Par un arrêt en date du 23 mai 2007, le Conseil d'Etat a, à la demande de la SACEM, annulé la délibération du 18 octobre 2005 de la CNIL, qui refusait d'autoriser la SACEM à mettre en oeuvre un traitement automatisé de données à caractère personnel ayant pour finalité la constatation des délits de contrefaçon commis par l'intermédiaire des réseaux d'échange de fichiers peer to peer.
Le texte de cet arrêt est le suivant :
Considérant que les requêtes de la SOCIETE DES AUTEURS, COMPOSITEURS ET EDITEURS DE MUSIQUE (SACEM), de la SOCIETE POUR L'ADMINISTRATION DU DROIT DE REPRODUCTION MECANIQUE DES AUTEURS, COMPOSITEURS ET EDITEURS (SDRM), de la SOCIETE CIVILE DES PRODUCTEURS PHONOGRAPHIQUES (SCPP) et de la SOCIETE CIVILE DES PRODUCTEURS DE PHONOGRAMMES EN FRANCE (SPPF) présentent à juger les mêmes questions ; qu'il y lieu de les joindre pour statuer par une seule décision ;
Considérant qu'aux termes des dispositions de l'article L. 34-1 du code des postes et des communications électroniques : « ( ) II. - Pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales, et dans le seul but de permettre, en tant que de besoin, la mise à disposition de l'autorité judiciaire d'informations, il peut être différé pour une durée maximale d'un an aux opérations tendant à effacer ou à rendre anonymes certaines catégories de données techniques ( ) V. - Les données conservées et traitées dans les conditions définies aux II, III et IV portent exclusivement sur l'identification des personnes utilisatrices des services fournis par les opérateurs, sur les caractéristiques techniques des communications assurées par ces derniers et sur la localisation des équipements terminaux ( )./ La conservation et le traitement de ces données s'effectuent dans le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés » ;
Considérant qu'aux termes de l'article 6 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés : « Un traitement ne peut porter que sur des données à caractère personnel qui satisfont aux conditions suivantes : / ( ) 3° Elles sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs » ; que l'article 9 de cette même loi dispose que : « Les traitements de données à caractère personnel relatives aux infractions, condamnations et mesures de sûreté ne peuvent être mis en oeuvre que par : ( ) 4° Les personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d'atteintes aux droits prévus aux livres Ier, II et III du même code aux fins d'assurer la défense de ces droits » et qu'aux termes de l'article 25 de la même loi : « I. Sont mis en oeuvre après autorisation de la Commission nationale de l'informatique et des libertés (CNIL), à l'exclusion de ceux mentionnés aux articles 26 et 27 : ( ) 3° Les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté, sauf ceux qui sont mis en oeuvre par des auxiliaires de justice pour les besoins de leurs missions de défense des personnes concernées » ;
Considérant que, sur la base de ces dispositions, les quatre sociétés requérantes, personnes morales telles que mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle, ont sollicité de la Commission nationale de l'informatique et des libertés (CNIL) l'autorisation de mettre en oeuvre des traitements de données à caractère personnel ayant pour finalité principale la constatation des délits de contrefaçon d'oeuvres musicales commis sur « internet » via les réseaux d'échange de fichiers dénommés « peer to peer » et permettant également l'envoi de messages pédagogiques informant les internautes des sanctions prévues en matière de délit de contrefaçon d'oeuvres musicales ; que les traitements prévus à cette fin par les sociétés requérantes comportaient deux phases ; que la première phase dite de « calibrage/ciblage », se déroulant pendant une période de 24 heures, avait pour objet d'identifier les internautes mettant gratuitement de manière régulière à disposition de tiers des fichiers musicaux ; qu'à l'issue de cette première phase, les internautes ayant gratuitement mis à disposition moins de 50 fichiers musicaux pendant la période de référence avaient seulement vocation à recevoir un message d'avertissement leur signalant les conséquences juridiques de la pratique de la contrefaçon ; qu'en revanche, les internautes ayant pendant cette première phase mis à disposition plus de 50 fichiers musicaux à des tiers étaient sélectionnés pour faire l'objet d'un contrôle renforcé pendant une seconde phase dite de « ciblage avancé »consistant pendant une période de quinze jours, en une surveillance des intéressés ; qu'au terme de cette période, les internautes ayant gratuitement mis à disposition de tiers entre 500 et 1000 fichiers musicaux avaient vocation à faire l'objet de poursuites devant le juge civil ; que les internautes ayant gratuitement mis à disposition plus de 1000 fichiers musicaux étaient susceptibles de faire l'objet de poursuites pénales ;
Considérant que la Commission nationale de l'informatique et des libertés, par les quatre décisions attaquées en date du 18 octobre 2005, a refusé d'accorder les autorisations demandées ;
Considérant, en premier lieu, que la Commission nationale de l'informatique et des libertés a relevé que les traitements envisagés étaient disproportionnés au regard de la finalité poursuivie dans la mesure où ils n'avaient pas pour objet de permettre la réalisation d'actions ponctuelles strictement limitées aux besoins de la lutte contre la contrefaçon mais consistaient au contraire en une collecte massive de données à caractère personnel sur internet et en une surveillance exhaustive et continue des réseaux d'échanges de fichiers dénommés « peer to peer » ;
Considérant qu'il ressort toutefois des pièces du dossier que les traitements envisagés par les sociétés requérantes ne portaient simultanément que sur quelques-uns des protocoles « peer to peer » permettant l'échange des fichiers musicaux sur internet ; que si les sociétés requérantes s'étaient engagées à constituer une base commune de contrôle portant simultanément sur 10 000 titres musicaux, faisant l'objet d'une actualisation hebdomadaire à hauteur de 10 % des titres composant la base, il convient ; pour apprécier l'ampleur et la pertinence de ce dispositif de traitement, de le rapprocher, d'une part, du nombre de titres musicaux dont les sociétés requérantes ont pour mission d'assurer la protection et, d'autre part, de l'importance de la pratique des échanges de fichiers musicaux sur « internet » ; que les sociétés d'auteurs, compositeurs requérantes ont chacune la charge de la protection des droits de plusieurs millions de titres musicaux ; que les sociétés requérantes évaluent en France, annuellement, sans être contredites sur ce point, à plusieurs centaines de millions de fichiers les échanges illégaux de titres musicaux dans le cadre de ces réseaux ; que par suite, en estimant que les traitements envisagés conduisaient à une surveillance exhaustive et continue des fichiers des réseaux d'échanges et ne pouvaient par conséquent être regardés comme proportionnés à la finalité poursuivie, la CNIL a entaché sa décision d'une erreur d'appréciation ;
Considérant, en deuxième lieu, qu'en l'absence de toute disposition législative en ce sens, la CNIL ne pouvait légalement refuser d'accorder les autorisations sollicitées au motif que les traitements envisagés reposaient uniquement sur des critères quantitatifs ; qu'elle a également commis une erreur d'appréciation en estimant que ces critères quantitatifs étaient dépourvus de pertinence eu égard à la finalité du traitement envisagé ;
Considérant, enfin, que si la Commission nationale de l'informatique et des libertés a relevé à bon droit que les traitements envisagés ayant pour finalité l'envoi de messages pédagogiques étaient contraires aux dispositions précitées de l'article L. 34-1 du code des postes et communications électroniques, telles qu'interprétées par la décision 2004-499 DC du 29 juillet 2004 du Conseil constitutionnel, en raison de ce qu'ils permettaient le traitement de données nominatives, conduisant seulement à la diffusion de messages à destination des auteurs d'infractions, - sans avoir pour but la mise à disposition d'informations à l'autorité judiciaire pour le besoin de la poursuite des infractions pénales, ce motif de refus ne porte que sur une partie des traitements envisagés, lesquels revêtent chacun un caractère indivisible ; que par suite, il ne saurait justifier à lui seul les décisions attaquées ;
Considérant qu'il résulte de ce qui précède que les sociétés requérantes sont fondées à demander l'annulation des quatre délibérations attaquées de la CNIL rejetant leur demande d'autorisation de mise en oeuvre de traitements de données à caractère personnel ;
Sur les conclusions tendant à l'application des dispositions de l'article L. 761-1 du code de justice administrative :
Considérant qu'il y a lieu, dans les circonstances de l'espèce, de mettre à la charge de l'Etat le versement à chacune des quatre sociétés requérantes d'une somme de 3 000 euros en application des dispositions de l'article L. 761-1 du code de justice administrative ;
DECIDE :
Article 1er : Les décisions n° 2005-235, n° 2005-236, n° 2005-237 et n° 2005-238 de la Commission nationale de l'informatique et des libertés en date du 18 octobre 2005 sont annulées.
Article 2 : L'Etat versera 3 000 euros en premier lieu à la SOCIETE DES AUTEURS, COMPOSITEURS ET EDITEURS DE MUSIQUES (SACEM), en deuxième lieu à la SOCIETE POUR L'ADMINISTRATION DU DROIT DE REPRODUCTION MECANIQUE DES AUTEURS, COMPOSITEURS ET EDITEURS, en troisième lieu à la SOCIETE CIVILE DES PRODUCTEURS PHONOGRAPHIQUES et enfin à la SOCIETE CIVILE DES PRODUCTEURS DE PHONOGRAMMES EN FRANCE en application des dispositions de l'article L. 761-1 du code de justice administrative.
Article 3 : La présente décision sera notifiée à la SOCIETE DES AUTEURS, COMPOSITEURS ET EDITEURS DE MUSIQUES (SACEM), à la SOCIETE POUR L'ADMINISTRATION DU DROIT DE REPRODUCTION MECANIQUE DES AUTEURS, COMPOSITEURS ET EDITEURS, à la SOCIETE CIVILE DES PRODUCTEURS PHONOGRAPHIQUES, à la SOCIETE CIVILE DES PRODUCTEURS DE PHONOGRAMMES EN FRANCE, à la Commission nationale de l'informatique et des libertés, au Premier ministre et au ministre de la culture et de la communication, porte-parole du gouvernement.
