IP 位址在 GDPR 下屬於個人資料嗎?
在 GDPR 之下,IP 位址可能屬於個人資料,因為該規章將個人資料定義為與已識別或可識別之自然人有關的任何資訊,而 IP 位址與其他資訊結合後,往往足以使某人成為可識別對象。本文為開發者提供一般背景說明,並非法律意見;你的義務取決於自身情況,實際決策時請諮詢隱私專業人士。
規章實際上怎麼說
GDPR 第 4 條對個人資料採廣義定義。它將線上識別碼列為可識別個人的資訊範例,而前言條文則提到裝置所留下的 IP 位址與 cookie 識別碼等識別碼。關鍵的判斷標準是可識別性:持有資料的組織或其他人,是否能以合理可能使用的方式,直接或間接識別出該自然人。
歐盟法院在 Breyer 案(2016 年)中處理了動態 IP 位址的問題。概括而言,法院認為,如果網站營運者具有合法途徑取得可識別訪客的額外資訊(例如網際網路服務供應商的用戶紀錄),則動態 IP 位址在該營運者手中可能構成個人資料。實務上的啟示是,答案並非對每個位址、每個持有者都是固定的「是」或「否」,而是取決於情境,以及還有哪些資訊可以與該位址連結。
為何情境對開發者很重要
單獨存在於防火牆日誌中的 IP 位址是一回事。同一個位址若與使用者 ID、電子郵件地址、工作階段權杖和時間戳記一起儲存,就更明確屬於個人資料,因為它已與特定帳號綁定。如果你屬於後者,請假設該位址在適用範圍內,並據此規劃。
區分兩件容易混淆的事也很有幫助:位址本身,以及由它衍生出的事實。當你查詢某個位址時,輸出通常描述的是網路而非個人:國家、城市層級的地區、營運該區塊的 ASN 與組織,以及該位址是否屬於已知 VPN 或資料中心等旗標。ipto 的 IP 查詢會回傳 country、city、asn 和 org 等欄位,以及旗標 is_vpn、is_tor、is_abuser、is_datacenter 和 bogon。這些描述的是網路,而城市層級的地理定位只是近似值,正如為何城市層級準確度有限一文所說明的。但查詢的輸入(若是你儲存的訪客位址)在你手中仍可能屬於個人資料,而與使用者檔案連結的強化紀錄也很可能是。
記錄與保存的一般考量
該規章並未規定 IP 位址的保存天數,而是適用一般原則:你需要有合法的處理依據,應僅蒐集為既定目的所必需的資料(資料最小化),且不應保存超過該目的所需的時間(儲存限制)。資安記錄與詐欺防範是常被引用的目的,保存期限應以該目的為依據並加以記錄,而不是憑習慣決定。
- 先決定目的。濫用防範、速率限制、除錯與分析各有不同的正當理由,也有不同的合理保存期限。
- 在不需要完整精確度時進行截斷或雜湊。去掉 IPv4 的最後一個八位元組,或 IPv6 位址的低位元,可降低可識別性。監管機關與法院曾將截斷與雜湊視為降低風險的措施,不過小型位址空間的雜湊往往可以被還原,因此並不等於自動匿名化。
- 設定自動刪除。讓原始日誌依排程到期,而不是仰賴有人記得去清理。
- 保持透明。你的隱私權聲明應說明你會處理位址、原因與保存多久。你將位址傳送給的第三方處理者,也應受適當的協議涵蓋。
- 留意傳輸。將訪客位址傳送到外部 API,即是向另一方揭露資料,因此請考慮資料流向何處。自行查詢網路而不涉及訪客資料,則可避免這個問題。
在不涉及個人資料的情況下使用網路查詢
許多有用的問題,都可以在不將任何事物與個人綁定的情況下就網路本身得到解答。ASN 查詢接受 AS 編號,並回傳登記的擁有者、組織、國家與範圍數量,完全不涉及訪客位址。至於位址,透過 RDAP 的 IP whois 會回傳區塊持有者的登記資訊,這是關於誰持有該配置的組織資料;而bogon 檢查工具則會告訴你某個位址是否為私有或保留位址,因此不可能是公開訪客所擁有。
如果你要比較歐洲以外的法律制度,各國的 IP 位址隱私法律一文提供了一般性的方向。ipto 的免費方案每天允許 1,000 次請求,無需註冊,而 API 文件列出了各個欄位,讓你可以選擇只儲存真正需要的內容。