FAUSSES NOUVELLES DANS LE MONDE DU RUGBY ET ATTEINTES AUX PERSONNES PHYSIQUES

Contexte

Selon une information relayée par France info, plusieurs pages Facebook diffuseraient depuis plusieurs semaines de fausses nouvelles générées à l’aide de l’intelligence artificielle concernant le monde du rugby.

Ces fausses nouvelles porteraient notamment sur l’état de santé de plusieurs joueurs ainsi que d’autres éléments de leur vie privée.

Toutefois, il ressort de l’enquête que ces fausses nouvelles émergeraient du Vietnam ou du Pérou, ce qui soulève nécessairement une question sur l’efficacité des mesures à l’encontre des auteurs de tels agissements.

Il convient de rappeler que même en l’absence d’identification des auteurs, une telle atteinte aux droits (I) peut être utilement remédiée via le DSA Act (II).

I. L’atteinte aux droits des personnes physiques

Les personnes physiques qui font l’objet de ces fausses nouvelles disposent de plusieurs moyens pour faire valoir leurs droits.

En premier lieu, l’article 9 du Code civil dispose que « chacun a droit au respect de sa vie privée« .

Par ailleurs, sur le même fondement, la Cour européenne des droits de l’homme a rappelé que « la notion de vie privée comprend des éléments se rapportant à l’identité d’une personne tels que le nom » (CEDH 24 juin 2004, n°59320/00).

Le droit à la vie privée comprend par ailleurs le droit à l’image (Cass. 2e Civ, 30 juin 2004, n°02 19.599 et 03-13.416).

D’un point de vue pénal, l’article 226-1 du Code pénal dispose quant à lui : « Est puni d’un an d’emprisonnement et de 45 000 euros d’amende le fait, au moyen d’un procédé quelconque, volontairement de porter atteinte à l’intimité de la vie privée d’autrui […] »

En l’espèce, les publications litigieuses utilisent le nom, le prénom et parfois l’image de joueurs parfaitement identifiables afin de donner une apparence de crédibilité aux informations diffusées. Elles ont pour conséquence immédiate de provoquer l’inquiétude de leurs proches, de leurs supporters ou encore de leurs partenaires professionnels. Le préjudice ne réside donc pas uniquement dans la diffusion d’une information erronée, mais également dans l’appropriation non consentie de l’identité d’une personne à des fins de création d’un récit fictif susceptible de se propager massivement sur les réseaux sociaux.

En deuxième lieu, l’article 4 du RGPD définit les données personnelles comme : « Toute information se rapportant à une personne physique identifiée ou identifiable ».

Sont qualifiées de données personnelles et en premier chef le nom et prénom.

L’article 5.1.a du RGPD dispose que les données à caractère personnel doivent être « traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ». Ainsi, le caractère fictif du contenu ne fait pas disparaître, par lui-même, l’application de ces règles lorsque l’identité réelle d’une personne est utilisée.

L’article 4.14 du RGPD définit quant à lui les données biométriques comme : « les données à caractère personnel résultant d’un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d’une personne physique, qui permettent ou confirment son identification unique, telles que des images faciales ou des données dactyloscopiques ; ».

 A ce titre, l’image est considérée comme une donnée biométrique lorsqu’elle fait l’objet d’un traitement destiné à identifier de manière unique un individu, comme dans un système de reconnaissance faciale.

Selon l’article 9 paragraphe 1 du RGPD, le traitement des données biométriques est interdit sauf à répondre à l’une des bases légales posées par l’article 6 et 9 du RGPD aux termes duquel le consentement de la personne intéressée est requis.

A l’image de l’atteinte à la vie privée, une telle atteinte aux données personnelles ne semble pas faire débat au regard des faits d’espèce. En effet, il est probable que les administrateurs de ces pages aient constitué des bases de données des visages des joueurs ou aient utilisé des procédés automatisés permettant leur dentification afin de générer des contenus.

En troisième lieu, l’article 226-8 du Code pénal dispose que : “Est puni d’un an d’emprisonnement et de 15 000 euros d’amende le fait de porter à la connaissance du public ou d’un tiers, par quelque voie que ce soit, le montage réalisé avec les paroles ou l’image d’une personne sans son consentement, s’il n’apparaît pas à l’évidence qu’il s’agit d’un montage ou s’il n’en est pas expressément fait mention. (…)”.

S’agissant de ce délit appelé plus communément deep-fake, la jurisprudence a considéré que le montage devait être non consenti et non évident (TJ Nanterre, 1er octobre 2024, n°23140000125).

En l’espèce, la reprise et la modification – qui au fur et à mesure de l’amélioration des outils d’intelligence artificielle devient de plus en plus précise – de l’image des personnes physiques est tout sauf évidente et n’est bien entendue pas consentie.

Preuve en est, l’ensemble des messages qu’une des victimes dit recevoir de proches s’inquiétant de son état.

Si l’existence de ce panel de droits apparaît rassurante de prime abord, il reste qu’une telle action, à l’exception des dispositions pénales pouvant bénéficier des pouvoirs d’enquête du ministère public, nécessite l’identification des personnes responsables de tels agissements.

II. La solution du DSA Act en l’absence d’identification des auteurs

En l’absence d’auteurs personnes physiques ou morales, le règlement européen sur les services numériques (2022/2065) autrement appelé le DSA Act offre une solution pertinente à l’égard des fournisseurs de services d’hébergement.

En effet, l’article 6 du règlement prévoit que : « 1. En cas de fourniture d’un service de la société de l’information consistant à stocker des informations fournies par un destinataire du service, le fournisseur de services n’est pas responsable des informations stockées à la demande d’un destinataire du service à condition que le fournisseur : a) n’ait pas effectivement connaissance de l’activité illégale ou du contenu illicite et, en ce qui concerne une demande en dommages et intérêts, n’ait pas conscience de faits ou de circonstances selon lesquels l’activité illégale ou le contenu illicite est apparent ; ou b) dès le moment où il en prend connaissance ou conscience, agisse promptement pour retirer le contenu illicite ou rendre l’accès à celui-ci impossible. ».

Ainsi, sur le fondement de ce texte, les fournisseurs de services d’hébergement bénéficient d’une exonération tant qu’ils ignorent le caractère illicite du contenu ou qu’ils n’ont pas conscience des circonstances le révélant. Dès lors qu’ils en prennent connaissance, ils doivent agir promptement afin de retirer le contenu ou d’en rendre l’accès impossible.

Une telle solution, qui ne traduit pas une obligation générale de surveillance généralisée des plateformes mais simplement une obligation dite de « notice and take down », apparaît parfaitement appropriée pour les faits d’espèce.

En effet, les victimes n’ont pas nécessairement besoin de connaître l’identité des administrateurs des pages pour agir. Elles peuvent directement utiliser les mécanismes de signalement prévus par Facebook, lesquels s’inscrivent dans les obligations résultant du DSA pour les plateformes opérant dans l’Union européenne. Dès lors, l’objectif n’est plus ici d’obtenir immédiatement une condamnation de l’auteur, mais surtout de faire cesser la diffusion d’un contenu portant atteinte aux droits de la personnalité.

Cette procédure est ainsi très utile en matière de fake news puisque le principal préjudice résulte souvent de la viralité du contenu. Une publication annonçant fictivement le décès d’un joueur peut être partagée des milliers de fois en quelques heures, être reprise par d’autres pages puis être rediffusée sous différentes formes. Obtenir le retrait rapide du contenu permet donc de limiter la poursuite de sa diffusion et de réduire l’ampleur du dommage subi, même lorsque l’auteur demeure inconnu.

Toutefois, ces dispositions sont nécessairement limitées par le bon vouloir des plateformes et également par d’autres considérations telles les hypothèses où les plateformes requièrent un constat d’huissier ou encore même une décision de justice pour retirer les contenus.

Par ailleurs, le retrait d’une publication ne garantit pas la disparition définitive de l’information sur Internet. Les contenus peuvent être copiés, téléchargés puis republiés par les utilisateurs sur d’autres comptes et d’autres plateformes. Ainsi, bien que ces dernières doivent informer les utilisateurs des suites données aux notifications et s’assurer que les contenus ne réapparaissent pas, leur pouvoir reste limité.

Conclusion

Les fausses nouvelles générées par intelligence artificielle dans le monde du rugby illustrent parfaitement les nouvelles formes d’atteintes aux droits de la personnalité rendues possibles par cette technologie. L’utilisation non consentie du nom, de l’image et d’informations relatives à la santé de personnes identifiables est susceptible de mobiliser plusieurs fondements juridiques, qu’il s’agisse du droit au respect de la vie privée, de la protection des données personnelles ou encore des incriminations pénales relatives aux montages et aux deepfakes.

Toutefois, l’efficacité de ces actions se heurte à la difficulté d’identifier les auteurs de ces contenus, souvent anonymes ou établis à l’étranger. En réponse à cela, le DSA permet aux victimes de solliciter directement le retrait des contenus illicites auprès des plateformes d’hébergement, sans attendre nécessairement que les responsables soient identifiés.

La protection des droits des personnes physiques repose donc autant sur la responsabilité des auteurs que sur la capacité des plateformes à réagir efficacement aux notifications qui leur sont adressées.