Source: https://czasopismo.legeartis.org/2016/10/zbieranie-adres-ip-uzytkownik-blog-dane-osobowe.html
Timestamp: 2018-08-14 23:19:55+00:00

Document:
Zbieranie adresów IP użytkowników na blogu: czy to dane osobowe?
Całkowicie na marginesie: czy wyrok Trybunału Sprawiedliwości EU z 19 października 2016 r. (C-582/14), w którym stwierdzono, że dynamiczny adres IP przypisany użytkownikowi serwisu internetowego może stanowić — o ile usługodawca dysponuje środkami pozwalającymi na identyfikację tej osoby — dane osobowe (a serwis może przetwarzać takie dane nawet bez zgody usługobiorcy) naprawdę jest aż taką sensacją, czego ja wcześniej nie dostrzegłem?
P.T. Czytelniku, nawet jeśli pokażę Ci mój adres IP, nie ustalisz na tej podstawie mojej tożsamości
(Por. „Blogerzy właśnie zostali administratorami danych osobowych” Sławomira Wikariaka opublikowany wczoraj w Gazecie Prawnej oraz „Czy blogerzy muszą rejestrować zbiory danych? Nie wszyscy i uwaga na oszustów!” Marcina Maja, dziś w Dzienniku Internautów).
1. W rozumieniu ustawy za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. (…)
Dalej będzie w punktach, dzięki temu może uda mi się łatwo wyłuszczyć mój pogląd na istotę sprawy:
informacja, iż adres IP może być w pewnych przypadkach uznany za dane osobowe wisi w serwisie GIODO od wielu, wielu lat;
w nieco uproszczonej postaci pogląd ten wraca tu i tam od lat, polemizowałem z nim kilkanaście miesięcy temu w tekście „Czy adres IP to dane osobowe” (proszę kliknąć i przeczytać);
więc jeszcze raz: adres IP przede wszystkim identyfikuje zakończenie sieci i stanowi dane eksploatacyjne (art. 18 ust. 5 pkt 2 UoŚUDE);
„zakończenie sieci” czyli nic więcej jak „wtyczka internetowa”, przy pomocy której dostawca umożliwia korzystanie z internetów — do niej wpięty jest np. router WiFi (art. 2 pkt 52 prawa telekomunikacyjnego);
znajomość adresu IP pozwala — dostawcy internetu, bo tylko on jest w stanie zmaczować te dane — na nic więcej jak ustalenie abonenta, na którego jest umowa (zawsze to przypominam choćby pytany afery z „nielegalnym ściąganiem plików„, etc.);
adres IP zakończenia sieci niewątpliwie stanowi informację będącą daną osobową — ale tylko w odniesieniu do abonenta oraz tylko w przypadku podmiotu, który ma możliwość łatwego sprawdzenia tożsamości tego abonenta na podstawie tego czarodziejskiego rzędu cyferek;
na pewno łatwość tę ma operator-dostawca internetu (bo wie któremu zakończeniu sieci przydzielił dany adres IP) oraz ewentualnie organy ścigania, sądy, etc., które mogą łatwo uzyskać tę informację (art. 18 ust. 6 UoŚUDE);
dla mnie jednak nawet znajomość adresów IP moich P.T. Czytelników nic nie oznacza — cóż z tego, że być może dane te odkładają się gdzieś u hostingodawcy, skoro ani ja, ani raczej oni nie mają mechanizmu pozwalającego na powiązanie adresu IP z tożsamością konkretnej osoby;
przypomnę, że informacja nie jest daną osobową jeśli nie pozwala na identyfikację konkretnej osoby — czyli jeśli nie ma łatwego (nie wymagającego „nadmiernych kosztów, czasu lub działań”) sposobu na określenie tożsamości tej osoby (art. 6 ust. 3 UoŚUDE);
jeszcze raz: określenie tożsamości osoby, nie określenie (zapisanie, przekazanie komuś innemu) adresu IP zakończenia sieci, z którego korzystał dany użytkownik.
Rekapitulując: nie ma moim zdaniem znaczenia czy „znając bowiem dane rejestracyjne, już po samym IP można ustalić, z jakiego komputera wchodzono na stronę serwisu” — albowiem nawet jeśli GIODO wyda decyzję nakazującą podanie danych abonenta zakończenia sieci (czy to jest „łatwy” sposób w rozumieniu art. 6 ust. 3 UoODO?), to tak czy inaczej dostajemy tylko tożsamość osoby, na którą jest zarejestrowane owo zakończenie sieci.
Tags: art. 18 UoŚUDE art. 2 PT art. 6 UoODO dane osobowe GIODO IP telekomunikacja TSUE
← Sikorski vs. „Fakt”: komentarze internautów to nie listy do redakcji
Cesja wierzytelności objętej BTE (III CZP 56/16) →
48 comments for “Mój blog zbiera adresy IP użytkowników — czy to oznacza, że muszę zarejestrować zbiór danych osobowych?”
A propos IP. Ostatnio głośno o zatrzymaniu nawet 40 tys. komputerów. Jeśli dobrze wyczytałem to właściciel praw do filmu przedstawił prokuraturze listę adresów IP które udostępniały film w sieci torrent. Prokuratura zidentyfikowała te numery, ustaliła adresy. I Policja teraz chodzi i zabiera komputery. Hmmm, tylko jak to zabranie wygląda w przypadku gdy pod danym adresem jest kilka komputerów, mieszkają np. 2 rodziny, mieszkanie jest wynajmowane. Policjanci zabierają wszystkie komputery z danego adresu? :) Proszą o wydanie komputera który był używany 2 lata temu (bo z wtedy podobno pochodzą te adresy IP) o tej i o tej godzinie tego i tego dnia? Czy Prokuratura na podstawie samego adresu IP może żądać zatrzymania komputera? Nie powinna najpierw ustalić jaki to komputer i kto z niego korzystał?
26 października 2016 at 18:59
Było. Na Fejsbóku było ;-)
No dobra, będzie i tutaj:
http://www.rp.pl/Prawo-autorskie/310259890-Prawo-autorskie-za-sciaganie-filmow-z-sieci-mozna-stracic-komputer.html
26 października 2016 at 19:09
„– Problem w tym, że ściągając pliki w ramach sieci P2P, równocześnie je udostępniamy. Jest to uwarunkowane technicznie. Każdy „biorca” jest równocześnie „dawcą” dla następnego „biorcy” – tłumaczy Olgierd Rudak z Lege Artis.”
Błąd! Programy P2P tak nie działają, a takie myślenie właśnie wykorzystuje Policja.
Program P2P po pobraniu bloku zgłasza w sieci P2P, że z naszego komputera można pobrać dany blok (fragment) filmu/pliku. Nie oznacza to automatycznie, że ktoś od nas tak ogłoszony fragment w ogóle pobierze, jest to tylko możliwość pobrania. Nie można z automatu mówić, że dany utwór __udostępnialiśmy__ – to dopiero należy udowodnić.
A jak wskazuje praktyka, wystarczy samo znalezienie na komputerze programu P2P i danego filmu, aby użytkownicy sami się przyznawali do __rozpowszechniania__, a na to już jest paragraf.
26 października 2016 at 20:52
Ogłaszasz chociażby fragment pliku to już rozpowszechniasz… Nie jest ważne, że nikt z Twojego ogłoszenia nie skorzystał. Tak rozumują organy ścigania. Nie wiem, czy mają rację, ale moim zdaniem tak – jak wywiesisz plakat na poręczy balkonu łamiący prawa autorskie to mają Ci udowodnić, że ktoś zerknął na niego, bo Ty twierdzisz, że nikt nie patrzył???
Dlatego ja, korzystając daaaawno temu z P2P i Torrentów zawsze używałem programów, które pozwalały na blokowanie udostępniania tego dalej i korzystałem z tego. Wiem, świnia byłem… Ale legalne treści pozwalałem ściągać!
W sensie prawnym to jednak jest ważne, czy nastąpiło rozpowszechnianie (gdy ktoś pobierze udostępniany utwór) czy też rozpowszechnianie tylko __potencjalnie__ mogło nastąpić (bo ogłosiłeś innym, że posiadasz dany utwór).
„…jak wywiesisz plakat…”
Jak masz w domu/ręku nóż, to czy można Cię ukarać za współudział w morderstwie, tylko na podstawie tego, że __potencjalnie__ zabójca mógł go wziąć i użyć do zabójstwa ? Czy jednak muszą udowodnić, że nóż jednak faktycznie udostępniłeś zabójcy?
Szczerze mówiąc z torrenta chyba raz w życiu pociągnąłem któreś tam Ubuntu. Toteż powtarzam to, co powtarzają ludziska…
Inna sprawa, że pewnie organy właśnie do tego zmierzają: do wykazania czy doszło do udostępnienia pliku z danego komputera. Aczkolwiek coś mi świta, że właśnie te nieszczęsne „wykazy IP” biorą się stąd, że jednak gdzieś „wyczuło”, że jakiś transfer wyfrunął.
W przeciwnym wypadku: skąd wiedzieliby, że w ogóle był wyciek?
26 października 2016 at 22:16
„…Toteż powtarzam to, co powtarzają ludziska…”
A tego zdania to akurat zabrakło w artykule na rp.pl ;)
..”wykazy IP” biorą się stąd, że jednak gdzieś „wyczuło”, że jakiś transfer wyfrunął..”
Od strony technicznej, najczęściej jest tak, że właściciel praw/dystrybutor zaczyna udostępniać i rozpowszechniać w sieci P2P dany utwór, jednocześnie zbierając i zapisując dane takie jak czas połączenia i adres IP komputera, który zaczął pobierać udostępniany utwór.
To jest właśnie to coś, co „wyczuwa” i tworzy wykaz adresów IP.
I z tak przygotowanym wykazem idzie do Prokuratury, i twierdzi, że te wszystkie IP służyły do __rozpowszechniania__ jego utworu i on chce ochrony praw autorskich.
Właśnie chodzi o to twierdzenia, że było rozpowszechnianie. A przecież nie było. Była co najwyżej __możliwość__ rozpowszechniania.
Ale dla Prokuratury to nie ma znaczenia, nie zna się na technologii P2P i na podstawie otrzymanego wykazu IP zleca Policji zabezpieczanie dowodów na __rozpowszechnianie__ utworu – czyli zabieranie komputerów.
27 października 2016 at 07:14
Jeśli nie wiadomo o co chodzi to wiadomo o co chodzi. Pewne firmy znalazł sobie model biznesowy. Znajdują sobie numery IP osób, które z torrentów ściągają film, na przykład samemu go udostępniając. Takie udostępnianie budzi moje wątpliwości, bo co jeśli dystrybutor jest pierwszym udostępniającym? Czy to w ogóle nie wygląda jak prowokacja jakaś? Ale to wątek poboczny. Ważniejsze jest to, że dystrybutor, mając listę IP zgłasza się do prokuratury w celu ustalenia listy osób powiązanych z tymi numerami IP.
Do tych osób zostają wysłane „propozycje ugody”. Koszty wysłania takich propozycji są stosunkowo niewielkie. Wystarczy, że zapłaci niewielki procent i inwestycja się zwraca, ponieważ większość kosztów powstaje po stronie prokuratury i policji.
Oczywiście dystrybutorowi nie zależy wcale na tym, żeby jakakolwiek sprawa trafiła do sądu (i nie wiem czy przy takich masowych zatrzymaniach kiedykolwiek to się stało). Sąd to koszty po stronie dystrybutora i niewielkie szanse na wygraną. Bo przecież adres IP nie identyfikuje jednoznacznie osoby, która ściągała (nie prowadzę rejestru użytkowników komputera, często mam gości i oni mogą korzystać jeśli chcą), a i samo karanie za udostępnianie podczas ściągania nie jest takie oczywiste. Istnieje wszakże Art. 23-1 prawa autorskiego.
Nie wymaga zezwolenia twórcy tymczasowe
zwielokrotnienie, o charakterze przejściowym lub incydentalnym,
niemające samodzielnego znaczenia gospodarczego, a stanowiące integralną
i niezbędną część procesu technologicznego, którego celem jest
wyłącznie umożliwienie:
tymczasowe zwielokrotnienie, o charakterze przejściowym lub incydentalnym (…) zgodnego z prawem korzystania z utworu.
Radosław Kotowicz [RxRx]
A jakie to niby „zgodne z prawem korzystanie z utworu” ? Jak nie ma licencji to nie można rozpowszechniać.
27 października 2016 at 20:30
Zgodne z prawem korzystanie obejmuje korzystanie w ramach dozwolonego użytku osobistego (było, wziąłem, „skąd mam wiedzieć”, że to pirackie? ;-)
28 października 2016 at 00:13
Art. 23. pkt 2 Ustawy o Prawie Autorskim: Zakres własnego użytku osobistego obejmuje korzystanie z pojedynczych egzemplarzy utworów przez krąg osób pozostających w związku osobistym, w szczególności pokrewieństwa, powinowactwa lub stosunku towarzyskiego.
Więc skąd związek osobisty z nieznanymi bliżej „komputerami” na które rozpowszechniano chroniony utwór.
Przecież sieci P2P nie pozwalają na prostą identyfikację osób, ani na ograniczenie rozpowszechniania do wybranych przez siebie osób/komputerów „pozostających w związku osobistym”.
Nie do wybronienia się, nie da się w ten sposób zastosować tego wyłączenia odpowiedzialności.
Niemniej w powszechnym przekonaniu — piszą tak też koryfeusze prawa — utarło się, że ściągnie z sieci „mieści się”. Już nawet nie pamiętam jakie było na ten temat moje zdanie :)
> ..utarło się, że ściągnie z sieci „mieści się”.
Ściąganie oczywiście, ma Pan rację.
Tylko, że na początku odnosiłem się do Pańskiego komentarza dotyczącego rozpowszechniania i o tym cały czas pisałem.
>> tymczasowe zwielokrotnienie, o charakterze przejściowym lub incydentalnym (…) zgodnego z prawem korzystania z utworu.
> O to, to.
PS błagam, bez „panów” w komciach!!
27 października 2016 at 10:54
Niemniej jak rozumiem od strony technicznej „drucik” jest otwarty, bodajże użytkownik może go przymknąć, ale to powoduje zmniejszenie transferu do użytkownika.
Jeśli nawet rzecz bierze się z tego, że producent „wyczuwa” ściąganie i przez to domniema, że doszło też do udostępnienia pliku — to niestety, ale tu jest właśnie rola policji, żeby sprawdzić (udowodnić), że do tego doszło.
W przypadku tego przestępstwa usiłowanie (o ile w ogóle byłoby to usiłowanie) nie podlega karze (art. 13 par. 1 kk — odpowiada za usiłowanie kto „w zamiarze popełnienia czynu zabronionego swoim zachowaniem bezpośrednio zmierza do jego dokonania”).
Natomiast rzeczywiście jestem zdania, że to byłaby prowokacja producenta, to takie działanie tym bardziej (może i bardziej niż art. 23(1) pkt 2 pr.aut.) wyklucza karalność czynu internauty.
Policjanci na początku rozpytują się, jakie są komputery, kto ich używa i do czego, od kiedy są używane. I jeśli usłyszą, że pod danym adresem to ten jeden komputer to jest kolegi (bo przedwczoraj zostawił/pożyczył) a drugi komputer to kupiłem miesiąc temu, a w ogóle to komputer wykorzystujemy (_bardzo ważne_: cała rodzina, a komputer nie ma zabezpieczeń) tylko do poczty, bo nic więcej nie umiemy na nim robić – to na 99% nie będą zainteresowani zatrzymaniem sprzętu.
A takie nasze wyjaśnienie mogą co najwyżej wpisać sobie do protokołu przeszukania i nie są one składane pod odpowiedzialnością karną.
Najważniejsze to się nie przyznawać, i nie wyjaśniać kto, od kiedy i do czego wykorzystuje komputer, bez przyznania się nie ma możliwości udowodnienia, kto korzysta z komputera. A bez winnego nie ma przestępstwa. Nie ma odpowiedzialności zbiorowej, więc nie mogą oskarżyć całej rodziny.
26 października 2016 at 19:50
To jest kar za oglądanie kiepskich filmów. ;)
„adres IP zakończenia sieci niewątpliwie stanowi informację będącą daną osobową”
No chyba, że abonentem jest firma, instytucja itp. Wtedy nie jest to dana osobowa.
26 października 2016 at 21:33
Oczywiście, to już z całkowicie innych przyczyn, ale jasne, że tak.
26 października 2016 at 19:56
Na screenie pokazałeś jedynie swój adres prywatny. Pewnie setki tysięcy osób na świecie mają identyczny. Żeby sprawdzić swój publiczny, wejdź np. na stronę http://ip6.me lub http://speedtest.net
26 października 2016 at 19:57
26 października 2016 at 21:40
Oczywiście, ten obrazek to po prostu tzw. „ilustracja ogólna”.
Oto co o mnie mówią różne serwisy
http://geoiplookup.net/ip/37.47.175.160 (Poznań)
https://db-ip.com/37.47.175.160 (Poznań)
http://www.ipaddress-finder.com/?ip=37.47.175.160 (Wrocław)
Troszkę mało na dane osobowe, a nie wiem czy Orange udzieli komuś takiej informacji (hmm można pomyśleć o chakierskim konkursie z jakąś nagrodą za złamanie systemu…)
27 października 2016 at 10:41
Czyli dla czytających komentarze adres IP powyżej będzie już daną osobową, ponieważ widząc taki adres gdzieś w logach mogę zakrzyknąć „Toż to Redaktor Olgierd R.”! (;
27 października 2016 at 10:55
Ale to było wczoraj, bo przedwczoraj było inaczej.
Nie wiem nawet czy taki Orąż zmienia dynamiczne IP-ki dopiero po wyłączeniu routera czy też co jakiś czas. Niemniej ja na wszelki wypadek staram się od czasu do czasu router restartować.
Czyli dopiero gdy ktoś kogo adres IP znam i wiem, że jest on stały wchodząc do mnie na stronę może mi nieopatrznie z logów zrobić zbiór danych osobowych? (;
Mnie kiedyś wyszło, że realnie chodzi o jakieś „imienne łącza” o stałym IP — czyli nie dość, że mam stały IP, to jeszcze ten IP przy użyciu who is pozwala zidentyfikować użytkownika (bo ma domenę na siebie). Ale nawet nie wiem czy to jest możliwe (kim trzeba być, żeby mieć stały IP na swoją domenę — nie na domenę dostawcy internetu).
Być może trzeba być dostawcą internetu…
Ale jeśli znam czyjś numer IP i wiem, że się nie zmienia, to bez „nadmiernych kosztów, czasu lub działań” jestem w stanie osobę wchodzącą zidentyfikować. Co prawda tylko takie osoby mógłbym zidentyfikować, a nie wszystkie, ale czy nie wystarczy, że w zbiorze część danych była danymi osobowymi, żeby cały zbiór był zbiorem danych osobowych? (;
Oczywiście są to rozważania czysto teoretyczne i z dużą dozą żartu. Nie próbuję zapalić świata. (;
27 października 2016 at 11:15
Oczywiście, daną osobową jest każda informacja o zidentyfikowanej osobie — samo w sobie „but 42, kołnierzyk 42” nie oznacza nic, ale przyporządkowawszy to do konkretnej osoby, mamy już zestaw danych.
Zatem owszem, jeśli sobie ponotuję stałe IP-ki i będę umiał je powiązać z konkretnymi ludźmi, to mamy zbiór danych osobowych.
27 października 2016 at 11:18
To lepiej się nie przyznawać do takich rzeczy, bo przy odpowiednio małym ruchu jak ktoś znajomy powie „wczoraj wieczorem wszedłem do ciebie na stronę” to już może nam zbiór danych osobowych zrobić. (;
27 października 2016 at 11:42
Toteż jest jeszcze tak, że w ogóle nie ma potrzeby gromadzenia takich danych — póki co dane technologiczne nie są obowiązkowe (i nawet jeśli organ mówi „dajcie”, to można odpowiedzieć „kasujemy w cyklach 24-godzinnych”).
26 października 2016 at 21:02
Na jednym ze szkoleń osoba prowadząca (jeden z autorów ustawy o ochronie danych osobowych) powiedział, że podobno jest pond 300 tys. danych nas identyfikujących. Tylko niewielki procent, a nawet ułamek procenta podpada pod ustawę, bo wymagają albo dostępu do innych baz, do których nie mamy dostępu, albo nadmiernych kosztów. Ale… weź rzadkie nazwisko, IP powiązany z tym abonentem i fakt, że jest kawalerem i masz trafionego gościa…Ale tak – taka osoba może mieć bogate życie towarzyskie i ktoś z gości mógł korzystać z komputera… :)
Jeśli masz naprawdę rzadkie nazwisko (plus inicjał imienia) to właściwie już wystarczy. A czasem nawet imię i inicjał nazwiska:
„Prometeusz P.”
Czekam na podpowiedzi w komentarzach :)
27 października 2016 at 08:07
Ja mam tak rzadkie, że nie znam _nikogo_ innego z takim nazwiskiem… Mam przechlapane :)
Nie wiem na ile można wierzyć temu serwisowi:
http://www.moikrewni.pl/mapa/kompletny/bulkowski.html
28 października 2016 at 22:38
29 października 2016 at 19:10
A ja poważnie nie znam nikogo… Taki samotny jestem… ;)
27 października 2016 at 13:45
Prokurator z Wrocławia :)
Kolega z roku („Promyk daj ognia!”) ;-)
Hej mógłbyś się odnieś do tego artykułu, w tym do komentarzy o konieczności rejestracji zbioru danych?
http://webfaces.pl/blog/wordpress-newsletter-giodo-zjadlam-wreszcie-te-zabe/#comment-40791
1 grudnia 2017 at 21:04
Chodzi Ci o konieczność rejestracji w GIODO zbiorów danych osobowych obejmujących dane osobowe w postaci adresów email (i być może adresów IP) komentujących na blogu?
2 grudnia 2017 at 04:40
Dokładnie, a nawet jeden z wątków odnośnie newslettera (niezależnie czy to jest strona komercyjna czy nie), a dokładniej ”
Po pierwsze, adres e-mail zalicza się do danych osobowych.
Oczywiście nie każdy, ale przecież nie jesteś w stanie sprawić, by
subskrybenci nie podawali adresów z wykorzystaniem imienia i nazwiska, a
wyłącznie fantazyjne. Szczególnie, gdy nie celujesz w gimbazę
(mlodybog1998@buziaczek.pl), ale w ogarniętych życiowo ludzi
(jan.kowalski@gmail.com).
22 maja 2018 at 10:02
Witam. Jestem totalnym laikiem w sferze internetu i stąd moje pytanie. Zamieściłem na stronie panorama firm opinie negatywną o pewnym biurze. Niefortunnie podpisałem się skrótem firmy. Podobno prezes ma podać to na policję. W komentarzu nic złego nie było. Chodzi jedynie o ten głupi skrót. Czy są w stanie w swojej firmie ustalić kim jestem? Dodam że tam pracuję :)
Tożsamość użytkownika prędzej ustalić można po adresie IP, niż po skrócie nazwy firmy. Bo ja mogę też napisać IBM, BMW lub YSL i co to komu da?
22 maja 2018 at 11:03
No tak. Ale jeżeli pi IP ustalą moje dane to dotrą do mnie i wtedy mogą oskarżyć o nieprawne użycie nazwy w nicku. Chodzi mi na ile mogą uzyskać informacji o mnie i czy mogą uzyskać IP. Dodam, że strona nie wymagała rejestracji konta.
Jakie „nieprawne użycie nazwy w nicku”??! Jakikolwiek to jest skrót, nawet jeśli tak znaczący, że zna go cały świat, wpisanie go w nicku jest kompletnie nieznaczące z punktu widzenia tej firmy.
OK. A jakie dane można uzyskać po IP prywatnie, jeżeli ktoś jest naprawdę dobry w te klocki? Poza tym zauważyłem, że mam zmienne IP po każdym restarcie routera. Czy to ma jakieś znaczenie?
Nie wiem jakie, nie jestem dobry w te klocki. Ale na pewno mając na stronie Analyticsa udostępniamy te dane lepszemu w te klocki ;-)
Poza tym dynamiczny IP też może być daną osobową (już dziś!) https://czasopismo.legeartis.org/2016/10/przetwarzanie-danych-osobowych-adres-ip.html
A poza tym GDPR wprost mówi o identyfikatorach internetowych jako danych osobowych, bo mogą służyć do tworzenia profili, a nawet identyfikowania osób (pkt 30 motywów RODO, art. 4 pkt 1 RODO).

References: art. 6
 art. 18
 art. 2
 art. 6
 Art. 23

Art. 23
 art. 23
 art. 4