Adresses IP et vos formulaires

Le RGPD définit les données personnelles à l'article 4, paragraphe 1, comme les informations relatives à une personne identifiée ou identifiable, et cite « un identifiant en ligne » comme l'un des moyens d'identifier une personne. Le considérant 30 donne les adresses IP comme exemple d'un tel identifiant.

La Cour de justice a tranché le cas plus délicat dans Breyer contre Bundesrepublik Deutschland (C-582/14), rendu le 19 octobre 2016. L'exploitant d'un site ne peut généralement pas savoir qui se cache derrière une adresse IP dynamique. La Cour a jugé que l'adresse reste une donnée personnelle pour l'exploitant lorsqu'il dispose de moyens légaux d'identifier la personne à l'aide de données complémentaires détenues par le fournisseur d'accès, par exemple via les autorités après une attaque. L'affaire a été jugée sous l'empire de l'ancienne directive 95/46, mais la définition qu'elle interprétait a été reprise dans le RGPD.

En pratique, pour le propriétaire d'un formulaire : considérez les adresses IP collectées par vos formulaires comme des données personnelles, et organisez-vous en conséquence.

• Journaux du serveur web et du proxy, pour la page qui affiche le formulaire.
• Le backend du formulaire, qui conserve souvent l'adresse avec la soumission pour la limitation de débit et la détection d'abus.
• Un CDN ou un pare-feu placé devant l'un de ces éléments.
• Un CAPTCHA ou une vérification anti-bot, avec lequel le navigateur du visiteur communique directement.
• Les outils d'analyse présents sur la page, le cas échéant.

Chacun constitue une copie distincte, avec sa propre durée de conservation et, souvent, sa propre localisation. Lorsque vous établissez votre registre des activités de traitement, listez-les tous, et pas seulement le backend du formulaire.

Un raccourci courant consiste à stocker un hachage SHA-256 de l'adresse. Il semble illisible, mais l'espace IPv4 ne compte qu'environ 4,3 milliards d'adresses. Hacher chacune d'elles prend peu de temps sur du matériel ordinaire, après quoi chaque hachage stocké renvoie directement à son adresse.

Un hachage à clé (un HMAC avec une clé secrète) comble cette lacune pour quiconque ne détient pas la clé. Au sens du RGPD, il s'agit d'une pseudonymisation au sens de l'article 4, point 5 : les données ne peuvent plus être rattachées à une personne sans informations supplémentaires conservées séparément. Le considérant 26 précise que les données pseudonymisées restent des données à caractère personnel. Un hachage à clé constitue donc une bonne garantie au titre des articles 25 et 32, et non une échappatoire au règlement.

La protection contre le spam et les abus est la raison habituelle pour laquelle un formulaire conserve une adresse IP. Le considérant 49 indique que le traitement strictement nécessaire à la sécurité des réseaux et des systèmes d'information constitue un intérêt légitime, ce qui renvoie à l'article 6, paragraphe 1, point f). Cette base juridique suppose un test de mise en balance, et cette balance penche en faveur d'une conservation aussi limitée que possible, pendant la durée la plus courte possible.

Une limitation de débit n'a besoin de l'adresse que pendant quelques minutes, et non pendant des mois. Si rien d'autre ne dépend de cette adresse, il y a peu de raisons de conserver l'adresse IP liée à une soumission aussi longtemps que le message lui-même. Quel que soit votre choix, indiquez-le dans votre mention d'information.

• Hachage à clé à la réception. L'adresse de l'expéditeur est hachée avec HMAC-SHA-256 et un sel secret côté serveur avant tout enregistrement. L'adresse brute n'est pas écrite sur le disque.
• Utilisée pour la limitation de débit. Le hachage est celui sur lequel compte la limite de débit par adresse IP et par formulaire. Par défaut, elle est de 50 soumissions par minute et par adresse, et vous pouvez définir une limite inférieure ou supérieure pour chaque formulaire.
• Suppression après 24 heures. Dans le Centre de confidentialité, un propriétaire d'espace de travail ou un administrateur peut configurer un formulaire pour supprimer le hachage 24 heures après chaque soumission. Un nettoyage s'exécute toutes les 15 minutes. Sans ce paramètre, le hachage est conservé aussi longtemps que la soumission.
• Formulaires hébergés anonymes. Un formulaire hébergé configuré en mode anonyme ne stocke aucun hachage d'adresse IP avec ses soumissions.
• Journaux du serveur. Les journaux d'accès du serveur web ne conservent qu'une adresse tronquée, comme décrit dans la politique de confidentialité.

Une exception se situe hors des serveurs de Formward. Si vous activez Cloudflare Turnstile pour un formulaire, le navigateur du visiteur communique avec Cloudflare, une entreprise américaine, qui voit les données de vérification, comme l'adresse IP et les signaux du navigateur, mais aucune réponse au formulaire. Cette option est désactivée par défaut et figure dans le registre des sous-traitants ultérieurs. Le honeypot _gotcha et la limitation de débit fonctionnent sans elle.