Identité numérique de l'organisation et nom de domaine

L'identité numérique d'une organisation est l'ensemble des éléments qui la représentent en ligne : son nom de domaine et ses adresses électroniques, son site, ses comptes sur les réseaux sociaux, ses marques et logos, et ce que les autres publient sur elle (son e-réputation). La protéger est une compétence du bloc 3 du BTS SIO : il s'agit d'empêcher qu'un tiers usurpe cette identité (typosquatting, faux site, faux compte) et de savoir quels recours le droit offre quand c'est arrivé. Ce chapitre traite d'abord du nom de domaine, pièce maîtresse de cette identité, puis des atteintes et des moyens de s'en défendre. Le choix technique du domaine, du DNS et de l'hébergement est traité dans le chapitre Nom de domaine, DNS et hébergement d'un site du cours Présence en ligne, et la gestion des avis et des réseaux sociaux dans le chapitre E-réputation.

Ce qui compose l'identité numérique d'une organisation

L'identité numérique des personnes (identifiants, profils, traces) relève quant à elle surtout du RGPD et de l'usurpation d'identité ; le cours CEJM : droit la présente du point de vue de la personne.

Le nom de domaine : comment ça marche

Un nom de domaine est l'adresse lisible d'un service sur Internet (cedre-habitat.fr), que le DNS traduit en adresses IP. Juridiquement, ce n'est pas un titre de propriété comme une marque : c'est un droit d'usage, accordé pour une durée (un à dix ans) et renouvelable, selon la règle du « premier arrivé, premier servi ».

Les extensions sont de deux sortes : les extensions nationales (ccTLD : .fr, .de, .be), régies par la loi du pays, et les extensions génériques (gTLD : .com, .org, .net, et les nouvelles comme .paris ou .bzh), régies par les contrats de l'ICANN.

Le formalisme. Enregistrer un nom se fait en ligne, auprès d'un bureau d'enregistrement, en indiquant les coordonnées du titulaire et des contacts (administratif, technique). Pour le .fr, le Code des postes et des communications électroniques (articles L45 à L45-8) fixe le cadre : le titulaire doit résider ou être établi dans l'Union européenne ou dans certains pays voisins, ses coordonnées doivent être exactes (l'Afnic peut supprimer un nom enregistré avec de fausses coordonnées), et l'enregistrement peut être refusé, ou le nom supprimé, s'il est (article L45-2) :

1. susceptible de porter atteinte à l'ordre public, aux bonnes mœurs ou à des droits garantis par la Constitution ou la loi ;
2. susceptible de porter atteinte à des droits de propriété intellectuelle (une marque) ou de la personnalité (un nom de famille), sauf si le demandeur justifie d'un intérêt légitime et agit de bonne foi ;
3. identique ou apparenté à celui de la République française, d'une collectivité territoriale ou d'une institution publique, sauf intérêt légitime et bonne foi.

L'Afnic ne vérifie pas ces conditions avant l'enregistrement : elle intervient a posteriori, sur réclamation.

Les données du titulaire. Le service WHOIS, qui affichait publiquement les coordonnées des titulaires, a été remplacé pour les extensions génériques par le protocole RDAP, et depuis le RGPD les coordonnées des personnes physiques sont masquées. Les autorités et les titulaires de droits peuvent obtenir leur levée en justifiant d'un intérêt légitime.

Les atteintes à l'identité numérique

Les qualifications juridiques se cumulent souvent :

• contrefaçon de marque quand le nom ou le site reproduit ou imite une marque enregistrée pour des produits ou services identiques ou similaires (Code de la propriété intellectuelle, articles L713-2 et L713-3) ;
• concurrence déloyale ou parasitisme (article 1240 du Code civil) quand un concurrent crée une confusion ou profite de la notoriété d'autrui ;
• usurpation d'identité (article 226-4-1 du Code pénal, 1 an et 15 000 €), y compris en ligne ;
• escroquerie (article 313-1, 5 ans et 375 000 €) quand la tromperie mène à une remise d'argent ;
• accès frauduleux (article 323-1) quand les identifiants volés sont utilisés.

Récupérer un nom de domaine : les procédures

Trois voies existent, souvent plus rapides et moins coûteuses qu'un procès.

Pour le .fr : les procédures de l'Afnic. Toute personne qui a intérêt à agir peut demander la transmission ou la suppression d'un nom qui porte atteinte à l'un des cas de l'article L45-2 :

• Syreli : une procédure entièrement en ligne, tranchée par un collège de l'Afnic, adaptée aux cas simples ;
• PARL Expert : la même logique, mais la décision est rendue par un expert indépendant désigné en lien avec l'Organisation mondiale de la propriété intellectuelle (OMPI), adaptée aux dossiers plus techniques.

La décision intervient dans un délai de deux mois environ à compter de l'ouverture de la procédure ; elle peut ordonner la transmission du nom au requérant ou sa suppression, et peut être contestée devant le juge.

Pour les extensions génériques : l'UDRP. La procédure uniforme de règlement des litiges de l'ICANN (Uniform Domain Name Dispute Resolution Policy), menée notamment devant le centre d'arbitrage et de médiation de l'OMPI, permet d'obtenir le transfert d'un nom si le plaignant prouve trois conditions :

1. le nom est identique ou semblable au point de prêter à confusion avec sa marque ;
2. le titulaire n'a aucun droit ni intérêt légitime sur ce nom ;
3. le nom a été enregistré et est utilisé de mauvaise foi.

Le juge (tribunal judiciaire) reste compétent dans tous les cas, notamment pour obtenir des dommages et intérêts ou faire cesser une contrefaçon en urgence par une procédure de référé.

Protéger l'identité numérique : les mesures

Un enregistrement DMARC typique, publié dans la zone DNS du domaine :

_dmarc.cedre-habitat.fr.  IN TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@cedre-habitat.fr"

Avec p=reject, les serveurs destinataires rejettent les courriels qui prétendent venir de cedre-habitat.fr sans passer les contrôles SPF ou DKIM ; les rapports envoyés à l'adresse rua permettent de repérer les tentatives d'usurpation.

L'e-réputation

L'e-réputation est l'image d'une organisation telle qu'elle ressort de ce qui est publié sur Internet : avis, articles, publications sur les réseaux sociaux, résultats des moteurs de recherche. Une organisation ne peut pas faire supprimer une critique parce qu'elle lui déplaît : la liberté d'expression protège la critique, même vive, d'un service ou d'un produit. Le droit sanctionne en revanche les abus :

• la diffamation (l'allégation d'un fait précis qui porte atteinte à l'honneur ou à la considération : « le bailleur détourne les charges ») et l'injure (une expression outrageante sans fait précis), réprimées par la loi du 29 juillet 1881 sur la liberté de la presse ; l'action se prescrit par trois mois à compter de la publication ;
• le dénigrement, quand un concurrent jette le discrédit sur les produits ou services d'une entreprise : c'est une forme de concurrence déloyale (article 1240 du Code civil) ;
• les faux avis : le Code de la consommation impose aux sites qui publient des avis d'indiquer s'ils les vérifient et comment ; publier ou commander de faux avis est une pratique commerciale trompeuse ;
• le droit de réponse : toute personne nommée ou désignée dans un service de communication en ligne peut exiger l'insertion d'une réponse, dans un délai de trois mois.

Pour obtenir le retrait d'un contenu, on s'adresse d'abord à son auteur ou à l'éditeur du site, puis à l'hébergeur ou à la plateforme par une notification, qui l'oblige à agir promptement si le contenu est manifestement illicite (chapitre 10). Pour une personne physique (un salarié mis en cause nommément), le RGPD ouvre en plus le droit à l'effacement et le droit au déréférencement auprès des moteurs de recherche (chapitre 4).

Exercices