- CJUE : les adresses IP dynamiques sont considérées comme des données à caractère personnel lorsque les fournisseurs peuvent utiliser des moyens légaux pour identifier la personne concernée.
- La Cour fédérale de justice allemande a confirmé la jurisprudence de la CJCE et a qualifié les adresses IP dynamiques de manière générale de données personnelles pour les fournisseurs de médias en ligne.
- La Cour fédérale de justice souligne les possibilités d’accès via les autorités de poursuite pénale et de sécurité ainsi que les droits d’information vis-à-vis des fournisseurs d’accès à Internet.
- La jurisprudence suisse Logistep s’en tient à une évaluation au cas par cas ; les adresses IP dynamiques ne sont qu’exceptionnellement liées à une personne.
La CJCE a décidé par Jugement dans l’affaire Breyer du 19 octobre 2016 sur les adresses IP dynamiques :
la lumière de ce qui précède, il y a lieu de répondre à la première question que l’article 2, sous a), de la directive 95/46 doit être interprété en ce sens qu’une adresse IP dynamique enregistrée par un fournisseur de services de médias en ligne lors de l’accès d’une personne à un site Internet que ce fournisseur rend généralement accessible constitue, pour ce fournisseur, une donnée à caractère personnel au sens de ladite disposition, s’il dispose de moyens juridiques lui permettant de faire déterminer la personne concernée sur la base des informations complémentaires dont dispose le fournisseur d’accès à Internet de cette personne.
Nous avons a rapporté à ce sujet. Cet arrêt avait été rendu sur renvoi de la Cour suprême allemande (BGH). Par la suite, la BGH a poursuivi la procédure et a statué en tenant compte de la décision de la CJCE (Az. VI ZR 135/13 du 16 mai 2017). En ce qui concerne les adresses IP dynamiques, la Cour fédérale de justice a rendu la décision suivante (la procédure concernait en outre une question relative à la loi allemande sur les télémédias (TMG)) :
a) L’adresse IP dynamique enregistrée par un fournisseur de services de médias en ligne lors de l’accès d’une personne à une page Internet que ce fournisseur rend accessible à tous, constitue pour le fournisseur une donnée à caractère personnel au sens de l’article 12, paragraphes 1 et 2, de la TMG, en liaison avec l’article 3, paragraphe 1, de la BDSG (continuation de la CJUE NJW 2016, 3579).
Les considérations y afférentes sont les suivantes :
23 La possibilité d’associer une adresse IP dynamique aux informations supplémentaires dont dispose le fournisseur d’accès à Internet constitue un moyen qui peut raisonnablement être utilisé pour identifier la personne concernée. Dans sa décision de renvoi, la juridiction de renvoi indique certes que le droit allemand ne permet pas au fournisseur d’accès à Internet de transmettre directement au fournisseur de services de médias en ligne les informations supplémentaires nécessaires pour identifier la personne concernée, mais il semble que, sous réserve des vérifications que la juridiction de renvoi devra effectuer à cet égard, il existe des possibilités juridiques permettant au fournisseur de services de médias en ligne de s’adresser à l’autorité compétente, notamment en cas de cyberattaques, afin que celle-ci prenne les mesures nécessaires pour obtenir les informations en question du fournisseur d’accès à Internet et engager des poursuites. Le fournisseur de services de médias en ligne semble donc disposer de moyens qui pourraient raisonnablement être mis en œuvre pour permettre, avec l’aide de tiers, à savoir l’autorité compétente et le fournisseur d’accès à Internet, d’identifier la personne concernée à partir des adresses IP stockées.
24 cc) Sur cette base, l’élément constitutif “données à caractère personnel” de l’article 12, paragraphes 1 et 2, de la TMG, lu en combinaison avec l’article 3, paragraphe 1, de la BDSG doit être interprétée conformément à la directive en ce sens qu’une adresse IP dynamiqueLe terme de “données personnelles” désigne les données enregistrées par un fournisseur de services de médias en ligne lors de l’accès d’une personne à une page Internet que ce fournisseur rend accessible à tous, pour le fournisseur constitue une donnée à caractère personnel au sens de ladite disposition.
25 En effet, la défenderesse dispose de moyens juridiques qui peuvent raisonnablement être mis en œuvre pour faire déterminer, avec l’aide de tiers, à savoir l’autorité compétente et le fournisseur d’accès à Internet, la personne concernée à partir des adresses IP stockées (voir Cour précitée, point 47).
26 La défenderesse peut – dans le cas d’un préjudice déjà survenu porter plainte auprès des autorités de poursuite pénale ; en cas de menace de préjudice, elle peut faire appel aux autorités compétentes en matière de prévention des risques. Conformément à l’article 100j, paragraphes 2 et 1, du code de procédure pénale, et à l’article 113 de la loi sur les télécommunications (voir BVerfGE 130, 151), les autorités compétentes pour la poursuite des infractions pénales ou administratives peuvent à cette fin demander des informations aux fournisseurs d’accès à Internet si certaines conditions sont rempliesIl en va de même pour les autorités chargées de la prévention des risques pour la sécurité ou l’ordre public, les autorités de protection de la Constitution de l’État fédéral et des Länder, le Service de contre-espionnage militaire et le Service fédéral de renseignement, afin de prévenir les risques pour la sécurité ou l’ordre public ou pour l’accomplissement des tâches légales des services précités. Les données à inclure dans un renseignement peuvent également être déterminées sur la base d’une adresse de protocole Internet attribuée à un moment donné. Cela permet de rassembler les informations obtenues et de déterminer l’utilisateur (voir Cour de justice, op. cit., point 49 in fine).
La BGH considère donc les adresses IP dynamiques comme des données à caractère personnel de manière générale, indépendamment de circonstances particulières. En particulier, elle n’exige pas qu’il existe des indices d’une situation dans laquelle les possibilités procédurales mentionnées deviennent concrètement pertinentes. La question de savoir si cela correspond aux prescriptions de la CJCE est mise en doute (voir les Note de Me Thomas Stadler).
En Suisse, c’est toujours la Jurisprudence Logistep. Selon elle, les moyens d’identification à la disposition du titulaire et/ou du destinataire sont également déterminants, mais elle met beaucoup plus l’accent sur les circonstances du cas d’espèce :
que la nécessité de l’intervention d’un tiers n’est pas déterminante tant que, dans l’ensemble, l’effort du mandant pour déterminer la personne concernée n’est pas si important que l’on ne pourrait plus s’attendre, selon l’expérience générale de la vie, à ce qu’il le prenne sur lui (cf. consid. 3.1 ci-dessus). Une telle situation doit être évaluée en fonction des circonstances concrètes du cas d’espèce. Il n’est donc pas possible de déterminer de manière abstraite s’il s’agit ou non de données personnelles (en particulier pour les adresses IP dynamiques).
En Suisse, les adresses IP dynamiques ne sont donc toujours pas, de manière générale, des données personnelles pour le fournisseur d’accès à Internet, mais seulement à titre exceptionnel (à moins que d’autres données permettant une identification ne soient également collectées, et sous réserve qu’une adresse IP identifie le fournisseur d’accès, qui est un sujet de données selon le droit encore en vigueur). On peut douter que la situation juridique soit différente en Europe (même après le RGPD).