Er en IP-adresse persondata? Få det klare svar
En IP-adresse er persondata, når den kan knyttes til en identificerbar person direkte eller indirekte. Det gælder ofte også dynamiske IP-adresser, fordi internetudbyderen kan koble dem til en abonnent på et bestemt tidspunkt.
Hvorfor kan en IP-adresse være persondata?
En IP-adresse er en række tal eller tegn, der identificerer en internetforbindelse på et bestemt tidspunkt. Adressen fortæller ikke nødvendigvis direkte, hvem der bruger forbindelsen, men den kan indgå sammen med andre oplysninger.
En virksomhed kan for eksempel kombinere en IP-adresse med en brugerkonto, en e-mailadresse, en cookie eller en logfil. Hvis kombinationen gør det muligt at identificere en fysisk person, er IP-adressen en personoplysning efter databeskyttelsesreglerne.
Dynamisk og statisk IP-adresse
En dynamisk IP-adresse skifter typisk over tid. Den kan stadig være persondata, hvis internetudbyderen har historik over, hvilken kunde der havde adressen på et bestemt tidspunkt.
En statisk IP-adresse ændrer sig normalt ikke. Den kan derfor være lettere at forbinde med en bestemt kunde, virksomhed eller husstand, men vurderingen afhænger stadig af den konkrete behandling og de øvrige oplysninger.
| Type IP-adresse | Kan være persondata? | Hvorfor? |
|---|---|---|
| Dynamisk offentlig IP | Ja, ofte | Kan kobles til en abonnent via tids- og forbindelseslogge |
| Statisk offentlig IP | Ja, ofte | Er normalt knyttet til den samme kunde eller forbindelse |
| Privat lokal IP | Ikke nødvendigvis | Identificerer typisk en enhed i et lokalt netværk og ikke en person alene |
| IP fra delt netværk | Det afhænger af situationen | Flere personer kan bruge den samme offentlige adresse |
Hvornår gælder GDPR for IP-adresser?
GDPR gælder, når en virksomhed, forening eller offentlig organisation behandler en IP-adresse på en måde, hvor den kan henføres til en identificerbar person. Behandling kan blandt andet være indsamling, registrering, opbevaring, analyse eller videregivelse.
En hjemmeside kan for eksempel gemme IP-adresser i serverlogge for at opdage angreb eller fejl. En analyse- eller sikkerhedstjeneste kan også modtage adressen, når en besøgende åbner siden.
Den dataansvarlige skal normalt have et lovligt grundlag for behandlingen og informere brugerne om, hvad oplysningerne bruges til. Organisationen bør også begrænse opbevaringen til det tidsrum, der er nødvendigt for formålet.
Hvad betyder det for dig som internetbruger?
Din IP-adresse afslører som regel ikke præcis, hvor du bor. Den kan dog ofte pege på et geografisk område og en internetudbyder. Geolokationen er typisk upræcis og kan i nogle tilfælde vise en central placering i stedet for din faktiske adresse.
En IP-adresse viser heller ikke automatisk, hvilken person der sad ved en computer eller telefon. Den kan være delt af en hel husstand, en arbejdsplads, et offentligt netværk eller mange mobilbrugere.
- En IP-adresse er ikke det samme som et navn eller en e-mailadresse.
- Flere personer kan dele den samme offentlige IP-adresse.
- Internetudbyderen kan ofte knytte en IP-adresse til en abonnent på et bestemt tidspunkt.
- Virksomheder skal behandle IP-adresser efter reglerne, når de kan identificere personer.
Sådan behandles IP-adresser ansvarligt
Virksomheder behøver ikke altid slette IP-adresser med det samme. De skal dog kunne forklare, hvorfor oplysningerne gemmes, hvor længe de opbevares, og hvem der har adgang til dem.
Hvis formålet kun er fejlfinding eller beskyttelse mod angreb, kan en kort opbevaringsperiode i nogle tilfælde være tilstrækkelig. Behandlingen skal være proportional, og adgangen bør begrænses til relevante medarbejdere eller systemer.
- Fastlæg, hvorfor IP-adressen indsamles.
- Vurder, om adressen kan forbindes med en identificerbar person.
- Oplys brugerne om behandlingen i privatlivspolitikken.
- Begræns adgangen og slet eller anonymisér oplysningerne, når de ikke længere er nødvendige.
Ofte stillede spørgsmål
Er en dynamisk IP-adresse også persondata?
Ja, en dynamisk IP-adresse kan være persondata. Det gælder især, hvis internetudbyderen eller en anden aktør kan bruge tidspunktet og forbindelsesloggen til at finde den relevante abonnent.
Kan man se mit navn ud fra min IP-adresse?
Normalt kan andre ikke se dit navn alene ved at kende din IP-adresse. Internetudbyderen kan dog ofte knytte adressen til en abonnent, og andre oplysninger kan gøre en person identificerbar.
Er en IP-adresse en følsom personoplysning?
En IP-adresse er normalt en almindelig personoplysning og ikke en følsom personoplysning i GDPR's særlige kategori. Den kan dog indgå i behandlinger, der indirekte afslører følsomme forhold, og skal derfor stadig beskyttes forsvarligt.
Er en lokal IP-adresse persondata?
En lokal IP-adresse, som for eksempel identificerer en enhed på hjemmets netværk, er ikke nødvendigvis persondata alene. Vurderingen afhænger af, om adressen kan forbindes med en bestemt person gennem andre oplysninger.