Czy stosowanie usługi Google Fonts na własnej stronie internetowej narusza RODO? Jeśli wyświetlenie takiej strony oznacza automatyczne przekazanie adresu IP na serwery Google — a więc udostępnienie danych osobowych do państwa trzeciego? I, wcale nie na marginesie: czy w sporze o odszkodowanie za naruszenie danych osobowych jest istotne, czy osoba poszkodowana celowo sprowokowała naruszenie — chcąc wzbogacić się na odszkodowaniu? Czy jednak „RODO-trolling” nie zasługuje na ochronę prawną?
opinia Rzecznika Generalnego TSUE Macieja Szpunara z 5 listopada 2026 r. w/s Undelam (C-654/25)
1) Dynamiczny adres IP przekazywany automatycznie przez operatora strony internetowej podmiotowi trzeciemu, dysponującemu środkami, które racjonalnie można zastosować w celu zidentyfikowania osoby, której dane dotyczą, stanowi dane osobowe bezpośrednio w odniesieniu do tego podmiotu oraz pośrednio w odniesieniu do operatora strony internetowej, jeżeli ten ostatni wie lub powinien był wiedzieć, że tak właśnie jest.
2) Nie można stwierdzić poniesienia szkody niemajątkowej [w rozumieniu art. 82 ust. 1 RODO], jeżeli osoba, której dane dotyczą, świadomie spowodowała naruszenie tego rozporządzenia w sposób zautomatyzowany i powtarzający się w celu uzyskania odszkodowania.
uwaga: Google Fonts może przekazywać adres IP do… Google!
- spór dotyczył strony internetowej, której wydawca (nazwijmy go W.W.) korzystał z bezpłatnej usługi Google Fonts;
- z usługi tej można używać na dwa sposoby: dynamiczny, wówczas „czcionki te są ładowane z serwera Google, co skutkuje automatycznym przekazywaniem adresu IP odwiedzającego spółce Google w Stanach Zjednoczonych”, zaś „miana ustawień umożliwia operatorowi strony internetowej integrację czcionek tylko lokalnie, tak aby dane nie były przesyłane do Stanów Zjednoczonych”; co istotne usługodawca nie zmienił tej konfiguracji, czyli korzystał z rozwiązania dynamicznego;
- przeciwną stroną sporu był jegomość (J.J.), który odpalił web-crawlera, którego zadaniem było wykrywanie w internetach obecności dynamicznej konfiguracji Google Fonts oraz „automatyczne uruchomienie odwiedzin” — czego skutkiem było przekazanie adresu IP użytkownika do Google w U.S.A.;
- dalej było jeszcze ciekawiej: adwokat (A.A.), działający w imieniu J.J., wysłał — uznając, iż automagiczne udostępnienie adresu IP poprzez usługę Google Fonts jest sprzeczne z RODO — do W.W. wezwanie do zapłaty 170 € tytułem odszkodowania;
- W.W. zapłacił, acz po tym, jak się dowiedział, iż ów modus operandi zastosowano wobec tysięcy innych operatorów stron internetowych — zażądał zwrotu pieniędzy, a następnie wytoczył powództwo o zapłatę;
art. 4 pkt 1 RODO
„dane osobowe” oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej;
art. 44 RODO
Przekazanie danych osobowych, które są przetwarzane lub mają być przetwarzane po przekazaniu do państwa trzeciego lub organizacji międzynarodowej, następuje tylko, gdy – z zastrzeżeniem innych przepisów niniejszego rozporządzenia – administrator i podmiot przetwarzający spełnią warunki określone w niniejszym rozdziale, w tym warunki dalszego przekazania danych z państwa trzeciego lub przez organizację międzynarodową do innego państwa trzeciego lub innej organizacji międzynarodowej. […]
żądanie zapłaty odszkodowania za sprowokowane naruszenie RODO to nadużycie prawa podmiotowego
- prawomocnym wyrokiem Landgericht Hannover uznał, iż działanie pozwanych polegało na naruszeniu dobrych obyczajów i nakazał zwrot całej kwoty;
- nie ma przy tym znaczenia czy konfiguracja Google Fonts pozwalająca na udostępnienie danych osobowych za ocean oznacza naruszenie RODO — bo art. 82 RODO nie obejmuje przypadków, kiedy do szkody doszło wskutek świadomego działania poszkodowanego, który chciał w ten sposób uzyskać szkodę majątkową;
- natomiast Bundesgerichtshof zwrócił uwagę, iż w sprawie zaistniały następujące wątpliwości, z którymi zwrócił się do Trybunału Sprawiedliwości UE:
- czy dynamiczny adres IP może być traktowany jako dane osobowe?
- czy jest istotne, że administrator lub odbiorca danych ma (lub nie ma) możliwość zidentyfikowania konkretnej osoby fizycznej na podstawie adresu IP zakończenia sieci?
- jeśli możliwość ta może wynikać aż / zaledwie ze środków prawnych?
- czy świadomość i celowość działania osoby, której dane zostały naruszone wyłącza możliwość ubiegania się o odszkodowanie? czy sprowokowanie całej sytuacji można traktować jako nadużycie prawa podmiotowego?
adres IP = dane osobowe: tak / nie?
- dane osobowe to także informacje o osobie niezidentyfikowanej, acz możliwej do zidentyfikowania;
- wykładnia „obiektywna” głosi, iż owa identyfikacja może nastąpić także „pośrednio” — nie poprzez samą informację, lecz poprzez łączenie różnych elementów, choćby znajdowały się one w dyspozycji innej osoby (por. „Identyfikator internetowy używany do targetowania reklam to dane osobowe”);
- interpretacja „subiektywna” natomiast zakłada konieczność (lub łatwość dostępu) dysponowania środkami pozwalającymi na identyfikację człowieka przez dysponenta tej informacji;
- (tłumacząc z prawniczego na ludzkie: w ujęciu obiektywnym numer rejestracyjny pojazdu zawsze jest daną osobową — bo ktoś może na jego podstawie odcyfrować dane właściciela; w ujęciu subiektywnym problem nie dotyczy Polaka-szaraka, który do CEPIK dostępu nie ma, por. „Czy „goły” numer telefonu to dane osobowe?”);
- w dotychczasowym orzecznictwie TSUE przyjął, iż dynamiczny adres IP to dane osobowe — lecz „wobec” dostawcy usług medialnych online, który informacje te rejestruje w logach świadczonych usług (wyrok TSUE z 19 października 2016 r. w/s Breyer, C-582/14), jak też stwierdził, że bez dostępu do bazy danych wiążącej numer VIN z numerem rejestracyjnym i nazwiskiem nie można mówić o danych osobowych (wyrok TSUE z dnia 9 listopada 2023 r., C‑319/22);
Zakwalifikowanie informacji jako „danych osobowych” nie zależy zatem od abstrakcyjnej możliwości zidentyfikowania danej osoby, lecz należy je oceniać in concreto z punktu widzenia osoby lub podmiotu mających dostęp do rozpatrywanej informacji.
- analogicznie będzie z przekazywaniem dynamicznego adresu IP: jeśli odbiorca dysponuje środkami, które racjonalnie umożliwiają identyfikację użytkownika — taki adres IP stanowi dane osobowe i to zarówno w odniesieniu do odbiorcy, jak i administratora, który dane udostępnił;
- (to tak jak z pseudonimizacją: dla przekazującego informacje zabieg pseudonimizacji był wystarczający, by uniemożliwić ustalenie tożsamości jednostki — ale otrzymujący informacje dysponuje środkami, by określić ową tożsamość);
Google żyje z danych — więc każdą informację o osobie jest w stanie przekuć w dane osobowe
- jest to oczywiście okoliczność, którą ustalić powinien sąd odsyłający — TSUE natomiast może podpowiedzieć, że zawsze chodzi o „uzasadnione prawdopodobieństwo” mierzone czynnikami obiektywnymi, takimi jak „koszt i czas” niezbędny do identyfikacji osoby fizycznej;
- acz znów: w przypadku Google Fonts dane o adresie IP są elementem dużego zbioru danych gromadzonego przez usługodawcę, na podstawie których Google może wyciągać dość precyzyjne wnioski nt. życia prywatnego użytkowników (profilować ich, targetować, wyświetlać spersonalizowane reklamy, etc.);
- biorąc pod uwagę, że Google niewątpliwie dysponuje środkami racjonalnie służącymi do zidentyfikowania konkretnej osoby na podstawie zebranych „okruszków” — raczej nie ma wątpliwości jak sprawy się mają;
trolling RODO to nadużycie prawa
- tak czy inaczej odszkodowanie płaci się za szkodę poniesioną, wynikającą ze zdarzenia pozostającego w związku z przyczynowym ze szkodą; szkody nie można domniemywać wyłącznie z faktu samego naruszenia przepisów (por. „Nie ma czegoś takiego jak „odszkodowanie za naruszenie RODO””);
- i chociaż szkodą w rozumieniu RODO może być sama obawa utraty kontroli nad własnymi danymi osobowymi, to przecież takiej obawy odczuwać nie może osoba, która nie tylko zapuściła crawlera w określonym celu — bo „jej dane osobowe zostały wykorzystane właśnie w sposób, w jaki to przewidziała” — ale też celowo „rozsiewała” adres IP zakończenia sieci;
Osoba, której dane dotyczą, dostarczyła masowo swoje dane osobowe, nie będąc do tego zobowiązana, a jej głównym celem było powołanie się na naruszenie RODO dla uzyskania rekompensaty finansowej. Ponadto w niniejszej sprawie zaakceptowała ona korzyść finansową w zamian za odstąpienie od skierowania sprawy na drogę sądową. Okoliczności te skłaniają mnie do uznania, że osoba, której dane dotyczą, zmierzała zasadniczo przede wszystkim do uzyskania rekompensaty finansowej i w istocie wyrządziła zarzucaną szkodę, przedkładając swoje dane w celu sztucznego stworzenia warunków wymaganych do celów stosowania przepisów RODO.
- więc jakby na to nie patrzeć — nadużycie prawa podmiotowego — i nie ma znaczenia, że „poszkodowany” twierdzi, że celem jego działania było zwrócenie operatorom stron internetowych uwagi na wynikające z używania Google Fonts niebezpieczeństwo dla danych osobowych;
- bo to tylko trolling RODO był — zaś rozporządzenie o ochronie danych osobowych zostało wykorzystne instrumentalnie, w celu niezgodnym z jego istotą — a przecież prawo Unii nie może być wykorzystywane dla oszustw i nadużyć (por. wyrok TSUE z 17 czerwca 2021 r. w/s M.I.C.M., C-597/19).