Africa teaching

Lutte contre l'usurpation de l'identité numérique

Avec le développement d’Internet et des réseaux sociaux en ligne, il n’a jamais été aussi facile de se faire passer pour quelqu’un d’autre. Or dans ce domaine la loi française n’apporte pas encore de réponse adaptée à l’« usurpation d’identité ».

Tout le monde se souvient du profil créé au nom du président Nicolas Sarkozy et de son ex-femme sur un célèbre site de rencontres peu de temps après leur divorce. De même, on trouve sur Facebook une vingtaine de profils, accompagnés de photos, au nom de notre nouvelle première dame.

Cependant, la frontière est mince entre canular et fraude. La simplicité d'utilisation de ces réseaux et l'impossibilité technique relative de vérifier l'identité des personnes s'inscrivant sur ces plateformes sociales permettent aussi aux usurpateurs d'accomplir des actes préjudiciables, voire délictueux, en toute discrétion.

Il peut s'agir de vengeances personnelles ou de criminalité organisée autour du vol de données sensibles. On parle alors notamment de « phishing ». Cela consiste à faire croire à une victime qu'elle s'adresse à un tiers de confiance afin de lui soutirer des renseignements personnels (mot de passe, numéro de carte de crédit, date de naissance, etc.).

Comment se protéger ?

Quels sont les outils que la loi met à notre disposition ? Nous ne sommes pas tous égaux devant de telles pratiques, loin de là, et les Français ne sont pas les mieux protégés.

En 2005, le sénateur Michel Dreyfus-Schmidt avait déposé un projet de loi visant à incriminer le phishing et, de façon générale, « le fait d'usurper sur tout réseau informatique de communication l'identité d'un particulier, d'une entreprise ou d'une autorité publique ». Hélas, malgré la volonté de la ministre de l'Intérieur, Michèle Alliot-Marie, de lutter contre la cybercriminalité, ce projet de loi n'a jamais été examiné par le Parlement, et le décès de son auteur en septembre dernier a entraîné ce projet de loi dans sa tombe.

Pourtant aux Etats-Unis, depuis 2005, le phishing est puni par la loi de dix ans de prison. Par ailleurs, l'Etat de New York vient d'adopter un texte incriminant spécifiquement l'usurpation d'identité par moyens électroniques, qui entrera en vigueur au 1er novembre prochain, démontrant tout l'intérêt que les autorités portent à ce nouveau type de criminalité. A l'extrême, au Maroc, un informaticien ayant créé un profil Facebook au nom du frère du roi Mohammed VI a été condamné en février 2008 à trois ans de prison ferme.

En France, il existe pourtant un délit d'usurpation d'identité, punissant de cinq ans d'emprisonnement et de 75 000 euros d'amende toute personne empruntant le nom d'un tiers dans des circonstances qui pourraient déterminer contre lui des poursuites pénales (article 434-23 du Code pénal). Cette disposition n'est appliquée que si la fraude permet de commettre, sous l'identité usurpée, des actes autrement incriminés.

Par conséquent, les tribunaux reconnaissent rarement la constitution de l'infraction d'usurpation d'identité quand celle-ci est perpétrée sur internet (elle est plutôt qualifiée d'accès frauduleux au système de traitement automatisé des données, de diffamation ou d'escroquerie).

En effet, les actes « autrement incriminés » sont rarement commis sous l'identité usurpée qui ne sert souvent qu'à obtenir les informations nécessaires à l'acte incriminé. Ainsi, en 2004, la première décision française condamnant un acte de phishing sanctionnait uniquement la fraude bancaire, c'est-à-dire l'escroquerie, conséquence du phishing en lui-même.

Vigilance et recours

En 2006, une employée s'était fait passer pour une collègue sur divers sites de rencontres. Elle présentait ladite collègue comme une femme facile, et avait divulgué les coordonnées personnelles de celle-ci. La victime avait, par la suite, été contactée à plusieurs reprises par des hommes empressés de faire sa rencontre, et pour certains particulièrement pressants. Les juges statuant sur l'affaire ont condamné la collègue indélicate à 10 000 euros d'amende pour violences volontaires avec préméditation.

Ce sont donc encore une fois les conséquences de l'usurpation d'identité qui sont sanctionnées et non l'usurpation d'identité en elle-même.

En résumé, en l'état actuel, la loi française ne permet aucune prévention de ces infractions, délits et autres crimes. Vous pouvez savoir qu'une personne a obtenu des données sensibles vous concernant en assumant une identité qui n'est pas la sienne, mais tant qu'elle n'en fait pas un usage illégal il n'y a rien à faire si ce n'est serrer les dents et espérer que, le jour où elle les utilisera, il n'y aura pas trop de dégâts !
 
Jusqu'à ce que le législateur français s'intéresse enfin à ce problème d'actualité, votre meilleure parade ce sera la vigilance et peut-être le recours, si vous détectez des irrégularités, aux administrateurs des sites internet concernés susceptibles de faire cesser rapidement l'usurpation d'identité par la suppression du profil litigieux. 

 
Par Diane Mullenex et Annabelle Richard,