IP adresa a GDPR: je osobním údajem?

Za téměř každou debatou o rozpoznání návštěvníků stojí jedna otázka: Je IP adresa osobním údajem? Od odpovědi závisí, zda se GDPR vůbec uplatní. Krátká odpověď zní: často ano, ale ne vždy a ne pro každého. Delší odpověď souvisí s prostředky identifikace.

Článek věc zařazuje věcně. Není právním poradenstvím. U novější judikatury se vyplatí podívat se do originálu.

Statické a dynamické adresy

Statická IP adresa patří trvale téže přípojce. Dynamická adresa se přiděluje při každém připojení znovu, poskytovatel internetu však později může říci, kterému zákazníkovi v určitém okamžiku patřila.

Pro právní posouzení záleží méně na druhu adresy než na otázce: Kdo by mohl s rozumnou námahou zjistit, kdo za ní stojí?

Rozsudek Breyer a prostředky identifikace

Soudní dvůr Evropské unie rozhodl dne 19. října 2016 ve věci C-582/14 (Breyer), že i dynamická IP adresa může být pro provozovatele webu osobním údajem. Podmínka: disponuje právními prostředky, které mu umožňují nechat dotčenou osobu určit s pomocí třetích stran, například poskytovatele internetu.

Rozsudek vznikl ještě podle staré směrnice o ochraně údajů. Platí však jako vodítko i pro GDPR, jehož bod odůvodnění 26 nese stejnou myšlenku: rozhodují všechny prostředky, u nichž je podle obecného úsudku pravděpodobné, že budou použity k identifikaci osoby.

Relativní pohled z hlediska příjemce

Zda je informace osobním údajem, se tedy nerozhoduje abstraktně, ale z pohledu toho, kdo ji má v ruce. Tento relativní pohled SDEU v nedávné době dále rozvedl, naposledy ve věci C-413/23 P (Evropský inspektor ochrany údajů proti Jednotné radě pro řešení krizí) rozsudkem ze dne 4. září 2025. Šlo tam o pseudonymizovaná data. Soud vyložil pojem osobních údajů široce a přihlédl přitom i k perspektivě příjemce.

Pro vás z toho plyne: Skutečnost, že informaci lze u někoho jiného snadno přiřadit k osobě, z ní automaticky neučiní osobní údaj pro každého. Otázku ale nelze ani plošně zodpovědět slovem „neškodné“. Než tento rozsudek použijete ve stanovisku, ověřte si sami spisovou značku a stav další judikatury, protože zde je mnohé v pohybu.

Jak otázka IP zapadá do celkového posouzení rozpoznání návštěvníků, ukazuje Rozpoznání návštěvníků a GDPR: věcné zařazení.

Firemní adresa versus zaměstnanec

U rozpoznání návštěvníků přistupuje zvláštnost: Adresa často nepatří soukromé domácnosti, ale firmě. Údaje o právnických osobách GDPR nechrání. Za firemní přípojkou však sedí člověk, který právě čte vaši stránku.

Proto firemní přípojka není automaticky bez osobních údajů. Spojení z kanceláře firmy se dvěma zaměstnanci lze přiřadit k osobě snáze než spojení z koncernu s 5 000 počítači za toutéž adresou. Čím menší firma, tím blíže se přiřazení blíží jednotlivé osobě. Seriózní nástroje proto jdou jen na úroveň organizace a upouštějí od pojmenovávání osob.

Zpracování není ukládání

Důležité je rozlišení mezi zpracováním a uložením. Také krátké použití IP adresy pro dotaz je zpracováním ve smyslu GDPR, pokud je adresa osobním údajem. Pak je zapotřebí právní základ. Hloubka zásahu je ale jiná, pokud se adresa po dotazu neuchovává.

Který právní základ se hodí, objasňuje Souhlas, nebo oprávněný zájem: jak se rozhodnout.

Typická místa, kde adresa přesto zůstane viset:

• Záznamy serveru, pokud se přístupy zapisují včetně adresy.
• Kontrolní hodnoty a brzdy (ochrana před zneužitím). Zde lze předejít tomu, že v paměti leží jen hash a ne adresa sama.
• Předání adresářům: Kdo vyhledává majitele sítě, posílá adresu do registru. U adres mimo Evropu evropské registry předávají dotazy registrům jiných světových regionů. Dotaz pak skončí u subjektů mimo EU. Týká se to otázky, zda jde o předání do třetí země. Patří to do dokumentace.

Jakými stanicemi adresa při rozpoznání firem prochází, ukazuje Jak funguje rozpoznání firem? Technika v 6 krocích.

Whovisit je příkladem nástroje, který adresu používá jen pro dotaz v registru sítí a poté ji zahodí. V paměti zůstává kontrolní hodnota z hashe s tajným klíčem serveru. Je to popis techniky, nikoli příslib, že tím je zodpovězena každá právní otázka.

Co se přitom jak dlouho ukládá, je v nápovědě pod Uchovávání a mazání.

Kontrolní seznam šetření údaji: otázky pro každý nástroj

1. Ukládá se IP adresa, v databázi nebo v záznamech?
2. Pokud ne: Kde přesně se zahazuje? Jak dlouho leží v paměti?
3. Existují kontrolní hodnoty nebo brzdy? Jsou hashované?
4. Kam se adresa posílá k vyřešení (registr, DNS, poskytovatel firemních dat)?
5. Leží tito příjemci v EU, nebo platí pravidla pro třetí země?
6. Jak je to popsáno v zásadách ochrany osobních údajů a ve smlouvě o zpracování osobních údajů?
7. Omezuje se rozpoznání na firmy, nebo se pojmenovávají i jednotlivci?

Prameny

• SDEU, rozsudek ze dne 19. října 2016, Breyer, C-582/14
• SDEU, rozsudek ze dne 4. září 2025, EDPS proti SRB, C-413/23 P
• GDPR, čl. 4 bod 1 a bod odůvodnění 26