IP-naslov in GDPR: ali je osebni podatek?

Za skoraj vsako razpravo o prepoznavanju obiskovalcev se skriva eno vprašanje: Ali je IP-naslov osebni podatek? Od odgovora je odvisno, ali se GDPR sploh uporablja. Kratek odgovor se glasi: pogosto da, vendar ne vedno in ne za vsakogar. Daljši odgovor je povezan s sredstvi za identifikacijo.

Članek stvarno razvršča vprašanje. Ni pravno svetovanje. Pri novejši sodni praksi se splača pogledati izvirnik.

Statični in dinamični naslovi

Statični IP-naslov trajno pripada istemu priključku. Dinamični naslov se ob vsaki vzpostavitvi povezave dodeli na novo, internetni ponudnik pa lahko pozneje pove, kateri stranki je ob določenem času pripadal.

Za pravno oceno ni toliko pomembna vrsta naslova kot vprašanje: Kdo bi z razumnim naporom lahko izvedel, kdo se skriva za njim?

Sodba Breyer in sredstva za identifikacijo

Sodišče Evropske unije je 19. oktobra 2016 v zadevi C-582/14 (Breyer) razsodilo, da je lahko tudi dinamični IP-naslov za upravljavca spletne strani osebni podatek. Pogoj: razpolaga s pravnimi sredstvi, ki mu omogočajo, da z Dragim, na primer internetnim ponudnikom, dá določiti prizadeto osebo.

Sodba je bila izdana še po stari direktivi o varstvu podatkov. Vendar velja za izhodišče tudi za GDPR, katerega uvodna izjava 26 nosi isto misel: pomembna so vsa sredstva, ki jih bo po splošni presoji verjetno uporabil kdo za identifikacijo osebe.

Relativni pristop z vidika prejemnika

Ali je informacija osebna, se torej ne odloča abstraktno, ampak z vidika tistega, ki jo ima v rokah. Ta relativni pristop je Sodišče EU v novejšem času dalje razvilo, nazadnje v zadevi C-413/23 P (Evropski nadzornik za varstvo podatkov proti Enotnemu odboru za reševanje) s sodbo z dne 4. septembra 2025. Šlo je za psevdonimizirane podatke. Sodišče je pojem osebnih podatkov razlagalo široko in pri tem upoštevalo tudi stališče prejemnika.

Za vas to pomeni: Če je informacija pri nekom drugem lahko dodeljiva osebi, to še ne pomeni samodejno, da je za vsakogar osebni podatek. Vprašanja pa tudi ni mogoče splošno zavrniti z „neškodljivo“. Preden to sodbo uporabite v izjavi, sami preverite opravilno številko in stanje nadaljnje sodne prakse, saj je tu marsikaj v gibanju.

Kako vprašanje IP-naslova sodi v celotno presojo prepoznavanja obiskovalcev, kaže članek Prepoznavanje obiskovalcev in GDPR: trezna umestitev.

Naslov podjetja proti zaposlenemu

Pri prepoznavanju obiskovalcev je še ena posebnost: Naslov pogosto ne pripada zasebnemu gospodinjstvu, ampak podjetju. Podatkov o pravnih osebah GDPR ne varuje. Za priključkom podjetja pa sedi človek, ki prav zdaj bere vašo stran.

Zato priključek podjetja ni samodejno brez osebnega razmerja. Povezavo iz pisarne podjetja z dvema zaposlenima je lažje pripisati osebi kot tisto iz koncerna s 5.000 računalniki za istim naslovom. Čim manjše je podjetje, tem bolj se dodelitev približa posamezni osebi. Resna orodja zato gredo samo do ravni organizacije in oseb ne poimenujejo.

Obdelava ni shranjevanje

Pomembno je razlikovanje med obdelavo in shranjevanjem. Tudi kratka uporaba IP-naslova za poizvedbo je obdelava v smislu GDPR, če je naslov osebni podatek. Potem je potrebna pravna podlaga. Toda globina posega je drugačna, če se naslov po poizvedbi ne hrani.

Katera pravna podlaga je primerna, pojasnjuje članek Privolitev ali zakoniti interes: kako se odločite.

Tipična mesta, kjer naslov vseeno obvisi:

• Dnevniki strežnika, če se dostopi beležijo skupaj z naslovom.
• Kontrolne vrednosti in zavore (zaščita pred zlorabo). Tu lahko preprečite, če je v delovnem pomnilniku samo zgostitvena vrednost (hash) in ne sam naslov.
• Posredovanje imenikom: Kdor išče lastnika omrežja, pošlje naslov registru. Za naslove zunaj Evrope evropski registri poizvedbe posredujejo registrom drugih svetovnih regij. Poizvedba potem pristane pri organih zunaj EU. To zadeva vprašanje, ali gre za prenos v tretjo državo. Sodi v dokumentacijo.

Katere postaje naslov prehodi pri prepoznavanju podjetij, kaže članek Kako deluje prepoznavanje podjetij? Tehnika v 6 korakih.

Whovisit je primer orodja, ki naslov uporabi samo za poizvedbo v omrežnem registru in ga nato zavrže. V delovnem pomnilniku ostane kontrolna vrednost iz zgostitve s skrivnostjo strežnika. To je opis tehnike in ne obljuba, da je s tem odgovorjeno na vsako pravno vprašanje.

Kaj se pri tem shrani in kako dolgo, piše v pomoči pod Hramba in brisanje.

Kontrolni seznam varčevanja s podatki: vprašanja za vsako orodje

1. Ali se IP-naslov shranjuje, v zbirki podatkov ali v dnevnikih?
2. Če ne: Kje točno se zavrže? Kako dolgo je v delovnem pomnilniku?
3. Ali obstajajo kontrolne vrednosti ali zavore? So zgoščene?
4. Kam se naslov pošlje v razrešitev (register, DNS, ponudnik podatkov o podjetjih)?
5. Ali so ti prejemniki v EU ali veljajo pravila za tretje države?
6. Kako je to opisano v izjavi o varstvu podatkov in v pogodbi o obdelavi podatkov?
7. Ali je prepoznavanje omejeno na podjetja ali se poimenujejo tudi posamezniki?

Viri

• SEU, sodba z dne 19. oktobra 2016, Breyer, C-582/14
• SEU, sodba z dne 4. septembra 2025, EDPS proti SRB, C-413/23 P
• GDPR, člen 4, točka 1 in uvodna izjava 26