Is een IP-adres een persoonsgegeven?

Een IP-adres is het persoonlijke identificatienummer van een elektronisch apparaat. Iedere computer, smartphone en tablet heeft zijn eigen IP-adres. Met dit IP-adres kan de computer eenvoudig geïdentificeerd worden. De vraag is: is een IP-adres een persoonsgegeven?

Wat zijn persoonsgegevens?

Een gegeven wordt een persoonsgegeven op het moment dat dit gegeven betrekking heeft op een natuurlijk persoon. Met persoonsgegevens kan een persoon worden geïdentificeerd in een groep mensen. Bijvoorbeeld een lijst met adressen is ansich geen verzameling van persoonsgegevens. Als vervolgens de namen van de bewoners bij ieder adres geplaatst wordt is er ineens wel sprake van persoonsgegevens. Op dat moment geeft de lijst namelijk informatie over een persoon, namelijk waar diegene woont. Voor meer informatie over de definitie van persoonsgegevens klik hier.

Waarvoor worden IP-adressen gebruikt?

Een IP-adres wordt gebruikt om een computer te identificeren op het internet. Als met een computer een website wordt bezocht verstuurt de computer een aanvraag naar de server waarop de website staat. Het IP-adres vertelt de server naar welke computer de informatie vervolgens verzonden moet worden.

Door de IP-adressen te verzamelen, in combinatie met welke pagina’s door dat IP-adres bezocht is, kan men heel eenvoudig bijgehouden welke websites bezocht worden door een computer. Dit werkt overigens hetzelfde met e-mail, twitter en facebook. De politie kan bijvoorbeeld bij een dreigtweet bij Twitter opvragen met welk IP-adres de dreigtweet verzonden is. Zo weet de politie met welk apparaat de dreigtweet verzonden is en kan zij de dader lokaliseren.

Een IP-adres zegt alleen welk apparaat gebruikt is voor een bepaalde handeling op internet. Het zegt niets over waar dat apparaat staat, of van wie dat apparaat is. De internetprovider heeft deze informatie echter wel. Zij sturen immers een rekening om een bepaalde computer (IP-adres) aan het internet te verbinden.

Zijn IP-adressen persoonsgegevens?

Op het eerste gezicht zegt een IP-adres iets over een apparaat, niet over een persoon. Om die reden zou een IP-adres ook geen persoonsgegeven kunnen zijn. Aan de andere kant zegt het IP-adres, en de daaraan gekoppelde informatie, wel iets over de websites die de gebruiker van dat apparaat bezoekt. Op basis daarvan kan vervolgens worden bepaald wat de voorkeuren zijn van die persoon. Zo zegt het feit dat iemand een website over paarden bezoekt dat diegene geïnteresseerd is in paarden.

IP-adres koppelen aan een persoon.

Dat bekend is dat met een IP-adres een website over paarden bezocht is niet voldoende om iemand te kunnen identificeren. Het is immers onbekend wie de eigenaar van deze PC is en waar deze pc staat. Als men echter kijkt naar alle websites die met een bepaald IP-adres worden bezocht kan eenvoudig een profiel worden gemaakt van de gebruiker van een apparaat. Zo kan worden vastgesteld dat een computer websites over paarden, roze kleding, en de Facebookpagina voor mensen onder 14 bezoekt. Dit geeft al een aardig beeld van de gebruiker van die computer.

De provider kan, onder omstandigheden, met een gerechtelijk bevel worden gedwongen om NAW gegevens van haar klanten af te staan. Op die manier kan een IP-adres gekoppeld worden aan een persoon. De politie heeft overigens de bevoegdheid om dit zonder gerechtelijk bevel te doen via de CIOT database.

Het is verder niet relevant of diegene die de IP-adressen bewaart de intentie of de mogelijkheid heeft om deze te gebruiken om een persoon te onderscheiden. Het gaat erom dat het mogelijk is om de IP-adressen aan een persoon te koppelen. Ook als niet de verzamelaar zelf maar derden de mogelijkheid hebben om de IP-adressen aan een persoon te koppelen.

Een computer kan door verschillende personen gebruikt worden. Toch kan een handeling vaak aan één persoon worden toegekend. Het is namelijk waarschijnlijk dat de websites over paarden en roze kleding door de 12 jarige dochter worden bezocht en dat de dreigtweet over de leraar Nederlands van de 17e jarige zoon komt.

Is het voldoende om een IP-adres te anonimiseren?

Het is mogelijk om IP-adressen te anonimiseren. Dit gebeurt door de laatste 4 (of 8) cijfers van het IP-adres niet op te slaan. Op deze manier leidt het IP-adres niet meer naar één persoon maar naar 256 personen. Daarmee wordt niet voorkomen dat het IP-adres herleid kan worden naar één persoon. Er wordt immers ook informatie verzameld over het gedrag van de gebruiker en daarmee kan worden vastgesteld om welk persoon het gaat. Zoals in het voorbeeld hierboven waar websites over paarden, roze kleding en de Facebookpagina voor mensen onder 14 bezocht worden.

Natuurlijke personen en organisaties.

Natuurlijk geldt dit alleen voor IP-adressen van natuurlijke personen. Over een organisatie kunnen namelijk geen persoonsgegevens worden verzameld omdat de organisatie geen natuurlijk persoon is. Het is daarbij wel de vraag hoe het zit met de natuurlijke personen in die organisatie.

Overigens is de conclusie dat een IP-adres een persoonsgegeven is gebaseerd op een onderzoek van het College Bescherming Persoonsgegevens. De bovengenoemde argumenten werden gebruikt om aan te tonen dat een IP-adres een persoonsgegeven is. (link (PDF))

Het IP-adres is een persoonsgegeven. Wat is hier het gevolg van?

Het verwerken van persoonsgegevens is gereguleerd door de Wet bescherming persoonsgegevens. Dit heeft tot gevolg dat persoonsgegeven slechts beperkt mogen worden verwerkt. Ook moet de verwerking van persoonsgegevens worden gemeld bij het CBP. Er wordt bovendien vereist dat persoonsgegevens voldoende beveiligd worden. Daarbij geldt een informatieplicht bij het verwerken van persoonsgegevens. Kortom, wie IP-adressen verwerkt zal rekening houden met de strenge Europese privacy-wetgeving.

Kan dit artikel gebruikt worden in een juridische procedure?

Dat is onwaarschijnlijk. Om die artikel voor consumenten leesbaar te maken is namelijk wat van de juridische precisie geofferd. Het is voor niet-juristen bovendien niet eenvoudig om de juridische accenten in een casus te herkennen. Dat is vergelijkbaar met het bouwen van een huis op basis van een schetstekening.

Dit artikel is voornamelijk bedoeld om een algemeen beeld te geven van de juridische aspecten van het internet. Lexxit raadt dan ook af om op basis van dit artikel enige juridische stappen te ondernemen. Dat kan veel schade veroorzaken.

Heeft u een vraag over persoonsgegevens?

Mocht u een vraag hebben over persoonsgegevens dan kunt u deze aan Lexxit stellen. U kunt contact opnemen met Lexxit door op de onderstaande knop te drukken.

Lexxit persoonsgegevens

Licentie

Creative Commons-Licentie
Lexxit Knowledge van Lexxit is in licentie gegeven volgens een Creative Commons Naamsvermelding-NietCommercieel-GelijkDelen 3.0 Unported-licentie.
Gebaseerd op een werk op www.lexx-it.nl.

Lexxit geeft vrijblijvend advies over uw casus!

Meld internetmisbruik