Que faire juridiquement en cas d’attaque de Negative SEO ?

Lors d'une attaque SEO, il existe en réalité de multiples motivations, intérêts, à une action juridique. La plus évidente est celle de la punition de l'acte en lui-même. A ce titre, il est intéressant de souligner qu'une action pénale est, philosophiquement, une action répressive de l'Etat, de la collectivité contre un individu ayant violé une loi d'ordre pénal, déséquilibrant ainsi l'ordre social. Derrière ce principe profond se trouve une action qui a vocation à mobiliser la force publique aux fins d'enquêter puis de sanctionner (au nom du peuple français).

Si la recherche de la sanction peut être secondaire pour la victime, le fait de vouloir savoir qui est derrière ces manœuvres peut également être une motivation sérieuse. A ce titre, l'intérêt de l'action pénale réside principalement dans l'enquête policière qui est menée. Certains services sont particulièrement compétents, composés principalement d'informaticiens chevronnés et ayant de l'expérience dans le piratage en général (comme la BEFTI sur l'Ile-de-France). Si une enquête est effectivement déclenchée, cette recherche permet de rassembler des preuves précises, tangibles et recevables en justice (ce qui n'est pas si fréquent, la plupart des preuves ne sont pas constituées de manière parfaitement légale).

Si la recherche de l'identité du coupable est secondaire, il peut être utile de lancer certaines procédures judiciaires pour démontrer l'ampleur de la fraude / attaque aux tiers, dont notamment et principalement les moteurs et/ou les assurances. En effet, il est fréquent que les moteurs de recherche interprètent les attaques SEO comme des tentatives d'optimisation illicites ou illégales et pénalisent / déréférencent voire sortent de l'index (blacklistent) les sites concernés. Dans ce cas, les actions purement techniques comme la demande de désaveu de lien auprès de Google dans la Search Console peuvent se révéler inutiles si de plus amples actions, beaucoup plus documentées, n'ont pas été menées. Il est toujours important de se rappeler que les sociétés américaines sont (malheureusement) très judiciarisées et donc que les aspects juridiques représentent une part extraordinairement importante pour elles. Dans la grande majorité des entreprises américaines, y compris Google ou Microsoft, le Directeur Juridique (General Counsel en anglais) est toujours le n°2 de la société. Il est donc important de conserver à l'esprit que, lorsqu'on s'adresse à une entreprise américaine sur des thématiques qui ne sont pas balisées / encadrées par des procédures internes précises, un juriste devra toujours valider le point. En d'autres termes, en cas d'attaque SEO, une demande auprès de Google tendant à la réévaluation du référencement devra, pour avoir plus de chances d'être reçue, être accompagnée d'un argumentaire juridique plus ou moins documenté. C'est à ce titre qu'il est opportun, en cas d'attaque d'ampleur et/ou d'attaque ayant eu de graves conséquences SEO, de ne pas négliger les aspects juridiques.

Les assurances peuvent également exiger des actions judiciaires préalables pour la mise en œuvre de leur couverture, en complément de la déclaration initiale de sinistre.

Enfin, il existe toujours des raisons supplémentaires à une éventuelle action judiciaire en cas d'attaque SEO, par exemple pour démontrer à la maison-mère l'ampleur de l'attaque.

Les actions juridiques envisageables

• Action pénale

En l'absence d'identité d'un coupable, seule l'action pénale est envisageable car elle induit une recherche d'identité. Sur le terrain pénal, plusieurs fondements juridiques peuvent être envisagés.

• Atteintes aux systèmes de traitement automatisés de données

Les articles 323-1 et suivants du Code pénal incriminent les atteintes aux systèmes de traitement automatisés de données. A ce titre,

• le fait d'accéder ou de se maintenir, frauduleusement, dans tout ou partie d'un système de traitement automatisé de données est puni de deux ans d'emprisonnement et de 60 000 € d'amende. Lorsqu'il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de trois ans d'emprisonnement et de 100 000 € d'amende.
• le fait d'entraver ou de fausser le fonctionnement d'un système de traitement automatisé de données est puni de cinq ans d'emprisonnement et de 150 000 € d'amende.
• le fait d'introduire frauduleusement des données dans un système de traitement automatisé, d'extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu'il contient est puni de cinq ans d'emprisonnement et de 150 000 € d'amende.

Dans le cas d'attaques SEO, les actions ont vocation à fausser le fonctionnement normal des moteurs de recherche. L'objectif de ces manœuvres est de fausser le fonctionnement du système de traitement automatisé de données du moteur de recherche, au détriment de la victime.

• Escroquerie

L'article 313-1 du code pénal précise que l'escroquerie est le fait, soit par l'usage d'un faux nom ou d'une fausse qualité, soit par l'abus d'une qualité vraie, soit par l'emploi de manœuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d'un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. L'escroquerie est punie de cinq ans d'emprisonnement et de 375 000 euros d'amende.

• Contrefaçon de marque et de droit d'auteur

Les articles L.335-2 et suivants du Code de la Propriété Intellectuelle prévoient le délit de contrefaçon de droit d'auteur (applicable au contenu reproduit illicitement). A ce titre, est condamné de 3 ans d'emprisonnement et 300.000€ d'amende toute édition d'écrits, de composition musicale, de dessin, de peinture ou de toute autre production, imprimée ou gravée en entier ou en partie, au mépris des lois et règlements relatifs à la propriété des auteurs, est une contrefaçon et toute contrefaçon est un délit. Est également un délit de contrefaçon toute reproduction, représentation ou diffusion, par quelque moyen que ce soit, d'une œuvre de l'esprit en violation des droits de l'auteur, tels qu'ils sont définis et réglementés par la loi.

De même, l'article L.716-10 du Code de la Propriété Intellectuelle prévoit une amende de 3 ans d'emprisonnement et de 300.000€ d'amende, le fait pour toute personne (…) de reproduire, d'imiter, d'utiliser, d'apposer, de supprimer, de modifier une marque, une marque collective ou une marque collective de certification en violation des droits conférés par son enregistrement et des interdictions qui découlent de celui-ci.

Dans le cadre d'attaques SEO, et notamment dans le cas de duplicate content, il est fréquent de reprendre des éléments des sites originaux, constituant ainsi autant de contrefaçons de contenus.

Une plainte pénale comprendra également des fondements juridiques supplémentaires propres à l'attaque concernée et propres à la victime.

Une fois la plainte déposée et dûment enregistrée, il est extrêmement fréquent qu'elle ne soit pas suivie d'effets. En effet, la nouvelle politique pénale de l'Etat, depuis 2 / 3 ans, est de ne pas poursuivre sauf cas rare (crime ou délit propre aux propos racistes, homophobes, antisémites, etc…). Il convient donc, 3 mois après le dépôt de plainte, de la « confirmer » et de se constituer partie civile. La constitution de partie civile a vocation à « contraindre » l'Etat de poursuivre, c'est-à-dire d'ouvrir l'enquête en contrepartie d'une consignation (de quelques milliers d'euros). Une fois l'enquête ouverte, rien n'impose en pratique à l'Etat d'aller vite, de faire des auditions et autres perquisitions…

In fine, compte tenu des capacités matérielles et malgré toute la bonne volonté des forces de police / de gendarmerie, il est illusoire de penser qu'une enquête sérieuse sera menée et que la victime verra l'auteur de l'attaque sanctionnée. Il est plus honnête de préciser qu'une plainte pénale a davantage vocation à documenter une action administrative concomitante (par exemple auprès de son assurance) qu'à aboutier à un résultat devant un tribunal correctionnel…

D'un point de vue plus administratif, une fois la plainte enregistrée et la consignation payée, il est intéressant, voire très recommandé, de communiquer (dans la limite de la loi) les éléments de la plainte aux moteurs pour leur démontrer la bonne foi de la victime et l'ampleur de l'attaque. A ce même titre, les assurances demeurent généralement immobiles tant qu'elles ne reçoivent pas de telle documentation.

• Action civile

A l'inverse de l'action pénale, une action civile est définie entre deux personnes avec un juge qui a vocation à jouer le rôle d'arbitre. Cette action n'est évidemment possible que lorsque l'identité de l'auteur de l'attaque est connue, que les preuves (recevables) de ses fautes sont rassemblées et que le préjudice de la victime est établi (et documenté).

En effet, les actions civiles en cas d'attaques SEO se baseront principalement sur l'article 1240 du code civil (anciennement 1382 Civ) qui précise que « tout fait quelconque de l'homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ».

Pour rassembler ces preuves (sur l'identité et les attaques SEO), il est important de s'adjoindre les services d'un expert SEO qui pourra documenter l'ensemble des thématiques concernées. Le préjudice sera, quant à lui, établi avec l'aide de l'expert-comptable qui pourra démontrer l'ampleur des dégâts. L'avocat aura, en phase préalable, le rôle de maitre d'œuvre qui coordonne la préparation avant de passer à la phase contentieuse.

Quand l'auteur des faits est connu et que les preuves sont rassemblées, il est bien plus intéressant (au sens business) de le poursuivre sur le terrain civil qui permet de voir son préjudice dédommagé que sur le terrain pénal qui permet une punition au nom du peuple français.
En conséquence, si les actions civiles peuvent être financièrement intéressantes, elles restent rares du fait qu'il est inhabituel d'identifier, de manière certaine et documentée, l'auteur d'une attaque. L'action pénale est alors indispensable, non pas pour pouvoir lancer la machine de la sanction pénale par un tribunal correctionnel, mais bien pour documenter une procédure administrative auprès des moteurs de recherche ou auprès des assureurs.