- Le PFPDT considère les adresses IP dynamiques comme des données personnelles, car elles peuvent contribuer à l’établissement de profils de la personnalité et à l’identification.
- Le Tribunal fédéral suit une approche de déterminabilité relative : ce qui est déterminant, ce sont les possibilités d’identification et les intérêts du propriétaire ou du destinataire des données.
- L’effet juridique s’étend également aux collecteurs et diffuseurs de données ; la loi sur la protection des données s’applique si le destinataire peut identifier les personnes concernées après la transmission des données.
Les adresses IP dynamiques sont-elles des données personnelles ? Pour le PFPDT (outils d’évaluation pour les sites web) oui
Du point de vue de la protection des données, de nombreux services de webtracking connus posent problème. L’analyse de l’utilisation d’Internet permet, dans certaines circonstances, d’obtenir des profils de la personnalité au sens de la loi sur la protection des données. Même si seule l’adresse IP d’un utilisateur est traitée, cela est pertinent du point de vue de la protection des données, car l’adresse IP doit en principe être qualifiée de donnée personnelle.
Le site Tribunal fédéral (dans l’affaire Logistep) défend en revanche une approche relative : pour la déterminabilité, il faut se baser sur les possibilités et les intérêts du détenteur (ou du destinataire) respectif des données.
3.4 La question de savoir si une information peut être mise en relation avec une personne sur la base d’indications supplémentaires, et donc si l’information se rapporte à une personne identifiable (art. 3, let. a LPD), s’apprécie du point de vue du détenteur respectif de l’information (ROSENTHAL, op. cit., N. 20 ad art. 3 LPD ; WEBER/FERCSIK SCHNYDER, op. cit.) Dans le cas de la transmission d’informations, il suffit que le destinataire soit en mesure d’identifier la personne concernée. ROSENTHAL cite à cet égard l’exemple d’un article de journal sur l’accident d’un politicien local dont le nom n’est pas mentionné. Dans la mesure où une partie du lectorat peut déduire l’identité de la personne concernée (éventuellement à l’aide de recherches supplémentaires), la publication constitue de leur point de vue une communication de données personnelles, selon l’argumentation convaincante de l’auteur (ROSENTHAL, op. cit., N. 30 ad art. 3 LPD ; cf. également art. 3 let. e LPD). Dans le cas présent, cela signifie qu’il n’est pas nécessaire que les auteurs de la violation du droit d’auteur soient déjà identifiables par l’intimée. Il suffit qu’ils le deviennent après la transmission des données correspondantes aux titulaires des droits d’auteur. Si tel est le cas (voir ci-après), la loi sur la protection des données s’applique également à l’intimée elle-même. En décider autrement reviendrait à n’appliquer la loi sur la protection des données qu’aux destinataires individuels, et non à la personne qui collecte les données en question et les diffuse. Cela irait à l’encontre de l’objectif de la loi.
Cette approche est désormais également défendue par le gouvernement fédéral allemand dans une prise de position sur le projet de loi sur la protection des données. affaire Breyer pendante devant la CJCE: