Affaire C‑582/14
Patrick Breyer
contre
Bundesrepublik Deutschland
(demande de décision préjudicielle, introduite par le Bundesgerichtshof)
« Renvoi préjudiciel – Traitement des données à caractère personnel – Directive 95/46/CE – Article 2, sous a) – Article 7, sous f) – Notion de “données à caractère personnel” – Adresses de protocole Internet – Conservation par un fournisseur de services de médias en ligne – Réglementation nationale ne permettant pas la prise en compte de l’intérêt légitime poursuivi par le responsable du traitement »
Sommaire – Arrêt de la Cour (deuxième chambre) du 19 octobre 2016
1.        Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Directive 95/46 – Champ d’application – Données à caractère personnel – Notion – Adresse de protocole Internet dynamique enregistrée par un fournisseur de services de médias en ligne lors de la consultation par une personne d’un site Internet – Inclusion – Condition – Existence de moyens légaux permettant au fournisseur de médias en ligne de faire identifier la personne concernée grâce aux informations supplémentaires détenues par le fournisseur d’accès à Internet
[Directive du Parlement européen et du Conseil 95/46, art. 2, a)]
2.        Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Directive 95/46 – Conditions de licéité d’un traitement de données à caractère personnel – Réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le destinataire des données – Réglementation nationale ne permettant pas la prise en compte de l’intérêt légitime du fournisseur de services de médias en ligne à garantir la capacité générale de fonctionnement desdits services – Inadmissibilité
[Directive du Parlement européen et du Conseil 95/46, art. 7, f)]
1.      L’article 2, sous a), de la directive 95/46, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, doit être interprété en ce sens qu’une adresse de protocole Internet (adresse IP) dynamique enregistrée par un fournisseur de services de médias en ligne à l’occasion de la consultation par une personne d’un site Internet que ce fournisseur rend accessible au public constitue, à l’égard dudit fournisseur, une donnée à caractère personnel au sens de cette disposition, lorsqu’il dispose de moyens légaux lui permettant de faire identifier la personne concernée grâce aux informations supplémentaires dont dispose le fournisseur d’accès à Internet de cette personne.
En effet, le fait que les informations supplémentaires nécessaires pour identifier l’utilisateur d’un site Internet sont détenues non pas par le fournisseur de services de médias en ligne, mais par le fournisseur d’accès à Internet de cet utilisateur, n’est pas de nature à exclure que les adresses IP dynamiques enregistrées par le fournisseur de services de médias en ligne constituent, pour celui-ci, des données à caractère personnel au sens de l’article 2, sous a), de la directive 95/46.
(voir points 44, 49, disp. 1)
2.      L’article 7, sous f), de la directive 95/46, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, doit être interprété en ce sens qu’il s’oppose à une réglementation d’un État membre en vertu de laquelle un fournisseur de services de médias en ligne ne peut collecter et utiliser des données à caractère personnel afférentes à un utilisateur de ces services, en l’absence du consentement de celui-ci, que dans la mesure où cette collecte et cette utilisation sont nécessaires pour permettre et facturer l’utilisation concrète desdits services par cet utilisateur, sans que l’objectif visant à garantir la capacité générale de fonctionnement des mêmes services puisse justifier l’utilisation desdites données après une session de consultation de ceux‑ci.
En effet, l’article 7, sous f), de ladite directive s’oppose à ce qu’un État membre exclue de façon catégorique et généralisée la possibilité pour certaines catégories de données à caractère personnel d’être traitées, sans permettre une pondération des droits et des intérêts opposés en cause dans un cas particulier. Un État membre ne saurait ainsi prescrire, pour ces catégories, de manière définitive, le résultat de la pondération des droits et des intérêts opposés, sans permettre un résultat différent en raison de circonstances particulières d’un cas concret.
(voir points 62, 64, disp. 2)