Résumé

  • Sur les 99 demandes reçues par RIPE NCC en 2025, 81 visaient l’identification d’internautes derrière des adresses IP précises ; le registre affirme ne pas détenir ces identités.
  • Le rapport distingue ces informations absentes de dix demandes d’informations non publiques, six demandes de données publiques, une demande sans lien avec RIPE NCC et une demande d’action précise.

Une adresse IP ressemble à un indice. Ce n’est pas une fiche client. En 2025, les autorités ont demandé 81 fois à RIPE NCC d’identifier les internautes associés à des adresses précises. Dans son rapport annuel, l’organisme dit ne pas pouvoir fournir ces identités. Il a plutôt rappelé son rôle de registre Internet régional et expliqué comment consulter la base RIPE publique pour retrouver le titulaire responsable d’un bloc d’adresses.

Les deux questions se confondent facilement parce qu’elles partent du même numéro. « Qui utilisait cette adresse à 14 h 03 ? » et « quelle organisation est enregistrée pour ce bloc ? » peuvent commencer par une adresse IP. Elles n’aboutissent pas à la même base de données.

Un RIR administre des ressources Internet et leurs données d’enregistrement. La fiche publique peut désigner le titulaire d’une ressource. Elle ne transforme pas RIPE NCC en système d’abonnés de chaque fournisseur d’accès, pas plus qu’elle ne révèle l’identité derrière une session donnée. L’adresse ouvre une porte ; le registre s’arrête à son propre seuil.

Les chiffres de 2025 rendent cette limite difficile à rater. RIPE NCC a reçu 99 demandes d’autorités. Quatre-vingt-une portaient sur des informations que l’organisme ne possédait pas : l’identité des internautes associés à des adresses IP précises. Dix demandes visaient des informations non publiques, six des informations publiques, une concernait un sujet sans rapport avec RIPE NCC et une réclamait une action déterminée.

Les dix demandes d’informations non publiques se répartissaient selon leur force juridique et leur origine. Les autorités néerlandaises en ont soumis huit, juridiquement contraignantes ; RIPE NCC les a toutes exécutées. Elles concernaient un utilisateur final parrainé par un membre, cinq membres actuels et deux anciens membres. Deux demandes non contraignantes venaient d’autorités étrangères. RIPE NCC n’a pas transmis les informations non publiques : il a fourni des données publiques et rappelé la voie de l’ordonnance néerlandaise.

Les six demandes de données publiques portaient sur la procédure ou l’institution. Quatre demandaient comment obtenir des informations non publiques ; deux concernaient les procédures de sanctions de RIPE NCC. Le registre pouvait répondre à partir de ses documents et processus publiés. La demande d’action était d’une autre nature : une autorité étrangère voulait faire modifier le pays attribué à un membre dans les données publiques.

RIPE NCC a répondu qu’une ordonnance judiciaire néerlandaise, ou un autre acte exécutoire selon le droit néerlandais, était nécessaire ; les éléments publics dont il disposait n’étayaient pas l’affirmation de l’autorité.

La série annuelle a changé de rythme. De 2016 à 2021, aucune année n’a dépassé 60 demandes. Le total est passé à 187 en 2022, a atteint 200 en 2023, puis est retombé à 115 en 2024 et 99 en 2025. La courbe n’a pas continué à grimper. Après le pic, la répartition révèle davantage que le total : une grande partie des demandes visait des données gardées ailleurs ; une fraction plus réduite touchait aux dossiers et aux procédures juridiques propres à RIPE NCC.

La France a été à l’origine de 32 demandes en 2025, le total national le plus élevé. RIPE NCC précise qu’elles concernaient des informations qu’il ne détenait pas. Ce chiffre indique l’origine des demandes ; il ne révèle ni le nombre de dossiers, ni celui des personnes ou des enquêtes. Le rapport compte des demandes. C’est l’unité publiée.

En juillet 2026, RIPE NCC a publié sa procédure actuelle, RIPE-865. Elle sépare les informations publiques des données confidentielles sur les membres. Les autorités néerlandaises peuvent obtenir des informations non publiques au moyen d’une ordonnance contraignante rendue aux Pays-Bas ; les autorités de l’UE peuvent recourir au règlement eEvidence. Ses règles de confidentialité interdisent à RIPE NCC d’avertir les membres concernés. Pour les autres ordres, la politique reste de les prévenir, sauf interdiction légale ou judiciaire. RIPE NCC a publié cette procédure en 2026. Le rapport de 2025 reste le relevé des demandes de cette année-là.

La conclusion pratique tient en une phrase : un registre peut confirmer ce que contiennent ses propres données ; l’identité de l’abonné associé à une adresse à un instant précis relève d’un autre détenteur de dossier. L’autorité juridique ne téléporte pas les données d’un système à l’autre. Il faut adresser la demande à l’organisme qui conserve réellement le document, selon la procédure qui s’applique à lui.

Le rapport publie le nombre de demandes ; il ne recense ni les personnes identifiées ni les enquêtes achevées. Il établit un fait net : 81 demandes portaient sur des identités que le RIR dit ne pas détenir. C’est assez pour tracer la frontière entre l’annuaire des ressources Internet et les fichiers clients d’autres organismes.

Sources : RIPE NCC, Rapport 2025 sur les demandes des autorités (RIPE-854) ; RIPE NCC, Procédure de traitement des demandes, ordres et enquêtes (RIPE-865).