# Adresa IP și GDPR: este dată cu caracter personal?

> Este adresa IP o dată cu caracter personal? Hotărârea Breyer, mijloacele de identificare și ce înseamnă asta pentru instrumentele de recunoaștere a vizitatorilor.

Quelle: https://whovisit.app/ro/blog/adresa-ip-date-cu-caracter-personal-gdpr
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

În spatele aproape oricărei dezbateri despre recunoașterea vizitatorilor se află o întrebare: este adresa IP o dată cu caracter personal? De răspuns depinde dacă GDPR se aplică în general. Răspunsul scurt este: adesea da, dar nu întotdeauna și nu pentru oricine. Răspunsul mai lung are legătură cu mijloacele de identificare.

Articolul face o încadrare sobră. Nu este consultanță juridică. La jurisprudența mai recentă merită să priviți originalul.

## Adrese statice și dinamice

O adresă IP **statică** aparține permanent aceleiași conexiuni. O adresă **dinamică** se atribuie din nou la fiecare conectare, dar un furnizor de internet poate spune ulterior cărui client i-a aparținut la un anumit moment.

Pentru evaluarea juridică contează mai puțin tipul adresei decât întrebarea: cine ar putea afla, cu un efort rezonabil, cine se află în spate?

## Hotărârea Breyer și mijloacele de identificare

Curtea de Justiție a Uniunii Europene a decis la 19 octombrie 2016, în cauza C-582/14 (Breyer), că și o adresă IP dinamică poate fi o dată cu caracter personal pentru operatorul unui site. Condiția: acesta dispune de mijloace legale care îi permit să determine persoana vizată cu ajutorul unor terți, de exemplu al furnizorului de internet.

Hotărârea a fost pronunțată încă în privința vechii directive privind protecția datelor. Este totuși considerată un punct de referință și pentru GDPR, al cărui considerent 26 poartă aceeași idee: contează toate mijloacele care, în mod rezonabil, ar putea fi folosite pentru a identifica persoana.

## Abordarea relativă din perspectiva destinatarului

Dacă o informație este dată cu caracter personal nu se decide deci abstract, ci din perspectiva celui care o deține. Această abordare relativă a fost dezvoltată de CJUE mai recent, ultima dată în cauza C-413/23 P (Autoritatea Europeană pentru Protecția Datelor împotriva Consiliului unic de rezoluție) prin hotărârea din 4 septembrie 2025. Acolo era vorba de date pseudonimizate. Curtea a interpretat larg noțiunea de date cu caracter personal și a luat în considerare și perspectiva destinatarului.

Pentru dumneavoastră asta înseamnă: faptul că o informație poate fi ușor atribuită unei persoane de către altcineva nu o face automat, pentru oricine, o dată personală. Întrebarea nu poate fi însă nici lămurită generic cu „inofensiv”. Înainte de a folosi această hotărâre într-un punct de vedere, verificați singuri numărul dosarului și stadiul jurisprudenței ulterioare, pentru că aici multe sunt în mișcare.

Cum se încadrează întrebarea despre IP în verificarea de ansamblu a recunoașterii vizitatorilor arată [Recunoașterea vizitatorilor și GDPR: o încadrare lucidă](https://whovisit.app/blog/besuchererkennung-dsgvo).

## Adresa firmei față de angajat

La recunoașterea vizitatorilor apare o particularitate: adresa nu aparține adesea unei gospodării private, ci unei firme. Datele despre persoane juridice nu sunt protejate de GDPR. Dar în spatele conexiunii firmei stă un om care citește chiar acum pagina dumneavoastră.

De aceea conexiunea firmei nu este automat lipsită de legătură cu persoane. O conexiune din biroul unei firme cu doi angajați este mai ușor de atribuit unei persoane decât una dintr-un grup cu 5.000 de calculatoare în spatele aceleiași adrese. Cu cât firma este mai mică, cu atât atribuirea se apropie de o persoană individuală. Instrumentele serioase merg de aceea doar până la nivelul organizației și renunță să numească persoane.

## Prelucrarea nu este stocare

Important este distincția dintre prelucrare și stocare. Și folosirea scurtă a unei adrese IP pentru o interogare este o prelucrare în sensul GDPR, în măsura în care adresa este dată cu caracter personal. Atunci este nevoie de un temei juridic. Dar profunzimea intruziunii este alta dacă adresa nu este păstrată după interogare.

Ce temei juridic se potrivește clarifică [Consimțământ sau interes legitim: cum decideți](https://whovisit.app/blog/einwilligung-oder-berechtigtes-interesse).

Locuri tipice în care o adresă tot rămâne agățată:

- **Jurnalele serverului**, dacă accesările sunt înregistrate împreună cu adresa.
- **Valori de verificare și frâne** (protecție împotriva abuzului). Aici se poate preveni dacă în memoria de lucru se află doar un hash și nu adresa însăși.
- **Transmiterea către directoare**: cine caută deținătorul unei rețele trimite adresa către un registru. Pentru adresele din afara Europei, registrele europene redirecționează interogările către registrele altor regiuni ale lumii. Atunci interogarea ajunge la entități din afara UE. Aceasta privește întrebarea dacă există un transfer către o țară terță. Își are locul în documentație.

Ce etape parcurge o adresă la recunoașterea firmelor arată [Cum funcționează recunoașterea firmelor? Tehnica în 6 pași](https://whovisit.app/blog/firmenerkennung-website-technik).

Whovisit este un exemplu de instrument care folosește adresa doar pentru interogarea la registrul de rețea și apoi o elimină. În memoria de lucru rămâne o valoare de verificare dintr-un hash cu un secret al serverului. Aceasta este o descriere a tehnicii și nu o promisiune că astfel ar fi răspuns la orice întrebare juridică.

Ce se stochează și cât timp se află în ajutor la [Păstrare și ștergere](https://whovisit.app/hilfe/datenschutz-und-aufbewahrung).

## Listă de verificare pentru economia de date: întrebări pentru fiecare instrument

1. Se stochează adresa IP, în baza de date sau în jurnale?
2. Dacă nu: unde anume se elimină? Cât timp rămâne în memoria de lucru?
3. Există valori de verificare sau frâne? Sunt hash-uite?
4. Unde este trimisă adresa pentru rezolvare (registru, DNS, furnizor de date despre firme)?
5. Se află acești destinatari în UE sau se aplică regulile pentru țări terțe?
6. Cum este descris acest lucru în politica de confidențialitate și în contractul de prelucrare a datelor?
7. Este recunoașterea limitată la firme sau sunt numite și persoane individuale?

## Surse

- [CJUE, hotărârea din 19 octombrie 2016, Breyer, C-582/14](https://curia.europa.eu/juris/liste.jsf?num=C-582/14)
- [CJUE, hotărârea din 4 septembrie 2025, AEPD împotriva CUR, C-413/23 P](https://curia.europa.eu/juris/liste.jsf?num=C-413/23)
- [GDPR](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679), art. 4 pct. 1 și considerentul 26