|
|
La consulta
plantea diversas cuestiones referentes a la consideración como dato de
carácter personal de una dirección IP de acuerdo a lo establecido en la Ley
Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter
Personal, y sus implicaciones de cara a la adopción de las medidas de
seguridad contempladas en el Reglamento de Medidas de Seguridad, aprobado
por Real Decreto 994/1999, de 11 de junio.
En primer lugar, se platea si las direcciones IP son consideradas como datos
de carácter personal.
Para resolver la cuestión, debe partirse de la consideración de si una
dirección de IP tiene el carácter de dato de carácter personal, dado que
sólo en ese caso será aplicable al caso lo dispuesto en la Ley 15/1999, a
tenor de lo establecido en su artículo 2.1.
Respecto a dicha cuestión, debe partirse en todo caso de la definición de
dato de carácter personal que establece el artículo 3 a) de la Ley, que lo
define como cualquier información concerniente a personas físicas
identificadas o identificables.
El TCP/IP se trata de un protocolo básico de transmisión de datos en
Internet, donde cada ordenador se identifica con una dirección IP numérica
única. Las redes TCP/IP se basan en la transmisión de paquetes pequeños de
información, cada una de los cuales contiene una dirección IP del emisor y
del destinatario.
Por otro lado, el DNS (sistema de nombre de dominio) es un mecanismo de
asignación de nombres a ordenadores identificados con una dirección IP.
Ciertas herramientas existentes en la red permiten encontrar el enlace entre
el nombre de dominio y la empresa o el particular.
A su vez, los proveedores de acceso a Internet y los administradores de
redes locales pueden identificar por medios razonables a los usuarios de
Internet a los que han asignado direcciones IP. Un proveedor de acceso a
Internet que tiene un contrato con un abonado a Internet, normalmente
mantiene un fichero histórico con la dirección IP (fija o dinámica)
asignada, el número de identificación del suscriptor, la fecha la hora y la
duración de la asignación de dirección. Es mas, si el usuario de Internet
está utilizando una red pública de telecomunicaciones, como un teléfono
móvil o fijo, la compañía telefónica registrará el número marcado, junto con
la fecha, la hora y la duración, para la posterior facturación.
En estos casos, ello significa que, con la asistencia de terceras partes
responsables de la asignación, se puede identificar a un usuario de
Internet, es decir, obtener su identidad civil (nombre dirección, número de
teléfono, etc), por medios razonables, con lo que no cabe duda de que se
puede hablar de datos de carácter personal en el sentido de la letra a) del
artículo 3 de la Ley 15/1999.
En otros casos, un tercero puede llegar a averiguar la dirección IP dinámica
de un usuario pero no ser capaz de relacionarla con otros datos que le
permitan identificarlo. Obviamente, resulta más sencillo identificar a los
usuarios de Internet que utilizan direcciones estáticas.
Sin embargo, en muchos casos existe la posibilidad de relacionar la
dirección IP del usuario con otros datos de carácter personal, de acceso
público o no, que permitan identificarlo, especialmente si se utilizan
medios invisibles de tratamiento para recoger información adicional sobre el
usuario, tales como cookies con un identificador único o sistemas modernos
de minería de datos unidos a bases de datos con información sobre usuarios
de Internet que permite su identificación.
Así pues, aunque no siempre sea posible para todos los agentes de Internet
identificar a un usuario a partir de datos tratados en la Red, desde esta
Agencia de Protección de Datos se parte de la idea de que la posibilidad de
identificar a un usuario de Internet existe en muchos casos y, por lo tanto,
las direcciones IP tanto fijas como dinámicas, con independencia del tipo de
acceso, se consideran datos de carácter personal resultando de aplicación la
normativa sobre protección de datos.
Consideradas la direcciones IP como dato de carácter personal, de cara a la
adopción de las medidas de seguridad que recoge el Real Decreto 994/1999, su
artículo 4 señala que:
“1. Todos los ficheros que contengan datos de carácter personal deberán
adoptar las medidas de seguridad calificadas como de nivel básico.
2. Los ficheros que contengan datos relativos a la comisión de infracciones
administrativas o penales, Hacienda Pública, servicios financieros y
aquellos ficheros cuyo funcionamiento se rija por el artículo 28 de la Ley
Orgánica 5/1992, deberán reunir, además de las medidas de nivel básico, las
calificadas como de nivel medio.
3. Los ficheros que contengan datos de ideología, religión, creencias,
origen racial, salud o vida sexual así como los que contengan datos
recabados para fines policiales sin consentimiento de las personas afectadas
deberán reunir, además de las medidas de nivel básico y medio, las
calificadas de nivel alto.
4. Cuando los ficheros contengan un conjunto de datos de carácter personal
suficientes que permitan obtener una evaluación de la personalidad del
individuo deberán garantizar las medidas de nivel medio establecidas en los
artículos 17, 18, 19 y 20.
5. Cada uno de los niveles descritos anteriormente tienen la condición de
mínimos exigibles, sin perjuicio de las disposiciones legales o
reglamentarias específicas vigentes.”
En este sentido un fichero que contuviera únicamente las direcciones IP, en
principio resultaría de aplicación las medidas de seguridad nivel básico.
Por el contrario un fichero que contuviera la dirección IP asociada, por
ejemplo, a los sitios web solicitados con la finalidad de elaborar un
determinado perfil del usuario, si el mismo permite obtener una evaluación
de la personalidad del individuo, se deberán adoptar las medidas de
seguridad nivel medio. Con ello queremos decir que, deberán implementarse
sobre fichero los dispositivos técnicos que garanticen los niveles de
seguridad que especifica el 4 del Reglamento, atendiendo a la naturaleza de
la información tratada, y en relación con la mayor o menor necesidad de
garantizar la confidencialidad y la integridad de la información.
En cuanto a la consideración de los “log-in” de acceso a Internet o a
páginas personales como datos de carácter personal, resultarán de aplicación
las consideraciones que se realizan en párrafos anteriores. Si identifica de
forma directa al usuario, no hay duda de que estaremos ante un dato de
carácter personal, por el contrario si este es anónimo, en principio no
sería un dato de carácter personal, pero si, por ejemplo, el proveedor de
servicios de Internet a través de ese “log in”, puede identificar al usuario
con el que tiene un contrato de acceso a Internet, sí será considerado como
un dato de carácter personal.
|
