Czy adresy IP to dane osobowe?

Zgodnie z obowiązującym prawem dane osobowe to wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Nie budzi wątpliwości, że do danych osobowych należą imię, nazwisko, data urodzenia czy numer PESEL. Reguluje to ustawa o ochronie danych osobowych. Rzecz jednak dotyczyć może również adresów IP. Z tego założenia wychodzi Komisja Europejska, która w swoich zamiarach ma ujednolicenie prawa w tym zakresie.

Adres IP (ang. Internet Protocol) jest to wyrażone numerycznie oznaczenie nadawane interfejsowi sieciowemu, grupie interfejsów lub nawet całej sieci komputerowej w celu identyfikacji w ramach komunikacji sieciowej. Na pierwszy rzut oka zatem nie wydaje się być związany z określoną osobą fizyczną. Wbrew popularnemu przekonaniu adres IP nie musi nawet identyfikować w sieci konkretnego komputera. Może być wspólny dla wielu urządzeń, a nawet zmieniać się przy każdym łączeniu z Internetem.

Zainteresowanie prawników numerami IP bierze się głównie stąd, że często stanowią one główny ślad pozostawiony w Internecie przez anonimowych użytkowników, np. prezentujących wypowiedzi naruszające dobra osobiste innych osób. W takich sytuacjach podjęcie działań prawnych w celu ochrony dóbr osobistych wymaga identyfikacji autora obraźliwych wypowiedzi i tu pojawia się pytanie o możliwość kwalifikacji numerów IP jako danych osobowych, co ma znaczenie po pierwsze dla przypisania pewnej aktywności w Internecie konkretnej osobie, a po drugie dla uzyskania informacji pozwalających na jednoznaczne zidentyfikowanie tej osoby.

Zgodnie ze zdroworozsądkowym poglądem podzielanym w orzecznictwie sądów adres IP może być zaliczony do danych osobowych, ale pod warunkiem że jest na dłuższy okres czasu lub na stałe przypisany do konkretnego urządzenia, a urządzenie to przypisane jest konkretnemu użytkownikowi – tyko w tym zakresie jest bowiem informacją umożliwiającą identyfikację konkretnej osoby fizycznej (tak przykładowo wyrok NSA z 19 maja 2011 r., I OSK 1079/10). Taka kwalifikacja oznacza, że adresy IP i związane z nimi informacje pozwalające na identyfikację użytkowników Internetu mogą być przetwarzane przez odpowiednie podmioty (np. dostawców usług internetowych) tylko z zachowaniem wymogów określonych w przepisach o ochronie danych osobowych, w tym nie mogą być dowolnie udostępniane osobom trzecim. Dane te mogą być pozyskane przez organy ścigania na potrzeby postępowania karnego. Natomiast osoby fizyczne lub prawne zamierzające bronić swych praw w postępowaniu cywilnym często spotykają się z odmową udostępnienia danych. Orzecznictwo sądów administracyjnych w tym zakresie nie jest jednolite i czasami sądy uznają, że sam zamiar wytoczenia powództwa w postępowaniu cywilnym nie jest usprawiedliwionym celem udostępnienia danych osobowych, w tym adresów IP. Niejednolita praktyka pokazuje, że potrzebne są jednoznaczne rozwiązania prawne zapewniające należytą równowagę pomiędzy koniecznością ochrony danych osobowych a prawem do sądu osób pokrzywdzonych działaniami w Internecie.