Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Février 2017 - n°421 - 74

magazine
d'une adresse IP et précise les
contours de la qualification de donnée
à caractère personnel. La solution de
l'arrêt Scarlet susmentionné - aux
termes duquel les adresses IP des utilisateurs sont des données à caractère
personnel - n'est en effet pas systématiquement transposable à toutes les
espèces.
La Cour relève ainsi que l'arrêt Scarlet
portait sur le statut des adresses IP
statiques, c'est-à-dire invariables et
permanentes, collectées par un FAI
qui disposait dans le même temps des
informations permettant d'identifier
les utilisateurs de ces adresses IP.
L'espèce qui a donné lieu à l'arrêt du
19 octobre 2016 porte quant à elle sur
une question inédite pour la Cour
puisqu'elle implique des adresses
IP dynamiques, à savoir provisoires
et remplacées à chaque nouvelle
connexion Internet, collectées par
l'éditeur d'un site web, lequel ne
dispose pas des informations supplémentaires nécessaires à l'identification des internautes.
M. Breyer, qui consulte régulièrement
des sites de média en ligne édités par
la République fédérale d'Allemagne,
contestait la conservation de son
adresse IP dynamique associée à la
date et l'heure de ses consultations,
aux fins de permettre à la République
fédérale d'Allemagne de se prémunir contre des cyber-attaques. M.
Breyer considérait que son adresse IP,
combinée à la date de sa consultation,
permettait d'identifier indirectement
son identité par recoupement avec les
données détenues par son FAI. Il estimait que son adresse IP devait dès lors
être considérée comme une donnée à
caractère personnel et que sa conservation sans son consentement, qui
n'était prévue par aucun texte, était
illicite au regard du droit allemand.
Dans son arrêt du 19 octobre 2016, la
CJUE déduit de l'article 2 sous a) et du
considérant 26 de la directive 95/46/
CE qu'il n'est pas requis que toutes
les informations permettant d'identifier la personne concernée doivent
se trouver entre les mains d'une seule
personne. Une adresse IP dynamique
enregistrée par un simple éditeur
de site internet est donc susceptible

74

d'être qualifiée de donnée à caractère
personnel alors même que ce dernier
ne dispose pas des informations
complémentaires indispensables à
l'identification de son utilisateur.
La Cour juge par ailleurs que la qualification de donnée à caractère personnel d'une adresse IP dynamique
dépend du caractère raisonnable des
moyens mis en œuvre pour accéder
aux informations complémentaires
permettant l'identification. Ainsi, une
adresse IP dynamique ne sera pas
considérée comme une donnée à
caractère personnel lorsque l'accès à
l'information permettant l'identification est (i) interdit par la loi ou (ii) irréalisable en pratique notamment en ce
qu'il impliquerait un effort démesuré en termes de temps, de coût et de
main-d'œuvre. La Cour adopte ainsi
une approche plus restrictive de la
notion de donnée à caractère personnel que ce que l'arrêt Scarlet pouvait
laisser penser de prime abord.
Néanmoins, en Allemagne, comme
en France, il existe des voies légales
permettant d'obtenir d'un FAI l'identité du titulaire d'une adresse IP
en vue d'engager des poursuites à
son encontre. La conservation des
adresses IP intervient d'ailleurs la
plupart du temps dans cette perspective. La Cour considère que, dans ces
conditions, l'adresse IP dynamique
enregistrée par un simple éditeur de
site internet constitue, à son égard,
une donnée à caractère personnel.
A la lumière de ces deux arrêts décisifs de la CJUE et de la Cour de cassation, qui font entrer, sous certaines
conditions, l'adresse IP dans le champ
de la vie privée, il ne fait aucun doute
que les éditeurs des sites internet enregistrant et conservant l'adresse IP des
internautes lors de leur navigation sur
le web, prennent des risques considérables s'ils persistent à ne pas mettre
en conformité ce traitement avec le
droit de la protection des données.

Viviane AZARD
Avocat au barreau de Paris
Cabinet Bardehle Pagenberg

EXPERTISES FÉVRIER 2017
Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Février 2017 - n°421
