ORDONNANCE DU : 23 Octobre 2026
DOSSIER N° : N° RG 26/01699 – N° Portalis DB2H-W-B7K-4VCH
AFFAIRE : [B] [W] C/ S.A. [Y] TELECOM, S.A. SOCIETE [K]

TRIBUNAL JUDICIAIRE DE LYON

ORDONNANCE DE RÉFÉRÉ

PRÉSIDENT : Monsieur Erick MAGNIER, Premier vice-président

GREFFIER : Madame Lorelei PINI

PARTIES :

DEMANDERESSE

Madame [B] [W]
née le [Date naissance 1] 1994 à [Localité 1]
demeurant [Adresse 1]

représentée par Maître Sophie HOSRI, avocat au barreau de LYON
représentée par Maître Antonin PAILLET, avocat au barreau de SEINE-SAINT-DENIS

DEFENDERESSES

S.A. [Y] TELECOM
dont le siège social est sis [Adresse 2]

représentée par Maître Frank SAUNIER-PLUMAZ de la SELARL NS AVOCATS, avocats au barreau de LYON

S.A. SOCIETE [K]
dont le siège social est sis [Adresse 3]

représentée par Maître Mathieu MARTIN de la SELARL ADVALORIA, SOCIÉTÉ D’AVOCATS, avocats au barreau de LYON

Débats tenus à l’audience du 05 Octobre 2026 – Délibéré au 23 Octobre 2026

EXPOSE DES FAITS
Par exploits du 25 septembre 2026, Madame [B] [W] a assigné, après y avoir été autorisée, la société [Y] TELECOM et la société [K] devant le juge des référés de [Localité 2] aux fins de :
Déclarer la demande de Madame [W] recevable et bien fondée et, en conséquence :Ordonner à la société « [K] SA » de lui communiquer, dans un délai de huit jours ouvrables à compter de la signification de l’ordonnance à intervenir, sous astreinte, l’ensemble des données d’identification en leur possession et notamment les nom et prénom, dénomination sociale, adresse postale, adresse de courrier électronique et numéro de téléphone utilisés lors de la création des comptes s’étant vu attribués, au cours de l’année précédente, une ou plusieurs des adresses IP suivantes :90.39.132.72 ;2a01:cb14:619:a100:69db:3c44:354:8cbd ;2a01:cb14:619:a100:50e5:8f58:dc5d:305f;2a01:cb14:619:a100:dfc9:4020:f459:e149 ;2a01:cb14:619:a100:35df:65de:a9b5:ca99 ;Ordonner à la société « [Y] TÉLÉCOM SA » de lui communiquer, dans un délai de huit jours ouvrables à compter de la signification de l’ordonnance à intervenir, sous astreinte, l’ensemble des données d’identification en leur possession et notamment les nom et prénom, dénomination sociale, adresse postale, adresse de courrier électronique et numéro de téléphone utilisés lors de la création des comptes s’étant vu attribués, au cours de l’année précédente, une ou plusieurs des adresses IP suivantes :89.88.49.139 ;2001:861:208:160:9936:ab12:3958:ee74 ;2001:861:202:b7a0:a15e:a2a1:5cbf:f7a4 ;2001:861:202:b7a0:4818:780:d17f:e7la ;2001:861:208:5bb0:9ee:272e:f594:3223 ;2001:861:208:160:1c68:f80a:4b3a:62c9 ;2001:861:208:160:1e:85b2:8480:8a41 ;2001:861:208:160:f4c7:34e:187c:5334 ;2001:863:369:1095:2d8c:43ee:6fcc:5da ;
Ordonner que chaque partie conserve la charge de ses dépens.Madame [W] expose les éléments suivants au soutien de ses demandes:
A compter du mois de janvier 2025, Madame [W] a constaté de nombreux dysfonctionnements affectant son téléphone portable et notamment une surchauffe de l’appareil qu’elle a attribuée à une activité anormale en arrière-plan. Elle a également constaté la présence de géolocalisations Google anormales, correspondant à des lieux qu’elle indique ne pas avoir fréquentés.
Dans ce contexte, Madame [W] s’est rapprochée de la plateforme Cybermalveillance.gouv.fr, qui l’a orientée vers un professionnel de la cybersécurité.

Dans le cadre de son intervention, Monsieur [V] a rédigé un rapport destiné à synthétiser l’ensemble des dysfonctionnements et anomalies qu’il a constatés. L’expert conclut « Les éléments collectés et les déclarations de l’utilisateur mettent en évidence un ensemble d’indicateurs concordants compatibles avec un accès non autorisé à l’environnement numérique de l’utilisateur. Les données disponibles suggèrent que l’accès serait susceptible de s’être maintenu depuis plusieurs mois voire des années ».
Sur la base de ces éléments, Madame [W] a déposé une première plainte le 25 mars 2025, qu’elle a complétée à deux reprises les 31 mars et 23 avril 2025, du chef d’accès frauduleux à un système de traitement automatisé de données.
Le 15 mai 2025, le procureur de la République a informé Madame [W] du classement sans suite de sa plainte, motivé par l’impossibilité d’identifier la ou les personnes ayant commis l’infraction.
À la suite de ce classement sans suite, Madame [W] a déposé une nouvelle plainte le 3 juin 2025, motivée par des alertes de connexion répétées émanant de ses comptes Google et Leboncoin, laquelle a également fait l’objet d’un classement sans suite, selon avis du procureur de la République du 25 septembre 2025.
Madame [W] indique que la répétition de ces atteintes et l’impunité de leurs auteurs lui ont causé un état de détresse psychologique, nécessitant un suivi médical, puis une hospitalisation.
Madame [W] a, le 23 février 2026, déposé une plainte avec constitution de partie civile devant le doyen des juges d’instruction du Tribunal judiciaire de Lyon, portant sur des faits d’accès et de maintien frauduleux dans un Système de Traitement Automatisé des Données (ci-après STAD) découverts en février 2025, d’usurpation d’identité numérique à compter d’avril 2025 et de réitération suspectée d’accès frauduleux dans la nuit du 30 septembre au 1er octobre 2025.
Madame [W] sollicite la communication de plusieurs éléments d’informations afin d’identifier le ou les individus auxquelles se rattachent les adresses IP visées. Elle ajoute qu’au regard du délai de conservation d’un an, auquel sont tenus les fournisseurs d’accès internet, il existe un risque évident de déperdition des preuves aux fins d’identifier les auteurs des faits.

_________________________

La société [K] demande, dans ses conclusions notifiées par voie RPVA le 2 octobre 2026, de :
Constater que les connexions réalisées sur les comptes de Madame [W] à partir des adresses IP suivantes attribuées par la société [K] : 90.39.132.72 ;2a01:cb14:619:a100:69db:3c44:354:8cbd ;2a01:cb14:619:a100:50e5:8f58:dc5d:305f ;2a01:cb14:619:a100:dfc9:4020:f459:e149 ;2a01:cb14:619:a100:35df:65de:a9b5:ca99 ;sont toutes intervenues il y a plus d’un an, et que les données afférentes à ces connexions, incluant lesdites adresses IP, ont par conséquent été effacées par la société [K] en application des dispositions impératives des articles L.34-1 et R.10-13 du CPCE ;
Et en conséquence :
Juger que les mesures d’instruction sollicitées par Madame [W] à l’égard de la société [K] ne sont pas légalement admissibles au sens de l’article 145 du Code de procédure civile, et qu’elles sont inexécutables par la société [K] ; Juger, en tout état de cause, qu’une mesure tendant à la communication des données d’identification de l’ensemble des abonnés s’étant vu attribuer l’une de ces adresses IP « au cours de l’année précédente » ne repose sur aucun motif légitime et n’est pas légalement admissible ; Débouter Madame [W] de l’intégralité de ses demandes, fins et prétentions dirigées à l’encontre de la société [K] ; Condamner enfin Madame [W] à payer à la société [K] la somme de 5.000 euros au titre de l’article 700 du Code de procédure civile, et mettre à sa charge les entiers dépens de l’instance. Au soutien de ses demandes, la société [K] indique qu’elle a, conformément aux dispositions légales en vigueur, procédé à l’effacement des données, dont les adresses IP visées, à l’issue du délai d’un an de conservation. La société [K] ajoute que, pour ce qui concerne les informations relatives à l’identité civile de l’utilisateur d’un service de communications électroniques, soumis à une obligation de conservation de 5 ans, la communication ne peut se faire que sur une adresse IP parfaitement horodatée et de nature à garantir une identification fiable de l’abonné recherché, sans que l’adresse IP ait été effacée des serveurs.
La société [K] relève que, l’ensemble des connexions litigieuses réalisées à partir des adresses IP concernées par la demande de communication de Madame [W] sont antérieures au 2 octobre 2025. La connexion la plus récente étant intervenue le 1er octobre 2025, les identifications sollicitées ne sont plus possibles puisque reposant sur la base d’adresses IP effacées.
La société [K] s’oppose à la demande de Madame [W] tendant à la communication des données relatives à ses abonnés auxquels ont pu être attribuées les adresses IP « au cours de l’année précédente ». La société [K] relève que ces adresses IP ne sont pas attribuées par [K] à ses abonnés de façon pérenne et exclusive. Elles le sont pour une durée limitée et variable selon la nature de l’adresse IP (fixe ou dynamique), et peuvent même, pour certaines catégories d’adresses IP, comme les adresses IP mobiles dites « nattées », être attribuées simultanément à plusieurs centaines, voire milliers d’abonnés. La société [K] considère qu’une telle demande peut générer un risque d’atteinte aux droits de tiers parfaitement étrangers aux faits allégués par Madame [W], et notamment aux droits à la protection de leurs données à caractère personnel.

_________________________
La société [Y] TELECOM demande, dans ses conclusions notifiées par voie RPVA le 2 octobre 2026, de :
À titre principal :
Débouter Madame [W] de l’ensemble de ses demandes de communication des informations associés aux adresses IP visées au dispositif de son assignation en raison de l’absence de communication de l’horodatage associé. A titre subsidiaire :
Juger que Madame [B] [W] ne rapporte pas la preuve de l’existence d’un motif légitime et d’un procès en germe non voué à l’échec justifiant le prononcé des mesures d’instruction in futurum sollicitées En conséquence,
Débouter Madame [B] [W] de l’ensemble de ses demandes de communication d’informations d’identification ; À titre infiniment subsidiaire,
Juger que la société [Y] TELECOM S.A. se trouve dans l’impossibilité tant juridique que matérielle de communiquer à Madame [B] [W] les informations visées aux sections I, II et III de l’article R. 10-13 du CPCE associées aux adresses IP dont la date de dernière connexion remonte à plus d’un an avant l’ordonnance de référé à intervenir, les données correspondantes ayant été définitivement supprimées conformément aux dispositions de l’article L. 34-1, II bis du CPCE, à l’expiration du délai légal de conservation d’un an ; En conséquence,
Débouter Madame [B] [W] de ses demandes de communication des informations visées aux sections I, II et III de l’article R. 10-13 du CPCE relatives aux adresses IP dont la date de dernière connexion remonte à plus d’un an avant l’ordonnance de référé à intervenir ; Statuer ce que de droit sur la demande de Madame [B] [W] tendant à ce qu’il soit fait injonction à la société [Y] TELECOM S.A. de communiquer les informations visées aux sections I, II et III de l’article R. 10-13 du CPCE relatives aux adresses IP listées ci-après, assorties de leurs horodatages respectifs, sous réserve que l’ordonnance de référé à intervenir soit rendue avant l’expiration du délai légal de conservation d’un an prévu à l’article L. 34-1, II bis du CPCE ; En tout état de cause,
Condamner Madame [B] [W] à payer à la société [Y] TELECOM S.A. la somme de 5 000 euros au titre de l’article 700 du Code de procédure civile ; Condamner Madame [B] [W] aux entiers dépens de la présente instance. La société [Y] TELECOM sollicite le rejet de l’ensemble des demandes de Madame [W] en raison de leur imprécision, notamment du fait de l’absence d’horodatage des adresses IP pour lesquelles il est sollicité des informations.
La société [Y] TELECOM rappelle qu’il est d’usage courant, pour les opérateurs de télécommunications, de recourir à des adresses IP dynamiques, lesquelles sont susceptibles d’être attribuées successivement à plusieurs abonnés distincts en fonction de la date, de l’heure et de la seconde de connexion. En l’absence de tout horodatage et de tout port source, la société [Y] TELECOM se trouve dans l’impossibilité matérielle de déférer aux demandes de Madame [W].
La société [Y] TELECOM indique à titre subsidiaire que Madame [W] ne présente pas de motif légitime à sa demande de communication. L’opérateur relève notamment que Madame [W] ne consacre aucun développement pour expliquer en quoi les délits qu’elle vise, à savoir l’accès et le maintien frauduleux dans un STAD et l’usurpation d’identité seraient constitués. La société [Y] TELECOM indique également que le rapport de Monsieur [V] n’a pas valeur d’expertise judiciaire, et qu’il ne formule aucune conclusion affirmative quant à l’existence d’une intrusion ou d’un piratage effectif. Son auteur recourt systématiquement à un langage conditionnel et hypothétique. L’analyse réalisée sur l’iPhone de Madame [W] n’a révélé aucune trace identifiable d’un logiciel espion, d’un stalkerware ou de tout autre artefact malveillant. La société [Y] TELECOM remet également en cause la méthodologie employée par l’expert pour apprécier les anomalies qu’il relate. L’opérateur considère que les délits potentiellement causés à l’encontre de Madame [W], ne relèvent pas de la délinquance grave au sens du code de procédure pénale, justifiant de déroger aux délais de conservation et de communication des données d’identification.
La société [Y] TELECOM indique que sur les neuf adresses IP dont il est sollicité la communication, elle ne détient encore des données de connexion que pour trois d’entre elles, dans la mesure où les connexions dénoncées en utilisant les autres adresses IP présentent une date remontant à plus d’un an avant l’audience de référé. Les données ont, par conséquent, été automatiquement effacées par [Y] TELECOM. Pour les trois adresses IP pour lesquels des données demeurent encore disponibles, force est de constater que Madame [W] ne rapporte à aucun moment la preuve d’un quelconque fait litigieux commis aux horodatages relevés dans les documents qu’elle verse aux débats.
La société [Y] TELECOM expose qu’il résulte des horodatages, mentionnés dans les pièces de Madame [W], que les faits prétendument litigieux invoqués par celle-ci auraient été commis le 2 janvier 2026 ainsi que les 11 et 15 février 2026. [Y] TELECOM relève que Madame [W] n’invoque, ni ne rapporte la moindre preuve d’agissements illicites ou d’anomalies qui auraient été constatés à ces dates, dans ses dépôts de plainte, elle ne vise que des faits s’étendant jusqu’au 1er octobre 2025.
[Y] TELECOM considère que Madame [W] ne rapporte aucune preuve de ce que les adresses IP litigieuses seraient impliquées dans les faits délictueux dont elle allègue être victime.
L’audience a eu lieu le 5 octobre 2026. Le délibéré a été fixé au 23 octobre 2026.

MOTIFS
L’article 145 du code de procédure civile dispose :
« S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé, sur requête ou en référé. »
Le demandeur n’a pas à démontrer l’existence des faits qu’il invoque mais il doit justifier d’éléments rendant crédibles ses allégations.
Par ailleurs, la mesure sollicitée doit être légalement admissible, pertinente et utile et elle ne doit pas porter une atteinte illégitime ou disproportionnée aux droits des tiers.
L’article L 34-1 II bis du code des postes et des communications électroniques sur lequel Mme [W] fonde sa demande dispose :
« .-Les opérateurs de communications électroniques sont tenus de conserver :
1° Pour les besoins des procédures pénales, de la prévention des menaces contre la sécurité publique et de la sauvegarde de la sécurité nationale, les informations relatives à l’identité civile de l’utilisateur, jusqu’à l’expiration d’un délai de cinq ans à compter de la fin de validité de son contrat ou de son service de communications interpersonnelles avec prépaiement. Un décret en Conseil d’Etat détermine les conditions dans lesquelles les opérateurs vérifient les données relatives à l’identité civile ainsi que les services de l’Etat qui ne sont pas soumis à cette vérification ;
2° Pour les mêmes finalités que celles énoncées au 1° du présent II bis, les autres informations fournies par l’utilisateur lors de la souscription d’un contrat ou de la création d’un compte ainsi que les informations relatives au paiement, jusqu’à l’expiration d’un délai d’un an à compter de la fin de validité de son contrat ou de la clôture de son compte ;
3° Pour les besoins de la lutte contre la criminalité et la délinquance grave, de la prévention des menaces graves contre la sécurité publique et de la sauvegarde de la sécurité nationale, les données techniques permettant d’identifier la source de la connexion ou celles relatives aux équipements terminaux utilisés, jusqu’à l’expiration d’un délai d’un an à compter de la connexion ou de l’utilisation des équipements terminaux. »

Sur ce le juge des référés
Par voie de conséquence, en application de l’article L 34-1 code des postes et des communications électroniques, la présente demande de Madame [W] doit être fondée sur des faits pouvant recevoir une qualification pénale.
En l’espèce, Madame [W] déclare être victime d’un accès frauduleux à ses données personnelles via des adresses IP inconnues en se fondant sur un rapport d’expertise amiable daté du 9 février 2026. Ce rapport expose que l’intervention en cybersécurité a été initiée le 25 janvier 2025 et qu’elle a donné lieu à un suivi quotidien jusqu’à la mi-avril 2025. Le rapport conclut à la présence d’un ensemble d’indicateurs concordants compatibles avec un accès non autorisé à l’environnement numérique de l’utilisateur. Madame [W] produit également une analyse datée du 13 février 2026 concernant des logs de connexion par un expert judiciaire.
Les plaintes pénales initiées par Madame [W] au cours de l’année 2025 ont donné lieu à des classements sans suite du procureur de la République.
Madame [W] a ensuite déposé une plainte avec constitution de partie civile devant le juge d’instruction le 23 février 2026 en précisant l’objet de la saisine à savoir des faits d’accès et de maintien frauduleux dans un système de traitement de données découverts en février 2025 ainsi que des faits d’usurpation d’identité numérique à partir du mois d’avril 2025 et des faits de réitération d’accès frauduleux suspectés dans la nuit du 30 septembre au 1er octobre 2025. Les qualifications pénales envisagées par Mme [W] sont l’accès frauduleux à un système de traitement automatisé des données (article 323-1 du code pénal), le maintien frauduleux dans un système de traitement automatisé de données (article 323-1 alinéa du code pénal), l’atteinte à la vie privée par moyen numérique (article 226-1 du code pénal), l’usurpation d’identité numérique (article 226-4-1du code pénal) et le harcèlement par agissements répétés (article 222-33-2-2 du code pénal).
Lors de son dernier dépôt de plainte du 19 mars 2026, Madame [W] n’évoque pas de faits nouveaux postérieurs au 1er octobre 2025.
Madame [W] ne peut par conséquent demander dans le cadre de la présente procédure que des renseignements concernant les adresses IP relatives à des connexions qui ont eu lieu au plus tard le 1er octobre 2025 et non, comme elle le sollicite, l’ensemble des données d’identification et notamment les nom et prénom, dénomination sociale, adresse postale, adresse de courrier électronique et numéro de téléphone utilisés lors de la création des comptes s’étant vu attribués les adresses IP citées dans l’assignation au cours de l’année précédente dès lors que sa demande de communication des données est fondée uniquement sur des faits qualifiés pénalement qui se sont produits jusqu’au 1er octobre 2025.
Or, les données techniques permettant d’identifier la source de la connexion ou celles relatives aux équipements terminaux utilisés ne peuvent pas être communiquées par les opérateurs lorsque ces données sont sollicitées après le délai de conservation légale soit plus d’un après la connexion ou de l’utilisation des équipements terminaux comme en l’espèce alors que l’audience de référés s’est déroulée le 5 octobre 2026 soit plus d’un an après la dernière connexion visée dans les plaintes pénales.
En outre, en ce qui concerne les connexions relatives à des adresses IP datant de janvier et février 2026, Madame [W] ne démontre pas qu’elles sont en relation avec les faits antérieurs au 1er octobre 2025 qui seuls sont qualifiés pénalement par la demanderesse et qui seuls rendent recevable sa demande.
Par voie de conséquence, les demandes de Madame [W] doivent être rejetées.
Les demandes fondées sur les dispositions de l’article 700 du code de procédure civile seront rejetées.
Madame [B] [W] sera tenue aux dépens.

PAR CES MOTIFS
Nous, Erick MAGNIER, Juge des référés, assisté de Madame Lorelei PINI Greffière, statuant publiquement, par ordonnance contradictoire, en premier ressort et mise à disposition au greffe,

REJETONS l’ensemble des demandes de Madame [B] [W] ;

REJETONS les demandes fondées sur les dispositions de l’article 700 du code de procédure civile ;

CONDAMNONS Madame [B] [W] aux dépens. 

Ainsi jugé et prononcé à [Localité 2] par mise à disposition au greffe le 23 octobre 2026.

En foi de quoi la présente ordonnance a été signée par le juge des référés et par la Greffière.

LA GREFFIERE, LE JUGE DES REFERES,

En conséquence, la République française mande et ordonne à tous huissiers de justice, sur ce requis, de mettre ladite décision à exécution, aux procureurs généraux et aux procureurs de la République près les tribunaux judiciaires d’y tenir la main, à tous commandants et officiers de la force publique de prêter main-forte lorsqu’ils en seront légalement requis.