce compte à sa professeure d'université. Les perquisitions opérées auprès des fournisseurs d'accès ont permis d'identifier les adresses IP à l'origine des envois et leurs détenteurs. La plaignante a désigné son ancien compagnon comme auteur présumé, en précisant ne lui avoir jamais communiqué son mot de passe, tout en reconnaissant qu'elle avait utilisé un mot de passe identique pour différents services et qu'elle l'avait, selon ses propres termes, confié à l'intéressé en 2004 ou 2005 afin qu'il lui crée un compte MySpace. A.) a reconnu, tant devant la police que devant le juge d'instruction le 16 juin 2010, avoir pénétré dans la messagerie et les comptes de réseaux sociaux de la victime au moyen de ce mot de passe, en avoir modifié les codes d'accès et avoir expédié les messages litigieux, son geste étant motivé par la colère que lui inspirait la nouvelle relation de son ex-compagne. À l'audience du 17 février 2011, il a maintenu ses aveux et exprimé ses regrets. Le ministère public a conclu à la condamnation, le jugement étant rendu le 3 mars 2011. ## II. Problème de droit et motifs de la décision Le premier problème de droit tient à la qualification d'un accès effectué au moyen d'un mot de passe préalablement communiqué par le titulaire du compte. La question est de savoir si une autorisation initiale, accordée pour une finalité déterminée et ancienne de plusieurs années, suffit à exclure le caractère frauduleux de l'accès ultérieur, ou si le maintien dans le système et la modification des paramètres d'accès excèdent nécessairement le cadre de cette autorisation. Le tribunal retient implicitement la seconde solution : la remise du mot de passe pour la création d'un compte ne vaut pas consentement permanent à l'accès par le tiers, et la frauduleuse intention résulte du détournement de la finalité originelle, de la modification des codes d'accès qui exclut le titulaire, et de l'usage du compte à des fins de harcèlement. Le second problème concerne l'élément matériel de l'infraction de modification et d'introduction de données. Le tribunal constate que la modification des mots de passe affecte des données contenues dans le système au sens de l'article 509-1 du Code pénal, et que l'envoi de messages depuis la boîte électronique usurpée constitue une introduction de données dans le système de transmission automatisé, dès lors commise « au mépris des droits d'autrui ». Le raisonnement vaut également pour le maintien frauduleux, dont la persistance se déduit de la durée de l'exclusion de la victime. Sur le plan de la peine, la juridiction applique les règles du concours réel de l'article 60 du Code pénal, en retenant comme peine la plus forte celle de l'article 509-3, qui prévoit un emprisonnement de trois mois à trois ans et une amende de 1.250 à 12