Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Février 2017 - n°421 - 75

jurisprudence

M. B. / BUNDESREPUBLIK DEUTSCHLAND
COUR DE JUSTICE DE L'UNION EUROPÉENNE, 2ÈME CH.,
ARRÊT DU 19 OCTOBRE 2016
(VOIR LE COMMENTAIRE P. 73)

Dans l'affaire C 582/14, ayant
pour objet une demande de
décision préjudicielle au titre
de l'article 267 TFUE, introduite
par
le
Bundesgerichtshof
(Cour
fédérale
de
justice,
Allemagne), par décision du
28 octobre 2014, parvenue à
la Cour le 17 décembre 2014,
dans la procédure M. B. contre
Bundesrepublik Deutschland.
1 La demande de décision préjudicielle porte sur l'interprétation
de l'article 2, sous a), et de l'article
7, sous f), de la directive 95/46/CE
du Parlement européen et du
Conseil, du 24 octobre 1995, relative à la protection des personnes
physiques à l'égard du traitement des données à caractère
personnel et à la libre circulation
de ces données (JO 1995, L 281,
p. 31).
2 Cette demande a été présentée
dans le cadre d'un litige opposant M. M. B. à la Bundesrepublik
Deutschland (République fédérale d'Allemagne), au sujet de
l'enregistrement et de la conservation par cette dernière de
l'adresse de protocole Internet
(ci-après l'« adresse IP ») de M. B.
lors de la consultation par celuici de plusieurs sites Internet des
services fédéraux allemands.
(Extraits)
DISCUSSION
Sur les questions préjudicielles
Sur la première question
31 Par sa première question, la
juridiction de renvoi demande,
en substance, si l'article 2, sous
a), de la directive 95/46 doit être

interprété en ce sens qu'une
adresse IP dynamique enregistrée par un fournisseur de
services de médias en ligne à
l'occasion de la consultation par
une personne d'un site Internet
que ce fournisseur rend accessible au public constitue, à
l'égard dudit fournisseur, une
donnée à caractère personnel au
sens de cette disposition, lorsque
seul un tiers, en l'occurrence le
fournisseur d'accès à Internet de
cette personne, dispose des informations supplémentaires nécessaires pour identifier celle-ci.
32 Aux termes de ladite disposition, on entend par « données
à caractère personnel », « toute
information concernant une
personne physique identifiée ou
identifiable (personne concernée) ». En vertu de cette disposition, est réputée identifiable une
personne qui peut être identifiée, directement ou indirectement, notamment par référence
à un numéro d'identification
ou à un ou plusieurs éléments
spécifiques, propres à son identité physique, physiologique,
psychique, économique, culturelle ou sociale.
33 À titre liminaire, il convient de
relever que, au point 51 de l'arrêt du 24 novembre 2011, Scarlet
Extended (C 70/10, EU:C:2011:771),
qui portait notamment sur l'interprétation de la même directive,
la Cour a considéré, en substance, que les adresses IP des
utilisateurs d'Internet étaient des
données protégées à caractère
personnel, car elles permettent
l'identification
précise
de
ces utilisateurs.
EXPERTISES FÉVRIER 2017

34 Cependant, cette affirmation
de la Cour était relative à l'hypothèse dans laquelle la collecte
et l'identification des adresses
IP des utilisateurs d'Internet
seraient effectuées par les fournisseurs d'accès à Internet.
35 Or, en l'occurrence, la première
question concerne l'hypothèse
dans laquelle c'est le fournisseur
de services de médias en ligne,
à savoir la République fédérale
d'Allemagne, qui enregistre
les adresses IP des utilisateurs
d'un site Internet que ce fournisseur de services rend accessible au public, sans disposer
des informations supplémentaires nécessaires pour identifier
ces utilisateurs.
36 En outre, il est constant que les
adresses IP auxquelles se réfère
la juridiction de renvoi sont des
adresses IP « dynamiques », à
savoir celles, provisoires, qui sont
attribuées à chaque connexion
à Internet et remplacées lors de
connexions ultérieures, et non
pas des adresses IP « statiques »,
qui sont invariables et permettent
l'identification permanente du
dispositif connecté au réseau.
37 La première question posée
par la juridiction de renvoi est
ainsi fondée sur la prémisse selon
laquelle, d'une part, des données
consistant en une adresse IP
dynamique ainsi qu'en la date et
l'heure de la session de consultation d'un site Internet à partir
de cette adresse IP, enregistrées
par un fournisseur de services de
médias en ligne, n'offrent pas, à
elles seules, à ce fournisseur la
possibilité d'identifier l'utilisateur

75
Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Février 2017 - n°421
