La Commission nationale de l'informatique et des libertés,
Saisie d'une demande d'autorisation d'un traitement automatisé de données à caractère personnel ayant pour finalités l'envoi aux internautes de messages pédagogiques et la constatation des infractions au code de la propriété intellectuelle dans le cadre de l'utilisation des protocoles de communication "peer to peer" ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 9-4° et 25-I-3° ;
Vu la décision n° 2004-499 DC du Conseil constitutionnel du 29 juillet 2004 concernant la loi relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Emmanuel de Givry, commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, Commissaire du Gouvernement en ses observations,
Faisant application des dispositions de l'article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements portant sur des données relatives aux infractions, condamnations ou mesures de sûreté,
Formule les observations suivantes :
Le 28 décembre 2004, le Syndicat des Editeurs de Logiciels de Loisirs (SELL) a saisi la Commission nationale de l'informatique et des libertés d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalités, d'une part, l'envoi de messages pédagogiques informant les internautes sur les sanctions prévues en matière de délit de contrefaçon, d'autre part, la constatation desdits délits commis via les réseaux d'échanges de fichiers dénommés "peer to peer".
Le dispositif présenté par le SELL s'inscrit dans le cadre de l'article 9-4° de la loi du 6 janvier 1978 modifiée qui dispose que les personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d'atteintes aux droits prévus aux livres Ier, II et III du même code aux fins d'assurer la défense de ces droits, peuvent procéder au traitement de données à caractère personnel relatives aux infractions.
Le SELL est un organisme de défense professionnelle régulièrement constitué tel que visé à l'article L. 331-1 précité qui a qualité pour ester en justice pour la défense des intérêts dont il a statutairement la charge, parmi lesquels figure "la protection et la défense des droits et intérêts collectifs et professionnels de ses membres" auxquelles il contribue "notamment en luttant activement contre le piratage et la contrefaçon". Le SELL fait dès lors partie des organismes habilités aux termes de la loi à mettre en oeuvre les traitements prévus à l'article 9-4° de la loi du 6 janvier 1978 modifiée.
Les traitements présentés par le SELL ne porteront que sur la protection des logiciels de loisirs appartenant au catalogue des membres dont il défend les intérêts. Les logiciels constituent des oeuvres de l'esprit telles que définies par l'article L. 112-2-13° du Code de la propriété intellectuelle et à ce titre, bénéficient du régime juridique applicable en matière de protection des droits d'auteur. Ainsi, conformément aux dispositions de l'article L. 335-3 du code précité, constitue également un délit de contrefaçon la violation de l'un des droits de l'auteur d'un logiciel.
S'agissant des traitements ayant pour objet l'envoi de messages informant les personnes sur le caractère illicite de leur comportement et sur les sanctions qu'elles encourent en cas de poursuites, la Commission prend acte qu'ils ne donneront lieu à aucun procès-verbal de constat d'infraction et qu'aucune donnée à caractère personnel ne sera conservée à cette occasion.
Les données traitées dans le cadre de l'envoi de messages sont les éléments de l'adresse IP permettant d'identifier le fournisseur d'accès auprès duquel l'internaute a souscrit un abonnement, ainsi que les références de l'oeuvre mise en partage. En pratique, l'envoi du message se fait par le biais de fonctionnalités de communication intégrées dans la plupart des logiciels de "peer to peer". A cette occasion, l'adresse IP est traitée instantanément pour envoyer le message à son destinataire et n'est pas conservée.
Pour assurer la détection et la constatation de délits de contrefaçon commis via les réseaux "peer to peer", le SELL a recours aux services d'un prestataire qui dispose des moyens techniques nécessaires à la mise en oeuvre desdits traitements. Le dispositif technique utilisé par le SELL comporte, comme les logiciels de "peer to peer" classiques, un moteur de recherche permettant d'effectuer des requêtes sur la base du nom d'un fichier, en l'espèce, le nom d'un logiciel appartenant au catalogue d'un éditeur adhérent du SELL.
Une fois la requête effectuée, le dispositif affiche en réponse une liste de fichiers dont les caractéristiques correspondent au logiciel sur lequel porte la vérification. C'est également à cette occasion que sont collectées les informations nécessaires pour dresser le procès verbal, à savoir : l'adresse IP de la machine connectée, le nom du fournisseur d'accès ayant affecté cette adresse IP, le pays d'origine, le cas échéant, le pseudonyme utilisé, le protocole de communication de "peer to peer" concerné, la date et l'heure de mise à disposition du fichier, le pourcentage de détention du fichier, le nombre de machines téléchargeant à partir de cette source, le mot-clé de désignation du fichier, la taille du fichier, la clé d'identification électronique unique du fichier, la qualité de compression et le débit potentiel de téléchargement à partir de la source mettant à disposition le fichier.
La Commission prend acte que, conformément aux dispositions de l'article L. 34-1 du code des postes et des communications électroniques, les données à caractère personnel faisant l'objet des traitements mis en oeuvre par le SELL ne sont recueillies que pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales, et dans le seul but de permettre, en tant que de besoin, la mise à disposition de l'autorité judiciaire d'informations. Dès lors, les données ne pourront acquérir un caractère nominatif que dans le cadre d'une procédure judiciaire.
En outre, les procès-verbaux à l'origine des poursuites engagées à l'encontre des internautes seront dressés par un agent assermenté désigné par le SELL et agréé par le ministère de la culture conformément aux dispositions de l'article L. 331-2 du Code de la propriété intellectuelle.
La Commission considère que les traitements présentés sont proportionnés à la finalité poursuivie, dans la mesure où ils n'ont pas pour objet de permettre un fichage systématique et exhaustif des internautes procédant à l'échange de fichiers via les protocoles de communication "peer to peer" mais la réalisation d'actions ponctuelles et ciblées strictement limitées aux besoins de la lutte contre la contrefaçon.
En outre, les garanties accompagnant la mise en oeuvre desdits traitements et notamment le fait que le rapprochement entre l'adresse IP affectée à la machine et l'identité de l'internaute ne pourra être effectué que sous le contrôle des autorités judiciaires, sont de nature à préserver l'équilibre entre la protection des droits reconnus aux personnes dont les données sont traitées et la protection des droits dont bénéficient les auteurs et leurs ayants droits.
Autorise le SELL à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalités l'envoi de messages pédagogiques informant les internautes sur les sanctions prévues en matière de délit de contrefaçon et la constatation des délits de contrefaçon commis via les protocoles de communication dénommés "peer to peer".
Le droit d'accès défini au chapitre VII de la loi s'exerce auprès du Syndicat des Editeurs de Logiciels de Loisirs, 17 rue Hamelin, 75783 Paris cedex 16.
Les catégories de données à caractère personnel enregistrées sont ;
- s'agissant des traitements ayant pour objet l'envoi de messages pédagogiques : l'adresse IP de la machine concernée ainsi que les références de l'oeuvre mise en partage.
- s'agissant des traitements ayant pour objet la détection et la constatation de délits de contrefaçon commis via les réseaux "peer to peer" en vue d'engager des poursuites : l'adresse IP de la machine connectée, le nom du fournisseur d'accès ayant affecté cette adresse IP, le pays d'origine, le cas échéant, le pseudonyme utilisé, le protocole de communication "peer to peer" concerné, la date et l'heure de mise à disposition du fichier, le pourcentage de détention du fichier, le nombre de machines téléchargeant à partir de cette source, le mot clé de désignation du fichier, la taille du fichier, la clé d'identification électronique unique du fichier, la qualité de compression et le débit potentiel de téléchargement à partir de la source mettant à disposition le fichier.
Les destinataires des informations sont l'agent assermenté du SELL agréé par le ministère de la culture dans la limite de l'accomplissement de ses missions, ainsi que les autorités judiciaires.
La Commission demande que le SELL lui adresse au terme d'un délai d'un an un bilan quantitatif et qualitatif sur les conditions de déploiement dudit traitement.
Le président, Alex Türk.