Adres IP a RODO: czy jest daną osobową?

Za prawie każdą debatą o rozpoznawaniu odwiedzających kryje się jedno pytanie: czy adres IP jest daną osobową? Od odpowiedzi zależy, czy RODO w ogóle ma zastosowanie. Krótka odpowiedź brzmi: często tak, ale nie zawsze i nie dla każdego. Dłuższa odpowiedź dotyczy środków identyfikacji.

Artykuł dokonuje rzeczowej oceny. Nie jest poradą prawną. W przypadku nowszego orzecznictwa warto zajrzeć do oryginału.

Adresy statyczne i dynamiczne

Statyczny adres IP należy na stałe do tego samego łącza. Dynamiczny adres jest nadawany na nowo przy każdym połączeniu, ale dostawca internetu może później powiedzieć, do którego klienta należał w danym momencie.

Dla oceny prawnej mniej liczy się rodzaj adresu, a bardziej pytanie: kto mógłby przy rozsądnym nakładzie ustalić, kto za nim stoi?

Wyrok Breyer i środki identyfikacji

Trybunał Sprawiedliwości Unii Europejskiej orzekł 19 października 2016 r. w sprawie C-582/14 (Breyer), że także dynamiczny adres IP może być dla operatora strony internetowej daną osobową. Warunek: dysponuje on prawnymi środkami, które pozwalają mu z pomocą osób trzecich, np. dostawcy internetu, ustalić osobę, której dane dotyczą.

Wyrok zapadł jeszcze na gruncie dawnej dyrektywy o ochronie danych. Uchodzi jednak za punkt odniesienia także dla RODO, którego motyw 26 zawiera tę samą myśl: liczą się wszystkie środki, które według ogólnej oceny prawdopodobnie zostaną wykorzystane do zidentyfikowania osoby.

Ujęcie względne z perspektywy odbiorcy

To, czy informacja jest daną osobową, nie jest więc rozstrzygane abstrakcyjnie, lecz z perspektywy tego, kto ją ma w ręku. To ujęcie względne TSUE rozwinął w ostatnim czasie, ostatnio w sprawie C-413/23 P (Europejski Inspektor Ochrony Danych przeciwko Jednolitej Radzie ds. Restrukturyzacji i Uporządkowanej Likwidacji) wyrokiem z 4 września 2025 r. Dotyczyła ona danych spseudonimizowanych. Trybunał zinterpretował pojęcie danych osobowych szeroko, uwzględniając przy tym także perspektywę odbiorcy.

Dla Państwa oznacza to: to, że informację łatwo przypisać osobie u kogoś innego, nie czyni jej automatycznie daną osobową dla każdego. Pytania nie da się jednak także zbyć ogólnikiem „bez zastrzeżeń”. Przed powołaniem się na ten wyrok w stanowisku należy samodzielnie sprawdzić sygnaturę i stan dalszego orzecznictwa, ponieważ wiele jest tu w ruchu.

Jak pytanie o IP wpisuje się w całościową ocenę rozpoznawania odwiedzających, pokazuje artykuł Rozpoznawanie odwiedzających a RODO: rzeczowa ocena.

Adres firmy a pracownik

Przy rozpoznawaniu odwiedzających pojawia się szczególna okoliczność: adres często należy nie do gospodarstwa domowego, lecz do firmy. Dane o osobach prawnych RODO nie chroni. Ale za łączem firmy siedzi człowiek, który właśnie czyta Państwa stronę.

Dlatego łącze firmowe nie jest automatycznie wolne od danych osobowych. Połączenie z biura firmy z dwoma zatrudnionymi łatwiej przypisać osobie niż połączenie z koncernu z 5000 komputerów za tym samym adresem. Im mniejsza firma, tym bliżej przypisanie do pojedynczej osoby. Rzetelne narzędzia dochodzą więc tylko do poziomu organizacji i rezygnują z wskazywania osób.

Przetwarzanie to nie przechowywanie

Ważne jest rozróżnienie między przetwarzaniem a przechowywaniem. Także krótkie wykorzystanie adresu IP do zapytania jest przetwarzaniem w rozumieniu RODO, o ile adres jest daną osobową. Wtedy potrzebna jest podstawa prawna. Ale głębokość ingerencji jest inna, jeśli adres nie jest przechowywany po zapytaniu.

Jaka podstawa prawna tu pasuje, wyjaśnia artykuł Zgoda czy uzasadniony interes: jak zdecydować.

Typowe miejsca, w których adres mimo to zostaje:

• Dzienniki serwera, jeśli dostępy są zapisywane wraz z adresem.
• Wartości kontrolne i ograniczniki (ochrona przed nadużyciami). Można temu zapobiec, trzymając w pamięci roboczej tylko hash, a nie sam adres.
• Przekazanie do katalogów: kto sprawdza właściciela sieci, wysyła adres do rejestru. W przypadku adresów spoza Europy rejestry europejskie przekierowują zapytania do rejestrów innych regionów świata. Wtedy zapytanie trafia do podmiotów spoza UE. Dotyczy to pytania, czy występuje transfer do państwa trzeciego. Należy to do dokumentacji.

Jakie stacje przechodzi adres przy rozpoznawaniu firm, pokazuje artykuł Jak działa rozpoznawanie firm? Technika w 6 krokach.

Whovisit jest przykładem narzędzia, które używa adresu tylko do zapytania w rejestrze sieci, a potem go odrzuca. W pamięci roboczej zostaje wartość kontrolna z hasha z sekretem serwera. Jest to opis techniki, a nie obietnica, że odpowiada na każde pytanie prawne.

Co jest przechowywane i jak długo, opisuje pomoc w części Przechowywanie i usuwanie.

Lista kontrolna oszczędności danych: pytania do każdego narzędzia

1. Czy adres IP jest przechowywany, w bazie danych lub w dziennikach?
2. Jeśli nie: gdzie dokładnie jest odrzucany? Jak długo leży w pamięci roboczej?
3. Czy są wartości kontrolne lub ograniczniki? Czy są zahaszowane?
4. Dokąd adres jest wysyłany do rozwiązania (rejestr, DNS, dostawca danych o firmach)?
5. Czy ci odbiorcy znajdują się w UE, czy obowiązują zasady dla państw trzecich?
6. Jak jest to opisane w polityce prywatności i w umowie powierzenia przetwarzania?
7. Czy rozpoznawanie jest ograniczone do firm, czy wskazuje się także osoby fizyczne?

Źródła

• TSUE, wyrok z 19 października 2016 r., Breyer, C-582/14
• TSUE, wyrok z 4 września 2025 r., EIOD przeciwko SRB, C-413/23 P
• RODO, art. 4 pkt 1 i motyw 26