Adres IP, nawet zmienny, należy do danych osobowych, jeśli istnieje choćby możliwość identyfikacji użytkownika na tej podstawie. Tak wynika z wyroku Trybunału Sprawiedliwości UE w sprawie Patricka Breyera (C-582/14) wydanym 19 października 2016 r. Orzeczenie to wywołało niepokój w blogosferze – każdy autor stał się bowiem potencjalnym administratorem zbioru danych.
Zbiorem danych jest ich zestaw posiadający strukturę, uporządkowany według określonych kryteriów. Sądy przyjmują często, że wystarczy np. porządek chronologiczny lub alfabetyczny. Każdy zatem bloger pobierający adresy IP odwiedzających tworzy zbiór danych. Nie każdy jednak musi je rejestrować. Z obowiązku tego zwolnieni są administratorzy przetwarzający dane z drobnych, bieżących spraw życia codziennego oraz dla celów osobistych lub domowych. Blogi stanowiące działalność zawodową i zarobkową objęte są tym obowiązkiem.
Zdaniem GIODO ma to miejsce, m.in. gdy na blogu znajdują się reklamy innych firm, linki afiliacyjne, wpisy i konkursy sponsorowane, a także gdy autor promuje swoje usługi, za które pobiera opłaty. GIODO podkreśla jednak, że każdy przypadek musi być rozpatrywany odrębnie.
Sposobem uniknięcia konieczności rejestracji jest ustanowienie administratora bezpieczeństwa informacji (ABI) – on jednak też musi zostać zarejestrowany u GIODO. Możliwość ta dotyczy tylko blogerów nieprzetwarzający danych wrażliwych.
Dr Paweł Litwiński z Instytutu Allerhanda zwraca uwagę, że zgodnie z art. 3a ust. 2 większości przepisów ustawy o danych osobowych nie stosuje się do działalności dziennikarskiej.
