## Synthèse doctrinale Le jugement du Tribunal d'arrondissement de Luxembourg du 16 octobre 2014 (chambre correctionnelle, n° 2628/2014) s'inscrit à la croisée du droit pénal général et du droit pénal informatique. Il s'intéresse à la situation d'un prévenu qui, ayant photographié un post-it portant un identifiant et un mot de passe donnant accès à une base de données médicales sensibles, s'est connecté à celle-ci et a consulté des dossiers, avant de transmettre les informations aux autorités de sécurité informatique et à des tiers. La décision met en lumière les difficultés de qualification que soulève l'appréhension pénale de la donnée numérique dans le cadre des infractions patrimoniales classiques, en particulier du vol, dont la définition repose sur la notion de « choses » et sur la soustraction d'un bien appartenant à autrui. Elle illustre également la mise en œuvre des incriminations relatives aux systèmes informatiques, qui supposent un accès ou un maintien frauduleux, ainsi que la place de l'intention, notamment lorsque le prévenu invoque une finalité de dénonciation de failles de sécurité. Le texte transmis à l'analyse ne contient toutefois que la partie des motifs relative aux faits, à la procédure et à l'examen de la qualification du vol ; le dispositif et l'ensemble de la motivation relative aux autres préventions ne figurent pas dans l'extrait fourni. ## I. Faits et procédure Par citation du 3 décembre 2013, le Procureur d'État près le Tribunal d'arrondissement de Luxembourg a saisi la chambre correctionnelle de poursuites visant X. du chef de vol, de vol à l'aide de fausses clés, d'infractions à l'article 509-1 du Code pénal et d'une infraction à l'article 82 de la loi modifiée du 18 avril 2001 sur les droits d'auteur, les droits voisins et les bases de données. Après plusieurs remises, l'affaire a été débattue à l'audience du 24 septembre 2014, les témoins T1 et T2 ayant été entendus sous serment, et le prévenu ayant présenté ses moyens par l'intermédiaire de son conseil. Sur le plan factuel, il résulte de l'instruction que les données médicales du service médico-sportif étaient conservées dans la base « SPMED », gérée par le Centre des technologies de l'information de l'État pour le compte du ministère des Sports. Un incident de sécurité, signalé par un agent du CIRCL, révélait l'usage d'un mot de passe prévisible et la découverte de données d'accès dans un espace public, en l'occurrence le cabinet d'un médecin. Les identifiants attribués à ce praticien avaient été consultés et utilisés pour accéder à la base les 5 et 9 janvier 2012, avec consultation de fiches de sportifs, dont celle du prévenu lui-même et de personnes de son entourage. Le prévenu, dernier patient de la journée du 5 janvier 2012, avait été seul quelques minutes dans la salle d'examen où se trouvait un ordinateur portable muni d'un post-it. Lors des perquisitions, il a été établi que son téléphone contenait deux photographies du post-it, et que son ordinateur comportait un logiciel VPN dont l'adresse IP correspondait aux accès litigieux. Les déclarations des témoins et du prévenu ont été contradictoires quant à la chronologie et à l'intention : le prévenu soutenait avoir agi pour vérifier la faille puis pour en apporter la preuve à son avocat, tandis que T2 expliquait avoir reçu les informations du prévenu et avoir ouvert un ticket dans le cadre de sa mission au CIRCL. ## II. Problème de droit et motifs de la décision Le premier problème de droit examiné par le tribunal est celui de la qualification de vol à l'égard de la prise de connaissance et de la reproduction, par photographie, d'un identifiant et d'un mot de passe. La défense soutenait qu'un mot de passe ne saurait constituer une « chose » au sens de l'article 461 du Code pénal, que la soustraction suppose un appauvrissement de la victime au profit de l'auteur, et que l'intention frauduleuse faisait défaut dès lors que le prévenu entendait seulement vérifier une faille et la signaler. Le ministère public relevait qu'une clé électronique est une réalité matérielle, qu'une information est une chose au sens large et que la Cour de cassation avait admis, dans un arrêt du 3 avril 2014, que le vol de biens immatériels est possible et que la photocopie d'un document peut constituer une soustraction. Le tribunal relève que l'infraction de vol a fait l'objet d'une extension de son champ d'application par une loi postérieure aux faits, ce qui soulève la question de la loi pénale applicable. Le texte transmis s'interrompt à ce stade de l'analyse, de sorte que la solution retenue par le tribunal sur la qualification, la question de l'intention frauduleuse, ainsi que les motifs relatifs à l'article 509