Jakiś czas temu Gazeta Prawna opublikowała tekst, którego tytuł mógł zmartwić wiele osób - Blogerzy właśnie zostali administratorami danych osobowych.

Tekst nawiązywał do wyroku Trybunału Sprawiedliwości UE w sprawie Patricka Breyera (C-582/14). Trybunał orzekł, że nawet dynamiczny adres IP może być uznany za daną osobową. Będzie tak wówczas gdy podmiot prowadzący stronę dysponuje środkami prawnymi umożliwiającymi mu zidentyfikowanie osoby odwiedzającej.

Jeśli jednak wczytać się w uzasadnienie wyroku TSUE to zauważymy, że Trybunał dość szeroko rozumiał "dysponowanie środkami prawnymi umożliwiającymi identyfikację". Według niego nawet potencjalna możliwość zidentyfikowania osoby po adresie IP oznacza, że ten adres można uznać za dane osobowe. Stąd już tylko krok do wniosku, że posiadacze firmowych stron i blogów zbierają dane osobowe i mogą być zobowiązani do zarejestrowania zbiorów danych. 

Zastanawialiśmy się już nad tym, ale obiecaliśmy też zwrócić się do GIODO z prośbą o stanowisko urzędu. Wczoraj otrzymaliśmy to stanowisko więc po prostu publikujemy je poniżej. 

* * *

Szanowny Panie Redaktorze,

w odpowiedzi na Pana e-mail uprzejmie informuję, że samo określenie dynamicznego adresu IP jako danej osobowej w wyroku Trybunału Sprawiedliwości Unii Europejskiej z dnia 19 października 2016 r. (C-582 /14), nie przesądza jeszcze o obowiązku zgłoszenia zbioru danych do rejestracji przez podmioty, które tego typu dane przetwarzają.

Po pierwsze, zgodnie z art. 40 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych wyłącznie administrator danych obowiązany jest zgłosić zbiór danych do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych. Po drugie, istnieją okoliczności zwalniające administratorów danych z obowiązku zgłoszenia zbioru danych do rejestracji, o których mowa w art. 43 ust. 1 i ust. 1a ustawy. Zwolnieni są m. in. administratorzy przetwarzający dane osobowe w zakresie drobnych, bieżących spraw życia codziennego (art. 43 ust. 1 pkt 11 ustawy) oraz ci, którzy powołali administratora bezpieczeństwa informacji i zgłosili go do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych – o ile przetwarzają wyłącznie dane zwykłe (art. 43 ust. 1a ustawy). Po trzecie, obowiązek zgłoszenia związany jest wyłącznie z przetwarzaniem danych w zbiorach.

Zgodnie z art. 7 pkt 1 ustawy zbiorem danych jest każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie.

Ponadto ustawy nie stosuje się do osób fizycznych, które przetwarzają dane do celów osobistych lub domowych i ten aspekt na wstępie powinien podlegać ocenie. Należy ustalić, czy jest to działalność zawodowa lub zarobkowa. Komercyjność bowiem może przejawiać się w blogosferze na wiele sposobów. O komercyjności można mówić np. wówczas, gdy:

• na blogu znajdują się reklamy innych firm w formie banerów, 
• autor bloga promuje swoje usługi, za które pobiera opłaty czy to na blogu czy poza nim,
• zamieszcza wpisy sponsorowane, z których czerpie korzyści finansowe (w tym barterowe), 
• na stronie umieszczone są linki afiliacyjne, 
• ogłasza sponsorowane konkursy.

Analiza powyższego prowadzi do wniosku, że w przypadku blogów komercyjnych można mówić już o działalności zarobkowej, z tym że niekoniecznie każdy blog może mieć komercyjny charakter.

Reasumując, wyrok Trybunału Sprawiedliwości Unii Europejskiej z dnia 19 października 2016 r. (C-582 /14) nie wpływa kompleksowo na ocenę obowiązków osób prowadzących strony internetowe. W dalszym ciągu każdy przypadek rejestracji zbiorów danych wymaga indywidualnej oceny, toteż w tej kwestii nic się nie zmienia.

Ponieważ Urząd nie odnotował zwiększonego zainteresowania tematem blogerów, w kontekście omawianego wyroku, to podejmowane przez GIODO działania informacyjne nie koncentrują się na tej kwestii. Niemniej jednak, gdyby praktyka Biura wykazała, że wyrok generuje nowe problemy związane ze stosowaniem obowiązującego prawa, organ podejmie stosowne działania zmierzające do wyjaśnienia wszelkich wątpliwości interpretacyjnych. O pomoc w ich propagowaniu będzie prosił P.T. dziennikarzy, w tym Redakcję, dla której pisze Pan od lat, wspomagając GIODO w podnoszeniu świadomości dotyczącej ochrony danych osobowych.

Małgorzata Kałużyńska-Jasak
Dyrektor Zespołu Rzecznika Prasowego