Il n'est pas arbitraire (art. 9 Cst.) de considérer, sur la base d'un ensemble d'indices (540 adresses e-mail enregistrées [sur 280 000] se terminant par .ch et nombreux accès au moyen d'adresses IP suisses, dont il n'y a aucune raison de penser qu'elles n'étaient pas utilisées pour du téléchargement [upload]), que le site www.Y.com a permis à des utilisateurs suisses de télédécharger (download) et de télécharger (upload) des œuvres protégées par la LDA (c. 3.1-3.4). Constitue un cas de complicité (art. 25 CP) de violation du droit d'auteur l'exploitation d'un site Internet qui rassemble des liens P2P (vers des œuvres protégées) et les met à disposition de ses utilisateurs; peu importe que l'utilisateur lui-même doive installer un logiciel P2P avant de pouvoir utiliser le site (c. 4-4.4). Le recourant a agi par métier (art. 67 al. 2 LDA) étant donné qu'il a consacré une partie considérable de son temps à l'exploitation du site www.Y.com, que les revenus — fluctuants, mais relativement réguliers — qu'il en a tirés dépassent largement ses coûts et que cette activité apparaît au moins comme une importante activité accessoire (c. 5-5.2). Une autre procédure pénale introduite contre lui ayant été classée en 2002 suite au retrait de la plainte, le recourant aurait dû savoir que son activité pouvait être punissable et il ne peut pas se prévaloir d'une erreur sur l'illicéité (art. 21 CP) (c. 6-6.4).

Cf. N 550 et 551 (arrêts du TF dans cette affaire).

Sont des données personnelles (données), c'est-à-dire des informations qui se rapportent à une personne identifiée ou identifiable au sens de l'art. 3 lit. a LPD (et du droit européen [c. 3.6]), les adresses IP d'ordinateurs de personnes mettant à disposition des œuvres protégées par la LDA sur des réseaux P2P, car elles permettent en principe — dans le cadre d'une procédure pénale — d'identifier ces personnes (c. 3.2-3.8). La collecte et la transmission de données au sujet de participants à des réseaux P2P violent d'importants (c. 6.3.1) principes (Zweckbindung [art. 4 al. 3 LPD] et Erkennbarkeit [art. 4 al. 4 LPD]), car elles interviennent à leur insu (c. 4). Bien que, contrairement à l'art. 12 al. 2 lit. b et c LPD et à l'art. 12 al. 2 lit. a LPD, l'actuel art. 12 al. 2 lit. a LPD (2006) ne prévoie pas d'exception en cas de motifs justificatifs, il n'exclut pas que des motifs justificatifs (art. 13 LPD) — admis avec la plus grande retenue — permettent, dans un cas concret, de traiter des données personnelles en violation des principes définis aux art. 4, 5, al. 1, et 7, al. 1 [LPD] (c. 5.1 et 5.2.1-5.2.4). Toutefois, en l'absence de réglementation en la matière, ni l'intérêt de l'entreprise qui collecte des adresses IP (dont l'activité est source d'insécurité sur Internet) ni l'intérêt de son mandant à déterminer qui viole ses droits d'auteur (ni d'ailleurs l'intérêt à une lutte efficace contre les violations de la LDA) ne permet de justifier une atteinte à la personnalité des personnes dont les adresses IP sont collectées (c. 6.3.1-6.3.3). Le présent arrêt n'accorde pas une primauté générale de la LPD sur la LDA (c. 6.4). Il revient au législateur et non au juge de prendre les mesures nécessaires pour garantir une protection du droit d'auteur adaptée aux nouvelles technologies (c. 6.4).

Le TF a considéré que les adresses IP constituent des données personnelles au sens de la LPD et que leur collecte ainsi que leur communication étaient un traitement de données illicite (c. 2.2). Les preuves obtenues de manière illicite par des personnes privées ne sont du point de vue de la doctrine et de la jurisprudence actuelles a priori pas inutilisables (c. 2.3). Elles sont en particulier utilisables lorsqu'elles auraient aussi pu être réunies par les autorités de poursuite pénale et qu'une pesée des intérêts en présence (comme cela est prévu à l'art. 141 al. 2 CPP) parle en faveur de leur utilisation qui ne s'accompagnerait pas d'une violation grave d'un droit fondamental (c. 2.3). Il convient donc de déterminer si les adresses IP communiquées par la recourante auraient également pu être obtenues de manière licite et si l'intérêt public à l'établissement de la vérité l'emporte sur l'intérêt des particuliers, utilisateurs de la bourse d'échange en ligne, à la non-utilisation de ces preuves (c. 2.3). Comme les adresses IP sont des données personnelles, leur traitement porte atteinte à la garantie de la sphère privée et donc à un droit fondamental. C'est pourquoi les actes de procédure permettant de réunir ces données nécessitent une base légale et un soupçon suffisant laissant présumer une infraction, au sens de l'art. 197 al. 1 lit. a et b CPP (c. 2.4). Faute de base légale, l'art. 14 al. 4 LSCPT ne permettant en particulier d'obtenir des informations sur l'identification d'une personne que lorsqu'un délit est intervenu sur Internet et pour vérifier si tel est le cas et les motifs justificatifs de l'art. 13 LPD ne constituant pas non plus une base légale suffisante, le traitement d'adresses IP est illicite (c. 2.4). La recherche systématique d'informations en l'absence de soupçons concrets (fishing expedition) est également illicite, même si chacun sait que les bourses d'échange en ligne s'accompagnent fréquemment de violations du droit d'auteur (c. 2.4). En outre, comme le délit considéré n'est pas grave, les exigences de l'art. 141 al. 2 CPP ne sont pas remplies et il n'est pas possible d'admettre que l'intérêt de l'État à la découverte de la vérité l'emporterait sur celui des personnes à ce que les preuves recueillies illicitement ne soient pas utilisées (c. 2.5). Du moment que les adresses IP ne peuvent pas être exploitées comme preuves, elles ne peuvent pas non plus, par analogie avec l'art. 141 al. 4 CPP, servir à l'identification des participants à la bourse d'échange (c. 2.6).