Les adresses IP sont considérées comme des données personnelles si l’identité de l’utilisateur peut être déterminée.
Dans son arrêt 136 II 508 du 08.09.2010, le Tribunal fédéral a dû décider, entre autres, si les adresses IP étaient des données personnelles au sens de l’art. 3 let. a LPD et si les dispositions de la LPD étaient applicables. Une entreprise recherchait des violations de droits d’auteur sur les réseaux peer-to-peer (P2P) et enregistrait entre autres l’adresse IP de la connexion Internet utilisée pour la transmettre ensuite aux détenteurs des droits d’auteur afin qu’ils puissent faire valoir leurs prétentions en dommages-intérêts. Le PFPDT a constaté que cette méthode de traitement portait atteinte à la personnalité d’un grand nombre de personnes et a recommandé à l’entreprise de cesser immédiatement le traitement des données tant qu’il n’existait pas de base légale suffisante pour une utilisation des données collectées à des fins civiles. L’entreprise a rejeté la recommandation du PFPDT.
Concernant la décision du Tribunal fédéral:
Selon l’article 3 lettre a LPD, les données personnelles sont toutes les informations qui se rapportent à une personne identifiée ou identifiable. La forme sous laquelle les informations se présentent n’a aucune importance. “Une personne est déterminée lorsqu’il ressort de l’information elle-même qu’il s’agit précisément de cette personne. La personne est identifiable lorsqu’il est possible de conclure à son sujet sur la base d’informations supplémentaires”. (ATF 136 II 508 p. 514) Le caractère déterminable doit être réalisable selon l’expérience générale de la vie, en tenant compte de la technique, des efforts et des intérêts des personnes traitant les données. “Dans le cas de la transmission d’informations, il suffit à cet égard que le destinataire soit en mesure d’identifier la personne concernée.” (ATF 136 II 508 P. 515)
Grâce à l’adresse IP, chaque ordinateur connecté à Internet est identifiable. Selon le tribunal, dans le cas présent, le modèle commercial de l’entreprise repose sur la possibilité d’utiliser les adresses IP pour l’identification des personnes. Selon le tribunal, le lien personnel d’une adresse IP est donc établi lorsque les contrevenants aux droits d’auteur sont identifiables par les titulaires des droits d’auteur après avoir reçu les données correspondantes. Le tribunal en conclut que les adresses IP doivent donc être qualifiées de données personnelles au sens de l’article 3, lettre a de la LPD.