Lors de la Conférence internationale des commissaires à la protection des données qui s’est tenue à Paris en octobre 2001, Jean-marc Dinant (Directeur de Recherches au CRID) a présenté une communication sur « Les risques majeurs de IPv6 pour la protection des données à caractère personnel » (désormais inaccessible en ligne – 2004).
Cette étude passe en revue les risques que la technologie peut induire en regard des législations sur la protection des données à caractère personnel. L’auteur analyse les technologies connues (Cookies, etc., …) mais aussi et surtout la nouvelle version du protocole central de l’internet, IPv6.

La conclusion de l’étude est sans appel : « Avec le déploiement de la nouvelle numérotation Ipv6, chaque machine et donc chaque internaute, transmettra, le plus souvent à son insu, et sans qu’il puisse s’y opposer, un numéro de série unique au monde et stable dans le temps. Ce numéro sera transmis quelque soit le service utilisé sur Internet : envoi de courrier électronique, forums de discussion, accès aux moteurs de recherche (pour chercher les horaires des offices des mosquées, l’adresse d’un syndicat, du viagra ou des traitements pour guérir le sida, pour lire certains articles des journaux en ligne, etc. »

Il semble cependant que les analyses de Jean-Marc Dinant datent. Cette inquiétude avait surgi dès 1999 dans les documents de l’Electronic Frontier Foundation (EFF), mais des réponses y ont été apportées depuis longtemps. Dans un excellent article qui résume Ipv6, Brian Carpenter de l’Internet Society précise : « Dans de nombreux cas, la première partie de l’adresse IPv6 forme un identifiant, qui dans les cas les plus simples est dérivée de l’adresse de la carte réseau de l’ordinateur. En réponse aux inquiétudes relatives à l’utilisation de cet identifiant fixe comme moyen de tracer un utilisateur (…), l’IETF a développé une solution alternative au travers de laquelle l’identifiant fixe est remplacée par un numéro pseudo-aléatoire« . Cette méthode est décrite dans le RFC 3041 « Privacy Extensions for Stateless Address Autoconfiguration in IPv6« , auquel Jean-Marc Dinant fait d’ailleurs référence, mais sans apparemment que cela suffise à appaiser son inquiétude.

Dans l’article « IPv6 et les moyens de préserver la vie privée » que nous publions par ailleurs sur le site de la Fing, Patrick Cocquet, vice-président du Forum IPv6, réagit : « Concernant IPv6, l’utilité de cette évolution du protocole IP et les bénéfices apportés par ses nouveaux services en particulier liés au multimédia (qualité de service, téléphonie 3G, vidéo et même sécurité des données !) ne doivent pas être refusés aux utilisateurs sous de faux prétextes. (…) L’attribution [des] adresses peut se faire comme pour IPv4 soit via un serveur d’adresses, soit en utilisant un mécanisme d’autoconfiguration. C’est ce mécanisme qui fait en général l’objet de critiques de ceux qui n’ont voulu lire qu’une partie de la spécification. En effet, la spécification propose, comme une des solutions possibles pour attribuer une adresse IPv6, d’utiliser l’adresse MAC de son interface physique lorsqu’elle existe (cas d’une connexion Ethernet par exemple). Il s’agit d’une solution très pratique en particulier dans les réseaux d’entreprises. Mais, cette spécification propose d’autres solutions basées par exemple sur des algorithmes aléatoires qui peuvent être justement mis en oeuvre dès lors qu’il est important de ne pas associer de façon permanente une adresse à une machine. »

Communiqué de presse de l’ISOC sur le sujet d’IPv6 et la protection des données personnelles