IP tracking : définition, applications et cadre légal

Chaque connexion à Internet porte une adresse IP, une suite de nombres qui permet aux serveurs de savoir où renvoyer les données. Un site voit l'adresse de chaque visiteur, c'est inévitable. L'IP tracking commence quand il l'exploite, pour compter, localiser, reconnaître ou identifier. Selon qui le pratique et pourquoi, c'est une mesure d'audience banale, un outil de prospection commerciale ou une pratique surveillée par la CNIL.

Une localisation approximative, rarement une personne

L'adresse indique le fournisseur d'accès et une localisation approximative, la ville ou le département, rarement mieux, grâce aux bases qui associent les plages d'adresses à des zones géographiques. Elle ne dit rien de l'appareil ni du système d'exploitation, ces informations viennent d'un autre élément de la requête, l'identifiant du navigateur. Et elle n'identifie pas une personne directement. Les adresses des particuliers sont pour la plupart dynamiques, renouvelées par le fournisseur, et une même adresse dessert tous les appareils d'un foyer ou d'une entreprise derrière une box. Seul le fournisseur d'accès peut relier une adresse à un abonné à une date donnée, et il ne le fait que sur réquisition judiciaire.

C'est pour cela que le suivi par IP seule est imprécis, et que les outils de mesure lui associent des cookies ou une empreinte du navigateur pour reconnaître un visiteur d'une session à l'autre. L'IP reste en revanche stable pour une entreprise, dont la connexion utilise une adresse fixe.

Trois usages qui portent le même nom

La mesure et la sécurité. Tout serveur enregistre dans ses journaux l'adresse IP, l'heure et la page demandée. Ces journaux servent à compter les visites par pays, à repérer une attaque, à bloquer un robot qui aspire le site ou une adresse qui multiplie les tentatives de connexion. Les outils d'analyse d'audience en tirent la répartition géographique du trafic et adaptent la langue ou la devise affichée.

La prospection B2B. Quand une connexion vient d'une adresse fixe d'entreprise, une base de correspondance permet de retrouver le nom de la société. Des services comme Leadfeeder, Albacross ou GetQuanty affichent ainsi « telle PME de Lyon a consulté votre page tarifs trois fois cette semaine », sans formulaire rempli. C'est cette forme d'IP tracking que les équipes commerciales utilisent le plus. Elle identifie l'organisation, pas la personne, et elle ne fonctionne pas pour les visiteurs en télétravail sur une box personnelle ou sur mobile.

La polémique tarifaire. En France, l'expression est devenue célèbre en 2013, quand des consommateurs ont soupçonné des sites de voyage de faire monter le prix d'un billet à chaque nouvelle consultation depuis la même adresse, pour pousser à l'achat. Saisies, la CNIL et la DGCCRF ont enquêté sur les grands sites du secteur et conclu en janvier 2014 qu'elles n'avaient pas constaté cette pratique. Les variations observées tenaient à la gestion dynamique des stocks de billets. Le soupçon, lui, est resté dans le vocabulaire.

Le RGPD s'applique dès la collecte

La Cour de justice de l'Union européenne a tranché en 2016, dans l'arrêt Breyer, qu'une adresse IP dynamique est une donnée personnelle pour l'éditeur d'un site dès lors qu'il dispose de moyens légaux, via le fournisseur d'accès, de faire identifier la personne. Toute collecte d'adresses IP est donc un traitement de données personnelles, avec ce que cela implique.

• Une base légale. Pour les journaux de sécurité, c'est l'intérêt légitime de l'éditeur, sans consentement à demander. Pour un suivi marketing qui reconnaît le visiteur, c'est en général le consentement, recueilli avec celui des cookies.
• Une durée de conservation limitée. La CNIL recommande de garder les journaux de connexion six mois à un an au plus, hors obligation légale particulière.
• Une information dans la politique de confidentialité, qui mentionne la collecte des adresses IP, sa finalité et sa durée.
• La possibilité pour le visiteur d'exercer ses droits, accès, effacement, opposition.

Présenter l'adresse IP comme une donnée anonyme, ce que font encore beaucoup de mentions légales, est une erreur. Les outils de mesure d'audience qui veulent se dispenser du consentement, comme Matomo configuré selon les recommandations de la CNIL, tronquent l'adresse avant de l'enregistrer, en supprimant les deux derniers octets. C'est ce qui rend la donnée réellement anonyme.