Les réseaux sociaux en ligne et la vie privée

C L'incertitude sur la qualification de donnée personnelle de l'adresse IP

L'adresse IP (Internet Protocol) est une «Série de quatre nombres (compris entre 0 et 255) servant à identifier un ordinateur connecté à Internet»²⁵. L'enjeu de la qualification de l'adresse IP comme donnée à caractère personnel est primordial. En effet, si l'adresse IP est une donnée personnelle, sa collecte et son enregistrement seront soumis à l'ensemble des règles édictées par la loi Informatique et Libertés. Lors d'un procès, une personne ne pourrait utiliser l'adresse IP comme moyen de preuve si elle n'a pas préalablement procédé aux formalités de déclaration auprès de la CNIL imposées par la loi Informatique et Libertés. En effet, le traitement de l'adresse IP sans déclaration étant illégal, ce moyen de preuve serait rejeté par le tribunal²⁶.

²⁵AJ Pénal n° 3/2009 de mars 2009, « Dossier Cybercriminalité : morceaux choisis » p. 120. 26 O. Itéanu « L'identité numérique» p.16.

La doctrine et la jurisprudence sont encore divisées sur la qualification de l'adresse IP. Les juges du fond restent réfractaires à la reconnaissance de l'adresse IP comme une donnée à caractère personnel, faisant valoir que l'adresse IP ne permettrait pas d'identifier indirectement des personnes physiques, dans la mesure oü elle ne se rapporte qu'à une machine et non à un individu²⁷.

La Commission nationale Informatique et Libertés (CNIL), ainsi que l'ensemble des autorités de protection des données personnelles européennes, considère que l'adresse IP est une donnée à caractère personnel²⁸ car derrière l'ordinateur auquel est attribué l'adresse IP se trouve un propriétaire qui est donc indirectement identifié.

La Cour de cassation, dans un arrêt du 4 avril 2007²⁹, considère indirectement que l'adresse IP est une donnée à caractère personnel puisqu'elle reconnaît qu'il est nécessaire que la collecte de ce type de donnée ait reçu une autorisation de la CNIL. Si l'on suit la position dominante, il est donc raisonnable de considérer que l'adresse IP constitue une donnée à caractère personnel. Le site Facebook est donc censé déclarer l'enregistrement de ces adresses IP qu'il enregistre, celles-ci constituant un traitement de données à caractère personnel. Le législateur semble suivre la position de la Cour de cassation puisque très récemment, le Sénat s'est prononcé en faveur de la qualification de l'adresse IP comme données personnelle³⁰.

Les informations des utilisateurs constituent donc des données à caractère personnel, voire des données sensibles. Pour que la loi Informatique et Libertés s'applique, ces données doivent aussi faire l'objet d'un traitement (II).