PIONANR5L17B3228

– 1 –

EXPOSÉ DES MOTIFS

Mesdames, Messieurs,

L’identité n’est plus seulement un nom, une date de naissance ou un titre matériel. Elle est devenue la clef d’accès à une multitude de droits, de services et de démarches. Des données d’identification, une signature, un numéro de téléphone, un compte numérique, une image ou une voix peuvent aujourd’hui suffire à ouvrir un compte, contracter un crédit, détourner une prestation ou faire naître une dette au nom d’autrui. Les techniques de reproduction et de génération artificielle rendent ces atteintes plus simples à commettre, plus difficiles à détecter et susceptibles d’être déployées à grande échelle. La prise de contrôle d’un identifiant numérique, d’une adresse électronique, d’un numéro de téléphone, d’un moyen d’authentification ou d’un certificat électronique permet également d’agir au nom d’une personne sans utiliser matériellement son titre d’identité.

Pour la personne dont l’identité est usurpée, le préjudice ne s’achève pas avec la découverte de la fraude. Il se prolonge souvent sous la forme de relances, de saisies, d’incidents bancaires, de refus de crédit, de suppressions de droits, de démarches répétées et de décisions administratives fondées sur des actes qu’elle n’a jamais accomplis. La victime doit alors démontrer séparément, auprès de chaque organisme, qu’elle n’est pas l’auteur de l’engagement litigieux. Cette dispersion des procédures ajoute une épreuve administrative, financière et parfois professionnelle à l’infraction initiale. Elle provoque aussi des conséquences psychologiques, familiales et sociales durables qui doivent être reconnues et prises en compte.

Le droit en vigueur permet de déposer plainte, de contester une dette ou une inscription et d’exercer les droits de rectification et d’effacement reconnus par le droit de la protection des données. Ces garanties demeurent cependant fragmentées. Aucun document immédiatement délivré à la victime n’organise, à lui seul, une mise en sécurité provisoire et coordonnée de sa situation. Aucun parcours commun ne relie la plainte, l’interruption des poursuites, l’accès aux éléments ayant permis l’opération frauduleuse, la contestation des inscriptions et le rétablissement des données.

La présente proposition de loi poursuit donc un double objectif : mieux sanctionner les formes graves et organisées d’usurpation d’identité et permettre à la victime de reprendre rapidement la maîtrise de sa situation.

Son principe directeur est simple : la plainte doit ouvrir un temps de protection, sans préjuger définitivement de la réalité de l’usurpation. Une attestation authentifiable identifiera précisément les actes contestés. Elle pourra être actualisée sans nouveau dépôt de plainte lorsque la victime découvrira de nouveaux actes frauduleux. Sa notification suspendra temporairement le recouvrement qui ne repose pas sur une décision de justice exécutoire, imposera au créancier de communiquer les éléments d’imputation dont il dispose et permettra de signaler immédiatement les inscriptions bancaires litigieuses. Elle déclenchera en outre la conservation des preuves techniques et la désignation d’un interlocuteur unique. Le créancier conservera la faculté de saisir le juge en cas de contestation manifestement infondée ou frauduleuse. L’autorité de la chose jugée, les droits des tiers, les nécessités de l’ordre public et les mesures conservatoires indispensables demeureront préservés.

Lorsque l’usurpation aura été établie par une décision exécutoire ou reconnue par l’organisme directement à l’origine de l’acte ou de l’inscription, les données inexactes devront être rectifiées ou effacées dans un délai déterminé. Le rétablissement ne sera pas subordonné à l’identification ou à la condamnation de l’auteur : le juge pourra constater, selon une procédure accélérée et au vu d’un faisceau d’indices concordants, que l’acte n’est pas imputable à la victime. Si une obligation légale s’oppose à leur effacement, elles devront être rectifiées et accompagnées d’une mention empêchant que la fraude continue d’être imputée à la victime. Ce dispositif complète, sans s’y substituer, les droits prévus par le règlement général sur la protection des données.

La proposition crée également un service en ligne de l’État permettant à la victime de transmettre une seule fois les documents qu’elle choisit aux seuls organismes qu’elle désigne et de suivre le traitement de ses contestations. La transmission effectuée par ce service vaudra notification et produira un justificatif horodaté. Une alerte volontaire et révocable permettra, en cas de compromission avérée de données d’identité, d’appeler l’attention des organismes autorisés en inscrivant au répertoire national d’identification des personnes physiques un indicateur temporaire de vigilance renforcée. Cet indicateur ne révélera ni l’existence ni le contenu d’une plainte et ne pourra justifier à lui seul un refus. Lorsqu’il sera consulté à l’occasion d’une opération sensible, il imposera une vérification renforcée de l’identité et du consentement de l’intéressé.

Un médiateur national de l’usurpation d’identité, placé auprès du ministre de la justice et doté d’un guichet unique, centralisera les attestations et les signalements transmis avec l’accord des victimes, coordonnera les démarches auprès des créanciers, administrations, assureurs et opérateurs, et suivra les délais de rétablissement. La victime pourra lui donner mandat, directement ou par l’intermédiaire d’une association agréée.

La proposition impose également l’inclusion d’une garantie minimale contre l’usurpation d’identité dans les contrats d’assurance couvrant la responsabilité civile de la vie privée et dans les contrats multirisques habitation. Cette garantie financera sans attendre la condamnation de l’auteur les démarches urgentes, la défense juridique, la rectification des données et l’accompagnement psychologique de la victime.

Enfin, les organismes publics ou privés qui attribuent un droit, ouvrent un compte, accordent un crédit ou font naître une obligation devront conserver la preuve des contrôles d’identité et de consentement qu’ils ont accomplis. Une violation de données présentant un risque élevé d’usurpation entraînera un devoir renforcé d’information, de protection et d’assistance à la charge de l’organisme concerné.

L’article 1er actualise la définition pénale de l’usurpation d’identité et inclut l’usage frauduleux d’une image ou d’une voix reproduite, altérée ou générée artificiellement ainsi que l’utilisation frauduleuse d’identifiants numériques et de moyens d’authentification.

L’article 2 aggrave les peines lorsque l’infraction produit ou recherche des conséquences patrimoniales, administratives ou professionnelles, vise une personne vulnérable ou plusieurs victimes, présente un caractère habituel ou résulte de l’abus d’une fonction.

L’article 3 réserve la qualification criminelle aux opérations commises en bande organisée qui, par leur ampleur ou leur montant, présentent une particulière gravité.

L’article 4 prévoit les peines complémentaires, la responsabilité des personnes morales et la confiscation des instruments et produits de l’infraction.

L’article 5 protège également les personnes morales contre l’utilisation frauduleuse de leurs éléments d’identification et de représentation.

L’article 6 inscrit dans le code de procédure pénale l’attestation de signalement d’une usurpation d’identité. Celle‑ci est un instrument de protection provisoire et non une preuve définitive de l’infraction. Elle est évolutive et peut être complétée à mesure de la découverte de nouveaux actes.

Les articles 7 et 8 organisent la suspension de quatre‑vingt‑dix jours, la protection contre les pénalités et l’obligation pour le créancier de communiquer les éléments fondant l’imputation de l’engagement. Ils préservent expressément l’autorité des décisions de justice exécutoires. Ils imposent également la conservation des preuves, un échéancier de traitement et une décision motivée.

L’article 9 empêche une nouvelle inscription fondée sur l’opération contestée et impose l’adjonction d’une mention de contestation aux inscriptions déjà réalisées au fichier central des chèques et au fichier national des incidents de remboursement des crédits aux particuliers. Il neutralise les effets automatisés de l’inscription contestée et organise la rectification des fichiers internes et du Fichier des comptes bancaires (FICOBA).

L’article 10 crée une procédure administrative spéciale de suspension et d’examen contradictoire, sous réserve des exigences de l’ordre public, de la sécurité et de la protection des tiers. Il permet le maintien provisoire d’une prestation essentielle lorsque l’acte contesté a déterminé la décision administrative.

L’article 11 organise le rétablissement des données lorsque l’usurpation est établie selon des modalités précisément définies sans exiger l’identification ou la condamnation de l’auteur.

Les articles 12 et 13 instituent le service national de transmission et l’indicateur temporaire de vigilance renforcée inscrit au Répertoire national d’identification des personnes physiques (RNIPP), dans le respect du consentement, de la limitation des finalités, de la traçabilité et de la sécurité des données.

Les articles 14 à 18 instituent le médiateur national, organisent l’accompagnement des victimes, créent une garantie assurantielle minimale, responsabilisent les organismes qui créent ou acceptent un acte et imposent une assistance renforcée après une violation de données.

L’article 19 garantit l’accès au juge compétent et distingue les pouvoirs du juge de l’exécution, du juge judiciaire et du juge administratif.

L’article 20 détermine l’entrée en vigueur, l’application dans le temps et la compensation des charges résultant du dispositif.

L’article 21 permet de compenser les charges résultant du dispositif.

– 1 –

proposition de loi

TITRE Ier

RENFORCER LA RÉPRESSION DE L’USURPATION D’IDENTITÉ

Article 1er

L’article 226‑4‑1 du code pénal est ainsi rédigé :

« Art. 226‑4‑1. – Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier, notamment d’un identifiant numérique, d’une adresse électronique, d’un numéro de téléphone, d’un compte, d’un profil, d’un moyen d’authentification, d’une signature ou d’un certificat électronique ou d’une donnée biométrique, dans le but de troubler sa tranquillité ou celle d’autrui, de porter atteinte à son honneur ou à sa considération, de tromper un tiers, d’obtenir un droit, un bien, un service ou un avantage ou de faire naître une obligation, est puni de cinq ans d’emprisonnement et de 50 000 euros d’amende.

« Est puni des mêmes peines le fait d’utiliser l’image ou la voix d’un tiers, y compris lorsqu’elle est reproduite, altérée ou générée artificiellement, afin de faire croire qu’il accomplit un acte, tient des propos ou consent à une obligation, lorsque cette utilisation poursuit l’un des buts mentionnés au premier alinéa.

« Est également puni des mêmes peines le fait, sans droit ni consentement, de créer, d’altérer, de détourner ou de prendre le contrôle d’un identifiant numérique ou d’un moyen d’authentification rattaché directement ou indirectement à un tiers afin d’agir ou de faire croire que l’on agit en son nom.

« L’infraction est constituée y compris lorsqu’elle est commise sur un réseau de communications électroniques ou au moyen d’un service de communication au public en ligne.

« La tentative des délits prévus au présent article est punie des mêmes peines. »

Article 2

Après l’article 226‑4‑1 du code pénal, il est inséré un article 226‑4‑1‑1 ainsi rédigé :

« Art. 226‑4‑1‑1. – Les faits prévus à l’article 226‑4‑1 sont punis de dix ans d’emprisonnement et de 150 000 euros d’amende :

« 1° Lorsqu’ils ont permis ou avaient pour objet de souscrire un crédit, d’ouvrir ou d’utiliser un compte, de conclure un contrat, d’obtenir un titre, un document, une prestation, un paiement, un bien ou un service, de transférer un actif ou de faire naître une dette ou une obligation au nom de la victime ;

« 2° Lorsqu’ils ont entraîné ou avaient pour objet d’entraîner à l’encontre de la victime une mesure de recouvrement, une inscription dans un fichier, une sanction, une procédure administrative, civile ou pénale ou une atteinte à sa situation professionnelle ;

« 3° Lorsqu’ils sont commis au préjudice d’une personne dont la particulière vulnérabilité, due à son âge, à une maladie, à une infirmité, à une déficience physique ou psychique ou à un état de grossesse, est apparente ou connue de leur auteur ;

« 4° Lorsqu’ils sont commis de manière habituelle ;

« 5° Lorsqu’ils sont commis au préjudice de plusieurs personnes ;

« 6° Lorsqu’ils sont commis par une personne qui abuse de l’autorité que lui confèrent ses fonctions ou de l’accès à des données d’identité que lui procure son activité professionnelle ;

« 7° Lorsqu’ils sont commis par le conjoint, le concubin ou le partenaire lié à la victime par un pacte civil de solidarité.

« La tentative du délit prévu au présent article est punie des mêmes peines. »

Article 3

Après l’article 226‑4‑1 du code pénal, il est inséré un article 226‑4‑1‑2 ainsi rédigé :

« Art. 226‑4‑1‑2. – Lorsqu’ils sont commis en bande organisée au sens de l’article 132‑71, les faits prévus à l’article 226‑4‑1 sont punis de quinze ans de réclusion criminelle et de 300 000 euros d’amende lorsqu’ils sont commis au préjudice d’au moins dix personnes ou lorsque le montant cumulé des obligations souscrites, des biens, services ou avantages obtenus ou des actifs transférés est égal ou supérieur à 100 000 euros.

« Dans les autres cas, les faits commis en bande organisée sont punis de dix ans d’emprisonnement et de 300 000 euros d’amende. »

Article 4

Après l’article 226‑4‑1 du Code pénal, il est inséré un article 226‑4‑1‑3 ainsi rédigé :

« Art. 226‑4‑1‑3. – Les personnes physiques coupables des infractions prévues aux articles 226‑4‑1 à 226‑4‑1‑2 encourent les peines complémentaires prévues à l’article 226‑31.

« Les personnes morales déclarées responsables pénalement, dans les conditions prévues à l’article 121‑2, des infractions définies aux mêmes articles encourent, outre l’amende suivant les modalités prévues à l’article 131‑38, les peines prévues à l’article 131‑39.

« La confiscation des biens qui ont servi ou étaient destinés à commettre l’infraction et de ceux qui en sont l’objet ou le produit direct ou indirect est encourue dans les conditions prévues à l’article 131‑21. »

Article 5

Après l’article 226‑4‑1 du code pénal, il est inséré un article 226‑4‑1‑4 ainsi rédigé :

« Art. 226‑4‑1‑4. – Est puni de cinq ans d’emprisonnement et de 375 000 euros d’amende le fait d’utiliser frauduleusement la dénomination, le numéro unique d’identification, l’extrait d’immatriculation, la qualité du représentant légal ou du bénéficiaire effectif, un mandat, des coordonnées bancaires, un nom de domaine ou un moyen de communication d’une personne morale afin d’agir en son nom, de faire naître une obligation à sa charge, d’obtenir un droit, un bien, un service ou un avantage ou de détourner un actif.

« La tentative est punie des mêmes peines. »

TITRE II

PROTÉGER IMMÉDIATEMENT LES VICTIMES

Article 6

Après l’article 15‑3‑4 du code de procédure pénale, il est inséré un article 15‑3‑5 ainsi rédigé :

« Art.15‑3‑5. – Toute personne qui dépose plainte pour des faits susceptibles de relever des articles 226‑4‑1 à 226‑4‑1‑2 du code pénal peut demander, en complément du récépissé prévu à l’article 15‑3 du présent code, la délivrance sans délai d’une attestation de signalement d’une usurpation d’identité.

« L’attestation est délivrée par le service ou l’unité qui reçoit la plainte. Elle énumère, sur la déclaration du plaignant, les comptes, contrats, créances, opérations, inscriptions, décisions, procédures ou autres actes précisément contestés ainsi que les organismes concernés. Elle mentionne les pièces remises à l’appui de la plainte.

« La personne concernée peut, sans nouveau dépôt de plainte, demander à tout moment l’actualisation de l’attestation afin d’y ajouter tout acte, opération, créance, inscription, décision, procédure ou organisme découvert postérieurement et présentant un lien avec les faits initialement dénoncés. L’actualisation produit les mêmes effets que l’attestation initiale à compter de sa notification.

« Elle indique qu’elle est établie sur la base des déclarations et des pièces fournies par le plaignant. Elle ne vaut ni constatation définitive de l’usurpation ni reconnaissance de l’inexistence d’une créance, d’une obligation ou d’un acte. Elle produit exclusivement les effets provisoires prévus par les dispositions législatives qui la mentionnent, pour les actes qu’elle désigne.

« Avec le consentement exprès du plaignant, elle peut être transmise par voie sécurisée aux seuls organismes qu’il désigne. La victime peut donner mandat à une association d’aide aux victimes agréée pour demander l’actualisation de l’attestation, effectuer les transmissions, suivre les réponses et exercer les demandes de rectification, sans préjudice des actes réservés aux avocats.

« L’attestation est datée et comporte un identifiant permettant d’en vérifier l’authenticité.

« Un décret en Conseil d’État détermine le modèle de l’attestation ainsi que les conditions de sa délivrance, de son authentification et de sa transmission. »

Article 7

Le chapitre IV du titre II du livre Ier du code des procédures civiles d’exécution est complété par un article L. 124‑2 ainsi rédigé :

« Art. L. 124‑2. – La notification au créancier ou à la personne chargée du recouvrement de l’attestation prévue à l’article 15‑3‑5 du code de procédure pénale suspend de plein droit, pendant quatre‑vingt‑dix jours à compter de sa réception, toute mesure de recouvrement amiable relative à l’obligation précisément contestée dans cette attestation ainsi que toute mesure d’exécution forcée qui n’est pas fondée sur une décision de justice exécutoire.

« La notification est effectuée par tout moyen permettant de conférer date certaine à sa réception. La transmission effectuée par le service mentionné à l’article 48‑2 de la loi n° 78‑17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés vaut notification et produit un justificatif horodaté de l’envoi et de la réception.

« Pendant cette période, aucune pénalité, majoration, indemnité de retard, déchéance du terme ou autre mesure défavorable ne peut être fondée sur le seul défaut de paiement de l’obligation contestée. Les intérêts échus au cours de la période de suspension ne peuvent être capitalisés du seul fait de ce défaut de paiement. La créance ne peut être cédée sans que le cessionnaire soit informé de la contestation et de la suspension qui lui demeure opposable.

« Lorsque la personne concernée saisit la juridiction compétente avant l’expiration du délai mentionné au premier alinéa, la suspension est prolongée de plein droit jusqu’à la notification de la décision exécutoire statuant sur sa contestation. Elle est également prolongée jusqu’à la communication complète des pièces et de la décision motivée prévues à l’article L. 124‑3. La saisine, avant l’expiration du même délai, du médiateur national de l’usurpation d’identité ou d’un médiateur compétent prolonge la suspension pour une durée maximale de soixante jours.

« À la demande motivée de la personne concernée présentée avant l’expiration du délai initial, la suspension est renouvelée une fois pour quatre‑vingt‑dix jours lorsque l’examen du dossier n’est pas achevé pour une cause qui ne lui est pas imputable.

« Le créancier peut demander au juge compétent de lever totalement ou partiellement la suspension s’il établit que la contestation est manifestement infondée ou frauduleuse, ou que l’obligation a été personnellement souscrite ou expressément ratifiée par la personne concernée. La demande est instruite contradictoirement.

« Le présent article ne remet pas en cause l’autorité de la chose jugée et ne suspend pas de plein droit l’exécution d’une décision de justice. Lorsque le recouvrement est fondé sur une telle décision, la personne concernée peut en demander la suspension au juge compétent dans les conditions prévues par les voies de recours et les règles de procédure qui lui sont applicables.

« Lorsqu’une décision de justice exécutoire établit que l’obligation résulte d’une usurpation d’identité ou lorsque le créancier reconnaît par écrit que la personne concernée ne l’a ni souscrite ni ratifiée, aucune somme résultant de cette obligation ne peut lui être réclamée. Le créancier procède sans délai à l’annulation des sommes correspondantes et en informe les personnes auxquelles il en avait confié le recouvrement.

« Le présent article ne fait pas obstacle aux mesures conservatoires autorisées dans les conditions prévues au livre V lorsque le créancier établit que les circonstances sont susceptibles d’en menacer le recouvrement.

« Il s’applique sans préjudice des dispositions relatives aux procédures collectives et au traitement des situations de surendettement. »

Article 8

Le chapitre IV du titre II du livre Ier du code des procédures civiles d’exécution est complété par un article L. 124‑3 ainsi rédigé :

« Art. L. 124‑3. – Dès réception de l’attestation prévue à l’article 15‑3‑5 du code de procédure pénale, le créancier ou la personne chargée du recouvrement interrompt les démarches portant sur l’obligation contestée dans les conditions prévues à l’article L. 124‑2 du présent code et en accuse réception dans un délai de deux jours ouvrés. Dans le même délai, il désigne un interlocuteur chargé du dossier.

« Dès cette réception, le créancier, la personne chargée du recouvrement et tout prestataire intervenu dans la collecte, la vérification, l’authentification, la signature, le paiement ou la conservation des données préservent les documents, résultats de contrôle, journaux de connexion, adresses de protocole internet, caractéristiques des appareils, coordonnées, signatures, certificats, enregistrements disponibles, destination des fonds et identité des intervenants susceptibles de contribuer à l’établissement des faits. Cette conservation est limitée à ce qui est nécessaire au traitement de la contestation, à l’enquête et à l’exercice des droits des parties.

« S’il maintient sa demande, il communique gratuitement, dans un délai de sept jours, les pièces immédiatement disponibles à la personne concernée ou à son mandataire, puis, dans un délai de trente jours, l’intégralité du dossier comprenant le contrat ou le titre invoqué ainsi que les éléments disponibles permettant d’imputer l’engagement à cette personne, notamment les pièces d’identité présentées, la signature, les coordonnées utilisées, les éléments d’authentification et, lorsqu’elle est pertinente, la destination des fonds ainsi que l’identité des prestataires intervenus.

« La communication prévue au deuxième alinéa s’effectue sous réserve des secrets protégés par la loi et des nécessités d’une enquête ou d’une procédure judiciaire. Lorsqu’un élément ne peut être communiqué pour l’un de ces motifs, le créancier en indique le fondement et, dans la mesure permise par la loi, la nature.

« Le créancier informe la personne concernée, dans un délai de trente jours à compter de la réception de l’attestation, de la suite donnée à sa contestation. Sa décision est écrite et motivée. Elle mentionne les contrôles réalisés lors de l’opération, les éléments établissant l’identité et le consentement de la personne, les incohérences relevées, les vérifications conduites après la contestation, les voies et délais de recours ainsi que les coordonnées du médiateur compétent. Lorsqu’il reconnaît que l’obligation résulte d’une usurpation d’identité, il le constate par écrit et met en œuvre le septième alinéa de l’article L. 124‑2 ainsi que l’article 48‑1 de la loi n° 78‑17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

À défaut de communication complète ou de décision motivée dans le délai prévu, la suspension prévue à l’article L. 124‑2 demeure applicable jusqu’à la remise complète des éléments ou jusqu’à ce que la juridiction compétente en décide autrement. Lorsque le créancier ne produit pas les éléments d’identification, d’authentification et de consentement dont la conservation lui incombe, l’acte contesté est présumé ne pas être imputable à la personne concernée, sauf preuve contraire. Le recours à un sous‑traitant ne décharge pas le créancier de ses obligations envers elle. »

Article 9

I. – Après l’article L. 752‑1 du code de la consommation, il est inséré un article L.752‑1‑1 ainsi rédigé :

« Art. L.752‑1‑1. – La notification de l’attestation prévue à l’article 15‑3‑5 du code de procédure pénale fait obstacle, pendant la durée de la suspension prévue à l’article L. 124‑2 du code des procédures civiles d’exécution, à toute nouvelle inscription au fichier national des incidents de remboursement des crédits aux particuliers fondée sur l’engagement contesté.

« Les modalités d’inscription, de conservation et de suppression de cette mention sont fixées par arrêté du ministre chargé de l’économie, pris après avis de la Banque de France et de la Commission nationale de l’informatique et des libertés. »

II. – Après l’article L. 131‑85 du code monétaire et financier, il est inséré un article L.131‑85‑1 ainsi rédigé :

« Art. L.131‑85‑1. – La notification de l’attestation prévue à l’article 15‑3‑5 du code de procédure pénale fait obstacle, pendant la durée de la suspension prévue à l’article L. 124‑2 du code des procédures civiles d’exécution, à toute nouvelle inscription au fichier central des chèques fondée sur l’opération contestée.

« Lorsqu’une inscription existe déjà, une mention de contestation pour usurpation d’identité lui est immédiatement adjointe. Cette mention ne vaut ni radiation de l’inscription ni constatation de l’usurpation. Pendant la contestation, l’inscription ainsi signalée ne peut être utilisée seule dans une décision automatisée ni justifier à elle seule le refus d’un compte, d’un crédit, d’une prestation ou d’un service. Toute décision défavorable fondée en tout ou partie sur cette inscription fait l’objet d’un examen humain.

III. – Dès réception de l’attestation, les établissements teneurs de compte, créanciers et personnes chargées du recouvrement portent une mention de contestation dans leurs fichiers internes et dans les données communiquées à leurs partenaires. Ils demandent, lorsqu’elles sont inexactes, la rectification des données enregistrées dans le fichier national des comptes bancaires et assimilés. Lorsque l’usurpation est établie dans les conditions prévues à l’article 48‑1 de la loi n° 78‑17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, ils transmettent sans délai la rectification à tous les destinataires auxquels les données inexactes ont été communiquées.

Article 10

Le titre II du livre Ier du code des relations entre le public et l’administration est complété par un chapitre V ainsi rédigé :

« Chapitre V

« Contestation d’un acte résultant d’une usurpation d’identité

« Art. L. 124‑3. – Lorsqu’une administration reçoit l’attestation prévue à l’article 15‑3‑5 du code de procédure pénale, elle suspend pendant quatre‑vingt‑dix jours les mesures défavorables qui reposent principalement ou de manière déterminante sur l’acte précisément contesté dans cette attestation.

« Pendant ce délai, elle procède à l’examen contradictoire de la contestation dans les conditions prévues aux articles L. 121‑1, L. 121‑2 et L. 122‑1 du présent code. Elle peut demander à la personne concernée ainsi qu’à l’organisme à l’origine de l’acte contesté tout élément nécessaire à cet examen.

« Elle prend une décision écrite et motivée dans un délai de trente jours, prorogeable une fois pour la même durée lorsque la complexité du dossier le justifie. La personne concernée est informée de cette prorogation avant l’expiration du premier délai.

« Lorsque la décision contestée compromet les conditions essentielles d’existence de la personne, notamment l’accès aux ressources, au logement, à la santé ou à une prestation sociale, l’administration maintient ou rétablit provisoirement la prestation pendant l’examen contradictoire, sauf fraude manifeste ou intérêt public impérieux. Les sommes versées à titre provisoire peuvent être récupérées si la contestation est définitivement rejetée.

« La suspension ne s’applique ni aux mesures nécessaires à la protection de l’ordre public, de la sécurité publique ou de la santé publique, ni aux mesures conservatoires indispensables pour prévenir une fraude ou préserver les droits des tiers.

« L’administration informe la personne concernée, dans un délai de sept jours à compter de sa décision, de la suite donnée à sa contestation. Lorsqu’elle reconnaît que l’acte contesté résulte d’une usurpation d’identité, elle met en œuvre l’article 48‑1 de la loi n° 78‑17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. »

TITRE III

GARANTIR LE RÉTABLISSEMENT DE L’IDENTITÉ

Article 11

Après l’article 48 de la loi n° 78‑17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, il est inséré un article 48‑1 ainsi rédigé :

« Art. 48‑1. – Sans préjudice des articles 16, 17 et 19 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, pour l’application du présent article, une usurpation d’identité est établie par une décision de justice exécutoire constatant l’usurpation, l’absence de consentement ou l’inopposabilité de l’acte à la personne concernée, par une décision exécutoire de la Commission nationale de l’informatique et des libertés ordonnant la rectification ou l’effacement de la donnée contestée, ou par la reconnaissance écrite, à l’issue d’un examen contradictoire, du responsable du traitement ou de l’organisme dont l’acte, l’opération ou la déclaration est directement à l’origine de la donnée contestée.

« L’identification, la poursuite ou la condamnation de l’auteur de l’usurpation ne constitue pas une condition de l’établissement de celle‑ci. Le président du tribunal judiciaire peut, selon la procédure accélérée au fond et au vu d’un faisceau d’indices concordants, constater que l’acte n’est pas imputable à la personne concernée et ordonner toute mesure de rétablissement utile.

« Dans un délai de quinze jours à compter de la date à laquelle l’usurpation est ainsi établie, le responsable du traitement rectifie ou, lorsque les conditions prévues à l’article 17 du règlement (UE) 2016/679 précité sont réunies, efface les données inexactes qui en résultent.

« Lorsque la rectification ou l’effacement porte sur des données communiquées à des destinataires, le responsable du traitement informe sans délai ces destinataires de la rectification ou de l’effacement, sauf impossibilité démontrée ou efforts disproportionnés. Il justifie gratuitement auprès de la personne concernée de l’accomplissement de ces formalités.

« Lorsqu’une donnée ne peut être effacée en raison d’une obligation légale de conservation, le responsable du traitement procède, dans le même délai, à sa rectification et à l’adjonction d’une mention indiquant qu’elle résulte d’une usurpation d’identité établie. »

Article 12

Après l’article 48 de la loi n° 78‑17 du 6 janvier 1978 précitée, il est inséré un article 48‑2 ainsi rédigé :

« Art. 48‑2. – Un service en ligne de l’État placé sous l’autorité du médiateur national de l’usurpation d’identité permet à la personne concernée, avec son consentement exprès, de transmettre l’attestation prévue à l’article 15‑3‑5 du code de procédure pénale et les pièces qu’elle choisit aux administrations, établissements de crédit, sociétés de financement, établissements de paiement, organismes de protection sociale, opérateurs de communications électroniques et autres organismes qu’elle désigne.

« Cette transmission vaut notification, fait courir les délais légaux et donne lieu à un justificatif horodaté de l’envoi et, lorsqu’elle est disponible, de la réception.

« Ce service permet de suivre la réception et le traitement des contestations, de conserver l’historique des transmissions et de délivrer un justificatif de chacune d’elles. Il ne transmet aucune donnée à un organisme que la personne concernée n’a pas expressément désigné. Il permet à la victime ou à son mandataire de consulter l’état d’avancement, les pièces communiquées, les réponses motivées et les échéances applicables à chaque organisme.

« Sa mise en œuvre s’appuie prioritairement sur les téléservices et infrastructures existants. Elle n’impose aucune formalité aux personnes qui n’ont pas demandé à bénéficier du dispositif.

« Le traitement a pour seules finalités la transmission sécurisée de l’attestation et des pièces choisies, ainsi que le suivi de leur réception et du traitement des contestations. Il ne peut être utilisé à aucune autre fin.

« Un décret en Conseil d’État, pris après avis de la Commission nationale de l’informatique et des libertés, détermine les catégories de données traitées, leur durée de conservation, les destinataires habilités, les modalités d’exercice des droits des personnes concernées et les garanties de sécurité applicables. »

Article 13

Après l’article 48 de la loi n° 78‑17 du 6 janvier 1978, il est inséré un article 48‑3 ainsi rédigé :

« Art. 48‑3. – Toute personne dont l’identité, le numéro d’inscription au répertoire national d’identification des personnes physiques, un titre d’identité ou des données d’identification ont été compromis peut demander gratuitement l’activation d’une alerte volontaire d’identité pour une durée qu’elle choisit, qui ne peut excéder deux ans et qui est renouvelable.

« L’alerte prend la forme d’un indicateur temporaire de vigilance renforcée inscrit au répertoire national d’identification des personnes physiques. Cet indicateur ne modifie ni l’état civil ni le numéro d’inscription au répertoire. Il ne comporte aucune information relative aux circonstances de la compromission, au contenu de la plainte ou aux actes contestés.

« La personne concernée peut désactiver l’alerte à tout moment. L’indicateur peut être consulté, sans autorisation individuelle préalable de la personne, par les organismes légalement habilités qui vérifient son identité à l’occasion de l’ouverture d’un compte, de la souscription d’un crédit, d’un contrat d’assurance, d’un service de paiement, d’un abonnement de communications électroniques ou de toute autre opération sensible définie par décret en Conseil d’État. La consultation restitue uniquement l’un des résultats suivants : concordance sans alerte, non‑concordance ou vigilance renforcée.

« Lorsqu’un organisme autorisé est saisi d’une opération au nom de cette personne, l’alerte lui impose, avant de conclure l’opération, de procéder à une vérification renforcée de l’identité et du consentement de l’intéressé, par sa présence physique ou par un procédé d’identification électronique présentant un niveau de garantie substantiel ou élevé et par une confirmation effectuée au moyen d’un canal distinct préalablement associé à la personne. Elle n’interdit aucune opération et ne dispense pas l’organisme de ses obligations légales de vigilance. Elle ne peut justifier à elle seule un refus de contracter ou de fournir un service.

« Chaque consultation fait l’objet d’une traçabilité permettant d’identifier l’organisme qui y a procédé, sa date et son motif. La personne concernée peut accéder à l’historique des consultations. Toute consultation étrangère aux finalités prévues au présent article est interdite.

« Un décret en Conseil d’État, pris après avis de la Commission nationale de l’informatique et des libertés, détermine les conditions d’activation, de renouvellement et de désactivation de l’alerte, les conditions d’habilitation des organismes autorisés à la consulter, les catégories de données accessibles, leur durée de conservation et les garanties de sécurité applicables. »

Article 14

Il est institué auprès du ministre de la justice un médiateur national de l’usurpation d’identité.

Le médiateur national est saisi gratuitement par la victime ou son mandataire. Avec le consentement exprès de la victime, il centralise les attestations et signalements, facilite la suspension des effets des actes contestés, coordonne la circulation sécurisée des pièces, suit le respect des délais, favorise la rectification des données et le rétablissement des droits et oriente la victime vers les autorités, juridictions, associations et professionnels compétents.

Il dispose d’un portail sécurisé, d’un numéro national d’orientation, de référents de dossier ainsi que des moyens humains, techniques et budgétaires nécessaires à l’exercice de ses missions. Il peut demander aux organismes concernés la conservation des preuves, un accusé de réception, la communication des pièces et une réponse motivée dans les délais prévus par la loi. Il peut formuler des recommandations, saisir les autorités de contrôle compétentes et publier un rapport annuel anonymisé.

Le médiateur tient un répertoire national sécurisé des attestations et des signalements qui lui sont transmis. Ce répertoire a pour seules finalités la coordination du traitement des dossiers, la détection des fraudes sérielles, le suivi du rétablissement des victimes et la production de statistiques anonymisées. Il ne contient que les données strictement nécessaires et ne peut être directement consulté par les créanciers.

La saisine du médiateur n’interrompt pas les délais de recours juridictionnels. Un décret en Conseil d’État, pris après avis de la Commission nationale de l’informatique et des libertés, précise son organisation, les habilitations d’accès, les durées de conservation, les modalités d’échange avec l’autorité judiciaire et les garanties de sécurité.

Article 15

Après l’article L. 113‑15‑3 du code des assurances, il est inséré un article L. 113‑15‑4 ainsi rédigé :

« Art. L. 113‑15‑4. – Tout contrat d’assurance couvrant la responsabilité civile de la vie privée ou les risques d’un logement comporte une garantie contre les conséquences de l’usurpation d’identité. Les contrats couvrant les moyens de paiement, la protection juridique ou les risques cyber indiquent de manière claire et apparente si cette garantie est incluse et, lorsqu’elle l’est, respectent le socle minimal prévu au présent article.

« La garantie est déclenchée sur présentation de l’attestation prévue à l’article 15‑3‑5 du code de procédure pénale, sans attendre l’identification ou la condamnation de l’auteur. Elle comprend au minimum la désignation d’un interlocuteur unique, l’assistance aux démarches urgentes, les frais raisonnables de remplacement des titres et identifiants compromis, les frais d’avocat, de commissaire de justice, d’expertise, de médiation et de rectification des données, ainsi qu’un accompagnement psychologique adapté. Lorsque les ressources, le logement ou l’activité professionnelle de l’assuré sont directement menacés, elle prévoit une avance d’urgence dans des conditions et limites fixées par décret.

« La garantie ne peut être refusée au seul motif que l’auteur est inconnu, que la plainte a été classée sans suite ou que l’assuré a communiqué une donnée à la suite d’une manœuvre frauduleuse, sauf fraude de l’assuré ou faute intentionnelle légalement établie. Les exclusions, franchises, plafonds et voies de recours sont présentés de manière claire avant la conclusion du contrat.

« Après indemnisation, l’assureur est subrogé dans les droits de la victime dans les conditions prévues par le présent code. L’exercice de ce recours ne peut retarder les mesures urgentes d’assistance et de rétablissement.

« Un décret en Conseil d’État précise le contenu minimal, les plafonds et les délais de mise en œuvre de la garantie. »

Article 16

Toute personne publique ou privée qui attribue, modifie, transfère ou retire un droit, une prestation, un titre, un compte, un crédit, une immatriculation, un mandat ou un avantage vérifie, selon le niveau de risque de l’opération, l’identité, la qualité pour agir et le consentement de la personne concernée. Elle conserve la preuve des contrôles accomplis et de la décision prise.

Lorsque l’organisme ne peut justifier des vérifications légalement requises, l’acte frauduleux est inopposable à la victime, sauf preuve contraire. L’organisme rétablit les droits, rectifie les données, informe les destinataires auxquels elles ont été transmises et répare les préjudices directs ainsi que leur aggravation imputable au retard de traitement.

Le recours à un prestataire de recouvrement, de vérification d’identité, de signature électronique, d’authentification, de paiement ou d’hébergement ne décharge pas l’organisme qui attribue le droit ou réclame l’exécution de l’engagement de ses obligations envers la victime. Chaque intervenant conserve la preuve des contrôles relevant de sa responsabilité et coopère à la conservation des preuves, à la suspension et au rétablissement.

Article 17

Lorsqu’une administration, un établissement public ou un organisme chargé d’une mission de service public subit une violation de données susceptible de créer un risque élevé d’usurpation d’identité, il prend sans délai les mesures de sécurité, d’information, de conservation des preuves et d’assistance rendues nécessaires par la gravité du risque.

Il assure une information individuelle, claire et exploitable des personnes exposées, une évaluation documentée des catégories de données compromises et de la durée probable du risque, l’accès gratuit à un service de surveillance, d’alerte et d’accompagnement pendant une durée proportionnée au risque ainsi que la prise en charge des démarches et frais raisonnables de renouvellement des titres ou identifiants compromis.

Sa responsabilité est engagée lorsqu’un manquement à ses obligations de sécurité, de prévention, de notification ou de remédiation a causé le dommage ou en a aggravé les conséquences. L’absence de traçabilité des mesures et contrôles qui lui incombaient peut être prise en compte dans l’appréciation de la preuve. L’accès aux mesures urgentes de protection n’est pas subordonné à la preuve que l’usurpation résulte directement de la violation de données.

Article 18

Le préjudice résultant d’une usurpation d’identité comprend ses conséquences patrimoniales, psychologiques, familiales, sociales et professionnelles ainsi que l’atteinte à la réputation.

Dès le signalement, la victime est informée de son droit d’être assistée par une association agréée, orientée vers les dispositifs d’aide aux victimes et, lorsque sa situation le justifie, vers une prise en charge psychologique, sociale et juridique adaptée. Les administrations et organismes évitent de lui demander à plusieurs reprises les mêmes pièces ou le même récit lorsque ceux‑ci sont accessibles par le service mentionné à l’article 48‑2 de la loi n° 78‑17 du 6 janvier 1978.

Article 19

I. Le chapitre Ier du titre II du livre V du code de justice administrative est ainsi modifié :

1° L’article L. 521‑1 est complété par un alinéa ainsi rédigé :

« Lorsque la décision contestée repose principalement ou de manière déterminante sur un acte désigné dans une attestation prévue à l’article 15‑3‑5 du code de procédure pénale, la condition d’urgence est présumée satisfaite, sauf si un intérêt public impérieux s’oppose à sa suspension. » ;

2° L’article L. 521‑3 est complété par un alinéa ainsi rédigé :

« Lorsqu’une demande est fondée sur l’article L. 124‑3 du code des relations entre le public et l’administration ou sur l’article 48‑1 de la loi n° 78‑17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, le juge des référés peut ordonner la communication des pièces utiles, l’adjonction d’une mention de contestation ou la limitation provisoire du traitement d’une donnée ainsi que toute autre mesure utile ne faisant pas obstacle à l’exécution d’une décision administrative. »

I. – La sous‑section 4 de la section 1 du chapitre III du titre Ier du livre II du code de l’organisation judiciaire est ainsi modifiée :

1° L’article L. 213‑6 est complété par un alinéa ainsi rédigé :

« Le juge de l’exécution connaît également des demandes relatives à l’application des articles L. 124‑2 et L. 124‑3 du code des procédures civiles d’exécution lorsqu’elles se rapportent à un titre exécutoire, à une mesure d’exécution forcée ou à une mesure conservatoire. Il peut ordonner la suspension d’une mesure de recouvrement ou d’exécution, la communication des pièces utiles et toute mesure nécessaire pour faire cesser les conséquences manifestement illicites de l’usurpation d’identité. » ;

2° Après le même article L. 213‑6, il est inséré un article L. 213‑6‑1 ainsi rédigé :

« Art. L. 213‑6‑1. – Sans préjudice de l’article L. 213‑6, le président du tribunal judiciaire connaît, selon la procédure accélérée au fond et, en cas d’urgence, en référé, des demandes relatives à la suspension d’un recouvrement amiable, à la communication des pièces, à l’inopposabilité d’un acte ainsi que des demandes de rectification ou d’effacement fondées sur l’article 48‑1 de la loi n° 78‑17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, lorsque le litige relève de l’ordre judiciaire. Il peut assortir sa décision d’une astreinte. »

TITRE IV

DISPOSITIONS FINALES

Article 20

I. – Les articles 1er à 19 de la présente loi entrent en vigueur le premier jour du sixième mois suivant sa promulgation. Par dérogation, les articles 13, 14 et 15 entrent en vigueur le premier jour du douzième mois suivant sa promulgation.

II. – Les articles L. 124‑2 et L. 124‑3 du code des procédures civiles d’exécution, L. 131‑85‑1 du code monétaire et financier, L. 752‑1‑1 du code de la consommation, L. 124‑3 du code des relations entre le public et l’administration et les articles 48‑1 à 48‑3 de la loi n° 78‑17 du 6 janvier 1978 précitée sont applicables aux actes et inscriptions antérieurs à leur entrée en vigueur qui continuent de produire des effets à cette date.

Les dispositions pénales résultant des articles 1er à 5 de la présente loi sont applicables dans les conditions prévues à l’article 112‑1 du code pénal.

Article 21

I. – La charge pour l’État est compensée à due concurrence par la création d’une taxe additionnelle à l’accise sur les tabacs prévue au chapitre IV du titre Ier du livre III du code des impositions sur les biens et services.

II. – La charge pour les organismes de sécurité sociale est compensée à due concurrence par la majoration de l’accise sur les tabacs prévue au chapitre IV du titre Ier du livre III du code des impositions sur les biens et services.