Адреси IP: основи та ДЗЗВ

У загальному

Адреса IP означає Інтернет Протокол-адреса і є фундаментальним складником протоколі, який служить основою для звернення до вебсторінок.

Єдина адреса мережі (IP-адреса) є особистою інформацією. Таке визначив Європейський суд у своєму вирішенні від 19 жовтня 2016 року – C-582/14, а згодом таке саме рішення було прийнято німецьким Верховним судом у своєму вирішенні від 16 травня 2017 року – VI ZR 135/13. Це стосується навіть динамічних IP-адрес, тобто мережевих адрес, які змінюються щоденно.

При кожному зверненні вебсторінки через браузер передаватиметься IP-адреса користувача, тобто його мережна адреса, на звернену сторінку. Поки що IP-адреси є особистими даними, звірок вебсторінки завжди є DSGVO-релевантним процесом.

Зауважте, що адреси IP для світових компаній, які працюють у всьому світі та охоплюють усі аспекти життя, такі як Google, потенційно завжди будуть особистими незалежно від національних законів. А також вищевказане рішення ЄСПВ не потрібно для аргументації щодо особистого характеру адрес IP для Google.

Що таке особисті дані?

Під цим розуміють звичайно всі дані, які підходять для встановлення особистості. Однак до цих даних належать також ті, що притягують до людини, тобто такі, як пристрасть до червоних роз.

Під час того, як людина легко уявляє собі ім'я, адресу та номер телефону однієї Ідентичності, важче уявити це щодо IP-адрес. Але згідно з рішенням Верховного суду Німеччини (BGH), IP-адреси тепер вважаються особистими. У момент, коли користувач відкриває вебсторінку, його IP-адреса передається на сервер, де розміщена ця сторінка. Якщо на цій сторінці використовуються Навігаційні засоби від третіх осіб, тоді і адреса користувача передається до цього третього особи. Такі засоби можуть бути відео, карти або форми.

Передача третім шляхом інтеграції послуг/інструментів/скриптів/файлів

В'язає вебсайт X послугу, наприклад, Google Maps, відбувається обов'язково завжди наступне:

• Користувач із адресою IP 4711 звертається на вебсторінку
• Вебсайт X інтегрує _Google Maps
• За допомогою цього відбувається передача IP-адреси 4711 через вебсайт X у Google

Відповідальність за те, що особисті дані користувача потрапляють на сторінку Google через вебсайт належить власнику цього сайту.

Колода викликів

Зазвичай використовуються символічні імена для вебсторінок та послуг замість IP-адрес. Наприклад, одна з варіантів скрипту для інтеграції із Google Analytics називається google-analytics.com/analytics.js.

За допомогою сервера імен (Domain Name Service, скор. DNS) цей ім'я розширюється в IP-адресу. Для кожного IP-адреси є інформація щодо якої країни ця адреса відноситься, яка зберігається у вигляді баз даних із діапазонами адрес. Ці діапазони можуть змінюватися теоретично. У практиці вони особливо стабільні для дуже часто викликаних IP-адрес. Бази даних з інформацією щодо адрес періодично оновлюються. Розподіл навантаження при великих підприємствах, наприклад Google, забезпечує те, що не завжди використовується одна і та ж IP-адреса для однієї домени, наприклад google.com. У межах тижня за моїми спостереженнями з діапазонів адрес США пішли 72 x 256 IP-адреси і деякі інші додалися. Для більш ніж мільярда IP-адрес, які відносяться до США, 72 x 256 = 18.432 є незначною кількісною величиною.

Які зараз IP-адреса, можна встановити за допомогою команди DOS tracert, за допомогою вказаного інструменту CountryTraceRoute або при завантаженні вебсторінки через розробницьку консоль браузера. Наприклад, такий приклад після завантаження сторінки виглядає так у розробницькій консолі Firefox Browser (доступна натисненням клавіші F12):

Викликана вебсторінка інтегрує соціальне мережеве додаток від Twitter, як можна побачити за іменами файлів. Домена pbs.twimg.com на цей час мала IP-адресу 23.1.106.237 (позначення Postfix :443 вказує на порт, який тут не має значення).

Найчастіше немає прямої зв'язку між відвідувачем вебсторінки та адресою служби, яка інтегрована на цій сторінці, наприклад Google Analytics. Це подібно до залізничних сполучень між двома містами: для певних маршрутів потрібно змінювати поїзд (адресу) на іншому станції. У порівнянні з залізницею, шлях відвідування (маршрут) для IP-адрес не рідко світовий.

Напрямок країни

З допомогою вільно доступного інструменту, як CountryTraceRoute (вільний завантаження через https://www.nirsoft.net/utils/country_traceroute.html), можна встановити ланцюж запитів для будь-якої доменної назви. Для кожного відвіданого IP-адреса прямо вказується країна походження.

Для вказаної вище IP-адреси Твіттер-плагіна отримує вихід (частково анонімізований):

При завантаженні файлу з Twitter Plugins відвідуються країни Німеччина, Нідерланди, США та Велика Британія, останнім разом знову США.

Відповідь тексту: Дещо ще з google-analytics.com (части анонімізовані):

При завантаженні файлу з домену google-analytics-com відповідно (вірогідно) відвідуються країни Німеччина, Нідерланди та США.

Що свідчить про те, що домена не є безпечною щодо файлів cookie, показує моя досліджувальна робота щодо Google Tag Manager.

Якщо доменній зоні правово призначається місце, можна визначити її за допомогою WHOIS-абзоржки.

Обґрунтована експлуатація особистих даних

Для всіх особистих даних, які ви збираєте, передаєте та обробляєте через вебсайт, їм необхідно зробити доступною користувачам відповідну інформацію. Це відбувається згідно із Декларацією про захист даних.

Для деяких процесів цього типу ця пояснення навіть має бути доступним користувачам перед тим, як будуть передані дані про них. Прикладом цього є кнопка "Полікувати" у Facebook як плагін для вебсторінок. Поки що отримання свідчення згоди часто неможливе або не дуже практичне, використання подібних інструментів створює високий правовий ризик.

Проблема з захистом конфіденційності

Довідка щодо захисту даних була невідповіданням між Європою та Америкою щодо захисту даних. Воно мало забезпечити, щоб обробка даних у США відбувалася за подібними високими стандартами, як це гарантує Європейська директива про захист даних (ЄДПР). Єврорхійський суд ухвалив рішення 16 липня 2020 року щодо того, що Довідка щодо захисту даних є недійсною. Наслідки особливо важливі для вебсторінок: усі інструменти Google, Adobe, YouTube, Vimeo, Facebook, Instagram, Pinterest тощо не можуть бути використані на сторінках без згоди користувача. Причина полягає в тому, що адреси IP є особистими даними, як було вказано вище. Зокрема, такі інструменти:

• Карты Google
• Google reCAPTCHA
• Зовнішні Google Шрифти
• Fast Fonts (Fonts.com)
• Адобі Тайпкіт
• Omniture Analytics (Adobe Analytics)
• Мапа Открытых Дорог
• Відеоролики YouTube
• Відео Vimeo
• SoundCloud Player

Як бачимо з списку, кількість популярних інструментів, використання яких є незаконним, дуже велика або кількість затронутих вебсторінок. Щастя, існує можливість виправлення, наприклад, замість Google Maps можна використовувати інтерактивну карту , яка відповідає вимогам захисту даних. Критичні плагіни можна відкрити за допомогою моїх перевірки вебсторінки.