IP-adressen en je formulieren

De AVG definieert persoonsgegevens in artikel 4, lid 1 als informatie over een geïdentificeerde of identificeerbare persoon, en noemt “een online identificator” als een manier waarop iemand te identificeren is. Overweging 30 noemt IP-adressen als voorbeeld van zo'n identificator.

Het Hof van Justitie heeft het moeilijkere geval beslist in Breyer tegen Bundesrepublik Deutschland (C-582/14), uitgesproken op 19 oktober 2016. Een websitebeheerder kan meestal niet zien wie achter een dynamisch IP-adres zit. Het Hof oordeelde dat het adres voor de beheerder toch een persoonsgegeven is wanneer hij wettelijke middelen heeft om de persoon te identificeren met aanvullende gegevens die de internetprovider bewaart, bijvoorbeeld via de autoriteiten na een aanval. De zaak werd beslist onder de oude richtlijn 95/46, maar de definitie die het Hof uitlegde is overgenomen in de AVG.

De praktische lezing voor een formulierbeheerder: behandel de IP-adressen die je formulieren verzamelen als persoonsgegevens en ontwerp je opzet daarop.

• Logs van webserver en proxy, voor de pagina waarop het formulier staat.
• De formulierbackend, die het adres vaak bij de inzending bewaart voor snelheidsbeperking en misbruikcontroles.
• Een CDN of firewall die voor een van beide staat.
• Een CAPTCHA of botcontrole, waarmee de browser van de bezoeker rechtstreeks communiceert.
• Analytics op de pagina, indien aanwezig.

Elk daarvan is een aparte kopie met een eigen bewaartermijn en vaak een eigen locatie. Neem ze bij je verwerkingsregister allemaal op, niet alleen de formulierbackend.

Een veelgebruikte snelkoppeling is het opslaan van een SHA-256-hash van het adres. Dat ziet er onleesbaar uit, maar de IPv4-ruimte bevat maar ongeveer 4,3 miljard adressen. Al die adressen hashen kost op gewone hardware weinig tijd, waarna elke opgeslagen hash rechtstreeks naar zijn adres terug te herleiden is.

Een keyed hash (een HMAC met een geheime sleutel) dicht die kloof voor iedereen die de sleutel niet heeft. In AVG-termen is dat pseudonimisering volgens artikel 4(5): de gegevens kunnen niet meer aan een persoon worden gekoppeld zonder aanvullende informatie die apart wordt bewaard. Overweging 26 stelt expliciet dat gepseudonimiseerde gegevens nog steeds persoonsgegevens zijn. Een keyed hash is dus een goede waarborg onder de artikelen 25 en 32, geen uitweg uit de verordening.

Spam- en misbruikbescherming is de gebruikelijke reden waarom een formulier een IP-adres bewaart. Overweging 49 stelt dat verwerking die strikt noodzakelijk is voor de beveiliging van netwerken en informatie een gerechtvaardigd belang is, wat verwijst naar artikel 6(1)(f). Die grondslag brengt een belangenafweging met zich mee, en in die afweging weegt zwaar dat er zo weinig mogelijk wordt bewaard, en zo kort mogelijk.

Een rate limit heeft het adres nodig voor minuten, niet voor maanden. Als er niets anders van afhangt, is er weinig reden om het IP-adres langer aan een inzending gekoppeld te houden dan het bericht zelf. Wat je ook kiest, vermeld het in je privacyverklaring.

• Keyed hash bij ontvangst. Het adres van de inzender wordt gehasht met HMAC-SHA-256 en een geheime salt aan serverzijde, voordat er iets wordt opgeslagen. Het onbewerkte adres wordt niet op schijf weggeschreven.
• Gebruikt voor rate limiting. De hash is waarop de rate limit per IP-adres en per formulier telt. Standaard is dat 50 inzendingen per minuut per adres, en je kunt per formulier een lagere of hogere limiet instellen.
• Verwijdering na 24 uur. In het Privacycentrum kan een eigenaar of beheerder van de werkruimte instellen dat een formulier de hash 24 uur na elke inzending verwijdert. Elke 15 minuten draait een opruimronde. Zonder deze instelling wordt de hash bewaard zolang de inzending zelf.
• Anonieme gehoste formulieren. Een gehost formulier dat op anoniem staat, slaat helemaal geen IP-hash op bij zijn inzendingen.
• Serverlogs. Webserver-toegangslogs bewaren alleen een ingekort adres, zoals beschreven in het privacybeleid.

Eén uitzondering valt buiten de servers van Formward. Als je Cloudflare Turnstile voor een formulier inschakelt, communiceert de browser van de bezoeker met Cloudflare, een Amerikaans bedrijf. Dat ziet uitdagingsgegevens zoals het IP-adres en browsersignalen, maar geen antwoorden uit het formulier. Het staat uit tenzij je het inschakelt, en het staat vermeld in het register van subverwerkers. De _gotcha-honeypot en de rate limit werken zonder dit.