14ème législature

Question N° 21517
de M. Édouard Courtial (Les Républicains - Oise )
Question écrite
Ministère interrogé > Redressement productif
Ministère attributaire > Économie, industrie et numérique

Rubrique > télécommunications

Tête d'analyse > Internet

Analyse > données de connexion. protection.

Question publiée au JO le : 19/03/2013 page : 3019
Réponse publiée au JO le : 10/11/2015 page : 8206
Date de changement d'attribution: 21/10/2014

Texte de la question

M. Édouard Courtial interroge M. le ministre du redressement productif sur la notion de données à caractère personnel au sens de l'article 2 de la loi relative à l'informatique, aux fichiers et aux libertés du 6 janvier 1978. Cette loi instaure une protection particulière des données personnelles des internautes qui peuvent être collectées pour différentes raisons et notamment pour une exploitation commerciale. Or l'adresse IP constitue un moyen indiscutable d'identification d'un internaute, même de manière indirecte. Bien que la Cour de justice de l'Union européenne a jugé, dans une décision en date du 24 novembre 2011, que les adresses IP sont des données protégées à caractère personnel, la jurisprudence nationale semble ne pas être complètement établie en la matière. Une proposition de loi votée au Sénat le 23 mars 2010 visait à mieux garantir le droit à la vie privée à l'heure du numérique en incluant dans la notion de données à caractère personnel une définition de l'adresse IP. Il souhaite savoir si le Gouvernement entend clarifier le statut de l'adresse IP et faire bénéficier de manière indiscutable à ces données de connexion de la protection de la loi du 6 janvier 1978.

Texte de la réponse

L'adresse IP se définit comme un numéro d'identification (une succession de chiffres) qui est attribué de façon permanente ou provisoire à chaque appareil connecté à un réseau informatique utilisant l'Internet Protocol (famille de protocoles de communication de réseau informatique conçus pour être utilisés par Internet). Toutes les adresses IP ne permettent pas d'identifier, même de manière indirecte, une personne physique, puisqu'elles peuvent identifier des robots, des passerelles, ou des serveurs. L'alinéa 1er de l'article 2 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés prévoit qu'elle « s'applique aux traitements automatisés de données à caractère personnel contenues ou appelées à figurer dans des fichiers, à l'exception des traitements mis en oeuvre pour l'exercice d'activités exclusivement personnelles ». L'alinéa 2 dudit article énonce que « constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres. Pour déterminer si une personne est identifiable, il convient de considérer l'ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne ». Ainsi, pour qualifier une information de donnée à caractère personnel le critère déterminant est la possibilité d'identification, directe ou indirecte d'une personne physique. Il n'existe à ce jour ni régime juridique, ni définition légale de l'adresse IP. La jurisprudence et la doctrine juridique ont cependant tenté de déterminer les contours de cette notion. La question de savoir si l'adresse IP est une donnée à caractère personnel n'est pas nouvelle. Elle recouvre des situations d'une grande diversité qui sont, chacune, susceptibles d'être qualifiées juridiquement de manière diamétralement opposée en fonction du contexte et des faits portés devant le juge. Pour cette raison, la jurisprudence française fluctue et les juges répondent de manière différente en fonction des faits qui leur sont soumis à interprétation. Dans certains cas, les juges considèrent que l'adresse IP est une donnée personnelle (TGI Saint-Brieuc 6 sept. 2007, Ministère public, SCPP, SACEM c/ J. -P. ; TGI Paris, 3e Ch. 24 juin 2009, Jean-Yves L. c/ Google ; CA Rennes, 23 juin 2008, n° 07/0121) mais dans d'autres, ils lui refusent la qualification de donnée à caractère personnel (Paris, 13e ch. A, 15 mai 2007, H. S. c/ SCPP ; Crim. 13 janv. 2009, n° 08-84.088). La jurisprudence européenne s'en remet à l'interprétation des autorités nationales de régulation qui, quant à elles, qualifient l'adresse IP de donnée à caractère personnel. Malgré cette absence d'harmonisation des jurisprudences, il est à noter que les juges de la Cour de cassation et de la Cour d'appel de Paris ont refusé une telle qualification. Ainsi, l'adresse IP en tant que telle ne semble pas être qualifiée de donnée à caractère personnel. Elle pourrait constituer toutefois un élément dans le faisceau d'indices qui permettrait d'établir l'identité de l'internaute, lorsque d'autres éléments la corroborent et la complètent. La jurisprudence française la plus récente va ainsi dans ce sens (Crim. 13 janv. 2009, n° 08-84.088 ; TGI Paris 30 janv. 2013 ; D. 2013, p. 637 ; T. com. 1 févr. 2013, n° 2012075972 ; CA Paris, Ch. 5, 12 juin 2013 : ces décisions demandent « la communication des données permettant l'identification au titre desquelles : le nom, l'adresse IP, le numéro de la carte et du compte bancaires présumés être détenus par l'auteur des faits litigieux, ... »). A ce jour, il n'existe donc pas de consensus suffisant pour qualifier l'adresse IP de donnée à caractère personnel.
Retour haut de page