Sévère revers pour l’une des plus importantes sociétés de production et de distribution cinématographique allemande (Constantin Film Verleih) dans le litige l’opposant à Youtube. Depuis plusieurs années, ses œuvres (« Parker », « Scary Movie 5 » …) sont uploadées sur YouTube. Afin d’obtenir la communication des adresses IP des contrefacteurs, la société a saisi les juridictions qui, elles-mêmes, ont saisi la CJUE. Cette dernière a jugé que la directive 2004/48 du 29 avril 2004 relative au respect des droits de propriété intellectuelle ne vise que la communication de l’adresse physique des internautes. Plus encore, la notion d’« adresses » n’inclut pas non plus les adresses courriel, les numéros de téléphone et les adresses IP des personnes.

La directive, n’oblige donc pas les autorités judiciaires à ordonner à l’exploitant de la plateforme vidéo de fournir l’adresse courriel, l’adresse IP ou le numéro de téléphone de l’utilisateur ayant téléversé un film. La directive, qui prévoit la fourniture des « adresses » des personnes ayant porté atteinte à un droit de propriété intellectuelle, vise uniquement l’adresse postale.

Ouverture d‘un compte Youtube

L’ouverture d’un compte Youtube ne requiert, de la part des utilisateurs, que l’indication d’un nom, d’une adresse courriel et d’une date de naissance. Ces données ne sont habituellement pas vérifiées et l’adresse postale de l’utilisateur n’est pas demandée. Cependant, pour pouvoir publier sur la plateforme YouTube des vidéos d’une durée supérieure à 15 minutes, l’utilisateur doit renseigner un numéro de téléphone mobile pour lui permettre de recevoir un code d’activation, qui est nécessaire pour effectuer une telle publication. Par ailleurs, selon les conditions générales d’utilisation et de protection des données communes de YouTube et de Google, les utilisateurs de la plateforme YouTube autorisent le stockage des journaux de serveur, y compris l’adresse IP, la date et l’heure d’utilisation et les différentes requêtes ainsi que l’utilisation à l’échelle du groupe de ces données.

Ces informations supplémentaires portent, d’une part, sur les adresses courriel et les numéros de téléphone mobile ainsi que les adresses IP qui ont été utilisées par les utilisateurs en cause pour le téléversement des fichiers, avec le moment exact de ce téléversement indiquant la date et l’heure, y compris les minutes, les secondes et le fuseau horaire, soit le moment du téléversement, et, d’autre part, sur l’adresse IP utilisée en dernier lieu par ces utilisateurs pour accéder à leur compte Google en vue d’accéder à la plateforme YouTube, également avec le moment exact de l’accès indiquant la date et l’heure, y compris les minutes, les secondes et le fuseau horaire, soit le moment de l’accès.

L’adresse, une notion restrictive

La directive 2004/48 ne définissant pas cette notion, la détermination de la signification et de la portée de celle-ci a été établie conformément à son sens habituel dans le langage courant. S’agissant, en premier lieu, du sens habituel du terme « adresse », dans le langage courant, celui-ci ne vise que l’adresse postale, c’est-à-dire le lieu de domicile ou de résidence d’une personne déterminée. Il s’ensuit que ce terme, lorsqu’il est utilisé sans autre précision, ne vise pas l’adresse courriel, le numéro de téléphone ou l’adresse IP.

En deuxième lieu, les travaux préparatoires ayant conduit à l’adoption de la directive 2004/48 ne comportent aucun indice de nature à suggérer que le terme « adresse » devrait être compris comme visant non seulement l’adresse postale, mais également l’adresse courriel, le numéro de téléphone ou l’adresse IP des personnes visées.

En troisième lieu, le contexte dans lequel la notion en cause est utilisée corrobore une telle interprétation. En effet, l’examen d’autres actes de droit de l’Union visant l’adresse courriel ou l’adresse IP fait apparaître qu’aucun de ceux-ci n’utilise le terme « adresse », sans autre précision, pour désigner le numéro de téléphone, l’adresse IP ou l’adresse courriel.

En quatrième lieu, une interprétation stricte est conforme à la finalité poursuivie par la directive 2004/48, compte tenu de l’objectif général de ladite directive. À cet égard, il est vrai que le droit d’information vise à rendre applicable et à concrétiser le droit fondamental à un recours effectif garanti à l’article 47 de la charte des droits fondamentaux et à assurer de la sorte l’exercice effectif du droit fondamental de propriété, dont fait partie le droit de propriété intellectuelle en permettant au titulaire d’un droit de propriété intellectuelle d’identifier la personne qui porte atteinte à ce dernier et de prendre les mesures nécessaires afin de protéger ce droit. Toutefois, lors de l’adoption de la directive 2004/48, le législateur de l’Union a choisi de procéder à une harmonisation minimale concernant le respect des droits de propriété intellectuelle en général. Ainsi, cette harmonisation est limitée à des éléments d’information bien circonscrits.

Par ailleurs, la directive 2004/48 a pour objet d’établir un juste équilibre entre, d’une part, l’intérêt des titulaires à la protection de leur droit de propriété intellectuelle, consacrée par la charte des droits fondamentaux, et, d’autre part, la protection des intérêts et des droits fondamentaux des utilisateurs d’objets protégés ainsi que de l’intérêt général. Il s’agit de concilier le respect de différents droits, notamment le droit d’information des titulaires et le droit à la protection des données à caractère personnel des utilisateurs.

Quid du droit français?

C’est acquis, l’adresse IP est une donnée nominative. Une communication d’adresse IP devra être soumise au juge judiciaire qui devra opérer son contrôle de proportionnalité.

La LCEN (loi n° 2004-575 du 21 juin 2004) prévoit bien l’obligation pour les hébergeurs de  conserver les données de nature à permettre l’identification de quiconque a contribué à la création du contenu ou de l’un des contenus des services dont elles sont prestataires. Le juge judiciaire peut en ordonner communication aux titulaires de droits. La liste de ces données (fixée par le décret n° 2011-219 du 25 février 2011) est la suivante :

a) L’identifiant de la connexion à l’origine de la communication ;
b) L’identifiant attribué par le système d’information au contenu, objet de l’opération ;
c) Les types de protocoles utilisés pour la connexion au service et pour le transfert des contenus ;
d) La nature de l’opération ;
e) Les date et heure de l’opération ;
f) L’identifiant utilisé par l’auteur de l’opération lorsque celui-ci l’a fourni ;

Pour les créations d’un compte :

a) Au moment de la création du compte, l’identifiant de cette connexion ;
b) Les nom et prénom ou la raison sociale ;
c) Les adresses postales associées ;
d) Les pseudonymes utilisés ;
e) Les adresses de courrier électronique ou de compte associées ;
f) Les numéros de téléphone ;
g) Le mot de passe ainsi que les données permettant de le vérifier ou de le modifier, dans leur dernière version mise à jour.

Le passage par le juge judiciaire reste donc un impératif. A noter aussi l’existence de deux barrières de procédure:

Par une ordonnance de référé du 2 août 2019, la société Orange a fait valoir avec succès que la communication d’une adresse IP ne peut être légalement admissible que si la collecte des adresses IP des contrefacteurs présumés a été elle-même effectuée légalement. Le titulaire de droits doit verser aux débats des éléments tangibles permettant de s’assurer de la légalité du traitement de données personnelles des adresses IP qu’il a pu collecter. Plus encore, il doit justifier de la légalité du traitement mis en œuvre pour collecter ces adresses IP.

En second lieu, les informations permettant l’identification d’un utilisateur ne peuvent être conservées par un opérateur de communication électronique plus d’un an après leur enregistrement, et ce, seulement pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales ou d’un manquement à l’obligation définie à l’article L. 336-3 du code de la propriété intellectuelle ou encore pour les besoins de la prévention des atteintes aux systèmes de traitement automatisé de données prévues et réprimées par les articles 323-1 à 323-3-1 du code pénal. Une mesure de conservation ordonnée par le juge des requêtes pourrait aussi être contestable en ce qu’elle autoriserait une conservation des données supérieure à la durée légale d’un an. Télécharger la décision