L’adresse IP est une donnée personnelle, encadrée par la CNIL

Voici une jurisprudence qui devrait mettre fin à un débat : l’adresse IP est-elle une donnée personnelle ? La Cour de Cassation vient de répondre par l’affirmative dans un arrêt du 3 novembre. La plus haute juridiction judiciaire avait été saisie en pourvoi dans une affaire de piratage d’un cabinet immobilier, Logisneuf.

Petit rappel des faits, lors d’un contrôle de sécurité sur ses serveurs, le service informatique du cabinet immobilier constate des centaines de connexions illicites provenant toutes d’adresses IP n’appartenant pas à son réseau. Par recoupement, les adresses provenaient d’un cabinet immobilier nantais, Peterson. Logisneuf a donc saisi le tribunal de commerce pour qu’une ordonnance réclame aux opérateurs de révéler le nom des utilisateurs des adresses IP suspectes. Cette opération a permis d’identifier plusieurs personnes chez Peterson et une plainte a été déposée auprès du procureur de la République contre ces personnes. Or les deux sociétés ont continué à se disputer sur la question de la conservation sous forme de fichier des adresses IP et l’obligation de le déclarer à la CNIL. Un arrêt de la Cour d’Appel de Rennes avait statué que « l’adresse IP ne constituait pas une donnée même indirectement nominative » et que le fait de « conserver les adresses IP des ordinateurs… ne constitue pas un traitement des données à caractère personnel ».

Une adresse IP est une donnée à caractère personnel

La Cour de Cassation était donc invité à se positionner sur ce sujet. Dans sa décision, les juges de la Première chambre civile se sont appuyés en premier lieu sur la loi du 6 janvier 1978 modifiée en 2004 et notamment son article 2 qui définit une donnée personnelle comme « toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments qui lui sont propres ». Pour la juridiction, l’adresse IP entre dans cette catégorie. Elle suit ainsi la position de la CNIL qui s’est prononcée sur le sujet depuis 2007, ainsi que l’ensemble des CNIL européennes. Le régulateur s’inquiétait des évolutions jurisprudentielles qui ne considéraient plus l’adresse IP comme une donnée personnelle. La Cour de Cassation a finalement tranché en faveur de la qualification de donnée à caractère personnel de l’adresse IP…[lire la suite]

Notre métier : Sensibiliser les décideurs et les utilisateurs aux risques liés à la Cybercriminalité et à la Protection des Données Personnelles (Autorisation de la Direction du travail de l’Emploi et de la Formation Professionnelle n°93 84 03041 84).

Denis JACOPINI anime dans toute le France et à l’étranger des conférences, des tables rondes et des formations pour sensibiliser les décideurs et les utilisateurs aux risques liés à la Cybercriminalité et à la protection de leurs données personnelles (Mise en Place d’un Correspondant Informatique et Libertés (CIL) dans votre établissement.

Plus d’informations sur : https://www.lenetexpert.fr/formations-cybercriminalite-protection-des-donnees-personnelles

Réagissez à cet article