Adresse IP : quand est-elle une donnée personnelle ?

Une adresse IP peut être une donnée personnelle même si votre entreprise ne connaît pas le nom de l’internaute. La question décisive est la possibilité d’identifier une personne, directement ou indirectement, avec les moyens raisonnablement susceptibles d’être utilisés. Une adresse dynamique, un réseau partagé ou un VPN ne suffisent donc pas à écarter le RGPD.

Une identification indirecte reste une identification

L’Art. 4(1) du RGPD vise expressément les « identifiants en ligne » dans la définition d’une donnée à caractère personnel. Le considérant 26 impose d’examiner l’ensemble des moyens raisonnablement susceptibles d’être utilisés pour identifier la personne, en tenant compte du coût, du temps nécessaire et des technologies disponibles. Le nom n’a pas besoin de figurer dans le fichier. Source : définition du RGPD.

Trois décisions européennes et françaises balisent la question.

• Scarlet Extended, C-70/10, 24 novembre 2011 : la CJUE a jugé que les adresses IP des utilisateurs sont des données protégées, car elles permettent leur identification précise lorsque le fournisseur d’accès les relie à un abonné. Ce raisonnement concernait le fournisseur d’accès, qui détient le lien entre l’adresse et l’abonné.
• Breyer, C-582/14, 19 octobre 2016 : une adresse IP dynamique peut être une donnée personnelle pour l’exploitant d’un site lorsqu’il dispose de moyens légaux lui permettant de se faire communiquer par le fournisseur d’accès les informations supplémentaires nécessaires. Les données n’ont donc pas à être toutes détenues par la même entité. Voir le communiqué de la Cour.
• M.I.C.M., C-597/19, 17 juin 2021 : des adresses IP statiques collectées par un opérateur pour identifier des échanges pair à pair sont des données personnelles ; la Cour a aussi précisé que leur communication pour agir en justice peut relever de l’intérêt légitime, sous réserve d’une mise en balance. Voir la base de jurisprudence de la CJUE.

En France, la Cour de cassation, 1re chambre civile, 3 novembre 2016, n° 15-22.595, a censuré un raisonnement qui excluait la qualification au motif que l’adresse désignait un ordinateur. Attention au contexte historique : l’arrêt mentionne l’ancien régime de déclaration à la CNIL. Cette formalité générale ne doit pas être transposée telle quelle au régime actuel du RGPD.

Examiner les données réellement enregistrées

Une adresse n’est généralement pas conservée seule. Elle accompagne un horodatage, un identifiant de session, une URL, un compte ou des informations sur le terminal. L’analyse doit porter sur cet ensemble et sur les rapprochements possibles.

Une adresse exclusivement liée à une infrastructure, sans personne identifiable dans le contexte examiné, peut appeler une autre qualification. Mais cette situation doit être établie : elle ne permet pas de déclarer anonymes tous les journaux d’un site recevant également des visiteurs humains.

Une recherche publique sur l’adresse peut renseigner sur un opérateur ou un réseau. Elle ne prouve pas automatiquement l’identité de la personne ayant réalisé l’action. La qualification juridique d’une donnée et la preuve de l’auteur d’un acte sont deux questions différentes.

IPv4, IPv6, tronquée, hachée : ce que change la forme

La forme technique de l’adresse ne tranche pas la qualification.

• IPv4 partagée (NAT, réseau d’entreprise, accès mobile) : plusieurs personnes peuvent apparaître derrière la même adresse, ce qui réduit la précision de l’identification sans la supprimer, notamment si d’autres identifiants (compte, cookie, empreinte du terminal) sont enregistrés.
• IPv6 : une adresse peut rester associée à un même terminal ou foyer plus longtemps ; l’examen doit porter sur la stabilité de la partie identifiant l’interface, sans présumer qu’elle soit moins identifiante.
• Troncature (suppression du dernier octet) : elle réduit le risque, mais ne vaut anonymisation que si aucun autre élément ne permet de réidentifier la personne. Il s’agit plutôt d’une mesure de minimisation ou de pseudonymisation.
• Hachage : une adresse IPv4 n’a qu’environ 4,3 milliards de valeurs possibles ; un condensat non salé se retrouve par énumération. Le résultat reste généralement une donnée pseudonymisée au sens de l’Art. 4(5), donc soumise au RGPD.

Le raisonnement sur ces techniques est détaillé dans l’article sur la pseudonymisation et l’anonymisation.

Exemple hypothétique : les journaux d’une boutique en ligne

Cet exemple est fictif ; il illustre la méthode, pas un dossier réel.

Une PME exploite une boutique en ligne. Son serveur web enregistre pour chaque requête l’adresse IP, l’heure, l’URL demandée et l’agent utilisateur. Le même jeu de journaux est copié vers un outil de supervision SaaS, et les connexions au compte client y figurent avec l’identifiant du client.

L’analyse se conduit en quatre temps :

1. Qualification. Les journaux de connexion associent une IP à un compte : ce sont des données personnelles, sans discussion. Les journaux de pages anonymes le sont aussi si l’éditeur dispose, en pratique, de moyens de rapprochement (compte, commande, cookie de session).
2. Finalités séparées. Sécurité et détection de fraude (intérêt légitime, Art. 6(1)(f)), exécution de la commande (Art. 6(1)(b)) et statistiques de fréquentation sont trois finalités distinctes. Réutiliser les journaux de sécurité pour du ciblage publicitaire sortirait de la finalité initiale (Art. 5(1)(b)).
3. Durées. La PME fixe une durée courte pour les journaux de pages, plus longue pour les journaux de sécurité, et une purge automatique pour chacune. Voir l’article sur la durée de conservation.
4. Prestataires. L’outil de supervision est un sous-traitant : il faut un contrat conforme à l’Art. 28(3) et vérifier le lieu de traitement. Si l’IP est envoyée hors de l’Espace économique européen, les Art. 44 à 46 s’appliquent ; voir le guide sur les transferts hors UE.

Cas fréquents : polices web, statistiques, formulaires

Polices et ressources chargées depuis un tiers. Chaque chargement d’une ressource hébergée chez un tiers transmet l’adresse IP du visiteur à ce tiers. Le tribunal régional de Munich I (20 janvier 2022, 3 O 17493/20) a condamné un éditeur de site à verser 100 € au visiteur dont l’adresse avait été transmise à Google via Google Fonts, faute de base légale. Cette décision allemande n’a pas valeur de précédent en France ; elle illustre le raisonnement : héberger localement les polices évite le transfert.

Mesure d’audience. L’adresse IP transmise à un outil de statistiques est un point central des contrôles de la CNIL sur les transferts. Voir la décision de la CNIL sur Google Analytics et le guide pour utiliser un outil d’analytics conformément au RGPD. Pour la mesure d’audience dispensée de consentement, la CNIL attend en outre que l’adresse ne serve qu’à une géolocalisation grossière avant d’être supprimée ou anonymisée ; son guide sur les cookies et traceurs précise les conditions.

Formulaires et commentaires. Enregistrer l’IP de l’auteur d’un commentaire pour lutter contre le spam est une finalité de sécurité qui se défend, à condition d’informer et de limiter la durée.

Conserver une IP ne suppose pas toujours un consentement

Le responsable doit déterminer une finalité et une base légale. Pour certains journaux de sécurité, l’intérêt légitime peut être pertinent après examen de la nécessité et des droits des personnes. Il ne constitue pas une autorisation générale de réutiliser ces traces pour du ciblage publicitaire. Les conditions de l’Art. 6(1)(f) doivent être vérifiées : chapitre II du RGPD.

La transmission technique nécessaire à la communication n’autorise pas, à elle seule, toute conservation ultérieure. Inversement, qualifier l’IP de donnée personnelle ne signifie pas qu’un bandeau de consentement soit nécessaire pour chaque ligne de journal. Les règles particulières relatives aux opérations de lecture ou d’écriture sur le terminal (Art. 82 de la loi Informatique et Libertés, transposant l’Art. 5(3) de la directive 2002/58/CE) doivent être analysées séparément : la simple réception de l’adresse par un serveur n’est pas une lecture ou écriture sur le terminal, alors qu’un traceur déposé en est une.

Le guide sur les bases légales aide à documenter le raisonnement. Précisez l’objectif, les données utiles et les raisons pour lesquelles une solution moins intrusive serait insuffisante.

Obligations de conservation et durées de référence

Deux sources doivent être distinguées, car elles ne s’adressent pas aux mêmes acteurs.

• Hébergeurs et fournisseurs d’accès : l’article 6, II de la loi n° 2004-575 du 21 juin 2004 (LCEN) impose la conservation des données permettant d’identifier les personnes ayant contribué à la création d’un contenu. Le décret n° 2021-1362 du 20 octobre 2021 en précise les catégories et fixe la durée à un an pour les données d’identification. Un éditeur de boutique n’entre pas dans cette catégorie.
• Journalisation de sécurité : la CNIL a adopté une recommandation relative à la journalisation (délibération n° 2021-122 du 14 octobre 2021), qui retient en principe une durée de conservation comprise entre six mois et un an pour les journaux de sécurité, sauf justification d’une durée plus longue. C’est une recommandation, non une obligation légale. Consultez-la sur le site de la CNIL.

À vérifier avant toute décision : ces deux textes évoluent, et la durée applicable dépend de votre statut et de la finalité.

Droits des personnes et information

Si l’IP est une donnée personnelle, les droits s’appliquent : accès (Art. 15), effacement (Art. 17) et opposition (Art. 21). La difficulté pratique est de retrouver les lignes d’un utilisateur dans des journaux volumineux. Prévoyez donc une méthode de recherche par identifiant (compte, session) et rappelez, dans la politique de confidentialité, les finalités, la durée et les destinataires des journaux (Art. 13). Le responsable n’est pas tenu de rechercher des données de personnes qu’il ne peut pas identifier (Art. 11), mais il doit pouvoir le démontrer si la demande arrive.

Une vérification pratique des journaux

Commencez par un échantillon maîtrisé des logs et la configuration qui les produit. Repérez les IP, mais aussi les URL contenant des identifiants, les paramètres de requête et les informations de compte. Évitez d’enregistrer des secrets ou des contenus sans utilité pour la finalité.

Définissez ensuite une durée justifiée, les habilitations et le sort des exports. Une durée de sécurité ne se déduit pas automatiquement de celle d’une facture ou d’un dossier client. Vérifiez les copies chez l’hébergeur, l’outil de surveillance et les prestataires ; encadrez leurs rôles et les éventuels transferts. Les mesures de protection des journaux eux-mêmes (contrôle d’accès, intégrité, horodatage) relèvent de l’Art. 32 ; voir les mesures de sécurité recommandées par la CNIL.

Enfin, décrivez le traitement dans la documentation et l’information appropriées. La définition des données personnelles permet d’élargir l’inventaire aux identifiants voisins. Si vous souhaitez sortir du champ du RGPD, examinez les conditions réelles de l’anonymisation, et pas seulement le retrait d’un champ.

Erreurs fréquentes

• Écrire que « l’IP n’est pas une donnée personnelle » dans la politique de confidentialité, alors que les journaux sont rapprochables d’un compte.
• Confondre anonymisation et troncature ou hachage non salé.
• Conserver indéfiniment les journaux « au cas où », sans durée ni purge.
• Oublier que l’outil de supervision, le CDN ou l’anti-spam reçoivent aussi l’adresse et sont des sous-traitants à encadrer.
• Fonder sur l’intérêt légitime une réutilisation commerciale des traces de sécurité.

Ce qu’il faut retenir

• Une IP peut identifier indirectement une personne sans révéler immédiatement son nom (Art. 4(1), considérant 26 ; CJUE Breyer, C-582/14).
• Le partage d’une adresse, son caractère dynamique, sa troncature ou son hachage ne suffisent pas à rendre les données anonymes.
• Le contexte, les autres identifiants et les moyens de rapprochement comptent.
• La finalité, la base légale, la durée et la sécurité doivent être documentées pour les journaux concernés, y compris chez les prestataires.
• Les recommandations de la CNIL sur la journalisation et les obligations de la LCEN ne s’adressent pas aux mêmes acteurs : ne pas les confondre.

FAQ

Une adresse IP est-elle toujours le nom d’une personne ?

Non. Elle peut permettre une identification indirecte sans constituer une preuve certaine de l’auteur d’une action. Cette distinction n’exclut pas la protection des données.

Supprimer les derniers chiffres suffit-il à anonymiser ?

Pas automatiquement. Il faut examiner les autres informations, les possibilités de recoupement et les risques de réidentification dans le contexte retenu. La troncature est utile comme mesure de minimisation, mais elle ne garantit pas l’anonymat.

Faut-il déclarer ses journaux de connexion à la CNIL ?

Il n’existe plus de déclaration générale de ce type sous le RGPD. Cela ne dispense pas de respecter les obligations applicables au traitement, d’inscrire le traitement au registre (Art. 30) ni d’examiner un éventuel régime particulier.

Combien de temps puis-je conserver les adresses IP de mon site ?

Le RGPD ne fixe pas de durée : elle doit être proportionnée à la finalité (Art. 5(1)(e)). Pour les journaux de sécurité, la recommandation de la CNIL sur la journalisation retient en principe six mois à un an ; les hébergeurs et fournisseurs d’accès sont soumis à une obligation légale distincte.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.