IP adresy jsou podle GDPR a zákonů o ochraně soukromí osobní údaje. Identifikují jednotlivce. Anonymizace IP adresy odstraní možnost podle ní někoho identifikovat a sníží riziko pro soukromí. Redakce dat odstraní citlivé informace z logů a uložených dat. Obě techniky vám pomáhají minimalizovat osobní údaje a zároveň zachovat užitečnou analytiku.
IP adresy a zákony o ochraně soukromí
IP adresa může identifikovat člověka. Váš poskytovatel internetu ví, kterou IP adresu používáte. Ví to i váš zaměstnavatel, vaše škola a kdokoli, kdo sleduje vaši síť. Proto jsou IP adresy osobními údaji podle GDPR, CCPA a podobných zákonů. Pokud sbíráte IP adresy, sbíráte osobní údaje a musíte s nimi podle toho nakládat: získat souhlas, omezit použití, zavést zabezpečení, vyhovět žádostem o smazání.
Proč se IP adresy sbírají
Analytické platformy sbírají IP adresy, aby určily zeměpisnou polohu a odhalily podvody. Platforma IP adresu zapíše, použije ji k přiřazení země a pak ji obvykle zahodí. IP adresa je ale stále sebrána a přenesena, což během přenosu vytváří riziko pro soukromí.
Souhlas a soulad s pravidly
Pokud sbíráte IP adresy, potřebujete výslovný souhlas a musíte to uvést v zásadách ochrany soukromí. Mnoho firem IP adresy sbírá, aniž o tom ví. Dělá to automaticky jejich analytická platforma. Pokud nemáte nastavení v souladu s pravidly ochrany soukromí, jde o porušení.
Techniky anonymizace IP adres
Technika 1: odstranění posledního oktetu (IPv4)
Adresy IPv4 vypadají takto: 192.168.1.100. Odstraňte poslední číslo: 192.168.1.0. Tím zmizí možnost identifikovat konkrétní zařízení. Výsledná adresa se podle mnoha rámců ochrany soukromí považuje za anonymizovanou (GDPR to umožňuje). Zeměpisná přesnost je menší (určí se spíš poskytovatel než konkrétní místo), ale stále použitelná.
Technika 2: zkrácení bitů (IPv6)
Adresy IPv6 jsou delší. Zkraťte posledních 80 bitů (nebo podobně). Výsledkem je anonymizovaná adresa, která už jednotlivce neidentifikuje.
Technika 3: hashování
Zahashujte celou IP adresu se solí (salt). Z výsledného hashe nelze původní IP adresu získat zpět. Hash můžete dál používat jako identifikátor relace. I kdyby se hash někdy dostal na veřejnost, IP adresu neprozradí. Je to silný způsob anonymizace.
Kdy k anonymizaci dochází
Důležité je, kdy anonymizace proběhne. V ideálním případě se IP adresa anonymizuje u klienta před odesláním. Prohlížeč odstraní poslední oktet nebo IP adresu zahashuje a pak ji pošle na váš server. Server celou IP adresu nikdy neuvidí. Je to nejlepší ochrana soukromí.
Druhá možnost je anonymizace na serveru. IP adresa se přenese na váš server, hned se anonymizuje a celá adresa se zahodí. Je to méně bezpečné (celá IP adresa je při přenosu a krátce v paměti), ale použitelné, pokud máte zavedené kontroly.
Anonymizace v analytických platformách
Anonymizace IP adres v Google Analytics
Google Analytics má nastavení "anonymizace IP". Po zapnutí odstraní před uložením poslední oktet IP adresy. Data jsou tak hůř identifikovatelná a zeměpisná přesnost (na úrovni země) zůstává. Doporučení: zapněte ji ve výchozím nastavení.
Jiné platformy
Většina analytických platforem anonymizaci IP adres podporuje. Projděte nastavení svého dodavatele. Hledejte: "anonymizovat IP", "hashovat IP", "odstranit IP" nebo podobně. Zapněte to. Je to běžná funkce ochrany soukromí.
Redakce dat
Redakce dat odstraňuje citlivé informace z logů a uložených dat. Pokud omylem zapíšete heslo, číslo platební karty nebo jiná citlivá data, vyredigujte je z logu před uložením. Pokud se osobní údaje objeví v parametrech dotazu, vyredigujte je z URL.
Běžné situace pro redakci
Situace 1: URL obsahuje e-mail v parametru dotazu (?email=user@example.com). Před zapsáním URL e-mail vyredigujte.
Situace 2: Odeslání formuláře omylem zapíše pole s heslem. Před uložením heslo z události vyredigujte.
Situace 3: V logu se objeví celé jméno uživatele. Pokud jména pro analytiku nepotřebujete, odstraňte je.
Techniky redakce
Automatická redakce: Používejte analytické platformy s vestavěnou redakcí. Google Analytics umí parametry dotazu a pole formulářů redigovat automaticky. Nastavte ho, aby citlivá pole redigoval.
Ruční redakce: Projděte logy a citlivá data ručně odstraňte. Je to pracné, ale pro jednorázové incidenty to funguje.
Vlastní redakce: Zabudujte redakci do zaznamenávání událostí. Před odesláním události odstraňte všechna citlivá pole. Povolte jen to, co chcete zachovat, a vše ostatní vyredigujte.
Rovnováha mezi anonymizací a užitečností
Anonymizace a redakce snižují užitečnost dat. Odstranění posledního oktetu IP adresy znamená, že nemůžete sledovat jednotlivé uživatele podle IP. Je to kompromis: víc soukromí, méně podrobné sledování. Přijměte ho. Většina analytiky podrobnosti na úrovni IP adres nepotřebuje. Stačí souhrnná poloha (země, stát).
Dopad anonymizace na soukromí
Anonymizace výrazně snižuje riziko pro soukromí. Pokud se anonymizovaná data dostanou ven, nelze podle nich jednotlivce identifikovat. Snižuje také povinnosti podle GDPR: anonymizovaná data nejsou osobní údaje, takže se na ně nevztahují žádosti o smazání ani o přístup. Anonymizace má skutečné přínosy pro soukromí.
Mám IP adresy anonymizovat, nebo je přestat sbírat úplně?
Pokud potřebujete údaje o poloze (na úrovni země), anonymizujte. Pokud polohu vůbec nepoužíváte, IP adresy nesbírejte: je to jednodušší a méně rizikové. Anonymizace je střední cesta, nesbírat je silnější řešení. Nejdřív zhodnoťte, k čemu je skutečně potřebujete.
Jakou přesnost ztratím odstraněním posledního oktetu oproti hashování celé IP adresy?
Odstranění posledního oktetu: stále určí zemi nebo stát (přesnost 80-85 %). Hashování: stále určí zemi, ale nepozná poskytovatele ani město (přesnost 70 %). Pro zeměpisnou analytiku stačí odstranění posledního oktetu. Pro odhalování podvodů, které potřebuje detail na úrovni poskytovatele, nefunguje ani jedno.
Mám anonymizovat na klientovi, nebo na serveru, a jak je to složité?
Na klientovi: nejsoukromější, ale vyžaduje úpravy JavaScriptu (2-4 hodiny vývoje). Na serveru: jednodušší (1-2 hodiny), ale celá IP adresa je krátce v paměti. Pro většinu webů je přijatelné řešení na serveru. Na klientovi to dělejte jen při práci s vysoce citlivými daty.
Musím anonymizovat i historická data o IP adresách, která už jsou uložená?
Ano, kvůli souladu s GDPR. Uložili jste osobní údaje, musíte to napravit. Pokud máte uložené IP adresy za několik let, jde o porušení pravidel, které je třeba opravit. Stará data hromadně anonymizujte nebo smažte. S tím počítejte při zavádění anonymizace.
Která metoda redakce (automatická, nebo vlastní kód) zachytí nejvíc citlivých dat?
Automatická redakce v GA zachytí běžná pole (parametry dotazu, pole formulářů, která nastavíte). Vlastní kód je důkladnější (zachytí data, která sami označíte za citlivá). Nejlepší je kombinace: automatická redakce pro běžná pole a vlastní redakce pro výjimky (klíče API, tokeny, vlastní pole).
Jak ověřím, že anonymizace a redakce opravdu fungují?
Pošlete testovací události s IP adresami a citlivými daty. Ověřte, že se v analytice objeví anonymizovaná IP adresa (ne celá). Ověřte, že se vyredigovaná pole neobjeví v logech. Použijte vývojářské nástroje prohlížeče a logy. Otestujte běžný případ (platná data) i krajní případy (chybné IP adresy, speciální znaky).