Une adresse de protocole internet (adresses IP) dynamique enregistrée par un fournisseur de services de médias en ligne à l'occasion de la consultation par une personne d'un site internet que ce fournisseur rend accessible au public constitue, à l'égard dudit fournisseur, une donnée à caractère personnel, lorsqu'il dispose de moyens légaux lui permettant de faire identifier la personne concernée grâce aux informations supplémentaires dont dispose le fournisseur d'accès à internet de cette personne. Et, le droit de l'Union (Directive 95/46 du 24 octobre 1995
N° Lexbase : L8240AUQ)s'oppose à une réglementation d'un Etat membre en vertu de laquelle un fournisseur de services de médias en ligne ne peut collecter et utiliser des données à caractère personnel afférentes à un utilisateur de ces services, en l'absence du consentement de celui-ci, que dans la mesure où cette collecte et cette utilisation sont nécessaires pour permettre et facturer l'utilisation concrète desdits services par cet utilisateur, sans que l'objectif visant à garantir la capacité générale de fonctionnement des mêmes services puisse justifier l'utilisation desdites données après une session de consultation de ceux-ci. Tel est le sens d'un arrêt rendu par la CJUE le 19 octobre 2016 (CJUE, 19 octobre 2016, aff. C-582/14
N° Lexbase : A9760R7M). Dans cette affaire, un ressortissant allemand s'est opposé devant les juridictions allemandes à ce que les sites internet des services fédéraux allemands qu'il consulte enregistrent et conservent ses adresses IP. Ces services enregistrent et conservent, outre la date et l'heure de la consultation, les adresses IP des visiteurs afin de se prémunir contre des attaques cybernétiques et de rendre possibles les poursuites pénales. C'est dans ces circonstances que la CJUE énonçant la solution précitée, répond aux deux questions préjudicielles posée par la juridiction allemande. La Cour rappelle, notamment, que, selon le droit de l'Union, le traitement de données à caractère personnel est licite, entre autres, s'il est nécessaire à la réalisation de l'intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l'intérêt ou les droits et libertés fondamentaux de la personne concernée. La réglementation allemande, telle qu'interprétée majoritairement par la doctrine, réduit la portée de ce principe, en excluant que l'objectif de garantir la capacité générale de fonctionnement du média en ligne puisse faire l'objet d'une pondération avec l'intérêt ou les droits et libertés fondamentaux des visiteurs. Dans ce contexte, la Cour souligne que les services fédéraux allemands qui fournissent des services de médias en ligne pourraient avoir un intérêt légitime à garantir, au-delà de chaque utilisation concrète de leurs sites internet accessibles au public, la continuité du fonctionnement de leurs sites.
© Reproduction interdite, sauf autorisation écrite préalable