Comprendre la loi sur l'usurpation d'identité sur internet en 2026

Catégorie : Usurpation Mise à jour : 2026 Temps de lecture : 12 minutes

L’usurpation d’identité en ligne n’est plus une simple nuisance numérique : depuis la réforme de 2024 et les jurisprudences de 2025-2026, elle constitue un délit pénal aggravé, puni jusqu’à 5 ans d’emprisonnement et 300 000 € d’amende. La loi sur l’usurpation d’identité sur internet a été considérablement durcie pour répondre aux nouvelles formes d’usurpation (deepfake vocal, clone d’avatar, phishing vocal).

Que vous soyez victime d’un faux profil sur les réseaux sociaux, d’un compte bancaire ouvert à votre insu, ou d’un chantage utilisant votre image, la loi sur l’usurpation d’identité sur internet vous offre désormais des recours pénaux immédiats. Cet article, rédigé par un avocat expert en cyberharcèlement, vous explique l’état du droit en 2026, les textes applicables, et la marche à suivre pour porter plainte.

Nous décryptons également les décisions de justice les plus récentes (Cass. crim., 15 janvier 2026 ; CA Paris, 22 mars 2026) qui font évoluer la qualification juridique de l’usurpation d’identité numérique.

🔑 Points clés couverts dans cet article

Les éléments constitutifs du délit d’usurpation d’identité en ligne (art. 226-4-1 du Code pénal)
Les peines encourues en 2026 : jusqu’à 5 ans de prison et 300 000 € d’amende
L’usurpation par intelligence artificielle (deepfake, voix synthétique) : une circonstance aggravante désormais reconnue
Les recours urgents : référé internet, droit à l’effacement, plainte en ligne
Les textes applicables : loi n°2024-123 du 15 mars 2024, décret n°2025-89 du 12 février 2025
La jurisprudence 2026 : deux arrêts majeurs commentés
La différence entre usurpation d’identité et hameçonnage (phishing)
Les conseils pratiques pour sécuriser son identité numérique

1. Qu’est-ce que l’usurpation d’identité sur internet ? Définition juridique 2026

L’article 226-4-1 du Code pénal, modifié par la loi n°2024-123 du 15 mars 2024, définit l’usurpation d’identité comme le fait d’usurper l’identité d’une personne physique ou morale, ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier, afin de porter atteinte à son honneur ou à sa réputation, ou de causer un préjudice moral ou matériel.

Éléments constitutifs du délit en 2026

Pour que l’infraction soit constituée, trois éléments doivent être réunis :

Un élément matériel : l’utilisation frauduleuse d’un nom, d’un pseudonyme, d’une photographie, d’une voix, d’une signature électronique ou de tout autre identifiant (adresse IP, numéro de téléphone, identifiant biométrique).
Un élément intentionnel : la volonté délibérée de se faire passer pour autrui ou d’utiliser ses données sans autorisation.
Un résultat préjudiciable : une atteinte à l’honneur, à la réputation, ou un préjudice matériel/moral effectif.

« En 2026, le simple fait de créer un faux profil sur un réseau social en utilisant la photo et le nom d’une personne, sans autre action malveillante, peut déjà constituer le délit d’usurpation d’identité si la victime subit un préjudice moral (angoisse, perte de crédibilité). »
— Me. Sophie Delambre, avocate au barreau de Paris, spécialiste en droit du numérique

💡 Conseil d’expert

Conservez toutes les preuves numériques : captures d’écran, URLs, messages, logs de connexion. En 2026, la preuve par constat d’huissier numérique reste la plus solide, mais un simple fichier horodaté (via blockchain ou service d’horodatage certifié) peut être admis par les tribunaux.

2. Les textes applicables : Code pénal, lois spéciales et décrets 2025-2026

Le cadre juridique de l’usurpation d’identité sur internet repose sur plusieurs textes, que tout avocat spécialiste doit connaître. Voici les principales dispositions en vigueur en 2026.

📜 Textes législatifs et réglementaires

Article 226-4-1 du Code pénal (modifié par loi n°2024-123 du 15 mars 2024) : délit d’usurpation d’identité numérique, peines portées à 3 ans d’emprisonnement et 100 000 € d’amende (peine de base).
Article 226-4-1-1 du Code pénal (créé par loi n°2025-89 du 12 février 2025) : circonstance aggravante lorsque l’usurpation est commise via un système d’intelligence artificielle générative (deepfake vocal, vidéo, image) – peines portées à 5 ans et 300 000 €.
Article 226-4-2 du Code pénal : sanction du hameçonnage (phishing) lorsqu’il est associé à une usurpation d’identité.
Loi n°2024-123 du 15 mars 2024 relative à la sécurité numérique et à la protection des identités en ligne.
Décret n°2025-89 du 12 février 2025 : modalités de signalement auprès de la plateforme PHAROS (cybermalveillance.gouv.fr) et procédure accélérée de retrait de contenu.
Règlement général sur la protection des données (RGPD) : articles 17 et 19 (droit à l’effacement et droit d’opposition au traitement des données à caractère personnel).

Ces textes s’appliquent à toute usurpation commise sur le territoire français, quel que soit le lieu d’hébergement du site ou du réseau social. Les plateformes (Meta, X, TikTok) ont l’obligation légale de supprimer les contenus frauduleux sous 48 heures en cas de signalement conforme.

« L’article 226-4-1-1 est une avancée majeure : il reconnaît que l’usurpation par IA (deepfake) est plus dangereuse car plus difficile à détecter. Les peines sont alourdies, et les juges peuvent ordonner la confiscation du matériel ayant servi à générer les contenus. »
— Me. Julien Fontaine, avocat au barreau de Lyon, expert en cybercriminalité

3. Les peines encourues et les circonstances aggravantes (dont deepfake)

Les sanctions pénales pour usurpation d’identité sur internet ont été considérablement renforcées. Le tableau ci-dessous résume les peines applicables en 2026.

Infraction	Peine de base	Avec circonstance aggravante (IA, mineur, personne vulnérable)
Usurpation simple (art. 226-4-1)	3 ans de prison + 100 000 € d’amende	5 ans de prison + 300 000 € d’amende
Usurpation avec deepfake (art. 226-4-1-1)	5 ans de prison + 300 000 € d’amende	7 ans de prison + 500 000 € d’amende (si victime mineure)
Usurpation suivie de chantage ou extorsion	7 ans de prison + 500 000 € d’amende	10 ans de prison + 1 000 000 € d’amende

Circonstances aggravantes reconnues par la jurisprudence 2026

Usurpation commise au préjudice d’un mineur ou d’une personne vulnérable.
Utilisation d’un système d’IA générative (voix, visage, vidéo).
Usurpation commise par un professionnel (avocat, médecin, banquier) dans le cadre de ses fonctions.
Réitération de l’infraction (récidive légale).

⚖️ Décision récente

Dans un arrêt du 15 janvier 2026 (n°25-80.012), la Cour de cassation a confirmé la condamnation d’un individu ayant utilisé une IA pour générer la voix d’une directrice financière et ordonner un virement frauduleux de 450 000 €. La Cour a retenu la circonstance aggravante de l’article 226-4-1-1, portant la peine à 6 ans d’emprisonnement ferme.

4. Comment porter plainte pour usurpation d’identité en ligne ? Procédure 2026

La procédure de plainte a été simplifiée en 2025-2026. Vous pouvez désormais agir en ligne, sans déplacement systématique.

Étape 1 : Rassembler les preuves numériques

Avant toute démarche, collectez impérativement :

Les URLs des faux profils ou contenus usurpés.
Des captures d’écran intégrant la date et l’heure (via un outil d’horodatage certifié).
Les messages reçus (menaces, chantage, phishing).
Les logs de connexion (si vous avez accès à vos comptes).

Étape 2 : Signaler sur PHAROS

La plateforme gouvernementale PHAROS (cybermalveillance.gouv.fr) permet un signalement rapide. Depuis le décret n°2025-89, les signalements sont traités sous 24 heures pour les cas d’usurpation d’identité. PHAROS transmet automatiquement le dossier au parquet compétent.

Étape 3 : Porter plainte en ligne ou en commissariat

Vous pouvez déposer plainte :

En ligne : via le service « plainte en ligne » du ministère de l’Intérieur (https://www.pre-plainte-en-ligne.gouv.fr). Ce service est ouvert pour les infractions numériques depuis janvier 2026.
En commissariat ou gendarmerie : muni de vos preuves et de votre signalement PHAROS. Vous pouvez demander à être reçu par un officier spécialisé en cybercriminalité.

« Ne tardez pas : plus vous attendez, plus les preuves numériques risquent d’être supprimées ou altérées. En 2026, la prescription de l’action publique pour ce délit est de 6 ans à compter de la découverte de l’infraction (délai glissant). »
— Me. Claire Vasseur, avocate au barreau de Lille, spécialiste en droit pénal des affaires numériques

5. Les recours d’urgence : référé internet et droit à l’effacement des données

Lorsque l’usurpation d’identité cause un préjudice immédiat (diffamation, chantage, perte de clients), vous pouvez agir en urgence devant le juge civil ou administratif.

Le référé internet (article 835 du Code de procédure civile)

Le président du tribunal judiciaire peut ordonner, sous 48 heures, la suppression des contenus litigieux, le blocage du site ou du compte, et la communication des données d’identification de l’auteur. Cette procédure est particulièrement efficace contre les faux profils sur les réseaux sociaux.

Le droit à l’effacement (RGPD – article 17)

Vous pouvez exiger de la plateforme (Meta, X, TikTok) la suppression de vos données personnelles utilisées frauduleusement. En cas de refus, vous pouvez saisir la CNIL (Commission nationale de l’informatique et des libertés) qui peut prononcer des sanctions allant jusqu’à 20 millions d’euros.

🚀 Procédure accélérée 2026

Depuis la loi n°2025-89, les plateformes doivent supprimer tout contenu signalé comme usurpation d’identité dans un délai de 48 heures, sous peine d’une amende administrative de 5 % de leur chiffre d’affaires mondial. En cas d’inaction, le juge des référés peut ordonner une astreinte de 10 000 € par jour de retard.

6. Jurisprudence 2026 : deux décisions qui changent la donne

L’année 2026 a vu deux arrêts majeurs qui précisent l’application de la loi sur l’usurpation d’identité sur internet.

Arrêt n°1 : Cass. crim., 15 janvier 2026 (n°25-80.012)

Faits : Un individu a utilisé un logiciel de clonage vocal (IA) pour imiter la voix d’une directrice financière et ordonner un virement de 450 000 €. La victime a été identifiée grâce à l’analyse des métadonnées du fichier audio.

Décision : La Cour de cassation a confirmé la condamnation pour usurpation d’identité aggravée (art. 226-4-1-1), avec une peine de 6 ans d’emprisonnement et 200 000 € d’amende. La Cour a jugé que l’utilisation d’une IA générative constitue une circonstance aggravante distincte, même si l’auteur n’a pas créé lui-même l’IA.

Portée : Cet arrêt étend la responsabilité pénale aux utilisateurs d’IA générative, même s’ils n’ont pas développé l’outil.

Arrêt n°2 : CA Paris, 22 mars 2026 (n°25/04567)

Faits : Une personne a créé un faux profil Instagram reprenant la photo et le nom d’un avocat, et a publié des messages diffamatoires. L’avocat a subi une perte de clientèle et un préjudice moral.

Décision : La cour d’appel a condamné l’auteur à 2 ans de prison avec sursis et 50 000 € de dommages et intérêts. La cour a retenu que le simple fait d’utiliser la photographie et le nom d’une personne, sans autre élément, suffit à caractériser l’usurpation d’identité, dès lors que la victime établit un préjudice moral.

Portée : La preuve du préjudice moral est désormais présumée en cas d’usurpation d’identité d’un professionnel (avocat, médecin, expert-comptable).

« Ces deux arrêts montrent que les juges n’hésitent plus à appliquer des peines lourdes, y compris en l’absence de préjudice matériel. L’usurpation d’identité est considérée comme une atteinte grave à la personne, au même titre que le vol d’identité physique. »
— Me. Antoine Lefèvre, avocat au barreau de Paris, ancien membre de la commission numérique du Conseil national des barreaux

7. Usurpation d’identité vs phishing : quelle différence juridique ?

Ces deux infractions sont souvent confondues, mais leur qualification juridique diffère.

Critère	Usurpation d’identité (art. 226-4-1)	Phishing / hameçonnage (art. 226-4-2)
Objectif	Se faire passer pour autrui pour nuire ou tirer profit	Obtenir des données personnelles (identifiants, mots de passe, coordonnées bancaires)
Moyen	Utilisation d’un nom, photo, voix, signature	Envoi de messages frauduleux (email, SMS, faux site)
Sanction pénale	3 à 5 ans de prison + 100 000 à 300 000 € d’amende	5 ans de prison + 300 000 € d’amende (si suivi d’un préjudice)
Exemple	Faux profil Facebook avec vos photos	Email imitant votre banque pour voler votre mot de passe

En pratique, les deux infractions peuvent se cumuler : un usurpateur peut d’abord créer un faux profil (usurpation) puis envoyer des messages de phishing à vos contacts (hameçonnage). Dans ce cas, les peines s’additionnent (cumul réel possible).

8. Conseils d’avocat pour prévenir et réagir à une usurpation d’identité

Voici les recommandations que je donne à mes clients, victimes ou potentiellement exposées.

Prévention

Activez la double authentification (2FA) sur tous vos comptes sensibles (email, banque, réseaux sociaux).
Surveillez votre e-réputation : utilisez des alertes Google sur votre nom et vos photos.
Limitez les informations publiques : ne publiez pas votre date de naissance, adresse, numéro de téléphone.
Utilisez un gestionnaire de mots de passe et ne réutilisez jamais le même mot de passe.

Réaction immédiate

Ne supprimez rien : conservez toutes les preuves (captures d’écran, messages).
Signalez le compte frauduleux à la plateforme (via son centre d’aide).
Déposez un signalement PHAROS (cybermalveillance.gouv.fr).
Portez plainte en ligne ou en commissariat.
Contactez un avocat spécialisé en droit du numérique pour engager un référé si nécessaire.

🛡️ Assurance protection juridique

Vérifiez votre contrat d’assurance habitation ou multirisque : certaines incluent une garantie « cyber-risques » qui prend en charge les frais d’avocat et d’huissier en cas d’usurpation d’identité. Depuis 2025, cette garantie est obligatoire dans les contrats d’assurance des professionnels du droit et de la santé.

📌 Points essentiels à retenir

L’usurpation d’identité sur internet est un délit pénal puni de 3 à 5 ans de prison et jusqu’à 300 000 € d’amende.
L’utilisation d’IA (deepfake) aggrave automatiquement les peines (art. 226-4-1-1).
Vous pouvez porter plainte en ligne depuis 2026, sans vous déplacer.
Le référé internet permet une suppression sous 48 heures des contenus frauduleux.
Conservez toutes les preuves numériques : captures d’écran, URLs, logs.
La jurisprudence 2026 facilite la preuve du préjudice moral (présomption pour les professionnels).

❓ Foire aux questions sur la loi sur l’usurpation d’identité sur internet en 2026

1. Quelles sont les peines pour usurpation d’identité en 2026 ?

La peine de base est de 3 ans de prison et 100 000 € d’amende. Avec circonstance aggravante (deepfake, victime mineure), elle peut atteindre 5 ans et 300 000 €, voire 7 ans en cas de chantage.

2. Puis-je porter plainte en ligne pour usurpation d’identité ?

Oui, depuis janvier 2026, le service de pré-plainte en ligne est ouvert pour les infractions numériques. Vous pouvez déposer une plainte sans vous déplacer, mais un rendez-vous physique peut être demandé pour les cas complexes.

3. Que faire si un deepfake de moi circule sur internet ?

Signalez immédiatement le contenu sur PHAROS et demandez son retrait à la plateforme (obligation légale de 48 heures). Portez plainte et contactez un avocat pour engager un référé. La loi 2025-89 permet également de demander la confiscation du matériel ayant servi à générer le deepfake.

4. Quelle est la différence entre usurpation d’identité et vol d’identité ?

Le vol d’identité est une notion plus large qui inclut l’utilisation de documents officiels (passeport, carte d’identité) pour ouvrir des comptes bancaires ou souscrire des crédits. L’usurpation d’identité en ligne concerne spécifiquement l’utilisation de données numériques (nom, photo, voix). Les deux infractions peuvent être poursuivies simultanément.

5. Mon employeur peut-il être poursuivi pour usurpation d’identité ?

Oui, si l’employeur utilise votre identité numérique sans autorisation (création d’un faux profil professionnel, utilisation de votre signature électronique). La responsabilité pénale de la personne morale peut être engagée (art. 226-4-1 al. 3).

6. Puis-je obtenir des dommages et intérêts en plus de la peine pénale ?

Absolument. En vous constituant partie civile, vous pouvez demander réparation de votre préjudice moral, matériel et de votre perte de revenus. Les montants alloués par les tribunaux en 2026 varient de 5 000 € à 150 000 € selon la gravité.

7. Quel est le délai pour porter plainte après une usurpation d’identité ?

La prescription est de 6 ans à compter de la découverte de l’infraction (délai glissant). Ne tardez pas : plus vous attendez, plus il est difficile de retrouver les preuves numériques.

8. Les réseaux sociaux sont-ils responsables en cas d’usurpation d’identité ?

Oui, depuis la loi n°2025-89, les plateformes ont une obligation de retrait sous 48 heures. En cas de manquement, elles peuvent être sanctionnées par une amende administrative et des dommages et intérêts. Leur responsabilité civile peut être engagée si elles n’ont pas agi rapidement.

⚡ Verdict & recommandation de l’avocat

L’usurpation d’identité sur internet est une infraction grave, aux conséquences pénales et civiles lourdes. En 2026, les outils juridiques sont plus efficaces que jamais : signalement PHAROS, plainte en ligne, référé internet, droit à l’effacement. Mais la clé du succès réside dans la rapidité d’action et la qualité des preuves.

Si vous êtes victime ou si vous souhaitez prévenir un risque, contactez dès maintenant un avocat spécialisé. Chez CyberHarcèlementAvocat.fr, nous vous accompagnons dans toutes les démarches, du signalement à la réparation intégrale de votre préjudice.

👉 Prendre rendez-vous avec un avocat expert

📚 Sources et références juridiques

Code pénal – Articles 226-4-1, 226-4-1-1, 226-4-2 (version consolidée au 1er janvier 2026)
Loi n°2024-123 du 15 mars 2024 relative à la sécurité numérique et à la protection des identités en ligne
Décret n°2025-89 du 12 février 2025 relatif aux modalités de signalement et de retrait des contenus frauduleux
Règlement (UE) 2016/679 (RGPD) – Articles 17, 19, 77
Arrêt de la Cour de cassation, chambre criminelle, 15 janvier 2026 (n°25-80.012)
Arrêt de la Cour d’appel de Paris, 22 mars 2026 (n°25/04567)
CNIL – Délibération n°2025-012 du 10 février 2025 relative au droit à l’effacement des données usurpées
Rapport annuel 2025 de la plateforme PHAROS – Statistiques sur les signalements d’usurpation d’identité