Publiczne adresy IP urządzeń mogą być danymi osobowymi

Adresy IP są najczęściej przechowywane na dwa sposoby:

1. Spis abonentów operatora telekomunikacyjnego, zawierający publiczne adresy IP (stałe lub zmienne) w powiązaniu z danymi osobowymi.

2. Jako rejestr połączeń, np. z serwerem WWW czy inną usługą świadczoną przez Internet. W tej postaci nie mamy do czynienia wprost z danymi osobowymi użytkownika, który wykonał połączenie, a jedynie zbiór informacji technicznych, m.in. użyty protokół, datę połączenia.

W pierwszym punkcie jest to typowa baza danych osobowych, gdzie rekord zawierający adres IP i dane abonenta pozwala na identyfikację konkretnych osób. Personalia abonentów internetowych, porównanych często do abonentów telefonicznych, znane są firmie oferującej dostęp do Internetu. Posiadane przez nią informacje są danymi, które w pełni identyfikują osobę fizyczną. Nie są to wpisy, które jedynie umożliwiają ustalenie tożsamości, lecz dane osób już zidentyfikowanych. Jednak adresy IP identyfikujące urządzenia nie zawsze będą przypisane do konkretnej osoby fizycznej. Mogą to być również informacje o firmie, organizacji lub w ogóle nieprzypisane żadnemu podmiotowi, np. adresy IP użytkowników podłączających się do niezabezpieczonych sieci bezprzewodowych.

W drugim punkcie mamy do czynienia z danymi gromadzonymi przez automatyczne systemy rejestrowania. Takie zbiory dopiero po odpowiednim uporządkowaniu i powiązaniu z innymi danymi pozwalają jednoznacznie określić użytkownika. Dlatego w większości sytuacji w tym punkcie również mamy do czynienia z danymi osobowymi. Decyduje o tym możliwość ich powiązania z innymi danymi, często dostępnymi publicznie, pozwalającymi na identyfikację osób. Wprawdzie są sytuacje, w których nie da się zidentyfikować użytkownika po adresie IP, ale jest prawie niemożliwe, aby rejestr połączeń zawierał wyłącznie tego typu wpisy. To istotne, ponieważ w GIODO rejestruje się całe zbiory, a nie pojedyncze rekordy.