M. A. dénonce devant les juridictions allemandes l’enregistrement et la conservation, par les services fédéraux allemands, des adresses IP des sites Internet qu’il consulte. Ces services souhaitent ainsi se prémunir contre des attaques cybernétiques et de rendre possibles les poursuites pénales.

La Cour fédérale de justice allemande a saisi la Cour de justice de l’Union européenne (CJUE) pour savoir si, dans ce contexte, les adresses IP « dynamiques » constituent pour l’exploitant une donnée à caractère personnel et bénéficient ainsi de la protection prévue pour de telles données.
Par ailleurs, les juges allemands se demandent si l’exploitant d’un site Internet doit avoir la possibilité de collecter et d’utiliser ultérieurement les données à caractère personnel des visiteurs afin de garantir la capacité générale de fonctionnement de son site.

Par son arrêt du 19 octobre 2016, la CJUE précise tout d’abord qu’une adresse IP dynamique, enregistrée par les services fédéraux allemands lors de la consultation de leurs sites Internet constitue à leur égard une donnée à caractère personnel.
L’exploitant doit disposer de moyens légaux pour identifier le visiteur grâce aux informations supplémentaires dont dispose le fournisseur d’accès à Internet de ce dernier.

La CJUE indique ensuite que le droit de l’Union s’oppose à une réglementation qui imposerait qu’en l’absence du consentement du visiteur, un fournisseur de services en ligne ne puisse collecter et utiliser les données à caractère personnel du visiteur uniquement pour permettre le bon fonctionnement du site et seulement jusqu’à ce que le visiteur est fini de le consulter.

La Cour rappelle que, selon le droit de l’Union, le traitement de données à caractère personnel est licite s’il répond à un intérêt légitime poursuivi par le responsable du traitement des données, à condition de ne pas faire prévaloir ses droits et libertés fondamentaux.

En l’espèce, la CJUE souligne que les services fédéraux allemands qui fournissent des services en ligne pourraient avoir un intérêt légitime à garantir, au-delà de l’utilisation concrète de leurs sites Internet, la continuité du fonctionnement de leurs sites et donc à conserver les données à caractère personnel des visiteurs.