A teraz coś z nieco innej beczki. Kilka dni temu usłyszałem — kategorycznie wypowiedziane! bez cienia wątpliwości! — że adres IP to dane osobowe. Tako rzecze przecież GIODO.
No owszem, stosowna notka wisi od paru lat w serwisie GIODO.gov.pl, jednak — podobnie jak w przypadku wielu innych opinii dotyczących różnych dziedzin prawa — każdy czytający widzi co aktualnie chce zobaczyć. Stąd pytanie: czy adres IP komputera to dane osobowe jego użytkownika? budzi nieodmienne spory i kontrowersje.
art. 6 ustawy o ochronie danych osobowych
1. W rozumieniu ustawy za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.
2. Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne.
3. Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań.
Jeśli zatem zapytacie mnie, odpowiem: tak, GIODO ma rację — adres IP może być traktowany jako dane osobowe — jednak nie zawsze, a sprawa wygląda chyba na bardziej skomplikowaną, niż dostrzega to regulator.
Z jednej strony faktycznie: skoro ustawa definiuje dane osobowe jako każdą informację, która mówi o konkretnym człowieku lub informację, dzięki której można zidentyfikować konkretnego człowieka — to wystarczy, że będę korzystał ze stałego publicznego adresu IP, a informacja ta zostanie zapamiętana i przemielona przez sieć, a wówczas każda kolejna aktywność będzie mogła być przypisana właśnie mnie…
…no właśnie: czy aby na pewno? Sceptycy przypominają, że to nie ludzie mają adresy IP, lecz urządzenia, które czasem są bardziej (sprytfon, komputer), a czasem mniej osobiste (ruter), zatem być może nie wolno jednak utożsamiać urządzenia z jego użytkownikiem? No tak, od razu przypomnę, że adresy zamieszkania tak naprawdę określają umiejscowienie budynków, a przecież jednak nikt nie będzie się upierał, że podając czyjś adres zamieszkania w rzeczywistości nie mówię o człowieku — lecz wyłącznie o budynku.
To co proste w przypadku zidentyfikowanej osoby — budując cyfrową personifikację konkretnego człowieka jako dane osobowe musimy traktować każdą dopisywaną rubrykę: numer kołnierzyka koszuli, model roweru, którym się porusza, etc. etc. — trudniej potraktować jako zasadę w przypadku kiedy mowa o osobie, której tożsamość dopiero chcemy ustalić. Pamiętajmy bowiem, że zgodnie z art. 6 ust. 3 UoŚUDE jakaś informacja o tyle może być traktowana jako pozwalająca na ustalenie czyjejś tożsamości, o ile może być po temu użyta bez nadmiernych kosztów, czasu lub działań. Cóż z tego zatem, że będę stale korzystał z własnego urządzenia o publicznym adresie (a jeszcze lepiej: będę abonentem usługi dostępu do sieci, któremu operator przydzieli taki adres), skoro przeciętny Polak nawet nie przypuszcza, że istnieje takie cuś jak publiczny adres IP, nie mówiąc o tym, że istnieją narzędzia pozwalające na ustalenie nazwiska abonenta?
(Ale jest przeciwny koniec kija: mój operator telekomunikacyjny jest przecież w stanie — bo ma taki obowiązek — odszyfrować nawet kiedyś tam przydzielony mi zmienny adres IP.)
No i jest jeszcze coś, co lubię w takich momentach przypominać: zgodnie z art. 18 ust. 5 pkt 2 UoŚUDE adres IP użytkownika takiej usługi należy do danych eksploatacyjnych, do których przetwarzania upoważniony jest z mocy samej ustawy. I owszem, nie oznacza to, że automatycznie staje się przez to nie-daną osobową — skoro dane osobowe to każda informacja, która pozwala na dokonanie identyfikacji, to w pewnych warunkach dane eksploatacyjne mogą być równocześnie danymi osobowymi — ale znów: tylko o tyle, o ile nie wymaga to nadmiernych kosztów, czasu lub działań.
A w przeciwnym razie nie będzie IP niczym innym, niż chce tego ustawa o świadczeniu usług drogą elektroniczną — jedną z wielu danych charakteryzujących sposób korzystania z usługi przez usługobiorcę, czyli adresem sieciowym pozwalającym na identyfikację zakończenia sieci (art. 2 pkt 52 ustawy prawo telekomunikacyjne).
PS Ten tekst ma zdecydowanie charakter publicystyczno-zaczepno-polemiczny i nie należy traktować go jako porady prawnej. Po prostu czułem potrzebę zripostowania beznamiętnie powtarzanej frazy „adres IP to dane osobowe”.