Peter Scharr, président du Groupe de travail Article 29 sur la protection des données a été auditionné hier par le Parlement Européen sur le thème de la protection des données sur internet.

Risque pour la vie privée, protection des données des internautes, prédominance des moteurs de recherches et rétention des données, sont quelques-uns des points abordés, le tout alors que Google et DoubleClick, l’un des monstres de la publicité en ligne aux États-Unis, sont en plein mariage.

Devant la commission des Libertés, justice et affaires intérieures, Peter Scharr a estimé que l’adresse IP était bel et bien une donnée personnelle et devait être protégée comme telle, sauf exception. En guise d’exception relative, on mentionnait l’usage des ordinateurs dans des cybercafés. Qualifier l'adresse IP comme tel emporte une série de conséquences notamment sur la durée de rétention ou tout simplement sur les autorisations de traitements en masse de ces données, notamment par les moteurs de recherches.

Dans ce chapitre, en mars dernier, Google annonçait qu’il projetait d’anonymiser à terme toutes les données conservées dans ses logs après 18 ou 24 mois de conservation. Jusqu’alors, le moteur conservait une masse de données, dont l’adresse IP, pour une durée indéfinie. Une pratique peu en harmonie avec la réglementation européenne dont une directive impose une conservation d’une durée au choix de 6 à 24 mois.

Brouillard en France

En France, sur le rôle de l’adresse IP, l'article 2 de la loi du 6 janvier 1978 expose clairement que « toute information relative à une personne physique qui peut être identifiée, directement ou indirectement par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres constitue une donnée à caractère personnel ».

Mais la justice française n’a pas toujours eu cette analyse. Dans des affaires de contrefaçon sur les réseaux P2P, la Cour d’Appel de Paris a estimé au contraire que « cette série de chiffres ne constitue en rien une donnée indirectement nominative relative à la personne dans la mesure où elle ne se rapporte qu’à une machine, et non à l’individu qui utilise l’ordinateur pour se livrer à la contrefaçon ». Mais plus tard, dans l’affaire Techland Call of Juarez, la justice a estimé au contraire que l’adresse IP est bien une donnée nominative dont le traitement sans autorisation conduisait à l’annulation des procédures subséquentes.