Aller au contenu principal

Internet : La collecte d’adresses IP constitue un traitement de données

Par Alfredo Allegra | LEXTIMES.FR |
Adresse IP. Adresse IP.

Les adresses IP (Internet Protocol) sont des données à caractère personnel dont la collecte constitue un traitement de données à caractère personnel et doit faire l’objet d’une déclaration préalable auprès de la Commission nationale de l’informatique et des libertés (CNIL), a jugé la Cour de cassation.

En l’espèce, trois sociétés du groupe Logisneuf (Logisneuf elle-même, C.Invest et European Soft) avaient constaté la connexion, sur leur réseau informatique interne, d’ordinateurs extérieurs au groupe, mais faisant usage de codes d’accès réservés aux administrateurs du site logisneuf.com et ont obtenu du juge des requêtes une ordonnance faisant injonction à divers fournisseurs d’accès à Internet de leur communiquer les identités des titulaires des adresses IP utilisées pour les connexions litigieuses.

Soutenant que la conservation, sous forme de fichier, de ces adresses IP aurait dû faire l’objet d’une déclaration auprès de la CNIL et invoquant l’illicéité de la mesure d’instruction sollicitée, la société Cabinet Peterson — qui exerce une activité de conseil en investissement et en gestion de patrimoine concurrente de celle du groupe Logisneuf — a alors vainement saisi le président du tribunal de commerce en rétractation de son ordonnance.

Pour rejeter la demande de rétractation formée par la société Cabinet Peterson, la cour d’appel de Rennes avait retenu que l’adresse IP « constituée d’une série de chiffres, se rapporte à un ordinateur et non à l’utilisateur, et ne constitue pas, dès lors, une donnée même indirectement nominative » pour en déduire que le fait de conserver les adresses IP des ordinateurs « ayant été utilisés pour se connecter, sans autorisation, sur le réseau informatique de l’entreprise, ne constitue pas un traitement de données à caractère personnel ».

Mais c’est au visa des articles 2 et 22 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés selon lesquels « constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments qui lui sont propres ; que constitue un traitement de données à caractère personnel toute opération ou tout ensemble d’opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction » et « les traitements automatisés de données à caractère personnel font l’objet d’une déclaration auprès de la CNIL » que la première chambre civile de la Cour de cassation1  dit pour droit que les adresses IP « qui permettent d’identifier indirectement une personne physique, sont des données à caractère personnel, de sorte que leur collecte constitue un traitement de données à caractère personnel et doit faire l’objet d’une déclaration préalable auprès de la CNIL ».

 

  • 1Civ. 1re, 3 nov. 2016, n° 15-22595, société Cabinet Peterson c/ société Groupe Logisneuf et a.

Ajouter un commentaire