Wczoraj Gazeta Prawna opublikowała tekst, którego tytuł mógł zmartwić wiele osób - Blogerzy właśnie zostali administratorami danych osobowych. W tytule wypadałoby dodać słowa "nie wszyscy", ale to oczywiście nie byłoby tak nośne jak tytuł, który brzmi sensacyjnie. Wyjaśnijmy zatem o co chodzi i co jeszcze należałoby dodać. 

W ubiegłym tygodniu pisaliśmy o wyroku Trybunału Sprawiedliwości UE w sprawie Patricka Breyera (C-582/14). Trybunał orzekł, że nawet dynamiczny adres IP może być uznany za daną osobową. Będzie tak wówczas gdy podmiot prowadzący stronę dysponuje środkami prawnymi umożliwiającymi mu zidentyfikowanie osoby odwiedzającej.

Na pierwszy rzut oka wyrok nie wydawał się rewolucyjny. Od dawna mówi się o tym, że adresy IP mogą być danymi osobowymi w pewnych sytuacjach. Jeśli jednak wczytać się w uzasadnienie wyroku TSUE to zauważymy, że Trybunał dość szeroko rozumiał "dysponowanie środkami prawnymi umożliwiającymi identyfikację". 

Gazeta Prawna napisała artykuł na podstawie opinii dr Pawła Litwińskiego, adwokata z kancelarii Barta Litwiński i eksperta Instytutu Allerhanda. Paweł Litwiński uważa, że w świetle wyroku TSUE nawet potencjalna możliwość zidentyfikowania osoby po adresie IP oznacza, że ten adres można uznać za dane osobowe. W Polsce takie możliwości istnieją, zatem - zdaniem Gazety Prawnej - nawet blogerzy zbierają dane osobowe i mogą być oni zobowiązani do zarejestrowania zbiorów danych. 

Już po opublikowaniu tego tekstu Paweł Litwiński w dyskusji na Facebooku podkreślił, że sam jest zdziwiony wyrokiem TSUE. Nie chodzi więc o to, że prawnik próbuje na siłę forsować tezę o konieczności rejestracji zbiorów danych. Chodzi o to, że wyrok można tak odczytać i można się o tym przekonać zaglądając do uzasadnienia (to uzasadnienie w całości znajdziecie na końcu tego tekstu). 

Nie każdy musi rejestrować

Czy to dotyczy wszystkich blogerów? Nie. Sama Gazeta Prawna zauważa, że część blogerów pozyskuje dane do celów osobistych i te osoby nie musza zgłaszać zbioru danych.

Dodałbym od siebie, że część blogerów prowadzi blogi na platformach dostarczanych przez inne podmioty np. na platformach takich Wordpress czy Blogger. Użytkownik korzystający z podstawowej oferty Wordpressa może widzieć adresy IP osób komentujących, ale nie ma dostępu do adresów IP wszystkich odwiedzających (tak naprawdę te dane gromadzi dostawca platformy blogowej). Jeśli na blogu nie ma komentarzy lub są one wyłączone, trudno mówić o zbieraniu adresów IP. W Bloggerze autor bloga nawet nie zobaczy nawet IP autora komentarza. 

Problem może stanowić dopiero profesjonalny blog lub inna strona prowadzona przez przedsiębiorcę w połączeniu z działalnością gospodarczą. Posiadacze takich stron muszą teraz rozważyć czy zrezygnować z rejestrowania adresów IP czy może zarejestrować zbiór danych osobowych w GIODO?

Co powie GIODO?

Osobiście jestem ciekaw co na ten temat powie GIODO. Czy urząd zgodzi się z interpretacją przedstawiają przez GP? Jeśli tak, to czy uruchomi jakieś działania informacyjne z myślą o posiadaczach stron i blogów? Skierowaliśmy pytanie do GIODO i czekamy na odpowiedź. Zanim ta odpowiedź przyjdzie, zwrócimy uwagę na jeszcze jedną rzecz. 

Uwaga na oszustów!

Informacje o potrzebie rejestrowania zbiorów danych mogą zaktywizować oszustów. W czerwcu tego roku pisaliśmy o pseudo-kancelariach, które straszyły nalotem GIODO i przy okazji proponowały usługi pomocy w rejestracji zbiorów danych osobowych. Była to próba wciskania przedsiębiorcom niepewnych i kosztownych usług w dodatku oferowanych przez firmy-widma. Na tę wysyłkę e-maili w ogóle nie należało reagować i nawet GIODO przed tym ostrzegał.

Podsumowując - wyrok TSUE nieco zmienił nasze myślenie o adresie IP. Jak zauważyła Fundacja Panoptykon "obecnie adresy IP gromadzi się często „domyślnie”. Wyrok w sprawie Breyera być może wymusi na właścicielach witryn więcej refleksji w tej kwestii".