L’adresse IP est une donnée à caractère personnel
La Cour de cassation vient de mettre fin à un débat jurisprudentiel relatif à la nature juridique de l’adresse IP.
Rappelons qu’une adresse IP (Internet Protocol) est un numéro à plusieurs chiffres attribué par le fournisseur d’accès à internet à chaque appareil connecté à un réseau informatique.
L’adresse IP peut être soit statique, soit dynamique, c’est-à-dire changer à l’occasion de chaque nouvelle connexion à internet.
Par défaut, l’adresse IP est dynamique.
La directive 95/46/CE du 24 octobre 1995 relative à la protection des données personnelles définit ces données comme « toute information concernant une personne physique identifiée ou identifiable ; est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à une numéro d’identification ou à un ou plusieurs éléments spécifiques, propre à son identité physique, physiologique, psychique, économique, culturelle ou sociale ».
La loi informatique et liberté du 6 janvier 1978 définit quant à elle la donnée personnelle comme « toute information relative à une personne physique identifiée ou qui est peut être identifiée, directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments qui lui sont propres ».
Pour la première fois, dans un arrêt en date du 3 novembre 2016 (Cass. Civ. 1ère 3 novembre 2016, n° 15 – 22595), la Cour de cassation a jugé que les adresses IP constituaient des données personnelles car elles permettent d’identifier indirectement une personne physique.
La conséquence est que leur collecte constitue un traitement de données devant faire l’objet d’une déclaration préalable à la Commission nationale de l’informatique et des libertés (CNIL), en application de l’article 22 de la loi de 78.
Il est à noter que quelques jours avant cette décision, la Cour de Justice de l’Union Européenne, dans un arrêt en date du 19 octobre 2016 (CJEU 19 octobre 2016 2ème Chambre affaire 582/14) avait considéré qu’une adresse IP dynamique enregistrée par l’exploitant d’un site internet à l’occasion de la consultation de ce site constituait, à l’égard de cet exploitant, une donnée à caractère personnel, lorsque ce dernier dispose de moyens légaux qui lui permettent de faire identifier la personne qui a consulté le site grâce aux informations supplémentaires dont dispose le FAI de cette dernière.
Ces deux décisions viennent donc clarifier la nature juridique de l’adresse IP et mettent ainsi fin à l’insécurité juridique qui régnait en la matière.