Conservation généralisée des adresses IP et accès de l’Arcom (ex-Hadopi) aux données d’identité civile : l’encadrement fixé par la Grande chambre de la CJUE (arrêt C-470/21).

Saisi par quatre associations de défense des libertés numériques (La Quadrature du Net, la Fédération des fournisseurs d’accès à Internet associatifs, Franciliens.net et French Data Network) d’un recours pour excès de pouvoir dirigé contre le refus d’abroger le décret n° 2010-236 du 5 mars 2010 relatif au traitement automatisé de données à caractère personnel mis en œuvre par la Haute Autorité pour la diffusion des œuvres et la protection des droits sur internet (Hadopi, devenue depuis le 1er janvier 2022 l’Autorité de régulation de la communication audiovisuelle et numérique — Arcom) sur le fondement de l’article L. 331-29 du Code de la propriété intellectuelle, le Conseil d’État avait sursis à statuer par sa célèbre décision d’Assemblée du 21 avril 2021 (French Data Network et autres, n° 393099).

Dans son arrêt La Quadrature du Net I du 6 octobre 2020 (aff. C-511/18, C-512/18 et C-520/18), la Cour de justice de l’Union européenne avait en effet semblé limiter la conservation généralisée et indifférenciée des adresses IP attribuées à la source d’une connexion à la seule sauvegarde de la sécurité nationale, à la lutte contre la criminalité grave et à la prévention des menaces graves contre la sécurité publique, tout en subordonnant l’accès des autorités publiques à ces données au contrôle préalable d’une juridiction ou d’une entité administrative indépendante. Or les atteintes au droit d’auteur commises par partage de fichiers sur les réseaux de pair à pair (contravention de négligence caractérisée ou délit de contrefaçon) ne relèvent pas nécessairement de la « criminalité grave », alors même que l’adresse IP constitue en pratique le seul moyen technique d’en identifier l’auteur.

Prenant acte de l’arrêt C-470/21 de la CJUE, le Conseil d’État a tranché définitivement le litige au fond par sa décision du 19 novembre 2024 (La Quadrature du Net et autres, n° 393099) :

• Validation du principe de la réponse graduée et injonction partielle de mise en conformité : le Conseil d’État confirme que le dispositif législatif et réglementaire français confiant à l’Arcom la mission d’adresser des recommandations d’avertissement aux titulaires d’abonnements internet ne méconnaît pas la directive 2002/58/CE en tant qu’il prévoit l’accès automatisé à l’identité civile correspondant aux adresses IP relevées lors des premier et deuxième manquements. En revanche, tirant les conséquences de la réserve formulée par la CJUE sur les situations susceptibles de révéler des informations précises sur la vie privée au stade de la récidive (troisième manquement susceptible de délibération en vue d’une saisine du procureur de la République), il impose l’encadrement de ce stade final par un contrôle préalable conforme aux exigences européennes.
• Portée générale pour la répression de la cyberdélinquance (injure, diffamation, harcèlement et escroquerie en ligne) : au-delà du seul droit d’auteur, l’arrêt de Grande chambre du 30 avril 2024 sécurise l’article L. 34-1, II bis, 2°, du Code des postes et des communications électroniques (issu de la loi n° 2021-998 du 30 juillet 2021), qui impose aux opérateurs la conservation pendant un an des adresses IP attribuées à la source d’une connexion pour les besoins de la recherche, de la constatation et de la poursuite de l’ensemble des infractions pénales commises en ligne.

Pourquoi la CJUE autorise-t-elle la conservation généralisée des adresses IP alors qu’elle l’interdit pour les autres données de trafic et de localisation ?

Parce que pour les infractions commises exclusivement en ligne, l’adresse IP constitue souvent l’unique trace permettant d’identifier l’auteur des faits (risque d’impunité systémique) et que, si les fichiers des opérateurs assurent un cloisonnement technique étanche entre l’adresse IP et le reste des données de navigation, cette conservation ne permet pas de dresser le profil de la vie privée des internautes.

L’Arcom (ex-Hadopi) doit-elle demander l’autorisation préalable d’un juge avant d’identifier le titulaire d’une adresse IP ?

Non pour les premières étapes d’avertissement où l’accès se limite à associer ponctuellement une adresse IP isolée aux nom et adresse de l’abonné ; en revanche, un contrôle préalable par une juridiction ou une entité indépendante devient nécessaire dans les cas où la répétition des signalements sur une même personne permettrait de tirer des conclusions précises sur sa vie privée avant transmission au parquet.

Quelle est la conséquence de l’arrêt C-470/21 pour les victimes de diffamation, d’injure ou de harcèlement sur internet ?

En confirmant que le droit de l’Union n’exige pas que l’infraction relève de la « criminalité grave » pour justifier la conservation des adresses IP sources et leur mise en relation avec l’identité civile, l’arrêt garantit que les enquêteurs et l’autorité judiciaire peuvent identifier les auteurs de délits de presse ou de cyberharcèlement commis sous pseudonyme.