Où signaler un deepfake en France : les cinq guichets, dans l'ordre

01Cinq guichets, cinq finalités

La stratégie de retrait d'un hypertrucage, et notamment la règle de ne pas chercher à démontrer que l'image est synthétique, est traitée dans notre article sur la suppression d'un hypertrucage. Ce texte-ci répond à une autre question, plus concrète : à qui écrire, dans quel ordre, et avec quelles pièces.

02Figer les preuves avant d'écrire

Les cinq guichets demandent les mêmes éléments de base. Les réunir une fois, proprement, évite de tout refaire à chaque démarche et préserve la cohérence du dossier si l'affaire va jusqu'au juge.

La CNIL demande expressément de conserver des captures d'écran et les liens avant toute démarche. Pour un dossier destiné au tribunal, les constatations figurent parmi les missions du commissaire de justice, profession issue le 1er juillet 2022 de la fusion des huissiers de justice et des commissaires-priseurs judiciaires ; un constat daté par un officier public donne une base plus solide qu'une capture isolée.

03Le guichet de la plateforme

C'est le guichet le plus rapide et celui que la CNIL cite en premier : utiliser d'abord les outils de signalement du réseau social ou du site. La difficulté n'est pas l'accès au formulaire, c'est le choix de la rubrique.

• Un hypertrucage sexuel signalé comme simple nudité part vers la modération générale. Signalé comme image intime non consentie, il part vers une file spécialisée, et les règles de X visent expressément les images qui superposent le visage d'une personne sur le corps nu d'une autre.
• Un hypertrucage utilisé pour vous faire dire ou faire quelque chose relève, selon les plateformes, du média manipulé, de l'usurpation d'identité, ou du harcèlement.
• X annonce accuser réception d'un signalement correctement soumis dans les 24 heures, une résolution en quelques jours et jusqu'à 30 jours dans certains cas, et met à disposition des formulaires distincts pour l'usurpation, les informations privées, le comportement abusif et le droit d'auteur.
• Conservez systématiquement le numéro de dossier : il conditionne la relance et l'accès aux recours suivants.
• Signalez chaque copie séparément. Un signalement global portant sur un compte entier ne vaut pas signalement de chaque publication.

04PHAROS, et ce qu'il n'est pas

PHAROS est le portail officiel de signalement des contenus illicites de l'internet, traité par des policiers et des gendarmes spécialisés. La CNIL le recommande pour les contenus illicites graves : harcèlement, menaces, images sexuelles de mineurs, escroqueries.

1. Déposer le signalement sur internet-signalement.gouv.fr, démarche ouverte y compris aux mineurs.
2. Décrire le contenu, indiquer son adresse exacte et joindre les éléments relevés.
3. Conserver la trace du signalement, qui n'ouvre pas de procédure à votre nom mais alimente l'enquête.
4. Déposer ensuite une plainte si vous voulez que la procédure existe à votre nom : le signalement ne s'y substitue pas.
5. Appeler le 17 si le danger est immédiat, PHAROS ne traitant pas les urgences.

L'Arcom met également à disposition une page permettant de signaler un contenu sur internet et d'orienter vers le bon guichet selon la nature du contenu.

05Le dépôt de plainte

C'est le seul guichet qui ouvre une procédure à votre nom. La CNIL recommande de déposer plainte lorsque l'hypertrucage sert à commettre un délit ou porte atteinte à votre réputation.

• Déposer plainte sur place, au commissariat ou à la gendarmerie de votre choix, avec les pièces : vous repartez avec un récépissé et, sur demande, une copie.
• Ou par courrier au procureur de la République du tribunal judiciaire du lieu des faits ou du domicile de l'auteur, en joignant les preuves.
• Porter plainte est gratuit, l'assistance d'un avocat est possible et vous n'avez pas à qualifier juridiquement l'infraction.
• La plainte en ligne ne couvre que les atteintes aux biens lorsque l'auteur est inconnu. Pour un hypertrucage dont vous connaissez le diffuseur, la plainte se dépose sur place ou par courrier.
• Si l'auteur est inconnu, la plainte est déposée contre X.

06La CNIL : le visage est une donnée

Un hypertrucage utilise votre visage, votre voix, votre nom. La CNIL indique qu'il faut la saisir lorsque vos données personnelles sont utilisées sans accord, et c'est le seul guichet qui agit sur la licéité du traitement plutôt que sur l'illicéité du contenu.

1. Exercer d'abord vos droits auprès du responsable, ou de son délégué à la protection des données s'il en a un, et conserver la preuve de la demande.
2. Attendre la réponse : le responsable doit répondre dans le délai d'un mois, prolongeable de deux mois pour une demande complexe.
3. Contester auprès du responsable une réponse incomplète, inexacte, ou l'absence de réponse à l'issue du mois.
4. Déposer alors la plainte, rédigée en français, en ligne ou par courrier, en identifiant l'organisme par son nom, ses coordonnées et son numéro d'identification.
5. Joindre un mandat écrit si la plainte est déposée pour le compte d'une autre personne.

Les limites doivent être connues d'avance. La CNIL ne peut pas exercer vos droits à votre place, ne traite pas les plaintes vagues ou incomplètes, n'accorde pas de dommages et intérêts, ne traite pas les matières étrangères à la protection des données, et ne prononce pas de condamnation pénale. Elle précise qu'une plainte auprès d'elle n'est pas une plainte pénale.

07Les textes qui fondent le signalement

Les guichets n'exigent pas que vous citiez un article, mais une demande qui nomme le texte applicable est traitée plus vite et prépare la suite. Les peines ci-dessous sont celles indiquées par la CNIL sur sa page consacrée à l'hypertrucage.

La loi n° 2024-449 du 21 mai 2024 a modifié de nombreux articles de la loi pour la confiance dans l'économie numérique, dont les articles 5, 6 et 6-1 à 6-1-5, et renforcé les pouvoirs de l'Arcom en matière de retrait de certains contenus. Elle adapte le cadre national au règlement européen sur les services numériques.

08La notification à l'hébergeur

C'est le guichet de dernier recours quand la plateforme ne répond pas, et le seul qui fonctionne sur un site sans formulaire. Il vise non pas la page visible mais le service qui la met en ligne.

1. Désigner l'élément précis par son URL exacte, jamais la rubrique ni le site en général.
2. Exposer le motif : image manipulée représentant une personne identifiable, diffusée sans son consentement, au visa du texte applicable.
3. Indiquer vos coordonnées et déclarer de bonne foi que les informations sont exactes.
4. Adresser la notification à l'hébergeur identifié pour le nom de domaine, par un moyen laissant une trace.
5. Archiver l'accusé de réception : le fournisseur doit informer l'auteur du signalement de sa décision sans retard injustifié.

09Les moteurs et l'empreinte

Deux guichets s'ajoutent, qui n'agissent pas sur le site mais sur la découvrabilité du contenu et sur les copies que vous n'avez pas encore trouvées.

• Google applique une politique propre aux images à caractère sexuel non consenties, qu'elles soient réelles ou fabriquées. Pour un contenu fabriqué, trois conditions sont posées : être identifiable, le contenu doit être faux, et il doit avoir été partagé sans votre autorisation.
• Google indique pouvoir supprimer un contenu uniquement des pages de résultats de recherche, et non du site qui l'héberge. La notification à l'hébergeur reste donc indispensable.
• Microsoft indique supprimer des résultats Bing, à l'échelle mondiale, les liens vers les photos ou vidéos concernées après confirmation de la violation de sa politique, pour les images réelles comme synthétiques, et utilise la base d'empreintes de StopNCII pour la recherche d'images.
• Sur StopNCII.org, le hachage est calculé directement sur votre appareil et seule l'empreinte est transmise. Le dispositif suppose d'être la personne représentée, majeure, et de détenir encore le fichier.
• Portée réelle de l'empreinte : les entreprises participantes uniquement, et le site ne décrit la correspondance que pour des copies identiques, ce qui laisse hors champ les versions recadrées ou retouchées.

Les autres moteurs doivent être saisis séparément, chacun étant un responsable de traitement distinct : la question est traitée dans notre article sur le déréférencement ailleurs que sur Google.

10Refus : les recours prévus

Un refus de la plateforme n'est pas une décision définitive. Le règlement européen organise trois niveaux, aucun ne supposant d'aller devant un tribunal.

La base de transparence du DSA recense les déclarations de motifs des décisions de modération sur les 180 derniers jours. Au niveau européen, la Commission peut infliger une amende allant jusqu'à 6% du chiffre d'affaires mondial annuel pour violation des obligations du règlement.

11L'ordre des guichets

L'ordre n'est pas indifférent, parce que certaines démarches produisent des pièces dont les suivantes ont besoin.

1. Figer les preuves. Tout le reste en dépend, et une capture faite après le retrait n'existe plus.
2. Signaler sur chaque plateforme, dans la rubrique exacte, et noter chaque numéro de dossier.
3. Enregistrer une empreinte si le fichier source est en votre possession, pour agir sur les copies inconnues.
4. Demander la désindexation auprès de chaque moteur concerné, démarche distincte du signalement.
5. Signaler à PHAROS, puis déposer plainte si vous voulez une procédure à votre nom.
6. Exercer vos droits auprès du responsable du site, puis saisir la CNIL à l'issue du délai d'un mois.
7. Notifier l'hébergeur pour chaque site resté muet, puis engager les recours des articles 20 et 21.
8. Maintenir une surveillance des republications, en reprenant les titres et mots-clés relevés au premier jour.

SARAZIM LLC prend en charge ce travail de guichet par guichet : constitution du dossier de preuves, signalements plateforme par plateforme, enregistrement des empreintes, demandes de désindexation, notifications aux hébergeurs, recours internes et extrajudiciaires, relances et surveillance des republications. La société traite en moyenne 52 142 suppressions par mois sur plus de 914 plateformes, avec un taux de retrait de 98,2%. Elle n'exerce pas le droit et n'est pas votre représentant légal.