Décision rare, le Conseil d'Etat a annulé, mercredi 23 mai 2007, la décision de la CNIL du 18 octobre 2005 rejetant la demande de 4 sociétés de gestion collective du secteur musical qui souhaitaient pouvoir surveiller de manière automatisée les réseaux P2P.

Dans leur lutte contre les échanges illicites de fichiers musicaux via l'Internet et plus particulièrement les réseaux peer-to-peer, les sociétés de gestion collective du secteur de la musique (la Société des auteurs compositeurs et éditeurs de musique, SACEM ; la Société pour l'administration du droit de reproduction mécanique, SDRM ; la Société civile des producteurs phonographiques, SCPP et la Société civile des producteurs de phonogrammes en France, SPPF) avaient souhaité mettre en place une collecte automatique des adresses IP des contrefacteurs, une possibilité ouverte par les modifications apportées à la loi Informatique et Libertés du 6 janvier 1978 par la loi du 6 août 2004. En effet, selon le nouvel article 9, 4° de la loi, les traitements de données à caractère personnel relatives aux infractions peuvent être mis en oeuvre par "les personnes morales mentionnées aux articles L. 321-1 (sociétés de perception et de répartition des droits d'auteur et des droits des artistes-interprètes et des producteurs de phonogrammes et de vidéogrammes sont constituées sous forme de sociétés civiles) et L. 331-1 (organismes de défense professionnelle régulièrement constitués) du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d'atteintes aux droits prévus aux livres Ier, II et III du même code aux fins d'assurer la défense de ces droits." Une disposition qui avait été validée par le Conseil constitutionnel dans sa décision n° 2004-499 du 29 juillet 2004.

Selon la CNIL, les sociétés de gestion collective peuvent ainsi mettre en oeuvre des traitements ayant pour finalité la prévention des infractions, en envoyant par exemple des messages sur les conséquences économiques de la contrefaçon aux internautes, et leur constatation par l'utilisation notamment de logiciels permettant de relever les adresses IP des internautes.

Dans le système soumis par l'industrie musicale à la Commission, une fois les adresses IP relevées, son action devait se dérouler en deux temps : l'envoi automatique de courriers électroniques d'avertissement personnalisés en passant par les fournisseurs d'accès puis, le cas échéant, le déclenchement de poursuites judiciaires.

La mise en place d'un tel système faisait entrer le traitement de données à caractère personnel prévu dans la catégorie de ceux soumis à autorisation préalable de la CNIL. L'article 25, I, 3° de la loi Informatique et Libertés du 6 janvier 1978 relatif au régime d'autorisation vise en effet : "les traitements, automatisés ou non, portant sur des données relatives aux infractions".

La décision de la CNIL refusant d'accorder cette autorisation s'appuyait sur plusieurs points et notamment le fait que l'envoi de messages de prévention passait par une identification des internautes via leur adresse IP par les fournisseurs d'accès servant de relais aux envois. Or, selon la Commission, les fournisseurs d'accès ne peuvent conserver les données de connexions des internautes à cette fin et leur identification n'est possible que dans le cadre d'une procédure judiciaire. Elle s'appuyait également sur le fait que la généralisation et l'importance de la collecte de données à caractère personnel envisagée n'étaient pas proportionnées à la finalité poursuivie, la recherche et la constatation de mise à disposition illégale d'œuvres musicales. La CNIL reprochait encore aux sociétés de s'être réservées la fixation du nombre d'infractions constatées au-delà duquel des actions seraient engagées et la révision unilatérale de ce seuil.

Ce refus n'a été que peu apprécié par l'industrie musicale, d'autant plus que le système retenu par l'industrie du jeu vidéo avait obtenu l'autorisation de la Commission le 24 mars 2005. Mais à la différence du système rejeté par la CNIL, celui proposé par les éditeurs de jeux vidéo (par le Syndicat des éditeurs de logiciels de loisirs, Sell) permettait l'envoi de messages sans conservation de données, ni identification des internautes.

Contestant la décision, les sociétés de gestion collective avaient présenté un recours devant le Conseil d'Etat. Ce dernier, s'il a annulé la décision de la Commission, a tout de même refusé le principe de l'envoi de messages en passant par les fournisseurs d'accès. Mais contrairement à la CNIL, il a considéré que le reste du système envisagé n'était pas disproportionné au regard de l'ampleur du piratage sur les réseaux peer-to-peer en France.

Yann Tesar
La Gazette du Net