(Demande d’autorisation n° 1749706)
La Commission nationale de l'informatique et des libertés,
Saisie par la société WAKANIM d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel aux fins d’exercice de son droit à un recours juridictionnel contre des personnes ayant mis à disposition sur internet des contenus protégés par la propriété intellectuelle sans son autorisation ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25.I.3°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Joëlle FARCHY, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La société WAKANIM gère une plateforme de vidéos à la demande (ou « video on demand » - VOD) spécialisée dans la diffusion de séries d'animation japonaises. Elle assure le doublage en français de ces séries dont elle détient les droits d’exploitation exclusifs.
Afin de défendre ses droits, la société WAKANIM souhaite d’abord collecter et traiter les données relatives aux connexions depuis lesquelles les œuvres protégées sont mises en ligne sur les réseaux d’échanges de fichiers dénommés « pair à pair ». La société souhaite ensuite obtenir par la voie judiciaire les coordonnées des internautes concernés auprès de leurs fournisseurs d’accès à internet.
Le traitement permet l’exercice effectif du droit à un recours juridictionnel d’une victime contre les auteurs de faits qu’elle estime être des infractions au sens de la décision du Conseil constitutionnel du 29 juillet 2004 rendue sur l’article 9 de la loi du 6 janvier 1978 modifiée.
Ainsi, la Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-3° de ladite loi, qui soumet à autorisation les traitements automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.
Sur la finalité du traitement :
Le dispositif soumis à la Commission a pour finalité la collecte d’informations relatives aux connexions à l’origine de la mise en ligne de contenus protégés par des droit de propriété intellectuelle. Les traitements mis en œuvre ne porteront que sur les mises à disposition d’œuvres appartenant au catalogue de la société WAKANIM c’est-à-dire pour lesquelles elle dispose de droits d’exploitation exclusifs.
La société WAKANIM procède en plusieurs étapes :
dans un premier temps, elle recourt  aux services d’un prestataire technique la société la société TMC Right afin de rechercher les fichiers mis en ligne sur les réseaux pair-à-pair. Cette société effectue une recherche active de tous les référencements comportant le nom de l’œuvre dont WAKANIM détient les droits. Ces fichiers sont contrôlés et validés par le prestataire afin d’éliminer les leurres et les versions incomplètes. Les données relatives à la connexion impliquée dans la mise en ligne de l’œuvre protégée sont enfin collectées ;
dans un second temps, ces informations sont transmises à un cabinet d’avocat mandaté par WAKANIM afin d’obtenir auprès des fournisseurs d’accès à internet, par la voie judiciaire, l’identité et l’adresse des internautes concernés ;
à l’issue de cette première procédure aux fins d’obtention judiciaire des adresses physiques, la société WAKANIM décide des poursuites à engager.
La Commission considère que cette finalité est déterminée, explicite et légitime.
Sur la nature des données traitées :
Les données traitées par le prestataire et transmises au cabinet d’avocat sont :
l’adresse réseau (IP) ;
la date et heure de la connexion ;
l’identifiant de l’utilisateur ;
le nom du fichier mis en ligne ainsi que l’URL correspondante ;
le nom du fournisseur d’accès à Internet.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
Les données de connexion collectées par la société TMC Right sont conservées un jour dans leur serveur avant transmission au cabinet d’avocat ZBACZYNIAK.
Ces données de connexion sont ensuite conservées par le cabinet d’avocats le temps de réaliser l’assignation du fournisseur d’accès à Internet concerné et d’obtenir l’identité et l’adresse de résidence de l’abonné. Elles sont supprimées après l’obtention par voie judiciaire de ces éléments.
Votre rapporteur considère que cette durée de conservation est proportionnée à la finalité poursuivie.
Sur les destinataires des données :
Les destinataires des données seront dans la limite de leurs attributions et pour la poursuite de la finalité précitée, le personnel habilité de la société TMC Right, du cabinet d’avocat ZBACZYNIAK et les autorités judiciaires.
Sur l'information et les droits des personnes :
Le responsable de traitement fait figurer sur son site Internet une information générale sur l’existence du traitement précisant son identité, la finalité du traitement, les destinataires des données et la manière d’exercer les droits d’accès, de rectification et d’opposition. Les droits des internautes s’exercent par envoi de message électronique à la société WAKANIM.
Sur la sécurité des données et la traçabilité des actions :
Les échanges de données sont réalisés au moyen de canaux sécurisés. Les données échangées sont chiffrées par des moyens appropriés (clés USB sécurisées).
Concernant le sous-traitant TMC Right, des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur.
Sous réserve des observations de la Commission, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise la société WAKANIM à mettre en œuvre un traitement de données à caractère personnel aux fins d’exercice de son droit à un recours juridictionnel contre des personnes ayant mis à disposition sur Internet sans son autorisation des contenus sur lesquels elle dispose de droits exclusifs d’exploitation.
La Présidente
I. FALQUE-PIERROTIN