GuiGui's Show

La Cour de cassation a mis un terme à des années d’incertitudes judiciaires sur le statut de l’adresse IP. Dans un arrêt rendu le 3 novembre, elle considère qu’il s’agit d’une donnée à caractère personnel dont le traitement automatisé exige un passage préalable devant la CNIL.

[...]

La Cour de cassation vient de dynamiter cette analyse, posant dans son arrêt du 3 novembre un principe clair, net, sans appel : « Les adresses IP, qui permettent d’identifier indirectement une personne physique, sont des données à caractère personnel, de sorte que leur collecte constitue un traitement de données à caractère personnel et doit faire l’objet d’une déclaration préalable auprès de la CNIL. »

Une question qui a divisé la jurisprudence depuis des années

Dans son avis du 20 juin 2007, le G29, le groupe des « CNIL » européennes, expliquait que l'adresse IP attribuée à un internaute lors de ses communications était bien une donnée à caractère personnel. Très récemment, la CJUE s’est raliée à cette thèse s’agissant d’une adresse IP dynamique [ NDLR : ou fixe, l'arrêt de la CJUE explique qu'il n'y a pas lieu de distinguer les cas ], dans le cadre d'un litige né l’Allemagne.

J'ai beaucoup de mal à voir la portée de cette décision : l'HADOPI oppose un autre argument à la non communication du PV et la déclaration CNIL pour les logs httpd des sites web pro a toujours été fortement recommandée (les sites web perso et les traitements de données personnelles réalisés sur ses membres par une association sont couverts par des dispenses de déclaration, voir https://www.cnil.fr/fr/liste-des-normes-et-des-dispenses ), donc bon… Cette décision fait que les sites web pro ne peuvent plus ignorer la déclaration CNIL. Ouais, OK, rien de neuf quoi.

Je mets ici les écrits de deux avocats qui font une très intéressante lecture croisée de l'arrêt de la Cour de cassation et de celui de la CJUE :

• http://www.droit-technologie.org/actuality-1836/la-cour-de-cassation-casse-un-arret-qui-refusait-de-voir-dans-l-adress.html
• http://www.lesbros-avocats.com/ladresse-ip-est-bien-une-donnee-personnelle/

Le premier considère que l'arrêt de la Cour de cassation est incorrect car il ne tient pas compte du contexte : la CJUE a reconnu le caractère de donnée personnelle à une adresse IP dans un contexte où l'une des parties était un FAI et a donc moyen de faire facilement, "raisonnablement", sans effort, un recoupement entre une IP et une identité. Le caractère donnée personnelle s'appliquerait uniquement dans ce cadre très restreint. Le deuxième considère que, justement, en France, il existe des procédures judiciaires comme celle utilisée dans l'affaire jugée par la Cour de cassation qui permettent de lever facilement/raisonnablement le voile sur l'identité derrière une IP, ce qui justifie le caractère de donnée personnelle. Bref, le cas est tranché en France (et encore, rien ne contraint un-e juge à suivre la jurisprudence ;) ), restera à affiner en confrontant la lecture française à la doctrine de la CJUE. Ce débat est au cœur de l'arrêt CJUE SRB de 2025.