L'adresse IP est-elle une donnée personnelle ? Ce que dit le droit

Par La rédaction de Mon-Adresse-IP.net·Publié le 21 août 2026·

La question a occupé les tribunaux européens pendant plus de quinze ans. Elle est aujourd'hui tranchée dans son principe, mais les conséquences pratiques restent largement méconnues, autant des internautes que des éditeurs de sites. Ce guide expose le raisonnement juridique, l'arrêt qui a fait basculer le débat, la confusion persistante avec les cookies, et ce que vous pouvez réellement obtenir en exerçant vos droits.

La réponse courte, et pourquoi elle a été discutée

Oui : dans la très grande majorité des situations, une adresse IP constitue une donnée à caractère personnel au sens du RGPD. Ce n'est pas une lecture maximaliste, c'est la conséquence directe du texte, confirmée par la jurisprudence européenne et française.

Pourquoi, alors, ce débat a-t-il duré si longtemps ? Parce que l'objection technique est réelle. Une adresse IP n'identifie pas une personne : elle identifie une interface réseau, à un instant donné. Derrière une même adresse, on peut trouver un foyer entier, une entreprise, un point d'accès public ou un serveur relais. L'éditeur qui la reçoit ne dispose, lui, que d'une suite de chiffres : aucun nom, aucun moyen propre de remonter à un individu. Cette objection a longtemps convaincu : au milieu des années 2000, dans des affaires de partage de fichiers, des juridictions françaises ont pu juger qu'une adresse relevée sur un réseau d'échange n'était pas une donnée personnelle, précisément parce que celui qui la collectait ne pouvait identifier personne.

Deux décisions de l'automne 2016 ont refermé le débat de principe : l'arrêt Breyer de la Cour de justice de l'Union européenne, le 19 octobre, puis un arrêt de la première chambre civile de la Cour de cassation, le 3 novembre, jugeant que les adresses IP, qui permettent d'identifier indirectement une personne physique, sont des données à caractère personnel. Ce qui subsiste n'est plus la question de principe, mais celle du périmètre : pour qui, dans une chaîne d'acteurs, une adresse constitue-t-elle une donnée personnelle ?

Ce que dit précisément le texte du RGPD

Tout part de l'article 4, point 1, du règlement (UE) 2016/679. Il définit la donnée à caractère personnel comme « toute information se rapportant à une personne physique identifiée ou identifiable », et précise qu'est identifiable la personne qui peut être identifiée, « directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne ».

Trois éléments de cette définition sont systématiquement sous-estimés. « Se rapportant à » : la donnée n'a pas besoin de désigner la personne, il suffit qu'elle se rapporte à elle, comme une plaque d'immatriculation se rapporte à un véhicule et, par lui, à son propriétaire. « Indirectement » : l'identification par recoupement compte autant que l'identification directe. « Identifiant en ligne » : la catégorie a été ajoutée en 2016 pour couvrir explicitement les identifiants techniques.

Le considérant 30 lève toute ambiguïté. Il indique que les personnes physiques peuvent se voir associer, par les appareils, applications, outils et protocoles qu'elles utilisent, des identifiants en ligne tels que des adresses IP et des témoins de connexion, les cookies, et que ces identifiants peuvent laisser des traces qui, combinées à d'autres informations, sont susceptibles de servir à créer des profils et à identifier les personnes. L'adresse IP est donc citée nommément par le législateur européen.

Reste la clé de voûte : le considérant 26. Pour déterminer si une personne est identifiable, il faut prendre en considération « l'ensemble des moyens raisonnablement susceptibles d'être utilisés » par le responsable du traitement ou par toute autre personne. Ce caractère raisonnable s'apprécie au regard de facteurs objectifs : coût de l'identification, temps nécessaire, technologies disponibles au moment du traitement et leur évolution. Le même considérant précise, en sens inverse, que les principes du règlement ne s'appliquent pas aux informations anonymes.

L'arrêt Breyer : le raisonnement de la Cour de justice

L'affaire C-582/14 oppose Patrick Breyer, citoyen allemand, à la République fédérale d'Allemagne. Des sites institutionnels fédéraux enregistraient les adresses IP dynamiques de leurs visiteurs et les conservaient au-delà de la fin de la consultation, pour se défendre contre les attaques informatiques. M. Breyer a demandé qu'il soit mis fin à cette conservation. La Cour fédérale de justice allemande a interrogé la Cour de justice de l'Union européenne, qui a rendu son arrêt le 19 octobre 2016.

La Cour a jugé qu'une adresse IP dynamique enregistrée par un fournisseur de services de médias en ligne à l'occasion de la consultation d'un site qu'il rend accessible au public constitue, à l'égard de ce fournisseur, une donnée à caractère personnel lorsqu'il dispose de moyens légaux lui permettant de faire identifier la personne concernée grâce aux informations supplémentaires dont dispose le fournisseur d'accès à Internet de cette personne.

Ni approche absolue, ni approche purement subjective

Deux lectures extrêmes étaient plaidées. L'approche dite absolue : une donnée est personnelle dès lors que quiconque au monde pourrait identifier la personne, presque toute donnée le deviendrait. L'approche purement subjective : la donnée n'est personnelle que si celui qui la détient peut, seul, identifier la personne, un site n'aurait alors jamais affaire à des données personnelles en collectant des adresses IP.

La Cour a retenu une voie intermédiaire, dite approche relative. L'identifiabilité s'apprécie du point de vue de l'entité concernée, mais en tenant compte des moyens qu'elle peut raisonnablement mobiliser auprès de tiers. Il n'y aurait pas de donnée personnelle si l'identification était interdite par la loi ou pratiquement irréalisable, parce qu'elle impliquerait un effort démesuré en temps, en coût et en main-d'œuvre : le risque serait alors insignifiant.

Le critère des « moyens légaux raisonnables »

En l'espèce, la Cour a relevé que le droit allemand ouvrait des voies permettant à l'exploitant du site, notamment en cas d'attaque informatique, de s'adresser à l'autorité compétente afin que celle-ci obtienne l'information auprès du fournisseur d'accès. Ce canal existe, il est légal, il n'exige pas un effort démesuré : cela suffit.

Le raisonnement se transpose sans difficulté en France. Un éditeur victime d'une intrusion, d'un déni de service ou de propos illicites peut déposer plainte ; l'autorité judiciaire peut alors requérir de l'opérateur les éléments d'identification. Par conséquent, pour un éditeur de site français, les adresses IP de ses visiteurs doivent être traitées comme des données personnelles. Toute stratégie de conformité bâtie sur l'idée contraire est fragile.

Le second volet de l'arrêt, presque toujours oublié

La Cour a aussi jugé qu'une législation nationale ne pouvait interdire à l'exploitant d'un site de conserver des adresses IP au-delà de la durée nécessaire à la facturation ou à la fourniture du service demandé, lorsque cette conservation vise à garantir le bon fonctionnement général du site : cet objectif peut relever de l'intérêt légitime. Le même arrêt qui qualifie l'adresse IP de donnée personnelle reconnaît donc la légitimité d'en conserver une trace pour la sécurité. Les deux volets vont ensemble : qualification stricte, mais base légale disponible.

IP fixe, IP dynamique : une distinction dépassée

Pendant des années, l'argument a structuré les discussions : une adresse fixe désigne durablement une ligne, donc elle identifie ; une adresse dynamique change, donc elle n'identifierait pas. L'arrêt Breyer portait précisément sur une adresse dynamique et a écarté la distinction, pour une raison simple : le fournisseur d'accès conserve l'historique des attributions. Une adresse dynamique n'est pas anonyme, elle est simplement horodatée. Trois évolutions techniques ont achevé de vider la distinction de sa substance.

1. Les adresses « dynamiques » bougent peu. Sur les accès fixes français, une box conserve fréquemment la même adresse IPv4 pendant des semaines, tant que le bail n'est pas renouvelé et que l'équipement n'est pas redémarré. La stabilité de fait est souvent proche de celle d'une adresse fixe.
2. Le CGNAT produit l'effet inverse. Sur les accès mobiles, les box 4G et 5G et certaines offres fixes, des dizaines d'abonnés partagent la même adresse IPv4 publique. L'adresse seule ne désigne alors plus personne : l'opérateur a besoin, en plus, du port source et d'un horodatage précis à la seconde pour retrouver une ligne. Notre guide sur le CGNAT détaille ce mécanisme et ses conséquences.
3. IPv6 rebat les cartes dans l'autre sens. Les opérateurs français délèguent généralement à chaque ligne un préfixe stable, souvent un /56 ou un /64. Les extensions de confidentialité des systèmes d'exploitation ne changent que la partie basse de l'adresse : le préfixe, lui, reste identique et suffit à rattacher toutes les machines d'un foyer entre elles. Une adresse IPv6 est donc fréquemment plus identifiante qu'une IPv4 partagée, comme l'explique notre guide IPv6 à la maison.

Conclusion pratique : ne fondez jamais une analyse juridique sur la nature dynamique d'une adresse. Ce qui compte est la capacité, pour quelqu'un, de la rattacher à une ligne ; cette capacité existe chez l'opérateur dans tous les cas de figure.

Ce que cela implique pour un éditeur de site

Un serveur web journalise par défaut l'adresse IP de chaque requête, avec la date, la page demandée, le code de réponse, le référent et l'identifiant du navigateur. C'est le comportement standard d'Apache ou de nginx, y compris sur un hébergement mutualisé, où l'hébergeur conserve en outre ses propres journaux. Un éditeur traite donc des données personnelles dès la première visite, sans avoir rien installé de particulier. Vous pouvez visualiser ce que votre navigateur transmet avec notre outil mes en-têtes HTTP. Voici les obligations qui en découlent.

Une précision utile : les obligations françaises de conservation de données de connexion, définies par voie réglementaire à la suite des décisions du Conseil d'État et de la Cour de justice, pèsent sur les opérateurs de communications électroniques et sur les fournisseurs d'hébergement, non sur tout éditeur de site. Un site vitrine n'a aucune obligation de conserver un an les adresses de ses visiteurs ; il en a en revanche une, découlant du principe de limitation, de ne pas les garder sans raison. Ces règles sont détaillées dans notre guide sur ce que votre fournisseur d'accès conserve.

Adresse IP et cookies : deux régimes distincts

C'est la confusion la plus fréquente, y compris dans des documentations professionnelles. Adresse IP et cookies ne relèvent pas du même texte, et la différence a des conséquences concrètes.

Le dépôt et la lecture d'informations dans le terminal d'un utilisateur relèvent de l'article 82 de la loi Informatique et Libertés du 6 janvier 1978 modifiée, qui transpose l'article 5-3 de la directive ePrivacy 2002/58/CE. Ce texte pose un principe de consentement préalable et éclairé, assorti de deux exceptions étroites : les opérations ayant pour finalité exclusive de permettre ou faciliter la communication par voie électronique, et celles strictement nécessaires à la fourniture d'un service expressément demandé par l'utilisateur.

Or une adresse IP n'est ni inscrite ni lue dans votre terminal : elle est transmise par le protocole réseau lui-même, sans quoi aucune réponse ne pourrait vous parvenir. Sa collecte ne déclenche donc pas, à elle seule, l'obligation de consentement de l'article 82. Elle relève du seul RGPD, qui exige une base légale, souvent l'intérêt légitime, mais pas nécessairement un consentement. D'où deux conséquences opposées, et toutes deux contre-intuitives :

Ce dernier point mérite d'être souligné, car presque aucune page francophone ne l'explique. Dans ses lignes directrices adoptées en septembre 2020, la CNIL considère que l'article 82 couvre l'ensemble des opérations d'accès ou d'inscription d'informations dans le terminal, y compris l'utilisation d'identifiants générés par les logiciels ou les équipements. L'empreinte de navigateur, qui interroge les polices installées, la définition de l'écran, le fuseau horaire ou le rendu graphique, tombe donc sous le même régime de consentement que les cookies, quand bien même aucun fichier n'est déposé. Notre guide sur l'empreinte de navigateur détaille les signaux concernés et les moyens d'en réduire la portée.

La CNIL admet par ailleurs une exemption de consentement pour la mesure d'audience, à des conditions strictes : finalité limitée à la production de statistiques anonymes pour le seul éditeur, absence de recoupement avec d'autres traitements, absence de suivi de la navigation sur d'autres sites, et durées de conservation encadrées. L'adresse IP y est un point de vigilance central, ce qui conduit à la question suivante.

Anonymisation ou pseudonymisation : le cas de l'IP tronquée

Les deux notions sont souvent employées l'une pour l'autre ; elles produisent pourtant des effets juridiques opposés.

Anonymisation	Processus irréversible. Le résultat n'est plus une donnée personnelle et sort du champ du RGPD : plus d'obligation d'information, plus de durée de conservation, plus de droits à exercer.
Pseudonymisation	Définie à l'article 4, point 5 : la donnée ne peut plus être attribuée à une personne sans recourir à des informations conservées séparément. Le résultat reste une donnée personnelle. Toutes les obligations continuent de s'appliquer.

Le considérant 26 est explicite : les données à caractère personnel qui ont fait l'objet d'une pseudonymisation et qui pourraient être attribuées à une personne physique par le recours à des informations supplémentaires doivent être considérées comme des informations concernant une personne identifiable. La barre de l'anonymisation est haute. Les autorités européennes de protection des données l'apprécient à travers trois tests cumulatifs : est-il encore possible d'individualiser une personne dans le jeu de données ? de corréler deux enregistrements la concernant ? d'inférer une information à son sujet ? Si l'une de ces trois opérations reste possible, il n'y a pas anonymisation.

Que vaut la troncature d'une adresse IPv4 ?

La technique la plus répandue consiste à remplacer le dernier octet par zéro : 203.0.113.42 devient 203.0.113.0. L'adresse exacte disparaît, mais il subsiste un bloc pouvant contenir jusqu'à 256 adresses, généralement attribuées au même opérateur dans la même zone géographique. Or une visite ne se réduit jamais à une adresse : elle s'accompagne d'un horodatage à la seconde, d'une page consultée, d'une page de provenance, d'une langue déclarée, d'une chaîne d'identification du navigateur, parfois d'une définition d'écran. Le recoupement de ces éléments permet très souvent d'individualiser encore une session.

La troncature est donc une mesure de réduction du risque (utile, recommandable), mais elle ne fait pas sortir du RGPD. C'est une pseudonymisation. En pratique, cela signifie que les obligations de base légale, d'information, de limitation de conservation, de sécurité et de réponse aux demandes subsistent intégralement, y compris pour un outil de mesure d'audience. La CNIL a d'ailleurs mis en demeure, en février 2022, plusieurs gestionnaires de sites français au sujet de l'usage d'un outil de mesure d'audience américain, la question des transferts hors de l'Union se posant indépendamment de la troncature de l'adresse.

Vos droits, et leurs limites réelles

En tant que personne concernée, vous disposez du droit d'accès (article 15), de rectification (16), d'effacement (17), de limitation (18) et d'opposition (21). Lorsqu'un traitement repose sur l'intérêt légitime, cas ordinaire des journaux de connexion, le droit d'opposition est ouvert, et le responsable doit y faire droit sauf motifs légitimes impérieux prévalant sur vos intérêts. La réponse doit intervenir dans un délai d'un mois, prolongeable de deux mois, et sans frais.

Vient ensuite la limite que beaucoup découvrent en pratique. L'article 11 du RGPD prévoit que si les finalités d'un traitement n'exigent pas ou n'exigent plus l'identification de la personne, le responsable n'est pas tenu de conserver ou de collecter des données supplémentaires uniquement pour se conformer au règlement ; et s'il démontre qu'il n'est pas en mesure d'identifier la personne, les articles 15 à 20 ne s'appliquent pas, sauf si celle-ci fournit des informations complémentaires permettant son identification.

C'est pourquoi une demande formulée ainsi : « transmettez-moi toutes les données liées à mon adresse IP 203.0.113.42 », aboutit rarement. Trois obstacles se cumulent :

• Vous ne pouvez pas prouver que cette adresse était la vôtre. Seul votre fournisseur d'accès pourrait l'attester, et il ne délivre pas ce type d'attestation à la demande.
• L'adresse a pu être partagée. Derrière un CGNAT ou un réseau d'entreprise, elle correspond à plusieurs personnes : livrer l'historique associé reviendrait à divulguer les données d'autrui.
• Répondre créerait un risque nouveau. Un site qui accepterait de communiquer un historique de navigation sur simple mention d'une adresse ouvrirait un formidable outil de surveillance à quiconque connaît l'adresse d'un tiers. L'article 12-6 autorise le responsable à demander des éléments d'identification supplémentaires ; à l'inverse, l'article 11 et le considérant 57 ne l'obligent pas à collecter des informations additionnelles dans le seul but de vous identifier.

Ce que vous pouvez faire pour qu'une demande aboutisse : si vous disposez d'un compte sur le service, exercez vos droits depuis ce compte, l'exploitant pourra alors relier les sessions. Si votre demande porte sur un événement précis (une commande, un message, un blocage, une décision de modération), fournissez les éléments qui l'identifient : date et heure à la minute, numéro de dossier, adresse électronique utilisée. Enfin, sachez que l'effacement peut être légitimement refusé lorsque la conservation répond à une obligation légale ou s'avère nécessaire à la constatation ou à l'exercice de droits en justice. En cas de non-réponse ou de refus injustifié, vous pouvez saisir la CNIL par son service de plainte en ligne. Notre page sur les risques liés à l'exposition de votre adresse IP replace ces démarches dans leur contexte.

Qui peut relier une adresse IP à une identité

La réponse tient en une phrase : dans le cas général, seul votre fournisseur d'accès ou votre opérateur mobile détient la correspondance entre une adresse publique, un horodatage et une ligne d'abonné. Personne d'autre.

Ce que n'importe qui peut obtenir à partir d'une adresse est en réalité très limité : l'opérateur qui l'exploite, son numéro de système autonome, une plage d'attribution déclarée auprès du registre régional, et une localisation approximative issue de bases de données commerciales dont la précision se dégrade fortement en dessous de l'échelle régionale. Vous pouvez le constater vous-même avec notre outil de recherche d'adresse IP ; notre guide sur la géolocalisation par IP explique pourquoi la ville affichée est souvent celle d'un équipement opérateur, parfois à des dizaines de kilomètres du domicile réel.

L'opérateur, lui, ne répond pas à un particulier. Il répond à une demande légalement fondée émanant d'une autorité habilitée, dans le cadre d'une procédure : enquête pénale, réquisition judiciaire, ou mesure d'instruction ordonnée par un juge civil. Cette exigence n'est pas une formalité administrative : c'est la garantie qui vous protège vous aussi, en empêchant qu'un tiers obtienne votre identité au motif qu'il a relevé votre adresse quelque part.

Deux obstacles techniques s'ajoutent au cadre juridique. Le premier est la durée : passé le délai de conservation applicable, la correspondance n'existe plus et la question devient sans objet. Le second est le partage d'adresses : derrière un CGNAT, l'adresse seule ne suffit plus, et sans le port source ni un horodatage précis à la seconde, l'opérateur ne peut désigner un abonné plutôt qu'un autre. Ces mécanismes sont détaillés dans notre guide sur les données conservées par les fournisseurs d'accès.

Le cas des ayants droit et du partage illicite

Il existe en France un dispositif spécifique qui illustre bien l'ensemble du raisonnement précédent : la réponse graduée en matière de partage illicite d'œuvres protégées.

Sur les réseaux d'échange de pair à pair, les adresses des participants à un même échange sont visibles de tous : c'est une caractéristique du protocole, non une faille. Des agents assermentés, désignés par des organismes de défense professionnelle et agréés par le ministère chargé de la culture, relèvent ces adresses ainsi que l'horodatage et l'œuvre concernée. Ces traitements portant sur des données relatives à des infractions, ils sont strictement encadrés par la loi Informatique et Libertés et placés sous le contrôle de la CNIL, qui en vérifie la proportionnalité : seules certaines catégories d'informations peuvent être collectées, et pour cette seule finalité.

Les constats sont ensuite transmis à l'ARCOM, autorité issue en janvier 2022 de la fusion du CSA et de la Hadopi. L'ARCOM demande à l'opérateur l'identité civile correspondant à l'adresse relevée, puis adresse au titulaire de l'abonnement des recommandations successives. La Cour de justice de l'Union européenne a validé, dans un arrêt de grande chambre du 30 avril 2024 (affaire C-470/21), l'accès aux données d'identité civile correspondant à une adresse IP dans le cadre d'un tel dispositif, sous réserve de garanties strictes, notamment une séparation effective des catégories de données empêchant de tirer des conclusions précises sur la vie privée de la personne.

Deux enseignements pour un abonné :

• C'est le titulaire de la ligne qui est contacté, pas nécessairement l'auteur des faits. Le manquement visé par la réponse graduée est le défaut de sécurisation de l'accès. D'où l'importance concrète de sécuriser sa box et son réseau Wi-Fi : un accès ouvert engage votre responsabilité de titulaire.
• Aucun outil technique ne modifie la règle de droit. Changer d'adresse apparente ne rend pas licite un acte qui ne l'est pas, et ce site n'a pas vocation à expliquer comment échapper à un dispositif légal. Notre guide sur les méthodes pour masquer son adresse IP aborde ces outils sous le seul angle qui nous intéresse : réduire une exposition inutile, pas se soustraire à ses obligations.

Ce que fait ce site de votre adresse

Un guide sur la protection des données doit pouvoir répondre à la question qu'il pose aux autres. Voici donc, sans détour, ce que fait ce site de votre adresse IP.

• Elle est lue pour être affichée : c'est la fonction même du site.
• Elle est transmise à un service tiers de géolocalisation le temps de générer la page, afin d'afficher le pays, la région et l'opérateur associés.
• Le résultat de cette consultation est placé dans un cache technique de courte durée, indexé sur l'adresse, afin de ne pas réinterroger le service à chaque rechargement. Ce cache expire automatiquement et n'alimente aucun profil.
• Aucun fichier nominatif n'est constitué, aucun historique de visite n'est associé à une adresse, aucun compte n'est créé.
• Comme pour tout site, l'hébergeur conserve ses propres journaux techniques selon ses obligations et sa politique : c'est un point qu'aucun éditeur ne peut honnêtement passer sous silence.

Le détail complet figure dans notre politique de confidentialité. Nos règles de vérification et nos références sont exposées dans notre méthodologie et sur notre page sources, où figurent les textes officiels cités ici : règlement (UE) 2016/679, loi Informatique et Libertés, décisions de la Cour de justice de l'Union européenne et publications de la CNIL. Nous vous encourageons à les consulter directement : sur un sujet juridique, la source primaire vaut toujours mieux que sa reformulation, y compris la nôtre.

Questions fréquentes