Esta, entre otras, es una eterna cuestión que rodea a los datos personales y que nos da más de un dolor de cabeza: ¿es la IP un dato de carácter personal? Pues bien, todo parece apuntar, según lo que les mostraré en esta entrada, que sí. Yo, si les digo la verdad, siempre he sido un poco reacio a considerarla como tal, al menos en algunos ámbitos. Veamos un par de definiciones del Reglamento de Desarrollo de la LOPD:

A la vista de esto, sean las siguientes situaciones:

a) Una empresa A dispone de un servidor web meramente informativo donde tiene configurado, para la obtención de estadísticas de acceso, el registro de accesos del servidor, en el que almacena la fecha y hora de acceso, la IP con la que se ha accedido, y las características técnicas del navegador. Asumamos, para no complicar las cosas, que no existe en la web ningún formulario de contacto ni entrada de datos con los que la empresa propietaria de la web pueda relacionar a la IP con un nombre, o cualquier otro identificador. Esto, por ejemplo, sí es posible en un blog, en el que es posible asociar una IP a un identificador, en el mismo momento en el que éste realiza un comentario (claro que dicho comentario y el identificador no siempre identifican a una persona).

b) La empresa Telefónica dispone de un servicio al que sus usuarios acceden, y para cuyo acceso son identificados automáticamente mediante la IP, que es parte del pool de IPs que esta teleco tiene asignada.

Supongamos que la empresa A quiere obtener los datos de la persona ubicada detrás de la IP 259.1.1.259 (sí, ya sé que dicha IP no es posible). Las posibilidades son que haciendo uso de nslookup y whois se encuentre que dicha IP corresponde a una dirección de telefónica, jazztel, ONO o cualquier otro proveedor de Internet, o que detrás haya una empresa. Para obtener más información en el primer caso puede optar por analizar anteriores visitas y hacer algo de investigación sobre la posición geográfica de la IP, pero será difícil que sin una orden judicial pueda obtener mucho más que eso. En el segundo caso, deberá hablar con el administrador de red de la empresa a la que pertenece la IP, y que éste acceda de buena gana a darle más información basándose en sus registros DHCP y de navegacion web, si es que los tiene. Pueden probar, a ver qué tal les va.

Supongamos ahora que Telefónica quiere conocer los datos de la persona que ha accedido al servicio y que se encuentra detrás de la IP 259.1.1.259. Únicamente necesita ver los datos del usuario, tan simple como ello. Adivinen ahora en qué caso estamos hablando de “actividades desproporcionadas” y en qué caso no. Yo diría que recurrir a una orden judicial para obtener unos datos de un internauta no requiere sólo actividades desproporcionadas, sino que viendo cómo va la justicia en este país, el plazo es también desproporcionado.

Veamos ahora el siguiente fragmento del Dictamen 4/2007 sobre el concepto de datos personales del Grupo de Trabajo del Artículo 29, que les anticipo que aclarar, no aclara demasiado (pág. 18):

Es decir, ni blanco ni negro. Si el tratamiento de la dirección IP se lleva a cabo para identificar al usuario de un ordenador, es un dato de carácter personal dado que existe una intencionalidad en la que el propio captador de los datos asume como razonable el procedimiento que deberá aplicar para identificar a los usuarios de cada una de las direcciones IP; parece bastante lógico. Si yo capto matrículas para multar a los propietarios de los vehículos, es que asumo que el procedimiento de identificación es razonable (incluso aunque entremos en aspectos de valoraciones coste-beneficio), de lo contrario estaría haciendo el tonto. Pero si no es este caso, aunque usted crea que no podría identificar a los visitantes de su página web… pues bueno, en ese caso nos lavamos las manos y mejor que decida usted, que a nosotros nos supera.

Debe tenerse en cuenta que la letra a) de la mencionada Directiva dice lo siguiente:

Es decir, según esto prácticamente cualquier cosa es un dato de carácter personal, porque incluso en grados muy avanzados de “indirección” es posible relacionar un dato con su propietario. Por ejemplo, el justificante que la Administración Tributaria me facilitó para acceder a mi borrador es un dato de carácter personal. Veamos otro ejemplo. Mi perra se llama Samy y tiene un miedo atroz a básicamente todo. vivo en Valencia, tengo un Renault Megane tres puertas de color verde y el nombre de mi pareja es Laura. Combinen todos esos datos y seguro que aplicando algún procedimiento (e ignorando el hecho de que esta entrada está firmada con mi nombre y apellidos), por muy indirecto que sea, les llevará ante mi. ¿Significa eso que el nombre de mi perra es un dato personal? Pues no sé, pero si ven que me tuerzo me avisan.

No obstante, antes de seguir no hemos de olvidar que en este caso estamos hablando de la aplicación de la dichosa Directiva 95/46/CE, y no de nuestra querida LOPD y su Reglamento de Desarrollo. Veamos lo que dice la Agencia Española de Protección de Datos al respecto, en el informe Carácter de dato personal de la dirección IP. Informe 327/2003:

Por si no recuerdan, la letra a) del artículo 3 de la LOPD dice que datos de carácter personal son cualquier información concerniente a personas físicas identificadas o identificables. Correcto. Si es usted Telefónica, dispone de procedimientos razonables para acceder a las asignaciones de sus propios usuarios, y si usted es el administrador o dueño de una red local, muy probablemente disponga de herramientas para poder determinar la lista de leasings DHCP. Continuemos:

Si bien es cierto que muchas webs utilizan cookies, en realidad esto no hace al usuario más identificable ya que el procedimiento continúa siendo el mismo: tirar de los datos de la operadora a través de un procedimiento judicial. Incluso en aquellos casos en los que las cookies permiten identificar de manera unívoca al usuario, obtener el número de visitas, la frecuencia, la actividad e interactividad con la página, y sus características técnicas, por lo general seguimos sin tener a una persona identificada o identificable.

Claro que no es así siempre: Google sabe sin duda quiénes somos, qué hacemos y dónde estamos (entre otras muchas cosas) y de hecho casi no le hace falta ni la IP. Pero estarán de acuerdo en que no es el caso común. En ese caso, con las cookies lo único que probablemente tenemos sea un usuario de Internet que accede a nuestra página cada X días y navega por X enlaces antes de irse a otro lado.

¿Se acuerdan del ejemplo de mi perra? Quedamos en que ninguno de los datos proporcionados era suficiente para identificarme. Imaginen que para facilitar las cosas, añado el lugar donde veraneo, que tengo una bicicleta con la que vengo al trabajo siempre que no llueve, el nombre de la empresa que me realizó la instalación del gas en casa y la fecha cuando lo hizo. Para mí, ninguno de esos datos por separado hacen de mi una persona identificada o identificable, pero sí todos ellos en combinación, si tienen ustedes ganas. Ese parece ser el argumento expuesto: si bien la IP no es probablemente suficiente para identificar a una persona, si la combinamos con las cookies, entonces sí (que en la mayoría de los casos aún así, no, pero bueno).

Repito: les ruego que me corrijan si ven que me voy de lado. Más cosas:

Es agradable ver que al menos existe coherencia entre la AEPD y el Grupo de Trabajo del Artículo 29. Es decir, no sabemos si usted será capaz de identificar a alguien, pero por si acaso, si le parece bien suponga que sí que lo es.

De todas formas, si les sirve de consuelo, como bien indica Miguel Ángel Mata, no es la primera vez que la AEPD asume procedimientos no razonables como razonables. Aunque a ustedes y a mí nos parezca difícil identificar a la persona que hay tras la dirección p10292@hotmail.com (si es que hay una persona), la Agencia discrepa, y considera que “podrá procederse a la identificación del titular mediante la consulta del servidor en que se gestione dicho dominio, sin que ello pueda considerarse que lleve aparejado un esfuerzo desproporcionado por parte de quien procede a la identificación“. Si eso no es desproporcionado, entonces no hay nada desproporcionado; quiero pensar que la Agencia lo único que hace es dejarse llevar por ese eslógan de Adidas que decía aquello de Impossible is nothing.

Temo hasta el momento no haberles aclarado demasiado, más que la precaución de considerar como datos de carácter personal cualquier cosa que puedan imaginar. A fin de cuentas, a mi no me miren que la Agencia tampoco acostumbra a aclarar demasiado, y para ejemplo, esta resolución [Expediente Nº: E/00561/2004] en la que afirma que Atendiendo a lo que se acaba de indicar, aunque en principio es criterio de esta Agencia Española de Protección de Datos que el número del DNI, por si solo, no constituye un dato de carácter personal, si lo será en cuanto resulte adscrito al concreto titular del mismo., y este informe jurídico [Informe 0334/2008] cuatro años después dice que sí lo es.

Volviendo al conjunto de datos de carácter personal sobre mi persona, me llama especialmente la atención este fragmento, sacado del último informe (el del DNI, va a ser que sí) que les indico:

Reflexionen sobre eso; a mi me da que esa frase tiene algo de maldad intencionada.

Estoy acabando, no se preocupen. En mi opinión, el problema que radica en todo esto es que, manteniendo cierta ambigüedad muy perjudicial, la LOPD:

i) No tiene en cuenta la relación del responsable del tratamiento que va a tratar los datos con el propietario del dato, lo que puede resultar determinante para saber si hablamos de un dato de carácter personal o no. Creo que es cristalino como el agua que la dirección IP dinámica de mi casa es un dato de carácter personal para mi proveedor de telecomunicaciones, dado que pueden acceder a mi DNI, nombre, apellidos, facturación y muchas otras cosas, pero no lo es para casi nadie más. Las cinco últimas cifras de mi móvil podría ser un dato de carácter personal para las personas que me conocen, incluida mi empresa, pero para nadie más.

ii) No tiene en cuenta las características y finalidad del tratamiento para determinar qué es una “identificación que requiere plazos o actividades desproporcionado”, sentencia cuya concreción es francamente difícil de empeorar. El identificador (único) que la AEAT me envió para la confirmación del borrador de la declaración de la renta por Internet es un dato de carácter personal para Hacienda, pero para nadie más. ¿Significa que esta página, que consta de una lista NIFs, es un listado de datos de carácter personal? Como dice Manuel Parra, si ahora escribo el DNI 01891015R, ¿estoy llevando a cabo un tratamiento de datos de carácter personal? ¿Sí, no, a veces, y a mi que me cuenta?

Bueno. En cualquier caso, seamos sinceros, ¿y la de cosas que escribimos gracias a la Agencia, la LOPD, la Directiva y todo esto de los datos personales? ¿Y lo que nos reímos?

(+6 rating, 6 votes)

 Loading ...