CJUE : adresse IP dynamique et données personnelles

Une adresse IP correspond au numéro qui identifie chaque ordinateur connecté à Internet. Une telle adresse peut être « dynamique » autrement dit différente à chaque nouvelle connexion, ou bien être au contraire « statique ».

C’est justement cette notion d’adresse IP dynamique que la Cour de justice de l’Union Européenne (CJUE) est venue préciser dans son arrêt du 19 octobre 2016 (aff. C-582/14).

La CJUE considère qu’une adresse IP dynamique constitue une donnée à caractère personnel à l’égard de l’exploitant du site internet.

En l’espèce, la Cour fédérale de justice allemande avait interrogé la CJUE par renvoi préjudiciel afin d’interpréter la notion de données à caractère personnel ainsi que la conservation de tels données par un fournisseur de service de médias en ligne.

Or, si la CJUE avait déjà affirmé qu’une adresse IP statique correspondait à une donnée à caractère personnel dans la mesure où elle permet l’identification des utilisateurs (CJUE, 24 nov. 2011, Sté Scarlet Extended c/ Société belge des auteurs, compositeurs et éditeur SCRL, aff. C-70/10, § 51), la question était ici de savoir s’il en allait de même dans le cas d’une adresse IP dynamique, puisque cette dernière n’est pas une information visant une personne physique identifiée.

Cependant, la CJUE a considéré qu’une personne est réputée identifiable dès lors qu’elle « peut être identifiée non seulement directement mais aussi indirectement » et que le fait que les informations supplémentaires nécessaires pour identifier l’utilisateur d’un site Internet sont détenues non pas par le fournisseur de services de médias en ligne, mais par le fournisseur d’accès à Internet de cet utilisateur « n’exclut pas que les adresses IP dynamiques constituent des données à caractère personnel » (§ 44).

Cette qualification n’est pas sans incidence, puisque de celle-ci, dépend le traitement qui pourra être fait d’une telle donnée. La Cour a d’ailleurs rappelé dans ce même arrêt que le traitement d’une adresse IP dynamique ne peut être licite que s’il est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement.