L’article en bref
- Aucun texte français n'interdit, en soi, le paiement d'une rançon après un rançongiciel.
- L'ANSSI et Cybermalveillance.gouv.fr recommandent de ne pas payer : aucune garantie de récupération, financement de la criminalité.
- Payer devient illicite si le bénéficiaire est visé par les mesures restrictives européennes contre les cyberattaques (règlement (UE) 2019/796).
- Pour les professionnels assurés, l'indemnisation des pertes suppose une plainte dans les 72 heures de la découverte (article L. 12-10-1 du Code des assurances).
- Le rançongiciel constitue une entrave à un système informatique, punie de 5 ans d'emprisonnement et 150 000 € d'amende.
- La décision de payer ou non doit être prise au bon niveau et documentée par écrit.
Le droit français n'interdit pas, en tant que tel, le paiement d'une rançon. Mais les autorités le déconseillent fermement : payer n'offre aucune garantie de récupérer les données et finance la criminalité. Le paiement devient illicite lorsque le bénéficiaire figure sur les listes de sanctions européennes. Et il ne dispense d'aucune obligation : plainte sous 72 heures pour préserver l'indemnisation d'assurance, notification à la CNIL et information des personnes si des données personnelles sont touchées. Chaque situation est particulière.
Payer une rançon est-il interdit ?
Pas d'interdiction générale en droit français
Contrairement à une idée répandue, aucun texte français ne prohibe de manière générale le paiement d'une rançon à la suite d'une attaque par rançongiciel. Le législateur a fait un autre choix avec la loi du 24 janvier 2023 d'orientation et de programmation du ministère de l'Intérieur : encadrer l'assurabilité du risque plutôt qu'interdire le paiement. L'article L. 12-10-1 du Code des assurances, issu de cette loi, subordonne le versement d'une indemnité d'assurance couvrant les pertes causées par une atteinte à un système de traitement automatisé de données à un dépôt de plainte de la victime dans les 72 heures suivant la connaissance de l'atteinte.
Le cas des sanctions internationales
La liberté de payer connaît une limite sérieuse. Le règlement (UE) 2019/796 et la décision (PESC) 2019/797 instituent des mesures restrictives contre les auteurs de cyberattaques menaçant l'Union ou ses États membres : gel des avoirs et interdiction de mettre des fonds à la disposition des personnes et entités listées. Payer une rançon au profit d'une entité visée par ces mesures est donc prohibé, et expose l'entreprise à un risque propre, distinct de l'attaque subie.
La difficulté pratique est réelle : l'identité du bénéficiaire d'une rançon est rarement certaine. Une vérification préalable au regard des régimes de sanctions, documentée par écrit, fait partie des diligences minimales avant toute décision. Payer la rançon n'est pas, en soi, interdit par la loi française, mais peut exposer l'entreprise à un risque au regard des sanctions internationales si le bénéficiaire est une entité visée.
Pourquoi les autorités déconseillent le paiement
La position officielle est constante et sans ambiguïté. Cybermalveillance.gouv.fr écrit : « Ne payez pas la rançon ». Trois raisons sont avancées : le paiement ne garantit pas la récupération des données, les données volées peuvent être divulguées malgré le paiement, et la rançon finance la criminalité organisée, entretenant le modèle économique des attaquants.
L'ANSSI porte la même recommandation dans son guide « Attaques par rançongiciels, tous concernés », co-réalisé avec la direction des affaires criminelles et des grâces du ministère de la Justice. Le guide insiste sur un point souvent négligé dans l'urgence : déposer plainte systématiquement, et préserver les preuves avant toute réinstallation des systèmes.
Ces recommandations n'ont pas de valeur d'interdiction. Elles pèsent néanmoins lourd : une entreprise qui paierait sans analyse préalable aura du mal à justifier sa décision devant son assureur, ses actionnaires ou ses partenaires.
Les obligations qui courent pendant la crise
Payer ou refuser de payer ne modifie en rien les obligations légales déclenchées par l'attaque. Trois chantiers avancent en parallèle.
Le volet données personnelles. Un rançongiciel qui chiffre ou exfiltre des données personnelles constitue une violation de données. Si elle est susceptible d'engendrer un risque pour les personnes, la CNIL doit être notifiée dans les meilleurs délais et, si possible, sous 72 heures après la prise de connaissance (article 33 du RGPD). En cas de risque élevé, les personnes concernées doivent être informées dans les meilleurs délais (article 34). Même sans notification, la violation doit être documentée en interne. Le paiement de la rançon ne fait pas disparaître ces obligations : des données exfiltrées restent compromises, promesse de suppression ou non.
Le volet pénal. Le rançongiciel caractérise une entrave au fonctionnement d'un système de traitement automatisé de données, punie de 5 ans d'emprisonnement et 150 000 € d'amende (article 323-2 du Code pénal), l'extraction frauduleuse de données étant réprimée des mêmes peines (article 323-3). La plainte, outre son intérêt pour l'enquête, conditionne l'indemnisation d'assurance des professionnels si elle est déposée dans les 72 heures de la découverte.
Le volet preuve. Conservez les journaux, les images des systèmes touchés, le message de revendication et tout échange avec les attaquants. Ne réinstallez pas les machines avant d'avoir figé ces éléments : ils serviront à l'enquête, à l'assureur et, le cas échéant, à démontrer la diligence de l'entreprise en cas de contrôle de la CNIL.
Assurance : ce que change la plainte sous 72 heures
L'article L. 12-10-1 du Code des assurances mérite une lecture attentive. Il concerne les personnes morales et les personnes physiques dans le cadre de leur activité professionnelle : les particuliers ne sont pas visés. Le délai de 72 heures court à compter de la connaissance de l'atteinte par la victime, pas de l'attaque elle-même. Et il ne se confond pas avec le délai de notification à la CNIL : deux obligations distinctes, deux destinataires différents, deux finalités différentes.
Quant à la prise en charge du paiement d'une rançon lui-même, elle relève de la liberté contractuelle : tout dépend des garanties, plafonds et exclusions de votre police. La seule certitude légale est négative : sans plainte dans les 72 heures, l'indemnité couvrant les pertes causées par l'atteinte ne peut pas être versée.
Qui décide, et comment documenter la décision ?
La décision de payer ou de refuser appartient à l'entreprise, en pratique à son organe dirigeant. Elle ne devrait jamais être prise par le seul responsable informatique, ni dans la précipitation des premières heures. Une décision défendable s'appuie sur des avis croisés : évaluation technique de la possibilité de restaurer sans payer, analyse juridique des risques, dont la vérification des sanctions internationales, position de l'assureur, et appréciation des obligations envers les personnes concernées.
Chaque étape mérite une trace écrite : qui a décidé, quand, sur la base de quelles informations et de quels avis. Cette documentation protège l'entreprise dans ses relations avec l'assureur, la CNIL et, le cas échéant, le juge. Elle démontre que la décision, quelle qu'elle soit, a été prise avec diligence.
L'avocat intervient à chaque maillon de cette chaîne : qualification des obligations, sécurisation de la plainte et des notifications, dialogue avec l'assureur et gestion des suites contentieuses. Notre équipe cybersécurité accompagne les entreprises dans ces arbitrages de crise, y compris sur le terrain de la violation de données personnelles ; les recours propres à l'intrusion sont présentés par notre avocat piratage informatique. Sur les tout premiers réflexes, voir aussi notre guide : cyberattaque, que faire dans les premières heures ?
Avocat, négociateurs, prestataires techniques : qui fait quoi ?
La gestion d'un rançongiciel mobilise des métiers différents, aux rôles complémentaires. Le prestataire de réponse à incident analyse l'attaque, contient sa propagation et pilote la restauration. D'éventuels intervenants spécialisés gèrent les échanges avec les attaquants lorsque l'entreprise décide d'entrer en contact, ne serait-ce que pour gagner du temps ou vérifier la réalité des données détenues.
L'avocat, lui, sécurise le cadre : conformité des décisions aux obligations légales et aux régimes de sanctions, respect des délais de plainte et de notification, revue des obligations contractuelles envers clients et partenaires, préparation des suites, du contrôle de la CNIL au contentieux. Il veille aussi à la cohérence de l'ensemble : ce que l'entreprise déclare à son assureur, à la CNIL, aux personnes concernées et aux enquêteurs doit reposer sur les mêmes faits établis. Cette cohérence documentaire est l'un des meilleurs remparts de l'entreprise dans l'après-crise.
Questions fréquentes sur le paiement des rançons
Payer garantit-il de récupérer ses données ?
Non. C'est précisément l'un des motifs de la recommandation officielle : aucune garantie de récupération, et les données exfiltrées peuvent être divulguées malgré le paiement. Le paiement entretient par ailleurs le modèle économique des attaquants.
Le paiement d'une rançon est-il puni par la loi ?
Non, pas en tant que tel : aucun texte français n'édicte d'interdiction générale. Le paiement devient en revanche illicite si le bénéficiaire est une personne ou entité visée par les mesures restrictives européennes contre les cyberattaques, qui interdisent toute mise à disposition de fonds.
Faut-il notifier la CNIL en cas de ransomware ?
Oui, si des données personnelles sont concernées et que la violation est susceptible d'engendrer un risque pour les personnes : notification dans les meilleurs délais et, si possible, sous 72 heures (article 33 du RGPD). L'information des personnes s'ajoute en cas de risque élevé (article 34). En toute hypothèse, documentez la violation en interne.
Faut-il porter plainte avant de restaurer les systèmes ?
Oui, c'est l'ordre recommandé par l'ANSSI : préserver les preuves et déposer plainte avant la réinstallation. Pour les professionnels assurés, la plainte dans les 72 heures de la découverte conditionne en outre l'indemnisation des pertes (article L. 12-10-1 du Code des assurances).
Sources officielles
- Cybermalveillance.gouv.fr, fiche réflexe « Rançongiciels (ransomwares) » – cybermalveillance.gouv.fr
- ANSSI et ministère de la Justice (DACG), guide « Attaques par rançongiciels, tous concernés » – cyber.gouv.fr
- DG Trésor, mesures restrictives européennes de lutte contre les cyberattaques (règlement (UE) 2019/796 et décision (PESC) 2019/797) – tresor.economie.gouv.fr
- Article L. 12-10-1 du Code des assurances, plainte sous 72 heures et indemnisation des risques cyber – Légifrance
- Article 323-2 du Code pénal, entrave au fonctionnement d'un système de traitement automatisé de données – Légifrance
- Articles 33 et 34 du règlement (UE) 2016/679 (RGPD) – EUR-Lex
Cet article présente l'état du droit à titre d'information générale. Il ne constitue pas une consultation juridique. Chaque situation est particulière et mérite une analyse dédiée. Contenu conforme aux règles déontologiques de la profession d'avocat.
