Os endereços IP são dados pessoais ao abrigo do RGPD e das leis de privacidade. Identificam pessoas. A anonimização de IP retira a possibilidade de identificar alguém a partir de um endereço IP, reduzindo o risco para a privacidade. A remoção de dados tira informação sensível dos registos e dos dados guardados. As duas técnicas ajudam-te a reduzir ao mínimo os dados pessoais sem perder a utilidade da análise.
Endereços IP e lei da privacidade
Um endereço IP pode identificar uma pessoa. O teu fornecedor de internet sabe que endereço IP usas. O teu empregador, a tua escola e quem monitoriza a tua rede também sabem. Por isso, os endereços IP são dados pessoais ao abrigo do RGPD, do CCPA e de leis semelhantes. Se recolhes endereços IP, recolhes dados pessoais e tens de os tratar como tal: obter consentimento, limitar o uso, aplicar segurança, cumprir os pedidos de eliminação.
Porque é que recolhes endereços IP
As plataformas de análise recolhem endereços IP para determinar a localização geográfica e detetar fraude. A tua plataforma de análise regista o IP, usa-o para o associar a um país e, em regra, descarta-o. Mas o IP continua a ser recolhido e transmitido, o que cria risco para a privacidade durante a transmissão.
A questão do consentimento e da conformidade
Se recolhes endereços IP, precisas de consentimento explícito e tens de o indicar na tua política de privacidade. Muitas empresas recolhem IPs sem se aperceberem. A tua plataforma de análise fá-lo automaticamente. Sem uma configuração em conformidade com a privacidade, isto é uma infração.
Técnicas de anonimização de IP
Técnica 1: remover o último octeto (IPv4)
Os endereços IPv4 têm este aspeto: 192.168.1.100. Remove o último número: 192.168.1.0. Isto retira a possibilidade de identificar um dispositivo específico. O endereço resultante é considerado anonimizado em muitos quadros de privacidade (o RGPD permite-o). A precisão geográfica é menor (aponta para um fornecedor de internet e não para um local concreto), mas continua a funcionar.
Técnica 2: truncar bits (IPv6)
Os endereços IPv6 são mais longos. Trunca os últimos 80 bits (ou algo semelhante). O resultado é um endereço anonimizado que já não identifica ninguém individualmente.
Técnica 3: hash
Aplica um hash ao endereço IP completo, com um salt. O hash resultante não pode ser revertido para obter o IP original. Podes continuar a usar o hash como identificador de sessão. Se o hash alguma vez for exposto, não revela o IP. É uma abordagem de anonimização forte.
Quando acontece a anonimização
O ponto-chave é o momento em que a anonimização acontece. O ideal: o IP é anonimizado no cliente antes da transmissão. O navegador remove o último octeto ou aplica o hash ao IP e só depois o envia para o teu servidor. O servidor nunca vê o IP completo. É a opção que mais protege a privacidade.
Em alternativa: anonimização no servidor. O IP é transmitido ao teu servidor, anonimizado de imediato e o IP completo é descartado. É menos seguro (o IP completo está em trânsito e brevemente em memória), mas é viável se tiveres controlos instalados.
Anonimização nas plataformas de análise
Anonimização de IP no Google Analytics
O Google Analytics tem uma definição de “anonimização de IP”. Quando está ativa, remove o último octeto do endereço IP antes de o guardar. Isto torna os dados menos identificáveis e mantém a precisão geográfica (ao nível do país). Recomendado: ativa-a por defeito.
Outras plataformas
A maioria das plataformas de análise suporta a anonimização de IP. Vê as definições do teu fornecedor. Procura: “anonymize IP”, “hash IP”, “remove IP” ou algo semelhante. Ativa-a. É uma função de privacidade padrão.
Remoção de dados
A remoção de dados tira informação sensível dos registos e dos dados guardados. Se registares por engano uma palavra-passe, um número de cartão de crédito ou outros dados sensíveis, remove-os do registo antes de o guardar. Se aparecerem dados pessoais nos parâmetros de consulta, remove-os do URL.
Cenários comuns de remoção
Cenário 1: Um URL contém um email num parâmetro de consulta (?email=user@example.com). Remove o email antes de registar o URL.
Cenário 2: O envio de um formulário regista por engano o campo da palavra-passe. Remove a palavra-passe do evento antes de o guardar.
Cenário 3: O nome completo de um utilizador aparece num registo. Se os nomes não são precisos para a análise, retira-os.
Técnicas de remoção
Remoção automática: Usa plataformas de análise com remoção integrada. O Google Analytics consegue remover automaticamente parâmetros de consulta e campos de formulário. Configura-o para remover os campos sensíveis.
Remoção manual: Revê os registos e remove os dados sensíveis à mão. Dá muito trabalho, mas serve para incidentes pontuais.
Remoção personalizada: Inclui a remoção no registo dos teus eventos. Antes de enviar um evento, retira os campos sensíveis. Cria uma lista do que queres manter e remove tudo o resto.
Equilibrar anonimização e utilidade
A anonimização e a remoção reduzem a utilidade dos dados. Remover o último octeto do IP significa que já não consegues rastrear utilizadores individuais pelo IP. É uma contrapartida: mais privacidade, rastreamento menos detalhado. Aceita-a. A maioria das análises não precisa do detalhe ao nível do IP individual. A localização agregada (país, estado) chega.
Impacto da anonimização na privacidade
A anonimização reduz muito o risco para a privacidade. Se os dados anonimizados forem expostos, não servem para identificar ninguém. Também reduz as obrigações do RGPD: os dados anonimizados não são dados pessoais, por isso os pedidos de eliminação e de acesso não se aplicam. A anonimização traz benefícios reais para a privacidade.
Devo anonimizar os IPs ou deixar de os recolher por completo?
Se precisas de dados de localização (ao nível do país), anonimiza. Se não usas a localização, não recolhas IPs: é mais simples e tem menos risco. A anonimização é um meio-termo; não recolher é mais forte. Avalia primeiro o teu caso de uso real.
Que precisão perco com a remoção do último octeto face ao hash do IP completo?
Remoção do último octeto: ainda aponta para o país ou estado (80-85% de precisão). Hash: ainda aponta para o país, mas não identifica o fornecedor de internet nem a cidade (70% de precisão). Para análise geográfica, o último octeto chega. Para deteção de fraude que exija detalhe ao nível do fornecedor, nenhuma das duas serve.
Devo anonimizar no cliente ou no servidor e qual é a complexidade?
No cliente: é a opção mais privada, mas exige alterações em JavaScript (2 a 4 horas de desenvolvimento). No servidor: é mais simples (1 a 2 horas), mas o IP completo fica brevemente em memória. Na maioria dos sites, o servidor é aceitável. Usa o cliente só se tratares dados muito sensíveis.
Preciso de anonimizar os dados de IP históricos que já estão guardados?
Sim, para cumprir o RGPD. Guardaste dados pessoais; tens de corrigir isso. Se tens anos de IPs guardados, é uma infração que precisa de ser corrigida. Anonimiza ou apaga os dados antigos em massa. Planeia isto ao implementar a anonimização.
Que método de remoção (automático ou código personalizado) apanha mais dados sensíveis?
A remoção automática do GA apanha os campos comuns (parâmetros de consulta, campos de formulário que configuras). O código personalizado é mais completo (apanha os dados que definires como sensíveis). O melhor é um método híbrido: automático para os campos padrão e remoção personalizada para os casos especiais (chaves de API, tokens, campos personalizados).
Como testo se a anonimização e a remoção funcionam mesmo?
Envia eventos de teste com IPs e dados sensíveis. Confirma que o IP anonimizado aparece na análise (e não o IP completo). Confirma que os campos removidos não aparecem nos registos. Usa as ferramentas de programador do navegador e os registos para inspecionar. Testa o caso normal (dados válidos) e os casos especiais (IPs malformados, carateres especiais).