TYGlobe

Adresses IP, Cookies, BSSID, chaînes TC : si ces informations ne permettent pas nécessairement d'identifier directement le nom du sujet des informations, elles peuvent néanmoins «identifier» une personne physique spécifique lorsqu'elles sont combinées à d'autres informations. Le Code civil de la Chine définit les données à caractère personnel comme suit : les données à caractère personnel désignent l'ensemble des informations enregistrées par voie électronique ou sous toute autre forme, qui permettent d'identifier une personne physique spécifique, seules ou combinées à d'autres informations. L'article 4 du Règlement général sur la protection des données (RGPD) de l'Union européenne définit les «données à caractère personnel» comme toute information se rapportant à une personne physique identifiée ou identifiable. Il ressort de ce qui précède que le critère de «l'identifiabilité» revêt une importance particulière pour la détermination des informations entrant dans la catégorie des données à caractère personnel.

Sur l'interprétation du terme «identifiable», le Règlement général sur la protection des données (RGPD) de l'Union européenne considère qu'une personne physique identifiable est une personne physique qui peut être identifiée directement ou indirectement par des éléments d'identification. Le Groupe de travail «Article 29» sur la protection des données de l'Union européenne en donne une formulation plus imagée : «a natural person can be considered as ‘identified’ when, within a group of persons, he or she is ‘distinguished’ from all other members of the group.», ce qui signifie que «l'identifiabilité consiste à pouvoir reconnaître une personne physique déterminée dans la foule». Le RGPD précise au considérant 26 : pour déterminer si une personne physique est identifiable, toutes les méthodes raisonnables doivent être prises en compte, et l'appréciation du caractère raisonnable de ces méthodes doit tenir compte de facteurs tels que le coût, la faisabilité technique actuelle, etc. Les cas susmentionnés nous apportent également des enseignements importants pour maîtriser le critère de l'«identifiabilité» dans la pratique :

Si une information n'est pas identifiée par recoupement avec les «autres informations», ne peut-elle pas être qualifiée d'«information personnelle» ?

Dans l'affaire d'appel opposant Google à Judith Vidal-Hall et consorts, Google a fait valoir qu'il avait effectivement dissocié les autres informations susceptibles d'être combinées aux cookies, c'est-à-dire qu'il n'avait pas utilisé ces «autres informations» pour les combiner aux cookies aux fins d'identification des personnes physiques, de sorte que les informations issues des cookies ne constituent pas des données à caractère personnel. La Cour d'appel du Royaume-Uni n'a pas retenu cette argumentation. Elle a estimé que, aux termes de la définition des données à caractère personnel prévue par le droit de l'Union européenne, les informations permettant l'identification indirecte d'une personne physique constituent des données à caractère personnel dès lors qu'elles sont détenues par le responsable du traitement et peuvent être utilisées pour identifier une personne physique, indépendamment du fait qu'elles aient été effectivement utilisées à cette fin ou qu'il existe une intention de les utiliser de la sorte.

Quant au libellé de l'article 1, paragraphe 1, point b, il se réfère uniquement aux informations «en possession du responsable du traitement de données», et ne semble viser que la question de savoir si les données «peuvent être utilisées» pour identifier une personne physique (et non la question de savoir si elles ont été utilisées ou sont destinées à être utilisées à cette fin). Par conséquent, aux termes d'une interprétation littérale et directe dudit article, le fait que le responsable du traitement pourrait ne pas agréger les informations pertinentes dans la pratique est dénué de toute pertinence. Ce qui importe est de savoir si le défendeur détient effectivement «d'autres informations» en sa possession qu'il pourrait utiliser pour identifier la personne concernée par le BGI, peu importe qu'il procède à cette identification ou non.

L'impossibilité d'obtenir les «autres informations» implique-t-elle que les informations détenues ne constituent pas des données à caractère personnel ?

Dans l'affaire Patrick Breyer c. République fédérale d'Allemagne, le Gouvernement fédéral allemand, en tant que fournisseur de contenus du site web concerné, ne détenait pas lui-même l'adresse IP de M. Breyer, ce qui a entraîné une erreur de jugement de la Cour fédérale de justice d'Allemagne. Dans ladite affaire, la question de savoir si l'adresse IP constitue des données personnelles doit être tranchée au cas par cas : l'adresse IP ne peut être considérée comme des données personnelles que lorsqu'elle est en possession d'un fournisseur de services Internet, car ce dernier dispose également d'«autres informations» qui peuvent être croisées pour identifier l'identité de M. Breyer. Pour un fournisseur de contenus de site web tel que le Gouvernement fédéral allemand, qui n'a pas la capacité d'obtenir ces «autres informations», l'adresse IP ne constitue pas des données personnelles dans ce contexte. La Cour de justice de l'Union européenne n'a pas adopté ce point de vue. Elle a estimé que, conformément au droit de l'Union européenne, pour déterminer si une information relève des informations permettant d'identifier indirectement une personne physique, il convient de prendre en compte non seulement les informations auxquelles le responsable du traitement des données concerné peut accéder par des moyens raisonnables au moment concerné, mais aussi celles auxquelles d'autres entités peuvent accéder par des moyens raisonnables. En d'autres termes, le droit de l'Union européenne n'exige pas que l'ensemble de ces informations soient détenues par une seule et même entité pour que la qualification de données personnelles soit retenue.

En outre, le considérant 26 de la Directive 95/46/CE dispose que, pour déterminer si une personne est identifiable, il convient de prendre en compte l'ensemble des moyens raisonnablement susceptibles d'être utilisés soit par le responsable du traitement, soit par toute autre personne pour identifier ladite personne. Dans la mesure où ce considérant fait référence aux moyens raisonnablement susceptibles d'être utilisés à la fois par le responsable du traitement et par «toute autre personne», son libellé suggère que, pour qu'une information soit qualifiée de «données à caractère personnel» au sens de l'article 2 a) de ladite directive, il n'est pas exigé que l'ensemble des informations permettant d'identifier la personne concernée soient détenues par une seule et même personne.

S'agit-il simplement de l'auteur des règles de traitement des informations, qui n'a aucun accès aux informations, ou du contrôleur des informations personnelles ?

Parfois, l'on estime qu'il suffit de ne pas entrer en contact avec les informations pour se soustraire aux risques en matière de sécurité de l'information. Dans l'affaire IAB Europe c/ Gegevensbeschermingsautoriteit, bien qu'IAB Europe n'entre en contact avec aucune information dans l'ensemble de ses activités, elle a été jugée responsable en qualité de cotraitant des données à caractère personnel (t-controller) du fait qu'elle a élaboré les règles de traitement des chaînes de caractères TC. La Cour de justice de l'Union européenne a statué à cet égard que l'organisme public qui propose à ses membres des règles de traitement des données à caractère personnel incluant non seulement les spécifications techniques du traitement des informations, mais également les règles relatives à la diffusion et au stockage des informations, doit être qualifié de «cotraitant». La raison en est que cet organisme public exerce une influence sur le processus de traitement des informations et détermine conjointement avec les entités membres les finalités et les modalités de traitement des informations ; le fait objectif que cet organisme public n'entre pas directement en contact avec les informations ne l'exclut pas pour autant de la qualité de cotraitant.

Premièrement, une organisation sectorielle, dans la mesure où elle propose à ses membres un cadre réglementaire qu'elle a élaboré relatif au consentement au traitement des données à caractère personnel, cadre qui comporte non seulement des règles techniques contraignantes, mais aussi des règles précisant en détail les modalités de stockage et de diffusion des données à caractère personnel liées audit consentement, doit être qualifiée de responsable du traitement des données à caractère personnel [...]. En effet, elle exerce une influence sur le traitement des données à caractère personnel en cause, à ses propres fins, et détermine conjointement avec ses membres les finalités et les moyens dudit traitement. Le fait que cette organisation sectorielle n'ait pas elle-même accès direct aux données à caractère personnel [...] ne fait pas obstacle à ce qu'elle se voie reconnaître le statut de responsable du traitement des données à caractère personnel [...].