Le non-respect du RGPD empêche la communication des données d’identification des titulaires d’adresses IP

Le Tribunal de Grande Instance (TGI) de Paris a, dans son ordonnance en référé du 2 août 2019, débouté une société canadienne de sa demande de communication des données d’identification des titulaires d’adresses IP auprès d’un opérateur de communications électroniques sur le fondement de la règlementation applicable à la protection des données personnelles.

A propos de la décision : TGI de Paris, 2 août 2019, Mile High Distribution v. Orange

Une société Canadienne, Mile High Distribution, se présentant comme productrice d’œuvres audiovisuelles, a indiqué constater la présence de ses œuvres sur des plateformes de téléchargement gratuit en ligne sans son autorisation. En vue d’agir en contrefaçon et pour récolter certaines informations liées à ces téléchargements illégaux, elle a mandaté une société allemande qui a recueilli 895 adresses IP entre novembre 2017 et décembre 2018.

Mile High Distribution a obtenu, par ordonnance du juge des requêtes du TGI de Paris du 8 avril 2019, que la société Orange - opérateur de communications électroniques - conserve les informations utiles à l’identification des personnes titulaires d’adresses IP, dans l’attente de la décision du 2 août 2019.

Mile High Distribution a également saisi le juge des référés du TGI de Paris pour obtenir communication des données d’identification des personnes titulaires des adresses IP listées par la société allemande, au vu des dispositions du Code des postes et des communications électroniques (art. L.34-1 et R. 10-13).  La société Orange a contesté cette demande au vu de l’illégalité de la collecte des adresses IP sur le fondement de la règlementation applicable à la protection des données personnelles (RGPD).

Pour aller plus loin : retrouvez toutes nos formations RGPD.

La juridiction des référés a rejeté la demande de Mile High Distribution en précisant que :

• la collecte d’adresses IP permettant d’identifier indirectement une personne physique est un traitement de données personnelles. Ce traitement de suivi du comportement de personnes sur le territoire de l’Union européenne (en France) permet d’appliquer les dispositions de la règlementation applicable à la protection des données personnelles ;

• la société canadienne, soumise à cette règlementation, apparaît être le responsable du traitement dans la mesure où elle a déterminé la finalité du traitement. Or, elle n’a pas démontré avoir désigné un représentant en Europe, tenir un registre des traitements, avoir désigné un Délégué à la protection des données personnelles au vu de la collecte à grande échelle de données d’infractions (adresses IP dans un contexte de lutte contre la contrefaçon sur Internet), avoir pris des mesures de sécurité, avoir encadré juridiquement le transfert de données hors de l’Union européenne (vers le Canada). Ainsi, le caractère licite du traitement de données personnelles d’adresses IP n’a pas été démontré par Mile High Distribution ce qui constitue un empêchement légitime à la délivrance par le Tribunal d’une mesure d’instruction au vu de l’article 145 du Code de procédure civile.

Vanessa Younès-Fellous, Avocate en droit de la protection des données personnelles et formatrice Elegia