La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de la culture d’une demande d’avis concernant un projet de décret modifiant le décret 2010-236 relatif au traitement automatisé de données à caractère personnel autorisé par l’article L. 331-29 du code de la propriété intellectuelle ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données, ci-après RGPD ) ;
Vu le code de la propriété intellectuelle, notamment son article L. 331-29 ;
Vu le code des postes et des communications électroniques, notamment ses articles L. 34-1 et R. 10-13 ;
Vu la loi n° 2009-669 du 12 juin 2009 favorisant la diffusion et la protection de la création sur Internet et créant la Haute Autorité pour la diffusion des œuvres et la protection des droits sur Internet (ci-après HADOPI ) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée par la loi n° 2018-493 du 20 juin 2018 relative à la protection des données à caractère personnel ;
Vu le décret n° 2010-236 du 5 mars 2010 relatif au traitement automatisé de données à caractère personnel autorisé par l’article L. 331-29 du code de la propriété intellectuelle dénommé Système de gestion des mesures pour la protection des œuvres sur Internet modifié par le décret n° 2011-264 du 11 mars 2011 ;
Sur la proposition de M. Christian KERT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
Le ministère de la culture a saisi la Commission d’une demande d’avis concernant un projet de décret modifiant le décret n° 2010-236 relatif au traitement automatisé de données à caractère personnel autorisé par l’article L. 331-29 du code de la propriété intellectuelle dénommé Système de gestion des mesures pour la protection des œuvres sur Internet .
Sur la modification apportée
Le projet de décret soumis à la Commission vise à ajouter le port source parmi les données pouvant être enregistrées par la HADOPI dans le traitement de la procédure de réponse graduée et, plus précisément, sur la partie relative à l’identification des abonnés qui, à ce jour, ne se base que sur la seule adresse IPv4.
Selon le ministère de la culture, en raison de la pénurie des adresses IPv4, les fournisseurs d’accès à Internet ont de plus en plus recours au partage de ces adresses entre plusieurs abonnés, en dédiant à chaque abonné une plage de ports associée à l’adresse IPv4.
Cette pratique rendrait impossible l’identification du titulaire d’abonnement à partir de la seule adresse IPv4 horodatée et ferait obstacle à la pleine efficacité de la mise en œuvre de la procédure de réponse graduée.
La Commission note que la collecte du port source permettrait à la HADOPI de conserver, de traiter et de transmettre cette donnée aux fournisseurs d’accès à Internet, en complément de l’adresse IPv4 horodatée, en vue de l’identification des abonnés dont l’adresse IPv4 est partagée.
La Commission considère qu’il s’agit d’une adaptation technique permettant le fonctionnement de la procédure de réponse graduée telle que confiée par le législateur à la Commission de protection des droits de la HADOPI.
Dans ce contexte, la Commission n’a pas d’observations sur le projet de décret qui lui a été soumis.
La Présidente
Marie-Laure Denis