Droit Vivant
Source NotebookLM

↓ Version .md brute (pour NotebookLM)

Adresse IP, vie privée et pouvoir de l'État : ce que dit l'arrêt La Quadrature du Net II

Imaginez une scène très ordinaire du monde numérique. Quelque part, un internaute met à disposition, sans autorisation, un fichier protégé par le droit d'auteur. Un ayant droit, ou un prestataire mandaté, observe l'échange sur un réseau pair à pair et relève une donnée minuscule mais décisive : une adresse IP, cette suite de chiffres qui identifie un point de connexion à un instant donné. À elle seule, cette adresse ne dit pas grand-chose. Mais si une autorité publique peut demander au fournisseur d'accès « à qui appartenait cette adresse, ce jour-là, à cette heure-là ? », alors elle relie soudain une activité technique à une personne en chair et en os, avec son nom, son adresse postale, sa vie. C'est exactement la question que la Cour de justice de l'Union européenne a tranchée le 30 avril 2024 dans l'affaire C-470/21, dite *La Quadrature du Net e.a.* Et la réponse qu'elle apporte structure aujourd'hui la manière dont, en Europe, on a le droit de tracer les gens en ligne.

Pour comprendre l'enjeu, il faut d'abord poser une définition que les juristes répètent inlassablement : une adresse IP est une donnée à caractère personnel. Le Règlement général sur la protection des données, le RGPD, la considère comme telle dès lors qu'elle permet, directement ou indirectement, d'identifier une personne. Et la Charte des droits fondamentaux de l'Union européenne protège, à son article 7, le droit au respect de la vie privée, et à son article 8, le droit à la protection des données personnelles. À cela s'ajoute l'article 11, la liberté d'expression, car la simple conscience d'être traçable peut dissuader de s'exprimer ou de s'informer librement. Le texte technique au cœur de l'affaire est la directive 2002/58, dite directive « vie privée et communications électroniques » ou « ePrivacy ». Son article 15, paragraphe 1, est la disposition clé : il autorise les États membres à limiter la confidentialité des communications, et donc à organiser la conservation et l'accès aux données de connexion, mais uniquement pour des objectifs précis et de façon proportionnée.

Le contexte français de l'affaire est celui de la HADOPI, la Haute Autorité pour la diffusion des œuvres et la protection des droits sur internet, dont les missions ont depuis été reprises par l'ARCOM. La HADOPI mettait en œuvre ce qu'on appelait la « riposte graduée » : un mécanisme d'avertissements progressifs envoyés aux titulaires d'un abonnement internet dont la connexion avait servi à partager illégalement des œuvres. Pour fonctionner, ce système avait besoin d'accéder massivement à l'identité civile correspondant aux adresses IP signalées. Des associations de défense des libertés, au premier rang desquelles La Quadrature du Net, ont contesté ce dispositif devant le Conseil d'État français, estimant qu'il organisait un accès systématique et sans contrôle indépendant à des données personnelles. Le Conseil d'État a renvoyé la question à la Cour de justice de l'Union européenne, à Luxembourg.

Un détail de procédure mérite d'être souligné, car il en dit long sur l'importance de l'affaire : la Cour s'est réunie en assemblée plénière, c'est-à-dire dans sa formation la plus solennelle, mobilisant l'ensemble des juges. C'est rarissime. Cela traduit la difficulté de l'exercice, car la Cour avait, dans des arrêts antérieurs, posé des principes très protecteurs qu'il fallait concilier avec la réalité de la lutte contre les infractions commises en ligne, par nature difficiles à élucider autrement que par l'adresse IP.

Que dit l'arrêt ? Sur le principe, la Cour admet qu'une réglementation nationale puisse permettre à une autorité publique d'accéder aux données d'identité civile associées à des adresses IP, y compris pour combattre des infractions de masse comme les atteintes au droit d'auteur en ligne, et même sans que chaque accès soit soumis à un contrôle préalable d'un juge. C'est une inflexion notable par rapport à la jurisprudence précédente, l'arrêt souvent surnommé *La Quadrature du Net I* de 2020, qui était plus restrictif. La Cour reconnaît ici une forme de pragmatisme : si tout accès à l'identité derrière une IP exigeait l'intervention préalable d'un juge, des pans entiers de la criminalité en ligne deviendraient en pratique impossibles à poursuivre, l'adresse IP étant parfois le seul élément d'enquête disponible.

Mais — et c'est là tout le cœur de la décision — cette ouverture est strictement conditionnée. La Cour exige d'abord une séparation étanche des différentes catégories de données. Les données d'identité civile, les adresses IP, et les données de trafic et de localisation doivent être conservées de manière cloisonnée, de telle sorte qu'il soit effectivement impossible de les combiner pour dresser un profil détaillé de la vie d'une personne : ses habitudes, ses déplacements, ses relations, ses opinions. Tant que l'accès se limite à savoir « qui se cachait derrière cette IP » sans permettre de reconstituer un tel profil, il peut échapper au contrôle préalable. En revanche, dès lors que le recoupement des données rendrait possible de tirer des conclusions précises sur la vie privée de la personne concernée, alors un contrôle indépendant préalable redevient obligatoire : un juge, ou une autorité administrative impartiale dotée d'un véritable pouvoir contraignant, doit valider l'accès avant qu'il n'ait lieu. La Cour a d'ailleurs estimé qu'un simple contrôle interne, exercé par l'organe qui accède lui-même aux données, ne satisfait pas a priori cette exigence d'indépendance et d'impartialité.

Enfin, la Cour maintient le socle de sa doctrine : la conservation généralisée et indifférenciée des données de connexion de l'ensemble de la population reste, en principe, contraire au droit de l'Union, sauf face à une menace grave, réelle et actuelle pour la sécurité nationale, et sous le contrôle d'un juge. Autrement dit, on ne peut pas tout garder sur tout le monde « au cas où ». La traçabilité doit rester ciblée, justifiée et encadrée.

Pourquoi cet arrêt compte-t-il bien au-delà du cas particulier de la HADOPI ? Parce qu'il dessine la frontière européenne entre une traçabilité légitime et une surveillance disproportionnée, et que cette frontière a des conséquences très concrètes pour quiconque conçoit des systèmes d'information. Un dispositif de journalisation, une politique de rétention des logs, un mécanisme d'accès aux données par une équipe de sécurité ou par une autorité : tout cela doit désormais intégrer, dès la conception, plusieurs réflexes. Cloisonner les catégories de données plutôt que de les agréger dans une base unique. Conserver une trace auditable des accès. Prévoir, lorsque l'accès devient intrusif, un point de contrôle réellement indépendant. Limiter la durée et le périmètre de conservation à ce qui est strictement nécessaire. Ces principes ne sont pas de simples recommandations éthiques : ils sont la condition de la licéité même du traitement au regard du droit de l'Union.

Il faut enfin garder à l'esprit que cet arrêt n'est pas un blanc-seing. La Cour valide une architecture possible, pas n'importe quelle pratique. Le diable se loge dans les détails de la mise en œuvre nationale : la réalité de la séparation des données, l'effectivité du contrôle, la proportionnalité concrète de chaque accès. Pour un professionnel de la cybersécurité, le message est clair : l'adresse IP est un identifiant puissant, et le droit européen traite désormais l'accès à l'identité qu'elle révèle comme un acte sérieux, qui se gagne par des garanties, et non par défaut. Comprendre cette logique, c'est anticiper les exigences de conformité qui pèsent sur tout système amené à collecter, conserver ou exploiter des données de connexion.

Références