Allemagne : après l'attaque de la Pride de Berlin, la conservation des IP revient

Quatre jours après qu'une camionnette a foncé dans la foule lors de la Pride de Berlin, le projet de loi allemand sur la conservation des adresses IP, jusqu'ici enlisé, revient au centre de l'agenda politique. Un député CDU a appelé le parlement à adopter le paquet sécurité en attente, qui obligerait chaque fournisseur d'accès du pays à consigner quel abonné détenait quelle adresse IP, pendant trois mois, pour tout le monde. Le texte avait déjà été approuvé en conseil des ministres en avril. L'attaque n'a pas changé son contenu, mais son urgence.

Ce qui s'est passé à Berlin

Le soir du 25 juillet 2026, une camionnette a foncé sur des personnes rassemblées sur une allée piétonne du Tiergarten pendant le Christopher Street Day berlinois. Une femme de 65 ans venue de Pologne a été tuée et 29 personnes ont été blessées. Le suspect, un Allemand de 21 ans d'origine libanaise, a pris la fuite à pied et a été retrouvé le lendemain soir à Spandau, où une unité spéciale de la police l'a abattu lors de la tentative d'interpellation. Le ministre de l'Intérieur Alexander Dobrindt a qualifié les faits d'attentat terroriste islamiste.

En deux jours, la réponse politique s'est déplacée vers la législation. Le député CDU Alexander Throm a publiquement exhorté ses collègues à adopter le projet de loi sécurité en souffrance, dont la conservation des adresses IP constitue l'élément central.

Le texte que l'on pousse désormais

Le projet porte le titre peu maniable de "Loi introduisant la conservation des adresses IP et développant les pouvoirs de collecte de données dans la procédure pénale". Le ministère fédéral de la Justice et de la Protection des consommateurs l'a publié le 22 décembre 2025, et le conseil des ministres fédéral l'a approuvé le 22 avril 2026, après arbitrage entre la ministre de la Justice Stefanie Hubig et le ministre de l'Intérieur Alexander Dobrindt. Il est ensuite resté en attente d'un créneau parlementaire.

• Ce qui est conservé : l'adresse IP attribuée à un abonné et, si nécessaire, les numéros de port associés, pendant trois mois.
• Qui est concerné : tout client d'un accès internet, sans qu'aucun soupçon préalable ne soit requis pour la conservation elle-même.
• Ce qui est exclu : les adresses IP de destination, le contenu, les données de localisation et les autres données de trafic sont explicitement hors du champ de l'obligation.
• Au-delà de la conservation : de nouvelles injonctions de préservation pour des données de trafic qui seraient sinon effacées, et un élargissement des réquisitions par antenne relais.

Ce dernier point mérite attention car il passe facilement inaperçu. Les réquisitions par antenne, qui révèlent tous les téléphones connectés à un relais près d'une scène de crime, passeraient des "infractions particulièrement graves" aux "infractions d'importance substantielle". Cela renverse une restriction posée par la Cour fédérale de justice en janvier 2024.

Ce qui change vraiment, et ce qui ne change pas

Un point qui se perd dans le vacarme : les enquêteurs allemands peuvent déjà demander les données d'abonné liées à une adresse IP. Le cabinet Gleiss Lutz, dans son analyse, souligne que les pouvoirs d'accès ne sont pas élargis ici. Ce qui est nouveau, c'est l'obligation faite aux opérateurs de conserver effectivement les données, pour qu'il y ait quelque chose à demander. L'accès continue d'exiger un soupçon raisonnable d'infraction et la démonstration que les données sont nécessaires à l'enquête.

Cette distinction compte, et elle coupe dans les deux sens. Les partisans peuvent dire avec raison que la loi n'accorde aucun pouvoir d'enquête nouveau. Les opposants peuvent répondre avec autant de raison qu'elle transforme une mosaïque, où certains enregistrements existent par hasard et la plupart n'existent pas, en un registre national garanti de qui se trouvait derrière quelle adresse n'importe quel jour du trimestre. Aujourd'hui, savoir si une IP est traçable trois mois en arrière dépend largement de votre opérateur. Avec ce texte, cela devient une certitude.

L'industrie et le CCC : cela ne survivra pas devant les juges

L'association de l'industrie de l'internet eco s'oppose au texte depuis février 2026 et a réitéré ses objections après la décision du conseil des ministres. Son argument central : la conservation indifférenciée échoue systématiquement face aux exigences de la Cour de justice de l'Union européenne, qui a invalidé la directive sur la conservation des données en 2014. eco rappelle aussi sa victoire de 2023 aux côtés de son membre SpaceNet, quand la Cour administrative fédérale allemande a confirmé que les règles de conservation antérieures étaient contraires au droit de l'Union.

Au-delà de la légalité, eco soulève une objection procédurale facile à manquer : le contrôle judiciaire glisse d'un examen préalable vers une notification postérieure. Klaus Landefeld, membre du directoire, estime que ces mécanismes "ne peuvent pas assurer une protection juridique effective dans la même mesure" et prévient que la surveillance serait affaiblie en pratique. Il évoque aussi le coût : on demande de nouveau aux entreprises d'investir dans une infrastructure au statut juridique douteux.

Constanze Kurz, porte-parole du Chaos Computer Club, a qualifié la proposition de loi de surveillance de masse. Le débat allemand sur la Vorratsdatenspeicherung dure depuis près de vingt ans, et les tribunaux en ont renvoyé plusieurs versions. La réponse du ministère de la Justice est que ce projet est volontairement plus étroit, limité aux adresses IP plutôt qu'au large ensemble de données de trafic rejeté auparavant, et que la jurisprudence européenne récente laisse précisément une place à ce modèle resserré.

Le détail gênant

Le suspect n'était pas inconnu des autorités. Il avait auparavant tenté de poursuivre son voyage pour rejoindre l'État islamique, avait été arrêté au Liban et y avait été condamné, et il figurait dans le champ de vision des services de sécurité allemands. Quoi qu'il ait échoué dans cette affaire, ce n'était pas l'incapacité d'identifier un inconnu à partir d'une adresse IP. Cet écart entre la mesure réclamée et les faits du dossier au nom duquel on la réclame est ce qu'il faudra surveiller à mesure que le texte avance.

Pour toute personne vivant en Allemagne, l'effet pratique serait que l'opérateur devient l'archiviste obligatoire de votre historique d'adresses. C'est ici que la question du VPN se pose honnêtement, et non comme un argument commercial : faire passer son trafic par un VPN ne supprime pas l'enregistrement, chez l'opérateur, du fait que vous vous êtes connecté ; cela change l'adresse que voient et journalisent les services que vous visitez. Ce sont deux expositions différentes, et le texte n'en touche qu'une. Pour suivre le dossier, nous avions déjà analysé le projet allemand de conservation des données lors de sa première apparition et la façon dont Chat Control a progressé dans l'UE malgré une majorité contre.

Conclusion