Dyskusja o numerach IP jako danych osobowych (wyrok WSA w Warszawie)

To miło, że Sąd (nie wiem jaki) podziela opinię Urzędu, o której już tu pisałem . Coraz ciekawsze czasy nadchodzą...

Znajomość adresu IP, może i być danymi osobowymi, ale nie koniecznie adres ten będzie wskazywał np. na mnie. Mamy kilka przypadków, gdzie w którym IP nie będzie mogło zostać skojarzone ze mną:
- mam niezabezpieczoną sieć WiFi i ktoś z niej nielegalnie korzysta
- łączę się przez proxy/VPN, a więc moje IP będzie mogło pochodzić np. ze Szwecji

Mam chyba dość ciekawe pytanie Panie Piotrze.
Nie widziałem jeszcze takie przypadku.
Czy jakakolwiek ustawa nakłada na wydawcę np forum (zakładam, że działam na oprogramowaniu, które sam napisałem - nie na jakimś gotowcu), obowiązek rejestracji numerów IP osób komentujących?
Zdaje się, że Ustawa o Świadczeniu usług drogą elektroniczną nic na ten temat nie mówi.

Zatem co w przypadku, gdy celowo zakładam serwis, gdzie każdy jest anonimowy, w bazie nie przechowuje żadnych danych - tylko same komentarze i nagle ktoś (jakaś organizacja) żąda ode mnie wydania takich danych? Przecież ich nie mam?

Ciekaw jestem takiego scenariusza. Jak Pan to widzi?

U konkurencyjnego wydawcy prasy-Rzeczpospolita-Prawo co dnia odnajdujemy artykuł: "Sposób na ochronę dobrego imienia w sieci".

Co do stwierdzenia: "A gdyby tak te orzeczenia były jakoś lepiej opisane w internecie na oficjalnych stronach wymiaru sprawiedliwości? Gdyby uzasadnienie było dostępne w internecie w dniu ogłoszenia wyroku?", to chyba jeszcze trzeba trochę poczekać jak sądy przekonają się do środków komunikacji elektronicznej i powszechnego ich użytku w pracy organów sprawiedliwości.

Pozdrawiam

gwoli uściślenia (głos kopisty).
materiał - niestety - okrojony, to kwestia przejścia przez papier najpierw i przycięcia go do miejsca na kolumnie(żadne w sumie usprawiedliwienie, ale wciąż docierana jest kwestia wypracowania pewnych reguł redakcyjnych). Niestety, cierpi na tym warstwa informacyjna tekstu (tak, WSA warszawski!).
Natomiast, skoro czepiamy się szczegółów, zwrócę tylko uprzejmie uwagę na zdanie w tekście informujące o dacie:
”Sprawa trafiła do WSA, który w środę podtrzymał stanowisko GIODO”
Być może jakoś interesującym wkładem jest tu komentarz mec. Knopkiewicza
http://wyborcza.biz/biznes/1,100897,7530226,Adres_IP_dana_osobowa__To_budzi_watpliwosci.html

Choć też o tyle problematyczny, że nie znamy uzasadnienia.
Na pewno ciekawa będzie praktyka działania - czy np. tę drogę wykorzystają inni chętni na poznanie danych takich jak IP w drodze administracyjnej (a nie przez prokuraturę i sądy).
O ile się nie mylę, to wyrok WSA dotyczy tylko konkretnej sprawy. Nie wiem, na ile może on wpłynąć na podobnego typu żądania w innych sprawach. W sumie sądownictwo mamy nieprzewidywalne.

Ja tylko w kwestii formalnej: czy forma "numer IP" jest w ogóle poprawna?
Mnie osobiście, jako "technicznego" razi...
"Adres IP" jest z pewnością poprawnym określeniem technicznym i nie wprowadza zamieszanie terminologicznego (choć widzę, że formy "numer IP" używa także GIODO w swoich orzeczeniach... :/ )

W trakcie dnia Ochrony Danych Osobowych był wykład czym są dane osobowe. Były polemiki z prowadzącym w aspekcie czy IP jest daną osobową ? Osoby z sali wyrażały swoje opinie.
Nie znam tego wyroku. Wydaje mi się, że IP w pewnych sytuacjach może stanowić dane osobowe zgodnie z definicją pojęcia danych osobowych.

Statyczny IP to taki ktory masz na stale IP Dynamiczny to IP zmieniajacy sie przy kazdym resecie polaczenia.IP mozna zmieniac,manipulowac,otrzymac jak przykladowo w malym RouterControl
www.teccentral.de/forum/tutorials-f162/ip-wechseln-wie-es-wirklich-geht-67646.html
2.Czy tez ip anonimowo wykorzystac jak w nastepnym przykladzie:
cyberghost.natado.de/?piwik_campaign=AdWords&piwik_kwd=proxy&gclid=CNLugdzs2Z8CFUOFzAodqzROHQ
www.winload.de/s/ip-wechseln
3.Proste przyklady,po polsku:
www.mojeip.ovh.org
4.A teraz bezposrednie porady od microsoft.hahahah
www.microsoft.com/poland/technet/scriptcenter/resources/qanda/mar07/hey0301.mspx
5.The XeroBank Installer includes xB Browser, xB Mail, and xB VPN.
xerobank.com/download
de.utilidades-utiles.com/download-xb-browser-windows-vista.php
en.wikipedia.org/wiki/XeroBank_Browser
Marek Lipski.
Pana Portal w Polsce jest wspanialy.

jak same adresy IP w większości sieci z których korzystają internauci np. w neostradzie? No i pytanie o adresy IPv6... czy one też są danymi osobowymi? Bo orzeczenie dotyczy IP a IPv6 są nieco dłuższe. No i co zrobić z serwisami tunelującymi IPv6 over IP, otwartymi punktami dostępowymi, połączeniami z sieci operatorów telefonii komórkowej etc., etc., ...

Wydaje mi się, że zgodnie z zapisami ustawy (art 23 ustawy o ochronie danych osobowych) na przetwarzanie danych osobowych potrzebne jest pozwolenie osoby, której dane się przetwarza.

Czy w takim razie uznanie adresu IP za dane osobowe nie pociągnie za sobą automatycznie konieczności udzielania takich zezwoleń?

Czy więc, w takim świetle, przed kliknięciem "wyślij komentarz" nie powiniennem być zapytany o to, czy zgadzam się, by właściciel serwisu przetwarzał moje dane osobowe?

Wreszcie, czy w skutek stwierdzenia, że IP jest daną osobową, nie zyskuję prawa do wglądu w logi serwisów? W końcu ustawa daje mi prawo do wglądu w przechowywane dane osobowe, nieprawdaż?

Chodziło o II SA/Wa 1598/09 - Wyrok WSA w Warszawie. W opublikowanym już uzasadnieniu tego wyroku można przeczytać m.in. następujące rozważania sądu (wytłuszczenie moje):

Zgodnie z art. 1 i art. 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 z późn. zm.) sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta sprawowana jest pod względem zgodności z prawem. Oznacza to, iż przedmiotem sprawy jest ocena przez Sąd prawidłowości prowadzonego przez organ administracji publicznej postępowania administracyjnego oraz wydanego w tym postępowaniu rozstrzygnięcia.

Skarga nie mogła zostać uwzględniona, gdyż zaskarżona decyzja jest zgodna z prawem obowiązującym w dniu jej wydania.

W pierwszej kolejności należy rozstrzygnąć, czy żądane przez uczestnika postępowania informacje, tj. adresy IP osób, które w dniu [...] lutego 2006 r. zalogowały się i dokonały wpisów na portalu internetowym [...], forum: dyskusja ogólna, temat: dziecko M., posługując się nickami "j." i "p." stanowią dane osobowe w rozumieniu art. 6 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.).

Na wstępie należy wyjaśnić, czym jest adres IP.

Adres IP (ang. IP address) – liczba nadawana interfejsowi, grupie interfejsów (broadcast, multicast), bądź całej sieci komputerowej opartej na protokole IP, służąca identyfikacji elementów warstwy trzeciej modelu OSI – w obrębie sieci oraz poza nią (tzw. adres publiczny). Adres IP nie jest "numerem rejestracyjnym" komputera – nie identyfikuje jednoznacznie fizycznego urządzenia – może się dowolnie zmieniać (np. przy każdym wejściu do sieci Internetu) jak również kilka urządzeń może dzielić jeden publiczny adres IP. Ustalenie prawdziwego adresu IP użytkownika, do którego następowała transmisja w danym czasie jest możliwe dla systemu/sieci odpornej na przypadki tzw. IP spoofingu – na podstawie historycznych zapisów systemowych (źródło: Adres IP – Wikipedia, wolna encyklopedia).

Każde urządzenie (komputer) w sieci IP musi mieć przyporządkowany adres IP. W ramach jednej podsieci adres IP musi być unikalny dla każdego urządzenia. Adres ten służy do identyfikacji urządzenia w sieci. Dzięki temu unikalnemu numerowi komputer może być rozpoznawany przez inne komputery w sieci. Można w przybliżeniu określić adres IP np. serwera, pod który podłączony jest komputer oraz operatora i drogę jaką pokonuje np. pakiet danych wysłanych pod wskazany adres. Adres IP nie występuje samodzielnie. Zazwyczaj odnoszą się do niego inne informacje, które stwarzają realną możliwość identyfikacji osoby korzystającej z sieci.

Zgodnie z treścią art. 6 ustawy o ochronie danych osobowych, w rozumieniu ustawy za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (ust. 1). Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne (ust.2 ). Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań (ust. 3).

W świetle powyżej przytoczonego przepisu dane osobowe obejmują wszelkie informacje dotyczące osoby fizycznej, o ile możliwe jest zidentyfikowanie tej osoby. Za osobę możliwą do zidentyfikowania uważa się osobę, której tożsamość można określić bezpośrednio lub pośrednio.

Użyty przez ustawodawcę w art. 6 ust. 2 ustawy o ochronie danych osobowych przysłówek "pośrednio" powoduje, iż identyfikacja osoby może nastąpić również na podstawie zestawienia różnych informacji pozwalających określić jej tożsamość. Taka sytuacja zaistniała w rozpoznawanej sprawie.

Z akt sprawy wynika bowiem, iż uczestnik postępowania posiada informacje o dacie logowania, pseudonimach osób dokonujących tej czynności i treści dokonanych wpisów. W ocenie Sądu, powyższe informacje, zestawione z numerami IP umożliwiają jednoznaczne określenie tożsamości osób, które naruszyły dobra osobiste uczestnika postępowania.

Wobec powyższego stwierdzić należy, że Generalny Inspektor zasadnie przyjął, iż żądane przez uczestnika postępowania adresy IP stanowią w niniejszej sprawie dane osobowe w rozumieniu art. 6 ust. 1 ustawy o ochronie danych osobowych, a nakazanie ich udostępnienia stanowi realizację dyspozycji ust. 2 tego przepisu, tzn. stworzy możliwość zidentyfikowania osoby, bądź osób, których tożsamość można określić pośrednio.

Należy również podkreślić, iż adres IP stanowi dane osobowe, gdy jest na stałe przypisany do określonego urządzenia, użytkowanego przez określony podmiot. Ta zależność powoduje, iż w określonych sytuacjach istnieje możliwość identyfikacji tego podmiotu, a taka sytuacja ma miejsce w rozpoznawanej sprawie. Co prawda sam adres IP komputera nie wystarcza do wskazania osoby, która z niego korzystała, ale w zestawieniu z innymi informacjami pozwala przypuszczać, że jej tożsamość można ustalić.

W ocenie Sądu, identyfikacja tej osoby nie musi być związana z nadmiernymi kosztami, czasem lub działaniami. Należy przy tym naturalnie mieć świadomość, że przesłanka "nadmierności" jest niedookreślona i jej rzeczywiste znaczenie zostanie dopiero ukształtowane przez rozstrzygnięcia Generalnego Inspektora dotyczące konkretnych spraw (patrz. Ochrona danych osobowych – komentarz J. Bart, R. Markiewicz, wyd. Zakamycze 2002 str. 315).

Zgodnie z art. 27 ust. 1 ustawy o ochronie danych osobowych, zabrania się przetwarzania danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym.

Natomiast art. 29 ust. 2 powołanej ustawy stanowi, że dane osobowe, z wyłączeniem danych, o których mowa w art. 27 ust. 1, mogą być także udostępniane w celach innych niż włączenie do zbioru, innym osobom i podmiotom niż wymienione w ust. 1, jeżeli w sposób wiarygodny uzasadnią potrzebę posiadania tych danych, a ich udostępnienie nie naruszy praw i wolności osób, których dane dotyczą.

Z powyższego przepisu wynika, że administrator danych może, lecz nie musi, udostępnić wskazane we wniosku dane., w zależności od celu ich wykorzystania.

W rozpoznawanej sprawie, uczestnik postępowania potrzebę posiadania adresów IP (danych osobowych) uzasadnił zamiarem dochodzenia swoich praw przed sądem poprzez wniesienie powództwa o naruszenie dóbr osobistych, co, zdaniem Sądu, jest wystarczającym uzasadnieniem udostępnienia danych osobowych, wykluczającym zarazem ewentualny zarzut naruszenia tajemnicy telekomunikacyjnej.

Podkreślić należy bowiem, że tzw. "ekscesy sieciowe" co raz częściej naruszają dobra osobiste innych osób. Zbyt łatwo, zbyt wiele, teoretycznie anonimowych, osób wyraża swoje poglądy na forach internetowych, krzywdząc innych.

Sąd stoi na stanowisku, iż prawo do swobodnej, anonimowej wypowiedzi, nie może chronić osób, które naruszają prawa innych osób, od odpowiedzialności za wypowiedziane słowa. W sieci nikt nie jest i nie może być anonimowy. Wprawdzie ustalenie tożsamości danej osoby może być utrudnione, jednak z uwagi na to, że każdy komputer zostawia w internecie ślad – adres IP, za pomocą którego można ustalić komputer, z którego dokonano wpisu, stwarza to możliwość pośredniego ustalenia tożsamości osoby, która dokonała tego wpisu.

W tej sytuacji Sąd uznał zarzuty skargi, dotyczące naruszenia przez organ wskazanych w niej przepisów ustawy o ochronie danych osobowych, za bezzasadne.

Sąd nie podzielił również stanowiska strony skarżącej o naruszeniu art. 159 ust. 2 i 3 i art. 161 ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (Dz. U. Nr 171, poz. 1800 z późn. zm.).

Zgodnie bowiem z art. 159 ust. 2 powołanej ustawy, zakazane jest zapoznawanie się, utrwalanie, przechowywanie, przekazywanie lub inne wykorzystanie lub inne wykorzystywanie treści lub danych objętych tajemnica telekomunikacyjną przez osoby inne niż nadawca i odbiorca komunikatu, chyba że:

1) będzie to przedmiotem usługi lub będzie to niezbędne do jej wykonania;

2) nastąpi za zgodą nadawcy lub odbiorcy, których dane dotyczą;

3) dokonanie tych czynności jest niezbędne w celu rejestrowania komunikatów i związanych z nimi danych transmisyjnych, stosowanego w zgodnej z prawem praktyce handlowej dla celów zapewnienia dowodów transakcji handlowej lub celów łączności w działalności handlowej;

4) będzie to konieczne z innych powodów przewidzianych ustawą lub przepisami odrębnymi

Z wyjątkiem przypadków określonych ustawą, ujawnianie lub przetwarzanie treści albo danych objętych tajemnicą telekomunikacyjną narusza obowiązek zachowania tajemnicy telekomunikacyjnej (art. 159 ust. 3 powołanej ustawy).

W świetle powyżej przytoczonych przepisów, zdaniem Sądu, obawa strony skarżącej, iż przekazanie uczestnikowi postępowania adresów IP (danych osobowych) narazi ją na zarzut naruszenia tajemnicy telekomunikacyjnej nie jest uzasadniony. W niniejszej sprawie, zaistniała bowiem przesłanka określona w art. 159 ust. 2 pkt 4 powołanej ustawy., czyli ujawnienie adresu IP stało się konieczne z uwagi na dochodzenie ochrony dóbr osobistych według przepisów ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. Nr 16, poz. 93 z późn. zm.).

Zgodnie natomiast z art. 49 Konstytucji RP, zapewnia się wolność i ochronę tajemnicy komunikowania się. Ich ograniczenie może nastąpić jedynie w przypadkach określonych w ustawie i w sposób w niej określony. Skoro ograniczenie w zakresie zapewnienia wolności i ochrony tajemnicy komunikowania się zostało określone w ustawie, to nie można uznać zarzutu strony skarżącej, że doszło do naruszenia art. 49 ustawy zasadniczej, poprzez jego nie zastosowanie.

--
[VaGla] Vigilant Android Generated for Logical Assassination

Witajcie to Michał,

Jest to bardzo kontrowersyjne, gdyż np.: fora powstają aby wyrazić swoje zdanie ,

Co np. w sytuacji gdy na forum oceniającym pracodawców, pracowik piszę Niezapłacili mi za nadgodziny i urlop podaje kwote,
A na tymż esamym forum pracodawca mu grozi, pisze, moi prawnicy już nad tym pracują zdidentyfikuje was po" logach i IP",i zwolnie
Wydaje mi sie,ze z punltu prawa karnego i prawa pracy to pracodawca grożąć pracownikom powinien się obawiać, gdyż zastraszanie jest karalne mobing też, zwłaszcza gdy się pracownikom nie płaci.

Czekam na wasze odpwowiedzi i sugestie

Pozdrawiam

Michał

W tekście Rzeczpospolitej pt. Anonimowość w sieci nie oznacza bezkarności można znaleźć informację o oddaleniu przez Naczelny Sąd Administracyjny skargi kasacyjnej Grupa o2 sp. z o.o. (sygnatura akt I OSK 1079/10). Ze wstępu zaś dowiadujemy się: "spółka musi udostępnić Maryli Rodowicz komputerowy adres IP osób, które piosenkarka chce pozwać za naruszenie dóbr osobistych"
--
[VaGla] Vigilant Android Generated for Logical Assassination

Ma się tak, że GIODO w tzw międzyczasie zmienił swoje stanowisko (a przynajmniej zmienił to co było wywieszone na Jego stronie internetowej) w sprawie tego czy adres IP jest daną osobową. Przypomnę: w listopadzie 2010 było napisane

Czy adres IP komputera należy do danych osobowych? TAK

a teraz (co najmniej od kwietnia) jest

Adres IP może być w pewnych przypadkach uznany za dane osobowe

Mój komentarz ostatni (o racji GIODO) dotyczy faktu tej zmiany i obecnego stanowiska GIODO (że może być), a mój pierwszy komentarz dotyczył stanowiska GIODO, że adres daną osobową jest. "Jest" i "Może być" to prawie to samo ale prawie, jak wiadomo, czyni wielką różnicę. Komentuję nie wyrok sądowy i nie decyzję GIODO ale stanowisko GIODO, które ewoluuje w - moim zdaniem - właściwym kierunku. Inna rzecz, że nadal uważam, ze ochrona uprzednia danych osobowych jest kiepską metodą ochrony prywatności, ale to już - jak mawiał klasyk - całkiem inna historia.
I jeszcze: ciekaw jestem czy w tej sprawie adres IP, o którym mowa okaże się danymi osobowymi (czy np adresem open proxy gdzieś w TelAwiwie albo węzła TORa na Jamajce). Pewnie wypowie się biegły, który - w wypadku, gdy okaże się że ma miejsce ta gorsza możliwość - będzie miał niewdzięczne (acz wykonalne) zadanie sfalsyfikowania przesłanki większej z uzasadnienia wyroku.