Czy zatem adres IP może być prawnie chronioną daną osobową? Informacją jest z pewnością, ale czy dotyczy osoby fizycznej? Ze swej istoty odnosi się przecież do urządzenia, z którego mogą korzystać różne osoby. Można więc argumentować, że adres IP daną osobową nie jest, co też czynili, na przykład, prawnicy Google w sporze na ten temat z Komisją Europejską. Ale takie rozumowanie wykluczałoby z zakresu pojęcia danych osobowych również, chociażby, numer telefonu komórkowego. Ponadto przecież pojawiający się w sieci adres IP, zawsze (pomijając rzadkie przypadki w całości zautomatyzowanych działań poszczególnych urządzeń) jest rezultatem działania osoby fizycznej, a więc zawsze istnieje teoretyczna możliwość powiązania IP z konkretną osobą. Druga przesłanka definicyjna „danych osobowych” wydaje się więc jednak spełniona.

Unijna Grupa Robocza ds. Ochrony Danych Osobowych, powołana na mocy art. 29 (dalej zwana: Grupą art. 29), przygotowała swoisty test: „Aby dane można było uznać za „dotyczące” osoby fizycznej, powinien występować element „treść” lub element „cel” bądź element „skutek”. Element „treść”, to „informacja na temat pewnej osoby” (np. wyniki jej analiz medycznych). Element „cel” wystąpi, gdy „dane są lub mogą być wykorzystywane w celu oceny osoby, jej traktowania w określony sposób lub też wpływania na jej status lub zachowania”, np. billing rozmów telefonicznych prowadzonych ze stacjonarnego telefonu przypisanego do firmy, ale znajdującego się w godzinach pracy u danego pracownika. Element „skutek” wystąpi wówczas, gdy „użycie danych prawdopodobnie będzie miało wpływ na prawa i interesy danej osoby”, np. oparty o GPS system alokacji taksówek do zleceń klientów.

Adresy IP nie dotyczą co prawda osób fizycznych ze względu na element „treść” (identyfikują tylko urządzenie), ale już z uwagi na element „cel” lub „skutek” - owszem. Na przykład, gdy zbiera się je dla identyfikacji osób korzystających z forów internetowych czy w celu sporządzenia statystyki, np. dotyczącej „geograficznego” pochodzenia internautów odwiedzających stronę WWW.

Trzecią ustawową przesłanką dla uznania adresów IP za dane osobowe jest ocena, czy osoba, której dotyczy informacja w postaci adresu IP, jest „zidentyfikowana lub możliwa do zidentyfikowania”. Według Grupy art. 29, to czy adres IP umożliwia identyfikację osoby będzie ściśle zależeć od kontekstu, w jakim konkretne dane będą funkcjonować. Ta sama rodzajowo informacja może być raz traktowana jako „dana osobowa”, kiedy indziej zaś być pozbawiona tego statusu prawnego. Nieco bardziej szczegółowo kwestia ta zostanie omówiona w kolejnej części opracowania.

Michał Barta jest wspólnikiem w kancelarii radców prawnych Maruta i Wspólnicy (www.maruta.pl).