L’arrêt de la Cour de cassation qui fait l’objet de cet article ne relève pas du droit de la famille mais pourra intéresser certains de nos lecteurs confrontés à des séparations conflictuelles où les coups bas sont fréquents.
Trois sociétés d’un même groupe ayant constaté la connexion sur leur réseau informatique interne d’ordinateurs extérieurs au groupe mais faisant usage de codes d’accès réservés aux administrateurs de leur site internet avaient obtenu du juge des requêtes une ordonnance faisant injonction à divers fournisseurs d’accès à Internet de leur communiquer les identités des titulaires des adresses IP utilisées pour les connexions litigieuses. Un cabinet concurrent de conseil en investissement et en gestion de patrimoine avait alors saisi le président du tribunal de commerce en rétractation de son ordonnance, soutenant que la conservation de ces adresses IP sous forme de fichier aurait dû faire l’objet d’une déclaration auprès de la Commission nationale de l’informatique et des libertés et qu’en conséquence la mesure d’instruction sollicitée était illicite.
La cour d’appel de Rennes avait rejeté cette demande de rétractation. Retenant qu’une adresse IP, constituée d’une série de chiffres, se rapporte à un ordinateur et non à un utilisateur, et qu’elle ne constitue donc pas une donnée nominative, même indirectement, la cour en avait déduit que le fait de conserver les adresses IP des ordinateurs ayant été utilisés pour se connecter sans autorisation sur le réseau informatique d’une entreprise ne constituait pas un traitement de données à caractère personnel.
Lors de son audience publique de ce 3 novembre 2016, la première chambre civile de Cour de cassation a cassé l’arrêt au visa de la loi nº 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, dont l’article 2 énonce :
« Constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments qui lui sont propres. […]
« Constitue un traitement de données à caractère personnel toute opération ou tout ensemble d’opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction. »
Selon l’article 22 de la même loi, « les traitements automatisés de données à caractère personnel font l’objet d’une déclaration auprès de la Commission nationale de l’informatique et des libertés. »
En conséquence, les adresses IP, qui permettent d’identifier indirectement une personne physique, sont des données à caractère personnel, de sorte que leur collecte constitue un traitement de données à caractère personnel et doit faire l’objet d’une déclaration préalable auprès de la Commission nationale de l’informatique et des libertés.
La Cour de cassation a en fait aligné sa jurisprudence sur la position de la Commission nationale de l’informatique et des libertés et du Groupe de travail de l’Article 29 (G29), qui considèrent « les adresses IP comme des données concernant une personne identifiable » (avis nº 4/2007, 20 juin 2007, p. 18). Cette position est aussi celle de la Cour de justice de l’Union européenne, qui considère que les adresses IP sont « des données protégées à caractère personnel, car elles permettent l’identification précise desdits utilisateurs » (arrêt nº C-70/10, Scarlet Extended S.A. c. SABAM, 24 novembre 2011, § 51).
- Références
- Cour de cassation
Chambre civile 1
Audience publique du 3 novembre 2016
Nº de pourvoi : 15-22595
Arrêt archivé au format PDF (46 Ko, 5 p.).
Attention ! La jurisprudence et la loi évoluent en permanence. Assurez-vous auprès d’un professionnel du droit de l’actualité des informations données dans cet article, publié à fin d’information du public.
