Adresy IP komputerów to dane osobowe

• Czy numer IP jest w świetle prawa daną osobową?

- Ogólna definicja danych osobowych znajduje się w art. 6 ust. 1 ustawy o ochronie danych osobowych. Zgodnie z jej brzmieniem, danymi osobowymi są wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Natomiast osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, zwłaszcza przez powołanie się na numer identyfikacyjny lub jeden bądź kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, kulturowe czy społeczne. Ustawodawca zadecydował również, iż informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań. Jednak w wielu sytuacjach zbiór liczb stanowiący numer IP komputera należy uznać za daną osobową.

• Kiedy więc będziemy mieli w praktyce do czynienia z numerem IP, który można traktować jako daną osobową?

- Numer IP stanowi daną osobową wówczas, gdy jest na stałe lub na dłuższy czas przypisany do konkretnego urządzenia, które jest z kolei przypisane konkretnemu użytkownikowi. Dla przykładu można wskazać przypadki, gdy jesteśmy użytkownikami komputera domowego albo gdy posiadamy na wyłączność komputer w pracy. W praktyce możemy się jednak spotkać z sytuacjami, gdy jednoznaczne przypisanie numeru IP do konkretnej, zidentyfikowanej osoby nie jest praktycznie możliwe. Sytuacja taka może wystąpić np. w kawiarenkach internetowych, gdzie komputery udostępniane są klientom bez odnotowywania ich danych identyfikacyjnych. Są to jednak sytuacje wyjątkowe. W wielu przypadkach, nawet przy korzystaniu z komputera w kawiarence internetowej, wykorzystując dane zarejestrowane przez system nadzoru wizyjnego oraz zestawiając je z innymi danymi (np. dotyczącymi płatności przy użyciu karty kredytowej), można zidentyfikować osobę korzystającą w danym czasie z danego komputera.

• Co to oznacza dla właściciela takich danych i ich administratora?

- Będą się do nich odnosiły wszelkie prawa i obowiązki wynikające z ustawy o ochronie danych osobowych dotyczące przetwarzania danych osobowych. Wśród nich wymienić można między innymi obowiązek odpowiedniego ich zabezpieczania.

Posiadacze numerów IP muszą się też liczyć z pewnymi zagrożeniami, jakie łączą się z korzystaniem z sieci internetowej. Numery IP mają bowiem coraz większą wartość dla cyberprzestępców. Dzisiaj nie ma żadnego problemu, żeby nabyć program szpiegowski, dzięki któremu będzie można wyszukać numer IP i wykorzystać go do celów niezgodnych z prawem.

Nawet nie zdajemy sobie sprawy z tego, jak często bezpośrednio identyfikujące nas IP jest używane, chociażby podczas zakupów internetowych. Dla przykładu - niektóre sklepy, jeszcze przed dokonaniem zamówienia, w celu potwierdzenia naszej tożsamości wymagają podania adresu e-mail. Na ten adres otrzymujemy zwrotnie wiadomość, że o wskazanej godzinie z komputera o danym numerze IP została wysłana informacja. Jeżeli ją potwierdzimy, będzie to informacja dla sklepu, że nasze dane są autentyczne. Jeżeli jednak ze sklepu otrzymamy prośbę o potwierdzenie danych, a wcale się tego nie spodziewamy, to może to być dla nas sygnał, że ktoś prawdopodobnie ukradł nasze dane i chciał zrobić zakupy.

• Administratorzy danych nie są w stanie jednoznacznie stwierdzić, czy konkretne IP jest daną osobową. Czy wobec tego muszą opierać się na pewnego rodzaju domniemaniu, że IP jest zawsze chronioną informacją?

- Administratorzy danych powinni mieć dzisiaj świadomość, że IP należy często traktować jako daną osobową. Takiego rodzaju postawę staramy się dzisiaj upowszechniać u administratorów danych, a zwłaszcza właścicieli portali internetowych. Jest to nowe podejście nie tylko w Polsce, ale i w całej Europie. Jeżeli administrator nie jest w stanie stwierdzić, czy w konkretnym przypadku numer IP jest daną osobową czy nie, to musi podchodzić do niego z dużą ostrożnością i traktować go jako potencjalne dane osobowe. Wiąże się z tym konieczność wypełniania wszystkich obowiązków przewidzianych w ustawie o ochronie danych osobowych.

• Jak do kwestii znaczenia prawnego IP podchodzi ustawodawstwo unijne?

- Standardy ochrony danych osobowych we wszystkich państwach Unii Europejskiej są takie same. Wyznacza je bowiem dyrektywa, którą kraje członkowskie były zobowiązane implementować do swojego ustawodawstwa. Numer IP komputera podlega ochronie, ponieważ co do zasady traktuje się go jako daną osobową. Opinia Grupy Roboczej ds. Ochrony Danych, powołanej przez Parlament Europejski i Radę Europejską, uznała literalnie numer IP za daną dotyczącą osoby możliwej do zidentyfikowania, stwierdzając, że: dostawcy usług internetowych oraz menedżerowie lokalnych sieci mogą, stosując rozsądne środki, zidentyfikować użytkowników internetu, którym przypisali numery IP, ponieważ systematycznie zapisują w plikach daty, czas trwania oraz dynamiczny adres IP (czyli ulegający zmianie po każdym zalogowaniu) przypisany danej osobie. To samo odnosi się do dostawców usług internetowych, którzy prowadzą rejestr na serwerze http. Warto też dodać, że Grupa Robocza w opinii WP 136 zaleciła, iż: poza przypadkiem, gdy dostawca usług internetowych może stwierdzić z całkowitą pewnością, że dane dotyczą użytkowników niemożliwych do zidentyfikowania, musi on ze względów bezpieczeństwa traktować wszystkie informacje związane z adresem IP jako dane osobowe.

Fot. Marek Matusiak

Zdaniem Michała Serzyckiego, administratorzy danych (również w firmach) muszą podchodzić do adresu IP z dużą ostrożnością i traktować go jako potencjalne dane osobowe. Wiąże się z tym konieczność wypełniania wszystkich obowiązków przewidzianych w ustawie o ochronie danych osobowych.

Rozmawiał ADAM MAKOSZ

• MICHAŁ SERZYCKI

od 13 lipca 2006 r. Generalny Inspektor Ochrony Danych Osobowych. Absolwent Wydziału Prawa i Administracji Uniwersytetu Kardynała Stefana Wyszyńskiego