Jak poinformowała Małgorzata Kałużyńska-Jasak, rzecznik prasowy GIODO, w określonych sytuacjach adres IP należy uznać za dane osobowe. Zgodnie z definicją zawartą w art. 2 Dyrektywy 2002/58/WE, a także w art. 6 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych za dane osobowe uważa się wszelkie informacje dotyczące osoby fizycznej lub wszelkie informacje umożliwiające zidentyfikowanie tej osoby.

Idąc dalej tym tropem, łatwo sprawdzić, że osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić na podstawie numeru identyfikacyjnego lub jednego z czynników fizycznych, fizjologicznych, umysłowych, kulturowych czy społecznych. Danymi osobowymi są zatem takie dane, które pozwalają na określenie tożsamości konkretnej osoby, jak również na określenie jej tożsamości przy pewnym nakładzie kosztów, czasu lub działań - tłumaczy przedstawicielka GIODO.

Warto w tym miejscu odnotować, że Grupa Robocza ds. Ochrony Danych (tzw. Grupa Robocza Art. 29) powołana przez Parlament Europejski i Radę Europejską w swojej Opinii 4/2007 z 20 czerwca 2007 r. w sprawie pojęcia danych osobowych (rozdz. III pkt 3 przykład 15) uznała adres IP za dane dotyczące osoby możliwej do zidentyfikowania, stwierdzając, że:

dostawcy usług internetowych oraz menedżerowie lokalnych sieci mogą, stosując rozsądne środki, zidentyfikować użytkowników internetu, którym przypisali adresy IP, ponieważ systematycznie zapisują w plikach daty, czas trwania oraz dynamiczny adres IP (czyli ulegający zmianie po każdym zalogowaniu) przypisany danej osobie. To samo odnosi się do dostawców usług internetowych, którzy prowadzą rejestr (logbook) na serwerze http. Nie ma wątpliwości, że w takich przypadkach można mówić o danych osobowych, w rozumieniu art. 2 Dyrektywy.

Jeśli więc adres IP jest na stałe lub na dłuższy okres przypisany do konkretnego urządzenia, którym z kolei posługuje się konkretny użytkownik, traktować go należy jak dane osobowe. W praktyce możemy oczywiście spotkać się z sytuacjami, gdy jednoznaczne przypisanie adresu IP do konkretnej, zidentyfikowanej osoby nie jest możliwe. Dobrym przykładem wydają się kawiarenki internetowe, gdzie komputery udostępniane są klientom bez odnotowywania ich danych identyfikacyjnych.

Są to jednak sytuacje wyjątkowe - podkreśla Kałużyńska-Jasak, wyjaśniając, że dane zarejestrowane przez system nadzoru wizyjnego w zestawieniu z innymi danymi (np. dotyczącymi płatności przy użyciu karty kredytowej) w wielu przypadkach pozwalają na zidentyfikowanie osoby korzystającej w określonym czasie z danego komputera w kawiarence internetowej.

Powstaje pytanie, czy serwisy internetowe mogą podawać pełne adresy IP w przypadku umieszczania w nich komentarzy przez niezarejestrowanych lub niezalogowanych użytkowników. Dzieje się tak np. w serwisie Blox.pl należącym do Agora SA. Uznać należy, że praktyka taka powinna być zaniechana - poinformowała nas rzeczniczka Generalnego Inspektora Ochrony Danych Osobowych.

Zauważyła ona, że Agora SA nie ma w tym względzie spójnej wykładni - w prowadzonym przez spółkę serwisie blogowym adres IP jest podawany, na forum portalu Gazeta.pl wprowadzono natomiast dobrą praktykę ukrywania części adresu IP lub nazwy domenowej poprzez wstawianie w to miejsce gwiazdki. GIODO postanowił, że zajmie się tą sprawą z urzędu - napisała Kałużyńska-Jasak w odpowiedzi na pytania Dziennika Internautów.

Aktualizacja

Dziennik Internautów skontaktował się z Segmentem Internet w Agora SA i poprosił o przedstawienie stanowiska firmy w poruszonej wyżej kwestii. Zaistniałą sytuację skomentował Michał Olszewski, koordynator grupy społecznościowej w Gazeta.pl:

Od początku istnienia serwisu Blox.pl, a więc od 2004 roku, w komentarzach niezalogowanych użytkowników widoczny jest numer IP. Blox.pl nie jest w tym odosobniony - jest to praktyka bardzo powszechna w internecie: na przykład Wikipedia publikuje IP wszystkich niezalogowanych autorów haseł. Nie zmuszamy internautów do podawania swojego IP i zawsze bardzo wyraźnie informujemy, że jeśli się nie zalogują, przy ich komentarzu widoczny będzie numer IP. Informujemy również, że aby IP nie było widoczne, wystarczy się zalogować, a jeśli ktoś nie ma konta - założyć je za darmo, zajmuje to dosłownie kilka minut. W przypadku serwisu blogowego dzięki temu, że przy komentarzu widoczny jest login lub adres IP, autorzy blogów mogą przeciwdziałać spamowi w komentarzach i blokować pozostawianie wpisów z danego loginu czy adresu IP. Ma to więc zupełnie inne zastosowanie niż w przypadku forum.

W kolejnym artykule Dziennika Internautów można się zapoznać także ze stanowiskiem radcy prawnego Rafała Ciska, który nie zgadza się z GIODO: Czy adresy IP to naprawdę dane osobowe - okiem prawnika. Inne opinie na omawiany temat zostały przedstawione w artykule pt. Ujawnianie adresów IP na stronach - zdania są podzielone.