Ten wyrok TSUE to zielone światło dla zbierania adresów IP internautów

W tym tygodniu zapadł wyrok Trybunału Sprawiedliwości UniiEuropejskiej (TSUE), dotyczący dopuszczalności zbieraniadynamicznych adresów IP przez witryny i usługi internetowe. Sprawanietrywialna, gdyż właśnie od zbierania takich danych zaczynająsię te wszystkie akcje antypirackie, mające na celu zmuszenie dopłacenia za odstąpienie od pozwu o naruszenie praw autorskich.Niestety wygląda na to, że wyrok jest wyjątkowo niekorzystny dlainternautów.

Sprawa C-582/14 dotyczyła wieloletniej walki pana PatrickaBreyera z niemieckimi służbami federalnymi. Ten niepokorny obywateluważał, że witryny internetowe tych służb nie powinnyrejestrować i przechowywać adresu IP, z którego się łączy,ponieważ adres ten pozwala na jego zidentyfikowanie, a więcpowinien być traktowany jak każde inne dane osobowe, czyli objętyprzewidzianą ustawowo ochroną. Służby federalne odpowiadały, żerejestrowanie i przechowywanie adresów IP jest konieczne dozabezpieczenia się przed cyberatakami i ścigania odpowiedzialnychza nie osób.

Federalny Trybunał Sprawiedliwości (Bundesgerichtshof), doktórego sprawa ostatecznie trafiła, zwrócił się ostatecznie doTSUE z zapytaniem, czy dynamiczne adresy IP, które zmieniają sięprzy każdym połączeniu i z których korzysta zdecydowana większośćzwykłych internautów, mogą być traktowane jako dane osobowe. Wkońcu w normalny sposób zbierający je operator nie dysponujedodatkowymi danymi (rejestrami logowania do sieci), pozwalającymizidentyfikować osobę internauty. Niemiecki sąd chciałteż ustalić czy dostawca serwisu internetowego powinien mócgromadzić i wykorzystywać dane osobowe odwiedzających w celuzapewnienia ogólnej funkcjonalności swojej witryny, szczególniegdy regulacje w tym kraju interpretowało się dotąd, że zebranedane powinny zostać usunięte po zakończeniu danej sesjiprzeglądania.

Sędziowie TSUE uznali, że dynamiczny adres IP, pozarejestrowaniu go przez dostawcę usług medialnych online (w tymwypadku niemieckie służby federalne) stanowi wobec dostawcy daneosobowe, o ile dysponuje on środkami prawnymi pozwalającymi muzidentyfikować osobę odwiedzającą. W uzasadnieniu wskazano, żedostępne w niemieckim prawie środki pozwalają dostawcy usługmedialnych online na uzyskanie dodatkowych danych niezbędnych doidentyfikacji, szczególnie w wypadku cyberataku i koniecznościwszczęcia postępowania karnego.

Wskazano też, że obecnie w Niemczech dostawca usług medialnychonline może gromadzić i wykorzystywać dane osobowe użytkownikatych usług bez jego zgody tylko wówczas, jeżeli jest to koniecznedo skorzystania z tych usług i zafakturowania kosztów korzystania.Samo zapewnienie ogólnej funkcjonalności usługi nie uzasadniakorzystania z zebranych danych osobowych po zakończeniu przeglądaniamediów.

Trybunał wyjaśnił, że ta regulacja jest niezgodna z prawemunijnym. Ono to stanowi, że przetwarzanie danych osobowych bezuzyskania zgody użytkownika jest zgodne z prawem wtedy, gdy jestkonieczne dla realizacji potrzeb wynikających z uzasadnionychinteresów administratora danych lub osoby trzeciej lub osóbtrzecich, którym dane są ujawniane. Wyjątkiem ma być sytuacja, wktórej pierwszeństwo mają interesy lub podstawowe prawa i wolnościużytkownika.

Tymczasem regulacje niemieckie ograniczają zakres tej zasady,wykluczając uznanie celu polegającego na zagwarantowaniu ogólnejfunkcjonalności mediów online. Tymczasem niemieckie służbyfederalne świadczące usługi medialne online mogą miećuzasadniony interes w zapewnieniu ciągłości funkcjonalnościswoich witryn, mogą więc rejestrować i przechowywać adresy IP,nawet jeśli są one z ich punktu widzenia danymi osobowymi.

W tej sytuacji niestety wygląda na to, że także i rejestrowanieadresów IP przez organizacje antypirackie może zostać podciągniętepod uzasadniony interes. Pozwala to gromadzić *de facto *daneosobowe (gdyż poprzez działania prokuratury mogą pozyskaćdodatkowe dane identyfikujące) bez zgody internautów, trudno bowiemuznać w świetle europejskiego prawa, by wymienianie się plikami wtorrentowych rojach należało do podstawowych praw i wolnościużytkowników.

Pełen tekst orzeczenia TSUE znajdziecie na stronachcuria.europa.eu.