# Adresse IP et RGPD : est-elle une donnée personnelle ?

> Une adresse IP est-elle une donnée à caractère personnel ? Arrêt Breyer, moyens d'identification et conséquences pour les outils de reconnaissance des visiteurs.

Quelle: https://whovisit.app/fr/blog/adresse-ip-donnee-personnelle-rgpd
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

Derrière presque tout débat sur la reconnaissance des visiteurs se cache une question : une adresse IP est-elle une donnée à caractère personnel ? De la réponse dépend l'application ou non du RGPD. La réponse courte est : souvent oui, mais pas toujours et pas pour tout le monde. La réponse plus longue a trait aux moyens d'identification.

Cet article fait un classement sobre. Il ne constitue pas un conseil juridique. Pour la jurisprudence récente, il vaut la peine de consulter l'original.

## Adresses statiques et dynamiques

Une adresse IP **statique** appartient durablement au même accès. Une adresse **dynamique** est attribuée à nouveau à chaque connexion, mais un fournisseur d'accès peut dire plus tard à quel client elle appartenait à un moment précis.

Pour l'appréciation juridique, le type d'adresse compte moins que la question : qui pourrait découvrir, avec un effort raisonnable, qui se trouve derrière ?

## L'arrêt Breyer et les moyens d'identification

Le 19 octobre 2016, dans l'affaire C-582/14 (Breyer), la Cour de justice de l'Union européenne a jugé qu'une adresse IP dynamique peut elle aussi constituer une donnée à caractère personnel pour l'exploitant d'un site web. Condition : il dispose de moyens juridiques lui permettant de faire identifier la personne concernée à l'aide de tiers, par exemple le fournisseur d'accès.

L'arrêt a été rendu à l'époque de l'ancienne directive sur la protection des données. Il est néanmoins considéré comme un point de référence pour le RGPD, dont le considérant 26 reprend la même idée : tous les moyens raisonnablement susceptibles d'être utilisés pour identifier la personne comptent.

## Appréciation relative du point de vue du destinataire

Le caractère personnel d'une information n'est donc pas tranché dans l'abstrait, mais du point de vue de celui qui la détient. La CJUE a développé cette appréciation relative plus récemment, en dernier lieu dans l'affaire C-413/23 P (Contrôleur européen de la protection des données contre Conseil de résolution unique) par arrêt du 4 septembre 2025. Il s'agissait de données pseudonymisées. La Cour a interprété largement la notion de données à caractère personnel en tenant compte aussi de la perspective du destinataire.

Pour vous, cela signifie : qu'une information soit facile à rattacher à une personne chez un autre ne la rend pas automatiquement personnelle pour tout le monde. On ne peut pas non plus répondre à la question de façon générale par « sans risque ». Avant d'utiliser cet arrêt dans une prise de position, vérifiez vous-même le numéro de l'affaire et l'état de la jurisprudence ultérieure, car beaucoup de choses évoluent ici.

La manière dont la question de l'IP s'insère dans l'examen global de la reconnaissance des visiteurs figure dans [Reconnaissance des visiteurs et RGPD : une analyse sobre](https://whovisit.app/blog/besuchererkennung-dsgvo).

## Adresse d'entreprise contre salarié

Pour la reconnaissance des visiteurs s'ajoute une particularité : l'adresse n'appartient souvent pas à un foyer privé, mais à une entreprise. Le RGPD ne protège pas les données concernant des personnes morales. Mais derrière l'accès de l'entreprise se trouve une personne qui lit justement votre page.

L'accès d'entreprise n'est donc pas automatiquement exempt de données personnelles. Une connexion depuis le bureau d'une entreprise de deux salariés se rattache plus facilement à une personne que celle d'un groupe avec 5 000 postes derrière la même adresse. Plus l'entreprise est petite, plus le rattachement se rapproche d'une personne précise. Les outils sérieux ne vont donc que jusqu'au niveau de l'organisation et renoncent à nommer des personnes.

## Traiter n'est pas stocker

La distinction entre traiter et stocker est importante. Même l'utilisation brève d'une adresse IP pour une interrogation est un traitement au sens du RGPD, dans la mesure où l'adresse est personnelle. Il faut alors une base juridique. Mais l'intensité de l'atteinte est différente si l'adresse n'est pas conservée après l'interrogation.

La base juridique qui convient est précisée dans [Consentement ou intérêt légitime : comment décider](https://whovisit.app/blog/einwilligung-oder-berechtigtes-interesse).

Endroits typiques où une adresse reste malgré tout :

- **Journaux du serveur**, lorsque les accès sont enregistrés avec l'adresse.
- **Valeurs de contrôle et freins** (protection contre les abus). On peut ici prévenir en ne gardant en mémoire vive qu'un hash et non l'adresse elle-même.
- **Transmission à des annuaires** : qui recherche le titulaire d'un réseau envoie l'adresse à un registre. Pour les adresses hors d'Europe, les registres européens transmettent les interrogations aux registres des autres régions du monde. L'interrogation atterrit alors chez des organismes hors de l'UE. Cela concerne la question d'un transfert vers un pays tiers. Cela a sa place dans la documentation.

Les étapes que traverse une adresse lors de la reconnaissance d'entreprises figurent dans [Comment fonctionne la reconnaissance d'entreprises ? La technique en 6 étapes](https://whovisit.app/blog/firmenerkennung-website-technik).

Whovisit est un exemple d'outil qui n'utilise l'adresse que pour l'interrogation auprès du registre du réseau et l'écarte ensuite. En mémoire vive reste une valeur de contrôle issue d'un hash avec un secret du serveur. C'est une description de la technique et non une promesse que toute question juridique serait ainsi résolue.

Ce qui est stocké et pendant combien de temps figure dans l'aide sous [Conservation et suppression](https://whovisit.app/hilfe/datenschutz-und-aufbewahrung).

## Liste de contrôle sobriété des données : questions à poser à chaque outil

1. L'adresse IP est-elle stockée, dans la base de données ou dans des journaux ?
2. Si non : où exactement est-elle écartée ? Combien de temps reste-t-elle en mémoire vive ?
3. Existe-t-il des valeurs de contrôle ou des freins ? Sont-ils hachés ?
4. Où l'adresse est-elle envoyée pour la résolution (registre, DNS, fournisseur de données d'entreprises) ?
5. Ces destinataires se trouvent-ils dans l'UE, ou les règles sur les pays tiers s'appliquent-elles ?
6. Comment cela est-il décrit dans la déclaration de confidentialité et dans le contrat de sous-traitance ?
7. La reconnaissance est-elle limitée aux entreprises, ou nomme-t-on aussi des personnes ?

## Sources

- [CJUE, arrêt du 19 octobre 2016, Breyer, C-582/14](https://curia.europa.eu/juris/liste.jsf?num=C-582/14)
- [CJUE, arrêt du 4 septembre 2025, CEPD contre CRU, C-413/23 P](https://curia.europa.eu/juris/liste.jsf?num=C-413/23)
- [RGPD](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679), art. 4, point 1, et considérant 26