Benedik c. Slovénie

Avrupa İnsan Hakları Mahkemesi

Karar Metni

Note d’information sur la jurisprudence de la Cour 217

Avril 2018

Benedik c. Slovénie - 62357/14

Arrêt 24.4.2018 [Section IV]

Article 8

Article 8-1

Respect de la vie privée

Obtention par la police, sans décision du juge, de renseignements associés à une adresse IP (Internet Protocol) dynamique : violation

En fait – Se basant sur des informations relatives à des échanges de fichiers contenant de la pédopornographie au moyen d’un réseau de partage peer-to-peer, la police, sans produire de décision du juge, demanda à un fournisseur de services internet (FSI) de lui donner des informations sur l’utilisateur auquel une certaine adresse IP dynamique était attribuée à un moment donné*. Le FSI indiqua le nom et l’adresse de cet utilisateur, qui était abonné aux services internet associés à l’adresse IP concernée.

Par la suite, la police obtint une décision d’un juge exigeant que le FSI divulguât les données personnelles et les données relatives au trafic de l’abonné associées à l’adresse IP en question. C’est sur cette base que le domicile familial du requérant fut perquisitionné et que des ordinateurs furent saisis. Ceux-ci recelaient du matériel pornographique mettant en jeu des mineurs. Le requérant fut déclaré coupable d’exposition, de fabrication, de possession et de diffusion d’images pédopornographiques.

Plus tard, le requérant allégua devant les juridictions nationales – sans obtenir gain de cause – que l’on ne pouvait passer outre au caractère privé de la correspondance et d’autres moyens de communication que sur le fondement d’une décision d’un juge, et que toute information obtenue de manière illégale devait en conséquence être écartée des moyens de preuve. Sur ce point, la Cour constitutionnelle parvint à la conclusion que le requérant n’avait nullement dissimulé l’adresse IP qui lui permettait d’accéder à internet, qu’il s’était donc sciemment exposé au regard du public et qu’il avait ainsi renoncé à l’espérance légitime de voir sa vie privée protégée. En conséquence, bien que les données relatives à l’identité de l’utilisateur de l’adresse IP fussent protégées par la Constitution comme élément relevant de la vie privée, aucune décision d’un juge n’était nécessaire pour permettre leur divulgation dans la cause du requérant.

En droit – Article 8

a) Applicabilité de la disposition

i. Nature des intérêts en jeu – Les informations sur l’abonné associées à une adresse IP dynamique spécifique attribuée à un moment donné concernent en principe des données personnelles. De plus, elles ne sont pas accessibles au public et ne peuvent donc pas être comparées aux informations que l’on trouve dans un annuaire téléphonique classique ou dans une base de données publique comportant les numéros d’immatriculation des véhicules. Pour pouvoir identifier un abonné auquel une adresse IP dynamique a été attribuée à un moment donné, le FSI doit consulter des données stockées liées à des événements de télécommunication particuliers. L’utilisation de ces données stockées peut à elle seule soulever des questions relatives à la vie privée. Dans la présente affaire, l’obtention d’informations sur l’abonné visait uniquement à permettre l’identification de la personne qui se cachait derrière l’adresse IP dynamique en cause. Or les informations sur des activités en ligne mettent en jeu la notion de vie privée dès le moment où elles sont rattachées à un individu identifié ou identifiable. Ce qui semble être des informations d’importance secondaire recherchées par la police, à savoir le nom et l’adresse d’un abonné, doit être traité comme étant intimement lié aux activités en ligne de dernier, qui révèlent forcément des informations personnelles le concernant. Affirmer le contraire reviendrait à refuser la nécessaire protection des informations susceptibles de révéler bien des choses sur les activités en ligne d’un individu, notamment des détails sensibles sur ses centres d’intérêt, ses convictions et l’intimité de son mode de vie.

ii. Sur le point de savoir si la mesure litigieuse a permis d’identifier le requérant – Par le biais de son propre ordinateur, à son domicile, le requérant était l’utilisateur des services internet en question, et ce sont ses activités en ligne qui ont été surveillées par la police. Le fait qu’il n’ait pas été personnellement abonné à ces services internet n’avait pas d’incidence sur son espérance en matière de protection de la vie privée, laquelle espérance s’est indirectement trouvée en jeu une fois que les informations sur l’abonné et son utilisation privée d’internet avaient été divulguées.

iii. Sur le point de savoir si le requérant avait une espérance raisonnable en matière de protection de la vie privée – Bien que le réseau de partage de fichiers fût accessible au public, le requérant s’attendait, de manière subjective, à ce que ses activités demeurent privées et à ce que son identité ne soit pas divulguée. Le fait qu’il n’ait pas dissimulé son adresse IP dynamique ne saurait être tenu pour déterminant dans l’appréciation du point de savoir si son espérance en matière de protection de la vie privée était raisonnable d’un point de vue objectif. L’anonymat des renseignements personnels en ligne est une considération importante dans cette appréciation. Plus particulièrement, nul n’a avancé que le requérant ait jamais divulgué son identité dans le cadre des activités en ligne en question ou qu’il ait par exemple été identifiable par le biais du réseau de partage de fichiers au moyen d’un compte ou de coordonnées. Les activités en ligne du requérant impliquaient donc un degré élevé d’anonymat, ce que confirme le fait que l’adresse IP dynamique attribuée, même si elle était visible pour d’autres utilisateurs du réseau, ne permettait pas de remonter jusqu’à l’ordinateur concerné sans que le FSI vérifiât les données à la demande de la police. En outre, la Constitution garantit le caractère privé de la correspondance et des communications et exige que toute atteinte à ce droit repose sur une décision d’un juge. En conséquence, l’espérance qu’avait le requérant quant à la protection du caractère privé de ses activités en ligne ne peut être tenue pour injustifiée ou déraisonnable.

iv. Conclusion – L’intérêt du requérant à voir protéger son identité dans le cadre de ses activités en ligne relève de la notion de « vie privée ». L’article 8 est dès lors applicable.

b) Observation de la disposition – La demande que la police a faite au FSI et l’usage par elle des informations sur l’abonné qui ont permis d’identifier le requérant s’analysent en une atteinte aux droits de l’intéressé découlant de l’article 8. Les mesures de police en question avaient une base en droit interne. La législation pertinente n’étant pas cohérente en ce qui concerne le niveau de protection accordé aux intérêts du requérant liés à sa vie privée, la Cour s’appuie sur l’interprétation de la Cour constitutionnelle, selon laquelle la divulgation de l’identité de l’individu qui communiquait et des données relatives au trafic** exigeait en principe une décision d’un juge. Quant à la position de la Cour constitutionnelle selon laquelle le requérant avait renoncé à toute espérance légitime en matière de protection de la vie privée par le fait qu’il n’avait nullement dissimulé l’adresse IP qui lui permettait d’accéder à internet, la Cour estime qu’elle ne cadre pas avec l’étendue du droit au respect de la vie privée au regard de la Convention. En conséquence, une décision du juge était nécessaire en l’espèce et rien dans le droit interne n’empêchait la police de l’obtenir.

L’invocation par les autorités nationales des dispositions de la loi sur la procédure pénale, qui concernaient une demande d’information sur le propriétaire ou l’utilisateur d’un certain moyen de communication électronique et qui ne contenaient pas de règles spécifiques sur le lien entre une adresse IP dynamique et des informations sur l’abonné, était donc manifestement inappropriée. De plus, elle n’offrait pratiquement aucune protection contre une ingérence arbitraire. À l’époque des faits, il ne semblait pas y avoir de règle précisant les conditions auxquelles il était possible de conserver des données recueillies en vertu de la loi sur la procédure pénale, ni aucune garantie contre les abus d’agents de l’État dans le cadre de la procédure relative à l’accès à de telles données et à leur transfert. De surcroît, il n’est pas établi que l’utilisation de ces pouvoirs de police aient donné lieu à une surveillance indépendante, alors qu’ils obligeaient l’ISP à rechercher et extraire les données de connexion conservées et permettaient à la police de faire le lien entre une série d’informations sur des activités en ligne et un individu particulier, et ce sans le consentement de ce dernier.

En somme, la loi sur laquelle la mesure litigieuse reposait et la manière dont elle a été appliquée par les juridictions nationales manquaient de clarté et n’offraient pas de garanties suffisantes contre une ingérence arbitraire. Il s’ensuit que l’ingérence dans l’exercice par le requérant de son droit au respect de la vie privée n’était pas « prévue par la loi ».

Conclusion : violation (six voix contre une).

Article 41 : constat de violation suffisant en lui-même pour le préjudice moral.

(Voir aussi Delfi AS c. Estonie [GC], 64569/09, 16 juin 2015, Note d’information 186)

* Les adresses IP sont des suites de chiffres qui sont attribuées à des ordinateurs connectés à internet pour permettre la communication entre eux par ce réseau. Si un site internet est consulté, l’adresse IP de l’ordinateur appelant est communiquée au serveur sur lequel le site consulté est hébergé. Les ordinateurs des utilisateurs d’internet se voient conférer par les FSI soit une adresse IP « statique », soit une adresse IP « dynamique », à savoir une adresse IP qui change à l’occasion de chaque nouvelle connexion à internet. À la différence des adresses IP statiques, les adresses IP dynamiques ne permettent pas de faire le lien, au moyen de fichiers accessibles au public, entre un ordinateur donné et le branchement physique au réseau utilisé par le FSI.

** Les « données relatives au trafic » sont toutes les données traitées en vue de l’acheminement d’une communication par un réseau de communications électroniques ou de sa facturation. Elles peuvent, entre autres, comporter des données concernant le routage, la durée, le moment ou le volume d’une communication, le protocole de référence, l’emplacement des équipements terminaux de l’expéditeur ou du destinataire, etc.

Cliquez ici pour accéder aux Notes d'information sur la jurisprudence

Full & Egal Universal Law Academy