Vos serveurs enregistrent des milliers d’adresses IP chaque jour. Beaucoup de dirigeants les croient anonymes. Les tribunaux européens affirment l’inverse, et cela engage directement votre responsabilité.
L’adresse IP est-elle vraiment une donnée personnelle ?
Oui, dans la grande majorité des cas. Le RGPD range l’adresse IP parmi les identifiants en ligne, aux côtés des cookies et des identifiants publicitaires.
Le considérant 30 du règlement le confirme sans ambiguïté. Une adresse IP peut rattacher un appareil, et souvent une personne, à une activité en ligne précise.
Le principe reste simple. Dès qu’une donnée permet d’identifier quelqu’un, directement ou indirectement, elle relève du RGPD.
Que disent les juges européens sur l’adresse IP ?
La Cour de justice de l’Union européenne a tranché dès 2016 avec l’arrêt Breyer. Une adresse IP dynamique constitue une donnée personnelle pour l’exploitant d’un site.
La condition tient aux moyens raisonnables d’identification. Si le responsable peut, légalement, obtenir l’identité auprès du fournisseur d’accès, l’adresse devient identifiante.
En septembre 2025, l’arrêt C-413/23 P a confirmé cette approche dite relative. Une même donnée peut être personnelle pour celui qui détient la clé de rapprochement, et anonyme pour un tiers qui en est totalement privé.
IP fixe ou IP dynamique : la distinction compte-t-elle ?
Peu, en pratique. Une IP fixe pointe durablement vers un abonné, elle est donc presque toujours identifiante.
Une IP dynamique change régulièrement. Pourtant les juges la considèrent comme personnelle dès qu’un recoupement reste réalisable via le fournisseur d’accès.
Ne comptez pas sur ce critère technique pour échapper au règlement. Le raisonnement porte sur la capacité d’identification, pas sur la stabilité du numéro.
| Situation | Statut de l’adresse IP |
|---|---|
| IP complète dans les logs serveur, réquisition possible | Donnée personnelle |
| IP fixe attribuée à une entreprise cliente | Donnée personnelle |
| IP tronquée dans un outil de mesure d’audience | Pseudonyme, RGPD applicable |
| IP transmise à un tiers sans clé ni moyen de recoupement | Potentiellement anonyme pour ce tiers |
Quelles conséquences concrètes pour votre entreprise ?
Traiter des adresses IP vous impose les mêmes obligations que pour un nom ou un e-mail. Trois chantiers reviennent systématiquement.
D’abord l’inscription au registre. Chaque traitement contenant des IP doit figurer dans votre registre des traitements, avec sa finalité et sa base légale.
Ensuite la base légale. Les logs de sécurité reposent souvent sur l’intérêt légitime, condition encadrée par la CNIL, tandis que la mesure d’audience suppose le consentement.
Enfin la conservation. La CNIL recommande de limiter la durée de conservation des journaux à une fenêtre de six mois à un an.
Que risquez-vous en ignorant ce statut ?
Les autorités de contrôle ne distinguent pas les IP des autres données. Une collecte non déclarée ou sans base légale expose aux mêmes sanctions.
Le RGPD prévoit des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. Le montant dépend de la gravité et de la durée du manquement.
Au-delà de l’amende, une fuite de journaux contenant des IP peut constituer une violation de données à notifier. La réputation de l’organisation en souffre également.
Comment réduire le risque lié aux adresses IP ?
Quelques réflexes techniques et organisationnels abaissent nettement votre exposition.
- Tronquez les adresses IP dans vos outils de mesure d’audience.
- Chiffrez les journaux qui contiennent des adresses complètes.
- Restreignez l’accès aux logs aux seules personnes habilitées.
- Fixez une durée de conservation courte et automatisez la purge.
- Documentez la base légale de chaque collecte d’adresse.
- Informez les internautes et vérifiez la conformité de votre site internet.
Cartographier tous vos traitements d’adresses IP, choisir la bonne base légale et fixer les durées demande du temps et de la méthode. Un DPO externalisé pour sécuriser vos traitements pilote cette mise en conformité et documente chaque choix en cas de contrôle.
FAQ
Une adresse IP seule permet-elle d’identifier une personne ?
Pas toujours à elle seule. Mais dès qu’un recoupement raisonnable existe, par exemple via le fournisseur d’accès sur réquisition, elle devient identifiante. Les juges européens raisonnent sur cette possibilité, pas sur une identification immédiate. Par prudence, considérez toute IP complète comme une donnée personnelle.
Faut-il le consentement pour collecter une adresse IP ?
Cela dépend de la finalité. Un journal de sécurité peut s’appuyer sur l’intérêt légitime, sans consentement. En revanche, une adresse collectée par un outil de mesure d’audience non exempté suppose le consentement préalable de l’internaute, recueilli via un bandeau conforme.
Tronquer l’adresse IP suffit-il à l’anonymiser ?
Pas systématiquement. Supprimer le dernier octet réduit fortement le risque de réidentification, mais l’opération relève souvent de la pseudonymisation, pas de l’anonymisation. Le résultat reste alors soumis au RGPD. Une anonymisation véritable exige que plus aucun recoupement réaliste ne soit possible.
Combien de temps conserver les adresses IP ?
Le principe est la conservation la plus courte possible. Pour les journaux de connexion, la CNIL préconise généralement une durée de six mois à un an. Au-delà, il faut une justification précise, comme une obligation légale ou un besoin probatoire documenté.
