GDPR同意通知は、純粋にメンテナンスを目的としたアクセスポイントに適用されますか？
SSHサーバーなど、メンテナンスの目的で私または私の従業員だけが使用することを目的とした、公開されているインターフェイスがあるとします。
ユーザーが接続するときにユーザーのIPアドレスを処理しているので、GDPRでは、サーバーへのアクセス時に表示されるバナーなど、ユーザーにそのようなアクションを通知する必要がありますか？
さらに、ログインの可能性と入力されたデータを個人データとして扱う義務がありますか？
インターフェイスがユーザーデータを処理するが、そのテクノロジがICMP応答などの人間が読める形式の対話を必ずしも提供しない場合はどうなりますか？
回答
いいえ、IPアドレスなどのトラフィックデータは、ユーザーが要求するサービスを提供するために厳密に必要な場合にのみ使用される限り、公的にアクセス可能なサーバーを実行するためだけにプライバシーポリシーを表示する必要はありません。
ここでの背景は、GDPRは非常に一般的な法律ですが、ePrivacy指令（ePD）は、SSHサーバーも含む電気通信および情報社会サービスの詳細を提供していることです。ePD Art 6に従い、トラフィックデータは、（1）送信/サービスの目的で、またはデータが匿名化されている場合、（2）請求の目的で、または（3）マーケティングまたは付加価値サービスの場合、ユーザーが使用する場合に使用できます。彼らの同意を与えました。処理に関する情報は、ケース（2）および（3）のePrivacyでのみ必要であり、厳密に必要な処理では必要ありません。
ここで注意が必要なのは、どのような状況でログイン試行をログに記録（失敗）したり、fail2banなどのツールを使用したりできるかということです。一つの議論は、そのような手段は通信のセキュリティを確保するために厳密に必要であるということですが、これらの手段は明らかにePDの意味での送信を実行するために必要ではありません。これを解決するには、いくつかの方法があります。
必要性はもっと広く解釈されなければならず、セキュリティ対策は確かに必要です。たとえば、ePD Art 6（5）は、不正の検出について、明示的に許可せずに言及しています。
IPアドレスを特定の人にリンクする手段が現実的にないため、IPアドレスはePDの意味で効果的に匿名化されます。
これはかなり弱い議論ですが、匿名データを定義するGDPRリサイタル26によってサポートされる可能性があります。対位法：IPアドレスは、GDPR第4条（1）の個人データの定義に明示的に含まれているオンライン識別子です。
IPアドレスは、ePDに該当するトラフィックデータだけでなく、GDPRに該当する個人データでもあります。 IPアドレスが単に送信を行うために使用される場合、それは個人データとして処理されず、ePDの懸念のみが適用されます。しかし、知的財産を禁止するためにそれを処理するとき、それは正当な利益の下で個人データとして処理されます。この処理はePDArt 6のどのカテゴリにも該当しないため、GDPRの懸念事項のみが適用されます。これには、GDPR第13条に従って、その時点での処理についてデータ主体に通知する要件が含まれます。これは、ログインプロセスの過程でプライバシーポリシーへのリンクを表示することで満たすことができます。
正当な利益の議論については、それは典型的なデータ主体の期待にも依存します。セキュリティログなどの一部のセキュリティ対策は正常であり、予想されるはずなので、正当な利害関係の議論が強くなる可能性があります。
「トラフィックデータではない、または少なくともePDに該当しない」という議論は非常に弱いものの、これは正しい結論だと思います。これは、セキュリティ対策が「付加価値サービス」ではないという前提に基づいています。これはePDの意図に適合しますが、付加価値サービスの実際の定義には適合しません。
いずれの場合も、たとえばePD Art 6（3）に基づいて同意を取得する必要がある場合、またはGDPR Art 6に基づく法的根拠として個人データの処理が同意に依存している場合を除き、同意を求める必要はありません。
また、ePDは即時の効果はありませんが、国内法で各EU加盟国によって実施される必要があることにも注意する必要があります。これらの法律は、より具体的なガイダンスを提供することができます。
ユーザーが接続するときにユーザーのIPアドレスを処理しているので、GDPRでは、サーバーへのアクセス時に表示されるバナーなど、ユーザーにそのようなアクションを通知する必要がありますか？
多分。IPアドレスだけで特定のユーザーを識別できますか？特に、ログインできずにサーバーに接続しているだけの場合は、そうは思われません。そのような場合、個人データを「処理」していないため、通知などの必要はありません。
多くの自動化されたボットはオープンSSHサーバーのポートスキャンであり、法律の目的上「自然人」と見なすことはできないことに注意してください。このようなボットの数は、ほとんどの場合、サーバーにアクセスする自然人の数を上回っているように思われるため、ログイン後にバナーを表示するだけで十分です。
ログインの可能性と入力されたデータを個人データとして扱う義務がありますか？
場合によります。ほとんどの試行が自動化されている場合、それらは自然人に接続されていませんが、ユーザーに特定の資格情報が発行されている場合、入力された実際のデータは個人データとしてカウントされる可能性があります。それ以外の場合、一般的なアカウント名とパスワードでログインすると、個人を特定できないため、おそらく個人データではありません。
インターフェイスがユーザーデータを処理するが、そのテクノロジがICMP応答などの人間が読める形式の対話を必ずしも提供しない場合はどうなりますか？
私はこれが答えを提供するためにどのように機能するかについて十分に知りません、私は恐れています。同じ規定で捕まえることができると思いますが、もっと事実に固有のものになるでしょう。
IPアドレスは必ずしも個人データではありません。
「個人データ」とは、特定された、または特定可能な自然人（「データ主体」）に関連する情報を意味します。識別可能な自然人とは、特に名前、識別番号、位置データ、オンライン識別子などの識別子、または身体的、生理学的、その自然人の遺伝的、精神的、経済的、文化的または社会的アイデンティティ。
IPアドレスを使用して誰かを識別できる場合、またはIPアドレスを誰かに「関連付ける」ことができる場合、それは個人データです。たとえば、シナリオのユーザー名jsmithはからログインしました$ipaddress, you know jsmith is your employee John Smith of 1 Example Street etc, therefore you can relate $そのジョンスミスへのIPアドレスなので、それは個人データです。ただし、不明なエンティティが$ ipaddressからログインしようとして、IPを持つ個人を識別できない場合、またはIPを個人に関連付けることができない場合、IPアドレスは個人データではありません。
おそらく、GDPRまたはプライバシーに関する通知を労働者に発行または利用可能にしています。
SSHサーバーは、IPアドレスがログに記録されていることをユーザーに通知する必要はありません。