Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Novembre 2016 - n°418 - 388

jurisprudence

de celui-ci leur transmettait des
informations sur l'identité de cet
utilisateur. La qualification de ces
données de « personnelles » dépendrait, par conséquent, du point de
savoir si M. B. était identifiable.

à caractère personnel, la juridiction de renvoi cherche à savoir si la
conservation de ces adresses IP au
terme de cette session est autorisée
en vertu de l'article 7, sous f), de la
même directive.

25. Le Bundesgerichtshof (Cour
fédérale de justice) fait état de la
controverse doctrinale relative à la
question de savoir si, pour déterminer si une personne est identifiable, il convient de se fonder sur
un critère « objectif » ou sur un
critère « relatif ». L'application d'un
critère « objectif » aurait pour conséquence que des données telles que
les adresses IP en cause au principal pourraient être considérées,
au terme des sessions de consultation des sites Internet considérés, comme revêtant un caractère
personnel même si seul un tiers est
en mesure de déterminer l'identité
de la personne concernée, ce tiers
étant, en l'occurrence, le fournisseur d'accès à Internet de M. B. qui
a conservé des données supplémentaires permettant l'identification de celui-ci au moyen desdites
adresses IP. Selon un critère « relatif », de telles données pourraient
être considérées comme étant à
caractère personnel à l'égard d'un
organisme, tel que le fournisseur
d'accès à Internet de M. B. , car elles
permettent l'identification précise
de l'utilisateur (voir, à cet égard,
arrêt du 24 novembre 2011, Scarlet
Extended, C-70/10, EU:C:2011:771,
point 51), mais comme ne revêtant
pas un tel caractère à l'égard d'un
autre organisme, tel que l'opérateur
des sites Internet consultés par M. B. ,
étant donné que cet opérateur ne
disposerait pas, dans l'hypothèse
où M. B. n'a pas révélé son identité
au cours des sessions de consultation de ces sites, des informations
nécessaires à son identification sans
effort démesuré.

27. À cet égard, le Bundesgerichtshof
(Cour fédérale de justice) précise,
d'une part, que les fournisseurs
de services de médias en ligne ne
peuvent, aux termes de l'article 15,
paragraphe 1, du TMG, collecter
et utiliser des données à caractère
personnel d'un utilisateur que dans
la mesure où cela est nécessaire
pour permettre et facturer l'utilisation de ces médias.

26. Dans l'hypothèse où les adresses
IP dynamiques de l'ordinateur de
M. B. devraient être considérées,
en combinaison avec la date de la
session à laquelle elles se rapportent,
comme constituant des données

388

D'autre part, la juridiction de renvoi
indique que, selon la République
fédérale d'Allemagne, la conservation desdites données est nécessaire pour garantir la sécurité et la
continuité du bon fonctionnement
des sites des services de médias
en ligne qu'elle rend accessibles
au public, en permettant, en particulier, de reconnaître les attaques
informatiques dites « attaques par
déni de service », visant à paralyser
le fonctionnement de ces sites par
l'inondation ciblée et coordonnée
de certains serveurs Internet par un
grand nombre de demandes, et de
lutter contre ces attaques.
28. Selon la juridiction de renvoi, si
et dans la mesure où il est nécessaire que le fournisseur de services
de médias en ligne prenne des
mesures pour lutter contre de telles
attaques, ces mesures pourraient
être considérées comme nécessaires
pour « permettre [...] l'utilisation des
médias électroniques » en vertu de
l'article 15 du TMG.
Cependant, la doctrine défendrait
majoritairement le point de vue
selon lequel, d'une part, la collecte
et l'utilisation des données à caractère personnel d'un utilisateur d'un
site Internet n'est autorisée que pour
permettre une utilisation concrète de
ce site et, d'autre part, ces données
doivent être effacées à la fin de la
session de consultation considérée si
elles ne sont pas requises à des fins

EXPERTISES NOVEMBRE 2016

de facturation. Or, une telle lecture
restrictive de l'article 15, paragraphe
1, du TMG s'opposerait à ce que la
conservation des adresses IP soit
autorisée pour garantir, de manière
générale, la sécurité et la continuité
du bon fonctionnement des médias
en ligne.
29. La juridiction de renvoi se
demande si cette dernière interprétation, qui est l'interprétation préconisée par la juridiction d'appel, est
conforme à l'article 7, sous f), de la
directive 95/46, eu égard notamment aux critères dégagés par la
Cour aux points 29 et suivants de
l'arrêt du 24 novembre 2011, ASNEF
et FECEMD (C-468/10 et C-469/10,
EU:C:2011:777).
30. Dans
ces
conditions,
le
Bundesgerichtshof (Cour fédérale de
justice) a décidé de surseoir à statuer
et de poser à la Cour les questions
préjudicielles suivantes:
« 1) L'article 2, sous a), de la directive
95/46 doit-il être interprété en ce sens
qu'une adresse IP qui est enregistrée
par un fournisseur de services [de
médias en ligne] à l'occasion d'un
accès à son site Internet constitue
pour celui-ci une donnée à caractère
personnel même si c'est un tiers (en
l'occurrence, le fournisseur d'accès)
qui dispose des informations supplémentaires nécessaires pour identifier
la personne concernée?
2) L'article 7, sous f), de [cette directive] s'oppose-t-il à une disposition
de droit national en vertu de laquelle
le fournisseur de services [de médias
en ligne] ne peut collecter et utiliser
des données à caractère personnel
afférentes à un utilisateur sans le
consentement de celui-ci que dans
la mesure où cela est nécessaire
pour permettre et facturer l'utilisation concrète du média en ligne par
l'utilisateur en question et en vertu
de laquelle la finalité consistant à
garantir la capacité générale de
fonctionnement du média en ligne
ne peut pas justifier l'utilisation des
données après la fin de la session [de
consultation] en cours? »

Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Novembre 2016 - n°418