Adresy IP a Twoje formularze

RODO definiuje dane osobowe w artykule 4 ust. 1 jako informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie i wskazuje „identyfikator internetowy” jako jeden ze sposobów identyfikacji. Motyw 30 podaje adresy IP jako przykład takiego identyfikatora.

Trybunał Sprawiedliwości rozstrzygnął trudniejszy przypadek w sprawie Breyer przeciwko Bundesrepublik Deutschland (C-582/14), orzeczonej 19 października 2016 roku. Operator strony zwykle nie może ustalić, kto stoi za dynamicznym adresem IP. Trybunał orzekł, że adres jest nadal daną osobową dla operatora, jeśli ma prawne środki, by ustalić osobę na podstawie dodatkowych danych przechowywanych przez dostawcę usług internetowych, na przykład za pośrednictwem organów po ataku. Sprawa została rozstrzygnięta na podstawie dawnej dyrektywy 95/46, ale definicja, którą interpretowała, została przeniesiona do RODO.

Praktyczny wniosek dla właściciela formularza: traktuj adresy IP zbierane przez formularze jako dane osobowe i projektuj rozwiązania z tym na uwadze.

• Logi serwera WWW i proxy, dla strony wyświetlającej formularz.
• Backend formularza, który często przechowuje adres razem ze zgłoszeniem na potrzeby ograniczania żądań i kontroli nadużyć.
• CDN lub zapora działająca przed którymkolwiek z nich.
• CAPTCHA lub sprawdzenie botów, z którym przeglądarka odwiedzającego łączy się bezpośrednio.
• Analityka na stronie, jeśli jest.

Każdy z nich to osobna kopia z własnym okresem przechowywania i często własną lokalizacją. Sporządzając rejestr czynności przetwarzania, wymień je wszystkie, a nie tylko backend formularza.

Częstym skrótem jest zapisywanie hasha SHA-256 adresu. Wygląda na nieczytelny, ale przestrzeń IPv4 ma tylko około 4,3 miliarda adresów. Obliczenie hasha dla każdego z nich zajmuje niewiele czasu na zwykłym sprzęcie, po czym każdy zapisany hash prowadzi prosto z powrotem do swojego adresu.

Skrót z kluczem (HMAC z tajnym kluczem) zamyka tę lukę dla każdego, kto nie zna klucza. W terminologii RODO to pseudonimizacja w rozumieniu art. 4 pkt 5: dane nie mogą być już powiązane z osobą bez dodatkowych informacji, które są przechowywane osobno. Motyw 26 jednoznacznie stanowi, że dane spseudonimizowane nadal są danymi osobowymi. Skrót z kluczem jest więc dobrym zabezpieczeniem w rozumieniu art. 25 i 32, a nie wyjściem spod regulacji.

Ochrona przed spamem i nadużyciami to zwykle powód, dla którego formularz przechowuje adres IP. Motyw 49 stanowi, że przetwarzanie ściśle niezbędne do zapewnienia bezpieczeństwa sieci i informacji stanowi prawnie uzasadniony interes, co wskazuje na art. 6 ust. 1 lit. f. Ta podstawa wiąże się z testem równowagi, a bilans przemawia za tym, by zachować jak najmniej danych przez jak najkrótszy czas.

Limit liczby żądań potrzebuje adresu przez minuty, a nie miesiące. Jeśli nic innego od niego nie zależy, trudno uzasadnić przechowywanie powiązania IP ze zgłoszeniem tak długo, jak samej wiadomości. Cokolwiek wybierzesz, opisz to w swojej polityce prywatności.

• Skrót z kluczem po odebraniu. Adres nadawcy jest haszowany algorytmem HMAC-SHA-256 z tajną solą po stronie serwera, zanim cokolwiek zostanie zapisane. Surowy adres nie jest zapisywany na dysku.
• Wykorzystywany do limitowania żądań. Skrót jest tym, co liczy limit żądań na adres IP i formularz. Domyślnie jest to 50 zgłoszeń na minutę z jednego adresu, a dla każdego formularza możesz ustawić niższy lub wyższy limit.
• Usuwanie po 24 godzinach. W Centrum prywatności właściciel przestrzeni roboczej lub administrator może ustawić formularz tak, aby skrót był usuwany 24 godziny po każdym zgłoszeniu. Porządkowanie uruchamia się co 15 minut. Bez tego ustawienia skrót jest przechowywany tak długo, jak samo zgłoszenie.
• Anonimowe formularze hostowane. Hostowany formularz ustawiony jako anonimowy nie zapisuje przy zgłoszeniach żadnego skrótu adresu IP.
• Logi serwera. Logi dostępu serwera WWW zachowują jedynie skrócony adres, zgodnie z opisem w polityce prywatności.

Jeden wyjątek znajduje się poza serwerami Formward. Jeśli włączysz Cloudflare Turnstile dla formularza, przeglądarka odwiedzającego komunikuje się z Cloudflare, firmą z USA, która widzi dane wyzwania, takie jak adres IP i sygnały przeglądarki, ale nie odpowiedzi z formularza. Jest wyłączony, dopóki go nie włączysz, i jest wymieniony w rejestrze dalszych podmiotów przetwarzających. Honeypot _gotcha i limit żądań działają bez niego.