Endereços IP e os teus formulários

O RGPD define dados pessoais no artigo 4.º, n.º 1, como informação relativa a uma pessoa singular identificada ou identificável, e refere “um identificador em linha” como uma forma de identificar uma pessoa. O considerando 30 dá os endereços IP como exemplo desse identificador.

O Tribunal de Justiça resolveu o caso mais difícil em Breyer contra Bundesrepublik Deutschland (C-582/14), decidido a 19 de outubro de 2016. Um responsável por um sítio Web normalmente não consegue saber quem está por detrás de um endereço IP dinâmico. O Tribunal decidiu que o endereço continua a ser um dado pessoal para o responsável quando este dispõe de meios legais para identificar a pessoa com dados adicionais detidos pelo fornecedor de acesso à Internet, por exemplo através das autoridades após um ataque. O caso foi decidido ao abrigo da antiga Diretiva 95/46, mas a definição que interpretou transitou para o RGPD.

Na prática, para quem é dono de um formulário: trata os endereços IP que os teus formulários recolhem como dados pessoais e concebe a partir daí.

• Registos do servidor Web e do proxy, relativos à página que mostra o formulário.
• O backend do formulário, que muitas vezes guarda o endereço com a submissão para limitação de taxa e verificações de abuso.
• Uma CDN ou firewall à frente de qualquer um deles.
• Um CAPTCHA ou verificação de bots, com o qual o navegador do visitante comunica diretamente.
• Análises na página, se existirem.

Cada um é uma cópia separada, com a sua própria conservação e, muitas vezes, a sua própria localização. Ao redigires o teu registo de atividades de tratamento, indica todos, e não apenas o backend do formulário.

Um atalho comum é guardar um hash SHA-256 do endereço. Parece ilegível, mas o espaço IPv4 tem apenas cerca de 4,3 mil milhões de endereços. Calcular o hash de todos eles demora pouco tempo em hardware comum, e depois cada hash guardado liga-se diretamente ao seu endereço.

Um hash com chave (um HMAC com uma chave secreta) fecha essa lacuna para quem não tenha a chave. Em termos do RGPD, trata-se de pseudonimização nos termos do artigo 4.º, n.º 5: os dados já não podem ser associados a uma pessoa sem informações adicionais mantidas separadamente. O considerando 26 é explícito em que os dados pseudonimizados continuam a ser dados pessoais. Por isso, um hash com chave é uma boa salvaguarda ao abrigo dos artigos 25.º e 32.º, e não uma forma de escapar ao regulamento.

A proteção contra spam e abusos é o motivo habitual para um formulário guardar um endereço IP. O considerando 49 declara que o tratamento estritamente necessário para a segurança das redes e da informação constitui um interesse legítimo, o que remete para o artigo 6.º, n.º 1, alínea f). Esse fundamento exige um teste de ponderação, e a ponderação favorece manter o mínimo possível pelo mínimo de tempo possível.

Um limite de pedidos precisa do endereço durante minutos, não meses. Se nada mais depender dele, há pouca razão para manter o IP associado a uma submissão durante o mesmo tempo que a própria mensagem. Seja qual for a opção, indica-o no teu aviso de privacidade.

• Hash com chave na receção. O endereço do remetente passa por um hash com HMAC-SHA-256 e um sal secreto no servidor antes de qualquer armazenamento. O endereço original não é gravado em disco.
• Usado para limitar pedidos. O hash é o que o limite de pedidos por IP e por formulário conta. Por predefinição, são 50 submissões por minuto por endereço, e podes definir um limite mais baixo ou mais alto para cada formulário.
• Remoção ao fim de 24 horas. No Centro de privacidade, um proprietário do espaço de trabalho ou um administrador pode definir que um formulário elimine o hash 24 horas após cada submissão. Uma verificação é executada a cada 15 minutos. Sem essa definição, o hash é mantido enquanto a submissão existir.
• Formulários alojados anónimos. Um formulário alojado definido como anónimo não guarda qualquer hash de IP com as respetivas submissões.
• Registos do servidor. Os registos de acesso do servidor web guardam apenas um endereço truncado, conforme descrito na política de privacidade.

Há uma exceção fora dos servidores da Formward. Se ativares o Cloudflare Turnstile num formulário, o browser do visitante comunica com a Cloudflare, uma empresa norte-americana, que vê dados do desafio, como o endereço IP e sinais do browser, mas não as respostas do formulário. Está desativado, a menos que o atives, e consta do registo de subcontratantes. O honeypot _gotcha e o limite de pedidos funcionam sem ele.