¿Es una IP un dato personal según el GDPR?
Según el GDPR, una dirección IP puede ser un dato personal, porque el reglamento define los datos personales como cualquier información relativa a una persona identificada o identificable, y una dirección IP suele hacer identificable a alguien cuando se combina con otra información. Este artículo ofrece un contexto general para desarrolladores y no constituye asesoramiento jurídico; tus obligaciones dependen de tu situación, así que consulta a un profesional de la privacidad para decisiones reales.
Qué dice realmente el reglamento
El artículo 4 del GDPR define los datos personales de forma amplia. Nombra los identificadores en línea como ejemplos de información que puede identificar a una persona, y los considerandos mencionan identificadores como las direcciones IP y los identificadores de cookies que dejan los dispositivos. El criterio clave es la identificabilidad: si la persona puede ser identificada, directa o indirectamente, por la organización que posee los datos o por otra persona que utilice medios razonablemente probables.
El Tribunal de Justicia de la Unión Europea abordó esta cuestión en el asunto Breyer (2016), relativo a las direcciones IP dinámicas. En términos generales, el tribunal sostuvo que una dirección IP dinámica puede ser un dato personal en manos del operador de un sitio web cuando este dispone de medios legales para obtener la información adicional, como los registros de abonados del proveedor de internet, que identificaría al visitante. La lección práctica es que la respuesta no es un sí o un no fijo para cada dirección y cada responsable. Depende del contexto y de qué más pueda vincularse a la dirección.
Por qué importa el contexto para los desarrolladores
Una dirección IP suelta en un registro de cortafuegos es una cosa. La misma dirección almacenada junto a un ID de usuario, una dirección de correo, un token de sesión y una marca de tiempo es mucho más claramente un dato personal, porque está vinculada a una cuenta concreta. Si estás en el segundo caso, da por hecho que la dirección entra en el ámbito de aplicación y planifica en consecuencia.
También ayuda separar dos cosas fáciles de confundir: la propia dirección y los datos derivados de ella. Cuando consultas una dirección, el resultado suele describir una red y no una persona: el país, la región a nivel de ciudad, el ASN y la organización que operan el bloque, e indicadores como si la dirección pertenece a una VPN conocida o a un centro de datos. La consulta de IP de ipto devuelve campos como country, city, asn y org junto con los indicadores is_vpn, is_tor, is_abuser, is_datacenter y bogon. Estos describen la red, y la geolocalización a nivel de ciudad es aproximada, como explica el artículo sobre por qué la precisión por ciudad es limitada. Pero la entrada de la consulta, si es la dirección de un visitante que has almacenado, puede seguir siendo un dato personal en tus manos, y el registro enriquecido vinculado al perfil de un usuario probablemente también lo sea.
Consideraciones generales sobre el registro y la conservación
El reglamento no fija un número de días para conservar direcciones IP. En su lugar se aplican principios generales: necesitas una base jurídica para el tratamiento, debes recoger solo lo que necesites para una finalidad declarada (minimización de datos) y no debes conservarlo más tiempo del necesario para esa finalidad (limitación del plazo de conservación). El registro de seguridad y la prevención del fraude se citan habitualmente como finalidades, y el plazo de conservación debe justificarse por esa finalidad y documentarse, no elegirse por costumbre.
- Decide primero la finalidad. La prevención de abusos, la limitación de frecuencia, la depuración y la analítica tienen justificaciones distintas y plazos de conservación razonables distintos.
- Trunca o aplica un hash cuando no haga falta la precisión completa. Eliminar el último octeto de IPv4 o los bits inferiores de una dirección IPv6 reduce la identificabilidad. Reguladores y tribunales han tratado el truncamiento y el hash como medidas que reducen el riesgo, aunque el hash de un espacio de direcciones pequeño a menudo puede revertirse, por lo que no es una anonimización automática.
- Configura el borrado automático. Haz que los registros en bruto caduquen según un calendario en lugar de confiar en que alguien se acuerde de limpiarlos.
- Sé transparente. Tu aviso de privacidad debe indicar que tratas direcciones, por qué y durante cuánto tiempo. Los encargados del tratamiento externos a los que envíes direcciones deben estar cubiertos por un contrato adecuado.
- Ten en cuenta las transferencias. Enviar direcciones de visitantes a una API externa es una comunicación a un tercero, así que considera adónde van los datos. Consultar una red por tu cuenta, sin datos de visitantes, evita la cuestión.
Consultas de red sin datos personales
Se pueden responder muchas preguntas útiles sobre una red sin vincular nada a una persona. La búsqueda de ASN toma un número de AS y devuelve el propietario registrado, la organización, el país y el número de rangos, lo que no implica ninguna dirección de visitante. Para las direcciones, el WHOIS de IP mediante RDAP devuelve información del registro sobre el titular del bloque, que son datos organizativos sobre quién tiene la asignación, y el verificador de bogon te dice si una dirección es privada o reservada y, por tanto, no puede pertenecer a un visitante público.
Si comparas regímenes jurídicos más allá de Europa, el artículo sobre las leyes de privacidad de las direcciones IP en distintos países ofrece una orientación general. El nivel gratuito de ipto permite 1.000 solicitudes al día sin registro, y la documentación de la API enumera los campos para que puedas elegir almacenar solo lo que realmente necesitas.