Numer IP a identyfikacja konkretnej osoby fizycznej

W USA sędzia Sądu Dystryktowego z Seattle uznał, że numer IP (ang. internet protocol) nie jest daną osobową ("IP addresses are not personal information"), ponieważ aby taki numer mógł być uznany za daną osobową musiałby identyfikować konkretną osobę, a przecież taki adres wskazuje jedynie komputer w sieci. Takie stanowisko zostało sformułowane w sprawie z powództwa zbiorowego ("class-action lawsuit") przeciwko spółce Microsoft, która aktualizując automatycznie oprogramowanie antywirusowe gromadzi numery IP komputerów, na których takie oprogramowanie się instaluje. Pozew złożono jeszcze w 2006 roku, kiedy w imieniu konsumentów argumentowano, że gromadzenie przez korporacje danych tego typu stanowi naruszenie relacji kontraktowych. Microsoft zaś odpiera zarzuty twierdząc, że numerów IP nie zestawia z danymi pozwalającymi na identyfikację konkretnych osób.

O sprawie pisze serwis MediaPost w tekście Court: IP Addresses Are Not 'Personally Identifiable' Information. Stamtąd dowiadujemy się, że Sąd Dystryktowy przychylił się do stanowiska Microsoft i odrzucił powództwo, nie dopuszczając tej sprawy do kolejnego etapu, tj. do rozprawy ("dismissed the case before trial"). Dyskusja na temat tego rozstrzygnięcia toczy się na forum Slashdot, pod notatką Judge Rules IP Addresses Not "Personally Identifiable". Inne źródła to np. tekst P.I.I. on Trial: Poor Decision because of Poor Definitions, albo IP addresses don’t identify people. Żadne z nich nie podaje szczegółów dotyczących decyzji sędziego sądu dystryktowego, w szczególności daty wydania postanowienia, sygnatury albo informacji na temat powodów (osób, które złożyły pozew).

Wszystkie źródła jednak odnoszą się do stanowiska Unii Europejskiej na temat numerów IP, a chodzi nie tyle o stanowisko Unii Europejskiej, co o Opinię Grupy Roboczej art 29 ds Ochrony Danych nr 4/2007 w sprawie pojęcia danych osobowych (PDF), z czerwca 2007 roku. W tej opinii, o której pisałem w tekście Rzut oka na przetwarzanie numerów IP w Polsce, w rozdziale III, pkt 3, przykład 15 - mowa o adresie IP (Internet Protocol address) jako o danych osobowych:

Przykład nr 15: dynamiczne adresy IP
Grupa robocza uznała adresy IP za dane dotyczące osoby możliwej do zidentyfikowania. Grupa stwierdziła, że „dostawcy dostępu do Internetu i administratorzy sieci lokalnych mogą, używając sposobów, jakimi można się posłużyć, zidentyfikować użytkowników Internetu, którym przydzielili adresy IP, ponieważ systematycznie „rejestrują” oni w pliku datę, godzinę, czas trwania i dynamiczne adresy IP przydzielone użytkownikom Internetu. To samo można powiedzieć o dostawcach usług internetowych prowadzących rejestr na serwerze http. W takich przypadkach można niewątpliwie mówić o danych osobowych w sensie art. 2 lit. a) dyrektywy…”.

Zwłaszcza w przypadkach, gdy przetwarzanie adresów IP ma na celu zidentyfikowanie użytkowników komputera (na przykład przez posiadaczy praw autorskich w celu ścigania użytkowników za pogwałcenie praw autorskich), administrator przewiduje, że „sposoby, jakimi można się posłużyć” w celu zidentyfikowania osoby mogą się stać dostępne, na przykład w drodze sądowej (w przeciwnym razie gromadzenie danych nie miałoby sensu), i że w związku z tym informacje te należy uważać za dane osobowe.

Szczególny przypadek stanowią niektóre rodzaje adresów IP, które w pewnych okolicznościach nie pozwalają na zidentyfikowanie użytkownika z różnych względów technicznych i organizacyjnych. Przykładem mogą być adresy IP przypisane do komputera w kawiarni internetowej, gdzie identyfikacja użytkownika nie jest wymagana. Można by twierdzić, że dane dotyczące użycia komputera X w pewnym przedziale czasowym nie pozwalają na zidentyfikowanie osoby „przy użyciu sposobów, jakimi można się posłużyć”, i że w związku z tym nie stanowią one danych osobowych. Jednakże należy odnotować, że dostawcy usług internetowych nie wiedzą najczęściej, czy dany adres IP pozwala na zidentyfikowanie, i że w związku z tym przetwarzają oni dane związane z takim adresem IP w taki sam sposób, jak informacje związane z adresami IP użytkowników zarejestrowanych i możliwych do zidentyfikowania. Dlatego też poza przypadkiem, gdy dostawca usług internetowych może stwierdzić z całkowitą pewnością, że dane dotyczą użytkowników niemożliwych do zidentyfikowania, musi on ze względów bezpieczeństwa traktować wszystkie informacje związane z adresem IP jako dane osobowe.

Dla porządku przywołam jeszcze tekst GIODO: imię, nazwisko, zdjęcie, szkoła, klasa i rocznik - łącznie - nie są danymi osobowymi..., w którym relacjonowałem decyzję Generalnego Inspektora Ochrony Danych Osobowych w sprawie jednego z internautów, którego zdjęcie opublikowane w serwisie Nasza-klasa.pl ktoś trzeci podpisał, a internauta ten domaga się - w związku z tym - ochrony swoich praw. GIODO uznał wówczas, że dane, które znalazły się przy zdjęciu nie stanowią danych osobowych ze względu na art 6 ustawy o ochronie danych osobowych, tj. dlatego, że ustalenie na podstawie tych danych tożsamości osoby, o którą chodzi, wiązałoby się m.in. z nadmiernymi kosztami (art. 6 ust. 3 polskiej ustawy stwierdza, że "Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań"). Ta sprawa jeszcze nie jest zakończona. Po wydaniu wskazanej decyzji sprawa trafiła do Wojewódzkiego Sądu Administracyjnego w Warszawie, który uchylił decyzję GIODO (por. Podpis pod zdjęciem w NK - uzasadnienie wyroku WSA w Warszawie (sygn. II SA/Wa 1495/08)). Ostatnio wspominałem o tej sprawie prezentując nagranie z konferencyjnego wystąpienia ministra Lewińskiego (por. Portale społecznościowe a ochrona danych osobowych (video)). Teraz prawdopodobnie poznamy stanowisko Naczelnego Sądu Administracyjnego w tej sprawie.

Na zakończenie przypomnę kilkakrotnie formułowaną w tym serwisie (zupełnie z innych okazji) tezę: "Sam numer IP komputera nie wystarcza, by wskazać osobę, która z niego korzystała. Numerowi IP nie da się postawić zarzutów" (np. w felietonie z 2004 roku: Aby spać mógł ktoś). Chodzi o to, że kwestia identyfikowalności "aktorów" społeczeństwa informacyjnego ma znaczenie nie tylko ze względu na ochronę ich praw w związku z przetwarzaniem danych osobowych, ale również w kilku innych sferach regulacji (np. w przypadku oceny śladów popełnienia przestępstw). Z rozważań czysto teoretycznych przechodzimy powoli do praktycznych problemów tych regulacji.

Opcje przeglądania komentarzy

Wybierz sposób przeglądania komentarzy oraz kliknij "Zachowaj ustawienia", by aktywować zmiany.

Jeśli adres IP nie jest

Jeśli adres IP nie jest daną osobową, bo nie wskazuje konkretnej osoby, to adres zamieszkania też nie jest daną osobową, bo wskazuje tylko budynek, w którym przebywać może wiele osób.

fałszywa symetria

1. Tzw. adres zamieszkania identyfikuje raczej lokal niż budynek.
2.Zgodnie z ustawą (ale też zdrowym rozsądkiem): Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne. Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań.

Zamieszkanie określa cechy ekonomiczne i społeczne, adres IP - nie.
Ustalenie tożsamości na podstawie adresu zamieszkania nie nastręcza zwykle większych problemów. Ustalenie tożsamości na podstawie IP - przeciwnie. Trzeba pamiętać, że IP jest zwykle dynamiczne, przy adresie zamieszkania o to trudno.

fałszywe wnioski

Już niedługo identyfikacja tożsamości na podstawie IP może kosztować znacznie mniej ( za 1 adres ip) niż wysłanie do małej miejscowości policjanta w celu sprawdzenia kto tam mieszka: podróż służbowa, obsługa zdarzenia, dniówka: jakieś koszty od 30-250 zl, zas identyfikacja adresu ip, może byc wyceniona na grosze...

zmyślone dane?

A od kiedy mamy zacząć przypisywać numery IP osobom a nie komputerom? :) "Już niedługo" brzmi groźnie, szczególnie z perspektywy pracownika ISP, który pierwszy raz słyszy o takim pomyśle. Jakieś źródło danych?

A na jakiej podstawie

kravietz's picture

A na jakiej podstawie miałaby się ta identyfikacja odbywać? Oczywiście, ISP dysponując konfiguracją lub logami serwera DHCP może dokonać mapowania IP na abonenta. Ale to przecież dane abonenta stanowią w bazie ISP daną osobową i to one powinny podlegać ochronie, a nie sam adres IP.

Po raz kolejny mam wrażenie, że w dyskusji o ochronie danych osobowych w wykonaniu europejskim zagubił się gdzieś zdrowy rozsądek a zaczyna się absurdalna kazuistyka.

Bardzo podoba mi się rozstrzygnięcie amerykańskiego sądu cytowane przez Piotra. Zdrowy rozsądek widać również w art. 6 ust. 3 polskiej ustawy o.d.o., choć niekoniecznie w komentarzach GIODO wygłaszanych przy różnych okazjach. Opinia grupy roboczej z czerwca 2007 jest za to przykładem pewnej utraty kontaktu z rzeczywistością.

--
Podpis elektroniczny i bezpieczeństwo IT
http://ipsec.pl/

A numer rejestracyjny samochodu?

To ciekawe, bo podobnie moim zdaniem ma się rzecz z numerem rejestracyjnym samochodu. Wyszła mi z tego taka dość ciekawa analiza. Godne uwagi jest to co pogrubiłem.

W komentarzu do art. 6 ustawy o ochronie danych osobowych na pytanie: czy danymi osobowymi są informacje, że samochody o określonych, podanych numerach rejestracyjnych zostały uszkodzone w wypadkach drogowych? została przedstawiona poniższa opinia.

W podanych przykładzie same informacje nie określają tożsamości osoby, nie wskazują na żadną oznaczoną osobę, niemniej otwierają możliwość ustalenia tożsamości osoby, z którą informacja jest związana. I tak przecież, docierając do właściwej ewidencji pojazdów samochodowych, można powiązać informację z osobą (będącą właścicielem samochodu). Kontynuując to rozumowanie dojdziemy do wniosku, iż w zasadzie każda wiadomość o jakimś zdarzeniu, o jakiejś sytuacji z udziałem człowieka, może zostać uznana za wiadomość zindywidualizowaną, gdyż - co najmniej teoretycznie - zawsze istnieje możliwość określenia tożsamości tego człowieka.
W tym stanie rzeczy pojawia się dalsze, zasadnicze pytanie, czy danymi osobowymi są tylko takie dane, które od razu, ze względu na swą treść, pozwalają określić tożsamość osoby (jak się określa: "osoby zainteresowanej"), czy również takie dane, przy których co prawda takie bezpośrednie odniesienie do osoby nie istnieje, niemniej podanie jej tożsamości jest możliwe. Przychylenie się do drugiej możliwości wywołuje dalsze pytania. Odnoszą się one do stopnia nakładów potrzebnych do ustalenia tożsamości. Innymi słowy chodzi o to, czy do danych osobowych powinno się zaliczać tylko takie dane (informacje), przy których określenie tożsamości jest proste (względnie nie przysparza znacznych trudności) i dostępne dla przeciętnej osoby. Alternatywą byłoby przyjęcie, że przesłanką danych osobowych jest w ogóle możliwość określenia tożsamości, choćby wymagało to szczególnych nakładów, przygotowania, wiedzy, kompetencji.(...)Informacje zatem, które bez nadzwyczajnego wysiłku, bez nieproporcjonalnie dużych nakładów dają się "powiązać" z określoną osobą, zwłaszcza przy wykorzystaniu łatwo osiągalnych źródeł powszechnie dostępnych, również zasługują na zaliczenie ich do kategorii danych osobowych. Na przykład niekiedy nawet opisanie zachowań czy cech charakteru "organisty w miejscowości X", "wieloletniego woźnego w przedsiębiorstwie Y" może uzyskać - ze względu na powiązanie z dającą się oznaczyć osobą - kwalifikacje danych osobowych. Nie zasługują na taką kwalifikację te informacje, których "powiązanie" z oznaczoną osobą nie jest łatwo osiągalne, wymaga nakładów nadzwyczajnych.
Przy tego rodzaju podejściu trzeba by stwierdzić, iż z reguły nie mają statusu danych osobowych informacje odnoszone na przykład do numerów rejestracyjnych samochodów. Łatwiej natomiast status taki przyznać informacjom odnoszonym do ściśle podanych adresów. Pojęcie danych osobowych traci swe ścisłe bezwzględne znaczenie i staje się pojęciem relatywnym.
Należy przy tym naturalnie mieć świadomość, że przesłanka "nadmierności" kosztów czasu lub działań jest niedookreślona i jej rzeczywiste znaczenie zostanie dopiero ukształtowane przez rozstrzygnięcia GIODO dotyczące konkretnych spraw."

a rejestracja autka

numer rejestracyjny autka też identyfikuje tylko autko a mimo to dane te są na filmach, zdjęciach zamazywane... przecież oczywiste że internet = umowa = ip na daną osobę

Masz w umowie z ISP swój

PablO's picture

Masz w umowie z ISP swój adres IP? ;)
Sam adres IP w większości przypadków oznacza tylko dostawcę. W przypadku sieci prywatnej czy mniejszych ISP za takim IP może się kryć cała masa komputerów, od licznej zinformatyzowanej ;) rodziny, przez kafejki, urzędy, do sieci osiedlowej. W takim przypadku identyfikacja osoby po IP jest równie prosta co identyfikacja pasażerów autobusu po jego rejestracji.

Nadgorliwość gorsza jest od faszyzmu

Zamazywanie numerów rejestracyjnych pojazdów na zdjęciach i filmach jest związane z nieprecyzyjnością prawa w tej materii, a co za tym idzie - ze skarajną nadgorliwością, czyli - tchórzostwem tych, co zamazują. Wzięło się to z tego, że lat temu 15 pewna "gazeta" dała kierowcom naklejki ze swoim logo do umieszczania przy tablicach rejestracyjnych. Potem reporter tej "gazety" chodził po mieście, robił jedną fotykę na dzień takiej tablicy rejestracyjnej z przyklejoną obok naklejką i właściciel takiej tablicy, jeżeli się zgłosił do redakcji, dostawał jakąś sporą sumę. Podobno jeden właściciel zgłosił się i kazał sobie wypłacić jako zadośćuczynienie, sumą tysiąckrotnie wyższą. Podobno. Podobno redakcja dla świętego spokuju tę sumę wypłaciła. Podobno, bo nikt w redakcji tego nie przypomina sobie. Poza tym - na jakiej podstawie prawnej taki własciel kazał sobie i za co zapłacić równowartość uwczesnej rocznej średniej krajowej pensji???

Nasza klasa a ip

Konto osoby, która mi wypisuje jakies obelgi, jest definitywnie fikcyjne. Jak oceniaja panstwo szanse na uzyskanie adresu ip tejze osoby od serwisu nasza-klasa.pl? Czy w ogole mam podstawy by ubiegac sie o ip (doszlo do obrazania mojej i bliskiej mi osoby, nie do grozb)? I co dalej z taka informacja? Juz dalej chyba potrzebuje jakiejs podstawy prawnej w postaci nakazu?

Jeżeli jakiś prawnik ma

Jeżeli jakiś prawnik ma coś do odpowiedzenia, to niech śmiało odpowie oprócz mojego zdania, które poniżej.

Mi się wydaje, że administracji naszej-klasy na tyle zależy (w chwilach, kiedy nie mają przepełnionej skrzynki ;)), żeby serwis był traktowany poważnie, że na zgłoszenie nadużycia usuną wszystko włączenie z kontem tego "Pana Gąbki", który Państwu napyszczył, w oparciu o samą ustawę o świadczeniu usług drogą elektroniczną. Może nie warta skórka za wyprawkę z odkrywaniem tożsamości takiego człowieka przed sądem? Czy sądzi Pan(i), że inne kontakty na naszej-klasie wezmą stronę anonimowego łgarza i zaszkodzi to Pana/Pani reputacji? No może to tylko ja jestem taki zdystansowany, bo nie dotknęło to mnie. Powodzenia życzę!

po prostu chcę wiedzieć

po prostu chcę wiedzieć kto taki z mojego otoczenia nie ma na tyle odwagi by powiedzieć cokolwiek wprost i używa takich dziecinnych metod. nie chodzi tu o ukaranie przez prawo tejże osoby ale jeżeli będzie musiało to przejść przez wymiar sprawiedliwości by zaspokoić moją chęć identyfikacji tejże osoby jestem gotów poświęcić czas. a w tym przypadku reputacja moja z pewnością nie ucierpi.

Prowadzić to może do

Prowadzić to może do sytuacji, w której mnóstwo informacji będzie traktowanych "na wszelki wypadek" jako dane osobowe, bo jak się okaże, że potencjalny "administrator" omylił się co do oceny "nakładu sił", to będzie miał nawet odpowiedzialność karną. Chyba że ustali się wyraźna praktyka GIODO i sądów, która pozwoli to doprecyzować - jednak w kontekście opinii Grupy Roboczej można zakładać, że zakres danych uznanych za "osobowe" będzie ulegał stałemu rozszerzaniu.

Dodam...

Tomasz Rychlicki's picture

Żadne z nich nie podaje szczegółów dotyczących decyzji sędziego sądu dystryktowego, w szczególności daty wydania postanowienia, sygnatury albo informacji na temat powodów (osób, które złożyły pozew).

Johnson v. Microsoft Corp., 2009 WL 1794400 (W.D. Wash. June 23, 2009). Plik DOC.

pomóżcie

głupota ludzka nie zna granic....zostałem troche zraniony wiadomością którą otrzymała moja kobieta na nk....konto usuniete konto fikcyjne....JAK MOGE DOWIEDZIEĆ SIE KTO TO NAPISAŁ...GDZIE MOGE DOSTAĆ NUMER IP TEGO ODWAŻNIAKA...Z GÓRY DZIEKUJE ZA POMOC :(

Piotr VaGla Waglowski

VaGla
Piotr VaGla Waglowski - prawnik, publicysta i webmaster, autor serwisu VaGla.pl Prawo i Internet. Członek Rady ds Cyfryzacji przy Ministrze Cyfryzacji, ekspert w Departamencie Oceny Ryzyka Regulacyjnego Ministerstwa Rozwoju, felietonista miesięcznika "IT w Administracji" (wcześniej również felietonista miesięcznika "Gazeta Bankowa" i tygodnika "Wprost"). Uczestniczył w pracach Obywatelskiego Forum Legislacji, działającego przy Fundacji im. Stefana Batorego w ramach programu Odpowiedzialne Państwo. W 1995 założył pierwszą w internecie listę dyskusyjną na temat prawa w języku polskim, Członek Założyciel Internet Society Poland, pełnił funkcję Członka Zarządu ISOC Polska i Członka Rady Polskiej Izby Informatyki i Telekomunikacji. Był również Członkiem Rady Informatyzacji przy MSWiA, członkiem Zespołu ds. otwartych danych i zasobów przy Komitecie Rady Ministrów do spraw Cyfryzacji oraz Doradcą społecznym Prezesa Urzędu Komunikacji Elektronicznej ds. funkcjonowania rynku mediów w szczególności w zakresie neutralności sieci. W latach 2009-2014 Zastępca Przewodniczącego Rady Fundacji Nowoczesna Polska, w tym czasie był również Członkiem Rady Programowej Fundacji Panoptykon. Więcej >>