IPアドレスはGDPR上の個人データか
GDPRでは、IPアドレスは個人データになり得ます。規則は個人データを、識別された、または識別可能な個人に関するあらゆる情報と定義しており、IPアドレスは他の情報と組み合わせることで、しばしば誰かを識別可能にするためです。この記事は開発者向けの一般的な背景を説明するもので、法的助言ではありません。義務はそれぞれの状況によって異なるため、実際の判断にはプライバシーの専門家を関与させてください。
規則が実際に述べていること
GDPR第4条は、個人データを広く定義しています。個人を識別し得る情報の例としてオンライン識別子を挙げ、前文では、デバイスが残すIPアドレスやCookie識別子といった識別子に言及しています。重要な判断基準は識別可能性です。つまり、そのデータを保有する組織、あるいは他の誰かが、合理的に用いられ得る手段によって、直接または間接に個人を識別できるかどうかです。
欧州連合司法裁判所は、動的IPアドレスに関するBreyer事件(2016年)でこの問題を扱いました。大まかに言えば、裁判所は、ウェブサイト運営者が訪問者を識別できるような追加情報(たとえばインターネットプロバイダーの契約者記録)を入手する法的手段を持つ場合、動的IPアドレスは運営者にとって個人データになり得ると判断しました。実務上の教訓は、答えがすべてのアドレスとすべての保有者について固定的な「はい」か「いいえ」ではないということです。文脈と、そのアドレスに他に何を紐付けられるかによって決まります。
開発者にとって文脈が重要な理由
ファイアウォールのログに置かれた単独のIPアドレスと、ユーザーID、メールアドレス、セッショントークン、タイムスタンプと並べて保存された同じアドレスとでは、まったく別物です。後者は特定のアカウントに結び付いているため、はるかに明確に個人データです。後者に当てはまる場合は、そのアドレスが規制の対象範囲内にあると想定して計画を立ててください。
混同しやすい2つのものを区別することも有益です。アドレスそのものと、そこから導かれる事実です。アドレスを検索したときの出力は、通常、人ではなくネットワークを説明します。国、市区町村レベルの地域、そのブロックを運用するASNと組織、そしてそのアドレスが既知のVPNやデータセンターに属するかどうかといったフラグです。ipto のIP検索は、country、city、asn、org などのフィールドと、is_vpn、is_tor、is_abuser、is_datacenter、bogon のフラグを返します。これらはネットワークを説明するものであり、市区町村レベルのジオロケーションが概算であることは、都市レベルの精度に限界がある理由の記事で説明しています。しかし、検索への入力が保存した訪問者のアドレスであれば、それはあなたの手元では依然として個人データである可能性があり、ユーザープロファイルに紐付けた拡充レコードもおそらくそうなります。
ログ記録と保持に関する一般的な考慮事項
規則は、IPアドレスを保持する日数を定めていません。代わりに一般原則が適用されます。処理には適法な根拠が必要で、明示した目的に必要なものだけを収集し(データ最小化)、その目的に必要な期間を超えて保持してはなりません(保存期間の制限)。セキュリティログと不正防止は一般によく挙げられる目的であり、保持期間は習慣で選ぶのではなく、その目的によって正当化し、文書化すべきです。
- まず目的を決める。不正利用の防止、レート制限、デバッグ、分析では、正当化の根拠も、妥当な保持期間も異なります。
- 完全な精度が不要なら切り詰めるかハッシュ化する。IPv4の最後のオクテットやIPv6の下位ビットを削ると、識別可能性が下がります。規制当局や裁判所は切り詰めやハッシュ化をリスク低減策として扱ってきましたが、小さなアドレス空間のハッシュは元に戻せることが多く、自動的な匿名化にはなりません。
- 自動削除を設定する。誰かが片付けを思い出すことに頼らず、生のログをスケジュールで失効させます。
- 透明性を保つ。プライバシー通知には、アドレスを処理していること、その理由、そして期間を記載してください。アドレスを送る第三者の処理者は、適切な契約の対象にする必要があります。
- 移転に注意する。訪問者のアドレスを外部APIに送ることは別の当事者への開示になるため、データの行き先を考慮してください。訪問者のデータを使わずに自分でネットワークを検索すれば、この問題は生じません。
個人データを使わずにネットワークを検索する
ネットワークに関する有用な疑問の多くは、何も個人に結び付けることなく答えられます。ASN検索はAS番号を受け取り、登録された所有者、組織、国、範囲の数を返します。ここには訪問者のアドレスがまったく関与しません。アドレスについては、RDAP経由のIP whoisが、ブロック保有者に関するレジストリ情報、つまり割り当てを誰が保有しているかという組織のデータを返します。ボゴンチェッカーは、アドレスがプライベートまたは予約済みで、公開の訪問者が持ち得ないものかどうかを教えてくれます。
ヨーロッパ以外の法制度を比較している場合は、各国のIPアドレスに関するプライバシー法の記事が一般的な見取り図を示しています。ipto の無料枠はサインアップ不要で1日1,000リクエストまで利用でき、APIドキュメントにフィールドの一覧があるので、本当に必要なものだけを保存するよう選べます。