Une adresse IP est-elle une donnée personnelle (RGPD) ?
Selon le RGPD, une adresse IP peut être une donnée personnelle, car le règlement définit la donnée personnelle comme toute information se rapportant à une personne identifiée ou identifiable, et une adresse IP rend souvent quelqu’un identifiable lorsqu’elle est combinée à d’autres informations. Cet article fournit un contexte général aux développeurs et ne constitue pas un avis juridique ; vos obligations dépendent de votre situation, associez donc un spécialiste de la protection des données aux décisions réelles.
Ce que dit réellement le règlement
L’article 4 du RGPD définit la donnée personnelle de façon large. Il cite les identifiants en ligne comme exemples d’informations pouvant identifier une personne, et les considérants mentionnent des identifiants tels que les adresses IP et les identifiants de cookies que laissent les appareils. Le critère clé est l’identifiabilité : la personne peut-elle être identifiée, directement ou indirectement, par l’organisation qui détient les données ou par un tiers au moyen de moyens raisonnablement susceptibles d’être utilisés ?
La Cour de justice de l’Union européenne a abordé cette question dans l’affaire Breyer (2016), à propos des adresses IP dynamiques. En substance, la Cour a jugé qu’une adresse IP dynamique peut être une donnée personnelle entre les mains de l’exploitant d’un site lorsque celui-ci dispose de moyens légaux pour obtenir les informations complémentaires, comme les registres d’abonnés du fournisseur d’accès, qui permettraient d’identifier le visiteur. La leçon pratique est que la réponse n’est pas un oui ou un non figé pour chaque adresse et chaque détenteur. Elle dépend du contexte et de ce qui peut être rattaché à l’adresse.
Pourquoi le contexte compte pour les développeurs
Une adresse IP seule dans un journal de pare-feu est une chose. La même adresse stockée à côté d’un identifiant utilisateur, d’une adresse e-mail, d’un jeton de session et d’un horodatage est beaucoup plus nettement une donnée personnelle, car elle est liée à un compte précis. Si vous êtes dans le second cas, considérez que l’adresse entre dans le champ du règlement et planifiez en conséquence.
Il est aussi utile de distinguer deux choses faciles à confondre : l’adresse elle-même et les faits qui en sont dérivés. Lorsque vous recherchez une adresse, le résultat décrit généralement un réseau plutôt qu’une personne : le pays, la région au niveau de la ville, l’ASN et l’organisation qui exploitent le bloc, et des indicateurs tels que l’appartenance de l’adresse à un VPN connu ou à un datacenter. La recherche d’IP d’ipto renvoie des champs tels que country, city, asn et org ainsi que les indicateurs is_vpn, is_tor, is_abuser, is_datacenter et bogon. Ceux-ci décrivent le réseau, et la géolocalisation au niveau de la ville est approximative, comme l’explique l’article sur les raisons de la précision limitée au niveau de la ville. Mais l’entrée de la recherche, s’il s’agit de l’adresse d’un visiteur que vous avez stockée, peut rester une donnée personnelle entre vos mains, et l’enregistrement enrichi lié à un profil utilisateur l’est probablement aussi.
Considérations générales sur la journalisation et la conservation
Le règlement ne fixe pas de nombre de jours pour conserver les adresses IP. Ce sont des principes généraux qui s’appliquent : vous avez besoin d’une base légale pour le traitement, vous ne devez collecter que ce qui est nécessaire pour une finalité déterminée (minimisation des données), et vous ne devez pas le conserver plus longtemps que nécessaire pour cette finalité (limitation de la conservation). La journalisation de sécurité et la prévention de la fraude sont des finalités couramment citées, et la durée de conservation doit être justifiée par cette finalité et documentée, non choisie par habitude.
- Décidez d’abord de la finalité. La prévention des abus, la limitation de débit, le débogage et l’analytique ont des justifications différentes et des durées de conservation raisonnables différentes.
- Tronquez ou hachez lorsque la précision totale n’est pas nécessaire. Supprimer le dernier octet IPv4 ou les bits de poids faible d’une adresse IPv6 réduit l’identifiabilité. Les régulateurs et les tribunaux ont considéré la troncature et le hachage comme des mesures réduisant le risque, bien qu’un hachage d’un petit espace d’adresses puisse souvent être inversé ; ce n’est donc pas une anonymisation automatique.
- Programmez la suppression automatique. Faites expirer les journaux bruts selon un calendrier plutôt que de compter sur quelqu’un pour penser à les nettoyer.
- Soyez transparent. Votre politique de confidentialité doit indiquer que vous traitez des adresses, pourquoi et pour combien de temps. Les sous-traitants tiers auxquels vous envoyez des adresses doivent être couverts par un accord approprié.
- Attention aux transferts. Envoyer des adresses de visiteurs à une API externe est une communication à un tiers ; réfléchissez donc à la destination des données. Rechercher un réseau vous-même, sans donnée de visiteur, évite la question.
Utiliser des recherches réseau sans données personnelles
On peut répondre à de nombreuses questions utiles sur un réseau sans rattacher quoi que ce soit à une personne. La recherche d’ASN prend un numéro d’AS et renvoie le propriétaire enregistré, l’organisation, le pays et le nombre de plages, sans impliquer aucune adresse de visiteur. Pour les adresses, le WHOIS d’IP via RDAP renvoie des informations de registre sur le titulaire du bloc, c’est-à-dire des données organisationnelles sur qui détient l’allocation, et le vérificateur de bogons indique si une adresse est privée ou réservée et donc impossible à avoir pour un visiteur public.
Si vous comparez des régimes juridiques hors d’Europe, l’article sur les lois sur la confidentialité des adresses IP selon les pays donne une orientation générale. L’offre gratuite d’ipto permet 1 000 requêtes par jour sans inscription, et la documentation de l’API liste les champs afin que vous puissiez choisir de ne stocker que ce dont vous avez réellement besoin.