[Questions à...] De la qualification juridique de l'adresse IP - Questions à Maître Nicolas Quoy, avocat associé, et Maître Aude Spinasse, collaboratrice, Baker & Mc Kenzie

A l'heure du web participatif (dit web 2.0), sur lequel règnent, notamment, les sites facebook, youtube, daily motion ou ebay, la toile est le terrain privilégié du combat que se livrent la protection des droits d'auteur et celle de la vie privée. La question de savoir laquelle des deux doit sortir vainqueur en cas de conflit fait rage et se révèle très complexe à trancher, ainsi qu'en atteste encore actuellement la remarquable épopée "Hadopi". Dans cette lutte acharnée contre la contrefaçon, l'adresse IP (internet protocole) peut être une arme redoutable au service du droit d'auteur, mais, à la condition que l'on sache comment s'en servir. Or, la question se pose, déjà, de sa qualification juridique et, par là, du régime applicable, puisque aucun texte ne règle ce point. L'adresse IP est la plaque d'immatriculation de l'ordinateur. Il s'agit d'une série de numéros identifiant un appareil sur le web, attribuée et conservée par les fournisseurs d'accès. Elle permet d'identifier des actes répréhensibles et de désigner ceux qui en répondent. Si l'on considère qu'il s'agit d'une information comme une autre, n'importe qui peut l'utiliser et mettre en place un traitement de celle-ci. Il pourrait, alors, s'agir d'une bonne chose pour les ayants-droit, mais certainement pas pour les individus disposant d'un accès internet, susceptibles, par exemple, d'être fichés par une multitude de commerçants soucieux de déceler leurs comportements de consommateur. Si, au contraire, l'adresse IP est considérée comme une donnée à caractère personnel, son utilisation est strictement restreinte et encadrée, au nom de la préservation de la vie privée. Pour faire un point sur le droit positif en la matière et les perspectives d'évolution, Lexbase Hebdo - édition privée générale s'est entretenu avec Maître Nicolas Quoy, Local Partner au sein de l'équipe ITC du cabinet Baker & Mc Kenzie, et Maître Aude Spinasse collaboratrice au sein de cette équipe.

Lexbase : Quels sont les enjeux de la qualification de l'adresse IP ?

Aude Spinasse et Nicolas Quoy : La question qui se pose, concernant la qualification de l'adresse IP, est celle de savoir s'il s'agit d'une donnée à caractère personnel au sens de l'article 3 de la loi n° 78-17 du 6 janvier 1978, relative à l'informatique, aux fichiers et aux libertés (N° Lexbase : L8794AGS) (ci-après la "loi"). Aux termes de ces dispositions, la qualification s'applique à "toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres". Or, l'adresse IP permet d'identifier un ordinateur, non une personne.

Si l'on devait considérer que l'adresse IP est une donnée à caractère personnel, son traitement (défini largement par la loi, comme étant "toute opération ou tout ensemble d'opérations, automatisées ou non, effectuées sur celle-ci, quel que soit le procédé utilisé") serait soumis à la réglementation stricte fixée par cette loi.

En effet, cette dernière pose les conditions de licéité des traitements et les modalités de leur mise en oeuvre. Elle institue, notamment, un système de déclaration préalable à leur mise en place auprès d'une autorité administrative indépendante -la Commission nationale de l'informatique et des libertés (CNIL)- et, le cas échéant, d'autorisation donnée après un examen de l'autorité, notamment sur la proportionnalité du traitement eu égard au but poursuivi. Par ailleurs, la CNIL dispose d'un pouvoir de sanction des responsables de traitement qui auraient mis en place des traitements de données à caractère personnel non conformes à la réglementation applicable. Les sanctions peuvent être doubles, puisque l'amende peut être assortie de la publication de la décision de sanction de la CNIL, redoutable en termes d'image.

De plus, la loi prévoit une obligation d'information des intéressés à la charge des responsables de traitements.

Enfin, les intéressés disposent, pour leur part, d'un droit d'accès, de rectification et d'opposition au traitement des données les concernant.

Lexbase : En l'état du droit positif, l'adresse IP est-elle une donnée à caractère personnel ?

Aude Spinasse et Nicolas Quoy : La jurisprudence a beaucoup évolué sur ce point ces dernières années. A ce jour, la question n'est pas encore définitivement tranchée.

Les juges ont eu à envisager l'adresse IP sous deux angles différents, dans le cadre de deux types de contentieux bien distincts : l'un est relatif aux sociétés de gestion collective et au traitement des identités numériques, en vue d'identifier des contrefacteurs, et l'autre est afférent au respect par les fournisseurs d'accès et les hébergeurs de leurs obligations de collecter et de conserver les données permettant l'identification des personnes mettant des contenus en ligne posées par la loi n° 2004-575 du 21 juin 2004 pour la confiance en l'économie numérique (N° Lexbase : L2600DZC).

La question se pose, dans ce dernier cas, de savoir si la conservation par les fournisseurs d'accès et les hébergeurs du nom et de l'adresse IP du fournisseur de contenu est suffisante pour remplir leurs obligations, à savoir permettre l'identification des auteurs de contenu. La réponse donnée par les tribunaux est, ici, positive, ce qui laisse supposer que l'adresse IP est une donnée à caractère personnel (cf., not., TGI Paris, 3ème ch., 24 juin 2009, n° 08/03717, M. Jean-Yves Lambert dit Lafesse c/ Société Google Inc. N° Lexbase : A8079EI3 et CA Rennes, 3ème ch., 23 juin 2008, n° 07/01021, Le Coroller Thierry N° Lexbase : A5457D9Y).

Concernant le traitement des adresses IP par les sociétés de gestion collective, la jurisprudence n'est pas encore définitivement fixée. Cependant, une tendance autour de la qualification de donnée à caractère indirectement personnel se dessine (cf., not., TGI Paris, 5 mars 2009, n° 09/51770, Roland Magdane c/ Société de droit américain Youtube N° Lexbase : A3711EHW). Nous pouvons, en effet, penser que les quelques décisions qui n'admettent pas une telle qualification sont pour la plupart, des décisions d'opportunité et des simples cas d'espèce dans lesquels les juges souhaitent, avant tout, arriver à la sanction du contrefacteur. C'est le cas, notamment, d'un arrêt rendu par la cour d'appel de Paris du 15 mai 2007 (CA Paris, 13ème ch. sect. A, n° 06/01954, 15 mai 2007, Monsieur H. S. c/ Ministère public, société civile des producteurs phonographiques), dans lequel les juges ont énoncé que cette série de chiffres "ne constitue en rien une donnée indirectement nominative relative à la personne, dans la mesure où elle ne se rapporte qu'à une machine et non à l'individu qui utilise l'ordinateur pour se livrer à la contrefaçon".

Plus récemment, la Chambre criminelle de la Cour de cassation aurait pu clore le débat à l'occasion d'un arrêt rendu le 13 janvier 2009 (Cass. crim., 13 janvier 2009, n° 08-84.088 N° Lexbase : A7085ECE), espèce dans laquelle était mise en cause la régularité d'un procès-verbal dressé par un agent assermenté, afin d'établir des actes de contrefaçon, sans avoir obtenu l'autorisation préalable de la CNIL. Les magistrats ont, pourtant, choisi de ne pas se prononcer directement sur la question. Ainsi, sans dire si l'adresse IP recueillie par l'agent était ou non une donnée à caractère personnel, les juges ont retenu la validité du procès-verbal : "les constatations visuelles effectuées sur internet et les renseignements recueillis [...] par un agent assermenté qui, sans recourir à un traitement préalable de surveillance automatisée, utilise un appareillage informatique et un logiciel de pair à pair, pour accéder manuellement, aux fins de téléchargement, à la liste des oeuvres protégées irrégulièrement proposées sur la toile par un internaute, dont il se contente de relever l'adresse IP pour pouvoir localiser son fournisseur d'accès en vue de la découverte ultérieure de l'auteur des contrefaçons, rentrent dans les pouvoirs conférés à cet agent par la disposition précitée et ne constituent pas un traitement de données à caractère personnel". Dès lors, la CNIL n'avait pas à donner d'autorisation préalable au relevé de l'adresse IP par l'agent assermenté. Nous pouvons nous étonner d'un tel raisonnement de la part des juges de la Cour de cassation qui semblent instaurer une distinction entre un traitement automatisé -qualifié de traitement de donnée à caractère personnel- et un traitement manuel qui exclut cette même qualification, alors que la loi prend le soin de préciser expressément qu'elle s'applique tant aux traitements automatisés qu'aux autres. La qualité de la personne à l'origine du traitement -un agent assermenté- n'est certainement pas indifférente au sens de la décision. La décision de la cour de renvoi sera peut-être plus explicite que celle de la Haute juridiction sur le sujet.

Enfin, nous pouvons, également, imaginer que le vote prochain du projet de loi "Hadopi 2", adopté par le Sénat en première lecture le 8 juillet 2009 après engagement de la procédure accélérée, pourrait mettre un terme au débat. L'adresse IP est au centre du dispositif, puisque c'est sur la base de celle-ci que les avertissements seront adressés et les sanctions décidées, le cas échéant. Il est à noter, également, que deux sénateurs, Yves Détraigne et Anne-Marie Escoffier ont signé un rapport, présenté le 3 juin 2009, intitulé "La vie privée à l'heure des mémoires numériques", qui plaide pour une clarification de la qualification et de la valeur numérique de l'adresse IP et souligne le caractère personnel de telles données.

Lexbase : Qu'en est-il de la position de la CNIL ?

Aude Spinasse et Nicolas Quoy : La CNIL n'a cessé de considérer que l'adresse IP est une donnée à caractère personnel dont le traitement est soumis aux dispositions de la loi. Elle se montre, d'ailleurs, particulièrement stricte dans l'octroi de ses autorisations, relevant souvent que le traitement envisagé n'est pas proportionné au but poursuivi.

Ainsi, selon la CNIL, l'adresse IP "permet d'identifier indirectement la personne physique titulaire d'un abonnement à internet". Cette position est celle adoptée par le groupe de travail dit de l'"Article 29", regroupant toutes les autorités de protection européennes, et institué par la Directive 95/46 du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (N° Lexbase : L8240AUQ).

Lexbase : Le parallèle est souvent fait entre l'utilisation des adresses IP et les plaques d'immatriculation des véhicules. Qu'en pensez-vous ? Pourquoi le premier fait-il débat quand le second ne donne lieu à aucune discussion ?

Aude Spinasse et Nicolas Quoy : Il est vrai que les plaques d'immatriculation des véhicules et les adresses IP ont exactement la même fonction dans les domaines qui les concernent respectivement et posent la même question d'identité et d'imputabilité des infractions. L'adresse IP est, ainsi, considérée comme la plaque d'immatriculation de l'ordinateur. La plaque d'immatriculation est communément qualifiée de donnée à caractère personnel. La logique voudrait que la même qualification juridique s'applique aux deux notions. Pour autant, les enjeux ne sont pas du tout les mêmes, ce qui explique certainement le fait que la qualification de l'adresse IP fasse débat, alors que celle de la plaque d'immatriculation ne pose pas de problème particulier. Il s'agit, dans le premier cas, de sanctionner des actes de contrefaçon (devenus courants avec l'évolution des technologies) et, dans le second cas, de sanctionner des infractions routières pouvant avoir des conséquences dramatiques sur la sécurité des personnes.

© Reproduction interdite, sauf autorisation écrite préalable