Endereço IP é dado pessoal pela GDPR?
Sob a GDPR, um endereço IP pode ser dado pessoal, porque o regulamento define dado pessoal como qualquer informação relativa a uma pessoa identificada ou identificável, e um endereço IP muitas vezes torna alguém identificável quando combinado com outras informações. Este artigo traz um contexto geral para desenvolvedores e não é aconselhamento jurídico; suas obrigações dependem da sua situação, então envolva um profissional de privacidade em decisões reais.
O que o regulamento realmente diz
O Artigo 4 da GDPR define dado pessoal de forma ampla. Ele cita identificadores online como exemplos de informação que pode identificar uma pessoa, e os considerandos mencionam identificadores como endereços IP e identificadores de cookies que os dispositivos deixam para trás. O teste central é a identificabilidade: se a pessoa pode ser identificada, direta ou indiretamente, pela organização que detém os dados ou por terceiros, por meios com probabilidade razoável de serem utilizados.
O Tribunal de Justiça da União Europeia tratou do tema no caso Breyer (2016), sobre endereços IP dinâmicos. Em linhas gerais, o tribunal entendeu que um endereço IP dinâmico pode ser dado pessoal nas mãos do operador de um site quando ele dispõe de meios legais para obter as informações adicionais, como os registros de assinantes do provedor de internet, que identificariam o visitante. A lição prática é que a resposta não é um sim ou não fixo para todo endereço e todo detentor. Ela depende do contexto e do que mais pode ser vinculado ao endereço.
Por que o contexto importa para desenvolvedores
Um endereço IP isolado em um log de firewall é uma coisa. O mesmo endereço armazenado junto de um ID de usuário, um endereço de e-mail, um token de sessão e um timestamp é muito mais claramente dado pessoal, porque está atrelado a uma conta específica. Se você está no segundo caso, presuma que o endereço está no escopo e planeje com base nisso.
Também ajuda separar duas coisas fáceis de confundir: o endereço em si e os fatos derivados dele. Ao consultar um endereço, o resultado normalmente descreve uma rede, e não uma pessoa: o país, a região em nível de cidade, o ASN e a organização que operam o bloco, e sinalizadores como se o endereço pertence a uma VPN conhecida ou a um datacenter. A consulta de IP do ipto retorna campos como country, city, asn e org, junto com os sinalizadores is_vpn, is_tor, is_abuser, is_datacenter e bogon. Eles descrevem a rede, e a geolocalização em nível de cidade é aproximada, como explica o post sobre por que a precisão por cidade é limitada. Mas a entrada da consulta, se for o endereço de um visitante que você armazenou, ainda pode ser dado pessoal em suas mãos, e o registro enriquecido vinculado a um perfil de usuário provavelmente também é.
Considerações gerais sobre registro e retenção
O regulamento não define um número de dias para manter endereços IP. Em vez disso, aplicam-se princípios gerais: é preciso ter uma base legal para o tratamento, você deve coletar apenas o necessário para uma finalidade declarada (minimização de dados) e não deve mantê-lo por mais tempo do que o necessário para essa finalidade (limitação do armazenamento). Registro de segurança e prevenção de fraudes são finalidades comumente citadas, e o prazo de retenção deve ser justificado por essa finalidade e documentado, não escolhido por hábito.
- Defina primeiro a finalidade. Prevenção de abuso, limitação de taxa, depuração e análise têm justificativas diferentes e prazos de retenção razoáveis diferentes.
- Trunque ou aplique hash quando a precisão total for desnecessária. Descartar o último octeto do IPv4 ou os bits inferiores de um endereço IPv6 reduz a identificabilidade. Autoridades reguladoras e tribunais trataram o truncamento e o hash como medidas de redução de risco, embora o hash de um espaço de endereços pequeno muitas vezes possa ser revertido, portanto não é anonimização automática.
- Configure a exclusão automática. Faça os logs brutos expirarem em um cronograma, em vez de depender de alguém se lembrar de limpá-los.
- Seja transparente. Seu aviso de privacidade deve informar que você trata endereços, por quê e por quanto tempo. Operadores terceiros para os quais você envia endereços devem ser cobertos por um acordo adequado.
- Atenção às transferências. Enviar endereços de visitantes a uma API externa é uma divulgação a outra parte, então considere para onde os dados vão. Consultar você mesmo uma rede, sem dados de visitantes, evita a questão.
Usando consultas de rede sem dados pessoais
Muitas perguntas úteis podem ser respondidas sobre uma rede sem vincular nada a uma pessoa. A consulta de ASN recebe um número de AS e retorna o proprietário registrado, a organização, o país e o número de intervalos, sem envolver nenhum endereço de visitante. Para endereços, o whois de IP via RDAP retorna informações de registro sobre o titular do bloco, que são dados organizacionais sobre quem detém a alocação, e o verificador de bogon informa se um endereço é privado ou reservado e, portanto, não poderia pertencer a um visitante público.
Se você está comparando regimes legais fora da Europa, o post sobre leis de privacidade de endereços IP em diferentes países oferece uma orientação geral. O plano gratuito do ipto permite 1.000 requisições por dia sem cadastro, e a documentação da API lista os campos para que você possa optar por armazenar apenas o que realmente precisa.