Soudní dvůr Evropské unie ve svém novém nálezu připustil možnost, aby provozovatel internetových stránek uchovával vedle klasických IP adres také IP adresy dynamické. Podle něj se totiž za jistých okolností jedná o osobní údaj, který může být využit pro případné trestní stíhání pachatele.
Německý občan Patrick Breyer u německých soudů napadá, že internetové stránky německých spolkových orgánů, které navštěvuje, zaznamenávají a uchovávají jeho adresy internetového protokolu („IP adresy“). Tyto orgány kromě data a hodiny připojení zaznamenávají a uchovávají IP adresy návštěvníků, aby se chránily před kybernetickými útoky a umožnily případné trestní stíhání.
Bundesgerichtshof (Spolkový soudní dvůr v Německu) předložil věc Soudnímu dvoru EU, aby zjistil, zda v tomto kontextu i „dynamické“ IP adresy představují pro provozovatele internetové stránky osobní údaj, a vztahuje se na ně tedy ochrana stanovená pro takové údaje. Dynamická IP adresa se při každém novém připojení k internetu mění, neumožňuje proto spojit prostřednictvím veřejně přístupných souborů daný počítač s fyzickým připojením k síti používané poskytovatelem tohoto připojení. Další informace potřebné k identifikaci osoby, která používá tyto dynamické IP adresy, má tedy k dispozici jedině poskytovatel internetového připojení.
Kromě toho se německý soud táže, zda provozovatel internetové stránky musí mít alespoň v zásadě možnost shromažďovat a následně používat osobní údaje návštěvníků, aby byla zajištěna obecná funkčnost jeho stránky. V této souvislosti uvádí, že v právní nauce je převážně zastáván výklad německé právní úpravy v této oblasti v tom smyslu, že tyto údaje musí být smazány po ukončení daného připojení, nejsou-li potřeba pro účely vyúčtování.
Rozsudkem z dnešního dne Soudní dvůr zaprvé odpovídá, že dynamická IP adresa, kterou „poskytovatel online mediálních služeb“ (tzn. provozovatel internetové stránky, v tomto případě německé spolkové orgány) uchovává v souvislosti s přístupem osoby na jeho internetovou stránku, která je veřejně přístupná, představuje pro provozovatele osobní údaj.
Tak tomu však je pouze pod podmínkou, že provozovatel má k dispozici právní prostředky, které mu umožňují nechat identifikovat návštěvníka díky dalším informacím, kterými disponuje poskytovatel internetového připojení tohoto návštěvníka.
V Německu podle Soudního dvora patrně existují právní prostředky umožňující poskytovateli online mediálních služeb obrátit se zejména v případě kybernetických útoků na příslušný orgán za účelem, aby podnikl kroky nezbytné k získání těchto informací od poskytovatele internetového připojení a k zahájení trestního stíhání.
Soudní dvůr následně také připomíná, že podle unijního práva je zpracování osobních údajů zákonné mimo jiné tehdy, je-li nezbytné pro naplnění oprávněných zájmů správce nebo třetí osoby či osob, kterým jsou údaje sdělovány, za podmínky, že nepřevyšují zájem nebo základní práva a svobody subjektu údajů.
Soud v tomto ohledu také zdůrazňuje, že německé spolkové orgány, které poskytují online mediální služby, by mohly mít oprávněný zájem na tom, aby zajistily správné fungování svých internetových stránek, jež jsou veřejně přístupné, a to i po ukončení jednotlivých přístupů k nim.