Wortlaut

1. Le Conseil fédéral partage-t-il le constat selon lequel l'absence de norme contre l'usurpation d'identité est une lacune du droit pénal ?

2. Si oui, va-t-il proposer une modification légale ?

3. Est-il prêt à s'inspirer de la législation d'autres pays qui ont pris la mesure du risque ?

Begründung

La criminalité identitaire (notamment usurpation et vol d'identité) connaît une croissance inquiétante : jusqu'à 40 % par an selon certaines études. Avec l'essor des nouvelles technologies, l'usurpation d'identité est devenue beaucoup plus facile. Il n'est d'ailleurs souvent pas nécessaire de faire preuve de beaucoup de malice pour récolter suffisamment de données permettant d'usurper l'identité de quelqu'un, car un grand nombre de personnes publient fréquemment des informations à caractère personnel, voire intime, sur les réseaux sociaux.

Les dommages pour les victimes peuvent être énormes : financiers si l'usurpateur conclut des transactions au moyen de l'identité volée, atteinte à la réputation, voire procédures pénales s'il s'en sert pour commettre des infractions. Les collectivités publiques peuvent aussi subir des dommages si l'usurpateur se sert de l'identité dérobée pour obtenir indûment des prestations publiques.

Malheureusement, l'usurpation d'identité n'est, en Suisse, pas réprimée comme telle dans le droit pénal. Elle peut, selon les cas, être considérée comme une atteinte à l'honneur (art.173ss. CP) ou une violation de la personnalité (art. 28 CC) , pour autant que l'état de fait soit rempli, ce qui est loin d'être le cas lors de chaque usurpation. Or, ces infractions ne sont souvent passibles que de sanctions mineures, dont l'effet dissuasif est insuffisant en regard des conséquences. Suivant les moyens utilisés préalablement à l'usurpation d'identité, on peut être en présence de soustraction de données (art. 143 et 179novies CP), d'accès indu à un système informatique (art. 143bis CP), de détérioration de données (art. 144bis CP) ou de faux dans les titres (art. 251 CP). Là où ces états de fait ne sont pas remplis, il y a une lacune du droit pénal.

En France l'usurpation d'identité est sanctionnée par un an d'emprisonnement et 15 000 euros d'amende (art. 222 - 16 - 1 LOPPSI II). En Italie, "la sostituzione di persona" est punie de jusqu'à un an d'emprisonnement (art. 494 du Code pénal italien).

Stellungnahme des Bundesrates

1./2. Le vol ou, plus précisément, l'usurpation d'identité s'entend de l'usage abusif de données personnelles (de l'identité) d'une tierce personne. L'usurpation peut porter, par exemple, sur le nom, la date de naissance, les numéros de documents d'identité, de compte bancaire ou de carte de crédit, ou encore sur des mots de passe informatiques, des codes d'accès ou des pseudonymes. Elle vise souvent, soit à nuire à la réputation d'une personne, soit à se procurer un avantage patrimonial indu. L'an dernier, le cas de deux jeunes hommes, qui avaient ainsi dépensé la somme de 40 000 francs aux frais du propriétaire d'un portefeuille dérobé, avait fait la une de l'actualité. La généralisation d'Internet et des nouveaux moyens de communication dans les transactions commerciales, mais aussi l'expansion des médias sociaux ont indéniablement donné lieu à une multiplication des affaires d'usurpation d'identité.

Lorsque l'auteur cherche, par ce moyen, à se procurer ou à procurer à un tiers un enrichissement illégitime, il est punissable au titre de l'escroquerie ou de la tentative d'escroquerie (art. 146 du Code pénal, CP) et s'expose à une peine privative de liberté pouvant aller jusqu'à cinq ans. Dans le cadre du "phishing" ou hameçonnage ensuite (usurpation d'identité à des fins d'enrichissement indu), l'usurpation d'identité peut tomber sous le coup de l'article 143bis CP (accès indu à un système informatique), si l'auteur s'introduit sans droit dans le système informatique d'un tiers, ou du piratage, puni par l'article 143 CP (soustraction de données), s'il accède à des données qui ne lui sont pas destinées. Selon l'intention de l'auteur et les circonstances du cas d'espèce, d'autres infractions peuvent entrer en ligne de compte, notamment la détérioration de données, l'atteinte astucieuse aux intérêts pécuniaires d'autrui, la menace ou la contrainte (art. 144bis, 151, 180 ou 181 CP). L'usurpation d'identité peut aussi être sanctionnée par les articles 173ss. CP, si elle sert de moyen pour commettre une infraction contre l'honneur ou une infraction contre le domaine secret ou le domaine privé. Enfin, dans les rares cas où elle ne se rattache pas à l'un de ces cas de figure, l'auteur peut encore, selon le canton, s'exposer à une amende pour troubles causés à une personne ou trouble de l'ordre public. Il en résulte que, déjà selon le droit actuel, le fait d'usurper l'identité d'un tiers est en principe punissable, d'autant plus qu'elle n'est quasiment jamais un but en soi, mais sert le plus souvent une intention spécifique, telle qu'exprimée dans les infractions mentionnées ci-dessus.

L'expérience montre qu'une protection insuffisante des données personnelles ou une gestion insouciante de ces données peuvent favoriser ce type de délinquance, sur Internet comme dans la vie. Le Conseil fédéral se félicite ainsi de toutes initiatives, publiques et privées, visant à promouvoir les mesures de sécurité liées au transfert et à la protection de données personnelles. Il souligne, à cet égard, l'importance d'initiatives telles que le programme national "Jeunes et médias" (2011-2015, www.jeunesetmedias.ch), dont l'objet est de développer les compétences médiatiques des jeunes. La protection des données personnelles, le suivi périodique de la sécurité et l'immédiateté de réaction en cas de soupçon d'abus sont des éléments déterminants dans la prévention de cette forme de délinquance.

3. Le Conseil fédéral estime que le droit pénal ne présente pas de lacunes face au phénomène de l'usurpation d'identité. D'une part, l'usurpation d'identité est appréhendée par plusieurs dispositions pénales, qui répriment les fins qu'elle vise. D'autre part, dans la lutte contre l'usurpation d'identité, il est tout aussi important de miser sur l'information et sur la prévention des risques liés au traitement des données personnelles.

Réponse du Conseil fédéral.