Conservation des adresses IP est de nouveau à l'ordre du jour en Allemagne. En vertu du projet de loi du gouvernement sur la conservation des adresses IP (document du Bundestag n° 21/6581), chaque fournisseur d'accès à Internet devra enregistrer quelle adresse IP publique, et derrière le CGNAT quels ports, a été attribuée à quelle connexion, pendant trois mois. L'objectif est précis : les autorités doivent pouvoir identifier l'abonné associé à une adresse IP relevée dans le cadre d'une enquête.
Pour les FAI, les opérateurs mobiles et les MVNO, cette obligation soulève des questions d'ordre pratique. De quelles données s'agit-il exactement ? La comptabilité RADIUS est-elle suffisante ? Qu'en est-il du CGNAT, de l'IPv6 et des connexions permanentes ? Et qui est responsable lorsque l'adresse IP est attribuée au sein du réseau hôte ? Cet article répond à ces questions sur la base du projet actuel.
Statut : Cet article reprend le projet de loi tel qu'il a été présenté au Bundestag (première lecture le 24 juin 2026, actuellement en commission). Certains détails sont susceptibles d'évoluer.
Points clés à retenir
- Seulement fournisseurs de services d'accès à Internet sont tenus, en vertu de § 177 TKG-E, dont le nombre est estimé à environ 700 entreprises dans l'exposé des motifs. Les fournisseurs de services d'hébergement, de messagerie électronique, de messagerie instantanée et de VoIP n'en font pas partie.
- Les prestataires doivent conserver les adresse IP publique (IPv6 : le préfixe attribué), le ports lorsqu'ils sont nécessaires à des fins d'attribution, les ligne et identifiant utilisateur, et début et fin de la mission, à la seconde près, avec le fuseau horaire.
- Les adresses de destination, les URL, les volumes, le contenu et les données de localisation ne relèvent pas de cette obligation et ne doivent pas être enregistrés dans le système de conservation des données.
- La durée de conservation est de trois mois. La date exacte à laquelle cette période commence pour les sessions de longue durée fait encore l'objet de débats.
- Les données peuvent seulement être utilisé pour identifier les abonnés (article 174 de la TKG) et pour répondre aux demandes des abonnés dans le cadre de la procédure de preuve électronique. Il doit être stockés séparément et supprimés de manière irréversible.
- La comptabilité RADIUS couvre la plupart des champs, mais pas les mappages de ports CGNAT. La journalisation NAT est obligatoire.
- Opérateurs mobiles virtuels (MVNO) et revendeurs doit veiller à ce que les données soient conservées même si l'attribution de l'adresse IP est effectuée par le partenaire de gros (article 177, paragraphe 2).
- Les prestataires disposeront de six mois après l'entrée en vigueur pour s'y conformer.
Pourquoi conserver les adresses IP, et pourquoi maintenant ?
Les anciennes règles allemandes en matière de conservation des données ne sont plus appliquées depuis 2017, et en 2022, la Cour de justice de l'Union européenne (CJUE) les a jugées incompatibles avec le droit de l'Union (affaire SpaceNet). La CJUE a toutefois admis que conservation générale des adresses IP attribuées à la source d'une connexion peut être autorisée pour une durée limitée, pour une durée limitée. En 2020, elle l’a autorisé pour lutter contre la grande criminalité (La Quadrature du Net), puis en 2024, elle a étendu cette mesure aux infractions pénales en général, à condition que les données soient conservées dans une séparation véritablement hermétique par rapport aux autres données (La Quadrature du Net II). Le nouveau projet de loi s’appuie sur cette jurisprudence. Il limite la conservation aux données nécessaires à l’identification d’un abonné et les associe à la cible congélation rapide procédure décrite dans notre article précédent. Un nouveau recours devant la CJUE est néanmoins jugé probable.
Qui est tenu de le faire ?
Sont concernés : toute personne fournissant des services d'accès à Internet (article 3, n° 23 de la TKG) :
- Fournisseurs d'accès Internet (FAI) sur réseau fixe (ADSL, câble, fibre optique), y compris les revendeurs en gros
- Opérateurs de données mobiles : opérateurs de réseaux mobiles (MNO), opérateurs virtuels de réseaux mobiles (MVNO) complets, opérateurs virtuels de réseaux mobiles (MVNO) allégés et prestataires de services disposant de leur propre contrat client. Pour les opérateurs virtuels de réseaux mobiles (MVNO) allégés et les prestataires de services, la clause de vente en gros prévue à l'article 177, paragraphe 2, s'applique.
- Les exploitants de points d'accès Wi-Fi publics, lorsque le service est accessible au public (à évaluer au cas par cas)
Non couvert :
- Fournisseurs spécialisés dans l'hébergement web, la messagerie électronique, la messagerie instantanée, la VoIP et les SMS. Les prestataires de services de télécommunications restent soumis aux mesures de blocage immédiat et aux demandes de données de trafic.
- Les réseaux privés, tels que les réseaux locaux d'entreprise (LAN), et, selon l'opinion dominante, le Wi-Fi pour les visiteurs proposé à titre de service annexe
Que faut-il exactement conserver ?
| § 177, alinéa 1 | Données | Remarques |
|---|---|---|
| N° 1 | Adresse IP publique attribuée à l'abonné | Adresse IPv4 ; pour IPv6, le préfixe attribué |
| N° 2 | Numéros de port ou plages de ports, ainsi que d'autres données relatives au trafic si nécessaire pour une attribution unique | Valable pour CGNAT, NAT44 et NAT64 |
| N° 3 | Identifiant unique de ligne et identifiant d'utilisateur attribué | Identifiant de ligne, IMSI/MSISDN, numéro de contrat, nom d'utilisateur |
| N° 4 | Date et heure de début et de fin de la mission, à la seconde près, avec le fuseau horaire | S'applique aux attributions d'adresses IP et de ports |
Sont expressément exclus : les adresses IP de destination, les services ou URL consultés, les volumes de données, le contenu, la localisation et les données de téléphonie mobile, ainsi que les données relatives à l'utilisation d'autres services.
Durée de conservation : trois mois chacun. Selon le libellé, le délai court à compter du fin du devoir. Dans le cas des connexions fixes toujours actives, cela peut se traduire dans la pratique par une durée de stockage bien plus longue, et les associations professionnelles ont demandé des précisions.
La comptabilité RADIUS est-elle suffisante ?
Pour la plupart des champs, oui. La comptabilité RADIUS (ou ses équivalents Diameter/CDR dans les réseaux mobiles) en est la source naturelle :
| Attribut RADIUS | § 177 champ |
|---|---|
| Type d'état du compte (Début / Mise à jour intermédiaire / Arrêt) avec horodatage de l'événement | Début et fin de la mission (n° 4) |
| Adresse IP encadrée, préfixe IPv6 encadré, préfixe IPv6 délégué | Adresse IP ou préfixe attribué(e) (n° 1) |
| Nom d'utilisateur, identifiant de la station appelante, IMSI 3GPP, identifiant du port NAS / identifiant de ligne | Ligne et identifiant d'utilisateur (n° 3) |
| Acct-Session-Id | Clé de corrélation |
Dans les réseaux mobiles, les enregistrements Diameter Gy/Rf, les enregistrements de facturation PGW ou SMF/CHF, ou encore la comptabilité RADIUS sur l'interface Gi/SGi (début et fin de session, adresse IP attribuée) remplissent la même fonction.
Derrière un CGNAT, le protocole RADIUS ne suffit pas. Les blocages de ports et les mappages de ports sont créés au niveau de la passerelle NAT, et non dans le système AAA. Les fournisseurs doivent Journalisation CGN, tels que les journaux d’attribution de blocs de ports (PBA), les journaux syslog ou les exportations IPFIX provenant de la passerelle NAT. Les enregistrements sont ensuite mis en corrélation : l’adresse IP privée et l’heure (RADIUS), ainsi que l’adresse IP publique, le bloc de ports et l’heure (journal CGN) permettent d’identifier la ligne. L’exposé des motifs précise que les systèmes NAT incapables d’effectuer cette opération devront être remplacés, ce qui devrait constituer le poste de dépense le plus important. NAT déterministe, grâce à des blocs de ports fixes par abonné, réduit considérablement le volume des journaux et simplifie les recherches.
Les obligations des prestataires, étape par étape
1. Collection
- Définir les sources de données : enregistrements de session et de comptabilité, ainsi que les journaux CGNAT.
- Assurez-vous que les quatre catégories de données soient bien enregistrées intégralement et à la seconde près, y compris lors des transitions entre sessions, telles que la réauthentification, le transfert de connexion, les changements d'adresse IP et les nouvelles attributions de blocs de ports.
- Synchronisez l'heure (NTP) et indiquez systématiquement le fuseau horaire ou l'UTC.
2. Le cas de la vente en gros (article 177, paragraphe 2) : opérateurs mobiles virtuels (MVNO) et revendeurs
Un fournisseur qui ne génère pas lui-même l'ensemble des données, par exemple parce que l'attribution des adresses IP et la traduction NAT sont effectuées chez l'opérateur de réseau mobile (MNO) ou chez un agrégateur, doit s'assurer que les données manquantes sont toujours enregistrées. Il existe deux options :
- A obligation contractuelle de conservation pour le partenaire grossiste, notamment l'engagement de répondre aux demandes, ou
- A flux de données vers le système de conservation du prestataire lui-même ou vers un système externalisé.
Sur demande, le fournisseur doit en informer sans délai la BNetzA qui stocke les données. Le non-respect de cette obligation constitue une infraction administrative. Dans la pratique, l'attribution d'une adresse IP et d'un port au client de l'opérateur mobile virtuel (MVNO) doit pouvoir être identifiée à l'aide de l'identifiant (IMSI/MSISDN) du côté de l'opérateur mobile virtuel. Pour plus d'informations, voir LI pour les opérateurs mobiles virtuels (MVNO) proposant uniquement des forfaits eSIM et Responsabilités des MVNO par rapport à celles des MNO.
3. Stockage et protection
- Postuler mesures techniques et organisationnelles de pointe contre tout accès et toute utilisation non autorisés.
- Conserver les données séparés techniquement distincte de toutes les autres données relatives aux utilisateurs finaux : sa propre base de données ou son propre système, sans aucun mélange avec les données de facturation ou de CRM.
- Rangez-le de manière à ce que le l'abonné peut être identifié sans délai, avec une recherche permettant d'associer une adresse IP, un port et un horodatage à la ligne et à l'utilisateur.
- Le supprimer définitivement au bout de trois mois, grâce à une tâche de suppression automatisée et à une preuve de suppression.
4. Limitation stricte de la finalité
Les données conservées peuvent seulement être utilisé pour :
- Demandes de données relatives aux abonnés sur la base d'une adresse IP (§ 174, alinéa 1, troisième phrase, de la loi sur les télécommunications (TKG)), sur la base du code de procédure pénale (StPO), de la loi sur les services de police fédérale (BKAG), de la loi sur la police fédérale (BPolG) ou du droit régional
- Données relatives aux abonnés dans le cadre des ordonnances européennes de production et de conservation sous le Règlement sur les preuves électroniques
Toute autre utilisation, telle que le marketing, la gestion des abus ou les demandes de divulgation dans le cadre d'une procédure civile, est interdit à partir de cet ensemble de données. Si vous avez besoin de ces données à des fins opérationnelles, conservez un ensemble de données opérationnelles distinct, assorti d’une période de conservation plus courte. Les données conservées peuvent également pas être communiquées en tant que données de trafic en vertu de l'article 100g du Code de procédure pénale (StPO).
5. Répondre aux demandes
- Vérification formelle de la demande par un employé habilité, ou automatiquement via l'interface.
- Transmission intégrale sans délai et la confidentialité vis-à-vis de l'abonné.
- ETSI-ESB pour les prestataires comptant au moins 100 000 partenaires contractuels (en plus de l'E-Mail-ESB), l'E-Mail-ESB est réservé aux petits prestataires.
- Enregistrement conformément à l'article 35 du TKÜV, y compris la base juridique sur laquelle les données ont été conservées.
- Rémunération : 15 euros pour un maximum de trois identifiants (JVEG n° 201 ; actuellement 45 euros pour un maximum de dix identifiants).
6. Encadrement
- Soumettre documents de mise en œuvre (systèmes, procédures, séparation, suppression) à la BNetzA sans délai dès le lancement du service, et signaler toute modification.
- Attendez-vous à contrôles réguliers. Le TKÜV et le TR TKÜV définiront les systèmes, les procédures et les équipements techniques.
- Date limite : au plus tard six mois après l'entrée en vigueur de la loi.
Modèle : un espace de stockage conforme aux exigences de conservation des données
- Diffusion en continu Comptabilité RADIUS/Diameter et journaux CGN dans un espace de stockage dédié à la conservation. Ne vous contentez pas de conserver la base de données AAA pendant trois mois, car cela enfreint l'obligation de séparation.
- Enregistrer uniquement les champs visés à l'article 177 (minimisation des données). Supprimez les champs opérationnels tels que les volumes ou les adresses IP NAS, ou conservez-les séparément en leur attribuant une durée de conservation plus courte.
- Enregistrer les mises à jour intermédiaires pour les sessions de longue durée, afin que les missions en cours restent traçables. La possibilité de supprimer prématurément certaines parties d'une mission en cours dépendra de la formulation définitive de la loi.
- Supprimer automatiquement trois mois après la fin de chaque mission, avec établissement d'un registre.
- Fournir une API de recherche pour l'équipe chargée de la divulgation : (adresse IP publique, port, horodatage, fuseau horaire) → identifiant de ligne → données de l'abonné.
- Se connecter à l'ESB / E-Mail-ESB pour les requêtes et les réponses entrantes.
- Tout consigner par écrit pour la BNetzA.
Comment ICS peut vous aider : votre magasin de stockage attitré
ICS International Carrier Services a plus de 20 ans d'expérience dans le secteur des télécommunications, interception légale et la conformité et contient multiple Agréments de la BNetzA. Pour les FAI et en particulier pour les MVNO, ICS peut prendre en charge le centre de conservation en tant qu'entité de stockage désignée conformément à l'article 177, paragraphe 2, l'entité que vous désignez auprès de la BNetzA.
- Analyse des écarts de vos journaux RADIUS/Diameter, du cœur de réseau de paquets et du CGNAT, conformément à l'article 177.
- Flux de données et connecteurs à partir de vos systèmes AAA, de vos passerelles PGW/UPF et NAT, ou de votre opérateur de réseau mobile (MNO) hôte.
- Un espace de stockage de données conservées, séparé et chiffré ne contenant que les champs obligatoires, avec suppression automatique et trace de la suppression.
- Service de recherche et de communication d'informations: identification des abonnés par adresse IP, port et heure, avec réponse via ESB ou E-Mail-ESB, y compris Facturation JVEG.
- Documentation de la BNetzA et un accompagnement lors des audits.
- Entrepôt de données des abonnés: recherches rapides et conformes aux exigences d'audit sur les abonnés, dans les systèmes de facturation, d'activation et de gestion de la relation client (CRM). Découvrez notre Solutions de conservation des données.
- Associé aux fonctions « Quick Freeze » et « e-Evidence » processus, afin que tous les types de demandes soient traités au même endroit.
Le délai de six mois est court, surtout s'il faut remplacer les passerelles NAT. Contacter ICS pour lancer votre évaluation de l'état de préparation.
Questions fréquemment posées
Qu'est-ce que la conservation des adresses IP ?
La conservation des adresses IP désigne l'obligation faite aux fournisseurs d'accès à Internet de consigner quelle adresse IP publique, et le cas échéant quels ports, ont été attribués à quelle connexion et à quel moment. L'objectif est de pouvoir identifier ultérieurement l'abonné associé à une adresse IP.
Pendant combien de temps les adresses IP doivent-elles être conservées en Allemagne ?
Conformément au projet de loi du gouvernement relatif à l'article 177 de la TKG, ce délai est de trois mois. Selon le libellé du texte, ce délai commence à courir à la fin de la mission, ce que les associations professionnelles ont demandé de clarifier dans le cas de sessions de longue durée.
Les opérateurs mobiles virtuels (MVNO) sont-ils tenus de conserver les adresses IP ?
Oui, s'ils fournissent un accès à Internet dans le cadre de leur propre relation client. Si l'adresse IP est attribuée au sein du réseau hôte, l'opérateur mobile virtuel (MVNO) doit s'assurer, par le biais d'un contrat ou d'un flux de données, que les données sont conservées, et doit être en mesure d'indiquer à la BNetzA l'entité chargée de cette conservation.
La comptabilité RADIUS est-elle suffisante pour la conservation des adresses IP ?
Il couvre l'adresse IP attribuée, les identifiants et les horodatages. Derrière un NAT de niveau opérateur (CGN), cependant, les mappages de ports ne sont connus que de la passerelle NAT ; par conséquent, la journalisation CGN (par exemple, les journaux d'attribution de blocs de ports) est également nécessaire.
Les données IP conservées peuvent-elles être utilisées dans le cadre de la gestion des abus ou des réclamations relatives aux droits d'auteur ?
Non. Les données conservées ne peuvent être utilisées que dans le cadre de demandes d'informations sur les abonnés émanant des autorités et de demandes d'e-preuves concernant les abonnés. Toute autre utilisation nécessite un ensemble de données opérationnelles distinct, fondé sur une base juridique propre.
Avertissement : cet article fournit des informations générales basées sur le projet du gouvernement allemand (BT-Drs. 21/6581) en date de septembre 2026. Il ne constitue pas un avis juridique. Les dispositions, les délais et les détails techniques sont susceptibles d'évoluer au cours de la procédure parlementaire et dans le cadre du TKÜV / TR TKÜV.
Articles connexes
- LI pour les opérateurs mobiles virtuels (MVNO) proposant uniquement des forfaits eSIM : défis spécifiques et solutions pratiques
- Comment gérer la responsabilité civile (LI) lorsque votre réseau central est externalisé ou hébergé
- Qu'est-ce qu'une preuve électronique ? Un guide complet
Ressources externes
- Bundestag allemand : débat sur l'introduction de la conservation des adresses IP (première lecture)
- Gouvernement fédéral : le Conseil des ministres adopte un projet de loi sur la conservation des adresses IP
- netzpolitik.org : Critiques concernant la durée de conservation prévue dans le projet de loi (en allemand)
