Je IP adresa osobním údajem?
Autor: Mgr. Petr Otevřel | Vloženo: 26. 2. 2008 10:25 | Přečteno: 12865XV poslední době vzbudila pozornost vyjádření pracovní skupiny zabývající se ochranou osobních údajů, podle které by měla být IP adresa posuzována jako osobní údaj. Zmíněná pracovní skupina je oficiálním nezávislým poradním orgánem EU, jehož role je zakotvena přímo v čl. 29 Směrnice 95/46/ES o ochraně osobních údajů. Zatímco se diskutuje o dopadech takového postoje zejména ve vztahu ke společnosti Google, bylo v SRN bez větší pozornosti publikováno rozhodnutí soudu k této problematice.
IP adresa
IP adresa je numerickým či alfanumerickým řetězcem, ze kterého lze identifikovat konkrétní počítač. Zpravidla jsou uživatelům připojujícím se prostřednictvím Access providerů přidělovány tzv. dynamické IP adresy, a to náhodně z určitého souboru IP adres – tato IP adresa bude s největší pravděpodobností jiná při každém připojení počítače do sítě.
Předmět sporu
Pikantní na celém sporu je fakt, že žalobce – právník, člen svazu na ochranu osobních údajů – žaloval ministerstvo spravedlnosti. To provozuje běžné internetové stránky za účelem informování veřejnosti. Na stránkách však běží software určený k ukládání informací o návštěvnících stránek. V tzv. log-files na serveru je ukládán protokol o každém přístupu k internetovým stránkám, a to včetně IP adresy návštěvníka, data a času jeho návštěvy, názvu souboru či dat, ke kterým přistoupil a toho, zda byl přístup úspěšný.
Jde o informace užívané řadou provozovatelů internetových stránek, kteří tak získávají přehled o tom, jaké informace jsou nejvyhledávanější, z jakých stránek a hyperlinků návštěvníci „přišli“ a jaká klíčová slova předtím zadali v internetových vyhledávačích. Jde tak o informace, které představují zpětnou vazbu pro každého provozovatele internetových stránek.
Žalobce však namítal, že vyhodnocení protokolů o návštěvách může vést k tomu, že je možno vysledovat konkrétní uživatele, a následně z toho, jaké stránky či informace navštívili, by bylo možno zjistit citlivé osobní údaje, např. politickou orientaci, náboženské vyznání, zdravotní stav apod.
Žalobce se proto domáhal žalobou domáhal toho, aby se žalovaný musel zdržet ukládání shora uvedených údajů o návštěvách na jím provozovaných internetových stránkách.
Rozhodnutí soudu I. stupně
Soud I. stupně označil všechna uložená data, zejména ovšem dynamickou IP adresu za osobní údaj, protože zprostředkovaně přes Access providera je možno identifikovat návštěvníka stránek. Nakládání s takovými údaji se řídí příslušnými ustanoveními zákona TMG (Telemediengesetz), jehož obdobou je český zákon č. 127/2005 Sb., o službách elektronických komunikací.
Soud dále aplikoval ust. § 15 TMG, podle kterého mohou být osobní údaje provozovatelem služby elektronických komunikací zpracovány či použity pouze tehdy a po tu dobu, pokud je to nezbytné pro přenos zprávy, popř. pro vyúčtování ceny za službu, která byla poskytnuta účastníkovi (přitom v českém zákoně č. 127/2005 Sb. je v důsledku harmonizace evropského práva v podstatě totožné ustanovení - § 90).
Vzhledem k tomu, že provoz předmětných internetových stránek je zdarma, není dle názoru soudu vůbec nutné a tedy ani přípustné ukládat IP adresy bez předchozího výslovného souhlasu návštěvníků stránek. Dle názoru soudu nepotřebuje provozovatel tyto IP adresy ani k bezproblémovému "přenášení zpráv", tedy k bezproblémovému provozu internetových stránek.
Rozhodnutí odvolacího soudu
Odvolací soud v podstatě potvrdil rozhodnutí soudu I. stupně, pouze výrok upřesnil a zmírnil tak, že provozovatel může shromažďovat údaje jako např. datum a čas, navštívené stránky, stažené množství dat apod. (tyto údaje byly oproti výroku soudu I. stupně odstraněny), nicméně za nepřípustné označil právě ukládání IP adres. Ve vztahu k IP adresám soud přijal právní argumentaci soudu I. stupně, tzn. považuje IP adresu za osobní údaj a potvrdil aplikaci shora uvedeného ust. § 15 TMG.
Závěr
Shora uvedené závěry stejně jako snahy generálně posuzovat IP adresy vyvolávají řadu diskusí. Zajímavý je přitom postoj českého Úřadu pro ochranu osobních údajů, podle kterého „ve vztahu k IP adrese zcela chybí jednoznačně určený nebo určitelný subjekt a jako samostatný údaj tedy ani nemůže být IP adresa považována za osobní údaj ve smyslu zákona č. 101/2000 Sb.“ (viz článek Podle EU je IP adresa osobním údajem). Tento přístup, vycházející z faktu, že i vysledovaný konkrétní počítač může užívat více osob, vyhovuje provozovatelům služeb mnohem více. Je však otázkou, zda a jak dlouho bude udržitelný.
Zajímavý je rovněž konflikt mezi snahou ochránců osobních údajů a návrhem Směrnice 2006/24/ES o uchovávání údajů vytvářených nebo zpracovávaných v souvislosti s poskytováním veřejně dostupných služeb elektronických komunikací nebo veřejných komunikačních sítí. Tato směrnice naopak zavádí resp. rozšiřuje vůči provozovatelům služeb elektronických komunikací povinnosti uchovávat mj. veškeré osobní údaje za účelem zajistit dostupnost těchto údajů pro účely vyšetřování, odhalování a stíhání závažných trestných činů. Mezi těmito údaji jsou pochopitelně veškeré lokalizační údaje včetně IP adres. Konkrétní způsob uchovávání těchto velice citlivých dat není upraven, jediným kritériem dle čl. 8 uvedené směrnice je takové uchovávání informací, které umožní "bezodkladné" předání příslušným státním orgánům.
V nejbližší době proto lze očekávat v této oblasti řadu změn a mnohé soudní spory.
Autor: Petr Otevřel
Autor působí v advokátní kanceláři Jansa, Mokrý, Otevřel & partneři v.o.s., kde se zabývá zejména smluvní úpravou v oblasti informačních technologií, obchodním a autorským právem. Je členem Právního klubu Sdružení pro informační společnost (SPIS) a České společnosti pro systémovou integraci.
Kategorie
Naše služby
Naše infoportály
Kniha Softwarové právo
