Ole er en ganske almindelig borger, der bor alene og har en statisk IP. Ole er ikke alene, der findes mange som ham.
De fleste websites ligger i dag i skyen/clouden, da de færreste gider at bakse med at hoste dem i kælderen (on-premise). Det betyder også der som regel er en 3 part inde over som står for driften af serverne.
Der findes forskellige clouds/setups, men groft set kan de inddeles i to: delte samt private. Fælles for dem er at der er 3 part inde over som står for driften af serverne. De fleste private clouds bryster sig med at der er 100% ejerskab. Det er dog stadig 3 parten der står for driften, hvor de i langt de fleste tilfælde også har adgang til data. Det kan f.eks. være der er noget redundant backup af log-information, sikkerhed/firewall, CDN, performance optimering eller lignende.
Den oversete brist:
Når Ole går ind på en hjemmeside, sender computeren en anmodning til webserveren, som ligger i clouden.
Ole: Hej Webserver, vis mig siden med sko.
Webserver: Hej 123.45.67.89, du får den her, men jeg gemmer lige din anmodning i min logbog*.
Som vi kan se ovenfor blev Oles IP-adresse logget. Også helt uden Oles accept. Ole bor jo alene og har en statisk IP-adresse. Man vil derfor kunne identificere Ole ud fra IP-adressen, hvilket gør det til en personidentificerbar oplysning.
Tager vi et smut forbi EUs hjælpe site, kan vi også se at de klassificerer IP-adressen som personidentificerbar.
Det er dog vigtigt at påpege at ikke alle IP-adresser er personidentificerbar. Der kan sagtens være over flere tusinde på fra den samme IP-adresse. Det kan f.eks. være store virksomheder.
Som jeg ser det kan der være flere problematikker:
• Opsamling af PII data uden/før accept/samtykke
• Deling af PII data med 3 part
I nogle tilfælde kan logningen ske udenfor EU, eller er kan måske ligge en redudant backup udenfor EU.
Hvordan finder du ud af om du begår denne fejl?
Det er som regel ligetil, du skal tage fat i de personer der står for hostingen eller infrastrukturen for dit website for at høre om I logger IP-adressen. Her er det vigtigt at du ikke kun spørger om serverloggen, men på tværs af applikationer og services. Der kan nemlig ligge flere lag foran såsom en CDN, Loadbalancer eller lignende afhængigt af tech setup. Herudover kan det være opsat noget monitorering, hvor IP-adressen også kan logges.
Det er ikke altid du selv har adgang til disse datakilder, men ofte kun kun din hostingudbyder.
Hvad kan du gøre?
Logger du IP-adressen i serverloggen eller andre services, der har med hostingen af din hjemmeside at gøre, skal du tage fat i din hosting leverandør og høre om hvilke muligheder der er. En velkendt mulighed er at skjule en okta i IP-adressen så den går fra 123.45.67.89 til 123.45.67.xx
Du skal dog være opmærksom på at IP-adresen kan have flere formål. Det kan være at den bruges til at identificere hvor anmodningen kommer fra og forbinde den med den server der er tættest på, eller den kan blokere ondsindede bots samt angreb på sitet.
Jeg er hverken ekspert i server infrastruktur eller jurist.
Update
Ifølge GDPR findes der “Legitimate Interest” som gør det muligt at opsamle data uden samtykke ved visse forudsætninger.
Når det er sagt, så har jeg stadig svært ved at se forskellen på web analytics og server/infrastruktur optimering. Bør man ikke også legitimt kunne tracke sine brugere og optimerer applikationen/websitet under samme forudsætning?
- Hvis jeg bruger CDN/serverloggen til at udregne attribution af mine markedsførings-aktiviteter – sandsynligvis ikke legalt
- Hvis jeg bruger CDN/serverloggen til at finde brugere/bots der uhensigtsmæssigt konsumerer ressourcer – sandsynligvis legalt
Scenario 1: tilpasning af marketing spend samt mindske ressource-forbrug på serveren fra kanaler der ikke performer
Scenario 2: mindske ressource-forbrug på serveren fra brugere/bots der er ressourcekrævende