Posredovanje IP naslova uporabnika spletne strani sodišču zaradi zaščite interesov upravljavca - IPRS

Posredovanje IP naslova uporabnika spletne strani sodišču zaradi zaščite interesov upravljavca + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 24.09.2014 Številka: 0712-1/2014/3025 Kategorije:Svetovni splet --> Kategorije: Svetovni splet Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je po telefonu oz. potem po elektronski pošti prejel vaš dopis, v katerem navajate, da ste administrator in pisec na določeni spletni strani (Wordpress blogu z lastno domeno), ter da je bila zoper vas vložena zasebna tožba zavoljo več dejanj razžalitev, žaljivih obdolžitev oz. obrekovanj, ki naj bi bile storjene v škodo tožnika preko objav na tem blogu. V odgovoru na tožbo ste (med drugim) navedli, da dejanski avtor teh objav niste vi, ampak posamezni uporabniki te spletne strani (komentatorji), vendar je sodišče tožbo vseeno dopustilo.Zavoljo obrambe bi na predobravnavnem naroku, ki bo kmalu, želeli predložiti tudi IP naslove, preko katerih so bili dejansko oddani sporni komentarji. Z njimi kot administrator te spletne strani namreč tudi razpolagate. Zanima vas, ali lahko navedene IP naslove na preobravnavnem naroku sami predložite kot dokaz v smer gornje trditve, ali pa bi to predstavljalo nedopusten poseg v zasebnost vaših bralcev, in morate torej počakati, da vas k temu pozove sodišče.Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
3. točke
4. odstavka
5. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
6. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.Ponudnik spletne strani ima po mnenju Pooblaščenca v
7. odstavku
8. člena ZEPT podan zakonit interes in zatorej v skladu s
9. odstavkom
10. člena ZVOP-1 v povezavi z
11. odstavkom
12. člena ZKP tudi pravno podlago za predložitev prometnih podatkov o komentatorjih na svoji spletni strani kot dokazov v svojo korist, seveda če z njimi še zakonito razpolaga.Obrazložitev:Informacijski pooblaščenec se je z vprašanjem hrambe in posredovanja IP naslovov uporabnikov spletne strani opredelil že v več svojih mnenjih, npr. mnenju št. 0712-1/2014/711 z dne 20.02.2014, http://bit.ly/1mhkHBJ (posredovanje IP naslova na zahtevo policije), mnenju št. 0712-1/2012/686 z dne 17.02.2012, http://bit.ly/IJdXJ6 (pridobitev IP naslova spletnega komentatorja za potrebe pravdnega postopka), ali mnenju št. 0712-1/2014/340 z dne 25.03.2014, http://bit.ly/1rn0M8P (identificiranje uporabnika interneta ob posedovanju IP naslova). V nadaljevanju zato predvsem povzemamo glavne tam že zapisane ugotovitve, koliko so relevantne k vašemu vprašanju.Ad
13. Glede hrambe IP naslovov komentatorjev na spletnem bloguUpravljavci spletnih strani niso podvrženi obvezni zakonski hrambi prometnih podatkov o svojih uporabnikih. Podatka o IP naslovih obiskovalcev, registriranih uporabnikov, komentatorjev idr. torej niso zavezani hraniti; pravzaprav obratno – podatek lahko hranijo le, če je nujno potreben, in sicer v tolikšnem obsegu in največ toliko časa, kot je potrebno za dosego legitimnih in zakonitih namenov upravljavca.Pooblaščenec ugotavlja, da vaš blog[1] teče na odprtokodni in brezplačni platformi Wordpress, ki sicer poganja številne, če ne večino[2] tovrstnih spletnih strani. Omenjena platforma tudi omogoča več različnih režimov podaje komentarjev[3], ki jih je mogoče še razširiti z namestitvijo dodatnih vtičnikov (add-ons), pri čemer za vašo stran navajate (oz. tako izhaja iz priloge k vašemu dopisu), da je dopuščala tudi podajo anonimnih komentarjev (navedba imena in e-poštnega naslova je sicer bila možna, vendar se to ni preverjalo). Za tovrsten režim podajanja komentarjev na spletu je po informacijah, s katerimi razpolaga Pooblaščenec, povsem običajno in uveljavljeno, da se komentatorjev IP naslov zabeleži[4] in da je v zalednem sistemu spletne strani potem tudi viden administratorju oz. moderatorjem spletne strani (oz. da se jim prepošlje po pošti). Administrator namreč tipično potrebuje IP naslov za potrebe moderacije, tj. brisanja in onemogočanja komentiranja osebam, katerih vedenje in ravnanje ni v skladu s pravili posameznega bloga, ali za raziskovanje nekaterih tehničnih težav. Navedena politika hrambe podatkov o komentatorjih je dobro dokumentirana že v uporabniški dokumentaciji programske opreme, ki poganja spletne bloge[5], in potem praviloma še v pravilih uporabe te spletne strani (več takoj v naslednjem odstavku). Dejstvo, da je IP naslov znan spletni strani (kot tretji osebi), zavoljo narave te komunikacije tudi ne pomeni, da uporabnik do svoje uporabe te strani tudi povsem izgubi razumno pričakovanje zasebnosti[6].Hramba podatka o IP naslovu komentatorja je tako po mnenju Pooblaščenca, kot že zgoraj, lahko upravičena za določen čas; pač dokler zna upravljavec utemeljiti potrebo in sorazmernost te hrambe. Pri tem je najbolj pravilno, čeprav glede na razširjenost konkretne rešitve za ponujanje spletnih blogov morda ne nujno (kot zgoraj), da upravljavec spletne strani v svojih pravilih uporabe »jasno opredeli nabor in rok hrambe teh podatkov«. Za več glej Smernice Pooblaščenca glede varstva osebnih podatkov na spletnih forumih, https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_-_forumi_web.pdf, stran 15 in naslednje. Upravljavec mora po poteku roka oz. namena hrambe te podatke seveda tudi izbrisati ali ustrezno anonimizirati[7].Pooblaščenec sklepno dodaja še, da se o zakonitosti hrambe določenih prometnih podatkov s strani določenega upravljavca, za določen namen, za določen čas in ob upoštevanju določenih pravil uporabe, lahko opredeli le v okviru konkretnega inšpekcijskega postopka. Ker Pooblaščenec glede danega primera ne razpolaga z vsemi navedenimi okoliščinami, oz. ker tukaj postopa v kontekstu priprave neobvezujočega mnenja, se do te zakonitosti tudi ne opredeljuje. V kontekstu tega mnenja pojasnjuje zgolj, da hramba prometnih podatkov komentatorjev na spletnem blogu, za določen čas, zaradi namenov moderacije komentarjev, tako da so vidni zgolj administratorju in ne tudi drugim uporabnikom, ob ustreznem obvestilu uporabniku v pravilih uporabe, tipično zadostuje kriterijem ZVOP-1 (zlasti
14. člen, pravna podlaga,
15. člen, informiranje posameznika,
16. člen, zavarovanje osebnih podatkov).Ad
17. Glede odgovornosti ponudnika spletne strani za komentarje, podane na tej straniPonudnik spletne strani se po mnenju Pooblaščenca glede komentarjev na svoje lastne vsebine, šteje za ponudnika storitev gostiteljstva v smislu
18. člena Zakona o elektronskem poslovanju na trgu (Uradni list RS, št. 96/09 – UPB, v nadaljevanju ZEPT). Navedeni ponudnik tako glede navedenih vsebin, ki jih zagotovijo njegovi uporabniki in ne on sam, »ni dolžan nadzirati ali hraniti podatkov, ki jih pošilja ali hrani, ali dejavno raziskovati okoliščin, nakazujočih na protipravnost podatkov« (
19. odstavek
20. člena). Prav tako po mnenju Pooblaščenca glede objave takih komentarjev ni odgovoren za podatke, ki jih je shranil na zahtevo komentatorja, ki ne deluje v okviru njegovih pooblastil ali pod njegovim nadzorom, pod pogojem, da a) ne ve za protipravno dejavnost ali podatek in mu v zvezi z odškodninsko odgovornostjo niso znana dejstva ali okoliščine, iz katerih izhaja protipravnost, ali b) nemudoma, ko mu je protipravnost znana, ukrepa tako, da podatke odstrani ali onemogoči dostop do njih (vse
21. odstavek
22. člena ZEPT).Prosilec navaja, da zahtevka za umik komentarjev od tožnika predhodno ni prejel, da pa je navedbe v zasebni tožbi glede določenih komentarjev vzel kot ustrezen izkaz protipravnosti teh komentarjev, ter da je te komentarje potem že tudi pobrisal (in glede na izgled stvari tudi povsem onemogočil nadaljnje komentiranje na spletni strani).Ponudnik bloga torej ne odgovarja za komentarje, ki so jih podali njegovi uporabniki, niti ni dolžan dejavno preverjati in brisati domnevno spornih komentarjev. Tovrstno početje bi namreč, upoštevaje obseg nekaterih spletnih storitev, ki temeljijo na uporabniških vsebinah (družbena omrežja, spletne strani za gostovanje videoposnetkov, idr.), povsem onemogočalo obstoj, nastenek oz. rast tovrstnih storitev. Drži že, da lahko ponudnik pod določenimi pogoji in zlasti upoštevaje drugačno domačo zakonodajo odgovarja tudi strožje (primer pred Evropskih sodiščem za človekove pravice št. 64569/09, DELFI AS v. ESTONIA), vendar to v danem primeru po mnenju Pooblaščenca ne bo podano.Ad
23. Glede uporabe prometnih podatkov kot obrambe v sodnih postopkih zoper ponudnikaPooblaščenec uvodoma opozarja, da je sodišče v skladu z
24. odstavkom
25. člena Zakona o kazenskem postopku (Uradni list RS, št. 32/12 – UPB in 47/13) prosto pri presoji dokazov in da torej, upoštevaje omejitve iz
26. odstavka istega člena, samo in suvereno odloča, katere dokaze bo dopustilo v konkretnem postopku. Pooblaščenec se zatorej lahko opredeljuje zgolj glede zakonitosti prostovoljnega posredovanja prometnih podatkov sodišču, in ne tudi glede zakonitosti uporabe teh podatkov v sodnem postopku.Upoštevaje navedeni pridržek, in kot že navedeno pod prejšnjo točko, ponudnik spletne strani za vsebine, za katere lahko dokaže, da jih je shranil in objavil na zahtevo svojega uporabnika (tukaj komentatorja), in kjer mu ta protipravnost vsebine ni bila znana, ne odgovarja.Posledično ima ponudnik spletne strani po mnenju Pooblaščenca v
27. odstavku
28. člena ZEPT zakonit interes in zatorej v skladu s
29. odstavkom
30. člena ZVOP-1 v povezavi z
31. odstavkom
32. člena ZKP[8] tudi pravno podlago za predložitev prometnih podatkov o komentatorjih na svoji spletni strani kot dokazov v svojo korist, seveda če z njimi še zakonito razpolaga (prva točka) in če lahko na ta način dokaže, kako so bili sporni komentarji objavljeni, ter kdo (tretji) jih je objavil.S pozdravi,Informacijski pooblaščenec:Mojca Prelesnik, univ.dipl.prav.,pooblaščenka [1] http://bobi4ever.net/doglog/ [2] http://w3techs.com/technologies/details/cm-wordpress/all/all [3] http://codex.wordpress.org/Settings_Discussion_Screen [4] Vsaka spletna stran vidi IP naslov uporabnika že po sami naravi delovanja Interneta (točneje omrežnega protokola TCP/IP). Poznavanje tega naslova je ključno za samo komunikacijo med obiskovalcem in spletno stranjo, saj brez tega naslova ne bi bilo mogoče ne prejeti uporabnikovega zahtevka ne mu poslati odgovora nanj (vsebine spletne strani). Po tem, ko se ta spletna komunikacija zaključi, podatek o IP naslovu za spletno stran tehnično gledano več ni potreben, in bi moral biti izbrisan ali anonimiziran (primerjaj obveznosti operaterjev po
33. členu Zakona o elektronskih komunikacijah), vendar se v veliko spletnih aplikacijah hrani še nekaj časa, ker je to potrebno in smiselno zaradi raziskovanja tehničnih težav oz. zaradi moderiranja uporabniškega obiska oz. vsebin. V tem smislu se torej šteje, da ima upravljavec spletne strani zadostno pravno podlago za obdelavo podatka o IP naslovu še tudi za določen čas po koncu same komunikacije, in sicer na podlagi
34. ali
35. odstavka
36. člena ZVOP-1 (soglasje oz. test interesov). Za nadaljnjo uporabo tega podatka oz. za njegovo posredovanje tretji osebi (tožniku, policiji, sodišču, oglaševalcu, idr.) upravljavec seveda potrebuje samostojno pravno podlago. [5] Glej opombo št.
37. [6] Primerjaj odločbo Ustavnega sodišča št. Up-540/11 z dne 13.2.2014 (ter še zlasti odklonilna ločena mnenja), http://odlocitve.us-rs.si/usrs/us-odl.nsf/o/71B15DE46CDF0052C1257C9A004F2C2B, glede pogojev, pod katerimi uporabnik internetne storitve zaradi vseh okoliščin komunikacije še (ali več ne more) razumno pričakovati zasebnosti. [7] Wordpress omogoča več tehničnih načinov za arhiviranje komentarjev. Glej npr. http://wordpress.stackexchange.com/questions/20679/how-do-i-turn-off-wordpress-comments-ability-to-capture-a-users-ip-address [8]