Czy adres IP może być daną osobową? Czy można po prostu zbierać takie dane? Prawnicy zwykle odpowiadali "to zależy". Dziś Trybunał Sprawiedliwości UE wypowiedział się w jednej spraw dotyczących zbierania adresów IP i właściwie również powiedział "to zależy". Chodziło o sprawę C-582/14. 

Czy dynamiczne adresy IP to dane osobowe?

Uparty obywatel Patrick Breyer walczył przed niemieckimi sądami ze zbieraniem adresów IP przez witryny internetowe niemieckich służb federalnych. Służby te twierdziły, że rejestrują i przechowują adresy IP osób odwiedzających, aby zabezpieczyć się przed atakami i umożliwić ściganie karne ewentualnych atakujących.

Niemiecki federalny trybunał sprawiedliwości (Bundesgerichtshof) zwrócił się do unijnego Trybunału Sprawiedliwości w celu ustalenia, czy w tym kontekście "dynamiczne" adresy IP stanowią dane osobowe i są objęte ochroną przewidzianą dla takich danych. Dynamiczny adres IP to taki, który zmienia się przy okazji każdego nowego połączenia z Internetem. W przypadku takiego adresu jedynie dostawca dostępu do Internetu świadczący usługi dla Breyera dysponuje dodatkowymi informacjami koniecznymi do jego identyfikacji.

Niemiecki sąd chciał też ustalić czy podmiot prowadzący witrynę internetową powinien mieć możliwość gromadzenia i późniejszego wykorzystywania danych osobowych odwiedzających, jeśli robi to w celu zapewnienia ogólnej funkcjonalności swojej witryny. Bundesgerichtshof wskazał, że większość niemieckiej doktryny interpretuje uregulowania niemieckie w ten sposób, że dane powinny zostać usunięte w momencie zakończenia danego przeglądania.

To mogą być dane osobowe, ale...

W wydanym dziś wyroku Trybunał odpowiedział, że dynamiczny adres IP zarejestrowany przez „dostawcę usług medialnych online” może stanowić dane osobowe. Będzie tak wówczas, gdy podmiot prowadzący stronę dysponuje środkami prawnymi umożliwiającymi mu zidentyfikowanie osoby odwiedzającej. Trybunał wskazał, że w Niemczech istnieją środki prawne umożliwiające dostawcy usług medialnych online zwrócenie się do właściwego organu, aby podjął on konieczne działania w celu uzyskania tych informacji od dostawcy dostępu do Internetu. Może się tak zdarzyć w razie ataku, albo w celu wszczęcia postępowania karnego.

Następnie Trybunał odpowiedział, że prawo Unii stoi na przeszkodzie uregulowaniu państwa członkowskiego, na podstawie którego dostawca usług medialnych online może gromadzić i wykorzystywać dane osobowe użytkownika tych usług – w braku jego zgody – tylko wtedy, jeżeli takie gromadzenie i wykorzystywanie są konieczne do umożliwienia konkretnego skorzystania ze wspomnianych usług przez tego użytkownika i zafakturowania kosztów takiego korzystania, przy czym cel polegający na zapewnieniu ogólnej funkcjonalności tychże usług nie może uzasadniać korzystania z tych danych po zakończeniu przeglądania danych mediów 

Trybunał przypomniał, że zgodnie z prawem UE przetwarzanie danych osobowych jest zgodne z prawem gdy jest konieczne dla realizacji potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej lub osób trzecich, którym dane są ujawniane (z wyjątkiem sytuacji, gdy pierwszeństwo mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą). Uregulowanie niemieckie, zgodnie z wykładnią przeważającą w doktrynie, ogranicza zakres tej zasady, wykluczając możliwość ważenia celu polegającego na zagwarantowaniu ogólnej funkcjonalności mediów online z interesem lub podstawowymi prawami i wolnościami osób odwiedzających. W tym kontekście Trybunał podkreślił, że niemieckie służby federalne świadczące usługi medialne online mogą mieć uzasadniony interes w zapewnieniu, poza każdym konkretnym przypadkiem używania ich dostępnych publicznie witryn internetowych, ciągłości funkcjonalności tych witryn.

Jeśli interesują was szczegóły to na stronie TSUE znajdziecie pełny tekst wyroku. Zamieszczamy go również poniżej. 

Wyrok TSUE Breyer by Dziennik Internautów on Scribd