IP adresas ir BDAR: ar jis yra asmens duomuo?

Už beveik kiekvienos diskusijos apie lankytojų atpažinimą slypi vienas klausimas: ar IP adresas yra asmens duomuo? Nuo atsakymo priklauso, ar BDAR apskritai taikomas. Trumpas atsakymas: dažnai taip, bet ne visada ir ne kiekvienam. Ilgesnis atsakymas susijęs su identifikavimo priemonėmis.

Straipsnis vertina blaiviai. Tai nėra teisinė konsultacija. Naujesnę teismų praktiką verta pasižiūrėti originale.

Statiniai ir dinaminiai adresai

Statinis IP adresas visam laikui priklauso tai pačiai prieigai. Dinaminis adresas suteikiamas iš naujo kiekvieną kartą prisijungiant, tačiau interneto paslaugų tiekėjas vėliau gali pasakyti, kuriam klientui jis tam tikru laiku priklausė.

Teisiniam vertinimui mažiau svarbi adreso rūšis, o labiau klausimas: kas su pagrįstomis pastangomis galėtų išsiaiškinti, kas už jo slepiasi?

Breyer sprendimas ir identifikavimo priemonės

Europos Teisingumo Teismas 2016 m. spalio 19 d. byloje C-582/14 (Breyer) nusprendė, kad net dinaminis IP adresas svetainės operatoriui gali būti asmens duomuo. Sąlyga: jis turi teisines priemones, leidžiančias, padedant trečiajam asmeniui, pavyzdžiui, interneto paslaugų tiekėjui, nustatyti duomenų subjektą.

Sprendimas priimtas dar pagal senąją duomenų apsaugos direktyvą. Tačiau jis laikomas atskaitos tašku ir BDAR, kurio 26 konstatuojamoji dalis išreiškia tą pačią mintį: svarbios visos priemonės, kurias pagal bendrą vertinimą tikėtina naudoti asmeniui identifikuoti.

Santykinis vertinimas gavėjo požiūriu

Ar informacija yra asmens duomuo, sprendžiama ne abstrakčiai, o to, kas ją turi rankose, požiūriu. Šį santykinį vertinimą ETT pastaruoju metu išplėtojo toliau, paskutinį kartą byloje C-413/23 P (Europos duomenų apsaugos priežiūros pareigūnas prieš Bendrąją pertvarkymo tarybą) 2025 m. rugsėjo 4 d. sprendimu. Ten kalbama apie pseudonimizuotus duomenis. Teismas asmens duomenų sąvoką aiškino plačiai ir atsižvelgė taip pat į gavėjo perspektyvą.

Jums tai reiškia: kad informaciją kitam lengva priskirti asmeniui, dar nereiškia, kad ji automatiškai kiekvienam yra asmens duomuo. Tačiau klausimo negalima atsakyti ir bendrai „nekelia abejonių“. Prieš remdamiesi šiuo sprendimu nuomonėje, patys patikrinkite bylos numerį ir tolesnės teismų praktikos būklę, nes čia daug kas juda.

Kaip IP klausimas telpa į visą lankytojų atpažinimo vertinimą, rodo Lankytojų atpažinimas ir BDAR: blaivus vertinimas.

Įmonės adresas ir darbuotojas

Lankytojų atpažinimo atveju atsiranda ypatumas: adresas dažnai priklauso ne privačiam namų ūkiui, o įmonei. Duomenų apie juridinius asmenis BDAR neapsaugo. Bet už įmonės prieigos sėdi žmogus, kuris kaip tik skaito Jūsų puslapį.

Todėl įmonės prieiga nėra automatiškai laisva nuo asmens duomenų. Ryšį iš dviejų darbuotojų įmonės biuro lengviau priskirti asmeniui nei ryšį iš koncerno su 5 000 kompiuterių už to paties adreso. Kuo mažesnė įmonė, tuo labiau priskyrimas artėja prie pavienio asmens. Rimti įrankiai todėl eina tik iki organizacijos lygmens ir atsisako įvardyti asmenis.

Tvarkymas nėra saugojimas

Svarbus skirtumas tarp tvarkymo ir saugojimo. Net trumpas IP adreso panaudojimas užklausai yra tvarkymas pagal BDAR, jei adresas yra asmens duomuo. Tada reikia teisinio pagrindo. Tačiau kišimosi gylis skiriasi, kai adresas po užklausos nesaugomas.

Koks teisinis pagrindas čia tinka, išaiškina Sutikimas ar teisėtas interesas: kaip apsispręsti.

Tipinės vietos, kuriose adresas vis dėlto užsilieka:

• Serverio žurnalai, jei prieigos užrašomos kartu su adresu.
• Kontrolinės reikšmės ir stabdžiai (apsauga nuo piktnaudžiavimo). Čia galima užkirsti kelią laikant operatyviojoje atmintyje tik maišos reikšmę (hash), o ne patį adresą.
• Perdavimas katalogams: kas ieško tinklo savininko, siunčia adresą registrui. Adresams už Europos ribų Europos registrai perduoda užklausas kitų pasaulio regionų registrams. Tuomet užklausa patenka į įstaigas už ES ribų. Tai susiję su klausimu, ar vyksta perdavimas į trečiąją šalį. Tai priklauso dokumentacijai.

Kokias stotis adresas praeina atpažįstant įmones, rodo Kaip veikia įmonių atpažinimas? Technika šešiais žingsniais.

Whovisit yra įrankio pavyzdys, kuris adresą naudoja tik užklausai tinklo registre ir paskui jį atmeta. Operatyviojoje atmintyje lieka kontrolinė reikšmė iš maišos su serverio paslaptimi. Tai technikos aprašymas, o ne pažadas, kad taip atsakomas kiekvienas teisinis klausimas.

Kas ir kiek laiko saugoma, aprašyta pagalbos skyriuje Saugojimas ir ištrynimas.

Duomenų taupymo kontrolinis sąrašas: klausimai kiekvienam įrankiui

1. Ar IP adresas saugomas duomenų bazėje ar žurnaluose?
2. Jei ne: kur tiksliai jis atmetamas? Kiek laiko jis būna operatyviojoje atmintyje?
3. Ar yra kontrolinių reikšmių ar stabdžių? Ar jie maišomi (hash)?
4. Kur adresas siunčiamas atpažinimui (registras, DNS, įmonių duomenų tiekėjas)?
5. Ar šie gavėjai yra ES, ar taikomos trečiųjų šalių taisyklės?
6. Kaip tai aprašyta privatumo politikoje ir duomenų tvarkymo sutartyje?
7. Ar atpažinimas apribotas įmonėmis, ar įvardijami ir pavieniai asmenys?

Šaltiniai

• ETT, 2016 m. spalio 19 d. sprendimas, Breyer, C-582/14
• ETT, 2025 m. rugsėjo 4 d. sprendimas, EDAPP prieš BPT, C-413/23 P
• BDAR, 4 straipsnio 1 punktas ir 26 konstatuojamoji dalis