Numer IP a identyfikacja konkretnej osoby fizycznej

W USA sędzia Sądu Dystryktowego z Seattle uznał, że numer IP (ang. internet protocol) nie jest daną osobową ("IP addresses are not personal information"), ponieważ aby taki numer mógł być uznany za daną osobową musiałby identyfikować konkretną osobę, a przecież taki adres wskazuje jedynie komputer w sieci. Takie stanowisko zostało sformułowane w sprawie z powództwa zbiorowego ("class-action lawsuit") przeciwko spółce Microsoft, która aktualizując automatycznie oprogramowanie antywirusowe gromadzi numery IP komputerów, na których takie oprogramowanie się instaluje. Pozew złożono jeszcze w 2006 roku, kiedy w imieniu konsumentów argumentowano, że gromadzenie przez korporacje danych tego typu stanowi naruszenie relacji kontraktowych. Microsoft zaś odpiera zarzuty twierdząc, że numerów IP nie zestawia z danymi pozwalającymi na identyfikację konkretnych osób.

O sprawie pisze serwis MediaPost w tekście Court: IP Addresses Are Not 'Personally Identifiable' Information. Stamtąd dowiadujemy się, że Sąd Dystryktowy przychylił się do stanowiska Microsoft i odrzucił powództwo, nie dopuszczając tej sprawy do kolejnego etapu, tj. do rozprawy ("dismissed the case before trial"). Dyskusja na temat tego rozstrzygnięcia toczy się na forum Slashdot, pod notatką Judge Rules IP Addresses Not "Personally Identifiable". Inne źródła to np. tekst P.I.I. on Trial: Poor Decision because of Poor Definitions, albo IP addresses don’t identify people. Żadne z nich nie podaje szczegółów dotyczących decyzji sędziego sądu dystryktowego, w szczególności daty wydania postanowienia, sygnatury albo informacji na temat powodów (osób, które złożyły pozew).

Wszystkie źródła jednak odnoszą się do stanowiska Unii Europejskiej na temat numerów IP, a chodzi nie tyle o stanowisko Unii Europejskiej, co o Opinię Grupy Roboczej art 29 ds Ochrony Danych nr 4/2007 w sprawie pojęcia danych osobowych (PDF), z czerwca 2007 roku. W tej opinii, o której pisałem w tekście Rzut oka na przetwarzanie numerów IP w Polsce, w rozdziale III, pkt 3, przykład 15 - mowa o adresie IP (Internet Protocol address) jako o danych osobowych:

Przykład nr 15: dynamiczne adresy IP
Grupa robocza uznała adresy IP za dane dotyczące osoby możliwej do zidentyfikowania. Grupa stwierdziła, że „dostawcy dostępu do Internetu i administratorzy sieci lokalnych mogą, używając sposobów, jakimi można się posłużyć, zidentyfikować użytkowników Internetu, którym przydzielili adresy IP, ponieważ systematycznie „rejestrują” oni w pliku datę, godzinę, czas trwania i dynamiczne adresy IP przydzielone użytkownikom Internetu. To samo można powiedzieć o dostawcach usług internetowych prowadzących rejestr na serwerze http. W takich przypadkach można niewątpliwie mówić o danych osobowych w sensie art. 2 lit. a) dyrektywy…”.

Zwłaszcza w przypadkach, gdy przetwarzanie adresów IP ma na celu zidentyfikowanie użytkowników komputera (na przykład przez posiadaczy praw autorskich w celu ścigania użytkowników za pogwałcenie praw autorskich), administrator przewiduje, że „sposoby, jakimi można się posłużyć” w celu zidentyfikowania osoby mogą się stać dostępne, na przykład w drodze sądowej (w przeciwnym razie gromadzenie danych nie miałoby sensu), i że w związku z tym informacje te należy uważać za dane osobowe.

Szczególny przypadek stanowią niektóre rodzaje adresów IP, które w pewnych okolicznościach nie pozwalają na zidentyfikowanie użytkownika z różnych względów technicznych i organizacyjnych. Przykładem mogą być adresy IP przypisane do komputera w kawiarni internetowej, gdzie identyfikacja użytkownika nie jest wymagana. Można by twierdzić, że dane dotyczące użycia komputera X w pewnym przedziale czasowym nie pozwalają na zidentyfikowanie osoby „przy użyciu sposobów, jakimi można się posłużyć”, i że w związku z tym nie stanowią one danych osobowych. Jednakże należy odnotować, że dostawcy usług internetowych nie wiedzą najczęściej, czy dany adres IP pozwala na zidentyfikowanie, i że w związku z tym przetwarzają oni dane związane z takim adresem IP w taki sam sposób, jak informacje związane z adresami IP użytkowników zarejestrowanych i możliwych do zidentyfikowania. Dlatego też poza przypadkiem, gdy dostawca usług internetowych może stwierdzić z całkowitą pewnością, że dane dotyczą użytkowników niemożliwych do zidentyfikowania, musi on ze względów bezpieczeństwa traktować wszystkie informacje związane z adresem IP jako dane osobowe.

Dla porządku przywołam jeszcze tekst GIODO: imię, nazwisko, zdjęcie, szkoła, klasa i rocznik - łącznie - nie są danymi osobowymi..., w którym relacjonowałem decyzję Generalnego Inspektora Ochrony Danych Osobowych w sprawie jednego z internautów, którego zdjęcie opublikowane w serwisie Nasza-klasa.pl ktoś trzeci podpisał, a internauta ten domaga się - w związku z tym - ochrony swoich praw. GIODO uznał wówczas, że dane, które znalazły się przy zdjęciu nie stanowią danych osobowych ze względu na art 6 ustawy o ochronie danych osobowych, tj. dlatego, że ustalenie na podstawie tych danych tożsamości osoby, o którą chodzi, wiązałoby się m.in. z nadmiernymi kosztami (art. 6 ust. 3 polskiej ustawy stwierdza, że "Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań"). Ta sprawa jeszcze nie jest zakończona. Po wydaniu wskazanej decyzji sprawa trafiła do Wojewódzkiego Sądu Administracyjnego w Warszawie, który uchylił decyzję GIODO (por. Podpis pod zdjęciem w NK - uzasadnienie wyroku WSA w Warszawie (sygn. II SA/Wa 1495/08)). Ostatnio wspominałem o tej sprawie prezentując nagranie z konferencyjnego wystąpienia ministra Lewińskiego (por. Portale społecznościowe a ochrona danych osobowych (video)). Teraz prawdopodobnie poznamy stanowisko Naczelnego Sądu Administracyjnego w tej sprawie.

Na zakończenie przypomnę kilkakrotnie formułowaną w tym serwisie (zupełnie z innych okazji) tezę: "Sam numer IP komputera nie wystarcza, by wskazać osobę, która z niego korzystała. Numerowi IP nie da się postawić zarzutów" (np. w felietonie z 2004 roku: Aby spać mógł ktoś). Chodzi o to, że kwestia identyfikowalności "aktorów" społeczeństwa informacyjnego ma znaczenie nie tylko ze względu na ochronę ich praw w związku z przetwarzaniem danych osobowych, ale również w kilku innych sferach regulacji (np. w przypadku oceny śladów popełnienia przestępstw). Z rozważań czysto teoretycznych przechodzimy powoli do praktycznych problemów tych regulacji.