Expertises des Systèmes d'information - Octobre 2019 - n°450 - Le mensuel du droit de l'informatique et du multimédia - 332

D

O

C

T

R

I

N

E

DONNÉES PERSONNELLES

Pas de conformité au RGPD,
Pas de recours contentieux !
Par une ordonnance de référé du 2 août 2019, le TGI
de Paris a refusé d'ordonner à un fournisseur d'accès à
internet de communiquer à une société canadienne les
éléments d'identification des personnes titulaires des
adresses IP (contrefacteurs présumés) dans la mesure
où ces adresses IP n'avaient pas été collectées dans le
respect du RGPD.

C

ette intéressante décision
s'inscrit dans la continuité
de la jurisprudence selon
laquelle un traitement de
données personnelles n'a pas d'existence légale s'il n'est pas conforme à la
législation de protection des données
personnelles. Mais c'est la première fois
qu'un tel jugement est pris sur la base
du RGPD.

Les faits
La société Mile High Distribution,
société canadienne de production
d'œuvres audiovisuelles commercialisées notamment par téléchargement
payant, aurait constaté la présence
de ses œuvres sur des plateformes
d'échanges de fichiers sans son
autorisation.
Afin d'identifier les auteurs de ces
actes, Mile High Distribution a fait
appel à un prestataire pour procéder à la
collecte des données de trafic concernant les internautes qui effectuaient
les téléchargements prétendument
illicites, en particulier leurs adresses
IP et le nom de leurs fournisseurs
Internet. Aurait ainsi été constituée
une liste de 895 adresses IP collectées
entre novembre 2017 et décembre 2018
à l'origine, selon Mile High Distribution,
d'opérations de téléchargement massif
de ses œuvres constitutives d'actes de
contrefaçon.
A partir de cette liste, Mile High
Distribution a demandé à Orange de
lui communiquer les données d'identification des personnes listées par
leur adresse IP. Suite au refus d'Orange

332

de procéder à cette communication,
Mile High Distribution a demandé
leur communication en référé sur le
fondement de l'article 145 du code
procédure civile1.
C'est le caractère «  légalement
admissible  » de la mesure qui était
contesté par Orange, au motif que la
mesure d'identification sollicitée ne
pouvait être légalement admissible que
si la collecte des adresses IP des contrefacteurs présumés avait elle-même été
effectuée légalement, c'est-à-dire en
conformité avec le RGPD.

La décision : le refus
du TGI de Paris
Dans son ordonnance du 2 août 2019,
le TGI de Paris a retenu les arguments
d'Orange, et a considéré que la
communication de l'identité des
personnes correspondant aux adresses
IP constituerait une « atteinte illégitime
et disproportionnée aux droits et libertés
fondamentales  » dans la mesure où
Mile High Distribution ne démontrait
pas qu'elle avait collecté les adresses IP
dans le respect des règles de protection
des données à caractère personneL. Le
tribunal a souligné qu'en particulier la
société aurait dû respecter les obligations légales suivantes prévues par le
RGPD :
■■ La désignation d'un représentant
en Europe  : s'agissant d'une société
canadienne non établie sur le territoire
de l'Union européenne, le TGI de Paris
a considéré que celle-ci entrait dans
le champ d'application territorial du
RGPD dans la mesure où elle procédait
EXPERTISES Octobre 2019

à un suivi de personnes qui se
trouvent sur le territoire de l'Union. En
conséquence, conformément aux
articles 3 et 27 du RGPD, le responsable
de traitement hors de l'Union doit
désigner un représentant dans l'Union,
ce que n'avait pas fait Mile High
Distribution.
■■ La tenue d'un registre des traitements : c'est un point qui a particulièrement retenu l'attention du tribunal
en l'espèce. En effet, depuis l'entrée en
application du RGPD, les responsables
de traitement entrant dans le champ
d'application du RGPD - qu'il s'agisse
de sociétés dans l'Union ou hors de
l'Union comme en l'espèce - n'ont plus
l'obligation d'effectuer des déclarations
auprès de la Cnil mais doivent tenir en
interne un registre des traitements2.
Pour tenter de démontrer sa conformité, la société Mile High Distribution
a produit une déclaration effectuée
auprès de la Cnil antérieurement à
l'entrée en application du RGPD. Le
tribunal a considéré que cette déclaration réalisée auprès de la Cnil avant
l'entrée en application du RGPD  était
insuffisante à démontrer le caractère licite du traitement. En effet,
une déclaration relevant du régime
antérieur à l'entrée en application du
RGPD ne saurait couvrir un traitement de données actuel puisque c'est
la nouvelle obligation de tenue d'un
registre des traitements qui s'applique.
En l'espèce le TGI de Paris a même
précisé qu'au sein du registre, une
fiche aurait dû être consacrée au traitement de données objet du litige.
Expertises des Systèmes d'information - Octobre 2019 - n°450 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Octobre 2019 - n°450 - Le mensuel du droit de l'informatique et du multimédia
