Les adresses IP constituent-elles des renseignements personnels? Divergence entre les positions du Canada et de l’UE

Le 19 octobre 2016, un jugement rendu par la Cour européenne de justice dans le cadre du litige opposant Patrick Breyer à la République fédérale d’Allemagne¹ (la décision de l’UE) soulève la question de savoir si une adresse IP constitue un renseignement personnel selon la Directive 95/46/CE du Parlement européen et permet de faire une comparaison intéressante par rapport à la perspective canadienne.

Dans le cadre du débat ayant mené à la décision de l’UE, M. Breyer a soutenu que la République fédérale d’Allemagne n’avait pas le droit de conserver l’adresse IP de l’appareil dont il se servait pour faire des recherches de renseignements sur différents sites Web gouvernementaux. Selon M. Breyer, son adresse IP constituait un renseignement personnel que l’exploitant du site Web peut uniquement conserver en vue de faciliter l’accès au site et non à des fins générales telles protéger la sécurité du site ou se prémunir contre les cyberattaques du type attaques par déni de service.

La Cour européenne a conclu que lorsque des tiers, comme des fournisseurs de services Internet (FSI), détiennent des renseignements sur l’abonné auxquels un exploitant de site Web peut accéder légalement et qui peuvent être utilisés conjointement avec l’adresse IP pour révéler l’identité du visiteur, l’adresse IP constitue un renseignement personnel. La Cour a cependant laissé sans réponse la question de savoir si l’adresse IP constituait un renseignement personnel lorsque le détenteur de cette adresse ne pouvait avoir obtenu de façon raisonnable ou légale les autres renseignements nécessaires permettant de révéler l’identité du propriétaire de l’adresse. Ce faisant, elle a adopté une définition « relative » de renseignements personnels.

La Cour a également conclu qu’aucun État membre ne pouvait adopter de loi qui empêcherait l’utilisation d’une adresse IP à toute autre fin que celle de faciliter l’accès au réseau et la facturation.

La position du Canada

La décision de l’UE fait ressortir un contraste intéressant par rapport à la position du Commissariat à la protection de la vie privée (CPVP) du Canada. Dans une recherche publiée en mai 2013, le CPVP a conclu qu’une adresse IP, combinée à d’autres renseignements de source publique, et ce, sans même avoir accès aux dossiers de l’abonné du FSI, permettait de révéler l’identité du propriétaire, ainsi que ses activités de navigation sur le Web ou autres activités. En se fondant sur cette conclusion, une adresse IP peut ainsi, dans bon nombre de cas, constituer un renseignement personnel, que les dossiers de l’abonné d’un FSI liant cette adresse à une personne soient légalement accessibles ou non par l’organisation faisant la collecte de l’adresse IP.

Cette conclusion s’inscrit dans la foulée d’une décision précédente du CPVP dans laquelle il a conclu que le serveur publicitaire d’une organisation ne pouvait pas tenter d’accéder à l’information NetBIOS de l’ordinateur d’un visiteur sans consentement. NetBIOS, selon le CPVP, « est le nom courant ou “ convivial ” désignant un ordinateur suivant à son adresse de protocole Internet (IP) »².

Cependant, une mise en garde s’impose. Les conclusions du CPVP ne signifient pas que le consentement à la collecte d’une adresse IP est toujours requis. Un certain nombre de motifs légitimes pourraient justifier la collecte de ce renseignement, notamment des motifs liés à la sécurité du site. Toutefois, ces motifs pourraient ne pas s’appliquer expressément à la collecte et à l’utilisation d’adresses IP à des fins publicitaires sans une forme quelconque de consentement³.

Notes

¹ ECLILEU:C:2016:779.

² https://www.priv.gc.ca/fr/mesures-et-decisions-prises-par-le-commissariat/enquetes/enquetes-visant-les-entreprises/2001/lprpde-2001-025.

³ La position du CPVP sur le moment auquel le consentement positif, plutôt que le consentement négatif, doit être demandé est abordée dans le Rapport de conclusions d'enquête en vertu de la LPRPDE no 2015-001.