Récemment, la cour d’appel de Paris a statué sur des affaires de contrefaçon liées à l’utilisation de logiciels de partage de fichiers musicaux. Elle a conclu que les adresses IP collectées dans ce contexte ne permettent pas d’identifier des personnes physiques, et ne constituent donc pas des données à caractère personnel. Cette décision a suscité des inquiétudes au sein de la CNIL, qui souligne que cette interprétation remet en question la définition large des données personnelles, telle que stipulée dans la loi de 1978. Selon la CNIL, une adresse IP, tout comme un numéro de téléphone ou une plaque d’immatriculation, devrait être considérée comme une donnée personnelle identifiable. Parallèlement, une affaire est en cours devant la Cour de Justice de l’Union Européenne, suite à une question préjudicielle d’un juge espagnol. Ce dernier cherche à savoir si le droit communautaire permet aux titulaires de droits d’auteur d’accéder à des données personnelles relatives à l’utilisation d’Internet pour identifier les violations de leurs droits. L’avocat général de la CJUE a clairement indiqué que la transmission de telles données ne devrait être réservée qu’aux autorités publiques compétentes, et non directement aux titulaires de droits d’auteur. Cette situation souligne la tension entre la protection des données personnelles et les droits de propriété intellectuelle, un débat qui s’annonce crucial pour l’avenir des réglementations en matière de données en Europe. La CNIL envisage même de poser une question préjudicielle à ce sujet à la CJUE.
Dans deux arrêts récents relatifs à des actes de contrefaçon commis à l’aide de logiciels permettant la mise à disposition de fichiers musicaux sur internet, la cour d’appel de Paris a considéré que les adresses IP collectées à l’occasion de la recherche et de la constatation des actes de contrefaçon sur internet ne permettent pas d’identifier, même indirectement, des personnes physiques et que, dès lors, elles ne constituent pas des données à caractère personnel.
Pour la CNIL, « cette analyse remet profondément en cause la notion de donnée à caractère personnel qui est très large. En effet, l’article 2 de la loi du 6 janvier 1978 modifiée en 2004 qui la définit, vise toute information relative à une personne physique qui peut être identifiée, directement ou indirectement, par référence à un numéro d’identification ou à des éléments qui lui sont propres. Ce qui est le cas d’un numéro de plaque d’immatriculation de véhicule, d’un numéro de téléphone ou d’une adresse IP ».
La CNIL rappelle que le groupe 29 (composé des autorités de protection des données des Etats membres de l’Union européenne) a récemment rappelé, dans un avis du 20 juin 2007 relatif au concept de données à caractère personnel, que l’adresse IP attribuée à un internaute lors des ses communications constituait une donnée à caractère personnel.
On ne peut s’empêcher de faire le lien avec l’affaire actuellement pendante devant la Cour de Justice européenne suite à une question préjudicielle posée par un juge espagnol sur le même sujet.
Dans son avis rendu le 18 juillet, l’avocat général devant le CEJ n’y a pas été par quatre chemins :
« La présente affaire illustre le fait que le stockage de données à certaines fins suscite l’envie de les utiliser à plus large échelle. En Espagne, les fournisseurs d’accès à Internet sont tenus de stocker certaines données relatives aux utilisateurs individuels afin qu’elles puissent, le cas échéant, être utilisées dans le cadre d’une enquête pénale ou en vue de la sauvegarde de la sécurité publique et de la défense nationale. Or, une association de titulaires de droits d’auteur souhaite utiliser ces données afin d’identifier les utilisateurs qui enfreignent ces droits par l’échange de fichiers.
C’est la raison pour laquelle la juridiction de renvoi souhaite s’entendre préciser si le droit communautaire autorise, voire exige, la divulgation de données à caractère personnel relatives au trafic concernant l’utilisation d’Internet aux titulaires de droits de propriété intellectuelle. Elle part du principe que diverses directives sur la protection de la propriété intellectuelle et sur la société de l’information confèrent aux titulaires de droits correspondants le droit d’exiger des fournisseurs de services électroniques qu’ils leur communiquent ces données lorsqu’elles sont de nature à démontrer une violation de droits protégés.
Je démontrerai toutefois dans les pages qui suivent que les dispositions du droit communautaire relatives à la protection des données dans le secteur des communications électroniques n’autorisent la transmission de données à caractère personnel relatives au trafic qu’aux autorités publiques compétentes, mais ne permettent pas une divulgation directe aux titulaires de droits d’auteur désireux de poursuivre civilement la violation de leurs droits ».
Certes, la question préjudicielle ne demande pas explicitement si l’adresse IP est une donnée personnelle, mais elle le sous-entend clairement et l’on sent, en filigranes de l’avis de l’avocat général, qu’elle est sur la même longueur d’onde.
La CNIL est tellement certaine de son fait qu’elle suggère même une question préjudicielle posée directement à la juridiction européenne sur ce sujet.
Annexes
Avis rendu par le Groupe 29
file_download Télécharger l'annexe
Vous avez besoin d'un avis personnalisé
ou d'une aide juridique ?
