Résumé juridique

Novembre 2024

Le Marrec c. France (déc.) - 52319/22

Décision 5.11.2024 [Section V]

Article 8

Article 8-1

Respect de la vie privée

Collecte et utilisation de l’adresse IP de l’ordinateur du requérant lors de sa connexion sur le site web de la Caisse des allocations familiales ayant permis de le localiser : irrecevable

En fait – Le requérant fut admis au bénéfice de l’allocation de revenu de solidarité active (RSA). En début 2019, il s’authentifia sur le site web caf.fr de la Caisse d’allocations familiales (Caf), édité et hébergé par la Caisse nationale d’allocations familiales (Cnaf), afin de mettre à jour sa situation d’allocataire sur l’espace « Mon compte ». L’adresse IP (internet protocol) de l’ordinateur du requérant se transforma en une indication géographique « Autres [pays] » sur le serveur hébergeant le site.

Un contrôle de la situation du requérant s’ensuivit. L’intéressé expliqua aux agents de la Caf que, lors de sa connexion, il avait utilisé un VPN (virtual private network), afin de brouiller l’adresse IP, tout en demeurant en France. Puis les agents vérifièrent la situation bancaire du requérant et constatèrent qu’il était inéligible au RSA. La directrice de la Caf mit ainsi fin aux droits du requérant au RSA par deux décisions de juin 2019.

En octobre 2020, le tribunal administratif rejeta le recours du requérant contre ces décisions. En juillet 2022, le pourvoi en cassation du requérant ne fut pas admis par le Conseil d’État.

Le requérant se plaint devant la Cour de la collecte et de l’utilisation de l’adresse IP par la Caf pour obtenir sa localisation.

En droit – Article 8 :

1) Applicabilité ratione materiae de l’article 8 – L’utilisation de l’adresse IP masquée par un VPN, associée à l’identifiant d’allocataire, a eu pour conséquence d’identifier le requérant et de transmettre automatiquement aux agents de la Caf l’information selon laquelle il était, au moment de sa connexion, localisé à l’étranger, et ce même s’il demeurait alors en France. La Cour considère donc que l’article 8 s’applique ratione materiae au traitement de l’adresse IP de l’ordinateur du requérant.

Conclusion : article 8 applicable.

2) Fond –

a) Sur l’existence d’une ingérence – La collecte et l’utilisation de l’adresse IP du requérant par la Caf constitue une ingérence dans le droit du requérant au respect de sa vie privée.

b) Sur l’existence d’une base légale et d’un but légitime de l’ingérence – La mesure litigieuse trouvait sa base légale dans les dispositions combinées du code de la sécurité sociale, du règlement (UE) relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD), de la loi relative à l’informatique, aux fichiers et aux libertés (loi « Informatique et libertés ») et de l’acte réglementaire relatif au site web caf.fr.

La Cour conclut que ce cadre légal, pris dans son ensemble, définissait avec suffisamment de précision l’étendue et les modalités de la collecte et de l’utilisation de l’adresse IP de l’ordinateur par les agents de la Caf, et permettait ainsi au requérant de régler sa conduite, c’est-à-dire de poursuivre ou non, en connaissance de cause, son authentification sur le site web de la Caf. Ne décelant aucun élément de nature à remettre en cause la légalité de la mesure litigieuse, la Cour considère que l’ingérence était « prévue par la loi ».

Quant à un but légitime, il a consisté à vérifier l’éligibilité du requérant à l’allocation sociale demandée (prévention de la fraude), ainsi qu’à assurer la sécurité du site web caf.fr et des connexions des allocataires. Il s’ensuit que la mesure litigeuse poursuivait un but légitime dans l’intérêt du bien-être économique du pays et la prévention des infractions pénales.

c) Sur la proportionnalité de l’ingérence – Les principes généraux concernant l’appréciation du caractère proportionné du traitement de données à caractère personnel sont rappelés dans la décision L.F. c. France (déc.). En particulier, dans son examen de la proportionnalité, la Cour tient compte du respect des principes relatifs à la protection des données personnelles tels qu’énoncés dans la Convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (Convention 108) et repris dans le RGPD, ainsi que dans la loi « Informatique et libertés » : la licéité, la loyauté et la transparence de la collecte, le caractère adéquat et pertinent, la minimisation des données et la limitation du traitement à ce qui est nécessaire au regard des finalités, l’exactitude des données.

En l’espèce, en premier lieu, la donnée litigieuse – l’adresse IP, transformée en indication géographique « Autres pays », ne présente pas de caractère sensible et ne porte ni sur les aspects les plus intimes, ni sur les aspects particulièrement importants de l’existence ou de l’identité d’un individu. Par ailleurs, cette donnée, en tant que telle, ne fournit pas d’« informations nombreuses et précises » sur le requérant et ne permet pas d’établir son profil détaillé par le traçage exhaustif de son parcours sur internet. Au contraire, il s’agit d’une information approximative de nature purement géographique, ne méritant pas de protection accrue. En effet, la Cnaf ne procède pas à une collecte et une conservation généralisée des données de connexion des utilisateurs d’internet, contrairement à un fournisseur de communications électroniques. En l’absence d’un tel caractère sensible, la marge d’appréciation accordée aux autorités est plus étendue.

En deuxième lieu, la donnée litigieuse a été collectée de manière licite, loyale et transparente. Certes, le traitement de l’adresse IP a entraîné des répercussions importantes sur la situation du requérant, dès lors qu’il a été à l’origine d’un contrôle de sa situation ayant finalement abouti à supprimer le RSA. Il reste que pour bénéficier des allocations sociales via l’utilisation du téléservice, le requérant ne pouvait pas raisonnablement s’attendre, lors de sa connexion sur son espace « Mon compte » de la Caf, à ce que sa localisation reste inconnue des agents de ce prestataire public.

En troisième lieu, le principe de minimisation des données a été respecté, dès lors que seule l’indication « Autres pays » a été traitée par la Caf dans le but de vérifier la résidence du requérant en sa qualité d’allocataire. À cet égard, l’utilisation de cette donnée a été strictement limitée par la finalité de sa collecte : la détermination du lieu de résidence du requérant en France afin de contrôler sa situation et de vérifier son éligibilité au RSA. Partant, elle s’est avérée strictement nécessaire dans le cadre de l’exercice du service public de versement des allocations. Aucune collecte ou utilisation abusive, excessive ou inutile de l’adresse IP n’a été établie.

S’agissant de l’exactitude de cette donnée, malgré le fait que le requérant s’était connecté depuis la France, l’utilisation du VPN a entraîné une localisation erronée à l’étranger, imputable à son choix de ne pas révéler sa véritable adresse en France. Or, par la suite, il a pu faire rectifier cette inexactitude, en donnant des explications aux agents de la Caf.

Enfin et subsidiairement, il existe un nombre limité des personnes habilitées à accéder directement à cette donnée, à savoir uniquement les agents de la Caf.

d) Conclusion – La Cour conclut que la collecte et l’utilisation de l’adresse IP reposait sur une base légale conforme aux exigences conventionnelles. Eu égard à la marge d’appréciation accordée aux autorités dans le domaine de la répression de la fraude aux allocations sociales, à la finalité poursuivie par le traitement de cette donnée personnelle par la Caf et des garanties dont est entourée, en droit interne, sa mise en œuvre, la Cour déduit que la mesure reposait sur des motifs pertinents et suffisants et ne portait manifestement pas une atteinte disproportionnée au droit du requérant au respect de sa vie privée.

Conclusion : irrecevable (manifestement mal fondé).

(Voir aussi L.F. c. France (déc.), 3866/20 et 9292/20, 13 février 2024)

© Conseil de l’Europe/Cour européenne des droits de l’homme
Rédigé par le greffe, ce résumé ne lie pas la Cour.

Pour accéder aux résumés juridiques en français ou en anglais cliquez ici.
Pour des traductions non officielles dans d’autres langues cliquez ici.