Les adresses IP sont considérées comme des données à caractère personnel lorsque l’identité de l’utilisateur peut être établie.
Les adresses IP sont considérées comme des données à caractère personnel lorsque l’identité de l’utilisateur peut être établie.
Dans son arrêt 136 II 508 du 8 septembre 2010, le Tribunal fédéral devait notamment décider si les adresses IP étaient des données personnelles au sens de l’art. 3 let. a LPD et si les dispositions de la LPD étaient applicables. Une entreprise recherchait des violations de droits d’auteur sur les réseaux peer-to-peer (P2P) et enregistrait notamment l’adresse IP de la connexion Internet utilisée pour les transmettre ensuite aux titulaires de droits d’auteur afin qu’ils puissent faire valoir leurs droits à des dommages-intérêts. Le PFPDT a constaté que cette méthode de traitement portait atteinte à la vie privée d’un grand nombre de personnes et a recommandé à l’entreprise de cesser immédiatement le traitement des données tant qu’il n’existait pas de base légale suffisante pour une utilisation des données collectées à des fins civiles. L’entreprise a rejeté la recommandation du PFPDT.
À propos de la décision du Tribunal fédéral :
Selon l’article 3, lettre a, de la LPD, les données personnelles désignent toutes les informations qui se rapportent à une personne identifiée ou identifiable. La forme sous laquelle l’information est disponible n’a pas d’importance. « Une personne est déterminée lorsqu’il ressort de l’information elle-même qu’il s’agit précisément de cette personne. Une personne est identifiable lorsqu’il est possible de la déduire sur la base d’informations supplémentaires. » (ATF 136 II 508 p. 514) La déterminabilité doit être réalisable selon l’expérience générale de la vie, en tenant compte de la technique, des efforts et des intérêts des personnes traitant les données. « Au moment de la transmission d’informations, il suffit à cet égard que le destinataire soit en mesure d’identifier la personne concernée ». (ATF 136 II 508 P. 515)
L’adresse IP permet d’identifier tout ordinateur connecté à Internet. Selon le tribunal, dans le cas présent, le modèle commercial de l’entreprise repose sur la possibilité d’utiliser les adresses IP pour identifier des personnes. Selon le tribunal, le lien d’une adresse IP avec une personne est donc établi si les contrevenants aux droits d’auteur sont identifiables par les titulaires des droits d’auteur après avoir reçu les données correspondantes. Le tribunal en conclut que les adresses IP doivent donc être qualifiées de données à caractère personnel au sens de l’article 3, lettre a, de la LPD.