En IP-adress i en loggrad
Serverns åtkomstloggar utgör grundlagret i internets infrastruktur och registrerar varje enskild filbegäran som en webbserver hanterar. Varje rad i dessa textfiler innehåller alltid IP-adressen för den enhet som gjorde förfrågan.
Trots att adresserna bara består av en följd av siffror eller tecken utan några namn eller e-postadresser kopplade till sig, klassar moderna integritetsregelverk dem genomgående som personuppgifter. Att förstå varför en till synes anonym sifferföljd väger så tungt juridiskt är avgörande för alla som finns på webben.
Varför en siffra räknas som en person
Klassningen bygger på den teoretiska möjligheten till identifiering. Den som driver webbplatsen kan inte själv koppla en IP-adress till en viss människa, men internetleverantören som tilldelade adressen har de exakta faktureringsuppgifterna.
Under särskilda rättsliga omständigheter, till exempel vid en brottsutredning, kan dessa två datamängder kombineras för att avslöja personen bakom skärmen. Eftersom denna möjlighet till identifiering finns behandlar lagen IP-adressen som en personuppgift från det ögonblick den hamnar i serverloggen, vilket kräver varsam hantering och strikta begränsningar av hur länge den sparas.
Samma resonemang är det som gör en förkortad adress till något annat i juridisk mening. Om det sista segmentet tas bort återstår ett adressintervall snarare än en anslutning, och ett intervall kan inte spåras tillbaka till en abonnent ens med leverantörens hjälp.
Vad loggen behövs till
En åtkomstlogg är tekniskt oumbärlig för att skydda serverdriften. Systemadministratörer förlitar sig på dessa uppgifter för att upptäcka brute force-attacker, identifiera skadliga trafiktoppar och felsöka kritiska routningsfel.
Utan möjlighet att se vilka nätverksadresser som översvämmar servern med förfrågningar blir det omöjligt att försvara sig mot överbelastningsattacker. Detta driftsbehov utgör ett berättigat intresse av att behandla IP-adresserna och ger den rättsliga grunden för loggningen.
Hur länge den får sparas
Det berättigade intresset tillåter dock inte obegränsad lagring. När det omedelbara behovet av säkerhetsanalys och felsökning har passerat upphör den rättsliga grunden för att spara personuppgifterna.
Serverloggar som innehåller fullständiga IP-adresser måste därför omfattas av strikta lagringstider, vanligtvis från några dagar upp till högst några veckor.
Efter denna fastställda period måste loggarna raderas automatiskt eller anonymiseras permanent genom att de identifierande delarna av adressen tas bort. Denna avvägning säkerställer en robust teknisk säkerhet och respekterar samtidigt de integritetsgränser som dataskyddsreglerna drar upp.
Den praktiska konsekvensen för en liten webbplats är kort. Loggen är inte valfri, lagringstiden är det, och inställningen som styr den är oftast en enda rad i serverkonfigurationen som ingen någonsin har tittat på.