W jaki sposób adres IP jest chroniony?

Wobec niedawno zapadłego wyroku WSA w Warszawie w sprawie udostępnienia adresów IP na wniosek prawników reprezentujących Marylę Rodowicz w zakresie roszczeń dotyczących naruszeń dóbr osobistych, zasadne wydaje się rozważenie kwestii zasadności i sposobów pozyskiwania tego typu informacji.

Warto zaznaczyć kontrowersje dotyczące samego uznania numeru IP za dane osobowe. Co prawda wskazany wyrok wprost wskazywał, iż numer IP należy określać jako należący do zbioru tego typu danych, to jednak z punktu widzenia praktyki, nie tylko prawniczej, ale i osób zajmujących się na co dzień problematyką internetu, takie określenie jest co najmniej dyskusyjne. Od kilku lat praktycy zajmujący się zagadnieniami dotyczącymi ochrony danych osobowych podnosili szereg wątpliwości odnośnie tak opisywanej kwalifikacji numeru IP. W zależności od modelu zbierania danych (numer IP przetwarzany razem z numerem PESEL, imieniem i nazwiskiem lub sam numer IP przetwarzany bez innych danych) stosowali rodzaj wybiegu, uznając zgodnie z przepisami ustawy o ochronie danych osobowych, iż numer IP jest częścią zbioru innych danych osobowych (a tym samym jest traktowany jako dana osobowa) lub że jest jedynie informacją czysto techniczną, zapisywaną rutynowo bez wprowadzania porządkowania dokonywanych zapisów i bez przypisania konkretnej osobie .

Orzeczenie WSA w tym kontekście bez wątpienia ważne dla praktyki zarówno administratorów danych osobowych jak i prawników, nie stanowi jednak obiektywnego wskazania kończącego toczone w tym temacie spory. WSA w wyroku, wskazując na definicję numeru IP, niejako prześlizgując się nad tematem możliwości zmiany numeru IP przy pomocy rozwiązań informatycznych (wspomniany w orzeczeniu IP spoofing), a tym samym niemożliwości uznania go za dane osobowe, stwierdza, iż tenże numer jako przypisywany stale lub czasowo do danego urządzenia, tym samym istnieje możliwość identyfikacji użytkownika, a więc należy uznać go zgodnie z ustawą o ochronie danych osobowych za dane osobowe. Pominięciu ulega tu kwestia, iż podmiot dokonujący przetwarzania wskazanego numeru nie ma wprost możliwości identyfikacji posiadacza, gdyż jest to możliwe jedynie przez podmiot świadczący usługę dostępu do internetu (przydzielającego w Polsce numery IP czy to przez przypisanie stałego numeru, czy też czasowego przydzielenia z posiadanej puli numerów, co stanowi w Polsce regułę). Dodatkowo podkreślić należy, iż sam numer IP, jako numer identyfikujący geograficznie, bez wskazania daty, a nierzadko dokładnej godziny i minuty wpisu, będzie bezużyteczny dla ewentualnego zainteresowanego w wypadku IP przydzielanego w sposób dynamiczny (zmiennie przy każdym połączeniu z internetem).

Tak więc co najmniej zasadne jest rozważenie, czy w powyższym wypadku (konieczności weryfikacji danych u dwóch niezależnych podmiotów, poniesienie kosztu ww. czynności oraz długi czas oczekiwania na uzyskanie rzeczywiście indywidualizującego określenia użytkownika) nie należy mimo treści przywołanego wyroku uznać numer IP jednak za spełniający wytyczne art. 6 ust. 3 wspomnianej ustawy wskazującej iż „informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań”.

Abstrahując od powyższych rozważań, gdyby uznać zrealizowane przez WSA w Warszawie przyporządkowanie za prawidłowe i ustalające dalszą praktykę organów, przed osobami dochodzącymi swoich praw w kontekście naruszeń ich dóbr osobistych przez anonimowych do tej pory użytkowników, otwiera się możliwość – co prawda długotrwałej – procedury zmierzającej do ustalenia tożsamości bezkarnych dotąd internautów.

Procedura taka winna być rozpoczęta od wniesienia do portalu internetowego, jako podmiotu realizującego obowiązki administratora danych osobowych, umotywowanego pisemnego wniosku opartego o art. 29 ust. 2 w zw. z ust. 3 ustawy o ochronie danych osobowych, tj. wskazującego o jakie dane chodzi (w konkretnym wypadku IP użytkownika dokonującego wpisu na forum, wskazującego np. treść wpisu, nick użytkownika) oraz przeznaczenie wykorzystania wnioskowanych danych. Warunkami, od których portal może uzależnić przekazanie takich danych jest wiarygodne uzasadnienie potrzeby posiadania wnioskowanych danych oraz brak naruszenia przez takie przekazanie praw i wolności osób, których dane dotyczą.

Z punktu widzenia praktyki, należy uznać, iż uzasadnienie, o którym mowa powyżej, będzie polegało na jedynie uprawdopodobnieniu względem portalu faktu potrzeby pozyskania danych i warunek ten zostanie spełniony poprzez wskazanie, iż wpis osoby identyfikowalnej numerem IP naruszył dobra osobiste wnioskodawcy (wraz z opisaniem naruszonego dobra) i zamierza on podjąć kroki procesowe zmierzające do dochodzenia roszczeń powstałych na skutek wskazanego naruszenia. Za element bez wątpienia uprawdopodobniający istnienie takiej potrzeby z pewnością należy potraktować fakt wystąpienia pełnomocnika profesjonalnego (radca prawny lub adwokat), którego występowanie w realizowanej procedurze uzyskania danych wskaże jednoznacznie na istniejący i skonkretyzowany zamiar wystąpienia na drogę powództwa cywilnego.

Choć ustawa posługuje się w opisie przedmiotowego uprawnienia wnioskodawcy formą teoretycznie wskazującą na pozostawienie do decyzji portalu faktu przekazania wnioskowanych danych, to jednak orzecznictwo, praktyka GIODO i wykładnia funkcjonalna przepisu jednoznacznie wskazują, iż nie dość, że portal winien udzielić takiej informacji niezwłocznie, to w wypadku spełnienia przez wnioskodawcę opisywanych przesłanek, nie ma możliwości wydania decyzji negatywnej. W wypadku jednak, gdy prawidłowo przygotowany i umotywowany wniosek skierowany do portalu internetowego spotka się z nieuzasadnioną odmową wnioskodawcy zgodnie z art. 18 ust. 1 ww. ustawy, przysługuje prawo do złożenia wniosku do Generalnego Inspektora Ochrony Danych Osobowych o wydanie decyzji administracyjnej zmierzającej do przywrócenia stanu zgodnego z prawem, czyli przekazania danych wnioskodawcy. W większości wypadków, należy uznać, iż skierowanie prawidłowo umotywowanego wniosku do GIODO i wydanie pozytywnej decyzji przez organ zakończy procedurę zmierzającą do uzyskania przedmiotowych danych i przed wnioskodawcą w celu skierowania pozwu pozostanie jeszcze tylko zrealizowanie analogicznej procedury względem podmiotu dostarczającego internet dysponentowi numeru IP, gdzie ostatecznie uzyska imię i nazwisko oraz adres osoby, której zarzuca naruszenie swoich dóbr osobistych. Z drugiej jednak strony, możliwa jest także sytuacja w której aktywnie działający w interesie anonimowości swoich użytkowników portal spróbuje wzruszyć uzyskaną w GIODO decyzję na drodze sądowej, a nawet pokusi się o kasację od potencjalnie niekorzystnego wyroku sądu administracyjnego, co wydłuży proces uzyskania numeru IP o co najmniej kilka lat – co w przypadku zarzutów podnoszonych przez pomawiane podmioty gospodarcze w większości wypadków skutkować może przedawnieniem ewentualnych roszczeń.