13 Jan 2023
Le doxing ou doxxing : De l’exposition de tiers à des agressions
Le doxing (aussi écrit doxxing) est l’acte de révéler des informations qui permettent d’identifier quelqu’un en ligne, comme le véritable nom, l’adresse, le lieu de travail, le numéro de téléphone, des informations financières ou personnelles. Ces informations sont ensuite transmises au public sans l’autorisation de la victime.
Si révéler les informations personnelles d’une personne sans son consentement précède l’existence d’Internet, le mot « doxing » a d’abord vu le jour parmi les cybercriminels dans les années 1990, lorsque l’anonymat était encore une notion sacrée. Des disputes entre des pirates rivaux menaient souvent à la publication de « documents » sur les uns et les autres, qui étaient auparavant seulement connus sous des pseudonymes ou des alias. En anglais, ces « docs » sont ensuite devenus des « dox » et le verbe « drop » s’est ajouté pour ajouter la notion de « révélation ».
La définition du doxing s’est ensuite étendue au-delà du monde des cybercriminels et fait maintenant référence à l’exposition d’informations personnelles. Si ce terme est toujours été utilisé pour le fait de révéler l’identité d’utilisateurs anonymes, cet aspect a perdu en pertinence de nos jours puisque la plupart des gens utilisent leur véritable nom sur les réseaux sociaux.
Besoin de l’aide d’un avocat pour un problème de vie privée ?
Téléphonez-nous au : 01 43 37 75 63
ou contactez-nous en cliquant sur le lien
Récemment, le doxing est devenu un outil dans les guerres de culture, les cybercriminels utilisant le doxing pour faire du tort à leurs opposants. Les cybercriminels veulent faire en sorte que le conflit auparavant en ligne passe dans le monde réel en fournissant des informations qui peuvent inclure :
- des adresses,
- des informations sur le lieu de travail,
- des numéros de téléphone personnels,
- les numéros de Sécurité sociale,
- des numéros de compte bancaire ou de carte de crédit,
- des correspondances privées,
- un historique des actes criminels,
- des photos personnelles et
- des détails personnels embarrassants.
Les attaques de doxing peuvent être insignifiantes, comme de faux emails d’inscription ou des livraisons de pizza, mais aussi très dangereuses, comme le harcèlement de la famille ou de l’employeur de la victime, l’usurpation d’identité, des menaces ou d’autres formes de cyberharcèlement, voire du harcèlement physique.
Les victimes comptent de nombreuses célébrités, des politiciens et des journalistes qui ont dû faire face à de véritables vagues de harcèlement en ligne, avec dans certains cas extrêmes des menaces de mort. Cette pratique s’est également étendue aux grands propriétaires d’entreprise ; par exemple lorsque la marque Gillette de Proctor & Gamble a sorti sa campagne publicitaire « We Believe » qui devait cibler la masculinité toxique, le profil LinkedIn du responsable de la marque Marc Pritchard a été partagé sur 4chan, où l’auteur de la publication a encouragé les internautes à lui envoyer des messages de haine.
Le doxing a fait son entrée dans le grand public en décembre 2011, lorsque le groupe de pirates Anonymous a mis en ligne les informations de 7 000 membres des autorités en réaction aux enquêtes menées sur les activités de cybercriminalité. Depuis, Anonymous a publié les informations de centaines de membres présumés du KKK, et leurs cibles les plus récentes comprennent ceux qui soutiennent le mouvement Q-Anon.
Les motivations qui se cachent derrière le doxing sont variées. Certaines personnes peuvent se sentir attaquées ou insultées par leur cible et cherchent alors à se venger. Si une personne se fait connaître pour ses opinions controversées, elle peut s’en prendre à une personne qui aurait une vision opposée. Cela touche cependant les sujets particulièrement polarisés, et pas spécialement les désaccords politiques quotidiens.
Publier intentionnellement des informations personnelles implique généralement l’envie de punir, d’intimider ou d’humilier la victime. Cela dit, les cybercriminels le voient comme une façon de corriger un tort, en exposant une personne à la justice populaire ou en révélant une intention qui n’était pas connue publiquement.
Quelle que soit la motivation, l’objectif principal est de violer la vie privée et cela peut aussi mettre les personnes dans une position difficile, avec parfois des conséquences graves. Le propos du texte est clair. Il trouve place dans la loi de 2021 dans un chapitre intitulé « Dispositions relatives à la lutte contre les discours de haine et les contenus illicites en ligne ».
I. La place de l’incrimination
La place du nouveau texte au sein du Code pénal est assez logique : il intègre le chapitre consacré à « la mise en danger de la personne » – nous verrons qu’il s’agit effectivement de cela – entre deux textes incriminant d’autres actions créant volontairement une situation dangereuse, soit l’exposition d’autrui à un risque (article 223 -1) et le délaissement d’une personne hors d’état de se protéger article 223-3 Code pénal.
Ce qui mérite davantage l’attention est le choix du législateur d’incriminer ce comportement dans le Code pénal, plutôt que dans la loi du 29 juillet 1881 sur la liberté de la presse, qui aurait tout aussi légitimement pu accueillir le délit, puisqu’est puni « le fait de révéler, de diffuser ou de transmettre » certaines informations, l’hypothèse d’une publication « par voie de presse écrite ou audiovisuelle ou de communication au public en ligne » étant expressément envisagée.
Cette option qui était offerte au législateur confirme cette complexe dualité : la responsabilité pénale spécifique en droit de la presse, essentiellement issue de la loi du 29 juillet 1881, n’a jamais été conçue comme exclusive du droit commun, qui sanctionne également certaines expressions et communications abusives, et qui existait d’ailleurs avant 1881 et perdure aujourd’hui. Le législateur lui-même paraît parfois s’y perdre : qu’on se souvienne de la tentative de pénaliser la diffusion malveillante d’images des forces de l’ordre (article 24 de la proposition de « loi sécurité globale ») qui devait figurer dans la loi sur la presse, avant que la même proposition de loi ne privilégie l’incrimination, dans le Code pénal cette fois, de la provocation, dans le but manifeste qu’il soit porté atteinte à leur intégrité physique ou psychique, à l’identification des forces de l’ordre en opération… avant que le Conseil constitutionnel constate finalement sa méconnaissance du principe de légalité.
Ces frontières imprécises sont regrettables, tant les enjeux sont fondamentaux. En effet, si l’incrimination est assimilée au droit commun et comprise dans le code pénal, elle n’est pas soumise au régime dérogatoire de la loi de 1881 mais à celui, classique, issu des codes pénaux et de procédure pénale. Tel est donc le cas du nouvel article 223-1-1 (sous réserve de la détermination des personnes responsables).
En matière délictuelle, cela signifie par exemple que les délits sont soumis au délai de prescription de droit commun, soit six ans… au lieu de trois mois : la différence n’est ni symbolique ni anecdotique, elle est considérable, notamment dans la pratique judiciaire. Relevons cependant que la répression tend parfois à s’harmoniser. Ainsi la loi commentée du 24 août 2021 modifia également le régime de poursuite applicable aux délits de provocations directes non suivies d’effet, d’apologie, de provocations à la discrimination, à la haine ou à la violence, de contestation de crime contre l’humanité ou d’injure à connotation discriminatoire, afin de permettre le recours aux procédures de comparution immédiate et de convocation sur procès-verbal qui étaient jusqu’alors exclues.
II. Le contenu de l’incrimination
A. Un élément matériel extensif
Le comportement matériel incriminé consiste dans « le fait de révéler, de diffuser ou de transmettre, par quelque moyen que ce soit », certaines informations. C’est peut-être la largesse de cet élément qui a conduit le législateur à préférer inscrire le texte au sein du Code pénal. En effet, si la révélation ou la diffusion notamment, peuvent avoir lieu par voie de presse (au sens large, comprenant les moyens de communication électronique), elles peuvent en réalité, de même que la transmission d’informations, se faire « par quelque moyen que ce soit », y compris de personne à personne (à l’oral ou à l’écrit), sans aucune publicité.
La révélation est un concept connu du droit pénal, utilisé principalement par l’incrimination de la violation du secret professionnel, qui suppose que les informations litigieuses aient été jusqu’ici tenues secrètes. Mais l’éventuel secret est indifférent au regard de l’article 223-1-1 du Code pénal, puisque la diffusion et la transmission pourront tout à fait avoir pour objet des informations précédemment révélées, auxquelles elles donneront de l’ampleur.
Cette communication est illicite si elle porte sur « des informations relatives à la vie privée, familiale ou professionnelle d’une personne permettant de l’identifier ou de la localiser ». Le texte, évidemment, renvoie aux conditions de l’assassinat de Samuel Paty, et pourrait être rapidement appliqué à certaines publications sur internet relatives à « Mila », cette jeune femme cyberharcelée et menacée de mort à grande échelle après avoir tenu des propos insultants sur l’islam. Mais bien d’autres hypothèses pourraient être concernées. Il n’est pas impossible, d’ailleurs, que l’article 223-1-1 puisse servir à réprimer certaines révélations malveillantes d’éléments d’identification des forces de l’ordre, et pallier ainsi l’échec de l’article 24 de la « loi sécurité globale ». Cette possibilité a été soulignée par les députés auteurs d’une saisine a priori du Conseil constitutionnel, qui s’interrogeaient sur une éventuelle atteinte à la liberté d’expression – sans convaincre sur ce point les membres du Conseil.
Relevons enfin que la révélation d’informations est suffisante : aucun jugement de valeur visant la victime ne doit impérativement l’accompagner. Le professeur Dreyer suggère que cette absence d’exigence a été faite pour éviter tout conflit avec le droit de la presse. Quoi qu’il en soit, une divulgation d’informations sans appréciation ni connotation particulière peut-elle vraiment exposer autrui au « risque direct » d’une atteinte ? Surtout, comment pourra-t-on en déduire l’intention de l’auteur d’exposer ainsi directement autrui à un attentat qu’il « ne pouvait ignorer » ?
B. Un élément moral restrictif
L’élément moral exigé par le texte est original. Au-delà de la seule conscience de diffuser des informations permettant l’identification ou la localisation de la personne (dol général), l’auteur doit avoir pour « fins de l’exposer ou d’exposer les membres de sa famille à un risque direct d’atteinte à la personne ou aux biens que l’auteur ne pouvait ignorer ».
Voilà donc l’objet de l’intention de l’auteur : exposer directement quelqu’un (ou ses biens) à un risque d’atteinte. Dans le cas de l’article 223-1-1 comme dans celui de l’article 223-1 (exposition d’autrui à un risque), l’auteur adopte volontairement un comportement en acceptant l’éventualité qu’il cause un dommage (dol éventuel). Mais l’intention de l’auteur du délit commenté est plus grave : non seulement il accepte l’exposition d’autrui à un risque, mais il la désire. Il s’agit d’une nouvelle illustration d’une « mise en danger délibérée de la personne d’autrui » (l’expression est celle de l’art. 121-3, al. 2 c. pén.), qui confine ici au dol spécial. Mais sans pouvoir lui être assimilée. En effet, le texte ne va pas jusqu’à exiger la démonstration de l’intention que ce risque se réalise. Quoi qu’il en soit, cet élément moral est suffisamment restrictif pour imaginer que l’infraction sera peu souvent appliquée.
Il ne suffira pas de démontrer le caractère malveillant des révélations d’informations, il faudra établir positivement la volonté d’exposer la personne à un danger « direct », « que l’auteur ne pouvait ignorer ». Dans ces conditions, la nouvelle infraction aurait-elle pu être appliquée aux messages nauséabonds relayés dans l’affaire Paty ? Peut-on réellement caractériser cette intention en présence d’un risque indéterminé, diffus, l’atteinte pouvant par ailleurs être causée par un tiers inconnu de l’auteur ?
Deux imprécisions dommageables doivent enfin être mentionnées. En premier lieu, le risque direct est celui d’une « atteinte à la personne ou aux biens ». Toutes les atteintes sont donc concernées, quelle que soit leur nature (y compris, par exemple, les atteintes sexuelles) et quelle que soit leur gravité. Les députés, auteurs de la saisine précitée, insistaient d’ailleurs sur ce point, en estimant que le délit portait « atteinte au principe de proportionnalité des peines en punissant de la même manière les risques d’atteinte aux personnes et aux biens », ce à quoi le Conseil répondit que « le législateur n’a pas institué une peine manifestement disproportionnée au regard de la nature du comportement réprimé ». Sans doute aurait-il malgré tout fallu délimiter davantage le danger auquel la victime est exposée, en reprenant par exemple le modèle du délit d’omission d’empêcher une infraction, qui renvoie à « un crime, [ou] un délit contre l’intégrité corporelle de la personne ».
En second lieu, le risque vise la personne ou « les membres de sa famille ». Cette expression est surprenante : par le passé, le Conseil constitutionnel a censuré la qualification d’inceste précisément parce qu’elle faisait référence à des infractions commises « au sein de la famille » sans davantage de précision, au mépris du principe de légalité « matérielle ». Comme le législateur l’a fait depuis pour l’inceste, il aurait convenu d’établir une liste précise, en reprenant par exemple celle, préexistante, en matière de violences.
C. Le régime de la répression
Relevons tout d’abord que les peines principales envisagées sont de trois ans d’emprisonnement et de 45 000 € d’amende, pouvant être portées à cinq ans et 75 000 € lorsque les faits sont commis au préjudice : d’une personne dépositaire de l’autorité publique, chargée d’une mission de service public ou titulaire d’un mandat électif public ; d’un journaliste; d’une personne mineure ; ou d’une personne dont la particulière vulnérabilité, due à son âge, à une maladie, à une infirmité, à une déficience physique ou psychique ou à un état de grossesse, est apparente ou connue de leur auteur.
Relevons ensuite qu’un régime spécifique de responsabilité est institué lorsque les faits sont commis par voie de presse écrite ou audiovisuelle ou de communication au public en ligne : alors, « les dispositions particulières des lois qui régissent ces matières sont applicables en ce qui concerne la détermination des personnes responsables ». Cette formule, fréquente dans le code pénal, renvoie au principe d’exclusion de la responsabilité pénale des personnes morales et, surtout, à un régime très original de responsabilité des personnes physiques, généralement désigné sous l’appellation de responsabilité « en cascade ». Cette précision confirme l’appréhension délicate de ce type d’incrimination, à mi-chemin entre droit de la presse et droit commun.
Partant, la place de l’incrimination, dans le code plutôt que dans la loi sur la presse, n’a aucune conséquence sur le régime de responsabilité, mais conserve tout son intérêt au regard du régime procédural.
Pour lire une version plus complète de cet article sur le doxing ou le doxxing, cliquez
Sources :
https://www.kaspersky.fr/resource-center/definitions/what-is-doxing