Блокировочная страница NEPLP: память на год

Латвийская блокировочная страница nelegalssaturs.lv оказалась не просто безобидной табличкой «сюда нельзя». В ответ на заявление Дэги Караева NEPLP официально признала: каждый визит оставляет вполне содержательный цифровой след.

В серверных журналах сохраняются:
— полный публичный IP-адрес посетителя;
— точные дата и время обращения;
— запрошенный URL;
— сведения о браузере и устройстве — User-Agent;
— Referer, если он передаётся;
— потенциально домен заблокированного ресурса, который пытался открыть пользователь.

Затем AWStats объединяет обращения по IP-адресу и User-Agent и считает так называемых уникальных посетителей. Именно поэтому NEPLP может публично рассуждать уже не только о количестве обращений, но и о количестве «людей».

Исходные журналы хранятся один год. По IP-адресу могут определяться интернет-провайдер и примерное местоположение. А при поступлении законного запроса сведения готовы передать правоохранительным или другим государственным учреждениям. NEPLP при этом утверждает, что не идентифицирует физических лиц.

Это удобная словесная ширма, но не юридическая реальность. IP-адрес может быть персональными данными, особенно когда государство имеет законную возможность через провайдера установить абонента. Более того, NEPLP признала: если предоставить IP-адрес и время, соответствующую запись можно найти и выдать. Значит, данные не обезличены — они лишь пока не подписаны фамилией.

Особенно пикантно, что непосредственно на странице посетителю ничего об этой обработке не сообщалось. Ни перечня собираемых данных, ни целей, ни правового основания, ни годичного срока хранения. Сначала человека принудительно перенаправляют на государственный сайт, затем молча записывают его полный IP и параметры устройства — и только после отдельного юридического запроса выясняется, что эта запись будет лежать год.

Это как минимум ставит вопрос о соблюдении принципов прозрачности, минимизации данных и ограничения срока хранения, закреплённых GDPR. Общей ссылки на «кибербезопасность» недостаточно, чтобы объяснить, зачем для статистического подсчёта необходимы полные IP-адреса и почему их требуется хранить именно двенадцать месяцев.

После запроса NEPLP пообещала разместить на странице уведомление или ссылку на информацию об обработке данных. Косвенно это подтверждает очевидное: прежняя практика информирования посетителей была как минимум недостаточной.

Редакция digital times надеется, что надзорные органы получат эту информацию и заинтересуются нарушениями в ещё недавно возглавляемой Иваром Аболыньшем NEPLP.

#gov @digitaltimeslv