Oui, une adresse IP est une donnée personnelle
Le point est tranché depuis l’arrêt Breyer de la Cour de justice de l’Union européenne (2016) : une adresse IP, même dynamique, constitue une donnée à caractère personnel dès lors que son détenteur dispose de moyens légaux raisonnables de l’associer à une personne physique.
La conséquence est directe : collecter les adresses IP de vos visiteurs relève du RGPD, avec les obligations qui en découlent. Cela ne signifie pas que c’est interdit, mais que cela doit être encadré.
Cet article présente le cadre général et ne constitue pas un conseil juridique. Pour une situation particulière, consultez un conseil spécialisé.
Sur quelle base légale ?
Le RGPD prévoit six bases légales. Pour la détection de fraude publicitaire, celle qui s’applique est l’intérêt légitime (article 6.1.f).
Le considérant 47 du règlement est explicite : « le traitement de données à caractère personnel strictement nécessaire à des fins de prévention de la fraude constitue également un intérêt légitime du responsable du traitement concerné ».
Vous n’avez donc pas besoin du consentement du visiteur pour analyser une adresse IP à des fins anti-fraude — ce qui serait de toute façon absurde en pratique, puisqu’un fraudeur refuserait.
Le test d’équilibre à documenter
L’intérêt légitime n’est pas un blanc-seing. Il suppose un examen en trois temps, que vous devez être en mesure de justifier :
- Finalité légitime. Protéger votre budget publicitaire contre une consommation frauduleuse est un intérêt économique reconnu.
- Nécessité. Le traitement doit être indispensable. Il n’existe pas de moyen moins intrusif d’identifier une source de clics répétés qu’en examinant l’adresse d’origine.
- Proportionnalité. Les droits de la personne concernée ne doivent pas primer. C’est ici que se joue l’essentiel : durée de conservation, absence de réutilisation, sécurisation.
Les obligations concrètes
Minimisation
Ne collectez que ce qui sert la finalité. Pour détecter la fraude, l’adresse IP, l’empreinte du navigateur et des indicateurs de comportement suffisent. Le nom, l’adresse e-mail ou l’historique de navigation hors de votre site n’ont rien à y faire.
Limitation de conservation
C’est le point le plus sensible. Conserver des adresses IP identifiables pendant des années n’est pas proportionné. La pratique raisonnable consiste à anonymiser rapidement, puis à ne conserver qu’une empreinte non réversible permettant de reconnaître un récidiviste sans pouvoir remonter à l’adresse d’origine.
C’est le fonctionnement retenu par Cerbads : les adresses sont anonymisées après 24 heures, et seule une empreinte cryptographique irréversible subsiste pour la détection croisée.
Transparence
Votre politique de confidentialité doit mentionner ce traitement : finalité de prévention de la fraude, catégories de données, base légale de l’intérêt légitime, durée de conservation, et éventuel sous-traitant. Deux paragraphes suffisent, mais ils doivent y figurer.
Droits des personnes
Le visiteur conserve un droit d’accès, de rectification et d’opposition. En pratique, l’exercice de ces droits sur des données anonymisées sous 24 heures est limité, ce qui est précisément l’intérêt de l’anonymisation rapide.
Faut-il un bandeau cookies pour l’anti-fraude ?
Question fréquente et source de confusion. La directive ePrivacy impose le consentement pour le dépôt de traceurs non strictement nécessaires. Mais la lecture d’une adresse IP ne constitue pas un dépôt de traceur : elle est transmise par le protocole réseau lui-même.
Si le dispositif anti-fraude dépose un identifiant sur le terminal, la question du consentement se pose. S’il se contente d’analyser des signaux transmis par la requête et le comportement de session sans stockage persistant côté visiteur, il peut relever des traceurs strictement nécessaires à la sécurité. La frontière est technique : faites-la vérifier au regard de votre implémentation exacte.
Sous-traitance et localisation
Si vous passez par un prestataire, celui-ci est votre sous-traitant au sens de l’article 28 : un contrat de sous-traitance est obligatoire. Vérifiez également où sont hébergées les données. Un hébergement dans l’Union européenne évite la question des transferts hors UE et des garanties associées — Cerbads héberge ses données en France.
En pratique, que devez-vous faire ?
- Ajoutez un paragraphe sur la prévention de la fraude dans votre politique de confidentialité.
- Inscrivez ce traitement dans votre registre des activités de traitement.
- Vérifiez la durée de conservation appliquée par votre outil.
- Vérifiez le lieu d’hébergement et signez le contrat de sous-traitance.
- Conservez une trace écrite de votre test d’équilibre : une page suffit.
Ces cinq points couvrent l’essentiel pour un annonceur de taille moyenne et se traitent en une demi-journée.
