Réponse publiée le 10 novembre 2015

L'adresse IP se définit comme un numéro d'identification (une succession de chiffres) qui est attribué de façon permanente ou provisoire à chaque appareil connecté à un réseau informatique utilisant l'Internet Protocol (famille de protocoles de communication de réseau informatique conçus pour être utilisés par Internet). Toutes les adresses IP ne permettent pas d'identifier, même de manière indirecte, une personne physique, puisqu'elles peuvent identifier des robots, des passerelles, ou des serveurs. L'alinéa 1er de l'article 2 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés prévoit qu'elle « s'applique aux traitements automatisés de données à caractère personnel contenues ou appelées à figurer dans des fichiers, à l'exception des traitements mis en oeuvre pour l'exercice d'activités exclusivement personnelles ». L'alinéa 2 dudit article énonce que « constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres. Pour déterminer si une personne est identifiable, il convient de considérer l'ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne ». Ainsi, pour qualifier une information de donnée à caractère personnel le critère déterminant est la possibilité d'identification, directe ou indirecte d'une personne physique. Il n'existe à ce jour ni régime juridique, ni définition légale de l'adresse IP. La jurisprudence et la doctrine juridique ont cependant tenté de déterminer les contours de cette notion. La question de savoir si l'adresse IP est une donnée à caractère personnel n'est pas nouvelle. Elle recouvre des situations d'une grande diversité qui sont, chacune, susceptibles d'être qualifiées juridiquement de manière diamétralement opposée en fonction du contexte et des faits portés devant le juge. Pour cette raison, la jurisprudence française fluctue et les juges répondent de manière différente en fonction des faits qui leur sont soumis à interprétation. Dans certains cas, les juges considèrent que l'adresse IP est une donnée personnelle (TGI Saint-Brieuc 6 sept. 2007, Ministère public, SCPP, SACEM c/ J. -P. ; TGI Paris, 3e Ch. 24 juin 2009, Jean-Yves L. c/ Google ; CA Rennes, 23 juin 2008, n° 07/0121) mais dans d'autres, ils lui refusent la qualification de donnée à caractère personnel (Paris, 13e ch. A, 15 mai 2007, H. S. c/ SCPP ; Crim. 13 janv. 2009, n° 08-84.088). La jurisprudence européenne s'en remet à l'interprétation des autorités nationales de régulation qui, quant à elles, qualifient l'adresse IP de donnée à caractère personnel. Malgré cette absence d'harmonisation des jurisprudences, il est à noter que les juges de la Cour de cassation et de la Cour d'appel de Paris ont refusé une telle qualification. Ainsi, l'adresse IP en tant que telle ne semble pas être qualifiée de donnée à caractère personnel. Elle pourrait constituer toutefois un élément dans le faisceau d'indices qui permettrait d'établir l'identité de l'internaute, lorsque d'autres éléments la corroborent et la complètent. La jurisprudence française la plus récente va ainsi dans ce sens (Crim. 13 janv. 2009, n° 08-84.088 ; TGI Paris 30 janv. 2013 ; D. 2013, p. 637 ; T. com. 1 févr. 2013, n° 2012075972 ; CA Paris, Ch. 5, 12 juin 2013 : ces décisions demandent « la communication des données permettant l'identification au titre desquelles : le nom, l'adresse IP, le numéro de la carte et du compte bancaires présumés être détenus par l'auteur des faits litigieux, ... »). A ce jour, il n'existe donc pas de consensus suffisant pour qualifier l'adresse IP de donnée à caractère personnel.