- L’avocat général déclare que les adresses IP dynamiques peuvent être des données à caractère personnel si le fournisseur de services de téléservices a accès à des données d’identification complémentaires.
- La garantie du bon fonctionnement d’un télémédia peut constituer un intérêt légitime selon l’article 7f de la directive 95/46 et justifier le traitement.
- Les dispositions nationales qui excluent l’intérêt légitime pour le traitement de ces données sont contraires à la directive.
- Une interprétation générale selon laquelle toute information serait potentiellement personnelle est rejetée, car elle aurait des conséquences impraticables.
L’avocat général de la CJCE, Campos Sánchez-Bordona, a, dans l’affaire C‑582/14 ses conclusions sur la conservation des adresses IP dynamiques lors de la visite de portails Internet d’organismes publics. Il propose de répondre comme suit aux questions que la BGH a posées à la CJCE dans ce contexte :
1) Conformément à l’article 2, sous a), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, une adresse IP dynamique par laquelle un utilisateur accède au site internet d’un Fournisseur de télémédias a appelé, pour ce dernier, une “donnée à caractère personnel”, dans la mesure où le fournisseur d’accès à Internet dispose d’autres données supplémentairesLes données personnelles sont des données qui, en combinaison avec l’adresse IP dynamique, permettent d’identifier l’utilisateur.
2) L’article 7, sous f), de la directive 95/46 doit être interprété en ce sens que la finalité consistant à assurer le bon fonctionnement du télémédia doit, en principe, être considérée comme un intérêt légitime dont la réalisation justifie le traitement de cette donnée à caractère personnel, dès lors qu’elle a été reconnue comme prévalant sur l’intérêt ou les droits fondamentaux de la personne concernée. Une législation nationale qui ne permet pas de prendre en compte cet intérêt légitime n’est pas compatible avec ledit article.
En revanche, le fait qu’un tiers quelconque puisse éventuellement disposer d’informations supplémentaires permettant l’identification ne suffit pas à la qualification de données personnelles :
64) Il convient à nouveau de se référer au 26e considérant de la directive 95/46. L’expression “moyens … qui pourraient raisonnablement … être utilisés par un tiers”(17) pourrait être interprétée comme signifiant qu’il suffit qu’un tiers quelconque puisse obtenir des données supplémentaires (qui peuvent être associées à une adresse IP dynamique pour identifier une personne) pour qu’une telle adresse soit considérée eo ipso comme une donnée à caractère personnel.
65. cette interprétation la plus large possible conduirait, dans la pratique, à considérer tout type d’information comme une donnée à caractère personnelAussi insuffisante soit-elle en soi pour permettre l’identification d’un utilisateur. Il n’est jamais possible d’exclure avec une certitude absolue qu’il n’existe pas un tiers en possession de connaissances supplémentaires pouvant être associées à l’information en question et permettant ainsi d’établir l’identité d’une personne.