CJUE – Breyer – C-582/14

Décision

Autorité:

Cour de Justice de l'UE

Numéro:

C-582/14

Nom:

Breyer

Date:

19 octobre 2016

Pays:

Allemagne

Lien:

Cliquer ici

Contexte

M. Breyer a consulté plusieurs sites Internet des services fédéraux allemands. Sur ces sites, accessibles au public, lesdits services fournissent des informations actualisées. Afin de se prémunir contre les attaques et de rendre possibles les poursuites pénales contre les « pirates », la plupart de ces sites enregistrent toutes les consultations dans des fichiers journaux (logs).

M. Breyer a introduit, devant les juridictions administratives allemandes, un recours visant à ce qu’il soit fait interdiction à la République fédérale d’Allemagne de conserver ou de faire conserver par des tiers, au terme des sessions de consultation des sites accessibles au public de médias en ligne des services fédéraux allemands, l’adresse IP du système hôte accédant de M. Breyer, dans la mesure où cette conservation n’est pas nécessaire en cas de dérangement au rétablissement de la diffusion de ces médias.

Le recours de M. Breyer ayant été rejeté en première instance, celui-ci a interjeté appel contre la décision de rejet. La juridiction d’appel a partiellement réformé cette décision, en ce que la juridiction a condamné la République fédérale d’Allemagne à s’abstenir de conserver ou de faire conserver par des tiers, au terme de chaque consultation, l’adresse IP du système hôte accédant de M. Breyer. M. Breyer et la République fédérale d’Allemagne ont formé chacun un recours en révision devant le Bundesgerichtshof (Cour fédérale de justice, Allemagne), la juridiction de renvoi, contre la décision de la juridiction d’appel.

Apport(s)
Donnée à caractère personnel - Limites : Moyen légal (et raisonnable) d'identifier une personne physique - Adresses IP - Admission Extrait(s) pertinent(s)49. Eu égard à l’ensemble des considérations qui précèdent, il convient de répondre à la première question que l’article 2, sous a), de la directive 95/46 doit être interprété en ce sens qu’une adresse IP dynamique enregistrée par un fournisseur de services de médias en ligne à l’occasion de la consultation par une personne d’un site Internet que ce fournisseur rend accessible au public constitue, à l’égard dudit fournisseur, une donnée à caractère personnel au sens de cette disposition, lorsqu’il dispose de moyens légaux lui permettant de faire identifier la personne concernée grâce aux informations supplémentaires dont dispose le fournisseur d’accès à Internet de cette personne. Article(s) du RGPD Article 4 – Définitions Fait référence à > CJUE – Scarlet Extended – C-70/10 Autres informations
Intérêt légitime - Restriction au moyen d’une règlementation nationale [visant à transposer la directive 95/46] empêchant la collecte et l’utilisation des données à caractère personnel par un fournisseur de service de médias en ligne sauf pour garantir le fonctionnement du service et sa facturation - Inconventionnalité Extrait(s) pertinent(s)64. Il résulte de l’ensemble des considérations qui précèdent qu’il convient de répondre à la seconde question que l’article 7, sous f), de la directive 95/46 [article 6 du RGPD] doit être interprété en ce sens qu’il s’oppose à une réglementation d’un État membre en vertu de laquelle un fournisseur de services de médias en ligne ne peut collecter et utiliser des données à caractère personnel afférentes à un utilisateur de ces services, en l’absence du consentement de celui-ci, que dans la mesure où cette collecte et cette utilisation sont nécessaires pour permettre et facturer l’utilisation concrète desdits services par cet utilisateur, sans que l’objectif visant à garantir la capacité générale de fonctionnement des mêmes services puisse justifier l’utilisation desdites données après une session de consultation de ceux-ci. Article(s) du RGPD Article 6 – Licéité du traitement Fait référence à > CJUE – ASNEF ET FECEMD – C-468/10 et C-469/10 > CJUE – Satakunnan Markkinapörssi et Satamedia – C-73/07 > CJUE – Lindqvist – C-101/01 Autres informations Elements de compréhension: 28. Selon la juridiction de renvoi, si et dans la mesure où il est nécessaire que le fournisseur de services de médias en ligne prenne des mesures pour lutter contre [des attaques informatiques], ces mesures pourraient être considérées comme nécessaires pour « permettre […] l’utilisation des médias électroniques » en vertu de l’article 15 [de la réglementation en cause]. Cependant, la doctrine défendrait majoritairement le point de vue selon lequel, d’une part, la collecte et l’utilisation des données à caractère personnel d’un utilisateur d’un site Internet n’est autorisée que pour permettre une utilisation concrète de ce site et, d’autre part, ces données doivent être effacées à la fin de la session de consultation considérée si elles ne sont pas requises à des fins de facturation. Or, une telle lecture restrictive de l’article 15, paragraphe 1, du TMG s’opposerait à ce que la conservation des adresses IP soit autorisée pour garantir, de manière générale, la sécurité et la continuité du bon fonctionnement des médias en ligne.

Apport(s)

Donnée à caractère personnel - Limites : Moyen légal (et raisonnable) d'identifier une personne physique - Adresses IP - Admission

Extrait(s) pertinent(s)49. Eu égard à l’ensemble des considérations qui précèdent, il convient de répondre à la première question que l’article 2, sous a), de la directive 95/46 doit être interprété en ce sens qu’une adresse IP dynamique enregistrée par un fournisseur de services de médias en ligne à l’occasion de la consultation par une personne d’un site Internet que ce fournisseur rend accessible au public constitue, à l’égard dudit fournisseur, une donnée à caractère personnel au sens de cette disposition, lorsqu’il dispose de moyens légaux lui permettant de faire identifier la personne concernée grâce aux informations supplémentaires dont dispose le fournisseur d’accès à Internet de cette personne.
Article(s) du RGPD Article 4 – Définitions
Fait référence à > CJUE – Scarlet Extended – C-70/10
Autres informations

Intérêt légitime - Restriction au moyen d’une règlementation nationale [visant à transposer la directive 95/46] empêchant la collecte et l’utilisation des données à caractère personnel par un fournisseur de service de médias en ligne sauf pour garantir le fonctionnement du service et sa facturation - Inconventionnalité

Extrait(s) pertinent(s)64. Il résulte de l’ensemble des considérations qui précèdent qu’il convient de répondre à la seconde question que l’article 7, sous f), de la directive 95/46 [article 6 du RGPD] doit être interprété en ce sens qu’il s’oppose à une réglementation d’un État membre en vertu de laquelle un fournisseur de services de médias en ligne ne peut collecter et utiliser des données à caractère personnel afférentes à un utilisateur de ces services, en l’absence du consentement de celui-ci, que dans la mesure où cette collecte et cette utilisation sont nécessaires pour permettre et facturer l’utilisation concrète desdits services par cet utilisateur, sans que l’objectif visant à garantir la capacité générale de fonctionnement des mêmes services puisse justifier l’utilisation desdites données après une session de consultation de ceux-ci.
Article(s) du RGPD Article 6 – Licéité du traitement
Fait référence à > CJUE – ASNEF ET FECEMD – C-468/10 et C-469/10
> CJUE – Satakunnan Markkinapörssi et Satamedia – C-73/07
> CJUE – Lindqvist – C-101/01
Autres informations Elements de compréhension: 28. Selon la juridiction de renvoi, si et dans la mesure où il est nécessaire que le fournisseur de services de médias en ligne prenne des mesures pour lutter contre [des attaques informatiques], ces mesures pourraient être considérées comme nécessaires pour « permettre […] l’utilisation des médias électroniques » en vertu de l’article 15 [de la réglementation en cause]. Cependant, la doctrine défendrait majoritairement le point de vue selon lequel, d’une part, la collecte et l’utilisation des données à caractère personnel d’un utilisateur d’un site Internet n’est autorisée que pour permettre une utilisation concrète de ce site et, d’autre part, ces données doivent être effacées à la fin de la session de consultation considérée si elles ne sont pas requises à des fins de facturation. Or, une telle lecture restrictive de l’article 15, paragraphe 1, du TMG s’opposerait à ce que la conservation des adresses IP soit autorisée pour garantir, de manière générale, la sécurité et la continuité du bon fonctionnement des médias en ligne.