CJUE – Breyer – C-582/14

Décision

Autorité:

Cour de Justice de l'UE

Numéro:

C-582/14

Nom:

Breyer

Date:

19 octobre 2016

Pays:

Allemagne

Lien:

Cliquer ici

Contexte

A venir !

Apport(s)
Donnée à caractère personnel - Limites : Moyen légal et raisonnable d'identifier - Exemple des adresses IP - Admission Extrait(s) pertinent(s)44. Le fait que les informations supplémentaires nécessaires pour identifier l’utilisateur d’un site Internet sont détenues non pas par le fournisseur de services de médias en ligne, mais par le fournisseur d’accès à Internet de cet utilisateur, n’apparaît ainsi pas de nature à exclure que les adresses IP dynamiques enregistrées par le fournisseur de services de médias en ligne constituent, pour celui-ci, des données à caractère personnel au sens de l’article 2, sous a), de la directive 95/46. 45. Il convient cependant de déterminer si la possibilité de combiner une adresse IP dynamique avec lesdites informations supplémentaires détenues par ce fournisseur d’accès à Internet constitue un moyen susceptible d’être raisonnablement mis en œuvre pour identifier la personne concernée. 46. Ainsi que l’a relevé en substance M. l’avocat général au point 68 de ses conclusions, tel ne serait pas le cas si l’identification de la personne concernée était interdite par la loi ou irréalisable en pratique, par exemple en raison du fait qu’elle impliquerait un effort démesuré en termes de temps, de coût et de main-d’œuvre, de sorte que le risque d’une identification paraît en réalité insignifiant. Article(s) du RGPD Article 4 – Définitions Fait référence à Autres informations
Intérêt légitime - Restriction au moyen d’une règlementation nationale [visant à transposer la directive 95/46] empêchant la collecte et l’utilisation des données à caractère personnel par un fournisseur de service de médias en ligne sauf pour garantir le fonctionnement du service et sa facturation - Inconventionalité Extrait(s) pertinent(s)64. Il résulte de l’ensemble des considérations qui précèdent qu’il convient de répondre à la seconde question que l’article 7, sous f), de la directive 95/46 [article 6 du RGPD] doit être interprété en ce sens qu’il s’oppose à une réglementation d’un État membre en vertu de laquelle un fournisseur de services de médias en ligne ne peut collecter et utiliser des données à caractère personnel afférentes à un utilisateur de ces services, en l’absence du consentement de celui-ci, que dans la mesure où cette collecte et cette utilisation sont nécessaires pour permettre et facturer l’utilisation concrète desdits services par cet utilisateur, sans que l’objectif visant à garantir la capacité générale de fonctionnement des mêmes services puisse justifier l’utilisation desdites données après une session de consultation de ceux-ci. Elements de compréhension: 28. Selon la juridiction de renvoi, si et dans la mesure où il est nécessaire que le fournisseur de services de médias en ligne prenne des mesures pour lutter contre [des attaques informatiques], ces mesures pourraient être considérées comme nécessaires pour « permettre […] l’utilisation des médias électroniques » en vertu de l’article 15 [de la réglementation en cause]. Cependant, la doctrine défendrait majoritairement le point de vue selon lequel, d’une part, la collecte et l’utilisation des données à caractère personnel d’un utilisateur d’un site Internet n’est autorisée que pour permettre une utilisation concrète de ce site et, d’autre part, ces données doivent être effacées à la fin de la session de consultation considérée si elles ne sont pas requises à des fins de facturation. Or, une telle lecture restrictive de l’article 15, paragraphe 1, du TMG s’opposerait à ce que la conservation des adresses IP soit autorisée pour garantir, de manière générale, la sécurité et la continuité du bon fonctionnement des médias en ligne. Article(s) du RGPD Article 6 – Licéité du traitement Fait référence à Autres informations

Apport(s)

Donnée à caractère personnel - Limites : Moyen légal et raisonnable d'identifier - Exemple des adresses IP - Admission

Extrait(s) pertinent(s)44. Le fait que les informations supplémentaires nécessaires pour identifier l’utilisateur d’un site Internet sont détenues non pas par le fournisseur de services de médias en ligne, mais par le fournisseur d’accès à Internet de cet utilisateur, n’apparaît ainsi pas de nature à exclure que les adresses IP dynamiques enregistrées par le fournisseur de services de médias en ligne constituent, pour celui-ci, des données à caractère personnel au sens de l’article 2, sous a), de la directive 95/46.

45. Il convient cependant de déterminer si la possibilité de combiner une adresse IP dynamique avec lesdites informations supplémentaires détenues par ce fournisseur d’accès à Internet constitue un moyen susceptible d’être raisonnablement mis en œuvre pour identifier la personne concernée.

46. Ainsi que l’a relevé en substance M. l’avocat général au point 68 de ses conclusions, tel ne serait pas le cas si l’identification de la personne concernée était interdite par la loi ou irréalisable en pratique, par exemple en raison du fait qu’elle impliquerait un effort démesuré en termes de temps, de coût et de main-d’œuvre, de sorte que le risque d’une identification paraît en réalité insignifiant.
Article(s) du RGPD Article 4 – Définitions
Fait référence à
Autres informations

Intérêt légitime - Restriction au moyen d’une règlementation nationale [visant à transposer la directive 95/46] empêchant la collecte et l’utilisation des données à caractère personnel par un fournisseur de service de médias en ligne sauf pour garantir le fonctionnement du service et sa facturation - Inconventionalité

Extrait(s) pertinent(s)64. Il résulte de l’ensemble des considérations qui précèdent qu’il convient de répondre à la seconde question que l’article 7, sous f), de la directive 95/46 [article 6 du RGPD] doit être interprété en ce sens qu’il s’oppose à une réglementation d’un État membre en vertu de laquelle un fournisseur de services de médias en ligne ne peut collecter et utiliser des données à caractère personnel afférentes à un utilisateur de ces services, en l’absence du consentement de celui-ci, que dans la mesure où cette collecte et cette utilisation sont nécessaires pour permettre et facturer l’utilisation concrète desdits services par cet utilisateur, sans que l’objectif visant à garantir la capacité générale de fonctionnement des mêmes services puisse justifier l’utilisation desdites données après une session de consultation de ceux-ci.

Elements de compréhension: 28. Selon la juridiction de renvoi, si et dans la mesure où il est nécessaire que le fournisseur de services de médias en ligne prenne des mesures pour lutter contre [des attaques informatiques], ces mesures pourraient être considérées comme nécessaires pour « permettre […] l’utilisation des médias électroniques » en vertu de l’article 15 [de la réglementation en cause]. Cependant, la doctrine défendrait majoritairement le point de vue selon lequel, d’une part, la collecte et l’utilisation des données à caractère personnel d’un utilisateur d’un site Internet n’est autorisée que pour permettre une utilisation concrète de ce site et, d’autre part, ces données doivent être effacées à la fin de la session de consultation considérée si elles ne sont pas requises à des fins de facturation. Or, une telle lecture restrictive de l’article 15, paragraphe 1, du TMG s’opposerait à ce que la conservation des adresses IP soit autorisée pour garantir, de manière générale, la sécurité et la continuité du bon fonctionnement des médias en ligne.
Article(s) du RGPD Article 6 – Licéité du traitement
Fait référence à
Autres informations

Références

Cette décision cite...

Cette décision est citée par...

> CJUE – IAB Europe – C-604/22

7 mars 2024

> CJUE – SCHUFA Holding (Scoring) – C-634/21

7 décembre 2023

Signaler une erreur / Faire une suggestion