Indirizzi IP: fondamenti e GDPR

In generale

L'indirizzo IP (Internet Protocol Address) è un concetto fondamentale per il protocollo che costituisce la base per l'accesso a siti web.

Una indirizzo IP è un dato personale. Ciò fu stabilito dalla Corte di Giustizia dell'Unione Europea nel suo sentenza del 19.10.2016 – C-582/14, e successivamente anche dal Bundesgerichtshof in sua sentenza del 16.05.2017 – VI ZR 135/13. Ciò vale anche per gli indirizzi IP dinamici, cioè quelli di rete che si modificano ad esempio ogni giorno.

Ogni volta che si accede a un sito web tramite un browser viene trasmessa l'indirizzo IP dell'utente, cioè la sua indirizzo di rete, al sito web richiesto. Poiché gli indirizzi IP sono dati personali, ogni accesso a un sito web è sempre un procedimento rilevante per la GDPR.

Inoltre, le indirizzi IP sono potenzialmente sempre riferiti a persone per aziende come Google che operano in tutto il mondo e coprono l'intera giornata, indipendentemente dalle leggi dei paesi. Anche la sentenza sopra citata non è necessaria per la motivazione del collegamento personale degli indirizzi IP a Google.

Che sono i dati personali?

Sotto questo concetto si intendono tutti i dati che sono adatti a stabilire un'identità. Tuttavia, anche quelli che attaccano una persona, quindi ad esempio le preferenze per i fiori di rosa rossa.

Mentre si può facilmente immaginare che nome, indirizzo e numero di telefono siano parte di un'identità, è più difficile farlo con le IP-Adressi per il senso comune. Poiché la Corte Suprema Tedesca (BGH) ha deciso così , le IP-Adressi sono ora personalizzate. Non appena un utente visita una pagina web, viene trasmessa la sua IP-Adresse al server dove si trova la pagina web. Se sulla pagina web sono integrate strumenti di terze parti, l'IP-Address dell'utente viene anche trasmesso al fornitore di servizi di terze parti. Tali strumenti possono essere ad esempio video, mappe o formulari.

Condivisione con terzi mediante l'integrazione di servizi/strumenti/script/file

Se una pagina web X si collega a un servizio come ad esempio Google Maps, accade necessariamente sempre questo:

• Utente con indirizzo IP 4711 richiama il sito web
• Sito web X integra _Google Maps
• In questo modo l'indirizzo IP 4711 viene trasmesso da sito web X a Google

Sono responsabile del fatto che i dati personali dell'utente vengano trasmessi a Google attraverso il sito web, l'amministratore del sito web X.

Catena di chiamata

Di solito si utilizzano nomi simbolici per le pagine web e i servizi al posto delle indirizzi IP. Ad esempio, una variante del codice da inserire in Google Analytics è google-analytics.com/analytics.js.

Con l'aiuto di un server di nomi (Domain Name Service, in breve: DNS) questo nome viene risolto in un indirizzo IP. A ogni indirizzo IP corrisponde, sotto forma di database con aree di indirizzi, una informazione sul paese a cui appartiene. Questi settori possono cambiare teoricamente. In pratica sono particolarmente stabili per le IP-Adresse molto frequentemente richiamate. I database degli indirizzi vengono aggiornati regolarmente. Una distribuzione del carico di lavoro nei grandi aziende come Google assicura che non sempre si utilizzi la stessa IP-Address per una domanda come google.com. All'interno di una settimana, secondo le mie osservazioni, sono caduti 72 x 256 indirizzi IP dall'area degli Stati Uniti e alcuni altri ne sono entrati. Con più di un miliardo di indirizzi IP assegnati agli Stati Uniti, i 72 x 256 = 18.432 non sono più una dimensione percepibile.

Quale è l'indirizzo IP attuale, può essere stabilito con il comando DOS tracert, con lo strumento indicato nel seguente tool CountryTraceRoute o al caricamento di una pagina web tramite la console dello sviluppatore del browser. Ecco un esempio dopo l'apertura di una pagina web, come viene mostrato nel Firefox Browser nella sua console dello sviluppatore (accessibile con il tasto F12):

La pagina web richiamata incorpora un plugin di Social Media da Twitter, come si può capire dai nomi dei file. La domanda pbs.twimg.com ha all'epoca l'indirizzo IP 23.1.106.237 (la Postfix-annotazione :443 indica il port, che in questo caso è irrilevante).

La maggior parte delle volte non esiste una connessione diretta tra l'utente che visita un sito web e l'indirizzo di un servizio integrato come Google Analytics. Questo è analogo alle corse dei treni tra due città: per certe rotte bisogna cambiare treno (indirizzo) in un'altra stazione. A differenza dei treni, le catene di richieste (rotte) per gli indirizzi IP sono spesso globali.

Riferimento ai paesi

Con un tool gratuito come CountryTraceRoute (download gratuito su https://www.nirsoft.net/utils/country_traceroute.html) è possibile determinare la catena di richieste per qualsiasi nome di dominio. Per ogni indirizzo IP visitato viene fornito direttamente il paese.

Per l'indirizzo IP appena menzionato del plugin Twitter si ottiene come uscita (parti anonimizzate):

Al caricamento di un file del Plugin Twitter si visitano quindi i paesi Germania, Paesi Bassi, Stati Uniti e Regno Unito, l'ultima volta gli Stati Uniti.

Ecco un altro esempio per google-analytics.com (dati anonimizzati):

Al momento dell'accesso di un file dalla domanda google-analytics-com verranno quindi (probabilmente) visitati i paesi Germania, Paesi Bassi e Stati Uniti.

Il fatto che una domanda non sia cookie-free è dimostrato dalla mia indagine sul Google Tag Manager.

Se una domanda è legata a una zona di proprietà giuridica, può essere individuata tramite un WHOIS-ricerca.

Spiegazione sulla trasmissione di dati personali

Per tutti i dati personali raccolti, trasmessi e trattati attraverso un sito web, occorre rendere accessibile agli utenti una corrispondente dichiarazione. Ciò avviene nella Dichiarazione di protezione dei dati.

Per alcune tipologie di processi, questa spiegazione deve essere resa accessibile prima che i dati degli utenti vengano trasferiti. Un esempio è il pulsante "Mi piace" di Facebook come plugin per le pagine web. Poiché l'ottenimento del consenso in precedenza non è spesso possibile o poco pratico, l'utilizzo di strumenti simili genera un alto livello di incertezza giuridica.

Il problema del Privacy Shield

Il Privacy Shield era un accordo informale sulla protezione dei dati tra Europa e America. Doveva garantire che la gestione dei dati negli Stati Uniti avvenisse secondo standard altrettanto elevati di quelli stabiliti dalla Regolamentazione generale sulla protezione dei dati dell'UE (GDPR-UE). Il Tribunale europeo ha deciso il 16. luglio 2020 che il Privacy Shield è nullo. Le conseguenze sono soprattutto gravi per i siti web: tutti gli strumenti di Google, Adobe, YouTube, Vimeo, Facebook, Instagram, Pinterest ecc. non possono più essere utilizzati sui siti web senza l'autorizzazione. La ragione è che le indirizzi IP sono dati personali, come spiegato sopra. Sono interessate ad esempio i seguenti strumenti:

• Google Maps
• Google reCAPTCHA
• Google Fonti esterne
• Fast Fonts (Fonts.com)
• Tipo di Adobe
• Omniture Analytics (Adobe Analytics)
• OpenStreetMap (about MapBox o.ä.)
• YouTube Videos
• Video Vimeo
• SoundCloud Player

Come si può vedere dalla lista, il numero di strumenti popolari che sembrano essere utilizzati in modo illegale è molto alto o il numero di siti web coinvolti. Per fortuna c'è una soluzione, ad esempio al posto di Google Maps un mappa interattiva conforme alla normativa sulla protezione dei dati. I plugin critici possono essere scoperti con il mio Website-Check.