Indirizzi IP e i tuoi moduli

Il GDPR definisce dato personale, all'articolo 4, paragrafo 1, qualsiasi informazione riguardante una persona identificata o identificabile, e indica “un identificativo online” come uno dei modi per identificare una persona. Il considerando 30 cita gli indirizzi IP come esempio di tale identificativo.

La Corte di giustizia ha risolto il caso più complesso nella causa Breyer contro Bundesrepublik Deutschland (C-582/14), decisa il 19 ottobre 2016. Il gestore di un sito web di solito non può sapere chi si nasconde dietro un indirizzo IP dinamico. La Corte ha stabilito che l'indirizzo resta un dato personale per il gestore quando questo dispone di mezzi legali per identificare la persona con dati aggiuntivi detenuti dal fornitore di accesso a internet, ad esempio tramite le autorità dopo un attacco. Il caso è stato deciso ai sensi della vecchia direttiva 95/46, ma la definizione interpretata è stata trasferita nel GDPR.

La lettura pratica per chi gestisce un modulo: tratta gli indirizzi IP raccolti dai tuoi moduli come dati personali, e progetta di conseguenza.

• Log del web server e del proxy, relativi alla pagina che mostra il modulo.
• Il backend del modulo, che spesso conserva l'indirizzo insieme all'invio per il rate limiting e i controlli sugli abusi.
• Una CDN o un firewall davanti a uno dei due.
• Un CAPTCHA o un controllo anti-bot, con cui il browser del visitatore comunica direttamente.
• Analytics sulla pagina, se presenti.

Ognuno è una copia separata, con una propria conservazione e spesso una propria ubicazione. Quando redigi il registro dei trattamenti, elencali tutti, non solo il backend del modulo.

Una scorciatoia comune è memorizzare un hash SHA-256 dell'indirizzo. Sembra illeggibile, ma lo spazio IPv4 conta solo circa 4,3 miliardi di indirizzi. Calcolare l'hash di tutti richiede poco tempo su hardware comune, dopodiché ogni hash memorizzato riconduce direttamente al suo indirizzo.

Un hash con chiave (un HMAC con una chiave segreta) chiude quella falla per chiunque non possegga la chiave. Secondo il GDPR si tratta di pseudonimizzazione ai sensi dell'articolo 4(5): i dati non possono più essere ricondotti a una persona senza informazioni aggiuntive conservate separatamente. Il considerando 26 è esplicito nel dire che i dati pseudonimizzati restano dati personali. Un hash con chiave è quindi una buona misura di sicurezza ai sensi degli articoli 25 e 32, non una via d'uscita dal regolamento.

La protezione dallo spam e dagli abusi è il motivo più comune per cui un modulo conserva un indirizzo IP. Il considerando 49 stabilisce che il trattamento strettamente necessario alla sicurezza della rete e dei sistemi informativi costituisce un legittimo interesse, che rimanda all'articolo 6(1)(f). Questa base giuridica richiede un test di bilanciamento, e il bilanciamento favorisce la conservazione del minimo indispensabile per il minor tempo possibile.

Un rate limit ha bisogno dell'indirizzo per qualche minuto, non per mesi. Se nient'altro dipende da quel dato, non c'è molta ragione per conservare l'IP collegato a un invio per tutto il tempo in cui resta il messaggio stesso. Qualunque scelta tu faccia, indicala nella tua informativa sulla privacy.

• Hash con chiave al ricevimento. L'indirizzo di chi invia viene sottoposto a hash con HMAC-SHA-256 e con un sale segreto lato server prima di qualsiasi salvataggio. L'indirizzo originale non viene scritto su disco.
• Usato per il rate limiting. Il rate limit per IP e per modulo conta le richieste proprio sull'hash. Di default il limite è di 50 invii al minuto per indirizzo, e puoi impostare un limite più basso o più alto per ogni modulo.
• Rimozione dopo 24 ore. Nella Privacy center, un proprietario o un amministratore dello spazio di lavoro può impostare un modulo in modo che elimini l'hash 24 ore dopo ogni invio. La pulizia viene eseguita ogni 15 minuti. Senza questa impostazione, l'hash viene conservato per tutta la durata dell'invio.
• Moduli ospitati anonimi. Un modulo ospitato impostato come anonimo non salva alcun hash dell'IP insieme agli invii.
• Log del server. I log di accesso del server web conservano soltanto un indirizzo troncato, come descritto nella privacy policy.

C'è un'eccezione che si trova al di fuori dei server di Formward. Se attivi Cloudflare Turnstile per un modulo, il browser del visitatore comunica con Cloudflare, una società statunitense, che vede i dati della verifica, come l'indirizzo IP e i segnali del browser, ma non le risposte del modulo. È disattivato finché non lo abiliti e figura nel registro dei sub-responsabili. L'honeypot _gotcha e il rate limit funzionano anche senza di esso.