Zbiory danych powstające w Internecie Maciej Wierzbicki 17 marca 2009
Na podstawie art. 2 Ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej oraz na podstawie art. 12 Ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, uprzejmie proszę o wyjaśnienie wątpliwości dotyczących zakresu danych osobowych zawartych w różnego rodzaju zbiorach danych automatycznie zbieranych w trakcie świadczenia usług drogą elektroniczną, jak również uprzejmie proszę o odpowiedzi na poniższe pytania związane z wyżej wymienionym tematem. Odpowiedzi te będą niezwykle istotne dla działalności związanej ze świadczeniem usług drogą elektroniczną, gdyż ochrona danych osobowych w kontekście zbiorów danych elektronicznych jest cały czas tematem zawierającym wiele niejasności. Taki stan rzeczy w niektórych przypadkach uniemożliwia rzetelne wypełnianie ustawowych obowiązków, w tym obowiązków wynikających z Ustawy o ochronie danych osobowych. 1. Jak należy interpretować art. 7 ust. 1 Ustawy o ochronie danych osobowych w kontekście elektronicznych zbiorów danych, a zwłaszcza sformułowanie każdy posiadający strukturę zestaw? Czy plik tekstowy (na przykład dziennik zdarzeń), do którego zapisany jest zestaw różnych danych w sposób strumieniowy, to znaczy aplikacja zapisująca dane wstawia do pliku tekstowego ciąg tekstowy z różnymi danymi, jest posiadającym strukturę zestawem danych w rozumieniu art. 7 ust. 1 Ustawy o ochronie danych osobowych? W systemach teleinformatycznych prowadzone są zapisy olbrzymiej ilości zdarzeń zachodzących w tych systemach. Jest tak zarówno ze względu na bezpieczeństwo systemów (dziennik zdarzeń - log - ułatwia rozwiązywanie problemów lub wyszukiwanie ich przyczyn), jak i na wymogi ustawowe, na przykład w związku z Ustawą z dnia 16 lipca 2004 r. Prawo telekomunikacyjne. Logi takie mają ustaloną strukturę (najczęściej będącą efektem wyboru administratora z możliwości oferowanych przez aplikację tworzącą logi). Wątpliwości budzi, co należy uznać za zbiór danych osobowych w rozumieniu art. 7 Ustawy o ochronie danych osobowych. Jeżeli za zbiór danych osobowych uznamy każdy zestaw danych, w którym w jakikolwiek sposób i z jakiegokolwiek powodu znalazły się dane podpadające pod dane osobowe w rozumieniu art. 6 Ustawy o ochronie danych osobowych, to oznacza, że w Polsce mamy miliardy takich zbiorów danych. 2. Czy wiadomość pocztowa znajdująca się w mojej skrzynce pocztowej na moim komputerze, posiadająca w nagłówkach adres IP nadawcy, imię i nazwisko nadawcy oraz treść, a dane te sumarycznie tworzą zestaw informacji dotyczących możliwej do zidentyfikowania osoby fizycznej, jest zbiorem danych osobowych w rozumieniu art. 7 ust. 1 Ustawy o ochronie danych osobowych? 3. Czy adres IP (stosowany w protokole IP wykorzystywanym na powszechną skalę w Internecie do identyfikacji urządzenia nawiązującego połączenie), bez żadnych innych towarzyszących danych, to dane osobowe w rozumieniu art. 6 Ustawy o ochronie danych osobowych? Czy jeżeli taki adres IP sam w sobie to dane osobowe, to czy zbiór danych osobowych zawierających adresy IP (i tylko adresy IP) jest zbiorem danych osobowych powszechnie dostępnych w rozumieniu art. 43 ust. 1 pkt 9 Ustawy o ochronie danych osobowych? Jeżeli na mocy Ustawy o ochronie danych osobowych adres IP uważa się za dane osobowe, to jak należy traktować art. 18 ust. 5 pkt 2 Ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną, który wyraźnie separuje dane eksploatacyjne od danych osobowych? 1
Każde urządzenie, z którym można nawiązać połączenie w Internecie, lub które może zainicjować połączenie, posiada adres IP. W celu umożliwienia komunikacji w Internecie tak zwane publiczne adresy IP są niepowtarzalne w danym punkcie czasu i wskazują konkretne urządzenia (routery, serwery, komputery końcowe). Istnieją bazy danych adresów IP, prowadzone przez organizacje zajmujące się przydzielaniem adresów IP operatorom, którzy następnie przydzielają adresy IP z uzyskanych pul (zbiorów) swoim urządzeniom lub użytkownikom końcowym. W przypadku Europy organizacją tą jest RIPE 1, który udostępnia wyszukiwarkę danych związanych z przydzielonymi przez siebie adresami IP, o nazwie whois 2. Wyszukiwarka ta umożliwia sprawdzenie, komu został przydzielony adres IP lub pula adresów IP. Wyszukiwarka ta jest publicznie dostępna. Przydzielenie puli adresów IP operatorowi oznacza pojawienie się w bazie whois wpisu dotyczącego tej puli, w którym zawarte są dane operatora. Operator następnie - delegując z tej puli adresy IP swoim klientom - może uszczegółowić wpis w bazie whois poprzez wydzielenie z puli mniejszego zakresu adresów i opisanie go danymi klienta. Praktycznie w stu procentach przypadków opisy takie nie określają osób fizycznych, lecz instytucje bądź firmy. W związku z tym korzystanie z bazy whois udostępnianej przez RIPE nie umożliwia ustalenia tożsamości osoby posługującej się w danym momencie konkretnym adresem IP. 4. Czy logi serwera www (udostępniającego w Internecie serwisy - strony www), zawierające datę i godzinę pobrania fragmentu serwisu, informacje o dokumentach pobieranych z serwera oraz adres IP pobierającego (lub adres IP, z którego połączenie z serwerem www zostało zainicjowane), zawierają dane osobowe w rozumieniu art. 6 Ustawy o ochronie danych osobowych? Jeżeli tak, to czy logi takie są zbiorem danych osobowych w rozumieniu art. 7 Ustawy o ochronie danych osobowych? Jeżeli tak, to czy zbiór taki powinien zostać zarejestrowany w rozumieniu art. 40 Ustawy o ochronie danych osobowych? Jeżeli logi takie są zbiorem danych osobowych, to w jaki sposób należy wypełnić obowiązki wynikające z art. 24 Ustawy o ochronie danych osobowych? W Polsce istnieją tysiące serwerów www udostępniających w Internecie serwisy www. W większości przypadków zdarzenia zachodzące na serwerach www są logowane - wynika to zarówno z dobrej praktyki administratorów www (na podstawie logów można zidentyfikować zdarzenie powodujące problem z serwisem lub serwerem, a następnie wprowadzić poprawkę), jak również w niektórych przypadkach z obowiązku nałożonego przez Ustawę z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną oraz przez Ustawę z dnia 16 lipca 2004 r. Prawo telekomunikacyjne. 5. Czy adres poczty elektronicznej sam w sobie uważa się za dane osobowe w rozumieniu art. 6 Ustawy o ochronie danych osobowych? Jeżeli tak, to czy dowolny zbiór danych utrwalony w postaci elektronicznej (plik tekstowy, plik graficzny, relacyjna baza danych) zawierający adresy pocztowe jest zbiorem danych osobowych w rozumieniu art. 7 Ustawy o ochronie danych osobowych? Jeżeli tak, to czy zbiór taki powinien zostać zarejestrowany w rozumieniu art. 40 Ustawy o ochronie danych osobowych? Jeżeli adres poczty elektronicznej sam w sobie stanowi dane osobowe, to jak należy traktować art. 18 ust. 5 pkt 2 Ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną, który wyraźnie separuje dane eksploatacyjne od danych osobowych? 1 http://www.ripe.net 2 http://www.db.ripe.net/whois 2
6. Czy dowolna informacja w postaci elektronicznej (wiadomość pocztowa, artykuł w Usenecie, wpis na blogu lub komentarz do wpisu lub inne), zawierająca w treści dane osobowe w rozumieniu Ustawy o ochronie danych osobowych, a zapisana do tej postaci elektronicznej przez osobę, której dane te dotyczą, jest zbiorem danych osobowych? Jeżeli tak, to czy zasoby techniczne umożliwiające utrwalenie i upublicznienie takiej informacji (serwer pocztowy dla wiadomości pocztowej, serwer news dla artykułu w Usenecie, serwer www i baza danych dla blogów) są systemem informatycznym w rozumieniu art. 7 pkt 2a Ustawy o ochronie danych osobowych? 7. Jeżeli adres poczty elektronicznej to dane osobowe w rozumieniu art. 6 Ustawy o ochronie danych osobowych lub wiadomość pocztowa przychodząca na serwer pocztowy zawiera adres poczty elektronicznej nadawcy oraz inne dane umożliwiające identyfikację nadawcy (imię, nazwisko, miejsce zamieszkania lub adres zakładu pracy, NIP, PESEL lub inne dane), to czy wiadomość taka jest zbiorem danych osobowych w rozumieniu art. 7 Ustawy o ochronie danych osobowych i czy podlega rejestracji w rozumieniu art. 40 Ustawy o ochronie danych osobowych? Jeżeli tak, to czy oznacza to, że każdy istniejący w Polsce serwer pocztowy podlega rejestracji w rozumieniu art. 40 Ustawy o ochronie danych osobowych, gdyż jego najważniejszą funkcją jest obsługiwanie i przechowywanie wiadomości pocztowych, a serwer pocztowy nie ma możliwości oceny, co zawiera wiadomość pocztowa wysłana przez użytkownika innego serwera? 8. Czy logi serwera pocztowego (obsługującego pocztę elektroniczną), zawierające datę i godzinę przysłanej lub wysłanej wiadomości pocztowej oraz adresy poczty elektronicznej nadawcy i odbiorcy, zawierają dane osobowe w rozumieniu art. 6 Ustawy o ochronie danych osobowych? Jeżeli tak, to czy logi takie są zbiorem danych osobowych w rozumieniu art. 7 Ustawy o ochronie danych osobowych? Jeżeli tak, to czy zbiór taki powinien zostać zarejestrowany w rozumieniu art. 40 Ustawy o ochronie danych osobowych? Jeżeli logi takie są zbiorem danych osobowych, to w jaki sposób należy wypełnić obowiązki wynikające z art. 24 Ustawy o ochronie danych osobowych, w szczególności dotyczące nadawców wiadomości wysłanych z innego serwera? Zdarzenia zachodzące na serwerze pocztowym, takie jak wysłanie wiadomości przez użytkownika serwera pocztowego lub odebranie wiadomości wysłanej przez użytkownika korzystającego z innego serwera pocztowego, powinny być logowane w celu umożliwienia identyfikacji zdarzenia. Wynika to zarówno z potrzeby analizowania zdarzeń w celu rozwiązywania problemów, jak i jest obowiązkiem ustawowym wynikającym z Ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną oraz Ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne. W prawie stu procentach przypadków logi mają postać plików tekstowych przechowywanych na serwerze pocztowym 3. 9. Czy publicznie dostępne archiwa list dyskusyjnych, zawierające komplet korespondencji elektronicznej między subskrybentami listy, należy traktować jako zbiór danych osobowych w rozumieniu art. 7 Ustawy o ochronie danych osobowych, w przypadku gdy archiwa te zawierają adresy poczty elektronicznej subskrybentów? Czy publicznie dostępne archiwa list dyskusyjnych, zawierające komplet korespondencji elektronicznej między subskrybentami listy, należy 3 oraz archiwizowanych na nośniki danych lub na inne serwery 3
traktować jako zbiór danych osobowych w rozumieniu art. 7 Ustawy o ochronie danych osobowych, w przypadku gdy w niektórych wiadomościach pocztowych wysłanych w ramach tej listy dyskusyjnej jeden z subskrybentów własnoręcznie przekazał w treści swoje dane osobowe, mając świadomość, że tworzone są publicznie dostępne archiwa? W Polsce działają tysiące list dyskusyjnych i większość z nich oferuje publiczne archiwa - publiczne w tym sensie, że archiwa wszystkich wiadomości wysłanych na listę dyskusyjną są udostępniane w Internecie w postaci strony www. Informacja o tworzeniu takich archiwów z reguły jest podawana w regulaminie listy dyskusyjnej. Listy dyskusyjne najczęściej są tematyczne, to znaczy dyskusje toczone przy ich użyciu koncentrują się na danej tematyce. Niektóre listy są otwarte, to znaczy może się na nie zapisać każdy, używając swojego adresu poczty elektronicznej. Po zapisaniu się (zasubskrybowaniu listy) użytkownik ten dostaje na swoją skrzynkę pocztową każdą wiadomość wysłaną na listę przez dowolnego ze subskrybentów. 10. Czy lokalne dane serwera news, w skład których wchodzą wiadomości elektroniczne wysyłane przez użytkowników za pomocą serwera news (zawierające między innymi imię i nazwisko lub pseudonim użytkownika oraz poprawny adres poczty elektronicznej i dowolną treść wiadomości) należy traktować jako zbiór danych osobowych w rozumieniu art. 7 Ustawy o ochronie danych osobowych? Czy należy traktować jako zbiór danych osobowych te same dane serwera news, w przypadku gdy użytkownicy zapisali w wiadomościach swoje dane osobowe? Jeżeli serwer news jest publicznie dostępny (to znaczy: korzystać z niego może każdy, kto założy konto do korzystania z serwerów news) i jeżeli lokalne dane, o których mowa w pytaniu pierwszym w tym punkcie, są zbiorem danych osobowych w rozumieniu art. 7 Ustawy o ochronie danych osobowych, to czy zbiór taki powinien zostać zarejestrowany w rozumieniu art. 40 Ustawy o ochronie danych osobowych? 11. Jeżeli lokalne dane serwera news są zbiorem danych osobowych w rozumieniu art. 8 Ustawy o ochronie danych osobowych, to w jaki sposób należy wypełnić obowiązki wynikające z art. 24 Ustawy o ochronie danych osobowych? 12. Czy serwer news wymieniający się wiadomościami elektronicznymi (wygenerowanymi przez użytkowników) z innymi serwerami news, w szczególności z zagranicznymi serwerami news, w jakikolwiek sposób podlega pod Ustawę o ochronie danych osobowych? Usenet, czyli zbiór grup dyskusyjnych, jest jedną z najstarszych usług działających w Internecie. Zbiór grup dyskusyjnych to zhierarchizowany zbiór grup udostępnianych przez serwer news, dotyczących określonych tematów, na których subskrybenci mogą prowadzić dyskusje poprzez przesyłanie do serwera news wiadomości elektronicznych przy użyciu protokołu NNTP. Serwery news są połączone ze sobą poprzez sieć Internet i wymieniają się wiadomościami przesłanymi przez użytkowników. Należy przez to rozumieć, że użytkownik Jan Kowalski może wysłać wiadomość na grupę dyskusyjną pl.rec.ksiazki przy użyciu serwera news w Warszawie, a serwer przekaże tę wiadomość serwerowi news w Krakowie. Zatem Usenet jest to usługa rozproszona (bazuje na serwerach news zlokalizowanych na całym świecie) i otwarta (każdy może z niej skorzystać zarówno biernie - czytając, jak i czynnie - wysyłając wiadomości). Niektóre grupy dyskusyjne są moderowane (to znaczy istnieje moderator, który dba o to, żeby dyskusje były przeprowadzane na temat i zgodnie z ustalonymi zasadami), ale większość to grupy niemoderowane, i nie ma żadnej kontroli nad tym, jakie wiadomości są na grupy 4
wysyłane. Należy też dodać, że zarówno istniejące (od wielu lat) oprogramowanie używane jako serwery news, jak i protokół NNTP, przy pomocy którego następuje komunikacja z serwerami news, oraz istniejące wersje oprogramowania służącego do komunikacji z serwerami news, nie mają możliwości technicznych wprowadzenia mechanizmów prowadzących do zapytania użytkownika serwerów news, czy wyraża zgodę na przetwarzanie danych. 13. Jeżeli lokalne dane serwera news są zbiorem danych osobowych w rozumieniu art. 8 Ustawy o ochronie danych osobowych i serwer news wymienia się wiadomościami elektronicznymi (stanowiącymi te dane) z zagranicznymi serwerami news, to czy takie działanie jest równoznaczne z przekazywaniem danych osobowych do państwa trzeciego w rozumieniu art. 47 Ustawy o ochronie danych osobowych? 14. Czy archiwa grup dyskusyjnych, zawierające (w miarę możliwości) wszystkie artykuły (wiadomości) wysłane przez użytkowników przy użyciu serwera news, które są publicznie dostępne w postaci strony www bądź archiwum na specjalnym serwerze news, są zbiorami danych osobowych w rozumieniu art. 7 Ustawy o ochronie danych osobowych? Grupy dyskusyjne są archiwizowane na wiele sposobów. Największym publicznie dostępnym archiwum grup dyskusyjnych zarządza Google. Archiwum to jest dostępne darmowo w postaci strony www z wyszukiwarką pod adresem http://groups.google.com. W Polsce istnieje serwer news newsarchive.icm.edu.pl, który udostępnia archiwum wszystkich grup dyskusyjnych w hierarchii pl. 5