Malheureusement, notre législateur n'apprécie guère la polymorphie, pratique pourtant répandue dans l'univers informatique. Je l'évoquais dans l'article "Anonymat, cryptographie et usurpation d'identité" paru dans le CPC 179 ; notre gouvernement n'a pas apprécié qu'un internaute ait créé un faux profil d'Alain Juppé, fin 2007, sur Facebook. Le cuistre n'avait pourtant pas d'intention malveillante : il souhaitait simplement alerter les utilisateurs des réseaux sociaux de la facilité avec laquelle une telle usurpation pouvait être accomplie et ce fut une réussite, car depuis, notre élite politique réfléchit à la meilleure façon de condamner une usurpation d'identité sur le net. 

Alors, vous savez que je n'aime pas trop évoquer un projet de loi car ce dernier se modifie au fil des discussions devant l'Assemblée Nationale, le Sénat et la Commission mixte paritaire. Mais, aujourd'hui, je vais quand même évoquer  le projet de loi LOPPSI (ou LOPSI 2) dont l'article 2 traite de cet épineux problème (et je vous parlerais par ailleurs de LOPSI 2 lorsqu'elle sera devenue définitive). 

Cela vous permettra de voir un peu les subtiles modifications d'un texte au fur et à mesure de sa discussion.

Le premier projet d'article 2 date du  27 mai 2009 et il prévoyait que le code pénal serait modifié comme suit : 

Art. 222-16-1. – Le fait d’utiliser, de manière réitérée, sur un réseau de communication électronique l’identité d’un tiers ou des données qui lui sont personnelles, en vue de troubler la tranquillité de cette personne ou d’autrui, est puni d’un an d’emprisonnement et de 15 000 € d’amende.

« Est puni de la même peine le fait d’utiliser, sur un réseau de communication électronique, l’identité d’un tiers ou des données qui lui sont personnelles, en vue de porter atteinte à son honneur ou à sa considération. »

Suite à de nombreuses commissions et autres débats, l'Assemblée Nationale adopte en première lecture ,le 16 février 2010, le texte suivant:

Art. 222-16-1. - Le fait de faire usage, sur un réseau de communications électroniques, de l'identité d'un tiers ou de données de toute nature permettant de l'identifier, en vue de troubler la tranquillité de cette personne ou d'autrui, est puni d'un an d'emprisonnement et de 15 000 € d'amende.

« Est puni de la même peine le fait de faire usage, sur un réseau de communications électroniques, de l'identité d'un tiers ou de données de toute nature permettant de l'identifier, en vue de porter atteinte à son honneur ou à sa considération. »

Vous voyez la différence entre les deux ? Plus question d'utilisations "réitérées" de l'identité d'autrui, ce qui n'est pas un mal, la notion de réitération étant bien trop vague. 

On abandonne également la notion de "données qui lui sont personnelles" au profit de "données de toute nature permettant de l'identifier". Ici également, on comprend le changement, car la notion de "données personnelles" est floue. L'important est de sanctionner l'usage de données permettant d'identifier autrui. 

Ce texte file donc au Sénat qui, le 10 septembre 2010, vote le texte suivant en première lecture:

« Art. 226-4-1. – Le fait d’usurper l’identité d’un tiers ou une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui ou, de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende.

« Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication électronique ouverte au public. »

Ici, outre le changement d'article, on remarque que l'assiette du texte est considérablement élargie. Déjà, les deux premières versions ne traitaient que de "l'usurpation d'identité sur un réseau de communication électronique", alors que dans ce texte, que nenni. Ce sont toutes les usurpations d'identité qui sont visées, informatiques ou pas. Ce qui vous expliquera le second alinéa qui prévoit que, lorsque l'usurpation est commise par internet, ça sera le même tarif que lorsqu'elle est commise autrement. 

Sinon, on voit également que les sénateurs ont entendu élargir au maximum la version  précédente dans sa définition, prévoyant à la fois "le fait d'usurper l'identité d'un tiers" ou "une ou plusieurs données" le concernant. Comme cela non seulement le délit d'usurpation est couvert en tant que tel, mais aussi le fait d'utiliser simplement une donnée concernant autrui et permettant de l'identifier. 

C'est subtil.

Le texte repasse par l'Assemblée Nationale qui vote en deuxième lecture, le 21 décembre 2010 :

« Art. 226-4-1. - Le fait d'usurper l'identité d'un tiers ou de faire usage d'une ou plusieurs données de toute nature permettant de l'identifier en vue de troubler sa tranquillité ou celle d'autrui, ou de porter atteinte à son honneur, à sa considération ou à ses intérêts est puni d'une peine de deux ans d'emprisonnement et d'une amende de 20 000 €.

« Cette infraction est punie des mêmes peines lorsqu'elle est commise sur un réseau de communication au public en ligne. »

Donc, et bien que de nombreux parlementaires se soient émus de ce que le texte était vraiment très large, non seulement on ajoute le délit d'atteinte aux intérêts de celui qui voit son identité usurpée (c'est pour lutter contre le phishing) mais surtout on double la peine tant de prison que l'amende ! Selon nos parlementaires, cela devrait vraiment dissuader les délinquants polymoprhes. 

Le texte repasse donc au sénat qui, vote en deuxième lecture le 20 janvier 2011

« Art. 226-4-1. – Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui ou, de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende.« Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne. »

Vous remarquez ? Les sénateurs reviennent aux pénalités précédentes, moins sévères, et enlèvent la référence à l'atteinte aux "intérêts" de la personne qui voit son identité usurpée. 

Nos sénateurs considèrent en effet que les pratiques de phishing sont d'ores et déjà susceptibles d'être réprimées ,sur le fondement du délit d'escroquerie, défini comme « le fait, soit par l'usage d'un faux nom ou d'une fausse qualité, soit par l'abus d'une qualité vraie, soit par l'emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d'un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge » (article 313-1 du code pénal).

Alors ? Alors le texte part maintenant devant la Commission Mixte Paritaire qui aura à l'étudier le 8 février prochain. 

Moralité ? Quelle que soit la formule définitivement retenue par notre législateur, nul doute que le délit d'usurpation d'identité est aujourd'hui reconnu et sera réprimé en tant que tel. Mystique n'a qu'à bien se tenir !