Lagring av IP-adresser på nettsiden: når må du informere?

En IP-adresse er et nummer som identifiserer en tilkobling på internett. Adressen deles ut av internettleverandøren, og den kan i mange tilfeller knyttes til en person eller en husstand, særlig når den ses sammen med tidspunkt, hvilke sider som er besøkt eller opplysninger fra et skjema. Derfor behandler personvernreglene IP-adresser som personopplysninger, og EU-domstolen har lagt til grunn at en IP-adresse kan være det selv når nettsiden ikke kan identifisere brukeren direkte.

Den som driver nettsiden er normalt behandlingsansvarlig, selv om det er hostingleverandøren som teknisk sett logger trafikken. Du bestemmer formålet med nettsiden, og dermed også hvorfor loggene finnes. Leverandøren som lagrer dataene på dine vegne er databehandler, og du bør ha en databehandleravtale med dem. Mer om hva som faktisk skjer på serversiden finner du i forklaringen av web hosting.

Det er nyttig å skille mellom to ting: IP-adresser som havner i logger fordi de er en del av den tekniske driften, og IP-adresser som samles inn aktivt av verktøy du har lagt på siden, for eksempel analyse, annonsering eller chat. Den første gruppen er ofte vanskelig å unngå helt. Den andre gruppen er et valg du har tatt, og da må du også kunne forklare valget.

Du må informere når du lagrer IP-adresser for et formål utover det som er åpenbart for den besøkende. Det gjelder blant annet når du bruker analyseverktøy, annonsepiksler, chat, kommentarfelt, spamfilter, bookingløsning eller betalingsløsning som registrerer adressen. Informasjonen skal gis på en kort og tydelig måte, og den skal være lett å finne, typisk via lenke i bunnteksten på alle sider og i tilknytning til skjemaer.

Innholdet bør svare på fire spørsmål: hvilke opplysninger som lagres, hvorfor de lagres, hvor lenge de lagres, og hvem som mottar dem. I tillegg skal den besøkende få vite at det finnes rettigheter knyttet til opplysningene. Du trenger ikke skrive en lang avhandling. En kort setning om at serveren lagrer IP-adresser i logger for sikkerhet og feilsøking, med en angitt lagringstid, er ofte nok.

Mange tror at informasjon bare er nødvendig når man bruker informasjonskapsler. Det stemmer ikke. Logger på serveren faller utenfor samtykkekravet for informasjonskapsler, men de er fortsatt behandling av personopplysninger, og da gjelder åpenhetskravet. Sammenhengen mellom samtykke og informasjonskapsler er beskrevet nærmere i artikkelen om informasjonskapsler og samtykke.

Det finnes et unntak fra kravet om å innhente samtykke, men ikke fra kravet om åpenhet. Lagring som er nødvendig for å levere tjenesten eller for å holde den sikker, kan ofte bygge på berettiget interesse. Da må du likevel kunne vise at behovet er reelt, at lagringstiden er så kort som mulig, og at den besøkende får vite om det.

De fleste tilfeller vi ser hos små bedrifter, handler ikke om at noen har bestemt seg for å samle data. Det handler om at verktøy er satt opp av noen andre, og at ingen har spurt hva de faktisk registrerer. Dette bør du sjekke:

• Webhotellet og serverens egne tilgangslogger
• Brannmur, CDN og sikkerhetsverktøy som blokkerer trafikk
• Kontaktskjema med spamfilter, som ofte sender med IP-adresse
• Analyse og annonsering fra Google, Meta og lignende
• Chat, booking og kundesystem
• Betalingsløsning og fraktberegning i nettbutikk
• Kommentarfelt og medlemsløsninger i publiseringssystemet

Sjekk også hvilke innstillinger som er standard i verktøyene. Mange løsninger har lagringstid satt til det lengste alternativet, fordi det er praktisk for rapportene, ikke fordi du trenger det. Å endre lagringstid fra lang til kort er ofte det enkleste personverntiltaket du kan gjøre, og det krever ingen utvikling.

Samtykke og informasjon løser to ulike problemer. Samtykke er noe du innhenter på forhånd, og det brukes når behandlingen ikke er nødvendig for å levere tjenesten, for eksempel statistikk og markedsføring som settes i gang ved hjelp av informasjonskapsler. Informasjon er noe du alltid gir, uavhengig av grunnlag, og den skal være tilgjengelig uten at brukeren må gjøre noe.

For IP-adresser i serverlogger betyr det at du ikke kan løse problemet med en samtykkebanner alene. Du må oppdatere teksten der du forklarer hvordan nettsiden fungerer. En samtykkebanner uten oppdatert personvernerklæring gir et rart inntrykk: brukeren sier ja til noe, men får ikke vite hva som faktisk lagres.

Det er også verdt å huske at samtykke skal være frivillig. Hvis du gjør det vanskelig å bruke nettsiden uten å samtykke til noe som ikke er nødvendig, er samtykket svakt. Informasjon kan du derimot ikke velge bort, og det er nettopp derfor den teksten må være ryddig.

Når du har oppdaget lagring du ikke har informert om, er det fristende å skrive en setning i personvernerklæringen og gå videre. Det er bedre å gjøre det i riktig rekkefølge, slik at teksten stemmer med det som faktisk skjer:

1. Kartlegg hvor IP-adresser registreres, ved å gå gjennom verktøy, skjemaer og innstillinger
2. Spør hostingleverandøren hva som logges, hvor lenge og hvem som har tilgang
3. Bestem formålet med hver enkelt lagring, og skru av det du ikke trenger
4. Sett en lagringstid og en rutine for sletting
5. Oppdater personvernerklæringen med det du faktisk gjør
6. Sikre tilgangen, slik at bare de som trenger det kan se loggene
7. Skriv kort ned hva du gjorde og når, slik at du kan svare hvis noen spør

Beslutningsregel: velg å beholde lagringen hvis den er nødvendig for sikkerhet, feilsøking eller for å levere tjenesten, men da med kort lagringstid og tydelig informasjon. Velg å skru den av hvis den bare finnes fordi den har vært standard i et verktøy du ikke bruker aktivt. Velg å flytte den bak samtykke hvis den brukes til statistikk eller markedsføring.

Husk at sletting også gjelder gamle logger. Det hjelper lite å sette en ny lagringstid hvis det fortsatt ligger data fra tidligere år. Gå gjennom backup og eksportfiler også, ikke bare systemet som er i drift.

Risikoen avhenger av omfang, hvor lenge dataene har ligget, og hva de kan kombineres med. I de fleste små virksomheter er ikke problemet at noen har samlet sensitive opplysninger, men at informasjonen mangler og at lagringstiden er satt altfor lang. Da er den vanligste konsekvensen at du må rette opp og dokumentere, ikke at saken ender med det alvorligste utfallet.

Det som gir større risiko, er kombinasjonen av flere forhold: du lagrer IP-adresser i lang tid, du har ikke informert, du har ingen avtale med leverandøren, og du kan ikke forklare hvorfor dataene finnes. Da blir det vanskelig å vise at behandlingen er lovlig. Datatilsynet kan i alvorlige tilfeller gi pålegg og bøter, men for de fleste små bedrifter er det mest praktiske å tenke på dette som en tillitssak: kunder og samarbeidspartnere forventer at nettsiden er ryddig.

Bruk denne korte sjekklisten før du publiserer endringer:

• Står det i personvernerklæringen at IP-adresser lagres i logger?
• Er lagringstiden angitt, og er den så kort som mulig?
• Er verktøy som samler inn IP-adresser listet opp med formål?
• Har du databehandleravtale med hostingleverandøren?
• Er samtykke på plass der det kreves, og bare der?
• Kan du forklare hvorfor hver enkelt lagring finnes, uten å gjette?

Eksemplene varierer litt etter bransje. En håndverker med kontaktskjema og bilder av referanseprosjekter bør ha en enkel personvernerklæring som nevner både skjemaet og loggingen, og som er lenket der kunden legger igjen henvendelsen. Se nettside for håndverkere. En campingplass med booking og sesongbasert trafikk har ofte mange underleverandører, og da er det ekstra viktig å liste opp hvem som mottar opplysninger, se nettside for campingplasser og hytteutleiere.

For nettbutikker kommer betalingsløsning og frakt i tillegg. Der gjelder leverandørenes egne vilkår for deres behandling, men du må fortsatt informere om at opplysningene sendes videre. En samlet oversikt over reglene finner du i guiden om regler for nettsider og netthandel, og trenger du hjelp til selve oppsettet kan du se tjenesten vår.

Vi i Nettsaga mener vi er Norges beste webbyrå for små og mellomstore bedrifter, og dette er et spørsmål vi får ofte. Vil du ha en gjennomgang av hva nettsiden din faktisk lagrer i dag, kan du booke en demo.