Un underscore manquant, 18 mois de prison : la mécanique d’une erreur d’identification

Décryptage

1 caractère. C’est tout ce qui séparait le pseudonyme visé par une enquête américaine de celui d’un habitant de Halifax, en Nouvelle-Écosse, étranger à l’affaire. En recomposant la chronologie du dossier, nous calculons près de 8 ans entre le début de l’enquête, en 2018, et l’acquittement prononcé en appel en juillet 2026. Entre les deux : une arrestation, un procès, et 18 mois de prison exécutés par la mauvaise personne.

Ce qui nous intéresse ici n’est pas le fait divers, c’est la mécanique : à quel moment une faute de frappe devient-elle une donnée que plus personne ne rouvre ? Le dossier portait sur des faits graves visant un mineur, nous n’en décrirons rien et nous nous en tenons à la seule question de l’identification.

Une ligne de formulaire, et tout bascule

L’enquête démarre en 2018 à Madison, dans le Wisconsin. Les enquêteurs cherchent l’utilisateur d’un compte ouvert sur la messagerie Kik sous le pseudonyme « fus__ro_dah » : deux underscores après « fus », un clin d’oeil à un jeu vidéo très populaire. La demande transmise pour identifier le titulaire, elle, porte « fus_ro_dah ». Un seul underscore.

Ce pseudonyme-là existe aussi. Il appartient à un homme de Halifax, sans lien avec le dossier. À partir de cette seconde, l’enquête ne cherche plus la bonne personne : elle cherche celle que la demande a désignée.

L’underscore, ce petit trait bas que l’on tape avec la touche 8 sur un clavier français, a une particularité fâcheuse : mis bout à bout, deux underscores forment un trait continu que l’oeil lit comme un seul. Là où un être humain voit deux pseudonymes qui se ressemblent, une base de données lit deux comptes parfaitement étrangers l’un à l’autre.

C’est là que se joue la bascule : une chaîne technique ne fait pas d’à-peu-près. Elle ne vous répond jamais « voici le compte qui ressemble le plus à votre demande ». Elle vous répond exactement ce que vous avez demandé.

La réponse revient donc avec un titulaire, une adresse, un abonné bien réel. Et une réponse nominative, versée dans un dossier, ne se présente plus comme une hypothèse : elle se présente comme un résultat.

Pourquoi aucun maillon n’a rattrapé l’erreur

La suite se déroule sans accroc apparent. La demande américaine se prolonge vers le Canada, et la police de Halifax procède à l’arrestation en février 2020, selon la chronologie publiée par CBC News et reprise le 26 juillet 2026 par le quotidien sino-américain Sing Tao. Les appareils numériques sont saisis, puis analysés.

C’est ici que le dossier devient troublant. L’analyse ne retrouve aucun élément constitutif de l’infraction reprochée. Rien. Dans une chaîne saine, cette absence se lit de deux façons : soit la personne a effacé, soit ce n’est pas la bonne personne. Elle a surtout été comprise comme un manque de preuves supplémentaires.

Le procès a lieu en avril 2023 et la condamnation tombe : 18 mois de prison, suivis de 18 mois de probation. Il faudra attendre 2026 et le travail de la défense en appel pour que l’écart d’un caractère entre les deux pseudonymes soit identifié. La juridiction d’appel a écarté la condamnation en retenant, d’après les reprises de l’article de CBC, que partie du bon pseudonyme, l’enquête n’aurait jamais désigné cet homme.

Aucun maillon n’a rattrapé l’erreur pour une raison simple : aucun n’en était chargé. Le policier qui rédige la demande vérifie qu’elle est complète, pas qu’elle est exacte. L’analyste travaille sur la personne qu’on lui a désignée. Chaque étape fait son travail sur la base de la précédente : c’est ainsi qu’une erreur de saisie devient un fait établi.

Ce qu’une erreur d’un caractère fait à un dossier

Un identifiant n’est pas un nom. Un nom se corrige à l’oreille, un identifiant non : il n’a aucun contexte. Deux suites de signes voisines ne désignent pas des personnes voisines : elles désignent des inconnus.

C’est ce qui rend ces erreurs si difficiles à repérer. Une adresse IP dont un chiffre saute, un horodatage lu dans le mauvais fuseau, un numéro d’abonné décalé d’une unité : la requête aboutit quand même. Elle ne renvoie pas un message d’erreur, elle renvoie quelqu’un.

Nous avions déjà décrit cet angle mort à propos des geofence warrants, ces réquisitions qui partent d’une zone et d’un créneau horaire plutôt que d’un suspect. Le mécanisme est cousin : on part d’un critère technique, et le résultat de la machine devient la désignation d’une personne. Même vertige quand des données circulent hors de tout contrôle, comme dans la fuite des 1,2 milliard de fiches que nous avions documentée.

En France, que peut-on demander ?

Nous n’allons pas plaquer la procédure canadienne sur la nôtre, et nous ne citerons aucun texte français que nous n’aurions pas ouvert. Ce que nous pouvons dire tient en une question, valable sous toutes les latitudes : qui relit l’identifiant écrit dans une demande, avant qu’il ne devienne une personne ?

Côté droits, le terrain est balisé. Toute personne dispose d’un droit d’accès : l’organisme sollicité doit fournir une copie des données personnelles qu’il détient sur vous, au plus tard sous 1 mois, délai porté à 3 mois si la demande est complexe.

Pour les fichiers intéressant la sûreté de l’État, la défense ou la sécurité publique, un particulier ne peut pas consulter directement. Il existe alors un droit d’accès indirect : la demande part à la CNIL avec une copie de votre pièce d’identité, un magistrat de la commission contacte le gestionnaire du fichier, vérifie l’existence et l’exactitude des données et demande les rectifications. Ces démarches prennent en général plusieurs mois.

Reste le plus difficile à réparer. Une condamnation écartée en appel ne rend pas les mois passés en détention. Le dossier canadien montre une chaîne qui a fonctionné exactement comme prévu, en se trompant de personne dès la première ligne.

La leçon n’est pas qu’il faudrait se méfier des outils numériques : ils sont utiles, souvent décisifs. Elle est qu’un identifiant recopié à la main mérite le statut d’une pièce à conviction : quelqu’un doit le vérifier deux fois, et signer. Un caractère, c’est peu de chose à relire. C’est manifestement beaucoup à réparer.

Questions courantes

Quelle est la différence entre les deux pseudonymes ?
Un underscore. Le compte recherché était « fus__ro_dah », la demande portait « fus_ro_dah ». Deux comptes distincts, deux titulaires différents.

Pourquoi l’erreur n’a-t-elle pas été détectée plus tôt ?
Chaque étape vérifiait sa propre tâche, pas la prémisse de la précédente. Personne n’était chargé de rouvrir la première ligne.

Qu’a-t-on trouvé sur les appareils saisis ?
Aucun élément constitutif de l’infraction reprochée, selon le résumé de Slashdot citant Ars Technica. Cette absence n’a pas ramené l’enquête à son point de départ.

Quelle peine a été prononcée ?
Au terme du procès d’avril 2023 : 18 mois de prison et 18 mois de probation, soit 36 mois. Les reprises anglophones indiquent que la peine de prison a été exécutée.

La condamnation a-t-elle été annulée ?
Oui. La juridiction d’appel l’a écartée en juillet 2026, en retenant, d’après les reprises de l’article de CBC News, que cet homme était en réalité innocent.

Pourquoi ne donnez-vous pas son nom ?
Parce que la page de CBC News, source primaire, a renvoyé une erreur d’accès à chaque tentative. Des reprises le nomment, mais nous nous en tenons au mécanisme, dans un dossier où la personne a été reconnue innocente.

Que pouvez-vous demander en France ?
Votre droit d’accès auprès de l’organisme concerné, qui doit répondre sous 1 mois, porté à 3 mois si la demande est complexe. Pour les fichiers de sûreté de l’État, elle passe par la CNIL.

Article créé en collaboration avec l’IA.