各国のIPアドレスに関するプライバシー法
IPアドレスに関するプライバシー法は国によって異なりますが、IPアドレスが合理的に個人に結び付けられる場合には個人データとして扱う法域が増えており、IPのログ記録、分析、ジオロケーションがデータ保護規則の対象になり得ます。この記事は開発者向けの一般的な背景であり、法的助言ではありません。個々の法令の詳細は、資格のある弁護士に確認してください。
プライバシー法がIPアドレスを個人データとして扱う理由
IPアドレス単体は単なる数字ですが、単体で存在することはまれです。サーバーログではタイムスタンプ、URL、User-Agent、多くの場合はアカウント識別子と対になっており、アドレスを割り当てたインターネットプロバイダーは、それを契約者に対応付けられます。そのため多くの規制当局は、アドレスの背後にいる人物を特定する手段を誰かがどこかで持っているなら、そのアドレスは個人データであると考えます。割り当てがローテーションしても、これはあまり変わりません。顧客間でローテーションするアドレスも、ある時点ではプロバイダーの記録上、1人の顧客に結び付いているからです。
これは、IPデータの技術的な限界が法的分析にとって重要である理由でもあります。検索が返すのは、国、市区町村レベルの推定、ネットワークの所有者、評価フラグであり、氏名ではありません。IP whois検索にアドレスを通せば、その様子が分かります。表示されるのはブロックのレジストリ記録で、通常は個人ではなくISPのような組織です。法的な問いは、1回の検索で何が分かるかだけでなく、そのアドレスを他のデータと組み合わせて何ができるかに関するものです。
欧州連合と英国
EUでは、GDPRが個人データを広く定義しており、EUの判例は、セッションごとに変わるIPアドレスについて、プロバイダーから識別情報を得る法的手段を持つウェブサイト運営者にとっては個人データであるとしてきました。英国のGDPRも同じ考え方に従っています。実務上は、訪問者のIPを処理するには、適法な根拠、明示した目的、保持期間の制限、適切なセキュリティが必要になります。一般的な緩和策は、保存前にIPv4アドレスの最後のオクテットを切り詰める、ローテーションするソルトでハッシュ化する、生のログの保持期間を短く設定する、といったものです。詳しくは、GDPRと個人データとしてのIPアドレスの記事で取り上げています。
クッキーなど、ユーザーのデバイス上の情報の保存や読み取りには、ePrivacyの枠組みに基づく別のルールが適用されます。不正防止とネットワークセキュリティは、IP処理の正当な目的として挙げられることが多く、そのためセキュリティツールとプライバシー法は、一見するほど対立してはいませんが、目的と比例性は引き続き文書化する必要があります。
米国とその他の地域
米国には、IPアドレスを扱う単一の連邦法はありません。代わりに州法がパッチワーク状に存在し、カリフォルニア州のCCPAとCPRAが最もよく知られており、他にもいくつかの州が包括的なプライバシー法を制定しています。これらは一般に、IPアドレスを含むオンライン識別子を個人情報の定義に含め、住民にアクセス、削除、特定の共有やターゲティング広告のオプトアウトなどの権利を与えています。児童のデータや健康データに関する分野別のルールが、さらに要件を加えます。
- ブラジルにはLGPDがあり、構造はGDPRに似ていて、識別可能な個人に関する情報を対象としています。
- カナダではPIPEDAと一部の州法が適用され、規制当局は文脈によってIPアドレスを個人情報として扱ってきました。
- 中国には個人情報保護法があり、同意と越境移転に関する規定があります。
- インドはデータ保護法を制定しており、これに依拠する場合は規則の現在の施行状況を確認する必要があります。
- 日本、韓国、オーストラリアには、それぞれ独自の制度があり、何が個人情報にあたるかの基準が異なります。
法律は頻繁に改正されるため、この記事を含むあらゆる要約は出発点として扱い、対象とする市場ごとに最新の条文を確認してください。
どの法域でも通用する実践的なエンジニアリングの習慣
法域に関係なく、いくつかの習慣でリスクを減らせます。文書化された目的に必要なIPデータだけを収集します。国、ASN、VPNフラグなど必要な拡充処理はリクエスト時に行い、生のアドレスが不要なら、生のアドレスではなく導出したフィールドを保存します。生のログは、短く定めた期間だけ保持します。読み取れる人を管理します。ログや検索が地域の外に出る場合は越境移転の規則が適用され得るため、処理がどこで行われるかを記録しておきます。
使用するシグナルを分けて考えることも有益です。ライセンスや税務のための国レベルのチェックは、市区町村レベルのパーソナライズ機能よりもはるかに低い精度で足り、評判スコアのようなセキュリティチェックには位置情報がまったく不要です。ipto のIP検索は、国、都市、ASN、組織、そして is_vpn、is_tor、is_abuser などのフラグを返すので、用途に必要な粗いフィールドだけを保存できます。不正利用への対応には、IP不正利用チェッカーが、個人のプロファイルを一切付けずにスコアとリスク階層を返します。リクエストとレスポンスのフィールドの詳細はAPIドキュメントにあります。
最後に、行っていることをユーザーに伝えてください。収集するデータの一つとしてIPアドレスを挙げ、目的と保持期間を記載した明確なプライバシー通知は、多くの制度の要件を満たし、国をまたいで最も再利用しやすいコンプライアンス業務です。
検索が訪問者について実際に何を明らかにするのかを知ることも役立ちます。VPN・プロキシチェッカーは、訪問者の見かけ上の位置が実際にいる場所と異なり得る理由を示すもので、位置情報に基づくルールを適用する際に重要になります。これらのいずれも、個別の状況に対する法的助言の代わりにはなりません。