Lois sur la vie privée et adresses IP selon les pays
Les lois sur la confidentialité des adresses IP diffèrent selon les pays, mais un nombre croissant d’entre elles traitent une adresse IP comme une donnée personnelle dès lors qu’elle peut raisonnablement être rattachée à une personne, ce qui signifie que la journalisation, l’analytique et la géolocalisation des IP peuvent relever des règles de protection des données. Cet article est un contexte général pour les développeurs, pas un avis juridique ; les détails de toute loi doivent être vérifiés auprès d’un juriste qualifié.
Pourquoi les lois sur la vie privée traitent les IP comme des données personnelles
Une adresse IP seule n’est qu’un nombre, mais elle est rarement seule. Vos journaux de serveur l’associent à des horodatages, des URL, des user agents et souvent des identifiants de compte, et le fournisseur d’accès qui l’a attribuée peut la relier à un abonné. De nombreux régulateurs raisonnent donc qu’une adresse est une donnée personnelle lorsque quelqu’un, quelque part, a les moyens d’identifier la personne qui se trouve derrière. L’attribution tournante n’y change pas grand-chose : une adresse qui passe d’un client à l’autre reste liée à un client précis à un instant donné dans les registres du fournisseur.
C’est aussi pourquoi les limites techniques des données d’IP comptent pour l’analyse juridique. Une recherche renvoie un pays, une estimation au niveau de la ville, un propriétaire de réseau et des indicateurs de réputation, pas un nom. Vous pouvez voir à quoi cela ressemble en passant une adresse dans la recherche WHOIS d’IP, qui montre l’enregistrement du registre pour le bloc, généralement une organisation comme un FAI plutôt qu’un particulier. La question juridique porte sur ce qui pourrait être fait avec l’adresse en combinaison avec d’autres données, pas seulement sur ce que révèle une recherche isolée.
L’Union européenne et le Royaume-Uni
Dans l’UE, le RGPD définit largement la donnée personnelle, et la jurisprudence européenne a considéré les adresses IP qui changent d’une session à l’autre comme des données personnelles entre les mains d’un exploitant de site disposant de moyens légaux pour obtenir du fournisseur les informations d’identification. Le UK GDPR suit la même approche. En pratique, cela signifie que le traitement des IP de visiteurs exige une base légale, une finalité déclarée, des limites à la durée de conservation et une sécurité appropriée. Les atténuations courantes consistent à tronquer le dernier octet d’une adresse IPv4 avant stockage, à hacher avec un sel tournant et à fixer de courtes durées de conservation pour les journaux bruts. Notre article sur le RGPD et les adresses IP comme données personnelles approfondit le sujet.
Des règles distinctes s’appliquent au stockage ou à la lecture d’informations sur l’appareil d’un utilisateur, comme les cookies, dans le cadre de ePrivacy. La prévention de la fraude et la sécurité des réseaux sont souvent citées comme finalités légitimes de traitement des IP, ce qui explique que les outils de sécurité et le droit de la vie privée sont moins opposés qu’il n’y paraît, mais la finalité et la proportionnalité doivent tout de même être documentées.
Les États-Unis et les autres régions
Les États-Unis n’ont pas de loi fédérale unique couvrant les adresses IP. Il existe plutôt une mosaïque de lois d’État, le CCPA et le CPRA de Californie étant les mieux connus, et plusieurs autres États ont adopté des lois globales sur la vie privée. Celles-ci incluent généralement les identifiants en ligne, y compris les adresses IP, dans leur définition des informations personnelles et accordent aux résidents des droits tels que l’accès, la suppression et le refus de certains partages ou de la publicité ciblée. Des règles sectorielles, par exemple pour les données d’enfants ou de santé, ajoutent d’autres exigences.
- Le Brésil a la LGPD, qui ressemble au RGPD dans sa structure et couvre les informations relatives à une personne identifiable.
- Le Canada applique la LPRPDE (PIPEDA) et certaines lois provinciales, et les régulateurs ont traité les adresses IP comme des renseignements personnels selon le contexte.
- La Chine a une loi sur la protection des informations personnelles avec des règles sur le consentement et les transferts transfrontaliers.
- L’Inde a adopté une loi sur la protection des données, et quiconque s’y appuie doit vérifier l’état actuel de mise en œuvre de ses règles.
- Le Japon, la Corée du Sud et l’Australie ont chacun leur propre régime, avec des seuils différents pour ce qui constitue une information personnelle.
Les lois étant fréquemment modifiées, considérez tout résumé, y compris celui-ci, comme un point de départ et confirmez le texte en vigueur pour chaque marché que vous servez.
Des habitudes d’ingénierie pratiques qui s’exportent bien
Quelle que soit la juridiction, quelques habitudes réduisent l’exposition. Ne collectez que les données d’IP dont vous avez besoin pour une finalité documentée. Effectuez l’enrichissement nécessaire, comme le pays, l’ASN ou un indicateur VPN, au moment de la requête et stockez le champ dérivé plutôt que l’adresse brute lorsque celle-ci n’est pas requise. Conservez les journaux bruts pendant une durée courte et définie. Contrôlez qui peut les lire. Notez où se déroule le traitement, car les règles de transfert transfrontalier peuvent s’appliquer lorsque des journaux ou des recherches quittent une région.
Il est aussi utile de séparer les signaux que vous utilisez. Les contrôles au niveau du pays pour la licence ou la fiscalité demandent bien moins de précision qu’une fonction de personnalisation au niveau de la ville, et un contrôle de sécurité comme un score de réputation n’a besoin d’aucune localisation. La recherche d’IP d’ipto renvoie le pays, la ville, l’ASN, l’organisation et des indicateurs tels que is_vpn, is_tor et is_abuser, de sorte que vous pouvez ne stocker que le champ grossier dont votre cas d’usage a besoin. Pour le traitement des abus, le vérificateur d’abus d’IP renvoie un score et un niveau de risque sans profil personnel associé. Le détail des champs de requête et de réponse se trouve dans la documentation de l’API.
Enfin, dites aux utilisateurs ce que vous faites. Une politique de confidentialité claire qui cite les adresses IP parmi les données collectées, avec la finalité et la durée de conservation, satisfait une exigence de nombreux régimes et constitue le travail de conformité le plus réutilisable d’un pays à l’autre.
Il est aussi utile de voir ce qu’une recherche révèle réellement sur un visiteur. Le vérificateur de VPN et de proxy montre pourquoi la localisation apparente d’un visiteur peut ne pas correspondre à l’endroit où il se trouve, ce qui compte lorsque vous appliquez des règles fondées sur la localisation. Rien de tout cela ne remplace un avis juridique adapté à votre situation.