IP-adresser och dina formulär

GDPR definierar personuppgifter i artikel 4.1 som information om en identifierad eller identifierbar person, och nämner ”en onlineidentifierare” som ett sätt att identifiera en person. Skäl 30 anger IP-adresser som ett exempel på en sådan identifierare.

EU-domstolen avgjorde det svårare fallet i Breyer mot Bundesrepublik Deutschland (C-582/14), som avgjordes den 19 oktober 2016. En webbplatsägare kan vanligtvis inte avgöra vem som sitter bakom en dynamisk IP-adress. Domstolen fastslog att adressen fortfarande är en personuppgift för ägaren när denne har rättsliga medel att identifiera personen med ytterligare uppgifter som innehas av internetleverantören, till exempel via myndigheterna efter en attack. Målet avgjordes enligt det gamla direktivet 95/46, men definitionen som tolkades fördes över till GDPR.

Den praktiska tolkningen för en formulärägare: behandla de IP-adresser dina formulär samlar in som personuppgifter, och utforma efter det.

• Loggar från webbserver och proxy, för sidan som visar formuläret.
• Formulärbackenden, som ofta behåller adressen tillsammans med inskicket för hastighetsbegränsning och kontroller mot missbruk.
• Ett CDN eller en brandvägg framför någon av dem.
• Ett CAPTCHA eller en botkontroll, som besökarens webbläsare kommunicerar med direkt.
• Analys på sidan, om sådan finns.

Var och en är en separat kopia med egen lagringstid och ofta egen lagringsplats. När du för din behandlingsförteckning, ta med alla, inte bara formulärbackenden.

En vanlig genväg är att lagra en SHA-256-hash av adressen. Den ser oläslig ut, men IPv4-rymden har bara cirka 4,3 miljarder adresser. Det tar liten tid på vanlig hårdvara att hasha dem alla, varefter varje lagrad hash går direkt tillbaka till sin adress.

En nyckelhash (en HMAC med en hemlig nyckel) stänger det gapet för alla som inte har nyckeln. I GDPR-termer är det pseudonymisering enligt artikel 4.5: uppgifterna kan inte längre kopplas till en person utan ytterligare information som hålls åtskild. Skäl 26 är tydligt med att pseudonymiserade uppgifter fortfarande är personuppgifter. En nyckelhash är alltså ett bra skydd enligt artiklarna 25 och 32, inte ett undantag från förordningen.

Skydd mot spam och missbruk är den vanligaste anledningen till att ett formulär behåller en IP-adress. Skäl 49 anger att behandling som är strikt nödvändig för nätverks- och informationssäkerhet är ett berättigat intresse, vilket pekar mot artikel 6.1 f. Den grunden kommer med en intresseavvägning, och avvägningen gynnar att behålla så lite som möjligt under så kort tid som möjligt.

En hastighetsbegränsning behöver adressen i minuter, inte månader. Om inget annat är beroende av den finns det knappast skäl att hålla IP-adressen kopplad till ett inskick så länge som meddelandet självt. Oavsett vad du väljer, säg det i din integritetspolicy.

• Nyckelhash vid mottagandet. Avsändarens adress hashas med HMAC-SHA-256 och ett hemligt salt på servern innan något lagras. Den råa adressen skrivs inte till disk.
• Används för hastighetsbegränsning. Hashen är det som gränsen per IP-adress och per formulär räknar mot. Som standard är det 50 inskick per minut och adress, och du kan ställa in en lägre eller högre gräns per formulär.
• Borttagning efter 24 timmar. I Integritetscenter kan en ägare eller administratör för arbetsytan ställa in att ett formulär tar bort hashen 24 timmar efter varje inskick. En genomgång körs var 15:e minut. Utan den inställningen behålls hashen så länge som inskicket gör det.
• Anonyma hostade formulär. Ett hostat formulär som är inställt som anonymt lagrar ingen IP-hash alls tillsammans med sina inskick.
• Serverloggar. Webbserverns åtkomstloggar behåller bara en förkortad adress, enligt beskrivningen i integritetspolicyn.

Ett undantag ligger utanför Formwards servrar. Om du aktiverar Cloudflare Turnstile för ett formulär kommunicerar besökarens webbläsare med Cloudflare, ett amerikanskt företag, som ser utmaningsdata som IP-adressen och webbläsarsignaler, men inga formulärsvar. Det är avstängt om du inte aktiverar det, och det finns med i underbiträdesregistret. Honeypot-fältet _gotcha och hastighetsbegränsningen fungerar utan det.