Právo · 7. novembra 2026 · 4 min čítania
IP adresa a GDPR: je osobným údajom?
Je IP adresa osobným údajom? Rozsudok Breyer, prostriedky na identifikáciu a čo to znamená pre nástroje na rozpoznávanie návštevníkov.
Za takmer každou diskusiou o rozpoznávaní návštevníkov sa skrýva jedna otázka: Je IP adresa osobným údajom? Od odpovede závisí, či sa GDPR vôbec uplatní. Stručná odpoveď znie: často áno, ale nie vždy a nie pre každého. Dlhšia odpoveď súvisí s prostriedkami na identifikáciu.
Článok uvádza vecné zaradenie. Nie je právnym poradenstvom. Pri novšej judikatúre sa oplatí pozrieť do originálu.
Statické a dynamické adresy
Statická IP adresa patrí trvalo tomu istému pripojeniu. Dynamická adresa sa pri každom pripojení pridelí nanovo, poskytovateľ internetu však môže neskôr povedať, ktorému zákazníkovi v určitom čase patrila.
Pri právnom posúdení záleží menej na druhu adresy než na otázke: Kto by mohol s primeraným úsilím zistiť, kto za ňou stojí?
Rozsudok Breyer a prostriedky na identifikáciu
Súdny dvor Európskej únie rozhodol 19. októbra 2016 vo veci C-582/14 (Breyer), že aj dynamická IP adresa môže byť pre prevádzkovateľa webu osobným údajom. Podmienka: Disponuje právnymi prostriedkami, ktoré mu umožňujú dať dotknutú osobu určiť pomocou tretích strán, napríklad poskytovateľa internetu.
Rozsudok vznikol ešte k starej smernici o ochrane údajov. Považuje sa však za referenčný bod aj pre GDPR, ktorého odôvodnenie 26 nesie rovnakú myšlienku: Záleží na všetkých prostriedkoch, ktoré sa podľa všeobecného uváženia pravdepodobne použijú na identifikáciu osoby.
Relatívny pohľad z hľadiska príjemcu
O tom, či je informácia osobným údajom, sa teda nerozhoduje abstraktne, ale z pohľadu toho, kto ju má v rukách. Tento relatívny pohľad Súdny dvor v poslednom čase ďalej rozvinul, naposledy vo veci C-413/23 P (Európsky dozorný úradník proti Jednotnej rade pre riešenie krízových situácií) rozsudkom zo 4. septembra 2025. Išlo tam o pseudonymizované údaje. Súd vykladal pojem osobných údajov široko a zohľadnil aj perspektívu príjemcu.
Pre vás to znamená: To, že informáciu možno u niekoho iného ľahko priradiť k osobe, z nej automaticky nerobí osobný údaj pre každého. Otázku však nemožno paušálne zodpovedať ani slovom „bezpečné“. Pred použitím tohto rozsudku vo vyjadrení si spisovú značku a stav ďalšej judikatúry overte sami, pretože tu je mnoho v pohybe.
Ako zapadá otázka IP adresy do celkového posúdenia rozpoznávania návštevníkov, ukazuje Rozpoznávanie návštevníkov a GDPR: vecné zaradenie.
Firemná adresa verzus zamestnanec
Pri rozpoznávaní návštevníkov pristupuje jedna zvláštnosť: Adresa často nepatrí súkromnej domácnosti, ale firme. Údaje o právnických osobách GDPR nechráni. Za firemným pripojením však sedí človek, ktorý práve číta vašu stránku.
Preto firemné pripojenie nie je automaticky bez osobného vzťahu. Spojenie z kancelárie firmy s dvoma zamestnancami sa dá ľahšie priradiť k osobe než spojenie z koncernu s 5 000 počítačmi za tou istou adresou. Čím menšia firma, tým bližšie k jednotlivej osobe sa priradenie dostáva. Seriózne nástroje preto idú len po úroveň organizácie a upúšťajú od pomenovania osôb.
Spracúvanie nie je ukladanie
Dôležité je rozlišovanie medzi spracúvaním a ukladaním. Aj krátke použitie IP adresy na dopyt je spracúvaním v zmysle GDPR, pokiaľ je adresa osobným údajom. Potom je potrebný právny základ. Hĺbka zásahu je však iná, ak sa adresa po dopyte neuchováva.
Aký právny základ sa na to hodí, objasňuje Súhlas alebo oprávnený záujem: ako sa rozhodnúť.
Typické miesta, kde adresa napriek tomu zostane:
- Protokoly servera, ak sa prístupy zapisujú aj s adresou.
- Kontrolné hodnoty a brzdy (ochrana pred zneužitím). Tu sa dá predísť tak, že v pracovnej pamäti leží len hash a nie samotná adresa.
- Odovzdanie do adresárov: Kto vyhľadáva majiteľa siete, posiela adresu do registra. Pri adresách mimo Európy európske registre prepošlú dotazy registrom iných svetových regiónov. Dotaz tak skončí na miestach mimo EÚ. Týka sa to otázky, či ide o prenos do tretej krajiny. Patrí to do dokumentácie.
Aké stanice adresa pri rozpoznávaní firiem prechádza, ukazuje Ako funguje rozpoznávanie firiem? Technika v 6 krokoch.
Whovisit je príkladom nástroja, ktorý adresu použije iba na dopyt v sieťovom registri a potom ju zahodí. V pracovnej pamäti zostáva kontrolná hodnota z hashu so serverovým tajomstvom. Je to opis techniky a nie sľub, že tým je zodpovedaná každá právna otázka.
Čo sa tu ako dlho ukladá, je v pomocníkovi v časti Uchovávanie a vymazanie.
Kontrolný zoznam šetrnosti k údajom: otázky pre každý nástroj
- Ukladá sa IP adresa, v databáze alebo v protokoloch?
- Ak nie: Kde presne sa zahodí? Ako dlho leží v pracovnej pamäti?
- Existujú kontrolné hodnoty alebo brzdy? Sú hashované?
- Kam sa adresa posiela na vyriešenie (register, DNS, poskytovateľ firemných údajov)?
- Sú títo príjemcovia v EÚ, alebo platia pravidlá pre tretie krajiny?
- Ako je to opísané vo vyhlásení o ochrane údajov a v zmluve o spracúvaní osobných údajov?
- Obmedzuje sa rozpoznávanie na firmy, alebo sa pomenúvajú aj jednotlivé osoby?
