Ce commentaire d'arrêt analyse la décision n° 3000/2025 rendue le 12 novembre 2025 par la 18ème chambre correctionnelle du Tribunal d’arrondissement de Luxembourg. Par un jugement d'une densité remarquable, le Tribunal d’arrondissement de Luxembourg apporte une pierre angulaire à l’édifice de la cyber-criminalité en réprimant un contentieux sériel de « phishing » et de prédation numérique. En l’espèce, le prévenu a orchestré, sur une période s'étendant de 2014 à 2020, une vaste entreprise de captation de données personnelles et intimes au préjudice de nombreuses victimes, en usant de techniques d'ingénierie sociale sophistiquées. La décision est doctrinalement topique en ce qu'elle consacre l'application distributive des qualifications classiques de vol avec effraction — par l'assimilation des identifiants numériques à des « fausses clefs » — et d'escroquerie, aux côtés des infractions spécifiques liées aux systèmes de traitement automatisé de données (STAD). Le Tribunal souligne la porosité entre la vie privée numérique et la matérialité du délit, qualifiant la soustraction de données dématérialisées de vol au sens de l'article 461 du Code pénal. Cette décision illustre la volonté du siège de sanctionner sévèrement l'atteinte à l'intégrité psychique et numérique, tout en naviguant dans la complexité des preuves techniques (adresses IP, expertises génétiques et neuropsychiatriques) pour caractériser une intention délictuelle persistante. ## I. Faits et procédure Les faits soumis à la 18ème chambre correctionnelle s'inscrivent dans une temporalité longue, débutant en 2014 pour culminer en 2020. Le prévenu, PERSONNE1, par ailleurs employé au sein de l'Administration des Contributions Directes, a mis en œuvre un mode opératoire itératif : l'usurpation d'identité numérique. En se faisant passer pour des connaissances ou d'anciennes amies des victimes sur des réseaux sociaux (MEDIA1), il les incitait, par des manœuvres frauduleuses (promesses de partage de photos anciennes), à se connecter sur des pages de « phishing » (MEDIA2) afin de capturer leurs identifiants de connexion. Une fois ces « clefs électroniques » obtenues, le prévenu accédait frauduleusement aux messageries électroniques (MAIL1 à MAIL13) et aux espaces de stockage en ligne (*cloud*) des victimes. Il y procédait au téléchargement massif de documents et de photographies, dont de nombreux clichés à caractère intime. Le dossier révèle également une intrusion physique dans le poste de travail d'une collègue (PERSONNE20) au sein même des bureaux de l'administration. L'instruction, étayée par des rapports de la Police grand-ducale, des expertises génétiques du Laboratoire National de Santé et des rapports neuropsychiatriques, a mené au renvoi de PERSONNE1 devant le Tribunal correctionnel suivant ordonnance de la Chambre du conseil du 26 juin 2024. Le prévenu a comparu assisté de son conseil, face à onze parties civiles constituées, dont l'État du Grand-Duché de Luxembourg. ## II. Problème de droit et motifs de la décision Le Tribunal était confronté à une problématique de qualification juridique multiple face à la dématérialisation de l'objet du délit. Le litige soulevait principalement trois questions : 1. **La qualification de l'obtention des identifiants :** Le Tribunal retient la qualification d'escroquerie (Art. 496 du Code pénal). L'usage de faux noms (usurpation de l'identité d'amies des victimes) et les manœuvres frauduleuses (création de fausses pages de connexion) ont déterminé la remise de « clefs électroniques », assimilées à une remise de fonds, meubles ou obligations. 2. **La nature de la soustraction de données :** Le cœur de la décision réside dans l'application des articles 461 et suivants du Code pénal. Le Tribunal qualifie le téléchargement non autorisé de données de « vol ». L'élément matériel de la soustraction est ici constitué par l'appropriation de la donnée, tandis que la circonstance aggravante de « fausses clefs » (Art. 467) est retenue, les codes d'accès obtenus par ruse étant juridiquement assimilés à des instruments d'effraction intellectuelle. 3. **L'atteinte aux systèmes de traitement automatisé de données (STAD