La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment ses articles 9-4° et 25-3°;
Vu le Code de la propriété intellectuelle et notamment ses articles L. 321-1, L. 331-1, L. 331- 2, L. 331-3, L. 335-3 et L. 335-4 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la décision n° 2004-499 DC du Conseil constitutionnel du 29 juillet 2004 concernant la loi relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la demande d'autorisation, présentée par l'Association de Lutte contre la Piraterie Audiovisuelle (ALPA) d'un traitement de données à caractère personnel ayant pour finalité principale la recherche des auteurs de contrefaçons audiovisuelles ;
Après avoir entendu M. Emmanuel de Givry, commissaire en son rapport et Mme Pascale Compagnie,
Le 21 juillet 2005, l'Association de Lutte contre la Piraterie Audiovisuelle (ALPA) a saisi la Commission nationale de l'informatique et des libertés d'une demande d'autorisation, conformément à l'article 25-3° de la loi du 6 janvier 1978 modifiée en août 2004, relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité principale la recherche des auteurs de contrefaçons audiovisuelles.
Cette demande d'autorisation porte plus précisément sur :
- la gestion des procès-verbaux et rapports rédigés à l'occasion de la constatation de faits de contrefaçon ;
la recherche et la constatation des faits de contrefaçons sur internet concernant des oeuvres audiovisuelles, ayant fait l'objet ou non, d'un procédé de marquage ou "watermarking".
Elle s'inscrit ainsi dans le cadre de l'article 9-4° de 1a loi du 6 janvier 1978 modifiée qui dispose que les personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d'atteintes aux droits prévus aux livres Ier, Il et III du même code aux fins d'assurer la défense de ces droits, peuvent procéder au traitement de données à caractère personnel relatives aux infractions.
L'ALPA est un organisme de défense professionnelle régulièrement constitué conformément à l'article L. 331-1 précité.  Cet organisme a été créé en 1985 à l'initiative des pouvoirs publics et des professionnels de l'audiovisuel avec pour principal objet de lutter contre la contrefaçon des oeuvres audiovisuelles.  Il dispose de plusieurs enquêteurs assermentés par le ministère de la culture conformément aux dispositions de l'article L. 331-2 du Code de la Propriété Intellectuelle.  L'ALPA fait dès lors partie des organismes habilités aux termes de la loi à mettre en oeuvre les traitements prévus à l'article 9-4° de la loi du 6 janvier 1978 modifiée.  Les traitements présentés par l'ALPA ne porteront que sur la protection des oeuvres audiovisuelles appartenant au catalogue des membres dont elle défend les intérêts.
Sur les traitements relatifs à la recherche et la constatation des actes de contrefaçon sur internet :
Les investigations effectuées par les agents assermentés sur internet ne se limitent pas aux réseaux d'échanges de fichiers dits "peer to peer", mais visent également les sites de ventes aux enchères, les sites de petites annonces ou encore ceux proposant le téléchargement d'oeuvres audiovisuelles à titre payant ou non.  Les agents de l'ALPA utilisent également des logiciels de discussion en ligne dans le cadre desquels les internautes échangent en direct des fichiers.
Dans le cadre des contrôles relatifs aux sites de ventes aux enchères, de petites annonces ou proposant le téléchargement d'eeuvres audiovisuelles, les agents assermentés de i'ALPA se connectent au site internet et relèvent les informations mises à disposition par la personne proposant la contrefaçon en vue de pouvoir être contactée.  C'est ainsi que PALPA est susceptible de traiter les informations relatives à l'identité de la personne, à son pseudonyme, à son adresse personnelle ou professionnelle, à sa profession, à son adresse de courrier électronique ou encore au nom de domaine du site internet concerné.
Pour les recherches effectués sur les réseaux d'échanges de fichiers "peer to peer". les agents assermentés utilisent différents logiciels.  Ils saisissent manuellement le titre de l'oeuvre appartenant au catalogue de l'un de leurs adhérents pour lesquelles ils souhaitent effectuer une requête.
Le logiciel de "peer to peer" affiche ensuite en réponse une liste de fichiers dont les caractéristiques correspondent à l'oeuvre audiovisuelle sur laquelle porte la vérification.  Le fichier est alors téléchargé afin de s'assurer qu'il s'agit bien de l'oeuvre objet de la requête.
Le dispositif permet de collecter différentes informations relatives aux fichiers mis à disposition, au réseau "peer to peer" utilisé et à l'internaute concerné.  Des "copies écran" sont réalisées afin d'être communiquées lors du dépôt de plainte.
Les données collectées par le dispositif à l'occasion d'une requête sont :
- l'adresse IP de l'internaute,
- le nom du fournisseur d'accès,
- le pays d'origine,
- le pseudonyme utilisé,
- le réseau de "peer to peer" concerné,
- la date et l'heure de mise à disposition.
D'autres informations relatives aux a,uvres contrefaites ou au contexte de la mise à disposition sont aussi portées sur le procès-verbal, il s'agit de la date de mise à disposition ;
- du procédé de mise à disposition ;
- du titre de l'oeuvre ;
- de la langue dans laquelle elle est diffusée ;
- de la présence ou non de sous-titres ;
- du support de diffusion ;
- du prix ;
- du nombre d'exemplaires.
En outre, l'ALPA conserve les informations relatives aux tiers qui ont appelé son attention sur les faits constitutifs d'infractions au Code de la propriété intellectuelle, ainsi que l'indication des services de police ou de gendarmerie en charge de l'instruction des plaintes.
Les traitements décrits ci-dessus ont pour seul objet de permettre aux agents assermentés de dresser un procès-verbal portant sur la constatation de faits de contrefaçon aux fins de permettre l'engagement de poursuites pénales ou civiles à l'encontre des auteurs présumés des infractions.
A ce stade, la Commission observe qu'en tant que telle, l'utilisation d'un logiciel de "peer to peer" aux fins de procéder à la constatation d'un acte de contrefaçon constitue un traitement de données à caractère personnel notamment dans la mesure où les agents assermentés procèdent à la collecte, la consultation, la conservation et l'enregistrement de l'adresse IP des internaute qui constitue une donnée à caractère personnel puisqu'elle permet d'identifier indirectement la personne physique titulaire d'un abonnement à internet.
Sur les traitements relatifs à la recherche sur internet d'oeuvres ayant au préalable fait l'objet d'un "marquage" :
L'ALPA souhaite également procéder à la recherche sur internet d'oeuvres ayant au préalable fait l'objet d'un "marquage".  En l'espèce, la technique consiste à intégrer dans l'oeuvre un identifiant associé à l'identité de la personne à laquelle elle sera remise ce qui permet lors de la surveillance des oeuvres circulant sur les réseaux de détecter et d'identifier la personne à la source de la mise à disposition.  La relecture de l'oeuvre ainsi marquée à l'aide d'un appareil dédié permet de retrouver cette marque quel que soit le format vidéo (analogique, numérique) ou la compression utilisée.  Il peut s'agir également de l'apposition d'une donnée à caractère personnel du destinataire (nom et prénom) apparaissant soit sur le support (physique) soit sur le contenu lors de son visionnage.
La mise en oeuvre d'un tel dispositif implique en amont la gestion de bases de données dans lesquelles figurent le nom, le prénom et la fonction de la personne associée à l'identifiant unique de l'oeuvre.  En l'espèce, les catégories de personnes concernées seront exclusivement des professionnels du secteur audiovisuel.
L'ALPA procédera à la surveillance des réseaux d'échanges de fichiers.  Il lui suffira pour ce faire d'effectuer une requête de téléchargement sur une oeuvre qui a fait l'objet d'un "tatouage" et d'analyser les fichiers audiovisuels obtenus en réponse afin de déterminer s'il s'agit d'un des exemplaires qui a été marqué.
L'ALPA précise que cette phase ne donnera lieu ni à la collecte, ni à l'enregistrement de données directement ou indirectement personnelles (adresses IP) relatives aux internautes mettant à disposition les oeuvres ou en permettant l'accès.
Les agents assermentés de l'ALPA, constateront la mise à disposition d'une oeuvre et la présence d'un tatouage dans le fichier téléchargé ou obtenu dans le "monde physique" et effectueront la mise en relation entre l'identifiant figurant dans le fichier et la base de données nominatives qu'ils seront les seuls à détenir et à pouvoir consulter.  En fonction de la technologie de "tatouage" utilisée, l'ALPA pourra faire appel à un prestataire technique aux seules fins d'extraire l'identifiant unique inscrit dans le fichier et de le communiquer exclusivement aux agents assermentés.
Les traitements réalisés dans le cadre du suivi des oeuvres "marquées" ont pour seul objet de permettre aux agents assermentés de dresser un procès-verbal portant sur la constatation de faits de contrefaçon et non sur la mise en cause directe d'une personne. C'est à la seule autorité judiciaire saisie qu'il appartiendra d'en déterminer l'éventuelle imputabilité :
soit dans le cadre d'une procédure pénale où l'enquête diligentée sous la responsabilité d'un magistrat permettra l'éventuelle mise en cause de la personne destinataire du support marqué ou de toute autre personne à l'origine de la contrefaçon ;
- soit dans le cadre d'une procédure civile à l'encontre du professionnel concerné au titre de la responsabilité de droit commun.
L'ALPA informera par courrier les personnes concernées qu'un lien sera effectué entre leur identité et un identifiant unique enregistré au sein de l'oeuvre qui leur sera remise.  Elles seront également informées que des contrôles seront réalisés sur internet dans la perspective de réaliser des actions en justice.  Il leur sera également précisé l'existence de leur droit d'accès et de rectification.  La délivrance de cette information se fera au plus tard lors de la remise de l'oeuvre marquée.
Sur les traitements relatifs à la gestion des procès-verbaux et rapports :
Rédigés par les agents assermentés de l'ALPA, ces documents portent aussi bien sur la constatation de faits de contrefaçon commis sur internet que dans le monde "physique", par exemple à l'occasion de contrôles effectués dans les vidéoclubs ou sur les marchés.  Les procès-verbaux et rapports précités, sont dans un premier temps, établis au forirnat numérique.  Une fois finalisés, ils sont édités au format papier, classés et archivés le temps de la procédure judiciaire.  La version numérique est supprimée à compter de l'édition papier du document.
La Commission prend acte que, conformément aux dispositions de l'article L. 34-1 du code des postes et des communications électroniques, les adresses IP faisant l'objet des traitements mis en oeuvre par l'ALPA ne sont recueillies que pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales, et dans le seul but de permettre, en tant que de besoin, la mise à disposition de l'autorité judiciaire d'informations. Dès lors, ces données ne pourront acquérir un caractère nominatif que dans le cadre d'une procédure judiciaire, ce qui est de nature à préserver l'équilibre entre la protection des droits reconnus aux personnes dont les données sont traitées et la protection des droits dont bénéficient les auteurs et leurs ayants droits.
La Commission considère que les traitements relatifs à la recherche de contrefaçons sur internet sont proportionnés à la finalité poursuivie, dans la mesure où ils n'ont pas pour objet de permettre un fichage systématique et exhaustif des personnes mettant à disposition des oeuvres audiovisuelles ou procédant à l'échange de fichiers via les protocoles de communication "peer to peer", mais la réalisation d'actions ponctuelles et ciblées strictement limitées aux besoins de la lutte contre la contrefaçon.  A cet égard, la Commission relève que les traitements réalisés ne reposent pas sur l'utilisation d'un procédé permettant d'automatiser l'ensemble de la chaîne de recherche et de constatation des infractions au code de la propriété intellectuelle.
En outre, la Commission prend acte que les traitements réalisés par les agents assermentés de l'ALPA sont initiés sur la base de critères qualitatifs et ont principalement pour objet de lutter contre les persomles physiques ou morales à l'origine même des préjudices subis par la filière audiovisuelle.
Enfin la Commission observe que les procès-verbaux à l'origine des poursuites engagées à l'encontre des internautes seront dressés par un agent assermenté désigné par l'ALPA et agréé par le ministère de la culture conformément aux dispositions de l'article L. 331-2 du Code de la propriété intellectuelle.
Le droit d'accès défini au chapitre VII de la loi s'exerce auprès de l'Association de lutte contre la Piraterie Audiovisuelle, 6 rue de Madrid 75008 Paris.
Les catégories de données à caractère personnel enregistrées sont ;
- s'agissant des traitements ayant pour objet la recherche et la constatation de délits de contrefaçon commis dans le "monde physique" ou sur les sites de ventes aux enchères, de petites annonces ou proposant le téléchargement d'oeuvres audiovisuelles : le nom et le prénom de la personne, le pseudonyme, l'adresse personnelle ou professionnelle, la profession, l'adresse de courrier électronique et le nom de domaine du site internet concerné ;
- s'agissant des traitements ayant pour objet la détection et la constatation de délits de contrefaçon commis sur les réseaux "peer to peer" ou de messagerie instantanée, en dehors de la gestion des oeuvres "marquées" :  l'adresse IP de l'internaute, le nom du fournisseur d'accès, le pays d'origine, le pseudonyme utilisé, le réseau de "peer to peer" concerné, la date et l'heure de mise à disposition ;
- s'agissant de la gestion des pauvres "marquées" : l'identifiant unique de l'oeuvre, le nom, le prénom et à la fonction de la personne associée à qui l'oeuvre est remise.
Les destinataires des informations seront :
- les agents assermentés de l'ALPA, agréés par le ministère de la culture dans la limite de l'accomplissement de leurs missions ;
- les autorités judiciaires ;
- le titulaire des droits aux fins de lui permettre de se constituer partie civile et d'obtenir réparation du préjudice ;
- les personnes du service juridique du Centre National de la Cinématographie (CNC) habilitées en raison de leurs fonctions conformément aux dispositions de l'article L. 331-3 du Code de la propriété intellectuelle ;
- les syndicats professionnels en charge de la défense des intérêts généraux de la profession aux fins de la défense des intérêts, matériels et moraux, de leurs adhérents ;
- le doyen des juges d'instruction du tribunal territorialement compétent dans le cadre d'un dépôt de plainte avec constitution de partie civile.
Enfin, le bureau de la Motion Picture Association (MPA) à Bruxelles, bureau de représentation d'une entité juridique étrangère soumis au droit belge, pourra également être destinataire des données à caractère personnel :
- à l'occasion d'actions anti-piraterie coordonnées au sein de pays membres de l'Union Européenne s'agissant d'actes de contrefaçons portant atteinte aux intérêts des membres de l'ALPA ;
- à l'occasion de transmissions de supports physiques dans le but d'extraire et analyser des "tatouages" apposés par les ayants droits situés en dehors de l'Union mais dont les intérêts y sont représentés par le bureau de représentation de la MPA à Bruxelles.
Dans ces conditions la Commission autorise l'ALPA à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité principale la recherche des auteurs de contrefaçons audiovisuelles.
La Commission demande que l'ALPA lui adresse au terme d'un délai d'un an un bilan quantitatif et qualitatif sur les conditions de déploiement dudit traitement.
Le président Alex TURK.