IP adresas gali būti asmens duomuo net tada, kai organizacija nežino lankytojo vardo. Vertinamas ryšys su identifikuotu arba identifikuojamu žmogumi, turima papildoma informacija ir pagrįstai tikėtinos identifikavimo priemonės. Todėl vien teiginys „tai techninis adresas“ neatsako, ar konkrečiam žurnalui taikomas BDAR.
Šis sprendimų lapas padeda nustatyti, kur IP adresas gaunamas, su kuo susiejamas, kam atskleidžiamas ir kiek laiko reikalingas. Jis skirtas svetainės, API, analitikos ir saugumo srautams. Rezultatas turi būti konkretus duomenų naudojimo sprendimas, o ne bendras leidimas neribotai registruoti visus tinklo įvykius.
Pradėkite nuo asmens identifikavimo konteksto
BDAR 4 straipsnio 1 punktas ir 26 konstatuojamoji dalis padeda vertinti tiesioginį ir netiesioginį identifikuojamumą. 30 konstatuojamoji dalis aptaria internetinius identifikatorius, įskaitant IP adresus. Reikia žiūrėti į tikrą duomenų derinį ir pagrįstai tikėtinas priemones, atsižvelgiant į objektyvius veiksnius, o ne vien į vieną izoliuotą lauką.
Jei prie IP adreso įrašomas prisijungusios paskyros identifikatorius, paslaugos valdytojas gali turėti aiškų ryšį su konkrečiu žmogumi. Neprisijungusio lankytojo atveju svarbūs laikas, kiti identifikatoriai ir galimi teisėti papildomos informacijos gavimo keliai. Asmens duomenų atpažinimo lentelė padeda dokumentuoti šiuos skirtumus.
Vertinimui nereikia specialiai bandyti nustatyti visų lankytojų tapatybės. Tikslas yra įvertinti tvarkymo pobūdį ir apsaugas. Papildomas asmens dokumentų ar kontaktų rinkimas vien tam, kad įrodytumėte techninio žurnalo asmeninį pobūdį, gali būti nereikalingas ir perteklinis.
Ką tiksliai parodo Breyer byla
2016 m. spalio 19 d. Teisingumo Teismo sprendimas Breyer, byloje C-582/14, priimtas pagal tuometinę Duomenų apsaugos direktyvą. Jame dinaminis IP adresas laikytas asmens duomeniu svetainės operatoriaus atžvilgiu, kai šis turi teisėtų priemonių identifikuoti žmogų naudodamas interneto prieigos teikėjo turimą papildomą informaciją. Oficialus Teismo pranešimas.
Iš šio sprendimo nekyla bendras tiesioginis kiekvieno svetainės savininko reikalavimas bet kuriam ryšio teikėjui atskleisti abonentą. Taip pat nereikia išvados supaprastinti iki „dinaminis adresas visada anoniminis“ arba „kiekvienas adresas visomis aplinkybėmis nustato vieną žmogų“. Dabartinėje byloje vertinkite BDAR kriterijus ir konkrečias papildomos informacijos galimybes.
Sprendimų lape nurodykite, kieno atžvilgiu vertinate duomenis: svetainės operatoriaus, analitikos gavėjo ar kitos organizacijos. Gavėjai gali turėti skirtingas papildomas žinias ir galimybes, todėl būtinas tikras srauto aprašas. Vien tiekėjo pažadas nežiūrėti į vardus neatskleidžia, kokius kitus identifikatorius jis susieja.
Adreso rūšis nepakeičia visos analizės
Statinis adresas gali ilgiau išlikti susietas su tuo pačiu ryšiu, o dinaminis gali keistis. Tačiau stabilumas ir identifikuojamumas nėra tapatūs dalykai. Dinaminis adresas kartu su laiku ir kitais įrašais vis tiek gali būti susiejamas; bendras adresas savo ruožtu gali aptarnauti kelis žmones.
Darbo vietos tinklas, namų maršrutizatorius, VPN ar operatoriaus adresų dalijimosi technologija gali reikšti, kad vienu viešu adresu naudojasi daugiau nei vienas asmuo. Todėl IP adresas neturėtų būti automatiškai laikomas patikimu konkretaus žmogaus atlikto veiksmo įrodymu. Tai svarbu ne tik privatumui, bet ir duomenų tikslumo procedūrai.
IPv4 ir IPv6 vertinkite pagal faktinį priskyrimą, keitimąsi ir susiejimą. Nereikia visiems IPv6 adresams priskirti vienodo pastovumo ar vienu techniniu trumpinimu pažadėti anonimiškumo. Patikrinkite, kokią adreso dalį ir kitus duomenis gauna jūsų konkreti sistema.
Sužymėkite gavimą, registravimą ir perdavimą atskirai
Naršyklės užklausa gali pirmiausia pasiekti CDN, tada programos serverį ir stebėsenos paslaugą. Kiekviename etape gali būti registruojamas kitoks adresas ar papildoma antraštė. Informacinių sistemų žemėlapyje pažymėkite, kur lieka pilna reikšmė ir kas atsakingas už kiekvieną kopiją.
| Srauto vieta | Ką nustatyti | Galimas nepastebėtas klausimas |
|---|---|---|
| Tinklo tarpininkas | Kokį kliento adresą gauna ir registruoja | Atskirai saugomi prieigos žurnalai |
| Programa | Ar adresas siejamas su paskyra ir veiksmu | Įrašomi papildomi užklausos parametrai |
| Saugumo priemonė | Kokiam įvykiui analizuoti reikia adreso | Rinkinys laikomas ilgiau negu pagrindinis žurnalas |
| Analitikos paslauga | Ar adresas trumpinamas ir kuriame etape | Pilna reikšmė pasiekia gavėją prieš pakeitimą |
| Pagalbos eksportas | Kokie įrašai perduodami gedimui tirti | Failas lieka užduoties priede |
Svarbu atskirti trumpą techninį naudojimą ryšiui aptarnauti nuo ilgalaikio saugojimo ir papildomo profiliavimo. Tai nėra vienas neatskiriamas tikslas. Jei reikia įvertinti platesnes apsaugas, TLS patikros lapas padeda patikrinti perdavimo kanalą, tačiau šifravimas nepakeičia naudojimo pagrindo ir saugojimo sprendimo.
Saugumo žurnalui pagrįskite kiekvieną reikalingą dalį
Kai duomenys asmeniniai, nustatykite tinkamą 6 straipsnio pagrindą. Teisėtas interesas apsaugoti paskyras gali būti aktualus, tačiau reikia būtinumo ir interesų pusiausvyros vertinimo. Teisinio pagrindo matrica padeda užrašyti konkrečias aplinkybes, užuot traktavus kiekvieną žurnalą kaip automatiškai leidžiamą saugumo priemonę.
Hipotetiniame portale saugumo komanda nori aptikti daug nesėkmingų bandymų prisijungti prie tos pačios paskyros. Ji pasirenka įvykio laiką, paskyros identifikatorių, rezultatą ir tyrimui reikalingą šaltinio informaciją. Komanda atmeta slaptažodžių, prieigos žetonų ir viso užklausos turinio saugojimą, nes pasirinktam aptikimo scenarijui jų nereikia.
Tada palyginamos alternatyvos: pilnas adresas, trumpesnė jo dalis, trumpiau laikomi įvykiai ir apibendrinti skaitikliai. Pasirinkimas turi parodyti, kokią tyrimo galimybę suteikia papildomas detalumas ir kodėl mažiau duomenų nepakanka. Saugumo žurnalų politikoje ši išvada susiejama su prieiga ir automatiniu trynimu.
Saugojimo trukmės nenustato vien žodis „IP“
BDAR nenumato bendro visų IP žurnalų saugojimo dienų skaičiaus. Terminas arba jo kriterijus turi būti pagrįstas konkrečiu tikslu, veikimo modeliu ir taikomais specialiais reikalavimais, jei tokių yra. Vien kitos organizacijos naudojamas skaičius neįrodo jūsų pasirinkimo būtinybės.
Atskirkite įprastą žurnalą nuo konkrečiam incidentui išsaugotų įrodymų. Pastariesiems nustatykite incidento identifikatorių, ribotą apimtį, prieigos savininką ir peržiūros sąlygą. Išimtis neturi tyliai paversti visų įvykių neribotu archyvu. Trynimo koncepcija padeda patikrinti ir kopijas, esančias stebėsenos sistemoje ar pagalbos užduotyje.
Trumpinimas gali mažinti riziką, bet neįrodo anonimiškumo
IP adreso dalies pašalinimas gali sumažinti duomenų detalumą. Tačiau likęs laikas, paskyros identifikatorius, įrenginio požymiai ir kiti įvykiai gali išlaikyti žmogaus identifikuojamumą. Anonimizavimo patikroje vertinkite visą rinkinį, galimą susiejimą ir prieinamą papildomą informaciją.
Ypač svarbu, kada atliekamas trumpinimas. Jei pilnas adresas pirmiausia nusiunčiamas gavėjui ir tik tada pakeičiamas, ankstesnis jo tvarkymas neišnyksta. Inventoriuje aiškiai parodykite etapus ir atskirai pagrįskite reikalingą pradinį tvarkymą. Rinkodaros aprašas „IP anonimizuojamas“ nėra pakankamas techninės eigos įrodymas.
Tas pats taikoma kontrolinės reikšmės ar kito pastovaus pakaitalo naudojimui. Jei pakaitalas leidžia susieti to paties žmogaus įvykius arba pirminę reikšmę galima atkurti ar patikrinti, reikia atidesnės analizės. Žodis „užkoduota“ nepaaiškina, ar duomenys anoniminiai, pseudonimizuoti ar tiesiog pakeisto formato.
Analitiką ir galinio įrenginio taisykles vertinkite papildomai
IP adreso priskyrimas asmens duomenims pats neatsako, ar konkrečiai technologijai reikia sutikimo dėl informacijos saugojimo galiniame įrenginyje ar prieigos prie jos. Vertinkite tikrą slapuko, scenarijaus, pikselio ar kitos priemonės veikimą ir taikomą elektroninių ryšių režimą. Vien technologijos pavadinimas nepakankamas.
Taip pat nenuspręskite, kad kiekviena analitika automatiškai teisėta, jei nėra slapukų arba trumpinamas IP adresas. Asmens duomenų naudojimo pagrindas, informavimas, gavėjai ir saugojimas išlieka atskiri klausimai. Tikslo keitimo testas padeda, kai saugumui surinkti įvykiai vėliau siūlomi reklamai ar individualiam segmentavimui.
Gavėjams nustatykite vaidmenį ir perdavimo aplinkybes
CDN, debesijos ar analitikos teikėjui priskirkite vaidmenį pagal konkretų tikslą ir jo faktines funkcijas. Valdytojo ir tvarkytojo atskyrimo eiga padeda patikrinti sutartį. Bendras užsienio grupės pavadinimas pats neįrodo nei faktinio perdavimo į trečiąją šalį, nei jo teisėtumo.
Nustatykite, kuriam gavėjui duomenys atskleidžiami arba tampa prieinami, įskaitant nuotolinę pagalbą. Jei taikomas BDAR V skyrius, vertinkite atitinkamą perdavimo kelią ir prireikus perdavimo poveikio vertinimą. Sutartinis aprašas turi atitikti tikrą duomenų judėjimą, o ne vien duomenų centro rinkodaros vietą.
Užbaikite sprendimą faktinės konfigūracijos bandymu
Prieš patvirtindami lapą sugeneruokite bandomąjį įvykį ir atsekite jo kelią per visas nustatytas sistemas. Patikrinkite, kokie laukai iš tiesų įrašyti, ar trumpinimas vyksta numatytame etape ir ar trynimo užduotis pašalina atitinkamas kopijas. Naudokite valdomą bandomąjį scenarijų, kad nereikėtų perteklinai eksportuoti tikrų lankytojų duomenų.
Galutinis įrašas turi susieti asmeninio pobūdžio išvadą, tikslą, pagrindą, laukus, gavėjus, saugojimo kriterijų ir veikimo įrodymą. Privatumo pranešime paaiškinkite tikrą naudojimą suprantama kalba. Kitą kartą keičiant žurnalų rinkimo, analizės ar perdavimo konfigūraciją, patikrinkite, ar ankstesnio sprendimo prielaidos vis dar galioja.
Prie bandymo pridėkite naudotos konfigūracijos versiją ir atsakingą vykdytoją, kad vėlesnis tikrintojas galėtų pakartoti tą patį scenarijų ir paaiškinti pastebėtus skirtumus.