I denne gjesteskribentartikkelen belyser Personvernkommisjonens medlem Gisle Hannemyr nærmere spørsmålet om lagring av IP-adresser kan føre til at innholdsdata vil bli lagret, hvis EUs datalagringsdirektiv blir innført.
Av Gisle Hannemyr, Personvernkommisjonen.
I samband med Stortingets høring om datalagringsdirektivet stilte jeg spørsmål om lagring av destinasjonens IP-adresse er forenlig med prinsippet (nedfelt i direktivet) om at innholdsdata ikke skal lagres. Årsaken er at en IP-adresse kan betraktes som et alias for DNS-delen av et nettsteds URL. Kjenner man IP-adressen kan man altså rimelig enkelt, ved hjelp av et såkalt reversoppslag, finne DNS-adressen, og dermed identifisere nettstedet. VG har for eksempel IP-adresse «193.69.165.21». Har man en logg som viser at Josef K. har besøkt 193.69.165.21, vet man også at Josef K. har besøkt www.vg.no. På den måten kan man, ved å lagre IP-adressene på nettstedene Josef K. besøker, «fotfølge» Josef K. fra nettsted til nettsted.
Signaturen Motblogg er uenig i dette, og skriver: «Nei, det kan man ikke. Det blir som å ringe en telefonkiosk og tro at samme person svarer hver gang.»
Den antagelsen Motblogg legger til grunn, er at IP-adresser er flyktige saker. Det stemmer for en del privatpersoner, men ikke hva angår nettsteders IP-adresser. Et nettsted har som regel samme IP-adresse fra det opprettes til det legges ned. Jeg synes derfor sammenligningen med en telefonkiosk ikke er særlig treffende.
Motblogg skriver videre: «Derimot la oss nå si at www.vg.no bytter til 193.93.253.2 og du da setter inn den gamle adressen så vil du få opp feil side.»
Svaret er: Det kan www.vg.no ikke. IP-adressen 193.93.253.2 eies av Nordic Hosting AS i Kristiansand, slik at selv om VG hadde lyst på ny IP-adresse (hvorfor skulle de det – den ene IP-adressen er nøyaktig like god som en annen), så kan de ikke bare bytte til en ny. Dette gjelder selvsagt ikke bare 193.93.253.2, men også alle andre IP-adresser. De eies av noen. Skal man bruke dem, må man først erverve rettighetene til å bruke dem. Det er ikke bare å «bytte» IP-adresse for et nettsted, slik Motblogg later til å tro.
Brudd av assosiasjonen mellom en IP-adresse og et nettsted er i praksis noe som kun skjer når et domene bytter eier (dersom vi ser bort fra skifter som skjer innen samme nettblokk – noe som ikke vil vanskeliggjøre identifisering av nettstedet, og som derfor er irrelevant i forhold til denne diskusjonen). Eierskifter er imidlertid verken hyppige eller vanlige, og når de skjer, registreres det. Loggen over hvilke IP-adresser Josef K. har besøkt, vil også fortelle når besøket fant sted. Det vil altså være mulig (med litt arbeide) å finne ut hvilke nettsted som benyttet IP-adressen når besøket fant sted, selv om domenet er solgt i mellomtiden.
For ordens skyld vil jeg legge til at dersom man velger en minimumsimplementasjon av direktivet, så skal ikke destinasjonens IP-adresse lagres (kun brukerens egen IP-adresse). De land som hittil har implementert direktivet har imidlertid gått lenger enn minimumskravet, og lovfestet at også destinasjonens IP-adresse skal lagres.
—
Lenker i artikkelen over er lagt til av Liberaleren.
