Leis de privacidade de endereços IP por país
As leis de privacidade sobre endereços IP variam de país para país, mas um número crescente delas trata o endereço IP como dado pessoal sempre que ele pode ser razoavelmente vinculado a uma pessoa, o que significa que o registro, a análise e a geolocalização de IPs podem se enquadrar nas regras de proteção de dados. Este artigo é um contexto geral para desenvolvedores, não aconselhamento jurídico, e os detalhes de qualquer lei devem ser confirmados com um advogado qualificado.
Por que as leis de privacidade de endereços IP os tratam como dado pessoal
Um endereço IP sozinho é apenas um número, mas raramente está sozinho. Seus logs de servidor o associam a timestamps, URLs, user agents e, muitas vezes, identificadores de conta, e o provedor de internet que o atribuiu pode mapeá-lo a um assinante. Muitos reguladores, portanto, entendem que um endereço é dado pessoal quando alguém, em algum lugar, tem meios de identificar a pessoa por trás dele. A atribuição rotativa não muda muito isso: um endereço que alterna entre clientes continua vinculado a um cliente em determinado momento nos registros do provedor.
É também por isso que os limites técnicos dos dados de IP importam para a análise jurídica. Uma consulta retorna um país, uma estimativa em nível de cidade, o proprietário da rede e sinalizadores de reputação, não um nome. Você pode ver como isso se parece passando um endereço pela consulta whois de IP, que mostra o registro do bloco no registry, normalmente uma organização como um ISP, e não um indivíduo. A questão jurídica é sobre o que poderia ser feito com o endereço em combinação com outros dados, e não apenas sobre o que uma única consulta revela.
A União Europeia e o Reino Unido
Na UE, a GDPR define dado pessoal de forma ampla, e a jurisprudência europeia tratou endereços IP que mudam entre sessões como dado pessoal nas mãos do operador de um site que tem meios legais de obter do provedor as informações identificadoras. A UK GDPR segue a mesma abordagem. Na prática, isso significa que tratar IPs de visitantes exige uma base legal, uma finalidade declarada, limites para o tempo de guarda e segurança adequada. Mitigações comuns são truncar o último octeto de um endereço IPv4 antes do armazenamento, aplicar hash com um salt rotativo e definir janelas curtas de retenção para logs brutos. Nosso post sobre GDPR e endereços IP como dados pessoais aprofunda o assunto.
Regras separadas se aplicam ao armazenamento ou à leitura de informações no dispositivo do usuário, como cookies, sob o arcabouço da ePrivacy. Prevenção de fraudes e segurança de rede são frequentemente citadas como finalidades legítimas para tratar IPs, e é por isso que as ferramentas de segurança e a lei de privacidade são menos opostas do que parecem à primeira vista, mas a finalidade e a proporcionalidade ainda precisam ser documentadas.
Os Estados Unidos e outras regiões
Os Estados Unidos não têm uma única lei federal que cubra endereços IP. Em vez disso, há uma colcha de retalhos de leis estaduais, sendo o CCPA e o CPRA da Califórnia os mais conhecidos, e vários outros estados aprovaram leis abrangentes de privacidade. Elas geralmente incluem identificadores online, entre eles endereços IP, na definição de informação pessoal e dão aos residentes direitos como acesso, exclusão e a possibilidade de optar por não participar de certos compartilhamentos ou de publicidade direcionada. Regras setoriais, como as de dados de crianças ou de saúde, acrescentam outras exigências.
- O Brasil tem a LGPD, que se assemelha à GDPR em estrutura e abrange informações relativas a uma pessoa identificável.
- O Canadá aplica a PIPEDA e algumas leis provinciais, e os reguladores trataram endereços IP como informação pessoal conforme o contexto.
- A China tem uma Lei de Proteção de Informações Pessoais com regras sobre consentimento e transferências internacionais.
- A Índia promulgou uma lei de proteção de dados, e quem depende dela deve verificar o estado atual de implementação de suas regras.
- O Japão, a Coreia do Sul e a Austrália têm cada um seu próprio regime, com limiares diferentes para o que conta como informação pessoal.
Como as leis são alteradas com frequência, trate qualquer resumo, inclusive este, como ponto de partida e confirme o texto vigente para cada mercado que você atende.
Hábitos de engenharia práticos que funcionam em qualquer lugar
Seja qual for a jurisdição, alguns hábitos reduzem a exposição. Colete apenas os dados de IP de que precisa para uma finalidade documentada. Faça o enriquecimento necessário, como país, ASN ou um sinalizador de VPN, no momento da requisição e armazene o campo derivado em vez do endereço bruto quando este não for necessário. Mantenha os logs brutos por um período curto e definido. Controle quem pode lê-los. Registre onde o tratamento ocorre, pois regras de transferência internacional podem se aplicar quando logs ou consultas saem de uma região.
Também ajuda separar os sinais que você usa. Verificações em nível de país para fins de licenciamento ou tributação exigem muito menos precisão do que um recurso de personalização em nível de cidade, e uma verificação de segurança como uma pontuação de reputação não precisa de localização alguma. A consulta de IP do ipto retorna país, cidade, ASN, organização e sinalizadores como is_vpn, is_tor e is_abuser, então você pode armazenar apenas o campo mais genérico de que seu caso de uso precisa. Para o tratamento de abusos, o verificador de abuso de IP retorna uma pontuação e um nível de risco sem nenhum perfil pessoal anexado. Os detalhes dos campos de requisição e resposta estão na documentação da API.
Por fim, diga aos usuários o que você faz. Um aviso de privacidade claro, que cite endereços IP entre os dados coletados, com a finalidade e o prazo de retenção, atende a uma exigência de muitos regimes e é o trabalho de conformidade mais reutilizável entre países.
Também ajuda ver o que uma consulta realmente revela sobre um visitante. O verificador de VPN e proxy mostra por que a localização aparente de um visitante pode não ser onde ele está, o que importa ao aplicar regras baseadas em localização. Nada disso substitui aconselhamento jurídico para a sua situação.