L’adresse IP, à savoir le numéro d’identification attribué de façon permanente ou provisoire par un fournisseur d’accès à internet à chaque appareil connecté à internet, est-elle une donnée personnelle ?
Rappelons que l’article 2 de la Loi Informatique et Libertés, définit les données personnelles comme « toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres. ».
La Commission Nationale Informatique et Libertés (CNIL) et le groupe de l’article 29 (G29 au niveau européen) ont admis que l’adresse IP constitue une donnée relative à une personne identifiée ou identifiable, et par conséquent une donnée personnelle protégée par la règlementation relative à la protection des données personnelles.
La Cour de Cassation a franchi le pas après de nombreuses hésitations jurisprudentielles dans un arrêt du 03 novembre 2016, considérant que les adresses IP qui permettent d’identifier indirectement une personne physique, sont des données à caractère personnel, de sorte que leur collecte constitue un traitement de données à caractère personnel et doit faire l’objet d’une déclaration préalable auprès de la CNIL.
C’est bien évidemment la conséquence importante de cette décision.
En matière de collecte et de traitement de données personnelles, la Loi Informatique et Libertés du 06 janvier 1978, telle que modifiée, prévoit des démarches préalables auprès de la CNIL.
Ces démarches conditionnent la licéité de la démarche de collecte et de traitement, comme le rappelle ainsi la Cour de Cassation dans cet arrêt du mois de novembre 2016, la Cour s’inscrivant par ailleurs dans le droit fil d’un arrêt de la Cour de Justice de l’Union Européenne du 19 octobre 2016.
Ainsi, quiconque estime être victime d’un abus de la liberté d’expression ou de toute autre infraction sur internet et souhaite entreprendre la recherche de l’auteur de cette infraction par lui-même, sans recourir aux procédures pénales, qui permettent également au Magistrat instructeur de solliciter toute réquisition aux fins d’obtenir les éléments d’identification, se doit, dès lors qu’il entend agir que sur un seul plan civil, au préalable, procéder à une déclaration auprès de la CNIL.
Ce n’est qu’une fois la déclaration auprès de la CNIL effectuée que le justiciable lambda, s’adressant cette fois-ci à la justice civile, peut solliciter du Président d’une juridiction, par voie d’ordonnance, qu’il enjoigne au fournisseur d’accès ou à l’hébergeur de donner les éléments permettant d’identifier l’adresse IP à partir de laquelle le message incriminé a été diffusé.
En l’espèce du 03 novembre 2016, trois sociétés d’un même groupe ont fait constater la connexion sur leur réseau informatique internet d’ordinateurs extérieurs au groupe mais faisant usage de codes d’accès réservés aux administrateurs du site internet.
C’est ainsi qu’ils ont obtenu du Juge, par voie de requête, une ordonnance faisant injonction à divers fournisseurs d’accès à internet de leur communiquer les adresses IP utilisées pour les connexions litigieuses.
Cette démarche n’ayant pas fait de déclaration préalable auprès de la Commission Nationale Informatique et Libertés, la Cour de Cassation a censuré l’arrêt de la Cour d’Appel qui n’avait pas fait droit à une demande de rétractation de l’ordonnance de Juge au motif que la mesure d’instruction sollicitée était illicite.
Une démarche judiciaire de plus, compliquant les démarches procédurales de celles et ceux qui sont victimes d’infraction sur le net de la part de personnes anonymes mais qui par ailleurs préservent également le droit à la protection des données personnelles, même les fraudeurs.
Cette décision témoigne une nouvelle fois ô combien le droit à des données des personnes prend une ampleur de plus en plus importante dans notre vie, non seulement numérique mais également judiciaire.
