Auteur : Irène Kris, avocate à la Cour
Date : 10 décembre 2019
Victime de contrefaçon, la société canadienne « Mile High Distribution », productrice d’œuvre audiovisuelle, a procédé à une collecte massive d’adresses IP en France pendant un an, son objectif était de se constituer des preuves. Elle a notamment constaté la présence de certaines de ces œuvres sur une plateforme exploitée par la société Orange.
C’est dans ce contexte que la société canadienne introduit une requête auprès du Tribunal de Grande Instance aux fins d’obtenir, auprès de la société Orange, communication des données d’identification des personnes listées par leurs adresses IP.
Le Tribunal de Grande Instance de Paris dans sa décision en date du 2 août 2019 ne fait pourtant pas droit aux demandes de la société canadienne. Ladite juridiction estime en effet que la collecte des adresses IP effectuée pendant un an constitue un « empêchement légitime à l’application des dispositions de l’article 145 du code de procédure civile ».
Le Tribunal considère que les données que souhaitait récupérer la société canadienne avaient fait l’objet d’un traitement illicite par cette dernière. C’est par un raisonnement pédagogique que le Tribunal de Grande Instance de Paris nous livre sa solution.
Le Tribunal de Grande Instance de Paris nous rappelle tout d’abord qu’une adresse IP doit être considérée comme une donnée à caractère personnel dès l’instant qu’elle permet l’identification indirecte d’une personne physique.
Jusque-là aucune nouveauté.
Le Tribunal de Grande Instance estime dans un second temps que les dispositions du Règlement Général sur la Protection des Données (RGPD) sont applicables quand bien même la société canadienne, responsable de traitement serait située hors de l’Union Européenne.
Pour ce faire, la juridiction s’appuie sur l’article 3 du RGPD : le présent règlement s’applique au traitement des données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire de l’Union par un responsable du traitement ou un sous-traitant qui n’est pas établi dans l’Union, lorsque les activités de traitement sont liées au suivi du comportement de ces personnes, dans la mesure où il s’agit d’un comportement qui a lieu au sein de l’Union.
Le Tribunal de Grande Instance de Paris estime donc que la collecte d’adresses IP effectuée par la requérante constitue un suivi de comportement.
L’application du RGPD au cas d’espèce, oblige la société canadienne à respecter un certain nombre d’obligations. Faute pour elle de les avoir respectées, le traitement est illicite et sa demande d’identification rejetée.
Comme le rappelle le Tribunal de Grande Instance, la société canadienne aurait dû :
- Désigner un représentant en France, personne physique ou morale (article 4 et 27 du RGPD) ;
- Désigner un Délégué à la Protection des Données (DPO), obligatoire en matière de traitement à grande échelle de données d’infraction au sens de l’article 10 du RGPD
- Tenir un registre (article 30 du RGPD)
- Respecter les règles relatives à la sécurité et à la confidentialité des données notamment en matière de transfert de données hors Union Européenne (article 32 du RGPD)
TGI Paris, réf., 2 août 2019, n° 19/53997, Mile High Distribution Inc. c/ SA Orange : JurisData n° 2019-014724G
Mots clefs : RGPD, contrefaçon, manquements, adresse IP, article 3
Notre équipe est là pour vous conseiller en matière de protection de données à caractère personnel.
N’hésitez pas à nous contacter.