IP 地址是个人信息吗？网站记录 IP、调用归属地接口，个保法下怎么才合规

先把答案说清楚：IP 地址在能关联识别到特定自然人的情形下，属于个人信息。《个人信息保护法》对个人信息的定义是「与已识别或者可识别的自然人有关的各种信息」——单独的 IP 数字本身不直接显示你是谁，但企业把 IP 和账号、订单、浏览记录放一起，或者通过运营商侧信息能对应回某个人，它就落入「可识别」范围，要按个人信息来管。至于社交平台公开的那种「IP 属地：广东」，只到省级、经过脱敏，通常难以识别到具体个人，是另一回事。所以中小网站最常问的几个问题——记录用户 IP 要不要弹窗？存日志能存多久？调第三方接口算不算把数据给别人？——下面逐个说。

网站记录用户 IP，要弹窗征求同意吗？

一般不用单独弹窗，但前提是你在隐私政策里说清楚了。个保法里同意只是合法性基础之一，网站记录 IP 最常见的正当理由是履行网络安全义务：《网络安全法》第二十一条明确要求网络运营者采取监测、记录网络运行状态等措施，并留存相关网络日志不少于六个月——登录日志、操作日志里带 IP，属于这类法定义务下的必要记录。电商、社区网站还可以主张「为订立、履行合同所必需」或「正当利益」（防欺诈、防恶意注册）。

不弹窗不等于没义务，三件事要做：一是隐私政策里写明收集了 IP 及用途（安全防护、日志留存、反作弊等）；二是只记业务需要的字段，别把每次请求的 IP 全囤下来做用户画像；三是日志访问权限收紧，别全公司都能导出。真需要拿 IP 做个性化推送这类超出安全范畴的用途，那就要回到「单独同意」了。

调第三方 IP 归属地接口，算什么性质的处理？

把用户 IP 发给第三方查询归属地，属于向第三方提供个人信息（实务上多按委托处理来把握），不是「我查一下不算处理」——查询动作本身就是处理。要做的功课：选有明确隐私政策的正规服务商，确认对方不会拿 IP 干别的；在你的隐私政策里披露「为反欺诈/安全风控目的，我们可能将 IP 地址提供给第三方查询服务商」；涉及敏感场景（比如拿归属地做信贷类判断）还要做更严格的评估。

有个实操建议：优先选国内服务商。IP 发给境外接口会触发个保法里数据出境的合规义务（出境评估、标准合同等），中小企业为查个 IP 背上这套成本不划算。国内接口就不存在出境问题，比如 IP9 的 https://ip9.com.cn/get?ip=<IP>，免费版无需注册、按次查询，查询发生在境内；它的具体数据处理规则以官网隐私说明为准。另外提醒一句：免费接口再方便，你自己侧记录的 IP 日志仍是你的数据，接口方不替你背锅。

社交平台公示「IP 属地」，为什么不用挨个要同意？

因为那是平台在履行法定义务、维护公共利益，不是平台的商业用途。2022 年起按网信部门关于账号信息管理的规定，微博、抖音这类平台在账号主页和评论区展示发布者的 IP 属地（境内到省级、境外到国家），用的是「履行法定义务/公共利益」这一合法性基础，所以不需要逐个征求用户同意。而且公示的是脱敏后的属地，不是完整 IP。

这里给普通网站一个反面的提醒：平台能公示是「有法定依据+有脱敏处理」两个条件都满足。你自己的网站要是想学平台把访客 IP 属地挂出来展示（比如论坛显示发帖人城市），你没有法定义务这个前提，就得回到用户协议和隐私政策告知上去，并且只展示到省市级，别把完整 IP 亮给所有人看。

IP 日志可以存多久？

底线是六个月，上限是实现目的所需的最短时间。网络日志按网安法要求至少留存六个月，这是安全向的法定义务，存够这个期限没问题；但「留够六个月」不等于可以永久囤着。过了法定留存期、又不再有安全审计需要的日志，该删就删，能做匿名化处理（把 IP 从日志里抹掉或改成不可逆的哈希）就做。个保法第 19 条的原则是保存期限为实现处理目的所必要的最短时间——别把「万一以后用得上」当留存理由。

只用「城市级」结果，是不是就没事了？

风险确实降了，但「没事了」说得太满。两点要分清：第一，查询过程本身仍然把完整 IP 发给了接口方，这一环的告知义务（隐私政策披露第三方查询）不因为你只用城市结果而消失；第二，如果你把每次查询的原始 IP 连同账号一起存了，那存的是个人信息，用途受限。真正能省事儿的做法是只保留城市级结果、不落原始 IP：比如做地域统计，入库只记「广东广州」，别记 IP 本身——存储侧的风险基本就消掉了，还能少写一堆合规文档。很多网站日志分析就是这么做的：日志里留 IP 用于安全（六个月内），统计报表里只留城市。

常见误区

「IP 又不实名，肯定不算个人信息」：实名不是判断标准，「能否识别到特定自然人」才是。你和账号、订单放一起的 IP，基本跑不掉。
「我这是个人小站，没人管」：网安法的日志留存义务不分网站大小，出安全事件时有没有日志、日志合不合规，是实打实的责任划分依据。
「接口是免费的，就不算第三方提供」：免费与否不影响性质，你仍然把 IP 交给了第三方，披露义务照旧。
「只展示属地不展示 IP 就万事大吉」：展示侧是脱敏了，但采集、存储、传输侧的处理照样发生，合规是整条链的事，不是页面显示那一下。

IP 地址是个人信息吗？网站记录 IP、调用归属地接口，个保法下怎么才合规 ​

网站记录用户 IP，要弹窗征求同意吗？ ​

调第三方 IP 归属地接口，算什么性质的处理？ ​

社交平台公示「IP 属地」，为什么不用挨个要同意？ ​

IP 日志可以存多久？ ​

只用「城市级」结果，是不是就没事了？ ​

常见误区 ​

相关阅读 ​