Une usurpation d’identité désigne une utilisation de vos données personnelles sans votre consentement dans le but de vous identifier.

Toute donnée de nature à vous identifier peut donc être la cible de ces cybercriminels : nom, prénom, signature, adresse, numéro de téléphone, photographie, numéro de référence administratif, numéro de compte bancaire…

Une seule usurpation est suffisante à caractériser le délit d’usurpation d’identité.

Pour cela, l’article 226-4-1 du Code pénal prévoit qu’il faut que :

• L’usurpation porte sur l’identité d’un tiers ou des données d’identification rattachées à son identité y compris une personne morale.
• L’usurpation soit commise en vue de troubler la tranquillité de l’intéressé ou celle d’autrui et/ou de porter atteinte à son honneur et à sa considération.

L’essor des nouvelles technologies de l’information et de la technologie a permis d’élargir la reconnaissance de ce délit, puisqu’il existe aujourd’hui un délit d’usurpation d’identité numérique.

En effet, l’usurpation d’identité numérique a pris une telle ampleur qu’en 2011, avec la loi n°2011-267 du 14 mars 2011 d’orientation et de programmation pour la performance de la sécurité intérieure dite Loi OPSII 2 le législateur a fait évoluer l’article 226-4-1 du Code pénal en y ajoutant la mention suivante : « cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne », en outre l’usurpation d’identité numérique.

L’usurpation d’identité numérique est d’autant plus facilitée pour les cybercriminels puisque les internautes exposent des informations personnelles en ligne. Cela explique notamment le fait que les utilisateurs de réseaux sociaux sont les plus exposés à une fraude. En effet, selon la société de conseil en numérique Javelin Strategy, le risque de subir une fraude liée à l’usurpation d’identité est 46% plus élevé pour les utilisateurs de réseaux sociaux que ceux n’étant inscrit sur aucun réseau social.

Qu’il s’agisse de la création d’un nom de domaine constitué du nom et prénom de la victime, à la création d’un faux compte sur les réseaux sociaux ou sur un site de rencontres en utilisant la photo d’un tiers, ces atteintes suffisent à caractériser l’usurpation d’identité et le trouble à la tranquillité de la victime.

L’usurpation d’identité sur Facebook qui consiste à créer frauduleusement un compte ou une page en utilisant les données personnelles d’une tierce personne, d’une marque ou d’une organisation est la plus répandue. Les conséquences peuvent être assez importantes puisque d’une part la victime voit son identité usurpée aux yeux de tous et d’autre part, elle pourrait être assimilée à des faits immoraux et répréhensibles pénalement.

Pour caractériser le délit d’usurpation d’identité, la volonté usurpatrice est appréciée assez strictement par les juges.

En effet, dans une affaire relative à la création de l’adresse électronique « emmanuel.macron.enmarche@gmail.com » destinée à envoyer des courriels appelant à ne pas voter pour Emmanuel Macron et à signer une pétition « imposture-macron », le tribunal (TGI Paris, 17^e ch., 23 mai 2019, n°17140000554, Ministère public c/ Jean-Paul M. et a.) a relaxé les prétendus usurpateurs. Le tribunal a considéré qu’il n’y avait pas de volonté usurpatrice puisque les courriels étaient de nature parodique, mais également que « au sens de l’article 226-4-1 du code pénal, l’usage d’une ou plusieurs données de toute nature permettant d’identifier un tiers suppose une volonté́ de se faire passer pour celui-ci, ainsi qu’il résulte des travaux parlementaires versés aux débats, démontrant la volonté́ du législateur de sanctionner les usurpations d’identité́ ou de données personnelles de nature à entrainer une telle confusion ».

Par conséquent, la volonté unanime de se faire passer pour la victime est indispensable pour caractériser l’infraction d’usurpation d’identité. Cela s’explique notamment du fait que le tribunal met en balance ce délit avec la liberté d’expression prévue à l’article 10 de la Convention européenne des droits de l’Homme. Toute parole qui porte atteinte à l’honneur et à la considération d’une personne ne peut être poursuivie sur ce fondement, c’est pourquoi la volonté de se faire passer pour l’intéressé doit être formelle.

Par ailleurs, le développement du numérique a facilité la fraude documentaire puisque de nombreux cybercriminels passent par le dark web pour se procurer des faux documents. En effet, le dark web qui désigne un ensemble caché de sites internet accessibles uniquement par un navigateur spécialement prévu à cet effet, permet anonymement de mener des activités légales. Sur le dark net, il est ainsi aisé de se procurer des fausses cartes d’identité ou tout autre document administratif.

Les failles de sécurité permettent également aux cybercriminels de s’immiscer dans des sites internet et de se faire passer pour autrui.

Par un jugement du 18 décembre 2014, le Tribunal de Grande Instance de Paris a, pour la première fois condamné une personne à 3 000 euros d’amende pour usurpation d’identité numérique sur le fondement de l’article 226-4-1 du Code pénal ainsi que sur le fondement d’introduction frauduleuse de données dans un système d’information. En l’espèce, un informaticien à l’aide d’une faille de sécurité a créé un « tunnel » afin d’intégrer sur le site officiel de la femme politique Rachida Dati un espace commentaire sous forme de communiqués de presse au nom de cette dernière. Le tribunal a ainsi considéré que l’identité de la femme politique avait été numériquement usurpée.

Ce raisonnement a été confirmée dans un arrêt en date du 11 avril 2019 dans lequel la Cour d’appel de Paris (Paris, pôle 1 – ch. 2, 11 avril 2019, n°18/21298 a estimé que la création non autorisée d’une chaîne YouTube et d’un blog portant le nom d’une société, et avec lesquels étaient tenus des contenus diffamatoires et injurieux était constitutif d’une usurpation d’identité numérique. Pour la cour d’appel l’article 226-4-1 du Code pénal « n’incrimine pas seulement le fait d’usurper l’identité́ d’un tiers, c’est-à-dire de se faire passer pour lui. Il réprime aussi, comme cela ressort expressément de son libellé, le fait de faire usage de données d’identification d’un tiers dans le but de troubler sa tranquillité́ et de porter atteinte à son honneur et à sa considération ».