Phishing et vol d'identité
La technique de fraude dite du phishing peut être qualifiée de vol d'identité susceptible d'entraîner des conséquences pénales, tant à l'égard de l'usurpé que de l'usurpateur.
L'affaire
Un salarié avait utilisé l'identité d'un de ses collègues pour envoyer un message électronique de nature diffamatoire à plusieurs ingénieurs de son entreprise. Il a été poursuivi sur le fondement de l'article 434-23 du Code pénal réprimant le fait de prendre le nom d'un tiers pour commettre une infraction pénale(1). Se faisant, il se livrait à une technique de fraude bien connue de l'internet : le phishing, récemment traduit par la commission de néologie par les termes ' filoutage ' ou ' hameçonnage '(2). L'usurpation d'identité en vue de commettre un délit est réprimée de cinq ans de prison et de 75 000 euros d'amende.Un délit de diffamation non établi
Dans cette affaire, la cour d'appel de Colmar a considéré, en septembre 2005(3), que les termes du message électronique avaient un caractère diffamatoire envers celui dont l'identité avait été usurpée. Ces termes auraient pu déterminer des poursuites pénales contre lui, notamment ' l'inscription d'une condamnation au casier judiciaire d'un tiers réellement existant '. Elle a donc déclaré l'employé coupable du chef de prise de nom d'un tiers pour déterminer des poursuites pénales contre lui. Et elle a prononcé une peine d'emprisonnement de trois mois avec sursis. La chambre criminelle de la cour de cassation ne l'a toutefois pas suivi dans cette démarche. Elle a au contraire considéré que la cour d'appel avait insuffisamment caractérisé et qualifié les éléments, tant matériels qu'intentionnel, du délit de diffamation, notamment le contenu du message diffusé sous une fausse identité.L'annulation partielle de l'arrêt
Les poursuites pour diffamation exigent, en effet, que puisse être identifiée de manière précise la victime de la prétendue diffamation, ce qui n'était semble-t-il pas le cas en l'espèce. La cour d'appel s'étant abstenue ' de rechercher si le message électronique sous la signature d'André Y... [celui dont l'identité avait été usurpée] était susceptible de conduire à l'identification d'une personne précise, autre que sa propre personne, ont entaché leur décision d'un manque de base légale '.La cour de cassation a de ce fait dû partiellement annuler l'arrêt, et elle n'a donc pas eu la possibilité de sanctionner la pratique du phishing sur ce fondement. Dès lors, pour être sanctionnée, l'usurpation d'identité doit en effet entraîner à l'égard de l'usurpé des conséquences pénales.(1) Cass. crim. 29 mars 2006, pourv. : 05-85857.(2) Com. de néologie, JO du 12 février 2006.
(3) CA Colmar, ch. cor., 14 septembre 2005.