Le TF a considéré que les adresses IP constituent des données personnelles au sens de la LPD et que leur collecte ainsi que leur communication étaient un traitement de données illicite (c. 2.2). Les preuves obtenues de manière illicite par des personnes privées ne sont du point de vue de la doctrine et de la jurisprudence actuelles a priori pas inutilisables (c. 2.3). Elles sont en particulier utilisables lorsqu'elles auraient aussi pu être réunies par les autorités de poursuite pénale et qu'une pesée des intérêts en présence (comme cela est prévu à l'art. 141 al. 2 CPP) parle en faveur de leur utilisation qui ne s'accompagnerait pas d'une violation grave d'un droit fondamental (c. 2.3). Il convient donc de déterminer si les adresses IP communiquées par la recourante auraient également pu être obtenues de manière licite et si l'intérêt public à l'établissement de la vérité l'emporte sur l'intérêt des particuliers, utilisateurs de la bourse d'échange en ligne, à la non-utilisation de ces preuves (c. 2.3). Comme les adresses IP sont des données personnelles, leur traitement porte atteinte à la garantie de la sphère privée et donc à un droit fondamental. C'est pourquoi les actes de procédure permettant de réunir ces données nécessitent une base légale et un soupçon suffisant laissant présumer une infraction, au sens de l'art. 197 al. 1 lit. a et b CPP (c. 2.4). Faute de base légale, l'art. 14 al. 4 LSCPT ne permettant en particulier d'obtenir des informations sur l'identification d'une personne que lorsqu'un délit est intervenu sur Internet et pour vérifier si tel est le cas et les motifs justificatifs de l'art. 13 LPD ne constituant pas non plus une base légale suffisante, le traitement d'adresses IP est illicite (c. 2.4). La recherche systématique d'informations en l'absence de soupçons concrets (fishing expedition) est également illicite, même si chacun sait que les bourses d'échange en ligne s'accompagnent fréquemment de violations du droit d'auteur (c. 2.4). En outre, comme le délit considéré n'est pas grave, les exigences de l'art. 141 al. 2 CPP ne sont pas remplies et il n'est pas possible d'admettre que l'intérêt de l'État à la découverte de la vérité l'emporterait sur celui des personnes à ce que les preuves recueillies illicitement ne soient pas utilisées (c. 2.5). Du moment que les adresses IP ne peuvent pas être exploitées comme preuves, elles ne peuvent pas non plus, par analogie avec l'art. 141 al. 4 CPP, servir à l'identification des participants à la bourse d'échange (c. 2.6).