Dyskusja o numerach IP jako danych osobowych (wyrok WSA w Warszawie)

No i co ja mam zrobić z takim newsem? Wyborcza.biz napisała, że "wojewódzki sąd administracyjny w sprawie wpisów internautów o prywatnym życiu Maryli Rodowicz" uznał, że "adres IP to także dane osobowe". Nie podano ani informacji o mieście, w którym ten sąd wojewódzki działa (prawdopodobnie chodzi o WSA w Warszawie), ani nie podano daty wydania orzeczenia, nie podano również sygnatury. Właściwie nic nie podano. Czy to celowo, bym nie mógł sprawdzić tego potem w serwisie orzeczenia.nsa.gov.pl?
Aktualizacja: chodzi o Wyrok WSA w Warszawie z 3 lutego 2010 r., sygn. II SA/Wa 1598/09. Fragmenty uzasadnienia wytłuściłem w komentarzu.

Tekst Sąd: Adres IP to także dane osobowe przepisano z depeszy PAP. Przypuszczam, że może w innych miejscach kopiści nie wycięli istotnych informacji. Szukam. Jest tekst z Dziennika Gazeta Prawna: Adres IP należy do danych osobowych (przygotowany również na podstawie depeszy PAP). Miałem rację - Wojewódzki Sąd Administracyjny w Warszawie. Nie podali jednak sygnatury. Poprzednim razem, gdy Dziennik Gazeta Prawna podał sygnaturę, można było przynajmniej odkręcić rewelacje publikowane w tekście (por. Opublikowano uzasadnienie wyroku w sprawie hasła w polskiej Wikipedii (I ACa 949/09)) Po ogłoszeniu przez media, że sąd dopuścił wulgarne ataki w internecie prezes sądu rozważa nawet interwencje w mediach, ponieważ są granice "głuchego telefonu".

Dziennik Gazeta Prawna nie podał sygnatury, ale napisał chociaż, że "sąd w środę orzekł". W środę, czyli trzeciego lutego.

Wchodzimy na strony Centralnej Bazy Orzeczeń Sądów Administracyjnych. W formularzu wpisujemy "647" (czyli symbol sprawy - "647 Sprawy związane z ochroną danych osobowych") i patrzymy, co nam wyszło. Trzeciego lutego Wojewódzki Sąd Administracyjny w Warszawie wydał Wyrok o sygnaturze II SA/Wa 1598/09. Czy o ten chodzi? Innych jeszcze w systemie nie ma. Do ostatnich umieszczonych tam orzeczeń nie ma też uzasadnienia. Z samej sentencji niewiele się dowiadujemy:

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Grochowska-Jung, Sędziowie Anna Mierzejewska, Janusz Walawski (spr.), Protokolant Marek Kozłowski, po rozpoznaniu na rozprawie w dniu 27 stycznia 2010 r. sprawy ze skargi [...] Sp. z o.o. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lutego 2009 r. nr [...] w przedmiocie ochrony danych osobowych oddala skargę.

Czy zatem to jest ten wyrok, o którym media piszą, że:

Sąd w środę orzekł, że adres IP, pozwalający zidentyfikować autora wpisu na forum internetowym, należy do zbioru danych osobowych i administratorzy forum powinni go wydawać osobom, których dobra zostały naruszone. Według WSA, ustalenie na podstawie tego adresu danych konkretnej osoby "nie pociąga za sobą nadmiernych kosztów ani środków" - co mogłoby ewentualnie stanowić podstawę odmowy udostępnienia przez portal takiego adresu. Według sądu, ta przesłanka nie ma jednak zastosowania do kwestii ustalenia IP internauty.

...tego nie wiadomo. Dziennik Gazeta Prawna napisała, że "Wyrok jest prawomocny", chociaż wspomniany wyżej system NSA twierdzi w odniesieniu do podlinkowanego wyroku, że "orzeczenie nieprawomocne".

Sprawa jest potencjalnie ciekawa, ponieważ chodziło o ustalenie danych osobowych komentatorów na farach internetowych. Ponieważ prawnicy piosenkarki uznali, że komentarze naruszały dobra osobiste, zwrócili się do portalu o udostępnienie danych związanych z opublikowanym tam materiałem (na ten. m.in. temat por. Niemożność wskazania sprawcy przed Europejskim Trybunałem Praw Człowieka i Sygnalizowany wcześniej pozew w sprawie komentarza w serwisie Allegro). Portal nie udostępnił danych, ale GIODO ponoć wydał decyzję nakazującą ich udostępnienie.

Czy wiedza o nr IP komputera, z pomocą którego (czy rzeczywiście?) opublikowano komentarz jest pozwala na zidentyfikowanie konkretnej osoby? Moim zdaniem nie pozwala. Świadczą o tym coraz liczniejsze wyroki, ale nie od dziś takie wyroki zapadają: Ugoda Mokrosińskiej z WP. Cały czas pojawia się problem wydobywania danych od portali w procedurze cywilnej (por. Sąd z Gdańska żąda od Google z Krakowa ujawnienia danych związanych ze skrzynkami poczty elektronicznej i linki z tego tekstu). Kontrowersje wzbudzało również możliwość wydobywania takich danych w procedurze administracyjnoprawnej, via decyzję GIODO.

Była decyzja Generalnego Inspektora Ochrony Danych Osobowych, tak? Szukamy zatem na stronach GIODO. To znaczy... Poszukamy, jak strona GIODO będzie dostępna. Tam są - pamiętam - decyzje związane z wnioskami o udostępnienie danych od wydawców portali.

Szukamy przykładu decyzji, szukamy. Proszę:

GI-DEC-DS-28/04:

Decyzja GIODO z dnia 9 lutego 2004 r. (dotyczy udostępnienia danych osobowych użytkowników portalu internetowego, przeciwko którym Skarżący zamierza wszcząć postępowanie sądowe) (przez Spółkę została wniesiona skarga do Wojewódzkiego Sądu Administracyjnego)

Jest i treść decyzji (PDF)...

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.), art. 12 pkt 2, art. 18 ust. 1 pkt 2, w zw. z art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.) po przeprowadzeniu postępowania administracyjnego wszczętego na wniosek Skarżącego w sprawie wniosku o udostępnienie danych osobowych użytkowników portalu internetowego, podpisujących się w toku dyskusji na forum lokalnym ogólnopolskiego dziennika, jako: „Student”, „Wiedzący”, „Poważny człowiek”, „Paweł Wójcik”, przez administratora tych danych, tj. Wydawcy.
nakazuję Wydawcy udostępnienie Skarżącemu żądanych przez niego danych osobowych.
(...)

Polecam również uzasadnienie. Z niego dowiecie się Państwo, że powyższa decyzja nie dotyczy piosenkarki, a nauczyciela akademickiego, ale w tym serwisie ważna jest argumentacja i stanowisko GIODO, a w uzasadnieniu decyzji można je znaleźć.

A gdyby tak te orzeczenia były jakoś lepiej opisane w internecie na oficjalnych stronach wymiaru sprawiedliwości? Gdyby uzasadnienie było dostępne w internecie w dniu ogłoszenia wyroku?

Przeczytaj również:

Opcje przeglądania komentarzy

Wybierz sposób przeglądania komentarzy oraz kliknij "Zachowaj ustawienia", by aktywować zmiany.

No przecież pisałem o Panu Pikusiu

Maciej_Szmit's picture

To miło, że Sąd (nie wiem jaki) podziela opinię Urzędu, o której już tu pisałem . Coraz ciekawsze czasy nadchodzą...

Sposob na szybsze uzyskanie tresci wyroku.

Ten wyrok mozna uzyskac nie pozniej niz w ciagu 14 dni, skladajac e-mailem do WSA wniosek o udostepnienie tego wyroku (na mocy art. 2 i 10 udip) w bazie danych orzeczen NSA lub nadeslanie np. e-mailem do wnioskodawcy. Mozna do wniosku dolaczyc informacje prasowe o tym wyroku.

Znajomość adresu IP, może

Znajomość adresu IP, może i być danymi osobowymi, ale nie koniecznie adres ten będzie wskazywał np. na mnie. Mamy kilka przypadków, gdzie w którym IP nie będzie mogło zostać skojarzone ze mną:
- mam niezabezpieczoną sieć WiFi i ktoś z niej nielegalnie korzysta
- łączę się przez proxy/VPN, a więc moje IP będzie mogło pochodzić np. ze Szwecji

Zapytanie w sprawie IP - proszę o odpowiedź

Mam chyba dość ciekawe pytanie Panie Piotrze.
Nie widziałem jeszcze takie przypadku.
Czy jakakolwiek ustawa nakłada na wydawcę np forum (zakładam, że działam na oprogramowaniu, które sam napisałem - nie na jakimś gotowcu), obowiązek rejestracji numerów IP osób komentujących?
Zdaje się, że Ustawa o Świadczeniu usług drogą elektroniczną nic na ten temat nie mówi.

Zatem co w przypadku, gdy celowo zakładam serwis, gdzie każdy jest anonimowy, w bazie nie przechowuje żadnych danych - tylko same komentarze i nagle ktoś (jakaś organizacja) żąda ode mnie wydania takich danych? Przecież ich nie mam?

Ciekaw jestem takiego scenariusza. Jak Pan to widzi?

To Ciebie oskarżą

Jeśli nie wskażesz potencjalnych sprawców to moim zdaniem osoba, której nie pasują treści tam zawarte wystąpi do Ciebie z powództwem cywilnym, a ew. prokuratura Cię oskarży jeśli treści będą naruszały przepisy prawa karnego.
I teraz udowodnij, że to nie ty - bo prorok powie, że Ty i wykaże, że to byłeś Ty i nie mając śladu dowodu nie wykażesz, że wątłe, poszlakowe oskarżenie jest bezpodstawne. W praktyce dostaniesz zapewne lekką karę + nakaz usunięcia treści.

dobre imię

U konkurencyjnego wydawcy prasy-Rzeczpospolita-Prawo co dnia odnajdujemy artykuł: "Sposób na ochronę dobrego imienia w sieci".

Co do stwierdzenia: "A gdyby tak te orzeczenia były jakoś lepiej opisane w internecie na oficjalnych stronach wymiaru sprawiedliwości? Gdyby uzasadnienie było dostępne w internecie w dniu ogłoszenia wyroku?", to chyba jeszcze trzeba trochę poczekać jak sądy przekonają się do środków komunikacji elektronicznej i powszechnego ich użytku w pracy organów sprawiedliwości.

Pozdrawiam

w środę

gwoli uściślenia (głos kopisty).
materiał - niestety - okrojony, to kwestia przejścia przez papier najpierw i przycięcia go do miejsca na kolumnie(żadne w sumie usprawiedliwienie, ale wciąż docierana jest kwestia wypracowania pewnych reguł redakcyjnych). Niestety, cierpi na tym warstwa informacyjna tekstu (tak, WSA warszawski!).
Natomiast, skoro czepiamy się szczegółów, zwrócę tylko uprzejmie uwagę na zdanie w tekście informujące o dacie:
”Sprawa trafiła do WSA, który w środę podtrzymał stanowisko GIODO”
Być może jakoś interesującym wkładem jest tu komentarz mec. Knopkiewicza
http://wyborcza.biz/biznes/1,100897,7530226,Adres_IP_dana_osobowa__To_budzi_watpliwosci.html

Choć też o tyle problematyczny, że nie znamy uzasadnienia.
Na pewno ciekawa będzie praktyka działania - czy np. tę drogę wykorzystają inni chętni na poznanie danych takich jak IP w drodze administracyjnej (a nie przez prokuraturę i sądy).
O ile się nie mylę, to wyrok WSA dotyczy tylko konkretnej sprawy. Nie wiem, na ile może on wpłynąć na podobnego typu żądania w innych sprawach. W sumie sądownictwo mamy nieprzewidywalne.

dlaczego "numery IP"?

Ja tylko w kwestii formalnej: czy forma "numer IP" jest w ogóle poprawna?
Mnie osobiście, jako "technicznego" razi...
"Adres IP" jest z pewnością poprawnym określeniem technicznym i nie wprowadza zamieszanie terminologicznego (choć widzę, że formy "numer IP" używa także GIODO w swoich orzeczeniach... :/ )

adres IP jest numerem

adres IP jest w zasadzie liczbą z zakresu 0-2^32, tylko dla ułatwienia zapamiętywania i przekazywania ustnego zapisywaną z podziałem na bajty.
np. url http://3283847179/ wskazuje na stronę Sejmu.

--
pozdrawiam
i.o.

adres IP jest jednak adresem

adres IP jest adresem - wynika to z jego przeznaczenia: służy on do identyfikacji urządzenia w ramach sieci IP

Adres IP może być zapisywany w systemie dziesiętnym (z kropkami oddzielającymi oktety), szesnastkowym, dwójkowym, dziesiętnym. A fakt, że jedna z możliwych reprezentacji jest numerem, nie powinno zmieniać adresu w numer.

http://en.wikipedia.org/wiki/IPv4#Addressing

Kilka uwag:
- numer kojarzony może być z kolejnością np.: firma posiada pięć zewnętrznych adresów IP, numer pierwszy: xxx.xxx.xxx.xxx numer drugi...

-moja karta sieciowa posiada kilka adresów IP - ze względu na wirtualizację - mogę je sobie ponumerować ale nadal będą to adresy.

-z praktyki zapisanie adresu IP jako liczby dziesiętnej raczej utrudnia przetwarzanie takiego adresu: oznaczenie klasy sieci, wyznaczenia adresu sieci, adresu rozgłoszeniowego, zastosowania maski...

-fakt, że jednym z dopuszczalnych sposobów zapisu jest liczba dziesiętna nie czyni z adresu IP numeru. Choć potocznie można się spotkać z takim sformułowaniem to i tak wszyscy wiedzą o co chodzi.

Wyniki 1 - 10 spośród około 438,000 dla zapytania "adres ip"
Wyniki 1 - 10 spośród około 51,000 dla zapytania "numer ip"
Wyniki 1 - 10 spośród około 2,880,000 dla zapytania "IP number"
Wyniki 1 - 10 spośród około 44,500,000 dla zapytania "IP address"

"The designers of TCP/IP defined an IP address as a 32-bit number..." - adres jest adresem, nawet jeśli w tym kontekście przetłumaczyć number jako numer (a nie jako liczba) to i tak dotyczy to zakresu adresowego.

http://pl.wikipedia.org/wiki/Numer_IP#Zapis

Więc adres IP nie jest wg. żadnej zasady numerem, jedynie jeden z jego sposobów wizualizacji może być liczbą, a zapis z podziałem na bajty ułatwia jego przetwarzanie. W celu ułatwiania zapamiętywania adresów wykorzystywany jest DNS.

nie twierdzę że używanie

nie twierdzę że używanie formy "numer IP" na określenie adresu jest właściwsze, jedynie zauważyłem fakt że jest to po prostu liczbą całkowitą dodatnią, czyli konstrukcja "numer IP" jest formalnie poprawna (choć sam nigdy bym jej nie użył).

--
pozdrawiam
i.o.

też nie :) "numer IP" wyłącznie nieformalnie

niestety konstrukcja "numer IP" nie jest formalnie poprawna,

numer ma zupełnie inne znaczenie niż adres, numer to np.: "liczba umieszczana na czymś lub na kimś, oznaczająca kolejne miejsce rzeczy lub osoby, określająca wielkość, rozmiar, gatunek czegoś ... pomieszczenie, np. pokój hotelowy, opatrzone kolejną liczbą" (http://sjp.pwn.pl/lista.php?co=numer)

Dopiero jeśli ponumerujemy wszystkie adresy IP w jakiś sposób, to np. adres o numerze 1 bedzie liczbą 0 czyli w innym formacie 0.0.0.0

To że adres IP można przedstawić jako liczbę całkowitą dodatnią nie robi z tej liczby numeru. Liczba nie jest automatycznie numerem tylko dlatego, że składa się z cyfr. Tym bardziej, że w tym kontekście pełni rolę adresu, zapisnego w innym formacie.

"Numer IP" jest to prawdopodobnie kalką językowa od pojęć takich jak numer seryjny, numer VIN, etc.

Więc zapis "numer IP" (mimo że nieformalnie zrozumiały) jest błędny - a pierwszemu rozmówcy chodzi o to, żeby chociaż w przepisach prawa używać pojęć poprawnych - i w tym na pewno się zgadzamy oboje :)

facepalm

Nie jest to chyba kwestia zasadnicza, ale przyznam ze nie zdzierżyłem.

Faktycznie zwykle używa się pojęcia adres, ale numer jest jak najzupełniej poprawny z punktu widzenia języka. Jak powyższy fragment definicji ze sjp pokazuje, numer nie oznacza tylko przyporządkowanej kolejno liczby, ale może też oznaczać klasę, wielkość - przyporządkowanie do danej kategorii.

W języku angielskim nie ma rozróżnienia między numerem a liczbą - oba to number. W polskim mamy liczbę, pochodzącą od liczyć oraz wzięty z łaciny numer. Liczbę używa się do określenia liczności lub w matematyce, numer jeżeli liczba użyta jest jako symbol (nie mylić z cyfrą!).

Z kolei adres w języku polskim kojarzy się raczej z konkretnym miejscem, więc użycie tego wyrazu też nie jest pozbawione wad.
Jeżeli mówimy o numerze telefonicznym, nie ma ŻADNYCH przeciwskazań, żeby używać również określenia numer IP, bo znaczenie i zastosowanie obu jest identyczne zarówno z punktu widzenia funkcjonalnego, jak i obecnie technicznego.

A argument o zapisywaniu IP w formie liczby dziesiętnej, który jakoby miałby utrudniać przetwarzanie, woła o pomstę do nieba. Nie ma znaczenia czy zapiszemy dziesiętnie poszczególne bajty czy całość, i tak trzeba dokonać konwersji DTB, a odczytywać wybrany zakres bitów potrafi chyba każdy informatyk.

"IP address" powinien być "adresem IP"

No tak, wszystko niby pięknie i ślicznie ale numer telefoniczny to "telehon number" a przecież adres IP to "IP address" - tak nazwali te liczbę twórcy protokołu IP i jakoś do dziś nikt nie chce tego zmieniać bo ta nazwa jest najbardziej adekwatna do funkcji pełnionej przez adres IP.

Nawet telefony IP mają swój adres IP i jego zastosowanie nie jest identyczne jak zastosowanie "numeru telefonu" http://en.wikipedia.org/wiki/IP_Phone

Więc czy można by tłumaczyć "MAC address" jako "numer MAC"? Naprawdę nie ma tu znaczenia czy w angielskim istnieje odpowiednik słowa numer a liczby to już nie -bo pojęcie "IP address" pochodzi z języka angielskieg a słowo "address" jest tłumaczone jako "adres".

Co do braku przeciwskazań to ich nie ma, bo to też jest zrozumiałe - tylko że jest to tłumaczenie nieformalne - określenie potoczne, nie wynikającego ani z tłumaczenia wersji angielskiej ani z zastosowań adresu IP.

"An Internet Protocol (IP) address is a numerical label that is assigned to devices participating in a computer network that uses the Internet Protocol for communication between its nodes.[1] An IP address serves two principal functions: host or network interface identification and location addressing."
http://en.wikipedia.org/wiki/IP_address

A może ktoś zna jakąś polską norme gdzie pojęcie "Address IP" jest już przetłumaczone?

Co do przetważania, ja osobiście adresy IP w bazie przechowuję jako 32 bitową liczbę całkowitą bez znaku, najczęstrzych operacji dokonuję na postaci CIDR. Ciężko wyznaczyć poniższe parametry sieci (typowy DSL) korzystając z postaci liczbowej adresu IP, tak samo jest z czytaniem logów - nikt jakoś nie kwapi się do wprowadzenia zapisu liczboweg dla adresu IP.

194.50.60.41 maska 255.255.255.248 adres sieci: 194.50.60.40 adres rozgłoszeniowy: 194.50.60.47, zakres adresowy: 194.50.60.41 - 194.50.60.46
http://www.subnet-calculator.com/

Nigdzie też nie napisałem że zapis inny niż z podziałem na bajty utrudnia przetwarzanie - według mnie zapis z podziałem na bajty ułatwia przetwarzanie. Procesorowi to i tak wszystko jedno.

Proponuję zakończyć dyskusję remisem i wyznaczyć neutralne forum w celu przeprowadzenia ewentualnej dogrywki :)
...i podania definicji DTB

Bike shed

Myślę, że "numer IP" wziął się od zaproszonych ekspertów, którzy prawdopodobnie mają większe doświadczenie telekomunikacyjne niż sieciowe. W większości specyfikacji ITU-T końcówka systemu jest oznaczana numerem. Według mnie powinien to być adres, a nie numer, ale tak naprawdę to Szopa na rowery.

W trakcie dnia Ochrony

W trakcie dnia Ochrony Danych Osobowych był wykład czym są dane osobowe. Były polemiki z prowadzącym w aspekcie czy IP jest daną osobową ? Osoby z sali wyrażały swoje opinie.
Nie znam tego wyroku. Wydaje mi się, że IP w pewnych sytuacjach może stanowić dane osobowe zgodnie z definicją pojęcia danych osobowych.

Autorem komentarza nie musi być właściciel IP.

Statyczny IP to taki ktory masz na stale IP Dynamiczny to IP zmieniajacy sie przy kazdym resecie polaczenia.IP mozna zmieniac,manipulowac,otrzymac jak przykladowo w malym RouterControl
www.teccentral.de/forum/tutorials-f162/ip-wechseln-wie-es-wirklich-geht-67646.html
2.Czy tez ip anonimowo wykorzystac jak w nastepnym przykladzie:
cyberghost.natado.de/?piwik_campaign=AdWords&piwik_kwd=proxy&gclid=CNLugdzs2Z8CFUOFzAodqzROHQ
www.winload.de/s/ip-wechseln
3.Proste przyklady,po polsku:
www.mojeip.ovh.org
4.A teraz bezposrednie porady od microsoft.hahahah
www.microsoft.com/poland/technet/scriptcenter/resources/qanda/mar07/hey0301.mspx
5.The XeroBank Installer includes xB Browser, xB Mail, and xB VPN.
xerobank.com/download
de.utilidades-utiles.com/download-xb-browser-windows-vista.php
en.wikipedia.org/wiki/XeroBank_Browser
Marek Lipski.
Pana Portal w Polsce jest wspanialy.

A może sygnatury będą przydzienale dynamicznie...

jak same adresy IP w większości sieci z których korzystają internauci np. w neostradzie? No i pytanie o adresy IPv6... czy one też są danymi osobowymi? Bo orzeczenie dotyczy IP a IPv6 są nieco dłuższe. No i co zrobić z serwisami tunelującymi IPv6 over IP, otwartymi punktami dostępowymi, połączeniami z sieci operatorów telefonii komórkowej etc., etc., ...

Pozwólcie, że zapytam.

Wydaje mi się, że zgodnie z zapisami ustawy (art 23 ustawy o ochronie danych osobowych) na przetwarzanie danych osobowych potrzebne jest pozwolenie osoby, której dane się przetwarza.

Czy w takim razie uznanie adresu IP za dane osobowe nie pociągnie za sobą automatycznie konieczności udzielania takich zezwoleń?

Czy więc, w takim świetle, przed kliknięciem "wyślij komentarz" nie powiniennem być zapytany o to, czy zgadzam się, by właściciel serwisu przetwarzał moje dane osobowe?

Wreszcie, czy w skutek stwierdzenia, że IP jest daną osobową, nie zyskuję prawa do wglądu w logi serwisów? W końcu ustawa daje mi prawo do wglądu w przechowywane dane osobowe, nieprawdaż?

Jest uzasadnienie wyroku z interesującymi tezami

VaGla's picture

Chodziło o II SA/Wa 1598/09 - Wyrok WSA w Warszawie. W opublikowanym już uzasadnieniu tego wyroku można przeczytać m.in. następujące rozważania sądu (wytłuszczenie moje):

Zgodnie z art. 1 i art. 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 z późn. zm.) sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta sprawowana jest pod względem zgodności z prawem. Oznacza to, iż przedmiotem sprawy jest ocena przez Sąd prawidłowości prowadzonego przez organ administracji publicznej postępowania administracyjnego oraz wydanego w tym postępowaniu rozstrzygnięcia.

Skarga nie mogła zostać uwzględniona, gdyż zaskarżona decyzja jest zgodna z prawem obowiązującym w dniu jej wydania.

W pierwszej kolejności należy rozstrzygnąć, czy żądane przez uczestnika postępowania informacje, tj. adresy IP osób, które w dniu [...] lutego 2006 r. zalogowały się i dokonały wpisów na portalu internetowym [...], forum: dyskusja ogólna, temat: dziecko M., posługując się nickami "j." i "p." stanowią dane osobowe w rozumieniu art. 6 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.).

Na wstępie należy wyjaśnić, czym jest adres IP.

Adres IP (ang. IP address) – liczba nadawana interfejsowi, grupie interfejsów (broadcast, multicast), bądź całej sieci komputerowej opartej na protokole IP, służąca identyfikacji elementów warstwy trzeciej modelu OSI – w obrębie sieci oraz poza nią (tzw. adres publiczny). Adres IP nie jest "numerem rejestracyjnym" komputera – nie identyfikuje jednoznacznie fizycznego urządzenia – może się dowolnie zmieniać (np. przy każdym wejściu do sieci Internetu) jak również kilka urządzeń może dzielić jeden publiczny adres IP. Ustalenie prawdziwego adresu IP użytkownika, do którego następowała transmisja w danym czasie jest możliwe dla systemu/sieci odpornej na przypadki tzw. IP spoofingu – na podstawie historycznych zapisów systemowych (źródło: Adres IP – Wikipedia, wolna encyklopedia).

Każde urządzenie (komputer) w sieci IP musi mieć przyporządkowany adres IP. W ramach jednej podsieci adres IP musi być unikalny dla każdego urządzenia. Adres ten służy do identyfikacji urządzenia w sieci. Dzięki temu unikalnemu numerowi komputer może być rozpoznawany przez inne komputery w sieci. Można w przybliżeniu określić adres IP np. serwera, pod który podłączony jest komputer oraz operatora i drogę jaką pokonuje np. pakiet danych wysłanych pod wskazany adres. Adres IP nie występuje samodzielnie. Zazwyczaj odnoszą się do niego inne informacje, które stwarzają realną możliwość identyfikacji osoby korzystającej z sieci.

Zgodnie z treścią art. 6 ustawy o ochronie danych osobowych, w rozumieniu ustawy za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (ust. 1). Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne (ust.2 ). Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań (ust. 3).

W świetle powyżej przytoczonego przepisu dane osobowe obejmują wszelkie informacje dotyczące osoby fizycznej, o ile możliwe jest zidentyfikowanie tej osoby. Za osobę możliwą do zidentyfikowania uważa się osobę, której tożsamość można określić bezpośrednio lub pośrednio.

Użyty przez ustawodawcę w art. 6 ust. 2 ustawy o ochronie danych osobowych przysłówek "pośrednio" powoduje, iż identyfikacja osoby może nastąpić również na podstawie zestawienia różnych informacji pozwalających określić jej tożsamość. Taka sytuacja zaistniała w rozpoznawanej sprawie.

Z akt sprawy wynika bowiem, iż uczestnik postępowania posiada informacje o dacie logowania, pseudonimach osób dokonujących tej czynności i treści dokonanych wpisów. W ocenie Sądu, powyższe informacje, zestawione z numerami IP umożliwiają jednoznaczne określenie tożsamości osób, które naruszyły dobra osobiste uczestnika postępowania.

Wobec powyższego stwierdzić należy, że Generalny Inspektor zasadnie przyjął, iż żądane przez uczestnika postępowania adresy IP stanowią w niniejszej sprawie dane osobowe w rozumieniu art. 6 ust. 1 ustawy o ochronie danych osobowych, a nakazanie ich udostępnienia stanowi realizację dyspozycji ust. 2 tego przepisu, tzn. stworzy możliwość zidentyfikowania osoby, bądź osób, których tożsamość można określić pośrednio.

Należy również podkreślić, iż adres IP stanowi dane osobowe, gdy jest na stałe przypisany do określonego urządzenia, użytkowanego przez określony podmiot. Ta zależność powoduje, iż w określonych sytuacjach istnieje możliwość identyfikacji tego podmiotu, a taka sytuacja ma miejsce w rozpoznawanej sprawie. Co prawda sam adres IP komputera nie wystarcza do wskazania osoby, która z niego korzystała, ale w zestawieniu z innymi informacjami pozwala przypuszczać, że jej tożsamość można ustalić.

W ocenie Sądu, identyfikacja tej osoby nie musi być związana z nadmiernymi kosztami, czasem lub działaniami. Należy przy tym naturalnie mieć świadomość, że przesłanka "nadmierności" jest niedookreślona i jej rzeczywiste znaczenie zostanie dopiero ukształtowane przez rozstrzygnięcia Generalnego Inspektora dotyczące konkretnych spraw (patrz. Ochrona danych osobowych – komentarz J. Bart, R. Markiewicz, wyd. Zakamycze 2002 str. 315).

Zgodnie z art. 27 ust. 1 ustawy o ochronie danych osobowych, zabrania się przetwarzania danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym.

Natomiast art. 29 ust. 2 powołanej ustawy stanowi, że dane osobowe, z wyłączeniem danych, o których mowa w art. 27 ust. 1, mogą być także udostępniane w celach innych niż włączenie do zbioru, innym osobom i podmiotom niż wymienione w ust. 1, jeżeli w sposób wiarygodny uzasadnią potrzebę posiadania tych danych, a ich udostępnienie nie naruszy praw i wolności osób, których dane dotyczą.

Z powyższego przepisu wynika, że administrator danych może, lecz nie musi, udostępnić wskazane we wniosku dane., w zależności od celu ich wykorzystania.

W rozpoznawanej sprawie, uczestnik postępowania potrzebę posiadania adresów IP (danych osobowych) uzasadnił zamiarem dochodzenia swoich praw przed sądem poprzez wniesienie powództwa o naruszenie dóbr osobistych, co, zdaniem Sądu, jest wystarczającym uzasadnieniem udostępnienia danych osobowych, wykluczającym zarazem ewentualny zarzut naruszenia tajemnicy telekomunikacyjnej.

Podkreślić należy bowiem, że tzw. "ekscesy sieciowe" co raz częściej naruszają dobra osobiste innych osób. Zbyt łatwo, zbyt wiele, teoretycznie anonimowych, osób wyraża swoje poglądy na forach internetowych, krzywdząc innych.

Sąd stoi na stanowisku, iż prawo do swobodnej, anonimowej wypowiedzi, nie może chronić osób, które naruszają prawa innych osób, od odpowiedzialności za wypowiedziane słowa. W sieci nikt nie jest i nie może być anonimowy. Wprawdzie ustalenie tożsamości danej osoby może być utrudnione, jednak z uwagi na to, że każdy komputer zostawia w internecie ślad – adres IP, za pomocą którego można ustalić komputer, z którego dokonano wpisu, stwarza to możliwość pośredniego ustalenia tożsamości osoby, która dokonała tego wpisu.

W tej sytuacji Sąd uznał zarzuty skargi, dotyczące naruszenia przez organ wskazanych w niej przepisów ustawy o ochronie danych osobowych, za bezzasadne.

Sąd nie podzielił również stanowiska strony skarżącej o naruszeniu art. 159 ust. 2 i 3 i art. 161 ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (Dz. U. Nr 171, poz. 1800 z późn. zm.).

Zgodnie bowiem z art. 159 ust. 2 powołanej ustawy, zakazane jest zapoznawanie się, utrwalanie, przechowywanie, przekazywanie lub inne wykorzystanie lub inne wykorzystywanie treści lub danych objętych tajemnica telekomunikacyjną przez osoby inne niż nadawca i odbiorca komunikatu, chyba że:

1) będzie to przedmiotem usługi lub będzie to niezbędne do jej wykonania;

2) nastąpi za zgodą nadawcy lub odbiorcy, których dane dotyczą;

3) dokonanie tych czynności jest niezbędne w celu rejestrowania komunikatów i związanych z nimi danych transmisyjnych, stosowanego w zgodnej z prawem praktyce handlowej dla celów zapewnienia dowodów transakcji handlowej lub celów łączności w działalności handlowej;

4) będzie to konieczne z innych powodów przewidzianych ustawą lub przepisami odrębnymi

Z wyjątkiem przypadków określonych ustawą, ujawnianie lub przetwarzanie treści albo danych objętych tajemnicą telekomunikacyjną narusza obowiązek zachowania tajemnicy telekomunikacyjnej (art. 159 ust. 3 powołanej ustawy).

W świetle powyżej przytoczonych przepisów, zdaniem Sądu, obawa strony skarżącej, iż przekazanie uczestnikowi postępowania adresów IP (danych osobowych) narazi ją na zarzut naruszenia tajemnicy telekomunikacyjnej nie jest uzasadniony. W niniejszej sprawie, zaistniała bowiem przesłanka określona w art. 159 ust. 2 pkt 4 powołanej ustawy., czyli ujawnienie adresu IP stało się konieczne z uwagi na dochodzenie ochrony dóbr osobistych według przepisów ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. Nr 16, poz. 93 z późn. zm.).

Zgodnie natomiast z art. 49 Konstytucji RP, zapewnia się wolność i ochronę tajemnicy komunikowania się. Ich ograniczenie może nastąpić jedynie w przypadkach określonych w ustawie i w sposób w niej określony. Skoro ograniczenie w zakresie zapewnienia wolności i ochrony tajemnicy komunikowania się zostało określone w ustawie, to nie można uznać zarzutu strony skarżącej, że doszło do naruszenia art. 49 ustawy zasadniczej, poprzez jego nie zastosowanie.

--
[VaGla] Vigilant Android Generated for Logical Assassination

W sieci nikt nie jest i nie

kocio's picture

W sieci nikt nie jest i nie może być anonimowy.

Mam nadzieję, że to tylko moje zbyt dosłowne odczytanie, ale co tam - najwyżej się wygłupię: a gdzie można być anonimowym? Poza siecią, czy tam też nie można?

Co do ustalenia czy się jest czy nie jest to kwestia faktów i interpretacji, ale druga część zdania brzmi niepokojąco normatywnie i (na mój rozum) chce likwidacji anonimowości.

Kolejny wyrok w ktorym sad

Kolejny wyrok w ktorym sad sie posilkuje przy orzekaniu haslem z wikipedii. Moze jakas strone z kolekcja takich wyrokow ktos by stworzyl dla statystyki.

Sad sie "placze w

Sad sie "placze w zeznaniach".
Raz pisze:
"W ocenie Sądu, powyższe informacje, zestawione z numerami IP umożliwiają jednoznaczne określenie tożsamości osób, które naruszyły dobra osobiste uczestnika postępowania."

a innym razem:

"Co prawda sam adres IP komputera nie wystarcza do wskazania osoby, która z niego korzystała, ale w zestawieniu z innymi informacjami pozwala przypuszczać, że jej tożsamość można ustalić."

Jak dla mnie jest oczywiste ze adres IP w wiekszosci przypadkow pozwala jednoznacznie ustalic jedynie tozsamosc osoby, ktora wykupila usluge dostepu do internetu, a nie osobe, ktora popelnila jakis czyn niedozwolony (nawet gdy osoba mieszka samotnie to i tak ktos inny mogl u niej korzystac z jej komputera, a gdy chodzi o rodziny to juz w ogole nie mozna miec jakiejkolwiek pewnosci kto, co i kiedy zrobil). Stad tez wnioski sadu sa bledne.

Witajcie

Witajcie to Michał,

Jest to bardzo kontrowersyjne, gdyż np.: fora powstają aby wyrazić swoje zdanie ,

Co np. w sytuacji gdy na forum oceniającym pracodawców, pracowik piszę Niezapłacili mi za nadgodziny i urlop podaje kwote,
A na tymż esamym forum pracodawca mu grozi, pisze, moi prawnicy już nad tym pracują zdidentyfikuje was po" logach i IP",i zwolnie
Wydaje mi sie,ze z punltu prawa karnego i prawa pracy to pracodawca grożąć pracownikom powinien się obawiać, gdyż zastraszanie jest karalne mobing też, zwłaszcza gdy się pracownikom nie płaci.

Czekam na wasze odpwowiedzi i sugestie

Pozdrawiam

Michał

Kasacja w sprawie nr IP jako danych osobowych

VaGla's picture

W tekście Rzeczpospolitej pt. Anonimowość w sieci nie oznacza bezkarności można znaleźć informację o oddaleniu przez Naczelny Sąd Administracyjny skargi kasacyjnej Grupa o2 sp. z o.o. (sygnatura akt I OSK 1079/10). Ze wstępu zaś dowiadujemy się: "spółka musi udostępnić Maryli Rodowicz komputerowy adres IP osób, które piosenkarka chce pozwać za naruszenie dóbr osobistych"
--
[VaGla] Vigilant Android Generated for Logical Assassination

No i GIODO miał rację.

Maciej_Szmit's picture

No i GIODO miał rację. Bywa (adres IP danymi osobowymi). Przy czym oczywiście samo IP współcześnie w przytłaczającej większości wypadków nie wystarczy do jednoznacznego ustalenia osoby (ale na przyjecie tego do wiadomości przez europejskiego ustawodawcę musimy poczekać następne 10 lat). Ale żeby nie było wątpliwości: to podejście (że bywa) jest rozsądne i podoba mi się :)

Z czysto naukowej

Z czysto naukowej dociekliwości - jak się Pana ostatni komentarz ma do pierwszego Pana komentarza pod tą informacją? Przypomnę, że rozmawiamy o tej samej decyzji GIODO, którą WSA utrzymał w mocy, a NSA tylko podtrzymał wyrok WSA...

jeśli z czysto naukowej to odpowiem :)

Maciej_Szmit's picture

Ma się tak, że GIODO w tzw międzyczasie zmienił swoje stanowisko (a przynajmniej zmienił to co było wywieszone na Jego stronie internetowej) w sprawie tego czy adres IP jest daną osobową. Przypomnę: w listopadzie 2010 było napisane

Czy adres IP komputera należy do danych osobowych? TAK

a teraz (co najmniej od kwietnia) jest

Adres IP może być w pewnych przypadkach uznany za dane osobowe

Mój komentarz ostatni (o racji GIODO) dotyczy faktu tej zmiany i obecnego stanowiska GIODO (że może być), a mój pierwszy komentarz dotyczył stanowiska GIODO, że adres daną osobową jest. "Jest" i "Może być" to prawie to samo ale prawie, jak wiadomo, czyni wielką różnicę. Komentuję nie wyrok sądowy i nie decyzję GIODO ale stanowisko GIODO, które ewoluuje w - moim zdaniem - właściwym kierunku. Inna rzecz, że nadal uważam, ze ochrona uprzednia danych osobowych jest kiepską metodą ochrony prywatności, ale to już - jak mawiał klasyk - całkiem inna historia.
I jeszcze: ciekaw jestem czy w tej sprawie adres IP, o którym mowa okaże się danymi osobowymi (czy np adresem open proxy gdzieś w TelAwiwie albo węzła TORa na Jamajce). Pewnie wypowie się biegły, który - w wypadku, gdy okaże się że ma miejsce ta gorsza możliwość - będzie miał niewdzięczne (acz wykonalne) zadanie sfalsyfikowania przesłanki większej z uzasadnienia wyroku.

Piotr VaGla Waglowski

VaGla
Piotr VaGla Waglowski - prawnik, publicysta i webmaster, autor serwisu VaGla.pl Prawo i Internet. Członek Rady ds Cyfryzacji przy Ministrze Cyfryzacji, ekspert w Departamencie Oceny Ryzyka Regulacyjnego Ministerstwa Rozwoju, felietonista miesięcznika "IT w Administracji" (wcześniej również felietonista miesięcznika "Gazeta Bankowa" i tygodnika "Wprost"). Uczestniczył w pracach Obywatelskiego Forum Legislacji, działającego przy Fundacji im. Stefana Batorego w ramach programu Odpowiedzialne Państwo. W 1995 założył pierwszą w internecie listę dyskusyjną na temat prawa w języku polskim, Członek Założyciel Internet Society Poland, pełnił funkcję Członka Zarządu ISOC Polska i Członka Rady Polskiej Izby Informatyki i Telekomunikacji. Był również Członkiem Rady Informatyzacji przy MSWiA, członkiem Zespołu ds. otwartych danych i zasobów przy Komitecie Rady Ministrów do spraw Cyfryzacji oraz Doradcą społecznym Prezesa Urzędu Komunikacji Elektronicznej ds. funkcjonowania rynku mediów w szczególności w zakresie neutralności sieci. W latach 2009-2014 Zastępca Przewodniczącego Rady Fundacji Nowoczesna Polska, w tym czasie był również Członkiem Rady Programowej Fundacji Panoptykon. Więcej >>