Le concept « d’information permettant d’identifier une personne » semble recouper partiellement la notion de données à caractère personnel. Selon la loi du 6 Janvier 1978 (modifiée par la loi n° 2004-801 du 6 août 2004): « Constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments qui lui sont propres ».
Une donnée permettant d’identifier directement ou indirectement une personne physique est une donnée à caractère personnel, elle permet en effet, d’identifier une personne.
Pourquoi choisir une dénomination différente pour une réalité juridique identique ?
La jurisprudence devra identifier les spécificités de cette nouvelle notion. Certains auteurs émettent l’hypothèse d’une possible référence à la jurisprudence de la cour européenne des droits de l’homme.
Dans un arrêt Amann contre Suisse du 16 février 2000, la Cour définit la vie privée de la façon suivante : « le terme « vie privée » ne doit pas être interprété de façon restrictive. En particulier, le respect de la vie privée englobe le droit pour l’individu de nouer et développer des relations avec ses semblables; de surcroît, aucune raison de principe ne permet d’exclure les activités professionnelles ou commerciales de la notion de « vie privée ».
Nous voyons dans ce parti pris rédactionnel la possibilité d’étendre le champ d’application trop étroit des données à caractère personnel.
Les problématiques relatives à l’identification des données à caractère personnel vont réapparaitre concernant les « données de toute nature permettant l’identification ».
L’adresse IP est-elle une donnée permettant l’identification ? Même aujourd’hui, la jurisprudence n’est pas complètement établie. La CNIL et le G 29 (Groupe rassemblant les représentants de chaque autorité de contrôle désignées par les États membres de l’Union européenne) répondent par l’affirmative. La CJCE s’est également prononcée en ce sens dans son arrêt en date du 29 janvier 2008.
Cette interprétation a cependant été rejetée par la Cour de cassation. Dans son arrêt du 13 janvier 2009, la chambre criminelle a en effet jugé que les constats d’agents assermentés, effectués sans une surveillance préalable automatisée des réseaux ne sont pas des traitements au sens de la loi du 6 janvier 1978. Sans se prononcer directement sur la question, la décision de la Cour de cassation tend ainsi à conclure que l’adresse IP n’est pas une donnée à caractère personnel.
Dans un arrêt du 1er février 2010, la cour d’appel de Paris a d’ailleurs repris purement et simplement cette solution à la suite du renvoi devant elle par la Cour de cassation.
C’est en réponse notamment à cette jurisprudence que la proposition de loi pour la protection du droit à la vie privée à l’heure du numérique, a prévu d’inclure dans la notion de données à caractère personnel une définition de l’adresse IP.
En tout état de cause, cette décision ne semble pas conforme à la décision du Conseil constitutionnel en date du 10 juin 2009 qui déclare que l’adresse IP est une donnée à caractère personnel.
La Cour de cassation aurait-elle donc décidé de faire dissidence avec les autorités communautaires et constitutionnelles ? Probablement pas car la portée de l’arrêt rendu par la chambre criminelle doit être nuancée, ce que certains commentateurs n’ont pas manqué de relever.
En effet, la Cour est loin d’être catégorique et elle laisse, au contraire, planer un doute sur la nature de l’adresse IP.
La question n’a donc pas fini de défrayer la chronique : pour l’heure, on peut simplement affirmer avec certitude que l’adresse IP constitue un des éléments du faisceau d’indices permettant d’identifier l’internaute.
