Dans une ordonnance de référé du 2 août 2019 du TGI de Paris, le juge a refusé de prononcer une mesure d’instruction sur le fondement de la protection des données personnelles.

En l’espèce, une société canadienne, productrice d’œuvres audiovisuelles, avait collecté plusieurs centaines d’adresses IP à l’origine, selon elle, d’opérations de téléchargement massif de ses œuvres, et donc d’actes de contrefaçon.

Afin d’identifier les personnes ayant commis les actes de contrefaçon susmentionnés, la société canadienne a saisi le juge des référés aux fins d’obtenir la communication, par un fournisseur d’accès à internet, des données d’identification correspondant aux adresses IP en cause.

Cette demande de communication se fondait sur l’article 145 du Code de procédure civile qui prévoit que tout intéressé peut demander une mesure d’instruction permettant de conserver ou d’établir avant tout procès la preuve des faits dont pourrait dépendre la solution d’un litige.

Pour autant, le juge a affirmé que le caractère illicite de la collecte de données mise en œuvre par la société canadienne empêchait d’ordonner la communication des données d’identification.

En effet, les juges ont considéré que contrairement aux obligations figurant dans la réglementation « informatique et libertés » tant dans sa version antérieure que postérieure à la mise en application en France le 25 mai 2018 du règlement n°2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, la société canadienne ne démontre pas :

  • Avoir désigné un représentant dans l’Union Européenne ;
  • Tenir un registre des activités de traitement de données personnelles ;
  • Avoir désigné un délégué à la protection des données personnelles alors même que la collecte en cause constitue une collecte à grande échelle de données d’infractions ;
  • Avoir mis en place des mesures de sécurité appropriées ;
  • Avoir encadré le transfert de données personnelles entre la France et la Canada.

A cet égard, il est surprenant que le juge ne se soit pas intéressé aux fondements de la légalité d’un tel traitement : la base légale et l’information des personnes concernées.

En tout état de cause, cette décision s’inscrit dans un mouvement jurisprudentiel qui tend à reconnaître qu’un moyen de preuve n’est pas recevable lorsqu’il provient d’un traitement illicite de données personnelles (voir par exemple Cour de cassation, Chambre sociale, 8 Octobre 2014 – n° 13-14.991).