L'arrêt Logistep du Tribunal fédéral a encore requis notre attention durant l’année sous revue. Nous avons notamment indiqué les conditions dans lesquelles, à notre avis, des particuliers peuvent, aussi après le jugement, traiter des données personnelles dans le cadre de la poursuite de violations du droit d’auteur sur Internet de manière conforme à la protection des données.
Dans notre 18e rapport d'activités 2010/2011 nous avons rendu compte de l'arrêt du Tribunal fédéral en la cause Logistep (ATF 136 II 508). Le tribunal avait exprimé dans ses considérants son malaise face à l'actuelle réglementation légale manifestement ressentie comme insuffisante. Dans son rapport de gestion 2010 (p. 17), il indiquait aussi explicitement qu'il appartenait au législateur de «prendre les mesures nécessaires pour assurer une protection des droits d'auteur appropriée aux nouvelles technologies.»
Nous sommes toutefois d'avis que les considérants faisaient aussi à Logistep, respectivement à son mandant, le reproche d'avoir en partie profité d'incertitudes créées par l'entreprise même pour faire valoir des prétentions civiles (excessives). Et ceci avant que la culpabilité de personnes présumées violer le droit d'auteur n'ait été constatée définitivement dans une procédure pénale satisfaisant aux exigences d'un État de droit.
Selon nos recherches en 2008, c'est précisément sur ce point que la démarche d'autres détenteurs de droits d'auteur poursuivant des personnes présumées avoir violé les droits d'auteur diffère de celle adoptée par Logistep: ainsi, l'IFPI Suisse (l'association faîtière des producteurs de supports sonores et audiovisuels) attend toujours une condamnation pénale exécutoire avant de se porter partie civile contre les personnes ayant violé les droits d'auteur. Nous avons informé l'IFPI Suisse en mars 2008 déjà qu'à notre avis elle ne viole pas la loi sur la protection des données avec cette manière de procéder.
Suite à la décision Logistep, l'IFPI Suisse et SAFE (Association suisse pour la lutte contre le piratage) ont pris contact avec nous. Les deux associations nous ont assuré que leur démarche correspond à celle qui nous a été présentée au printemps 2008. Nous leur avons donc communiqué qu'il nous paraissait toujours possible d'admettre un intérêt prépondérant, justifiant donc les atteintes à la personnalité liées à ces traitements de données,
- s'il est assuré que la collecte et l'enregistrement des données ne va pas au-delà de ce qui est absolument nécessaire pour déposer (auprès des autorités locales compétentes) une plainte pénale contre des personnes présumées avoir violé les droits d'auteur;
- s'il est assuré que les négociations pour les prétentions en réparation du dommage menées entre les détenteurs des droits d'auteur et les personnes présumées avoir violé ces droits n'ont lieu qu'à leur initiative ou alors après une condamnation pénale exécutoire;
- et si les détenteurs des droits d'auteur intensifient leurs efforts afin de rendre la collecte des données personnelles et le but de leur traitement aussi reconnaissables que possible pour les personnes concernées. Ils doivent à cet effet, notamment à un emplacement aisément accessible et visible sur leurs sites web, révéler en toute transparence leur manière de procéder (y compris des indications détaillées sur la nature et l'étendue des données collectées) et exprimer clairement que des actions en réparation du dommage ne seront engagées qu'envers des personnes condamnées pénalement avec force exécutoire pour violation des droits d'auteur.
Nous avons attiré en outre l'attention de SAFE et de l'IFPI sur le fait que les fichiers devaient être enregistrés chez nous lorsque des données personnelles sensibles ou des profils de personnalité sont régulièrement communiqués à des tiers.
Dans ces conditions, il reste à notre avis toujours possible d'engager des poursuites conformes à la protection des données en cas de violation des droits d'auteur sur Internet. Toutefois, comme nous n'avons pas - de par la loi - le pouvoir d'approuver formellement des traitements de données, une évaluation juridiquement contraignante ne peut être faite que par les tribunaux compétents, comme dans le cas Logistep.
Dans ce contexte, il importe encore de relever que si les tribunaux pénaux devaient instaurer une jurisprudence stable selon laquelle les adresses IP collectées par des particuliers ne sont généralement pas utilisables dans une procédure pénale, nous devrions revoir notre analyse. Du point de vue de la protection des données, l'enregistrement et la communication des adresses IP par des particuliers ne seraient plus possibles selon le droit applicable lors d'actions intentées pour violation des droits d'auteur. La collecte de données serait d'emblée inappropriée pour le but poursuivi, et le traitement des données disproportionné en conséquence.