Un directeur financier reçoit un appel vidéo au cours duquel le visage et la voix de son supérieur lui demandent, sous le sceau de la confidentialité, d’exécuter avant la clôture des marchés un virement lié à une acquisition. Le lendemain, il apparaît que ce supérieur n’a jamais appelé. Ce scénario ne relève plus de la prospective et se plaide déjà devant les autorités pénales. La question qui se pose ensuite est celle de savoir si le droit suisse connaît une infraction pour de tels faits.
Le droit suisse connaît-il une infraction propre au deepfake ?
Aucune disposition du Code pénal ne nomme le deepfake. Il s’ensuit que l’on raisonne avec les infractions existantes, lesquelles suffisent dans la plupart des situations pour autant qu’on les combine. La plus récente est l’usurpation d’identité de l’art. 179decies CP, en vigueur depuis le 1er septembre 2023, aux termes duquel « quiconque utilise l’identité d’une autre personne sans son consentement dans le dessein de lui nuire ou de se procurer ou de procurer à un tiers un avantage illicite est, sur plainte, puni d’une peine privative de liberté d’un an au plus ou d’une peine pécuniaire ».
L’emprunt du visage et de la voix d’une personne pour se faire passer pour elle entre prima facie dans cette disposition, dès lors que l’identité ne se réduit ni au nom ni au numéro d’assuré. Deux limites doivent toutefois être relevées. L’infraction n’est poursuivie que sur plainte, laquelle doit être déposée dans les trois mois à compter du jour où la victime a connu l’auteur (art. 31 CP). La peine encourue demeure en outre modeste, de sorte que l’usurpation d’identité accompagne un dossier de deepfake plus qu’elle ne le porte.
On lit parfois que l’art. 179novies CP serait la disposition applicable. Cette lecture est inexacte, dès lors que cet article réprime la soustraction de données personnelles sensibles qui ne sont pas accessibles à tout un chacun. Il vise le vol de données, non la fabrication d’une image mensongère à partir de données publiques.
L’arnaque à la voix clonée constitue d’abord une escroquerie
Lorsque le deepfake sert à obtenir un virement, l’infraction centrale est l’escroquerie (art. 146 CP), laquelle suppose une tromperie astucieuse, une erreur, un acte de disposition et un dommage. L’astuce est admise lorsque l’auteur recourt à un édifice de mensonges, à des manœuvres frauduleuses ou à une mise en scène. Une voix clonée qui répond en temps réel aux questions de son interlocuteur constitue une mise en scène par excellence. La peine encourue est de cinq ans au plus, de six mois à dix ans lorsque l’auteur fait métier de l’escroquerie, et l’infraction se poursuit d’office, hors le cas des proches.
La difficulté se situe ailleurs. La jurisprudence refuse de retenir l’astuce lorsque la dupe a négligé les vérifications les plus élémentaires que sa situation lui imposait. Il s’ensuit qu’une entreprise qui autorise un virement de plusieurs centaines de milliers de francs sur un simple appel, sans seconde signature ni rappel sur un numéro connu, s’expose à ce que sa propre légèreté soit discutée. À dire vrai, la question se résout rarement au détriment de la victime lorsque le procédé est sophistiqué, mais elle se pose, et elle se pose également devant l’assureur. Partant, la procédure interne de validation des paiements n’est pas seulement une mesure de prévention. Elle pèse sur la qualification pénale et sur la couverture.
Le deepfake à caractère sexuel et l’atteinte à l’image
Le second cas de figure est celui de la personne dont le visage est apposé sur des images à caractère sexuel ou à laquelle on prête des propos qu’elle n’a jamais tenus. Le droit pénal y répond par les infractions contre l’honneur, soit la diffamation et la calomnie (art. 173 et 174 CP) ainsi que l’injure (art. 177 CP), toutes poursuivies sur plainte, et par l’usurpation d’identité déjà mentionnée. La pornographie (art. 197 CP) entre en considération lorsque le contenu est rendu accessible à des mineurs ou relève des catégories que la loi prohibe en soi. Des travaux parlementaires visent une disposition propre aux deepfakes sexuels, de sorte que le cadre peut évoluer rapidement. Dans l’intervalle, le dossier se construit avec ces textes.
Le droit civil est souvent plus rapide que le droit pénal pour ce qui importe d’abord, à savoir la disparition du contenu. L’atteinte à la personnalité (art. 28 CC) ouvre la voie à des mesures provisionnelles (art. 261 ss CPC), que le tribunal peut ordonner en quelques jours, ainsi qu’à la réparation du tort moral. En l’espèce, les deux voies sont presque toujours menées de front, la plainte pénale pour identifier et sanctionner l’auteur, la requête civile pour obtenir le retrait et fixer le dommage.
L’auteur et la plateforme se trouvent à l’étranger
Tel est le cas ordinaire. Cette circonstance ne prive pas les autorités suisses de leur compétence, dès lors qu’une infraction est réputée commise tant au lieu où l’auteur a agi qu’au lieu où le résultat s’est produit (art. 8 CP), et que le résultat, qu’il s’agisse de la perte patrimoniale ou de l’atteinte à la réputation, se produit là où vit la victime. Elle complique en revanche l’exécution. L’entraide avec les Etats-Unis, où sont établies la plupart des plateformes, requiert des mois. Il faut dès lors agir sur trois fronts en parallèle, la plainte en Suisse, la demande de retrait auprès de la plateforme selon ses propres procédures, laquelle aboutit souvent plus vite qu’une décision judiciaire, et la conservation immédiate des preuves, captures horodatées, adresses des pages et identifiants des comptes, avant que le contenu ne disparaisse ou ne migre.
Pour l’entreprise victime d’un virement s’ajoutent le rappel bancaire, à demander le jour même, et, lorsque les fonds ont transité par un compte en Suisse, la réquisition de séquestre auprès du Ministère public du canton concerné, question traitée dans un autre article consacré à l’argent qui passe par un compte suisse.
Notre intervention
Pour une entreprise, l’Etude dépose la plainte pour escroquerie avec les réquisitions utiles, engage le rappel bancaire, procède à la déclaration à l’assureur dans les délais de la police et revoit la procédure de validation des paiements, dès lors que le second incident coûte plus cher que le premier. Pour une personne, elle dépose la plainte pénale pour usurpation d’identité et atteinte à l’honneur, requiert les mesures provisionnelles, adresse les demandes de retrait aux plateformes et fait constater les contenus avant leur effacement. In fine, l’ordre des démarches compte autant que les démarches elles-mêmes.
Questions fréquentes
Dans quel délai faut-il porter plainte ?
Dans les trois mois à compter de la connaissance de l’auteur pour les infractions poursuivies sur plainte, soit l’usurpation d’identité et les atteintes à l’honneur (art. 31 CP). L’escroquerie se poursuit d’office. Dans tous les cas, les preuves numériques ne subsistent que quelques jours, de sorte que le délai légal est largement théorique.
Mon entreprise a exécuté le virement. L’assurance prend-elle en charge le dommage ?
Cela dépend de la police, qu’elle couvre la fraude, le risque cyber ou la responsabilité. La plupart exigent une déclaration rapide et une plainte pénale, et certaines excluent la faute grave. La lecture de la police se fait en même temps que la plainte, non après.
Peut-on obtenir rapidement le retrait d’une vidéo ?
Oui, par deux voies. La procédure de signalement de la plateforme, souvent efficace en quelques jours pour les contenus sexuels non consentis, et les mesures provisionnelles civiles (art. 261 ss CPC), qui s’imposent à l’hébergeur ou à l’auteur identifiable. La plainte pénale vient ensuite, en vue de la sanction.
Votre situation mérite une lecture précise
Virement obtenu par une voix clonée, visage détourné ou propos fabriqués, le premier entretien sert à déterminer ce qui peut être bloqué, retiré et poursuivi, et dans quel ordre. Il dure quarante-cinq minutes et se prend au 022 512 76 00 ou par le formulaire de contact.