TYGlobe

Aujourd’hui, la conscience de la sécurité de l’information ne cesse de s’accroître au sein de la population. Dans la vie quotidienne, nous sommes vigilants à l’égard de l’utilisation d’informations telles que le nom, le numéro de carte d’identité, le numéro de téléphone portable, les empreintes digitales et le numéro de compte bancaire.nCependant, certains contenus qui ne ressemblent pas à des données à caractère personnel à première vue le sont en réalité et nécessitent notre attention particulière. Aujourd’hui, nous abordons la question de ces données à caractère personnel invisibles et des méthodes permettant de les identifier.

adresse IP dynamique

L'adresse IP désigne une série de numéros attribués aux ordinateurs connectés à Internet et utilisés pour les communications entre ces derniers.nLes adresses IP peuvent être classées en adresses IP statiques et adresses IP dynamiques. La question de savoir si les adresses IP dynamiques relèvent des informations personnelles a fait l'objet de controverses pendant une certaine période, et il est désormais clairement établi que toutes les adresses IP, qu'elles soient statiques ou dynamiques, constituent des informations personnelles.

En 2007, le Groupe de travail «Article 29» sur la protection des données (groupe de travail sur la protection des données créé le 24 octobre 1995 par le Parlement européen et le Conseil de l'Union européenne conformément à l'article 29 de la Directive sur la protection des données de l'Union européenne) a soumis un rapport consultatif sur la notion de données à caractère personnel (AVIS n° 4/2007 sur la notion de données à caractère personnel). Dans ce rapport, le Groupe de travail estime que : les fournisseurs et gestionnaires de services d'accès à Internet sont les entités qui attribuent les adresses IP aux utilisateurs du réseau, ils enregistrent également des informations de journal d'activité telles que la date de connexion des utilisateurs Internet, la durée de connexion, l'adresse IP dynamique, etc., et détiennent les journaux d'activité des serveurs HTTP. Par conséquent, les fournisseurs et gestionnaires de services d'accès à Internet sont en mesure d'identifier l'identité des utilisateurs auxquels les adresses IP dynamiques sont attribuées par le biais de méthodes appropriées. Il s'ensuit donc sans aucun doute que les adresses IP constituent des données à caractère personnel au sens de l'article 2, point a), de la Directive 95/46/CE sur la protection des données de l'Union européenne.

Le Groupe de travail a estimé que les adresses IP constituent des données relatives à une personne identifiable. Il a indiqué que «les fournisseurs d'accès à Internet et les gestionnaires de réseaux locaux peuvent, par des moyens raisonnables, identifier les utilisateurs d'Internet auxquels ils ont attribué des adresses IP, dans la mesure où ils enregistrent normalement et systématiquement dans un fichier la date, l'heure, la durée et l'adresse IP dynamique attribuée à l'utilisateur d'Internet. Il en va de même pour les fournisseurs de services Internet qui conservent un journal de bord sur le serveur HTTP. Dans ces cas, il ne fait aucun doute que l'on peut parler de données à caractère personnel au sens de l'article 2 a) de la Directive …»

Affaire Patrick Breyer : la Cour de justice de l'Union européenne confirme que les adresses IP dynamiques constituent des informations à caractère personnel.

En 2016, la Cour de justice de l'Union européenne (CJUE) a rendu un arrêt sur la demande de décision préjudicielle dans l'affaire opposant Patrick Breyer à la République fédérale d'Allemagne, dans lequel elle a estimé que les adresses IP dynamiques constituent des données à caractère personnel.nDans cette affaire, le demandeur Breyer a intenté un procès contre le gouvernement fédéral allemand, alléguant que ce dernier avait collecté son adresse IP au moment de sa consultation du site web officiel du gouvernement. L'affaire a été jugée en deux instances sur le territoire allemand, la juridiction saisie, ne parvenant pas à déterminer si les adresses IP dynamiques relèvent des données à caractère personnel, a saisi la CJUE d'une demande de décision préjudicielle.nAprès examen de l'affaire, la CJUE a estimé que, compte tenu du fait que les fournisseurs d'accès à Internet peuvent identifier la personne concernée par l'adresse IP dynamique en croisant cette information avec d'autres données, les adresses IP dynamiques entrent dans la définition des données à caractère personnel prévue par la Directive 95/46/CE de l'Union européenne relative à la protection des données à caractère personnel.

Compte tenu de l'ensemble des considérations qui précèdent, la réponse à la première question est que l'article 2, point a), de la Directive 95/46 doit être interprété en ce sens que l'adresse IP dynamique enregistrée par un fournisseur de services de médias en ligne lorsqu'une personne accède à un site web que ce fournisseur met à la disposition du public constitue des données à caractère personnel au sens de ladite disposition, à l'égard dudit fournisseur, dans la mesure où ce dernier dispose des moyens juridiques lui permettant d'identifier la personne concernée au moyen des données supplémentaires que le fournisseur d'accès à internet détient sur ladite personne.

Cookie

Il s'agit d'un fichier texte stocké dans un ordinateur, associé à un fichier de page Web spécifique et conservant les informations générées lors de l'accès de cet ordinateur à ladite page Web. Par conséquent, lors du prochain accès de l'ordinateur à cette page Web, les informations conservées dans les cookies peuvent être appelées aux fins d'association.nnUn cookie comprend généralement deux parties : la première est le nom, qui désigne l'adresse URL de la page Web consultée par l'utilisateur ; la seconde est le contenu, qui inclut la date précise de l'accès à la page Web, la durée de l'accès, entre autres éléments.

Vers 2015, la société Google a fait l'objet de poursuites judiciaires à l'échelle mondiale pour avoir collecté des données à caractère personnel au moyen de cookies en violation des dispositions légales et réglementaires applicables. Dans le cadre de ces litiges, les juridictions ayant statué ont reconnu la nature de données à caractère personnel des cookies.

L'Affaire Google et Judith Vidal-Hall

Le contexte de l'affaire est le suivant : entre l'été 2011 et le 17 février 2012, Google a installé illégalement des fichiers cookies sur le navigateur Safari des utilisateurs d'iPhone (navigateur Internet fourni aux utilisateurs par Apple), et a contourné la fonction de réinitialisation du navigateur Safari, de sorte que même si les utilisateurs de téléphones portables refusaient activement l'installation, ils ne pouvaient pas supprimer les fichiers cookies installés par Google sur le navigateur Safari. Par l'intermédiaire de ces fichiers cookies, Google a collecté secrètement les informations de navigation sur Internet des utilisateurs d'iPhone, lesquelles sont désignées sous le nom de BGI (Browser-Generated Information, dans l'affaire britannique ; dans l'affaire parallèle aux États-Unis, cette définition n'est pas adoptée et le terme «cookie» est directement utilisé). Google a fourni les informations ainsi collectées à des annonceurs pour des opérations de marketing publicitaire ciblées.nDans cette affaire, la société Google a soutenu que les cookies n'appartenaient pas à la catégorie des informations personnelles, mais cet argument n'a pas été retenu par la Cour d'appel du Royaume-Uni. La Cour d'appel du Royaume-Uni a estimé que, étant donné que les informations BGI en l'espèce incluaient notamment les adresses des sites Web consultés par les utilisateurs, les dates et horaires de consultation, l'adresse virtuelle et l'adresse physique des utilisateurs, les BGI relevaient des informations personnelles telles que définies à l'article 1(1) du Règlement sur la protection des données du Royaume-Uni (DPA) :

The BGI singles them out and therefore directly identifies them for the purposes of section 1(1)(a) of the DPAhaving regard to the following:

(i) Les informations BGI comprennent deux éléments pertinents : (a) les historiques de navigation détaillés, qui comportent un certain nombre d’éléments tels que les sites web consultés, ainsi que les dates et heures de consultation de ces sites ; et (b) les informations issues de l’utilisation du cookie «DoubleClick», lequel constitue un identifiant unique permettant d’une part de relier les historiques de navigation à un appareil ou un utilisateur individuel, et d’autre part au Défendeur (il s’agit ici de la société Google) de reconnaître le moment où l’utilisateur est en ligne, de sorte que des publicités ciblées peuvent lui être diffusées sur la base de l’analyse de son historique de navigation.

(ii) Taking those two elements together, the BGI enables the defendant (Désigne ici la société Google) to single out users because it tells the defendant(i) the unique ISP address of the device the user is using i.e. a virtual postal address; (ii) what websites the user is visiting; (iii) when the user is visiting them; (iv) and, if geo location is possible, the location of the user when they are visiting the website; (v) the browser’s complete browsing history; (vi) when the user is online undertaking browser activities. The defendant therefore not only knows the user’s (virtual) address; it knows when the user is at his or her (virtual) home.

Affaire FTC c. Google (CN 12-04177 SI)

En 2012, pour la même raison, Google a été soumis à la supervision de la Commission fédérale du commerce des États-Unis (Federal Trade Commission, abrégée en FTC). Les deux parties ont conclu un accord de supervision, lequel a été confirmé par jugement du tribunal de district des États-Unis. Le tribunal n'a pas statué sur le fond de l'affaire. Toutefois, dans ladite affaire, Google a été condamné au paiement de 22,5 millions de dollars américains à titre de dommages-intérêts pour avoir collecté les cookies des utilisateurs en violation des dispositions réglementaires, afin de répondre aux besoins des sociétés de publicité en matière de marketing publicitaire ciblé. Il ressort de ce qui précède que les autorités de régulation américaines ont également porté une appréciation négative sur les actes de collecte de cookies.

Durant l'utilisation des téléphones mobiles (y compris ceux fonctionnant sous le système Android et le système iOS d'Apple), ces derniers doivent transmettre en temps réel leurs coordonnées de latitude et de longitude aux stations de base de téléphonie mobile, aux satellites Beidou, aux satellites GPS, etc.nLe BSSID (identifiant de l'ensemble de services de base, acronyme correspondant à l'expression anglaise «basic service set identifier») est le fichier enregistrant les coordonnées précises de latitude et de longitude du téléphone mobile, qui ne peut être fourni à des tiers, en règle générale, qu'avec le consentement de l'utilisateur. En termes simples, le BSSID constitue l'adresse physique du téléphone mobile.nDans une affaire survenue aux États-Unis, une société d'exploitation publicitaire qui a recueilli les informations BSSID contenues dans les téléphones mobiles des utilisateurs sans l'autorisation préalable de ces derniers a été mise sous contrôle réglementaire par la Commission fédérale du commerce des États-Unis.

Affaire FTC c. OpenX (2:21-cv-09693)

OpenX est une entreprise qui fournit un soutien à la diffusion de publicités ciblées aux annonceurs. En 2018, la Commission fédérale du commerce des États-Unis (FTC) a constaté qu'OpenX procédait à la collecte illégale des informations BSSID figurant sur les téléphones portables des utilisateurs sans le consentement de ces derniers. La FTC n'a pas établi directement que le BSSID constitue des données personnelles, mais elle a confirmé que la collecte susmentionnée réalisée par OpenX sans consentement des utilisateurs constitue une infraction à la loi, et a exercé une supervision réglementaire à l'encontre d'OpenX.

OpenX a collecté et transmis le BSSID même lorsque le consommateur n’avait pas donné son consentement ou avait expressément refusé l’autorisation de collecte de données de localisation.nPar conséquent, les déclarations mentionnées au paragraphe 57 étaient fausses ou trompeuses et constituent un acte ou une pratique frauduleuse en violation de l’article 5 a) de la Loi sur la Commission fédérale du commerce (FTC Act), 15 U.S.C. § 45 a).

Chaîne de caractères TC

La chaîne de caractères (String) est une suite de caractères composée de chiffres, de lettres et de tirets bas. Il s'agit d'un type de données destiné à représenter du texte dans les langages de programmation. L'arrêt rendu par la Cour de justice de l'Union européenne en mars 2024 établit que la chaîne de caractères TC relève des données personnelles.

IAB Europe c. Gegevensbeschermingsautoriteit (C-604/22)

La Gegevensbeschermingsautoriteit est l'autorité de protection des données de Belgique (abrégée en DPA). IAB Europe est une organisation à but non lucratif spécialisée dans l'intermédiation publicitaire et les appels d'offres en ligne. Depuis 2019, la DPA a reçu successivement des plaintes contre IAB Europe, alléguant que cette dernière transmettait illégalement des informations personnelles par le biais de la chaîne de caractères TC.nnLa chaîne de caractères TC est une donnée de type chaîne de caractères utilisée par la plateforme d'appels d'offres publicitaires d'IAB Europe. Son contenu inclut la manifestation de volonté des utilisateurs d'Internet ou d'applications mobiles consentant au traitement de leurs informations personnelles, à savoir le consentement au traitement de leurs informations par les fournisseurs d'applications, les intermédiaires de données et les annonceurs, ainsi que les informations relatives aux comportements préférentiels des utilisateurs lors de leur navigation sur le réseau, etc.nnIAB Europe a établi un ensemble de règles de traitement des données sur sa propre plateforme, qui régissent la génération, le stockage et la transmission de la chaîne de caractères TC. IAB Europe applique un système d'adhésion : seuls les membres inscrits d'IAB Europe peuvent obtenir ces données de chaîne de caractères, et les membres doivent en outre se conformer aux règles de traitement des données susmentionnées élaborées par IAB Europe. Après avoir obtenu les informations des utilisateurs d'Internet contenues dans la chaîne de caractères TC, les membres procèdent à la diffusion publicitaire ciblée.

Le point essentiel du litige en l'espèce porte sur la question de savoir si la chaîne de caractères TC constitue des données à caractère personnel. Ne parvenant pas à statuer sur cette question, la Cour d'appel de Bruxelles du Royaume de Belgique a saisi la Cour de justice de l'Union européenne d'une demande de renvoi préjudiciel.

La Cour de justice de l'Union européenne, se référant aux dispositions de l'article 4, paragraphe 1, du Règlement général sur la protection des données (GDPR) européen, estime que bien que la chaîne de caractères TC ne permette pas d'identifier directement une personne physique, elle peut néanmoins permettre l'identification d'une personne physique dès lors qu'elle est combinée à d'autres données telles que l'adresse IP. Par conséquent, elle constitue toujours des données à caractère personnel au sens de la définition prévue à l'article 4, paragraphe 1 susmentionné.

Le RGPD doit être interprété en ce sens qu'une chaîne composée d'une combinaison de lettres et de caractères, telle que la TC String, qui contient les préférences d'un utilisateur d'Internet ou d'une application relatives au consentement de cet utilisateur au traitement des données à caractère personnel le concernant par le fournisseur du site web ou de l'application, ainsi que par les courtiers de ces données et les plateformes publicitaires, constitue des données à caractère personnel au sens de ladite disposition, dans la mesure où ces données peuvent être associées par quelque moyen que ce soit à un identifiant, tel que notamment l'adresse IP du terminal de l'utilisateur, et permettent d'identifier les personnes concernées.