(suite à mon billet précédent sur l’obligation de notification d’incidents de sécurité)

Le texte issu de la commission des lois

La proposition de loi Détraigne/Escoffier aborde aussi le statut de l’adresse IP dans les traitements de données et propose un article 2 finalement assez simple :

Le deuxième alinéa de l’article 2 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés est complété par une phrase ainsi rédigée :

« Tout numéro identifiant le titulaire d’un accès à des services de communication au public en ligne est visé par le présent alinéa. »

Et l’alinéa 2 de cet article 2 de la loi informatique et libertés dit aujourd’hui :

Constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments qui lui sont propres. Pour déterminer si une personne est identifiable, il convient de considérer l’ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne.

Donc tout numéro identifiant le titulaire d’un accès à des services de communication au public en ligne serait réaffirmé comme étant une donnée à caractère personnel.

Le débat sur l’adresse IP

Le débat qui amène à cette rédaction est très bien résumé dans le rapport de la commission des lois du Sénat. Un des éléments clés de celui-ci est que seul l’opérateur qui attribue les adresses IP pour les connexions de ses abonnés et éventuellement la justice qui requerrait l’identification de l’adresse IP peut connaître l’identité de son titulaire. Et donc la collecte d’adresses IP pourrait ne pas être considérée comme une collecte de données personnelles, puisque seul un tiers peut faire cette relation.

Mais, cela se heurte à plusieurs réalités:

• beaucoup de fournisseurs d’accès offrent des adresses IP « statiques » à leurs abonnés, et il suffit d’avoir un échange sur Internet avec une personne, ou chercher des traces de l’activité de cette adresse IP sur Wikipédia pour essayer de l’identifier ;
• toute personne qui présente un préjudice par la publication d’un contenu sur Internet peut obtenir l’identification de l’adresse IP à l’origine de cette publication, en faisant appel à la justice, en vertu de l’article 6 de la loi pour la confiance dans l’économie numérique.

Est-ce que la loi proposée répond au problème technique ?

En préambule, il est très difficile de trouver des formulations légales qui décrivent complètement un problème technique donné et qui soient insensibles aux évolutions technologiques. Donc l’exercice auquel se livre ici le législateur est évidemment délicat.

Ainsi, avant l’intervention de la commission des lois, le texte de la proposition de loi visait :

toute adresse ou tout numéro identifiant l’équipement terminal de connexion à un réseau de communication

En termes techniques, cela recouvre une adresse MAC, une adresse IP ou même le numéro IMEI d’un téléphone mobile, donc à la fois des adresses et des identifiants. Le texte de la commission des lois est plus restrictif en ce qu’il ramène à l’adresse IP attribuée par un fournisseur d’accès à son abonné. Au passage, je ne suis pas tout à fait d’accord avec la commission des lois qui déclare dans son rapport :

En effet, son attention a été attirée sur le fait que la rédaction retenue visait l’adresse MAC de l’ordinateur, et non l’adresse IP attribuée par le fournisseur d’accès.

puisque, le texte faisait référence à « toute adresse ou tout numéro identifiant », l’interprétation aurait pu être plus large et bien inclure l’adresse IP.

Cela étant dit, est-ce que la rédaction proposée est satisfaisante ? Très modestement, je dirais que ce n’est pas encore le cas. En effet, « tout numéro identifiant le titulaire d’un accès à des services de communication au public en ligne » recouvre plusieurs situations.

1. Pour commencer cela recouvre tout numéro d’abonné qu’aurait attribué le fournisseur d’accès, y compris une donnée qui n’est pas utilisée sur Internet (le numéro « client »)

Pour répondre à cette difficulté, il suffirait d’écrire: « tout numéro identifiant, sur un réseau de communications électroniques, le titulaire d’un accès à des services de communication au public en ligne » pour bien signifier qu’on parle d’un identifiant technique sur Internet.

2. Ensuite, cela ne recouvre pas forcément les adresses publiques que verront les serveurs ou les autres machines sur Internet.

En effet, l’adresse attribuée à un abonné peut très bien être une adresse sur un réseau local ou privé, comme c’est le cas pour les abonnés se connectant via les services des opérateurs de téléphonie mobile qui attribuent des adresses IP privées et ne transparaissent pour les interlocuteurs sur Internet que les adresse IP des serveurs « proxy » de l’opérateur. Ainsi, plusieurs centaines ou plusieurs milliers d’abonnés utilisent l’adresse IP de ce proxy au même moment, cette adresse ne les identifie donc pas individuellement.

A un instant donné, ce sont par exemple l’adresse IP de ce proxy et le port utilisé pour sa communication qui identifient de façon unique un abonné vis à vis de l’Internet.

Selon la définition de la proposition de loi, l’adresse IP du proxy ne constitue pas une donnée à caractère personnel. Or il suffit de l’associer au numéro de port évoqué ci-dessus ou à un intervalle de temps suffisamment précis pour qu’on identifie bien une personne ou un nombre très restreint de personnes.

3. Écueil beaucoup plus important: la notion d’adresse sur Internet ne se limite pas à des numéros

En effet, une adresse IP est identifiée plus classiquement par un nom plus facile à manipuler par l’être humain, le nom d’hôte et le nom de domaine (ou nom d’hôte plus simplement). C’est le système des serveurs DNS qui fournit la correspondance entre les adresses IP et ces noms d’hôte. Tel que proposé par la commission des lois, le texte ne fait pas du nom d’hôte des abonnés à Internet une donnée à caractère personnel, puisqu’il ne renvoie qu’aux numéros.

Par exemple, un abonné de l’opérateur Free aura pour nom d’hôte déclaré une adresse de la forme « XXX.fbx.proxad.net » ou XXX est une série de lettres et de chiffres qui contiennent d’ailleurs dans ce cas l’adresse IP. Et il pourra tout aussi bien se faire attribuer des noms d’hôtes plus personnels comme sur dyndns.fr ou no-ip.com.

Pour répondre aux problèmes posés par les points 2. et 3. ci-dessus, on pourrait reprendre partiellement les termes proposés dans la rédaction initiale et écrire : « Tout numéro, toute adresse ou toute combinaison de ces informations identifiant, sur un réseau de communications électroniques, le titulaire de l’accès à des services de communication au public en ligne ».

4. Mais en fait, avec l’adresse IP, on n’identifie pas réellement le titulaire de l’accès

En effet, le titulaire de l’accès à Internet est une personne, physique ou morale, titulaire d’un abonnement. Au titre de cet abonnement, elle se voit attribuer temporairement (adresses IP dynamiques) ou pour toute la durée de son abonnement (adresses IP statiques) une adresse IP lui permettant de communiquer sur Internet. Sur Internet, cette adresse IP n’identifie pas le titulaire de l’abonnement mais une machine (la plupart du temps aujourd’hui sa box ADSL).

Il peut y avoir derrière cette adresse plusieurs équipements, dont des ordinateurs, des appareils mobiles connectés, des lecteurs DVD ou des téléviseurs (certains de ces appareils intègrent aujourd’hui des applications de navigation sur Internet). Rien ne dit qu’à un quelconque moment l’utilisateur de cet abonnement soit le titulaire de l’accès. Pourtant c’est bien la seule personne que le fournisseur d’accès est en mesure d’identifier.

Donc le technicien, arguera que l’adresse IP que l’on cherche ici à protéger n’identifie pas réellement le titulaire de l’abonnement, mais simplement un équipement connecté au réseau à un instant donné. L’enquêteur acquiescera volontiers, mais soulignera que la seule façon d’attribuer une action relative à cette connexion c’est d’abord d’identifier le titulaire de l’abonnement (qui dans une large partie des cas sera aussi l’utilisateur de cette connexion, ou le chef de famille).

Au passage, l’adressage de la norme future de l’Internet (IP v6), permettra d’attribuer des blocs entiers d’adresses IP à un même titulaire.

Donc, oui, au sens de la loi informatique et libertés, l’adresse IP ou le nom d’hôte, même s’ils correspondent sur le plan technique à des équipements, identifient bien à un instant donné un titulaire d’un accès au réseau. La rédaction proposée semble donc bien la seule possible pour répondre à cette problématique.

5. Quel sort donne-t-on aux autres adresses sur Internet ?

En effet, lorsqu’on est amené à collecter des adresses IP (ou des noms d’hôte), par exemple en vue d’identifier les sources des attaques contre ses équipements, est-ce que l’on est en mesure de faire la différence entre celles qui correspondent à des titulaires d’un accès à des services de communication au public en ligne (des abonnements Internet) et celles qui correspondent à des serveurs, des routeurs ou d’autres équipements sur Internet ?

Si l’on prend le cas des serveurs, mis à disposition dans le cadre d’un contrat d’hébergement, ils peuvent tout aussi bien permettre d’identifier leur titulaire et la fonction d’un serveur est aussi variée qu’on peut l’imaginer. Et pourtant les adresses de ces serveurs ne seraient pas concernés par une telle définition.

Si l’on veut être aussi large que possible, tout en excluant les équipements réellement « neutres » de l’Internet tels que les équipements de routage des opérateurs, on pourrait proposer la rédaction suivante : « [...] identifiant le titulaire d’un service offert par une personne visée au 1 ou au 2 du I de l’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique. »

(Le I de l’article 6 de la LCEN est en effet le lieu de la définition en creux des FAI (1°) et des hébergeurs (2°))

Conclusion

Il est donc effectivement indispensable de clarifier la nature juridique de l’adresse IP ou de ses équivalents, pour éviter les fluctuations jurisprudentielles et donc les incertitudes juridiques pour les responsables de traitement et les correspondants informatique et libertés.

On ne peut pas imposer que tous les traitements d’adresses IP ou de noms d’hôte soient considérés par défaut comme des traitements de données à caractère personnel. Ainsi, le gestionnaire des adresses internes des équipements d’une salle machine dans une entreprise serait inutilement embarrassé, tout comme l’opérateur de communications électroniques qui gère un grand nombre d’identifiants purement techniques.

La proposition que je me permets modestement d’apporter aujourd’hui paraît donc au final complexe, mais semble répondre aux écueils que j’ai pu identifier jusqu’à présent, tout en respectant les définitions juridiques couramment employées :

« Tout numéro, toute adresse ou toute combinaison de ces informations identifiant, sur un réseau de communications électroniques, le titulaire d’un service offert par une personne visée au 1 ou au 2 du I de l’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique est visé par le présent alinéa. »