Soudní dvůr Evropské unie k osobním údajům návštěvníků internetových stránek

Dynamická adresa internetového protokolu návštěvníka představuje pro provozovatele stránky osobní údaj, pokud má tento provozovatel k dispozici právní prostředky, které mu umožňují nechat identifikovat dotyčného návštěvníka díky dalším informacím, kterými disponuje poskytovatel internetového připojení návštěvníka.

Patrick Breyer u německých soudů napadá, že internetové stránky německých spolkových orgánů, které navštěvuje, zaznamenávají a uchovávají jeho adresy internetového protokolu („IP adresy“). Tyto orgány kromě data a hodiny připojení zaznamenávají a uchovávají IP adresy návštěvníků, aby se chránily před kybernetickými útoky a umožnily trestní stíhání.

Bundesgerichtshof (Spolkový soudní dvůr, Německo) předložil věc Soudnímu dvoru, aby zjistil, zda v tomto kontextu i „dynamické“ IP adresy představují pro provozovatele internetové stránky osobní údaj, a vztahuje se na ně tedy ochrana stanovená pro takové údaje. Dynamická IP adresa je IP adresa, která se při každém novém připojení k internetu mění. Na rozdíl od statických IP adres neumožňují dynamické IP adresy spojit prostřednictvím veřejně přístupných souborů daný počítač s fyzickým připojením k síti používané poskytovatelem internetového připojení. Další informace potřebné k identifikaci P. Breyera má tedy k dispozici jedině poskytovatel internetového připojení P. Breyera.

Kromě toho se Bundesgerichtshof táže, zda provozovatel internetové stránky musí mít alespoň v zásadě možnost shromažďovat a následně používat osobní údaje návštěvníků, aby byla zajištěna obecná funkčnost jeho stránky. V této souvislosti uvádí, že v právní nauce je převážně zastáván výklad německé právní úpravy v této oblasti v tom smyslu, že tyto údaje musí být smazány po ukončení daného připojení, nejsou-li potřeba pro účely vyúčtování.

Rozsudkem Soudní dvůr zaprvé odpovídá, že dynamická IP adresa, kterou „poskytovatel online mediálních služeb“ (tzn. provozovatel internetové stránky, v tomto případě německé spolkové orgány) uchovává v souvislosti s přístupem osoby na jeho internetovou stránku, která je veřejně přístupná, představuje pro provozovatele osobní údaj, pokud má k dispozici právní prostředky, které mu umožňují nechat identifikovat návštěvníka díky dalším informacím, kterými disponuje poskytovatel internetového připojení tohoto návštěvníka.

Soudní dvůr v této souvislosti uvádí, že v Německu patrně existují právní prostředky umožňující poskytovateli online mediálních služeb obrátit se zejména v případě kybernetických útoků na příslušný orgán za účelem, aby podnikl kroky nezbytné k získání těchto informací od poskytovatele internetového připojení a k zahájení trestního stíhání.

Zadruhé Soudní dvůr odpovídá, že unijní právo brání právní úpravě členského státu, podle níž může poskytovatel online mediálních služeb shromažďovat a používat osobní údaje týkající se návštěvníka bez jeho svolení pouze tehdy, je-li toto shromažďování či používání nezbytné k tomu, aby bylo umožněno a vyúčtováno konkrétní využití služeb tímto návštěvníkem, aniž by cíl spočívající v zajištění obecné funkčnosti těchto služeb mohl odůvodnit použití údajů poté, co návštěvník ukončil využívání těchto služeb.

Soudní dvůr připomíná, že podle unijního práva je zpracování osobních údajů zákonné mimo jiné tehdy, je-li nezbytné pro naplnění oprávněných zájmů správce nebo třetí osoby či osob, kterým jsou údaje sdělovány, za podmínky, že nepřevyšují zájem nebo základní práva a svobody subjektu údajů.

Německá právní úprava, jak je převážně vykládána v právní nauce, omezuje rozsah této zásady tím, že vylučuje, aby cíl spočívající v zajištění obecné funkčnosti online služeb mohl být předmětem vážení se zájmem nebo základními právy a svobodami návštěvníků.

V tomto kontextu Soudní dvůr zdůrazňuje, že německé spolkové orgány, které poskytují online mediální služby, by mohly mít oprávněný zájem na tom, aby zajistily správné fungování svých internetových stránek, jež jsou veřejně přístupné, a to i po ukončení jednotlivých přístupů k nim.

Zdroj: Soudní dvůr EU