Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Février 2017 - n°421 - 73

doctrine

Données personnelles
Statut de l'adresse IP

Avec l'arrêt du 19 octobre 2016 de la Cour de justice de
l'UE (voir P.75) et de celui du 3 novembre 2016 (voir P.79)
de la Cour de cassation, l'adresse IP dans le champ
de la vie privée

L

'adresse IP (Internet Protocol)
se définit comme une suite de
chiffres binaires, attribuée de
façon permanente ou provisoire à chaque appareil connecté à un
réseau informatique. Très récemment,
la Cour de justice de l'Union européenne (CJUE) et la Cour de cassation
se sont prononcées sur la question
de savoir si une telle adresse IP peut,
ou non, être considérée comme une
donnée à caractère personnel.

L'enjeu est de taille dans la mesure
où les éditeurs de site internet collectant ces adresses seront passibles des
sanctions prévues en cas du non-respect de la loi Informatique et libertés
n°78-17 du 6 janvier 1978, lesquelles
peuvent s'élever jusqu'à trois millions
d'euros depuis l'adoption de la loi
pour une République numérique le
7 octobre 2016. Le traitement sera en
outre considéré comme illicite et les
données ne pourront être utilisées
dans le cadre d'une action judiciaire.

L'ADRESSE IP : UNE DONNÉE
À CARACTÈRE PERSONNEL
L'adresse IP se rapportant à un terminal d'ordinateur et non à la personne
physique qui l'utilise, la question de
savoir si elle constitue une donnée à
caractère personnel a fait l'objet d'un
débat qui a divisé la jurisprudence
française depuis près de dix ans,
notamment dans le cadre du contentieux relatif à la lutte anti-contrefaçon.
Ce débat est aujourd'hui tranché
par l'arrêt de la première chambre

civile de la Cour de cassation du
3 novembre 2016.
Après avoir constaté que des ordinateurs extérieurs se connectaient à
leur réseau informatique interne en
utilisant des codes d'accès réservés
aux administrateurs, trois sociétés du
groupe Logisneuf avaient obtenu du
président du tribunal de commerce
de Nantes une ordonnance enjoignant
aux fournisseurs d'accès internet (FAI)
de communiquer les identités des titulaires des adresses IP à l'origine des
connexions non autorisées.
Ces adresses IP ont été localisées
au sein d'un concurrent, la société
Peterson.
Cette dernière a alors saisi le président
du tribunal de commerce en rétractation de son ordonnance en invoquant
l'illicéité de la communication sollicitée au motif que ces adresses IP
étant des données personnelles, leur
collecte par les sociétés Logisneuf
aurait dû faire l'objet d'une déclaration auprès de la Cnil.
La Cour de cassation donne raison à
la société Peterson et juge, au visa des
articles 2 et 22 de la loi Informatique
et libertés, que "les adresses IP, qui
permettent
d'identifier
indirectement une personne physique, sont
des données à caractère personnel,
de sorte que leur collecte constitue
un traitement de données à caractère personnel et doit faire l'objet
d'une déclaration préalable auprès
de la Cnil".

EXPERTISES FÉVRIER 2017

Cette décision met fin à la "résistance" d'une partie des juridictions
françaises et s'inscrit dans la lignée
des positions de la Cnil (Délib. n°
01-018 du 3 mai 2001), du groupe de
travail des autorités européennes sur
la protection des données à caractère personnel (avis n°4/2007 du
20 juin 2007) mais également de la
CJUE qui, depuis son arrêt Scarlet du
24 novembre 2011 (C-70/10), considère
que les adresses IP sont "des données
protégées à caractère personnel car
elles permettent l'identification précise
desdits utilisateurs".
Enfin, la clarification de la Cour
de cassation anticipe opportunément, avant son entrée en vigueur le
25 mai 2018, le règlement EU n°2016/679
dont le considérant 30 relève expressément que les personnes physiques
peuvent se voir associer des identifiants en ligne tels que des adresses
IP "qui peuvent laisser des traces qui,
notamment lorsqu'elles sont combinées aux identifiants uniques et à
d'autres informations reçues par les
serveurs, peuvent servir à créer des
profils de personnes physiques et à
identifier ces personnes".

L'ADRESSE IP : LES CONTOURS
DE LA QUALIFICATION DE
DONNÉE À CARACTÈRE
PERSONNEL
L'arrêt Breyer rendu par la CJUE le
19 octobre 2016 (C-582/14) marque
un
nouveau
rebondissement
dans le débat sur la qualification

73
Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Février 2017 - n°421
