Almindeligvis
IP-adressen betyder Internet Protokol-Adresse og er en grundlæggende del af protokollen, der er grundlaget for at kalde på websteder.
IP-adresser er persondata.
Domme fra EU-domstolen og Tysklands føderale højesteret fastsætter dette tydeligt
En IP-adresse er et personrelateret dato. Det fastslog EU-domstolen i sin dom fra 19.10.2016 – C-582/14, og efterfølgende også den tyske Højesterets dom fra 16.05.2017 – VI ZR 135/13. Det gælder selv for dynamiske IP-adresser, altså netværksadresser, der fx ændrer sig dagligt.
Hver gang en hjemmeside bliver opkaldt via en browser, bliver brugerens IP-adresse, altså hans netværksadresse, overført til hjemmesiden. Fordi IP-adresser er persondata, er hver gang en hjemmeside bliver opkaldt altid en DSGVO-relevant handling.
Tilfældigvis er IP-adresser for virksomheder, der opererer globalt og omfatter hele dagslivet, som Google, potentielt altid personbevægende, uafhængigt af lovgivning i forskellige lande. Det ovennævnte EU-domstolsdom også ikke behøver til argumentationen for at IP-adresser er personbevægnende for Google.
Personlige data?
Under forstås almindeligvis alle data, der er egnet til at fastlægge en identitet. Dog regnes også til disse data sådanne, der hænger sammen med en person, dvs. f.eks. forellese for røde roser.
Under normal omstændigheder kan man let forestille sig, at navn, adresse og telefonnummer tilhører en Identitet, men det er sværere med IP-adresser. Eftersom den højeste tyske domstol (BGH) har dømt således, betragtes IP-adresser nu som personbevidste. Når en bruger besøger en hjemmeside, bliver hans/hendes IP-adresse overført til den server, hvor hjemmesiden ligger. Hvis hjemmesiden har Tools fra tredjeparter indlejret, bliver også brugernes IP-adresse overført til tredjeparten. Sådanne tools kan være videoer, kort eller formularet.
Overdrivelse til tredje part ved at integrere tjenester/hjælpemidler/scripte/filer
Tilslutter en hjemmeside X en tjeneste som f.eks. Google Maps , sker på grund af det ovennævnte internetprotokol altid følgende:
- Bruger med IP-adressen 4711 tilkalder hjemmesiden
- Webstedet X binder Google Maps ind
- Dermed bliver IP-adressen 4711 videregivet til Google af hjemmesiden X
Ansvarlig for, at personlige oplysninger fra brugeren kommer til Google via hjemmesiden, er ejeren af hjemmesiden X.
Kaldeserie
Normalt bruges symboliske navne til hjemmesider og tjenester i stedet for IP-adresser. Eksempelvis hedder en variant af scriptet, der skal indsættes til Google Analytics, google-analytics.com/analytics.js.
Gennem en navneserver (Domain Name Service, forkortet: DNS) bliver denne navn opløst til en IP-adresse. Til hver IP-adresse er der i form af databaser med adresseområder information om, hvilket land denne IP-adresse skal tildannes. Disse adresseområder kan teoretisk set ændre sig. I praksis er de især for meget brugte IP-adresser lange stabile. Databasen med adresseinformation bliver desuden regelmæssigt opdateret. En lastfordeling ved store selskaber som Google sikrer, at ikke altid den samme IP-adresse anvendes til en domæne som fx google.com. Inden for en uge faldt efter min observation 72 x 256 IP-adresser væk fra adresseområdet for USA og nogle andre kom til. Ved over en milliard IP-adresser, der tildeles USA, er 72 x 256 = 18.432 en ikke længere synlig størrelsesorden.
Hvilken IP-adresse der er aktueligt, kan opdages ved hjælp af DOS-kommandoen tracert, ved hjælp af det i følgende nævnte værktøj CountryTraceRoute eller når en hjemmeside bliver tilgået via udviklerkonsollen i browseren. Her et eksempel efter at have tilgået en hjemmeside, hvordan det ser ud i Firefox Browser i dens udviklerkonsol (tilgængelig ved tasten F12):
Den opkaldte hjemmeside binder et social medie-plugin fra Twitter ind, som man kan se på filnavnene. Domænet pbs.twimg.com havde til dette tidspunkt IP-adressen 23.1.106.237 (postfix-angivelsen :443 betegner porten, der her er irrelevante).
Meget ofte findes der ikke en direkte forbindelse mellem den, der tilkaldte en hjemmeside og adresse på en indlejret tjeneste som Google Analytics. Det er ligesom med togforbindelser mellem to byer: For visse rejerruter skal man i et andet tog (en anden adresse) skifte. I modsætning til tog er Aufrufketten (ruter) for IP-adresser ikke sjældent verdensomspændende.
Landforbindelse
Med et frit tilgængeligt værktøj som CountryTraceRoute (fri download over https://www.nirsoft.net/utils/country_traceroute.html) kan man for en hvilken som helst domænenavn finde ud af, hvem der har ringet. For hver besøgt IP-adresse får man direkte oplysninger om landets placering.
For den nævnte IP-adresse til Twitter-pluginget får man som udgangspunkt (Delvis anonymiseret):
Når en fil fra Twitter Plugins bliver hentet, bliver der således besøgt lande Tyskland, Holland, USA og Storbritannien, senest igen USA.
Et eksempel på google-analytics.com (delvist anonymiseret):
Når en fil bliver hentet fra domænet google-analytics-com vil (sandsynligvis) landene Tyskland, Holland samt USA besøges.
At en domæne ikke er cookiefri viser min undersøgelse af Google Tag Manager.
Hvis en domæne juridisk tilknyttes, kan det opdaget gennem en WHOIS-afspørgning.
Erklæring til overdragelse af persondata
For alle personlige data, som I samler, overdrager og behandler gennem en hjemmeside, skal jeg tilgå brugerne med en passende erklæring. Dette sker i min persondatopolicy.
For nogle af disse processer skal denne forklaring endda tilgængelig gøres, før brugerdata overføres. Et eksempel herpå er Facebook Like Knappen som plugin på websteder. Da dette tidligere at hente en samtykke ofte ikke muligt eller uigennemtænkeligt er, skaber brugen af sådanne værktøjer en meget stor juridisk usikkerhed.
Datatilskuddsproblemet
Der Privacy Shield var et uofficielt dataskyddsaftale mellem Europa og Amerika. Det skulle sikre, at datafremstilling i USA foregik efter lignende høje standarder som EU's dataskyddsforordning (EU-DSGVO) garanterede. Den Europæiske Domstol (EuGH) har den 16. juli 2020 besluttet, at Privacy Shield er ugyldig. Konsekvenserne er især for websteder alvorlige: Alle værktøjer fra Google, Adobe, YouTube, Vimeo, Facebook, Instagram, Pinterest osv. må ikke længere anvendes på websteder uden samtykke. Grunden er, at IP-adresser er persondata, som blev nævnt ovenfor. Blandt andet følgende værktøjer er påvirket:
- Google Kort
- Google reCAPTCHA
- Eksterne Google Skrifttyper
- Fast Fonts (Fonts.com)
- Adobe Typekit
- Omniture Analytics (Adobe Analytics)
- OpenStreetMap (via MapBox osv.)
- YouTube videoer
- Vimeo videoer
- SoundCloud Player
Som man kan se på listen, er der en meget stor mængde af populære værktøjer, hvis direkte brug synes ulovligt, samt en meget stor mængde af påvirkede hjemmesider. Heldigvis findes der hjælp, f.eks. i stedet for Google Maps en dataskyddskonform interaktiv kort. Kritiske plugins kan opdages med mit websitet-check.
My name is Klaus Meffert. I have a doctorate in computer science and have been working professionally and practically with information technology for over 30 years. I also work as an expert in IT & data protection. I achieve my results by looking at technology and law. This seems absolutely essential to me when it comes to digital data protection. My company, IT Logic GmbH, also offers consulting and development of optimized and secure AI solutions.
