IP-adres en AVG: is het een persoonsgegeven?

Achter bijna elk debat over bezoekersherkenning zit één vraag: is een IP-adres een persoonsgegeven? Van het antwoord hangt af of de AVG (in het Duits DSGVO) wel van toepassing is. Het korte antwoord luidt: vaak wel, maar niet altijd en niet voor iedereen. Het langere antwoord heeft te maken met middelen voor identificatie.

Het artikel geeft een nuchtere indeling. Het is geen juridisch advies. Bij de nieuwere rechtspraak loont een blik in het origineel.

Statische en dynamische adressen

Een statisch IP-adres hoort permanent bij dezelfde aansluiting. Een dynamisch adres wordt bij elke inbelling opnieuw toegewezen, maar een internetaanbieder kan later zeggen bij welke klant het op een bepaald tijdstip hoorde.

Voor de juridische beoordeling komt het minder aan op de soort adres dan op de vraag: wie zou met redelijke inspanning kunnen achterhalen wie erachter zit?

Het Breyer-arrest en de middelen voor identificatie

Het Hof van Justitie van de Europese Unie heeft op 19 oktober 2016 in zaak C-582/14 (Breyer) beslist dat ook een dynamisch IP-adres voor de exploitant van een website een persoonsgegeven kan zijn. Voorwaarde: hij beschikt over wettelijke middelen om de betrokken persoon met behulp van derden, bijvoorbeeld de internetaanbieder, te laten bepalen.

Het arrest werd nog gewezen onder de oude gegevensbeschermingsrichtlijn. Het geldt echter ook als referentiepunt voor de AVG, waarvan overweging 26 dezelfde gedachte draagt: het komt aan op alle middelen waarvan redelijkerwijs valt te verwachten dat ze worden gebruikt om de persoon te identificeren.

Relatieve benadering vanuit het perspectief van de ontvanger

Of een gegeven persoonsgebonden is, wordt dus niet abstract beslist, maar vanuit het perspectief van wie het in handen heeft. Deze relatieve benadering heeft het Hof recent verder uitgewerkt, laatstelijk in zaak C-413/23 P (Europese toezichthouder voor gegevensbescherming tegen Gemeenschappelijke Afwikkelingsraad) bij arrest van 4 september 2025. Daar ging het om gepseudonimiseerde gegevens. Het Hof heeft het begrip persoonsgegevens ruim uitgelegd en daarbij ook het perspectief van de ontvanger meegewogen.

Voor u betekent dat: dat een gegeven bij een ander gemakkelijk aan een persoon is toe te wijzen, maakt het niet automatisch voor iedereen tot een persoonsgegeven. De vraag laat zich echter ook niet algemeen met „onschuldig“ beantwoorden. Controleer zelf het zaaknummer en de stand van de verdere rechtspraak voordat u dit arrest in een standpunt gebruikt, want hier is veel in beweging.

Hoe de IP-vraag past in de volledige toetsing van bezoekersherkenning, laat Bezoekersherkenning en AVG: een nuchtere duiding zien.

Bedrijfsadres tegenover medewerker

Bij bezoekersherkenning komt een bijzonderheid: het adres hoort vaak niet bij een particulier huishouden, maar bij een bedrijf. Gegevens over rechtspersonen beschermt de AVG niet. Maar achter de bedrijfsaansluiting zit een mens die op dat moment uw pagina leest.

Daarom is de bedrijfsaansluiting niet automatisch vrij van personen. Een verbinding vanaf het kantoor van een bedrijf met twee medewerkers is gemakkelijker aan een persoon toe te wijzen dan een verbinding uit een concern met 5.000 computers achter hetzelfde adres. Hoe kleiner het bedrijf, hoe dichter de toewijzing bij één enkele persoon komt. Serieuze hulpmiddelen gaan daarom alleen tot het niveau van de organisatie en zien ervan af personen te benoemen.

Verwerken is niet opslaan

Belangrijk is het onderscheid tussen verwerken en opslaan. Ook het kortstondig gebruiken van een IP-adres voor een opvraag is een verwerking in de zin van de AVG, voor zover het adres een persoonsgegeven is. Dan is een rechtsgrond nodig. Maar de ingrijpendheid is een andere als het adres na de opvraag niet wordt bewaard.

Welke rechtsgrond daarbij past, verduidelijkt Toestemming of gerechtvaardigd belang: zo beslist u.

Typische plekken waar een adres toch blijft hangen:

• Logbestanden van de server, wanneer toegangen samen met het adres worden meegeschreven.
• Controlewaarden en remmen (bescherming tegen misbruik). Hier kunt u voorkomen door alleen een hash in het werkgeheugen te hebben en niet het adres zelf.
• Doorgifte aan registers: wie de houder van een netwerk opzoekt, stuurt het adres naar een register. Voor adressen buiten Europa sturen Europese registers opvragen door naar de registers van andere werelddelen. Dan belandt de opvraag bij instanties buiten de EU. Dat raakt de vraag of er sprake is van doorgifte aan een derde land. Het hoort in de documentatie.

Welke stations een adres bij bedrijfsherkenning doorloopt, laat Hoe werkt bedrijfsherkenning? Techniek in 6 stappen zien.

Whovisit is een voorbeeld van een hulpmiddel dat het adres alleen voor de opvraag bij het netwerkregister gebruikt en daarna weggooit. In het werkgeheugen blijft een controlewaarde uit een hash met serversleutel. Dat is een beschrijving van de techniek en geen belofte dat daarmee elke juridische vraag is beantwoord.

Wat daarbij hoe lang wordt opgeslagen, staat in de hulp onder Bewaring en verwijdering.

Checklist gegevensminimalisatie: vragen aan elk hulpmiddel

1. Wordt het IP-adres opgeslagen, in de database of in logbestanden?
2. Zo nee: waar precies wordt het weggegooid? Hoe lang staat het in het werkgeheugen?
3. Zijn er controlewaarden of remmen? Zijn ze gehasht?
4. Waarheen wordt het adres gestuurd voor omzetting (register, DNS, aanbieder van bedrijfsgegevens)?
5. Zijn die ontvangers in de EU gevestigd, of gelden regels voor derde landen?
6. Hoe is dit beschreven in de privacyverklaring en in de verwerkersovereenkomst?
7. Wordt de herkenning beperkt tot bedrijven, of worden ook individuele personen benoemd?

Bronnen

• HvJ-EU, arrest van 19 oktober 2016, Breyer, C-582/14
• HvJ-EU, arrest van 4 september 2025, EDPS tegen SRB, C-413/23 P
• AVG, art. 4 lid 1 en overweging 26