Is een IP een persoonsgegeven?

IS EEN IP-ADRES EEN PERSOONSGEGEVEN?

Sinds het arrest van het Europese Hof van Justitie ECLI:EU:C:2016:779 van 19 oktober 2016 in zaak C-582/14, wordt allerwege aangenomen dat een IP-adres een persoonsgegeven is in de zin van de privacywetgeving. In dit artikel gaan we vaststellen dat deze aanname onjuist is.

Het arrest
In het arrest wordt het volgende voor recht verklaard:
“Artikel 2, onder a), van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, moet aldus worden uitgelegd dat een dynamisch internetprotocoladres dat door een aanbieder van onlinemediadiensten wordt geregistreerd telkens als een persoon een website bezoekt die door deze aanbieder toegankelijk wordt gemaakt voor het publiek, ten aanzien van die aanbieder een persoonsgegeven in de zin van voormelde bepaling vormt, wanneer hij beschikt over wettige middelen waarmee hij de betrokken persoon kan identificeren aan de hand van extra informatie die bij de internetprovider van deze persoon berust.”
Hier lijkt te staan dat IP-adressen als persoonsgegevens aangemerkt moeten worden, ook als het gaat om eenmalig door de provider toegekende, dynamische IP-adressen.

Een wettechnisch bezwaar
Bij de gebruikelijke interpretatie van het arrest kan een wettechnische kanttekening worden geplaatst. Het arrest verwijst naar artikel 2 van richtlijn 95/46/EG. Deze richtlijn op zichzelf heeft nimmer de status van een wet gehad. Bij de invoering van de Algemene Verordening Gegevensbescherming (AVG) is deze richtlijn bovendien ingetrokken. Overweging 171 van de AVG, artikel 45 lid 9, artikel 46 lid 5 en artikel 94 lid 2 hebben het oogmerk continuïteit te realiseren tussen besluiten die onder de richtlijn zijn genomen en de AVG. Het gaat daarbij evenwel om besluiten van de commissie en van toezichthouders. Arresten van het Europese Hof van Justitie vallen er niet onder. Wat het arrest van 19 oktober 2016 ook voor recht moge hebben verklaard, het kader waarbinnen dat is gebeurd, is verdwenen. Totdat er door het Europese Hof of

2 door nationale rechtbanken een nieuwe uitspraak ligt met de strekking van het arrest, is de status van IP-adressen binnen de context van de AVG onbepaald. Vooralsnog zijn er door Nederlandse rechtbanken geen uitspraken gedaan die aanhaken bij wat in het arrest voor recht werd verklaard.
Anderzijds mag worden aangenomen dat in het geval het Europese Hof uitgenodigd zou worden dezelfde zaak te behandelen in het kader van de AVG, dat een nagenoeg gelijkluidend arrest op zou leveren. We zullen verderop zien waarom dat zo is. Omdat de bepalingen in de richtlijn en de AVG op de hier relevante punten overeenkomen, zullen we in de rest van dit artikel doen alsof het arrest in de context van de AVG is opgesteld.
Spanning tussen het arrest en de AVG
In het arrest wordt gesproken over wettige middelen. Dit aspect ontbreekt in de relevante passage van de AVG. In overweging 26 wordt gesproken over middelen waarvan redelijkerwijs verwacht kan worden dat zij worden gebruikt. De AVG stelt niet dat het moet gaan om wettig toegestane middelen. Het arrest is dus specifieker dan de richtlijn en de AVG en lijkt daarmee de mogelijkheid open te houden dat indien IP-adressen enkel met geroofde informatie kunnen worden herleid tot natuurlijke personen, IP-adressen niet als persoonsgegevens aangemerkt zouden moeten worden.
Anderzijds mag worden aangenomen dat het Hof niet beoogde onwettige middelen uit te sluiten. Het Hof zal de wettigheid van de middelen enkel benadrukt hebben omdat het een zaak betrof waarbij een overheid een van de partijen was, en het niet redelijk is te verwachten dat een overheid onwettige middelen in zal zetten.

De paradox van de tautologie
Relevanter dan de bovenstaande kanttekeningen is dat het arrest niets toevoegt aan het recht. Het arrest verklaart voor recht dat een IP-adres enkel als persoonsgegeven geldt als er middelen zijn waarmee het IP-adres herleid kan worden tot een natuurlijke persoon. In de richtlijn en in de AVG staat dat informatie per se een persoonsgegeven is als er middelen zijn waarmee de informatie herleid kan worden tot een natuurlijke persoon. De verklaring voor recht in het arrest is dus logisch zwakker dan de bepaling in de AVG.
De paradox dat een tautologische passage in een arrest de aandacht heeft getrokken, behoeft verklaring. De verklaring is dat het arrest verkeerd is uitgelegd. Er is in gelezen dat IP-adressen persoonsgegevens zijn, terwijl er niet meer stond dan dat IP-adressen persoonsgegevens zijn mits voldaan is aan de 3
voorwaarden waaraan voldaan moet zijn wil informatie als persoonsgegevens gelden.

Corrigeren we voor de verkeerde uitleg van het arrest, dan verdwijnt de paradox. Een rechtbank of een Hof van Justitie kan bij het interpreteren van de wet in het algemeen niet verder kan gaan dan het uitschrijven van wat reeds in de wet stond. In het specifieke geval van persoonsgegevens zal een rechter ook niet verder willen gaan. Of informatie herleidbaar is tot natuurlijke personen, is een vraagstuk dat aangepakt moet worden met empirisch onderzoek aangevuld met informatietheoretische analyse. Rechters zijn niet geschoold in informatietheoretische analyse en het uitvoeren van empirisch onderzoek behoort niet tot de kernactiviteiten van de rechterlijke macht. Een rechter die op dit vraagstuk een ongeclausuleerd antwoord geeft, zou ver buiten de bevoegdheid treden die aan de rechterlijke macht is toegewezen. De rechters die het arrest opgesteld hebben, hebben dat niet gedaan. Zij hebben zich keurig gehouden aan de bevoegdheid van rechters en niet meer gedaan dan het uitschrijven van een geclausuleerde, tautologische vaststelling.

Relativering van het oordeel over IP-adressen als categorie
Bij het opstellen van het arrest meende het Hof dat voldaan was aan de voorwaarden waaraan voldaan moet worden willen IP-adressen als persoonsgegevens gelden. Het Hof was ervan overtuigd dat internetproviders bijhouden aan wie op welk moment welke dynamische IP-adressen worden toegekend. Derhalve koos het Hof voor een formulering die IP-adressen als categorie leek aan te merken als persoonsgegevens.
Nemen we in acht dat de ogenschijnlijke stelligheid van het Hof is ingegeven door de overtuiging dat alle internetproviders doen wat ze geacht worden te doen, dan moeten we concluderen dat het Hof geen uitspraak over alle IP-adressen kan hebben gedaan. Het is niet alleen zeer wel denkbaar dat internetproviders niet vastleggen aan wie op welk moment welk dynamisch IP-adres wordt toegekend, maar na het verstrijken van de relevante bewaartermijn zou deze informatie niet meer bij internetproviders beschikbaar mogen zijn. Dit impliceert dat dynamische IP-adressen met het verstrijken van de tijd de status van persoonsgegevens verliezen terwijl ze bij nalatige internetproviders die status nooit gehad hebben.
Ook als het arrest van het Hof verder zou gaan dan een tautologie, zou de vaststelling van het Hof IP-adressen als categorie niet kunnen raken. De vaststelling van het Hof heeft enkel betrekking op IP-adressen waarvoor daadwerkelijk voldaan is aan de voorwaarde dat die met de informatie van internetproviders herleid kunnen worden tot natuurlijke personen, en enkel
4
voor zolang die informatie ergens met middelen waarvan redelijkerwijs mag worden aangenomen dat ze gebruikt worden, beschikbaar is.

Veralgemenisering van de bevindingen
Het is gebruikelijk om de notie persoonsgegevens te verduidelijken door het benoemen van categorieën gegevens die als persoonsgegevens zouden gelden. Namen, adressen, telefoonnummers, doorgaans wordt aangenomen dat deze gegevens categoriaal aangemerkt kunnen worden als persoonsgegevens. Wat voor IP-adressen geldt, geldt evenwel voor alle categorieën gegevens. Of een naam in de zin van de AVG als een persoonsgegeven aangemerkt moet worden, is afhankelijk van de herleidbaarheid van de naam tot een natuurlijke persoon. Als 99,99 % van de wereldbevolking bij de geboorte de naam ‘Jantje Smit’ zou hebben meegekregen terwijl slechts één persoon de naam ‘Thieu Kuijs’ heeft gekregen, dan is de naam ‘Jantje Smit’ praktisch niet herleidbaar tot een natuurlijke persoon, en kan deze naam niet aangemerkt worden als een persoonsgegeven in de zin van de AVG, terwijl de naam ‘Thieu Kuijs’ wel als een persoonsgegeven zou gelden.

Het benoemen van categorieën persoonsgegevens is enkel redelijk als het gaat om categorieën waarbij institutioneel de uniciteit van de verwijzing is afgedwongen. In die gevallen kan in redelijkheid aan de rechterlijke macht de bevoegdheid worden toegekend te oordelen over de vraag of iets wel of niet een persoonsgegeven is.

Vught 30 april 2019
Dr. W.W
Samarstraat 7
5262 ZL VUGHT