IP adrese un VDAR: vai tā ir personas dati?

Aiz gandrīz katras diskusijas par apmeklētāju atpazīšanu slēpjas jautājums: vai IP adrese ir personas dati? No atbildes ir atkarīgs, vai VDAR vispār tiek piemērota. Īsā atbilde: bieži jā, bet ne vienmēr un ne ikvienam. Garākā atbilde ir saistīta ar identificēšanas līdzekļiem.

Raksts sakārto jautājumu nopietni un sausi. Tā nav juridiska konsultācija. Jaunākajai judikatūrai ir vērts ieskatīties oriģinālā.

Statiskas un dinamiskas adreses

Statiska IP adrese pastāvīgi pieder vienam un tam pašam pieslēgumam. Dinamiska adrese tiek piešķirta no jauna katrā pieslēgšanās reizē, taču interneta pakalpojumu sniedzējs vēlāk var pateikt, kuram klientam tā noteiktā brīdī piederēja.

Juridiskajā vērtējumā mazāk svarīgs ir adreses veids nekā jautājums: kas ar pamatotu piepūli varētu noskaidrot, kas atrodas aiz tās?

Breyer spriedums un identificēšanas līdzekļi

Eiropas Savienības Tiesa 2016. gada 19. oktobrī lietā C-582/14 (Breyer) nolēma, ka arī dinamiska IP adrese tīmekļa vietnes operatoram var būt personas dati. Priekšnoteikums: viņa rīcībā ir tiesiski līdzekļi, kas ļauj ar trešo personu, piemēram, interneta pakalpojumu sniedzēja, palīdzību noteikt attiecīgo personu.

Spriedums tika taisīts vēl par vecās datu aizsardzības direktīvas laiku. Tomēr to uzskata par atskaites punktu arī VDAR, kuras 26. apsvērums satur to pašu domu: svarīgi ir visi līdzekļi, kurus pēc vispārēja vērtējuma ir ticami izmantot, lai personu identificētu.

Relatīvs skatījums no saņēmēja puses

Vai informācija ir personas dati, tātad netiek izlemts abstrakti, bet no tā skatupunkta, kuram tā ir rokās. Šo relatīvo skatījumu ES Tiesa nesen ir izvērsusi, pēdējo reizi lietā C-413/23 P (Eiropas Datu aizsardzības uzraugs pret Vienoto noregulējuma valdi) ar 2025. gada 4. septembra spriedumu. Tur runa bija par pseidonimizētiem datiem. Tiesa personas datu jēdzienu ir iztulkojusi plaši un ņēmusi vērā arī saņēmēja perspektīvu.

Jums tas nozīmē: ja informāciju pie kāda cita var viegli piešķirt personai, tā vēl nekļūst automātiski par personas datiem ikvienam. Taču uz jautājumu nevar arī vispārīgi atbildēt ar „nekaitīgi“. Pirms šī sprieduma izmantošanas atzinumā pārbaudiet lietas numuru un tālākās judikatūras stāvokli pats, jo šeit daudz kas mainās.

Kā IP jautājums iekļaujas visā apmeklētāju atpazīšanas pārbaudē, parāda Apmeklētāju atpazīšana un VDAR: nopietns izvērtējums.

Uzņēmuma adrese pret darbinieku

Apmeklētāju atpazīšanā ir kāda īpatnība: adrese bieži pieder nevis privātai mājsaimniecībai, bet uzņēmumam. Datus par juridiskām personām VDAR neaizsargā. Taču aiz uzņēmuma pieslēguma sēž cilvēks, kas tieši tagad lasa Jūsu lapu.

Tāpēc uzņēmuma pieslēgums nav automātiski brīvs no personām. Savienojumu no uzņēmuma biroja ar diviem darbiniekiem ir vieglāk piešķirt personai nekā savienojumu no koncerna ar 5000 datoriem aiz vienas adreses. Jo mazāks uzņēmums, jo tuvāk piešķiršana nonāk pie atsevišķas personas. Nopietni rīki tāpēc iet tikai līdz organizācijas līmenim un atsakās nosaukt personas.

Apstrāde nav glabāšana

Svarīga ir atšķirība starp apstrādi un glabāšanu. Arī īsa IP adreses izmantošana vaicājumam ir apstrāde VDAR izpratnē, ja vien adrese ir personas dati. Tad vajadzīgs tiesiskais pamats. Bet iejaukšanās dziļums ir cits, ja adrese pēc vaicājuma netiek saglabāta.

Kurš tiesiskais pamats tam der, noskaidro Piekrišana vai leģitīmās intereses: kā izlemt.

Tipiskas vietas, kur adrese tomēr paliek:

• Servera protokoli, ja piekļuves tiek pierakstītas kopā ar adresi.
• Pārbaudes vērtības un bremzes (aizsardzība pret ļaunprātīgu izmantošanu). Šeit var novērst, ja darbmemorijā atrodas tikai jaucējvērtība (hash), nevis pati adrese.
• Nodošana katalogiem: kas meklē tīkla īpašnieku, tas nosūta adresi reģistram. Adresēm ārpus Eiropas Eiropas reģistri vaicājumus pārsūta citu pasaules reģionu reģistriem. Tad vaicājums nonāk iestādēs ārpus ES. Tas skar jautājumu, vai notiek nodošana trešai valstij. Tas jāiekļauj dokumentācijā.

Kādas stacijas adrese iziet uzņēmumu atpazīšanā, parāda Kā darbojas uzņēmumu atpazīšana? Tehnika 6 soļos.

Whovisit ir piemērs rīkam, kas adresi izmanto tikai vaicājumam tīkla reģistrā un pēc tam atmet. Darbmemorijā paliek pārbaudes vērtība no jaucējvērtības ar servera noslēpumu. Tas ir tehnikas apraksts, nevis solījums, ka ar to ir atbildēts uz katru juridisko jautājumu.

Ko un cik ilgi glabā, rakstīts palīdzībā sadaļā Glabāšana un dzēšana.

Datu taupības pārbaudes saraksts: jautājumi katram rīkam

1. Vai IP adrese tiek glabāta datubāzē vai protokolos?
2. Ja nē: kur tieši tā tiek atmesta? Cik ilgi tā atrodas darbmemorijā?
3. Vai ir pārbaudes vērtības vai bremzes? Vai tās ir jauktas (hash)?
4. Kurp adrese tiek nosūtīta atrisināšanai (reģistrs, DNS, uzņēmumu datu sniedzējs)?
5. Vai šie saņēmēji atrodas ES, vai ir spēkā trešo valstu noteikumi?
6. Kā tas aprakstīts privātuma politikā un datu apstrādes līgumā?
7. Vai atpazīšana tiek ierobežota ar uzņēmumiem, vai tiek nosauktas arī atsevišķas personas?

Avoti

• ES Tiesa, 2016. gada 19. oktobra spriedums, Breyer, C-582/14
• ES Tiesa, 2025. gada 4. septembra spriedums, EDAU pret SRB, C-413/23 P
• VDAR, 4. panta 1. punkts un 26. apsvērums