IP-adresser: Grundläggande och DSGVO

I allmänhet

IP-adressen står för Internet Protokol-Adresse och är en grundläggande del av protokollet, som utgör grunden för att anropa webbsidor.

En IP-adress är ett personuppgiftsdatum. Det fastställdes av EU-domstolen i sitt domslut den 19.10.2016 – C-582/14, och därefter även av Tysklands högsta domstol (Bundesgerichtshof) i sitt domslut den 16.05.2017 – VI ZR 135/13. Detta gäller även för dynamiska IP-adresser, dvs. nätadresser som till exempel ändras varje dag.

När en webbplats anropas via en webbläsare överförs användarens IP-adress, dvs deras nätverksadress, till den uppkallade webbplatsen. Eftersom IP-adresser är personuppgifter är varje anrop av en webbplats alltid ett DSGVO-relevant händelse.

För övrigt är IP-adresser för företag som Google, som verkar världen runt och täcker hela vardagslivet, potentiellt alltid personuppgifter oavsett vilka lagar som gäller i olika länder. Även det tidigare EU-domstolsutslaget behövs inte för argumentationen till att IP-adresserna är personuppgifter för Google.

Vad är personuppgifter?

Man menar med detta allmänt alla uppgifter som är lämpliga för att fastställa en identitet. Dock räknas även till dessa uppgifter sådana som hängande vid en person, d.v.s. exempelvis preferenser för röda rosor.

Medan man kan föreställa sig att namn, adress och telefonnummer hör till en identitet, faller det svårt för den vanliga människan att se IP-adressen som personuppgift. Eftersom den högsta tyska domstolen (BGH) har bestämt så har IP-adresserna nu blivit personuppgifter. När en användare besöker en webbplats överförs dess IP-adress till servern där webbplatsen finns. Om webbplatsen har verktyg från tredje part inbyggda, överförs även användarens IP-adress till tredje parten. Sådana verktyg kan vara till exempel videor, kartor eller formulär.

Uppdelning av innehåll till tredje part genom att koppla in tjänster/hjälpmedel/skript/filer

När en webbplats X binder in ett tjänst som till exempel Google Maps händer följande på grund av det angivna internetprotokollet:

• Användare med IP-adress 4711 besöker webbplatsen
• Webbplatsen X innehåller _Google Maps
• Genom detta skickas IP-adressen 4711 vidare till Google av webbplats X

Ansvarig för att personuppgifter från användaren via webbplatsen når Google är webbplatsens ägare.

Kalleljekedja

Vanligtvis används symboliska namn för webbsidor och tjänster istället för IP-adresser. Till exempel heter en variant av skriptet som ska läggas till för Google Analytics google-analytics.com/analytics.js_

Med hjälp av en namnservrar (Domain Name Service, kort: DNS) kan denna namn upplösas till en IP-adress. För varje IP-adress finns det i form av databaser med adressområden information om vilket land den tillhör. Dessa adressområden kan teoretiskt sett ändras. I praktiken är de särskilt för mycket uppkallade IP-adresser långsiktigt stabila. Databaserna uppdateras regelbundet. En lastbalansering vid stora företag som Google säkerställer att inte alltid samma IP-adress används för en domän som till exempel google.com. Inom en vecka försvann, enligt min observation, 72 x 256 IP-adresser från adressområdena för USA och några andra kom till. Med över en miljard IP-adresser som tillhör USA, är 72 x 256 = 18.432 inte längre märkbara storleksordningar.

Vilken IP-adress som är aktuell kan upptäckas med hjälp av DOS-kommandot tracert, med det verktyg som nämns i följande CountryTraceRoute eller genom att hämta en webbplats via utvecklarfönstret i webbläsaren. Här ett exempel efter att ha hämtat en webbplats, hur det ser ut i Firefox Browser i dess utvecklarfönster (åtkomligt med tangenten F12):

Den uppkallade webbplatsen kopplar in ett sociala medias plugin från Twitter, som man kan se genom filnamnen. Domänen pbs.twimg.com hade vid den här tidpunkten IP-adressen 23.1.106.237 (postfix-angivelsen :443 anger porten, vilken är ointresant i detta sammanhang).

Meest består ingen direkt förbindelse mellan den som besöker en webbplats och adressen till ett inlagt tjänst som Google Analytics. Detta är analogt med järnvägskopplingar mellan två städer: För vissa resor måste man byta till en annan tåg (en annan adress) för att komma dit. I motsats till tågen är anropskedjor (rutter) för IP-adresser inte sällan globala.

Landsspecifikitet

Med ett fritt tillgängligt verktyg som CountryTraceRoute (gratis nedladdning via https://www.nirsoft.net/utils/country_traceroute.html) kan man för en given domännamn hitta anropskedjan. För varje besökt IP-adress ges direkt landet ut.

För den precis nämnda IP-adressen till Twitter-Pluginet får man som utgång (delar anonymiserade):

När en fil från Twitter Plugins hämtas kommer landen Tyskland, Nederländerna, USA och Storbritannien besökta, senast igen USA.

Här ett ytterligare exempel på google-analytics.com (delar anonymiserade):

När en fil hämtas från domänen google-analytics-com kommer det (sannolikt) att besökas av länderna Tyskland, Nederländerna samt USA.

Att en domän inte är cookiefri visar min undersökning till Google Tag Manager.

Om en domän är lagligt tilldelad någon kan det upptäckas genom en WHOIS-förfrågan.

Upplysning om överföring av personuppgifter

För alla personuppgifter som ni samlar in, överför och behandlar via en webbplats måste ni göra en tillhörande förklaring tillgänglig för användarna. Detta sker i den personuppgiftsbehandlingens policy.

För vissa processer av denna typ måste detta utläggande tillgängliggjorts innan användardata överförs. Ett exempel på detta är Facebook Like-knappen som plugin för webbplatser. Då detta tidigare att inhämta en samtycke ofta inte är möjligt eller praktiskt är, skapar användningen av sådana verktyg en hög rättslig osäkerhet.

Dataskyddsfördragets problem

Dataskyddsfördraget var ett informellt dataskyddöverenskommelse mellan Europa och Amerika. Det skulle säkerställa att datahanteringen i USA sker enligt liknande höga standarder som EU:s dataskyddsförordning (EU-DSGVO) garanterar. Den europeiska domstolen (EuGH) har den 16. Juli 2020 beslutat, att dataskyddsfördraget är ogiltigt. Följderna är främst för webbplatser av stort värde: Alla verktyg från Google, Adobe, YouTube, Vimeo, Facebook, Instagram, Pinterest osv. får inte längre användas på webbplatser utan samtycke. Orsaken till detta är att IP-adresser utgör personuppgifter, som nämnts ovan. Verktygen som drabbas av detta är exempelvis:

• Google Karta
• Google reCAPTCHA
• Ytliga Google Skrifttyper
• Fast Fonts (Fonts.com)
• Adobe Typekit
• Omniture Analytics (Adobe Analytics)
• OpenStreetMap (about MapBox o.ä.)
• YouTube-videor
• Vimeo-videor
• SoundCloud Player

Som man kan se i listan är antalet populära verktyg vars direkt användning uppenbarligen strider mot lag, mycket stort eller antalet påverkade webbplatser. Lyckligtvis finns det lösningar, till exempel istället för Google Maps en dataskyddskompatibel interaktiv karta. Kritiska plugins kan upptäckas med min Webbplatskontroll.