Obowiązek udostępnienia informacji o adresach IP

Obowiązek udostępnienia informacji o adresach IP podmiotom prywatnym
Wyrok
Naczelnego Sądu Administracyjnego
z dnia 21 sierpnia 2013 r.
I OSK 1666/12
Teza
1. Udostępnienie informacji o dysponentach adresów IP (danych eksploatacyjnych) podmiotom prywatnym jest
dopuszczalne, o ile jest to niezbędne dla realizacji ich uzasadnionych celów.
2. Przy wydawaniu nakazów udostępnienia informacji o dysponentach adresów IP, GIODO powinien uwzględnić
zasadę proporcjonalności, nakazującą wyważenie interesów zainteresowanych stron, w tym podmiotów których
dane osobowe są udostępniane.
-
Legalis
Ustawa o świadczeniu usług drogą elektroniczną, Art. 18 ust. 6
Kodeks cywilny, Art. 24 § 1
Numer 733079
Skład sądu
Irena Kamińska (sprawozdawca)
Leszek Kiermaszek
Wiesław Morys (przewodniczący)
Sentencja
Naczelny Sąd Administracyjny po rozpoznaniu w dniu 21 sierpnia 2013 roku na rozprawie w Izbie
Ogólnoadministracyjnej skargi kasacyjnej Generalnego Inspektora Ochrony Danych Osobowych od wyroku
Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 8 marca 2012 r. sygn. akt II SA/WA 2821/11 w
sprawie ze skargi A. S. A. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z
dnia (...) października 2011 r. nr (...) w przedmiocie nakazania udostępnienia danych osobowych 1. oddala skargę
kasacyjną, 2. zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz A. S. A. z siedzibą w W.
kwotę 180 (sto osiemdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.
Uzasadnienie
A.S.A prowadził serwis internetowy, na którym użytkownicy mogli zamieszczać różne komentarze. Na forum tym
pojawiły się wpisy zniesławiające P. Sp. z o.o. (dalej: Spółka). W związku z tym Spółka zażądała od A.S.A., jako
administratora serwisu, udostępnienia danych osobowych użytkowników będących autorami 36 wpisów, w tym:
adresu (numeru) IP, wykorzystywanego przez użytkowników w czasie umieszczania wypowiedzi naruszających
prawa Spółki, adresu e-mail użytkowników oraz innych danych identyfikacyjnych, w szczególności ich imienia i
nazwiska, adresu zamieszkania lub pobytu, numeru ewidencyjnego PESEL albo NIP oraz serii i numeru dowodu
osobistego. W uzasadnieniu żądania podano, że wskazane w nim wpisy naruszyły dobra osobiste Spółki, w tym
szczególności jej dobre imię (renomę) oraz wypełniają znamiona przestępstwa pomówienia, a uzyskanie
przedmiotowych informacji o osobach, które były autorami wpisów pozwoli wnioskodawcy na dochodzenie praw
przed sądem. A.S.A. odmówiła udostępnienia danych użytkowników, powołując się na treść art. 18 ust. 6 ustawy
o świadczeniu usług drogą elektroniczną (dalej: ŚwiadUsłElektU), zgodnie z którym "usługodawca udziela
informacji o danych, o których mowa w ust. 1-5, organom państwa na potrzeby prowadzonych przez nie
postępowań". Zdaniem A.S.A. treść tego przepisu przesądzała o tym, że dopuszczalne jest wydawanie danych
eksploatacyjnych (adresów IP) jedynie organom państwa, nie można więc ich przekazywać podmiotom
prywatnym. Spółka zwróciła się w związku z tym do Generalnego Inspektora Ochrony Danych Osobowych
(GIODO) z żądaniem nakazania A.S.A. udostępnienia danych użytkowników. GIODO wydał taką decyzję
nakazową, która została z kolei zaskarżona przez A.S.A. do WSA. Ten, wyrokiem z 8.3.2012 r. uchylił decyzję
GIODO, z uwagi na to, że została ona wydana na podstawie ogólnej regulacji ustawy o ochronie danych
osobowych, bez uwzględnienia szczególnych postanowień zawartych w art. 18 ust. 6 ŚwiadUsłElektU. WSA
podzielił więc stanowisko A.S.A. o braku podstawy prawnej do wydania danych eksploatacyjnych użytkowników
podmiotom prywatnym. Od tego wyroku skargę kasacyjną wniósł GIODO, która jednak została oddalona przez
NSA w wyroku z 21.8.2013 r.
Mimo oddalenia kasacji, NSA w najważniejszej ze spornych kwestii tj. wykładni art. 18 ust. 6 ŚwiadUsłElektU,
przychylił się do interpretacji przedstawionej przez GIODO. NSA podkreślił w szczególności, że udostępnienie
danych eksploatacyjnych (adresy IP) podmiotom prywatnym jest dopuszczalne, a treść art. 18 ust. 6
ŚwiadUsłElektU nie stoi temu na przeszkodzie. W przepisie tym nie określono bowiem wyłącznego kręgu
podmiotów, którym usługodawca (np. administrator serwisu internetowego) może przekazywać dane osobowe.
Innymi słowy, nie tylko wymienione w nim "organy państwa" mogą wnioskować o te dane, ale również podmioty
prywatne. Z drugiej strony, NSA podkreślił znaczenie zasady proporcjonalności, nakazującej w każdym
indywidualnym przypadku starannie rozważyć interesy obu stron - w tym użytkowników, których dane mają zostać
udostępnione. Zdaniem NSA zasada ta nie została uwzględniona przez GIODO, który nie zważył, że w dacie
wydania kwestionowanych decyzji, toczyły się jeszcze postępowania karne, których przedmiotem było ocena czy
nie doszło do popełnienia przestępstwa w wyniku ww. działań użytkowników. Interesy Spółki były więc chronione.
Sąd zakwestionował również zakres danych użytkowników, które miały być udostępnione na podstawie decyzji
GIODO. Przekazaniu ulec miały bowiem dane z ponad 1,5 rocznej historii serwisu, a nie tylko z okresu, w którym
pojawiły się sporne wpisy. Te właśnie okoliczności zadecydowały o oddaleniu kasacji GIODO.