Nature juridique de l’adresse IP

12:22 11 décembre in Données, Numérique

Nature juridique de l’adresse IP

Pourriez vous définir les notions d’adresse IP et de donnée personnelle ?

L’adresse IP (Internet Protocol) est le numéro qui permet d’identifier un ordinateur sur le réseau Internet. Dans sa version 4, elle se décompose en une série de 4 nombres allant de 0 à 255.

Selon l’article 2 alinéa 2 de la Loi informatique et libertés du 6 janvier 1978, constitue une donnée personnelle toute information concernant directement ou indirectement une personne identifiée ou identifiable par le responsable de son traitement (une société de gestion collective de droits d’auteur, par exemple) ou par un tiers (l’autorité judiciaire ou un fournisseur d’accès à Internet, par exemple).

L’adresse IP est-elle une donnée personnelle ?

Il existe une incertitude juridique en la matière résultant notamment de fortes divergences jurisprudentielles. Rappelons, tout d’abord, que pour la Commission Nationale Informatique et Libertés (CNIL) l’adresse IP constitue bien une donnée à caractère personnel. Cette position, qui est également celle du Conseil d’Etat et de la Cour de Justice des Communautés européennes, repose sur l’idée selon laquelle l’adresse IP serait une donnée indirectement nominative car, si elle ne permet pas, par elle-même, d’identifier le propriétaire du poste informatique, ni l’internaute ayant utilisé le poste, elle acquiert ce caractère nominatif par le simple rapprochement avec la base des abonnés, détenue par le fournisseur d’accès à Internet. En effet, il faut savoir que ce sont les fournisseurs d’accès qui attribuent une adresse IP à leurs clients lorsque ces derniers se connectent à Internet ; il est donc parfaitement possible de remonter, par ce bais, à un abonné. C’est le même raisonnement qui est suivi en ce qui concerne le numéro de plaque d’immatriculation d’un véhicule qui constitue bien une donnée personnelle, au sens de la loi, alors même que seule la Préfecture détient l’identité de la personne. Cependant, dans deux arrêts des 27 avril et 15 mai 2007, la Cour d’appel de Paris a estimé, à propos de l’adresse IP, que « cette série de chiffres ne constituaient en rien une donnée indirectement nominative relative à la personne dans la mesure où elle ne se rapportait qu’à une machine, et non à l’individu qui utilise l’ordinateur ». Ainsi, pour la juridiction parisienne, l’adresse IP ne permet pas d’identifier la personne qui a utilisé l’ordinateur et ce, d’autant plus que seule une autorité (police, justice) est habilitée à obtenir du fournisseur d’accès l’identité de l’abonné. Telles sont les deux conceptions actuellement opposées.

Quel est l’enjeu de ce débat ?

Ce débat est, à mon sens, tout à fait fondamental. Il pose la question de savoir si la loi de 1978, qui encadre strictement l’utilisation des données personnelles, est ou non applicable à l’adresse IP. Cette question renvoie, plus généralement, à celle de la valeur juridique des traces informatiques, qui constitue un véritable enjeu sociétal. Ainsi, si l’adresse IP n’était pas considérée comme une donnée personnelle, cela signifierait qu’elle serait accessible à quiconque, pour n’importe quel usage et qu’elle pourrait être conservée indéfiniment. En pratique, cette question a trouvé application en matière de lutte contre la contrefaçon réalisée au moyen d’échange de fichiers sur Internet. Dans ce domaine, la loi autorise les sociétés de gestion collective à faire constater, par un agent assermenté, la matérialité des actes de contrefaçon. De fait, de tels constats induisent nécessairement la collecte des adresses IP des cyberdélinquants présumés. Or, si l’adresse IP est une donnée personnelle, cette collecte doit obligatoirement être autorisée par la CNIL. A défaut, la procédure est nulle. C’est dans ce contexte que la Cour de cassation vient de rendre un arrêt important, le 13 janvier 2009, cassant une décision rendue par la Cour d’appel de Rennes, qui avait annulé une telle procédure au motif que l’autorisation de la CNIL n’avait pas été préalablement sollicitée. Selon la Haute Juridiction, le fait de relever une adresse IP pour pouvoir localiser le fournisseur d’accès, et, partant, l’auteur de l’infraction, ne constitue pas un traitement de données à caractère personnel.

Cet arrêt de la Cour de cassation vient-il mettre fin à la polémique ?

Très honnêtement, je ne pense pas. Bien que dans cette affaire la Cour de cassation ne se soit pas directement prononcée sur la nature juridique de l’adresse IP, elle entérine la position suivie, jusque là, par la Cour d’appel de Paris. Il est probable que les juges du fond résistent à cette analyse, d’autant que cette position est contraire au droit européen.

Michaël Malka,
Avocat au barreau de Toulouse

Chargé d’enseignement à l’ESC

Tags: