Powszechnie przyjętą definicję danych osobowych zawiera art. 6 ust. 1 Ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych, w świetle którego danymi osobowymi są wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. W tym przypadku osoba możliwa do zidentyfikowania oznacza osobę, której tożsamość można określić bezpośrednio lub pośrednio, szczególnie poprzez powołanie się na numer identyfikacyjny lub jeden bądź kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, kulturowe lub społeczne.

Natomiast w myśl ust. 3 cytowanego artykułu  informacji nie uważa się za umożliwiającą określenie tożsamości danej osoby, jeżeli związane byłoby to z nadmiernymi kosztami czy dużym nakładem czasu lub działań. Mimo to jednak, w większości przypadków zbiór liczb składający się na numer IP komputera należy traktować jako daną osobową.

W przypadku, gdy numer IP komputera jest na stałe lub przez dłuższy czas przypisany do konkretnego komputera, a ten z kolei do określonego użytkownika, stanowi on jednoznacznie daną osobową. Częstokroć jednak takie jednoznaczne przypisanie numeru IP do konkretnej, zidentyfikowanej osoby jest praktycznie niemożliwe. Z sytuacją taką spotkamy się np. w kawiarenkach internetowych, gdzie nie odnotowywuje się danych identyfikacyjnych użytkowników. Mimo to często wykorzystując tylko same dane zarejestrowane przez system nadzoru wizyjnego oraz zestawiając je z innymi danymi (np. dotyczącymi płatności przy użyciu karty kredytowej), można bez problemu zidentyfikować osobę korzystającą w danym czasie z danego komputera.

W związku z powyższym właściciel zbioru danych i ich administrator są zobowiązani do wypełniania wszelkich obowiązków i respektowania praw wynikających z Ustawy o ochronie danych osobowych związanych z ich przetwarzaniem. Oznacza to m. in. obowiązek ich odpowiedniego  zabezpieczenia.

Niestety uznanie numeru IP komputera za daną osobową związane jest także z dużym zagrożeniem, coraz częściej bowiem staje  się on łupem cyberprzestępców. Współcześnie nabycie programu szpiegowskiego  nie stanowi żadnego problemu, co pozwala wyszukać dowolny numer IP i wykorzystać go niezgodnie z prawem.

W związku z tym współcześnie administratorzy danych powinni zdawać sobie sprawę, że numer IP należy często traktować jako daną osobową. Jeżeli natomiast administrator nie potrafi w danym przypadku stwierdzić czy numer IP jest daną osobową czy też nie, należy traktować go jako potencjalne dane osobowe, do których zastosowanie mają przepisy Ustawy o ochronie danych osobowych.

Na zakończenie należy dodać, że standardy ochrony danych osobowych są takie same we wszystkich państwach Unii Europejskiej. Numer IP komputera stanowi co do zasady daną osobową, w związku z czym podlega on ochronie. Powołana przez Parlament Europejski i Radę Europejską, Grupa Robocza ds. Ochrony Danych Osobowych uznała jednoznacznie w wydanym oświadczeniu numer IP za daną osobową dotyczącą osoby możliwej do zidentyfikowania.

Źródło: Gazeta Prawna nr 208 z 2008-10-23