# Διεύθυνση IP και GDPR: είναι προσωπικό δεδομένο;

> Είναι η διεύθυνση IP προσωπικό δεδομένο; Απόφαση Breyer, μέσα ταυτοποίησης και τι σημαίνει αυτό για τα εργαλεία αναγνώρισης επισκεπτών.

Quelle: https://whovisit.app/el/blog/dieythynsi-ip-prosopika-dedomena-gdpr
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

Πίσω από σχεδόν κάθε συζήτηση για την αναγνώριση επισκεπτών κρύβεται ένα ερώτημα: είναι η διεύθυνση IP προσωπικό δεδομένο; Από την απάντηση εξαρτάται αν εφαρμόζεται καν ο GDPR. Η σύντομη απάντηση είναι: συχνά ναι, αλλά όχι πάντα και όχι για τον καθένα. Η μακρύτερη απάντηση σχετίζεται με τα μέσα ταυτοποίησης.

Το άρθρο κάνει μια νηφάλια κατάταξη. Δεν αποτελεί νομική συμβουλή. Στη νεότερη νομολογία αξίζει να ανατρέξετε στο πρωτότυπο.

## Στατικές και δυναμικές διευθύνσεις

Μια **στατική** διεύθυνση IP ανήκει μόνιμα στην ίδια σύνδεση. Μια **δυναμική** διεύθυνση εκχωρείται εκ νέου σε κάθε σύνδεση, ένας πάροχος διαδικτύου μπορεί όμως αργότερα να πει σε ποιον πελάτη ανήκε σε μια συγκεκριμένη χρονική στιγμή.

Για τη νομική αξιολόγηση δεν μετρά τόσο το είδος της διεύθυνσης όσο το ερώτημα: ποιος θα μπορούσε με εύλογη προσπάθεια να μάθει ποιος βρίσκεται από πίσω;

## Η απόφαση Breyer και τα μέσα ταυτοποίησης

Το Δικαστήριο της Ευρωπαϊκής Ένωσης έκρινε στις 19 Οκτωβρίου 2016 στην υπόθεση C-582/14 (Breyer) ότι και μια δυναμική διεύθυνση IP μπορεί να αποτελεί προσωπικό δεδομένο για τον διαχειριστή ενός ιστότοπου. Προϋπόθεση: διαθέτει νόμιμα μέσα που του επιτρέπουν να προσδιορίσει το υποκείμενο των δεδομένων με τη βοήθεια τρίτων, π.χ. του παρόχου διαδικτύου.

Η απόφαση εκδόθηκε ακόμη στο πλαίσιο της παλαιάς οδηγίας για την προστασία δεδομένων. Θεωρείται όμως σημείο αναφοράς και για τον GDPR, του οποίου η αιτιολογική σκέψη 26 εκφράζει την ίδια ιδέα: μετρούν όλα τα μέσα που, σύμφωνα με την κοινή κρίση, είναι πιθανό να χρησιμοποιηθούν για την ταυτοποίηση του προσώπου.

## Σχετική θεώρηση από την πλευρά του παραλήπτη

Το αν μια πληροφορία είναι προσωπικό δεδομένο δεν κρίνεται λοιπόν αφηρημένα, αλλά από την οπτική εκείνου που την κατέχει. Αυτή τη σχετική θεώρηση το ΔΕΕ την ανέπτυξε πρόσφατα περαιτέρω, τελευταία στην υπόθεση C-413/23 P (Ευρωπαίος Επόπτης Προστασίας Δεδομένων κατά Ενιαίου Συμβουλίου Εκκαθάρισης) με την απόφαση της 4ης Σεπτεμβρίου 2025. Εκεί επρόκειτο για ψευδωνυμοποιημένα δεδομένα. Το Δικαστήριο ερμήνευσε διασταλτικά την έννοια των προσωπικών δεδομένων και έλαβε υπόψη και την οπτική του παραλήπτη.

Για εσάς αυτό σημαίνει: το ότι μια πληροφορία αντιστοιχίζεται εύκολα σε πρόσωπο από κάποιον άλλον δεν την καθιστά αυτομάτως προσωπικό δεδομένο για τον καθένα. Το ερώτημα όμως δεν απαντάται ούτε γενικά με «ακίνδυνο». Πριν χρησιμοποιήσετε αυτή την απόφαση σε μια γνωμοδότηση, ελέγξτε μόνοι σας τον αριθμό της υπόθεσης και την κατάσταση της περαιτέρω νομολογίας, διότι εδώ πολλά βρίσκονται σε εξέλιξη.

Πώς το ζήτημα της IP εντάσσεται στον συνολικό έλεγχο της αναγνώρισης επισκεπτών, δείχνει το [Αναγνώριση επισκεπτών και GDPR: μια νηφάλια κατάταξη](https://whovisit.app/blog/besuchererkennung-dsgvo).

## Διεύθυνση εταιρείας έναντι εργαζομένου

Στην αναγνώριση επισκεπτών προστίθεται μια ιδιαιτερότητα: η διεύθυνση συχνά δεν ανήκει σε ιδιωτικό νοικοκυριό, αλλά σε εταιρεία. Τα δεδομένα νομικών προσώπων ο GDPR δεν τα προστατεύει. Πίσω από τη σύνδεση της εταιρείας όμως κάθεται ένας άνθρωπος που διαβάζει αυτή τη στιγμή τη σελίδα σας.

Γι' αυτό η σύνδεση μιας εταιρείας δεν είναι αυτομάτως απαλλαγμένη από πρόσωπα. Μια σύνδεση από το γραφείο μιας εταιρείας με δύο εργαζομένους αντιστοιχίζεται ευκολότερα σε πρόσωπο από μια σύνδεση από έναν όμιλο με 5.000 υπολογιστές πίσω από την ίδια διεύθυνση. Όσο μικρότερη η εταιρεία, τόσο πιο κοντά έρχεται η αντιστοίχιση σε ένα μεμονωμένο πρόσωπο. Τα αξιόπιστα εργαλεία φτάνουν γι' αυτό μόνο μέχρι το επίπεδο του οργανισμού και αποφεύγουν να κατονομάζουν πρόσωπα.

## Επεξεργασία δεν σημαίνει αποθήκευση

Σημαντική είναι η διάκριση ανάμεσα στην επεξεργασία και την αποθήκευση. Και η σύντομη χρήση μιας διεύθυνσης IP για μια αναζήτηση αποτελεί επεξεργασία κατά την έννοια του GDPR, εφόσον η διεύθυνση είναι προσωπικό δεδομένο. Τότε απαιτείται νομική βάση. Το βάθος της παρέμβασης είναι όμως διαφορετικό, όταν η διεύθυνση δεν φυλάσσεται μετά την αναζήτηση.

Ποια νομική βάση ταιριάζει, διευκρινίζει το [Συγκατάθεση ή έννομο συμφέρον: πώς αποφασίζετε](https://whovisit.app/blog/einwilligung-oder-berechtigtes-interesse).

Τυπικά σημεία όπου μια διεύθυνση παραμένει παρ' όλα αυτά:

- **Αρχεία καταγραφής του διακομιστή**, όταν οι προσβάσεις καταγράφονται μαζί με τη διεύθυνση.
- **Τιμές ελέγχου και φρένα** (προστασία από κατάχρηση). Εδώ μπορείτε να προλάβετε το πρόβλημα, αν στη μνήμη βρίσκεται μόνο ένα hash και όχι η ίδια η διεύθυνση.
- **Διαβίβαση σε καταλόγους**: όποιος αναζητά τον κάτοχο ενός δικτύου, στέλνει τη διεύθυνση σε ένα μητρώο. Για διευθύνσεις εκτός Ευρώπης, τα ευρωπαϊκά μητρώα προωθούν τις αναζητήσεις στα μητρώα άλλων περιοχών του κόσμου. Τότε η αναζήτηση καταλήγει σε φορείς εκτός ΕΕ. Αυτό αφορά το ερώτημα αν υπάρχει διαβίβαση σε τρίτη χώρα. Ανήκει στην τεκμηρίωση.

Ποιους σταθμούς διανύει μια διεύθυνση στην αναγνώριση εταιρειών, δείχνει το [Πώς λειτουργεί η αναγνώριση εταιρειών; Τεχνολογία σε 6 βήματα](https://whovisit.app/blog/firmenerkennung-website-technik).

Το Whovisit είναι ένα παράδειγμα εργαλείου που χρησιμοποιεί τη διεύθυνση μόνο για την αναζήτηση στο μητρώο δικτύων και στη συνέχεια την απορρίπτει. Στη μνήμη παραμένει μια τιμή ελέγχου από ένα hash με μυστικό του διακομιστή. Πρόκειται για περιγραφή της τεχνικής και όχι για υπόσχεση ότι με αυτήν απαντάται κάθε νομικό ζήτημα.

Τι αποθηκεύεται και για πόσο διάστημα, αναφέρεται στη βοήθεια στο [Διατήρηση και διαγραφή](https://whovisit.app/hilfe/datenschutz-und-aufbewahrung).

## Λίστα ελέγχου ελαχιστοποίησης δεδομένων: ερωτήσεις προς κάθε εργαλείο

1. Αποθηκεύεται η διεύθυνση IP, στη βάση δεδομένων ή σε αρχεία καταγραφής;
2. Αν όχι: Πού ακριβώς απορρίπτεται; Για πόσο διάστημα παραμένει στη μνήμη;
3. Υπάρχουν τιμές ελέγχου ή φρένα; Είναι hashed;
4. Πού αποστέλλεται η διεύθυνση για ανάλυση (μητρώο, DNS, πάροχος στοιχείων εταιρειών);
5. Βρίσκονται αυτοί οι παραλήπτες στην ΕΕ ή εφαρμόζονται κανόνες τρίτων χωρών;
6. Πώς περιγράφεται αυτό στη δήλωση προστασίας δεδομένων και στη σύμβαση εκτέλεσης επεξεργασίας;
7. Περιορίζεται η αναγνώριση σε εταιρείες ή κατονομάζονται και μεμονωμένα πρόσωπα;

## Πηγές

- [ΔΕΕ, απόφαση της 19ης Οκτωβρίου 2016, Breyer, C-582/14](https://curia.europa.eu/juris/liste.jsf?num=C-582/14)
- [ΔΕΕ, απόφαση της 4ης Σεπτεμβρίου 2025, ΕΕΠΔ κατά ΕΣΕ, C-413/23 P](https://curia.europa.eu/juris/liste.jsf?num=C-413/23)
- [GDPR](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679), άρθρο 4 αρ. 1 και αιτιολογική σκέψη 26