« Les adresses IP, qui permettent d’identifier indirectement une personne physique, sont des données à caractère personnel, de sorte que leur collecte constitue un traitement de données à caractère personnel et doit faire l’objet d’une déclaration préalable auprès de la CNIL », vient d’affirmer sans ambiguïté la Cour de cassation, dans un arrêt du 3 novembre 2016. Elle clôt ainsi le débat sur le caractère personnel de l’adresse IP, ouvert en France avec l’affaire SCPP Sacem en 2007. Elle s’inscrit ainsi dans la jurisprudence de la Cour de justice de l’UE qui a rendu un arrêt le 19 octobre 2016.
Si l’adresse IP est une donnée personnelle, alors sa collecte et sa conservation constitue un traitement automatisé qui doit faire l’objet d’une déclaration à la Cnil. C’était la position défendue par une des parties qui demandait la rétractation de l’ordonnance sur requête enjoignant les fournisseurs d’accès concernés à communiquer les identités des titulaires des adresses IP utilisées pour des connexions illicites.
Lors d’un contrôle de sécurité sur leurs serveurs, trois sociétés du groupe Logineuf avaient constaté la connexion d’ordinateurs extérieurs au groupe utilisant des codes d’accès réservés aux administrateurs du site logineuf.com. Logisneuf a donc saisi le tribunal de commerce pour solliciter une ordonnance afin que les opérateurs d’accès révèlent le nom des utilisateurs des adresses IP suspectes. Cette opération a permis d’identifier plusieurs personnes chez Peterson et une plainte a été déposée auprès du procureur de la République contre ces personnes. Mais Peterson a invoqué l’illicéité de la mesure d’instruction sollicitée. La Cour de cassation lui a donné raison, remettant ainsi en cause toute la procédure.

Voir la décision