IP-adresser er persondata efter GDPR og andre privatlivslove. De kan udpege enkeltpersoner. Når du anonymiserer en IP-adresse, kan man ikke længere se, hvem den tilhører, og risikoen for privatlivet bliver mindre. Når du redigerer data, fjerner du følsomme oplysninger fra logs og gemte data. Begge dele hjælper dig med at samle færre persondata og stadig have brugbar analytics.
IP-adresser og lovgivning om privatliv
En IP-adresse kan udpege en person. Din internetudbyder ved, hvilken IP-adresse du bruger. Det gør din arbejdsgiver, din skole og alle, der overvåger dit netværk, også. Derfor er IP-adresser persondata efter GDPR, CCPA og lignende love. Samler du IP-adresser ind, samler du persondata og skal behandle dem derefter: få samtykke, begræns brugen, sørg for sikkerhed og følg anmodninger om sletning.
Hvorfor du samler IP-adresser ind
Analyseværktøjer samler IP-adresser for at finde ud af, hvor besøgende er, og for at opdage svindel. Dit værktøj logger IP-adressen, bruger den til at finde landet og kasserer den som regel bagefter. Men IP-adressen er stadig indsamlet og sendt, og det giver en risiko for privatlivet undervejs.
Problemet med samtykke og regler
Samler du IP-adresser ind, skal du have et udtrykkeligt samtykke og skrive det i din privatlivspolitik. Mange virksomheder samler IP-adresser ind uden at vide det. Det sker automatisk i deres analyseværktøj. Hvis du ikke har en opsætning, der følger reglerne, er det et brud.
Måder at anonymisere IP-adresser på
Metode 1: Fjern sidste oktet (IPv4)
IPv4-adresser ser sådan ud: 192.168.1.100. Fjern det sidste tal: 192.168.1.0. Så kan man ikke længere udpege en bestemt enhed. Den adresse, der er tilbage, regnes som anonymiseret i mange regelsæt om privatliv (GDPR tillader det). Placeringen bliver mindre præcis (den peger på en internetudbyder og ikke et bestemt sted), men den virker stadig.
Metode 2: Afkort bits (IPv6)
IPv6-adresser er længere. Afkort de sidste 80 bit (eller tilsvarende). Resultatet er en anonymiseret adresse, som ikke længere kan knyttes til en enkelt person.
Metode 3: Hashing
Lav en hash af hele IP-adressen med et salt. Hashen kan ikke føres tilbage til den oprindelige IP-adresse. Du kan stadig bruge hashen som session-id. Kommer hashen ud, afslører den ikke IP-adressen. Det er en stærk måde at anonymisere på.
Hvornår sker anonymiseringen
Det afgørende er, hvornår anonymiseringen sker. Bedst er det, hvis IP-adressen anonymiseres i browseren, før den sendes. Browseren fjerner det sidste oktet eller laver en hash og sender det derefter til din server. Serveren ser aldrig hele IP-adressen. Det beskytter privatlivet bedst.
Alternativt kan du anonymisere på serveren. IP-adressen sendes til din server, anonymiseres med det samme, og den fulde adresse kasseres. Det er mindre sikkert (den fulde adresse er undervejs og kort i hukommelsen), men det kan fungere, hvis du har styr på kontrollen.
Anonymisering i analyseværktøjer
Anonymisering af IP i Google Analytics
Google Analytics har en indstilling til IP-anonymisering. Når den er slået til, fjerner den sidste oktet af IP-adressen, før den gemmes. Det gør data sværere at knytte til en person, og stedet kan stadig bestemmes på landeniveau. Vi anbefaler, at du slår den til som standard.
Andre værktøjer
De fleste analyseværktøjer kan anonymisere IP-adresser. Se på indstillingerne hos din leverandør. Led efter "anonymiser IP", "hash IP", "fjern IP" eller lignende. Slå det til. Det er en almindelig privatlivsfunktion.
Redigering af data
Når du redigerer data, fjerner du følsomme oplysninger fra logs og gemte data. Kommer en adgangskode, et kreditkortnummer eller andre følsomme data ved et uheld ind i en log, så fjern dem, før de gemmes. Står der persondata i parametrene i en URL, så fjern dem fra URL'en.
Typiske situationer, hvor du skal redigere
Situation 1: En URL indeholder en e-mailadresse i en parameter (?email=user@example.com). Fjern e-mailadressen, før du logger URL'en.
Situation 2: En formular logger ved et uheld feltet med adgangskoden. Fjern adgangskoden fra hændelsen, før du gemmer den.
Situation 3: En brugers fulde navn står i en log. Hvis du ikke skal bruge navne i analytics, så fjern dem.
Metoder til redigering
Automatisk redigering: Brug analyseværktøjer med indbygget redigering. Google Analytics kan automatisk fjerne parametre i URL'er og formularfelter. Sæt det op, så følsomme felter bliver fjernet.
Manuel redigering: Gennemgå logs og fjern følsomme data i hånden. Det tager lang tid, men det virker til enkeltstående hændelser.
Egen redigering: Byg redigeringen ind i din logning af hændelser. Fjern alle følsomme felter, før du sender en hændelse. Lav en liste over det, du vil beholde, og fjern resten.
Find balancen mellem anonymisering og brugbarhed
Anonymisering og redigering gør data mindre brugbare. Når du fjerner det sidste oktet af IP-adressen, kan du ikke følge enkelte brugere via IP. Det er en afvejning: mere privatliv og mindre detaljeret sporing. Accepter den afvejning. Det meste analytics har ikke brug for detaljer på niveau med den enkelte IP-adresse. Samlet placering (land, region) er nok.
Hvad anonymisering gør for privatlivet
Anonymisering mindsker risikoen for privatlivet markant. Hvis anonymiserede data kommer ud, kan man ikke bruge dem til at udpege personer. Det mindsker også dine forpligtelser efter GDPR: anonymiserede data er ikke persondata, så anmodninger om sletning og indsigt gælder ikke. Anonymisering giver reelle fordele for privatlivet.
Skal jeg anonymisere IP-adresser eller helt holde op med at samle dem?
Har du brug for placering (på landeniveau), så anonymiser. Bruger du slet ikke placering, så lad være med at samle IP-adresser. Det er enklere og giver mindre risiko. Anonymisering er en mellemvej, og at undlade at samle er stærkere. Se først på, hvad du faktisk bruger dem til.
Hvor meget præcision mister jeg ved at fjerne sidste oktet i forhold til at lave en hash af hele IP-adressen?
Fjerner du sidste oktet, kan du stadig finde land og region (80-85 % præcision). Med hashing kan du stadig finde land, men ikke internetudbyder eller by (70 % præcision). Til analytics efter placering er sidste oktet nok. Til svindelopdagelse, der kræver detaljer på udbyderniveau, duer ingen af dem.
Skal jeg anonymisere i browseren eller på serveren, og hvor besværligt er det?
I browseren: mest privat, men kræver ændringer i JavaScript (2-4 timers udvikling). På serveren: enklere (1-2 timer), men den fulde IP-adresse er kort i hukommelsen. På de fleste sider er det i orden at gøre det på serveren. Brug kun browseren, hvis du håndterer meget følsomme data.
Skal jeg anonymisere historiske IP-data, som allerede er gemt?
Ja, hvis du vil følge GDPR. Du har gemt persondata og skal rette op. Har du gemt IP-adresser i årevis, er det et brud på reglerne, som du skal ordne. Anonymiser eller slet de gamle data samlet. Tag højde for det, når du indfører anonymisering.
Hvilken metode til redigering fanger flest følsomme data, automatisk eller med egen kode?
Automatisk redigering i GA fanger de almindelige felter (parametre i URL'er og formularfelter, du sætter op). Egen kode er grundigere (den fanger de data, du selv kalder følsomme). En blanding er bedst: brug automatisk redigering til de almindelige felter og tilføj egen redigering til særtilfælde (API-nøgler, tokens og egne felter).
Hvordan tester jeg, at anonymisering og redigering virker?
Send testhændelser med IP-adresser og følsomme data. Tjek, at den anonymiserede IP-adresse vises i analytics (ikke den fulde). Tjek, at de redigerede felter ikke står i logs. Brug browserens udviklerværktøjer og logs til at se efter. Test både det normale forløb (gyldige data) og særtilfælde (ugyldige IP-adresser og specialtegn).