Dirección IP ¿Es un dato de carácter personal?

¿Qué es una dirección IP? ¿Qué contiene? ¿Se le puede aplicar la LOPD?

Todos alguna vez habremos oído hablar de la dirección IP, incluso indagando en nuestro ordenador lo habremos visto escrito en alguna pestaña o programa. Y lo más probable es que no tengamos un concepto claro de lo que es una dirección IP. De forma simple, podemos definir la dirección IP como un número que identifica al ordenador y que sirve para transmitir información en Internet, es como si fuera el «DNI« del ordenador.

Pues bien, ¿qué pinta hablar de direcciones IP en un blog que mayoritariamente habla sobre la protección de datos? Resulta que la AEPD ha tratado este tema en una consulta que recibieron sobre si una dirección IP se puede considerar dato de caracter personal y que resolvieron en el Informe 327/2003.

La AEPD empieza el Informe diciendo que una IP «es un protocolo básico de transmisión de datos en Internet donde el ordenador se identifica con una dirección IP numérica única. Las redes IP se basan en la transmisión de paquetes de información que contienen una dirección IP del emisor y el destinatario«.

Existen herramientas en la red que pueden encontrar el enlace entre el nombre de dominio y la empresa o el particular. Los proveedores de acceso a Internet y los administradores de redes locales pueden identificar a los usuarios de Internet a los que han asignado direcciones IP; estos proveedores y administradores mantienen un fichero histórico con la direccion IP (fija o dinamica) asignada, el número de identificación de la persona física o jurídica suscrita, fecha, hora y la duración de la asignación de esa dirección IP. Ajenamente a que la dirección IP sea fija o estática, se puede identificar datos aunque con la dirección IP dinámica es más complicado, al cambiar constantemente. También puede asociarse una dirección IP a un usuario con medios como las Cookies que permite recoger información de como usa la red este usuario.

Esto implica que se puede identificar al usuario por medio de la dirección IP, ya sea esta fija o dinámica y con independencia del tipo de acceso, obteniendo datos como su nombre y dirección, por lo que es obvio que para la AEPD, la dirección IP es considerada como dato de carácter personal según las pautas establecidas en el art. 3 LOPD.

A su vez, la AEPD señala que al ser datos personales, las direcciones IP deben estar registradas en un Fichero NOTA. Si únicamente se recogen las direcciones IP, se aplicarían las medidas de seguridad de nivel básico. En cambio, si estas direcciones IP permiten obtener una «evaulación de la personalidad del individuo», se implantará a este fichero las medidas de seguridad de tipo medio tal y como dice el art. 4.4. RD 1720/2007 que desarrolla la LOPD.

Como ejemplos de cómo ha resuelto la AEPD conflicto con respecto a las direcciones IP, podemos ver el Expediente 00989/2008, dónde se tendría que haber castigado a una red social (ya inexistente) que hizo pública direcciones IP de menores de edad, sacando a la luz además fotografías y comentarios (incluídos los eliminados) en la red; pero al no poder localizarse a los responsables del portal la causa tuvo que ser archivada. También podemos ver la Resolución 02275/2009, dónde se insta a una compañía telefónica a atender la solicitud de un usuario de acceder al fichero que registra direcciones IP.