Après un renvoi préjudiciel, la Cour de justice de l’Union européenne a précisé les garanties applicables à la conservation des adresses IP et à l’accès aux données d’identité. Le Conseil d’État constate que le décret ne limite pas suffisamment les données aux informations conservées dans des conditions étanches et sécurisées par les opérateurs.

Il relève également qu’une troisième mise en relation des données d’identité avec des informations relatives aux œuvres nécessite l’autorisation préalable d’une juridiction ou d’une entité administrative indépendante. Le refus d’abrogation est annulé dans cette mesure, avec injonction d’abroger les dispositions concernées.