En IP-adress kan vara en personuppgift även när den som läser adressen inte direkt ser ett namn. Bedömningen beror på om informationen rör en fysisk person som är identifierad eller kan identifieras med hjälp av rimligen tillgängliga medel. För webbplatser, kontotjänster och säkerhetsloggar behöver ni därför undersöka hela dataflödet: adress, tidpunkt, andra identifierare och mottagarens möjligheter att koppla ihop dem.
Det praktiska resultatet bör vara ett dokumenterat beslut för en viss behandling. ”IP-adresser är alltid anonyma” och ”varje IP-adress pekar ut en viss användare” är båda dåliga arbetsregler. Den första missar identifierbarhet, den andra kan leda till felaktiga slutsatser om vem som utfört en handling. Börja med definitionen av personuppgifter och konkreta exempel om ni behöver klassificera fler uppgiftstyper.
Varför en adress kan identifiera indirekt
Artikel 4.1 GDPR omfattar uppgifter som rör direkt eller indirekt identifierbara personer. Skäl 26 hänvisar till medel som rimligen kan komma att användas för identifiering, med hänsyn till objektiva faktorer som kostnad, tid och tillgänglig teknik. IMY anger elektroniska identiteter som IP-adresser och kakor som exempel när de kan kopplas till en fysisk person. IMY: personuppgifter.
I en inloggad tjänst kan kontots användar-ID redan finnas bredvid IP-adressen. Då är frågan inte begränsad till om internetoperatören kan hjälpa till. Den egna tjänsten kan ha den relevanta kopplingen. En loggrad från en besökare utan konto behöver däremot bedömas med hänsyn till andra uppgifter och möjliga identifieringsvägar.
En gemensam adress kan användas av flera personer i ett hushåll, på en arbetsplats eller bakom en annan nätverkslösning. Det gör inte automatiskt loggen anonym. Det betyder samtidigt att adressen ensam inte visar vilken fysisk person som gjorde något. Håll isär klassificeringen av uppgiften och bevisvärdet i en individuell utredning.
Vad Breyer-domen faktiskt avgjorde
I målet C-582/14, Breyer, prövade EU-domstolen dynamiska IP-adresser som registrerades vid besök på tyska myndigheters webbplatser. Domen från den 19 oktober 2016 avsåg det tidigare dataskyddsdirektivet. Domstolen bedömde att adressen var en personuppgift i förhållande till webbplatsoperatören om denne hade rättsliga medel att identifiera personen med kompletterande uppgifter hos internetoperatören. EU-domstolen: Breyer.
Domen ger inte varje webbplats en allmän direkt rätt att begära ut abonnentuppgifter. Den behandlar tillgång till rättsliga identifieringsvägar i det aktuella sammanhanget. Bedöm därför vilka vägar som faktiskt finns och är relevanta för den verksamhet ni analyserar. Dokumentera också kopplingar som inte kräver operatörsuppgifter, exempelvis egna konton eller sessionsidentifierare.
En dynamisk adress kan bytas över tid. Det tar inte bort möjligheten att en adress tillsammans med en exakt tidpunkt och annan information kan kopplas till en person. Omvänt är en fast adress inte i varje tänkbart sammanhang ett bevis på att just en viss individ använde anslutningen.
1. Rita det faktiska flödet innan ni väljer etikett
Beskriv var den fullständiga adressen först behandlas. Det kan vara hos en CDN-leverantör innan er applikation får förfrågan. Fortsätt sedan genom lastbalanserare, serverlogg, analysplattform och eventuellt säkerhetsverktyg. Notera om adressen sparas, vidarebefordras, kortas eller kopplas till andra uppgifter vid varje steg.
Skriv även upp vilka roller som kan göra kopplingar. Ett tekniskt team kan ha tillgång till loggen men inte till kundregistret, medan en annan behörig funktion kan sammanföra dem under vissa omständigheter. Att en enskild medarbetare saknar åtkomst är inte i sig ett anonymiseringsbeslut för hela organisationen.
Använd systemkartan som underlag och be leverantören svara för den tjänst och konfiguration ni faktiskt använder. Ett allmänt marknadsföringspåstående om ”anonym analys” säger inte vad som händer med adressen i den första nätverksförfrågan.
2. Pröva förkortning och pseudonymisering per mottagare
Förkortning av en IP-adress kan minska detaljnivån. Resultatet måste ändå bedömas tillsammans med andra identifierare, tidsstämplar och möjligheter att kombinera information. Om den fullständiga adressen först har skickats till en mottagare innebär en senare förkortning inte att den tidigare behandlingen försvinner.
Även en hashad adress kan vara möjlig att koppla tillbaka eller använda för att följa samma person. Bedöm hur värdet framställs, vilket kompletterande material som finns och vem som har tillgång till det. Arbetsgången för pseudonymisering och kodnycklar hjälper er att beskriva skyddet utan att lova anonymitet.
EU-domstolen har i C-413/23 P, den 4 september 2025, klargjort att pseudonymiserade uppgifter inte nödvändigtvis är personuppgifter för varje mottagare. Mottagarens faktiska möjlighet att identifiera är relevant. Domen innebär samtidigt inte att den ursprungliga insamlaren kan bortse från sin egen identifieringsmöjlighet och informationsskyldighet när uppgifterna samlas in. EU-domstolen: mottagarkontext vid pseudonymisering.
En välgrundad bedömning kan därför skilja mellan den ursprungliga loggen och ett senare statistiskt underlag hos en annan mottagare. Skriv vad som har förändrats och vilka identifieringsmedel som återstår. För en påstått anonym slutprodukt behövs en dokumenterad anonymiseringsbedömning.
3. Gör fyra separata rättsliga kontroller
Personuppgiftsklassificeringen är början på prövningen. När GDPR gäller behöver ni en rättslig grund för det konkreta ändamålet, nödvändigt uppgiftsomfång, lämplig lagringstid och information till de berörda. Att en logg är tekniskt användbar räcker inte som motivering att behålla alla fält obegränsat.
För säkerhetsloggning kan ett berättigat intresse vara relevant, men nödvändighet och intresseavvägning behöver bedömas. Skilj säkerhet från marknadsföring och allmän besöksanalys. Använd intresseavvägningen enligt GDPR för att dokumentera syfte, alternativ och påverkan på besökarna.
Pröva dessutom reglerna om lagring och åtkomst i terminalutrustning när tekniken omfattar sådana åtgärder. PTS beskriver samtyckeskravet för kakor och undantagen för nödvändiga funktioner. Det avgörs av teknikens funktion, inte enbart av om ni kallar den en logg eller om IP-adressen är förkortad. Ett undantag från samtycke för en nödvändig kaka ersätter inte GDPR:s prövning av personuppgiftsbehandlingen. PTS: kakor.
Slutligen behöver eventuella överföringar till mottagare utanför EU/EES prövas enligt kapitel V. Kartlägg mottagare och åtkomst; ett koncernhuvudkontors adress är inte ensam ett fullständigt överföringsunderlag. Använd guiden om tredjelandsöverföringar för den delen av bedömningen.
4. Ifyllt exempel: misslyckade inloggningar
Ett fiktivt medlemsföretag vill upptäcka upprepade inloggningsförsök mot samma konto. Den inledande konfigurationen sparar IP-adress, tidpunkt, användar-ID, resultat och hela förfrågans URL. Säkerhetsteamet konstaterar att URL-parametrarna ibland innehåller uppgifter som inte behövs för att upptäcka angreppet.
| Kontrollpunkt | Dokumenterat beslut i exemplet |
|---|---|
| Ändamål | Upptäcka och utreda obehöriga inloggningsförsök mot medlemskonton |
| Personuppgifter | IP-adress, tidpunkt, kontoreferens och resultat bedöms tillsammans; kontokopplingen innebär personuppgifter |
| Minimering | Fullständiga URL-parametrar tas bort; teknisk felkod används där den ger tillräcklig information |
| Fullständig adress | Behovet prövas mot alternativ som kortad adress och sammanräknade händelser innan fältet godkänns |
| Åtkomst | Behörig säkerhetsfunktion; medlemsservice får endast ärendeinformation som behövs för kontakten |
| Gallring | Ansvarig fastställer ett motiverat upptäcktsfönster och kontrollerar automatisk gallring i varje loggtjänst |
| Avvikande bevarande | Utdrag som behövs för ett konkret incidentärende får egen åtkomst och prövning av fortsatt behov |
Den fastställda gallringstiden måste bygga på hur angrepp upptäcks och hanteras i den verkliga miljön. Prova ett relevant scenario för att se om kortare bevarande eller färre fält räcker. Dokumentera vad som blev sämre eller fortsatt fungerade, i stället för att bara välja ett standardvärde.
Kontrollera därefter att de borttagna parametrarna inte finns kvar i CDN-loggar eller felsökningsverktyg. Låt en annan behörig person granska resultatet och bekräfta att automatisk gallring fungerar. Den mer detaljerade rutinen för säkerhetsloggning kan användas för ansvar och uppföljning.
Vanliga frågor
Får vi använda adressen för att identifiera en medarbetare?
Att uppgiften är en personuppgift betyder inte att varje användning är tillåten eller att adressen bevisar vem som agerat. Bedöm ändamål, rättsligt stöd, information, arbetsrättsliga frågor och datakvalitet. Delade nät och konton måste beaktas innan slutsatser dras om en person.
Blir uppgiften anonym när sista delen tas bort?
Inte automatiskt. Bedöm kvarvarande detaljnivå, andra uppgifter och mottagarens rimligen tillgängliga identifieringsmedel. Dokumentera även behandlingen som sker före förkortningen. En produktinställnings namn ersätter inte den analysen.
Vad ska stå i integritetsinformationen?
Beskriv den verkliga användningen, exempelvis säkerhetsloggning, rättslig grund, mottagare och lagringstid eller kriterier. Informationen måste stämma med tekniken. Om analys och säkerhet använder olika kopior för olika ändamål behöver läsaren kunna förstå skillnaden i integritetspolicyn.