هل عنوان IP بيانات شخصية بموجب GDPR؟

بموجب GDPR، يمكن أن يكون عنوان IP بيانات شخصية، لأن اللائحة تعرّف البيانات الشخصية بأنها أي معلومة تتعلق بشخص محدد الهوية أو قابل لتحديدها، وغالبًا ما يجعل عنوان IP شخصًا ما قابلًا للتحديد عند دمجه مع معلومات أخرى. تقدم هذه المقالة خلفية عامة للمطورين وليست استشارة قانونية؛ فالتزاماتك تعتمد على وضعك، لذا استعن بمختص في الخصوصية للقرارات الفعلية.

ما تقوله اللائحة فعلًا

تعرّف المادة 4 من GDPR البيانات الشخصية تعريفًا واسعًا. فهي تذكر المعرّفات عبر الإنترنت أمثلةً على المعلومات التي يمكن أن تحدد شخصًا، وتشير الحيثيات إلى معرّفات مثل عناوين IP ومعرّفات ملفات تعريف الارتباط التي تتركها الأجهزة. والاختبار الأساسي هو قابلية التحديد: هل يمكن تحديد هوية الشخص، مباشرة أو بصورة غير مباشرة، من قبل الجهة التي تحتفظ بالبيانات أو من قبل غيرها باستخدام وسائل يُرجَّح استخدامها بصورة معقولة.

تناولت محكمة العدل للاتحاد الأوروبي ذلك في قضية Breyer (2016) بشأن عناوين IP الديناميكية. وبعبارة عامة رأت المحكمة أن عنوان IP الديناميكي يمكن أن يكون بيانات شخصية لدى مشغّل موقع ويب حين تتوفر لديه وسائل قانونية للحصول على المعلومات الإضافية، مثل سجلات مشتركي مزود خدمة الإنترنت، التي تحدد هوية الزائر. والدرس العملي أن الإجابة ليست نعم أو لا ثابتة لكل عنوان ولكل حائز. فهي تعتمد على السياق وعلى ما يمكن ربطه بالعنوان.

لماذا يهم السياق للمطورين

عنوان IP مجرد في سجل جدار حماية أمر، وهو نفسه مخزّنًا بجانب معرّف مستخدم وعنوان بريد ورمز جلسة وطابع زمني أمر آخر، وهو أوضح بكثير بوصفه بيانات شخصية لأنه مرتبط بحساب محدد. فإذا كنت في الفئة الثانية فافترض أن العنوان داخل النطاق وخطط على هذا الأساس.

ومن المفيد أيضًا الفصل بين أمرين يسهل الخلط بينهما: العنوان نفسه والحقائق المشتقة منه. حين تبحث عن عنوان، يصف الناتج عادةً شبكة لا شخصًا: البلد والمنطقة على مستوى المدينة وASN والمؤسسة التي تشغّل الكتلة وعلامات مثل هل العنوان يعود إلى VPN معروف أو مركز بيانات. يعيد بحث IP في ipto حقولًا مثل country وcity وasn وorg مع العلامات is_vpn وis_tor وis_abuser وis_datacenter وbogon. وهذه تصف الشبكة، وتحديد الموقع على مستوى المدينة تقريبي، كما يوضح مقال لماذا تظل دقة المدينة محدودة. لكن مدخل البحث، إن كان عنوان زائر خزّنته، قد يظل بيانات شخصية في يدك، والسجل المُثرى المرتبط بملف مستخدم كذلك على الأرجح.

اعتبارات عامة للتسجيل والاحتفاظ

لا تحدد اللائحة عددًا من الأيام للاحتفاظ بعناوين IP. وإنما تنطبق مبادئ عامة: تحتاج إلى أساس قانوني للمعالجة، وينبغي ألا تجمع إلا ما تحتاجه لغرض معلن (تقليل البيانات)، وألا تحتفظ به أطول مما يلزم لذلك الغرض (تحديد التخزين). وكثيرًا ما يُستشهد بالتسجيل الأمني ومنع الاحتيال كأغراض، ويجب تبرير مدة الاحتفاظ بذلك الغرض وتوثيقها لا اختيارها بالعادة.

• حدد الغرض أولًا. منع الإساءة وتقييد المعدل وتصحيح الأخطاء والتحليلات لكل منها مبررات مختلفة ومدد احتفاظ معقولة مختلفة.
• اقتطع أو جزّئ حيث لا حاجة إلى الدقة الكاملة. إسقاط آخر ثمانية من IPv4 أو البتات الدنيا من عنوان IPv6 يقلل قابلية التحديد. وقد عدّت الجهات التنظيمية والمحاكم الاقتطاع والتجزئة إجراءين يقللان المخاطر، مع أن تجزئة فضاء عناوين صغير يمكن عكسها غالبًا، فليست إخفاءً تلقائيًا للهوية.
• اضبط الحذف التلقائي. اجعل السجلات الخام تنتهي صلاحيتها وفق جدول بدلًا من الاعتماد على أن يتذكر أحد تنظيفها.
• كن شفافًا. ينبغي أن يذكر إشعار الخصوصية لديك أنك تعالج العناوين ولماذا ولكم من الوقت. وينبغي أن تغطي المعالجين من الأطراف الثالثة الذين ترسل إليهم العناوين اتفاقية مناسبة.
• انتبه إلى النقل. إرسال عناوين الزوار إلى API خارجي إفصاح لطرف آخر، فانظر إلى أين تذهب البيانات. أما البحث عن شبكة بنفسك دون بيانات زائر فيتجنب السؤال.

استخدام عمليات بحث الشبكات دون بيانات شخصية

يمكن الإجابة عن أسئلة مفيدة كثيرة حول شبكة دون ربط أي شيء بشخص. تأخذ أداة بحث ASN رقم AS وتعيد المالك المسجّل والمؤسسة والبلد وعدد النطاقات، ولا يتضمن ذلك أي عنوان زائر. وبالنسبة للعناوين، يعيد whois لـ IP عبر RDAP معلومات السجل عن حائز الكتلة، وهي بيانات مؤسسية عمّن يحوز التخصيص، وتخبرك أداة فحص bogon هل العنوان خاص أو محجوز وبالتالي ليس شيئًا يمكن أن يملكه زائر عام.

وإذا كنت تقارن أنظمة قانونية خارج أوروبا، فإن مقال قوانين خصوصية عناوين IP في مختلف البلدان يقدم توجيهًا عامًا. تتيح الطبقة المجانية في ipto 1,000 طلب يوميًا بلا تسجيل، وتسرد وثائق API الحقول لتختار تخزين ما تحتاجه فعلًا فقط.

إجابات مباشرة