Droit Vivant · 25 juin 2026 · Données & vie privée

Conservation des données de connexion : quand l'État peut-il relier une adresse IP à une identité ?

Le régime européen de l'accès aux données de connexion, à la lumière de l'arrêt La Quadrature du Net II (CJUE, assemblée plénière, 30 avril 2024).

Une adresse IP n'est pas une donnée anodine : la relier à l'identité civile d'un internaute est une ingérence dans la vie privée qui n'est licite que strictement encadrée, proportionnée et, en principe, soumise à un contrôle indépendant préalable.

Textes de référence

Directive 2002/58/CE (« ePrivacy »), art. 15 §1 — conditions de conservation et d'accès aux données de connexion.
Charte des droits fondamentaux de l'UE, art. 7 (vie privée), art. 8 (données personnelles), art. 11 (liberté d'expression).
RGPD — Règlement (UE) 2016/679 : une adresse IP est une donnée à caractère personnel.
En droit interne : ancien dispositif de « riposte graduée » HADOPI (aujourd'hui ARCOM), CPI art. L. 331-21.

L'affaire — CJUE, 30 avril 2024, C-470/21

Saisie par le Conseil d'État sur recours de La Quadrature du Net et d'autres associations, la Cour de justice de l'UE, réunie en assemblée plénière (formation rare, signe de l'enjeu), s'est prononcée sur la collecte des adresses IP par la HADOPI et leur mise en relation avec l'identité civile des abonnés.

La Cour admet qu'une autorité publique accède à l'identité civile correspondant à une adresse IP, y compris pour lutter contre des infractions de masse en ligne, sans forcément un contrôle préalable juridictionnel dans chaque cas.
Mais elle l'enserre dans de fortes garanties : séparation étanche des catégories de données (identité, adresses IP, données de trafic/localisation) pour empêcher tout profilage précis ; un contrôle indépendant préalable dès que le recoupement permettrait de tirer des conclusions précises sur la vie privée.
Elle infléchit sa jurisprudence antérieure (La Quadrature du Net I, 2020) tout en maintenant l'interdiction d'une conservation généralisée et indifférenciée à des fins de sécurité.

Pourquoi c'est important

Pour quiconque travaille sur les réseaux, l'adresse IP est le point de jonction entre une activité technique et une personne identifiable. Cet arrêt fixe la frontière européenne entre traçabilité légitime (lutte contre la cybercriminalité, droits d'auteur) et surveillance disproportionnée. Il conditionne la conception des dispositifs de logging, de rétention et d'accès aux données : architecture en silos, journalisation, contrôle indépendant — autant d'exigences qui deviennent des contraintes de conformité by design.

Mini-glossaire

Donnée de connexion: Métadonnée d'une communication (qui, quand, depuis quelle IP) — distincte du contenu, mais très révélatrice de la vie privée.
Conservation généralisée et indifférenciée: Rétention de toutes les données de tous les utilisateurs sans ciblage ; jugée contraire au droit de l'UE hors menace grave pour la sécurité nationale.
Riposte graduée: Mécanisme d'avertissements progressifs aux abonnés dont la connexion a servi à du partage illicite d'œuvres protégées (HADOPI, désormais ARCOM).
Contrôle préalable indépendant: Validation, avant l'accès aux données, par un juge ou une autorité administrative impartiale dotée d'un pouvoir contraignant.