Całkowicie na marginesie: czy wyrok Trybunału Sprawiedliwości EU z 19 października 2016 r. (C-582/14), w którym stwierdzono, że dynamiczny adres IP przypisany użytkownikowi serwisu internetowego może stanowić — o ile usługodawca dysponuje środkami pozwalającymi na identyfikację tej osoby — dane osobowe (a serwis może przetwarzać takie dane nawet bez zgody usługobiorcy) naprawdę jest aż taką sensacją, czego ja wcześniej nie dostrzegłem?
(Por. „Blogerzy właśnie zostali administratorami danych osobowych” Sławomira Wikariaka opublikowany wczoraj w Gazecie Prawnej oraz „Czy blogerzy muszą rejestrować zbiory danych? Nie wszyscy i uwaga na oszustów!” Marcina Maja, dziś w Dzienniku Internautów).
art. 6 ustawy o ochronie danych osobowych
1. W rozumieniu ustawy za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. (…)
3. Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań.
Dalej będzie w punktach, dzięki temu może uda mi się łatwo wyłuszczyć mój pogląd na istotę sprawy:
- informacja, iż adres IP może być w pewnych przypadkach uznany za dane osobowe wisi w serwisie GIODO od wielu, wielu lat;
- w nieco uproszczonej postaci pogląd ten wraca tu i tam od lat, polemizowałem z nim kilkanaście miesięcy temu w tekście „Czy adres IP to dane osobowe” (proszę kliknąć i przeczytać);
- więc jeszcze raz: adres IP przede wszystkim identyfikuje zakończenie sieci i stanowi dane eksploatacyjne (art. 18 ust. 5 pkt 2 UoŚUDE);
- „zakończenie sieci” czyli nic więcej jak „wtyczka internetowa”, przy pomocy której dostawca umożliwia korzystanie z internetów — do niej wpięty jest np. router WiFi (art. 2 pkt 52 prawa telekomunikacyjnego);
- znajomość adresu IP pozwala — dostawcy internetu, bo tylko on jest w stanie zmaczować te dane — na nic więcej jak ustalenie abonenta, na którego jest umowa (zawsze to przypominam choćby pytany afery z „nielegalnym ściąganiem plików„, etc.);
- adres IP zakończenia sieci niewątpliwie stanowi informację będącą daną osobową — ale tylko w odniesieniu do abonenta oraz tylko w przypadku podmiotu, który ma możliwość łatwego sprawdzenia tożsamości tego abonenta na podstawie tego czarodziejskiego rzędu cyferek;
- na pewno łatwość tę ma operator-dostawca internetu (bo wie któremu zakończeniu sieci przydzielił dany adres IP) oraz ewentualnie organy ścigania, sądy, etc., które mogą łatwo uzyskać tę informację (art. 18 ust. 6 UoŚUDE);
- dla mnie jednak nawet znajomość adresów IP moich P.T. Czytelników nic nie oznacza — cóż z tego, że być może dane te odkładają się gdzieś u hostingodawcy, skoro ani ja, ani raczej oni nie mają mechanizmu pozwalającego na powiązanie adresu IP z tożsamością konkretnej osoby;
- przypomnę, że informacja nie jest daną osobową jeśli nie pozwala na identyfikację konkretnej osoby — czyli jeśli nie ma łatwego (nie wymagającego „nadmiernych kosztów, czasu lub działań”) sposobu na określenie tożsamości tej osoby (art. 6 ust. 3 UoŚUDE);
- jeszcze raz: określenie tożsamości osoby, nie określenie (zapisanie, przekazanie komuś innemu) adresu IP zakończenia sieci, z którego korzystał dany użytkownik.
Rekapitulując: nie ma moim zdaniem znaczenia czy „znając bowiem dane rejestracyjne, już po samym IP można ustalić, z jakiego komputera wchodzono na stronę serwisu” — albowiem nawet jeśli GIODO wyda decyzję nakazującą podanie danych abonenta zakończenia sieci (czy to jest „łatwy” sposób w rozumieniu art. 6 ust. 3 UoODO?), to tak czy inaczej dostajemy tylko tożsamość osoby, na którą jest zarejestrowane owo zakończenie sieci.