Protección de Datos confiere a la dirección IP el rango de dato personal

La Agencia Española de Protección de Datos (AEPD) ha dictaminado que las direcciones IP, la secuencia numérica que identifica un ordenador conectado a la Red, deben ser considerados datos de carácter personal, por lo que gozan de la protección de la normativa que protege a este tipo de datos. La Comisión de Libertades e Informática se felicitó ayer de esta postura, sobre todo a la espera del desarrollo reglamentario del artículo de la LSSI que obliga a los proveedores a retener los datos de tráfico.

Según un reciente dictamen de la AEPD, esta consideración abarca a las direcciones IP tanto fijas como dinámicas, con independencia del tipo de acceso, ya que, aunque no siempre se pueda identificar a un usuario a partir de datos tratados en la Red, entiende que esa posibilidad existe en muchos casos.

Esta situación se produce "especialmente si se utilizan medios invisibles de tratamiento para recoger información adicional sobre el usuario, tales como 'cookies' (sistemas de control de la navegación) con un identificador único o sistemas modernos de minería de datos unido a bases de datos con información de Internet que permite su identificación".

Hasta ahora, la interpretación mayoritaria consideraba que las direcciones IP en sí mismas no eran un dato personal hasta su asociación efectiva a una persona física, al titular de la máquina. Incluso en este caso, muchas redes internas empresariales tienen una única vía de salida hacia Internet -una única dirección IP para todos los usuarios- por lo que ni siquiera se consideraba como dato de carácter personal.

Perfil detallado

La AEPD precisa también que, aunque la mayoría de las empresas registran las direcciones IP de los usuarios con fines estadísticos o para mejorar las prestaciones de su web, optimizando el rendimiento o personalizando los servicios; hay que considerar la posibilidad de elaborar perfiles detallados de individuos que ni se dan cuenta, ni se pueden oponer a ello.

En un comunicado, la Comisión de Libertades e Informática se felicitó ayer de esta nueva postura de la AEPD, a favor de los derechos y libertades de los individuos, "sobre todo cuando se está esperando el desarrollo reglamentario del artículo 12 de la LSSI que

obliga a los proveedores de servicios de acceso a Internet a retener los datos de tráfico y facturación durante un periodo máximo de doce meses para combatir el crimen y la delincuencia informática".

Según destaca la CLI, el criterio de la AEPD obliga a los responsables de tratamiento y cruce de datos a informar a los afectados, recabar su consentimiento para el tratamiento y aplicar las medidas de seguridad oportunas (básicas en la mayoría de los casos, y medias cuando integren un fichero que permita elaborar un perfil de la personalidad del individuo).