# IP-adress och GDPR: är den en personuppgift?

> Är en IP-adress en personuppgift? Breyer-domen, medel för identifiering och vad det betyder för verktyg för besöksigenkänning.

Quelle: https://whovisit.app/sv/blog/ip-adress-personuppgift-gdpr
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

Bakom nästan varje debatt om besöksigenkänning finns en fråga: Är en IP-adress en personuppgift? Svaret avgör om GDPR över huvud taget gäller. Det korta svaret lyder: ofta ja, men inte alltid och inte för alla. Det längre svaret handlar om medel för identifiering.

Artikeln gör en nykter bedömning. Den är ingen juridisk rådgivning. För den nyare rättspraxisen lönar det sig att titta i originalet.

## Statiska och dynamiska adresser

En **statisk** IP-adress tillhör permanent samma anslutning. En **dynamisk** adress tilldelas på nytt vid varje uppkoppling, men en internetleverantör kan i efterhand säga vilken kund den tillhörde vid en viss tidpunkt.

För den rättsliga bedömningen spelar adressens art mindre roll än frågan: Vem skulle med rimlig ansträngning kunna ta reda på vem som finns bakom?

## Breyer-domen och medlen för identifiering

EU-domstolen avgjorde den 19 oktober 2016 i mål C-582/14 (Breyer) att även en dynamisk IP-adress kan vara en personuppgift för den som driver en webbplats. Förutsättning: Han förfogar över rättsliga medel som gör det möjligt för honom att med hjälp av tredje part, till exempel internetleverantören, få den berörda personen bestämd.

Domen föll ännu under det gamla dataskyddsdirektivet. Den gäller ändå som referenspunkt även för GDPR, vars skäl 26 bär samma tanke: Det avgörande är alla medel som enligt allmänt bedömande sannolikt används för att identifiera personen.

## Relativ bedömning ur mottagarens synvinkel

Huruvida en uppgift är en personuppgift avgörs alltså inte abstrakt, utan ur synvinkeln hos den som har den i handen. Den relativa bedömningen har EU-domstolen utvecklat vidare på senare tid, senast i mål C-413/23 P (Europeiska datatillsynsmannen mot Gemensamma resolutionsnämnden) med dom av den 4 september 2025. Där gällde det pseudonymiserade uppgifter. Domstolen har tolkat begreppet personuppgifter vitt och har då också tagit hänsyn till mottagarens perspektiv.

För dig betyder det: Att en uppgift hos någon annan lätt kan kopplas till en person gör den inte automatiskt till en personuppgift för alla. Frågan går dock inte heller att besvara generellt med "ofarlig". Kontrollera själv målnumret och läget i den vidare rättspraxisen innan du använder den här domen i ett yttrande, för här är mycket i rörelse.

Hur IP-frågan passar in i hela bedömningen av besöksigenkänning visar [Besöksigenkänning och GDPR: en nykter bedömning](https://whovisit.app/blog/besuchererkennung-dsgvo).

## Företagsadress mot anställd

Vid besöksigenkänning tillkommer en särskild omständighet: Adressen tillhör ofta inte ett privathushåll utan ett företag. Uppgifter om juridiska personer skyddas inte av GDPR. Men bakom företagsanslutningen sitter en människa som just läser din sida.

Därför är företagsanslutningen inte automatiskt fri från personer. En uppkoppling från kontoret hos ett företag med två anställda går lättare att koppla till en person än en från en koncern med 5 000 datorer bakom samma adress. Ju mindre företaget är, desto närmare kommer kopplingen en enskild person. Seriösa verktyg går därför bara ner till organisationsnivån och avstår från att namnge personer.

## Behandling är inte lagring

Viktigt är skillnaden mellan att behandla och att lagra. Även att kort använda en IP-adress för en sökning är en behandling enligt GDPR, i den mån adressen är en personuppgift. Då krävs en rättslig grund. Men ingreppets djup är ett annat om adressen inte sparas efter sökningen.

Vilken rättslig grund som passar klarar [Samtycke eller berättigat intresse: så avgör du](https://whovisit.app/blog/einwilligung-oder-berechtigtes-interesse) ut.

Typiska ställen där en adress ändå fastnar:

- **Serverns loggar**, när åtkomster skrivs ner tillsammans med adressen.
- **Kontrollvärden och bromsar** (skydd mot missbruk). Här kan man förebygga genom att bara en hash ligger i arbetsminnet och inte själva adressen.
- **Vidarebefordran till kataloger**: Den som slår upp innehavaren av ett nät skickar adressen till ett register. För adresser utanför Europa skickar de europeiska registren sökningar vidare till registren i andra världsdelar. Då hamnar sökningen hos instanser utanför EU. Det rör frågan om det föreligger en överföring till tredjeland. Det hör hemma i dokumentationen.

Vilka stationer en adress passerar vid företagsigenkänning visar [Hur fungerar företagsigenkänning? Tekniken i 6 steg](https://whovisit.app/blog/firmenerkennung-website-technik).

Whovisit är ett exempel på ett verktyg som bara använder adressen för sökningen i nätregistret och sedan kasserar den. I arbetsminnet finns kvar ett kontrollvärde som består av en hash med serverhemlighet. Det är en beskrivning av tekniken och inget löfte om att därmed varje rättslig fråga skulle vara besvarad.

Vad som lagras och hur länge står i hjälpen under [Lagring och radering](https://whovisit.app/hilfe/datenschutz-und-aufbewahrung).

## Checklista för dataminimering: frågor till varje verktyg

1. Lagras IP-adressen, i databasen eller i loggar?
2. Om inte: Var exakt kasseras den? Hur länge ligger den i arbetsminnet?
3. Finns det kontrollvärden eller bromsar? Är de hashade?
4. Vart skickas adressen för uppslagning (register, DNS, leverantör av företagsdata)?
5. Ligger de mottagarna i EU, eller gäller reglerna för tredjeland?
6. Hur beskrivs detta i integritetspolicyn och i personuppgiftsbiträdesavtalet?
7. Begränsas igenkänningen till företag, eller namnges också enskilda personer?

## Källor

- [EU-domstolen, dom av den 19 oktober 2016, Breyer, C-582/14](https://curia.europa.eu/juris/liste.jsf?num=C-582/14)
- [EU-domstolen, dom av den 4 september 2025, EDPS mot SRB, C-413/23 P](https://curia.europa.eu/juris/liste.jsf?num=C-413/23)
- [GDPR](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679), artikel 4.1 och skäl 26