Le 20 novembre 2013, le Conseil d’Etat a rejeté la demande d’annulation pour excès de pouvoir formée par l’association Internet sans frontière et l’hébergeur OVH à l’encontre du décret n°2011-219 du 25 février 2011, relatif à la conservation et à la communication des données permettant d’identifier toute personne ayant contribué à la création d’un contenu mis en ligne.

Pour mémoire, ce décret a été pris pour l’application des dispositions du dernier alinéa du II et du II bis de l’article 6 de la loi du 21 juin 2004 qui prévoit que les fournisseurs d’accès à Internet et les hébergeurs doivent détenir et conserver « les données de nature à permettre l’identification de quiconque a contribué à la création du contenu ou de l’un des contenus des services dont elles sont prestataires … ». Le décret précise les données à collecter et les modalités pratiques de leur conservation.

Selon les requérants, le texte méconnaissait les règles d’information et de consentement des personnes prescrites par la loi Informatique et libertés du 6 janvier 1978. En pratique, les personnes contribuant à la création d’un contenu mis en ligne ne sont, en effet, pas expressément informées de la collecte des données les concernant et de leur conservation par les professionnels visés à l’article 6 précité.

Le Conseil d’Etat rappelle néanmoins que l’article 7 de la loi Informatique et Libertés dispose qu’un traitement de données à caractère personnel « doit avoir reçu le consentement de la personne concernée ou satisfaire à l’une des conditions suivantes : 1° le respect d’une obligation légale incombant au responsable de traitement. »

Par ailleurs, l’article 32 de la loi exclut de l’obligation d’information les données utilisées pour un traitement intéressant la sureté de l’Etat, la défense ou la sécurité publique ou ayant pour objet l’exécution de condamnations pénales ou de mesures de sureté ainsi que les traitements ayant pour objet la prévention, la recherche, la constatation ou la poursuite d’infractions pénales.

Selon le Conseil, un traitement qui a pour objet de permettre la communication des données de connexion permettant l’identification de personnes ayant contribué à la mise en ligne de contenus dans le cadre de réquisitions judiciaires ou administratives doit être regardé comme intéressant la sûreté, la défense ou la sécurité publique.

Le Conseil d’Etat juge en conséquence que « c’est à bon droit que le décret attaqué (…) ne prévoit ni d’informer, ni de recueillir le consentement des personnes concernées par les données collectées … ».

Anne-Laure Villedieu, avocat associée. Elle intervient en matière de conseils, contentieux, rédactions d’actes et négociations notamment dans les domaines de droit d’auteur, droit de la propriété industrielle (marques, brevets, dessins et modèles), droit de l’informatique, des communications électroniques et protection des données personnelles.

Analyse juridique parue dans la revue Option Finance du 16 décembre 2013