Les adresses IP, qui permettent d'identifier indirectement une personne physique, sont des données à caractère personnel, de sorte que leur collecte constitue un traitement de données à caractère personnel et doit faire l'objet d'une déclaration préalable auprès de la CNIL. Telle est la solution énoncée par la première chambre civile de la Cour de cassation dans un arrêt du 3 novembre 2016 (Cass. civ. 1, 3 novembre 2016, n° 15-22.595, FS-P+B+I
N° Lexbase : A9192SE8). En l'espèce, des sociétés d'un même groupe ont constaté la connexion, sur leur réseau informatique interne, d'ordinateurs extérieurs au groupe, mais faisant usage de codes d'accès réservés aux administrateurs de leur site internet. Elles ont obtenu du juge des requêtes une ordonnance faisant injonction à divers fournisseurs d'accès à internet de leur communiquer les identités des titulaires des adresses IP utilisées pour les connexions litigieuses. Soutenant que la conservation, sous forme de fichier, de ces adresses IP aurait dû faire l'objet d'une déclaration auprès de CNIL et invoquant, par suite, l'illicéité de la mesure d'instruction sollicitée, une société, conseil en investissement et en gestion de patrimoine concurrente de celle du groupe en question, a saisi le président du tribunal de commerce en rétractation de son ordonnance. Pour rejeter cette demande, l'arrêt d'appel (CA Rennes, 28 avril 2015, n° 14/05708
N° Lexbase : A2582NH4) retient que l'adresse IP, constituée d'une série de chiffres, se rapporte à un ordinateur et non à l'utilisateur, et ne constitue pas, dès lors, une donnée même indirectement nominative, de sorte que le fait de conserver les adresses IP des ordinateurs ayant été utilisés pour se connecter, sans autorisation, sur le réseau informatique de l'entreprise, ne constitue pas un traitement de données à caractère personnel. La Cour de cassation, énonçant la solution précitée, censure l'arrêt d'appel au visa des articles 2 et 22 de la loi "Informatique et Libertés" (loi n° 78-17 du 6 janvier 1978
N° Lexbase : L8794AGS). Elle rappelle que selon le premier de ces textes, constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres, et constitue un traitement de données à caractère personnel toute opération ou tout ensemble d'opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction. En outre, selon le second texte, les traitements automatisés de données à caractère personnel font l'objet d'une déclaration auprès de la CNIL.
© Reproduction interdite, sauf autorisation écrite préalable