Informacja o zapisie adresu IP

Question

Czy trzeba informować użytkownika na swojej stronie że jego adres ip jest zapisywany w bazie danych?

 

W przypadku gdy jest to osoba atakująca i nie wyrazi zgody, a ip jest częscią identyfikacyjną komputera który możemy wykluczyć przy ataku, to wtedy w zasadzie może atakować bo nie możemy zakazać jej po adresie IP, którego podania odmówiła stronie.

 

Zatem czy można po prostu zapisywać IP odwiedzających/ przebywających na stronie? ew. logujących się czy trzeba o tym wspomnieć w regulamine albo coś?

Answer 1

1. Przetwarzanie danych osobowych

    Zgodnie z nowymi przepisami (RODO), dane osobowe to takie dane, które pozwalają zidentyfikować osobę fizyczną. Mogą to być informacje takie jak: imię, nazwisko, numer PESEL, płeć, adres domowy, adres e-mail, nr telefonu, ale też mniej oczywiste, jak numer IP komputera, dane o lokalizacji, kod genetyczny, identyfikator internetowy, poglądy polityczne lub historia zakupów. Wszelkie informacje zbierane na temat osoby, które pozwalają na ustalenie jej tożsamości (tj. jeden bądź kilka szczegółów określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową badź społeczną tożsamość osoby fizycznej, jak np. przychód czy dane bankowe, dokumentacja zdrowotna), są danymi osobowymi, niezależnie od tego, czy są przetwarzane w formie papierowej, czy cyfrowej.

Przetwarzanie danych osobowych oznacza wszelkie operacje wykonywane na danych osobowych, takie jak: zbieranie danych, przechowywanie danych, usuwanie danych, opracowywanie danych, udostępnianie danych. A dokładniej: przetwarzanie oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych, w sposób zautomatyzowany lub niezautomatyzowany np.: zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.

A więc zbieranie danych osobowych to również przetwarzanie.

RODO jest neutralne technologicznie, co oznacza, że dane osobowe są objęte ochroną bez względu na to, w jaki sposób są używane lub przechowywane – czy wykorzystujemy najnowszy system informatyczny, czy papierowe dokumenty w segregatorach - w każdym z tych przypadków przetwarzanie danych podlega wymogom RODO.

 

2. Kiedy można przetwarzać dane osobowe?

Dane osobowe można przetwarzać wyłącznie wówczas, gdy istnieje tzw. podstawa prawna przetwarzania danych. Podstawami przetwarzania danych zwykłych są:

• zgoda osoby, której dane dotyczą (tj. osoby fizycznej, możliwej do zidentyfikowania na podstawie określonych danych osobowych; zgoda na np. wysyłkę newslettera);
• ochrona żywotnych interesów osoby, której dane dotyczą (np. dla monitorowania epidemii);
• relizacja zadania w interesie tej osoby (np. dla zapobiegania skutkom klęski żywiołowej);
• przetwarzanie danych jest niezbędne do wykonania umowy z osobą, której dane dotyczą bądź do podjęcia działań poprzedzających zawarcie umowy, na żądanie tej osoby (np. ocena zdolności kredytowej);
• przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, tj. obowiązku wynikającego z przepisów prawa (np. przy rekrutacji do pracy);
• przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią (np. monitoring wizyjny).

Przetwarzanie jest dozwolone wyłącznie, jeżeli spełniony jest co najmniej jeden z powyższych warunków i wyłącznie w zakresie wynikającym z tego warunku.

W przypadku szczególnych kategorii danych, typowe podstawy przetwarzania danych to:

• wyraźna zgoda osoby, której dane dotyczą,
• przetwarzanie danych jest niezbędne do wykonania zadań związanych z zatrudnieniem czy ubezpieczeniem społecznym pracowników,
• przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej bądź medycyny pracy, do oceny zdolności pracownikado pracy,
• przetwarzanie danych jest niezbędne w celu dochodzenia praw przed sądem.

 

[ŹRÓDŁO - http://e-prawnik.pl/artykuly/prawo-cywilne-1/kiedy-mozna-przetwarzac-dane-osobowe.html] 

Comments

"identyfikator internetowy, poglądy polityczne" zatem sessid od php jest także daną osobową a jest tworzony zawsze po wejściu niezależnie od zgody, czy zatem sam PHP łamie RODO?

 

Czy jednak ten podpunkt

 

• przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią (np. monitoring wizyjny).

 

zwalnia z zgody i pozwala dane przetwarzać na rzecz poprawnego i bezpiecznego działania aplikacji?

---

"identyfikator internetowy, poglądy polityczne" zatem sessid od php jest także daną osobową a jest tworzony zawsze po wejściu niezależnie od zgody, czy zatem sam PHP łamie RODO?

Niektóre pliki cookie pod określonymi warunkami można umieszczać na terminalu użytkownika bez konieczności uzyskania od niego świadomej zgody - wynika z opublikowanej na stronie GIODO opinii unijnych ekspertów zajmujących się ochroną danych osobowych.

Pliki cookie obejmują np. tzw. „user-input cookies” (wykorzystywane do śledzenia treści danych wprowadzanych przez użytkownika przy wypełnianiu formularzy online lub w przypadku kompletowania zamówienia w sklepie internetowym [wypełniania koszyka zakupami]), znane także jako „session-id cookies”; „multimedia player session cookies” oraz „user interface customization cookies” (np. „language preference cookies” w celu zapamiętania języka wybranego przez użytkownika). 
Z opinii wynika, że jest mało prawdopodobne, aby pliki cookie administratora danej strony zawierające dane dla celów statystycznych i analitycznych (tzw. „first party analytics cookies”) stwarzały zagrożenie dla prywatności, gdy są ściśle ograniczone do skumulowanych celów statystycznych administratora, oraz gdy są wykorzystywane przez strony internetowe, które już zapewniają jasne informacje na temat tych plików cookie w swojej polityce prywatności oraz odpowiednie zabezpieczenia prywatności. Oczekuje się, że takie zabezpieczenia obejmować będą przyjazny dla użytkownika mechanizm rezygnacji z gromadzenia danych („opt-out”) oraz kompleksowe mechanizmy anonimizacji, które są stosowane w odniesieniu do innych gromadzonych informacji identyfikujących, takich jak adresy IP. 

 

Co do przechowywania IP niejawnie - poczytaj sobie GIODO :)

Mimo wszystko lepiej chyba poinformować na darmo, aniżeli mieć problemy wynikające ze złamania ustawy o ochronie danych osobowych, prawda?