Le jugement du Tribunal d'arrondissement de Luxembourg du 15 janvier 2009 (n° 115/2009) illustre l'application des incriminations de fraude informatique issues de la loi du 15 juillet 1993 aux manipulations d'un système de gestion des horaires mobiles par un salarié externe. Le tribunal retient l'infraction d'introduction frauduleuse de données (article 509-3 du Code pénal) en relevant que le prévenu a intentionnellement inscrit, à de multiples reprises, des heures de fin de service inexactes, sans que ces inscriptions aient supposé la suppression ou la modification de données préexistantes. Il écarte en revanche l'entrave ou le faussement du fonctionnement d'un système de traitement automatisé (article 509-2), faute de preuve que le fonctionnement même du système ait été altéré, la fausse appréciation du temps de travail par l'employeur ne suffisant pas à la caractériser. La décision est ainsi remarquable par la distinction qu'elle opère entre la falsification du contenu d'un système et l'atteinte à son fonctionnement, et par l'interprétation large que le juge donne à la notion d'introduction de données, laquelle ne suppose pas un accès illicite préalable ni une altération technique du dispositif. Le prononcé d'un sursis intégral et l'allocation d'un euro symbolique à titre de réparation complètent une solution d'équilibre. ## I. Faits et procédure Le prévenu exerçait en qualité d'informaticien externe au service d'une banque, en vertu d'un contrat d'assistance technique conclu entre son employeur et la société à laquelle il était lié. Il bénéficiait, comme les salariés de la banque, d'un régime d'horaire mobile impliquant l'enregistrement quotidien de ses heures d'arrivée et de départ dans un programme informatique accessible depuis les postes de l'établissement, au moyen d'un identifiant et d'un mot de passe. Le responsable de l'équipe au sein de laquelle il travaillait relevait des irrégularités quant à la durée effective de sa présence. Les vérifications menées dans le système informatique révélèrent que l'intéressé avait configuré, au moyen de programmes installés sur son propre ordinateur, l'enregistrement automatique de sa fin de service à une heure déterminée, de sorte que la validation ne requérait plus sa présence physique. Les investigations de la police judiciaire, les déclarations d'un témoin et les aveux du prévenu établirent une dizaine de manipulations sur une période d'environ trois mois, comprise entre l'été et l'automne 2007. La banque déposa plainte le 31 octobre 2007. Le ministère public cita le prévenu le 20 octobre 2008 du chef des infractions prévues aux articles 509-2 et 509-3 du Code pénal. À l'audience, le prévenu reconnut la matérialité des faits, tout en contestant la qualification : il soutenait n'avoir ni supprimé ni modifié de données, et n'avoir pas entravé le système. Il expliquait ses agissements par sa situation de préavis, qui l'avait détourné de la stricte assiduité. La partie civile, représentée par avocat, sollicita un euro symbolique à titre de dommages et intérêts, et le ministère public requit une condamnation. ## II. Problème de droit et motifs de la décision La question principale était de savoir si le fait d'introduire volontairement, dans un système de traitement automatisé, des données inexactes relatives à l'horaire de travail, sans supprimer ni modifier les données existantes, caractérise l'infraction de l'article 509-3 du Code pénal, et si le même comportement réalise l'infraction de l'article 509-2 relative à l'entrave ou au faussement du fonctionnement du système. S'agissant de l'article 509-3, le tribunal rappelle les éléments constitutifs de l'infraction : un agissement intentionnel, au mépris des droits d'autrui, directement ou indirectement, consistant soit à introduire des données, soit à supprimer ou à modifier celles qu'un système contient ou leur mode de traitement ou de transmission. Constatant l'absence de suppression ou de modification, il retient l'introduction de données inexactes. Il relève que le prévenu avait l'obligation de déclarer ses heures réelles d'entrée et de sortie, afin que l'employeur puisse connaître le temps de travail effectué, et qu'en introduisant sciemment de fausses données il a agi au mépris des droits de la banque. S'agissant de l'article 509-2, le tribunal exige que les agissements aient entravé ou faussé le fonctionnement du système lui-même. Il constate que la fausse appréciation du temps de travail par l'employeur résulte des agissements, mais que rien n'établit une atteinte au fonctionnement même du programme d'horaire mobile. Il acquitte donc le prévenu de ce chef. Sur la peine, le tribunal prononce six mois d'emprisonnement et une amende de 1.500 euros, en considération de la gravité des faits, puis accorde le sursis intégral à l'emprisonnement, le prévenu n'ayant encore subi aucune