Supprimer les adresses IP un an après leur dernière utilisation est une obligation pour les FAI

Un fournisseur d’accès Internet est en droit de refuser de communiquer des adresses IP un an après leur dernière utilisation.

Les faits étaient plutôt classiques ; l’éditeur d’une revue automobile a constaté que plusieurs numéros de sa revue ont été mis à disposition du public sur un site internet.

L’éditeur a obtenu le 13 septembre 2013 du juge des référés du tribunal de commerce de Paris de se faire communiquer par l’hébergeur du site en question « tous renseignements en sa possession concernant la personne » ayant mis en ligne le contenu litigieux.

L’éditeur assigne par la suite les deux fournisseurs d’accès identifiés par les informations reçues de l’hébergeur (adresses IP dont la dernière utilisation date du 13 avril 2013), afin de se faire communiquer les informations permettant d’identifier la personne ayant mis en ligne le contenu.

Le tribunal de commerce de Paris déboute l’éditeur de ses demandes le 17 septembre 2014 au motif que la CNIL interdit aux FAI « de conserver les données personnelles relatives à une connexion au-delà d’un an”.

La Cour d’appel confirme le 15 décembre 2015 l’ordonnance du tribunal de commerce :

–          La Cour rappelle que les articles L34-1 et R10-13 du CPCE disposent que les FAI « sont astreints à une obligation légale d’effacement immédiat des données relatives aux connexions Internet laquelle ne souffre que d’une seule exception leur permettant de différer d’une année à compter de la date de leur enregistrement ces opérationsd’effacement et à condition que les données soient communiquées sur injonction d’une autorité judiciaire et seulement pour les besoins de la recherche, de la constatation et de la poursuite d’infractions pénales » ;

En l’espèce, il n’y a eu aucune injonction de l’autorité judiciaire. La Cour ajoute que l’envoi par l’éditeur d’un courrier aux FAI leur demandant la communication des données avant l’écoulement du délai ne constitue pas une injonction au sens de l’article L34-1.

Le délai d’un an étant écoulé, la Cour a estimé que les FAI avaient, en toute légalité, effacé les données conformément à l’article L34-1, et ne pouvaient donc pas les communiquer à l’éditeur.

 —————————————

Par Claudia Weber – ITLAW Avocats