Leyes de privacidad de las IP en distintos países
Las leyes de privacidad sobre las direcciones IP varían según el país, pero un número creciente de ellas trata una dirección IP como dato personal siempre que pueda vincularse razonablemente a una persona, lo que significa que el registro, la analítica y la geolocalización de IP pueden quedar sujetos a las normas de protección de datos. Este artículo es un contexto general para desarrolladores, no asesoramiento jurídico, y los detalles de cualquier ley deben comprobarse con un abogado cualificado.
Por qué las leyes de privacidad tratan las IP como datos personales
Una dirección IP por sí sola es solo un número, pero rara vez está sola. Los registros de tu servidor la combinan con marcas de tiempo, URL, user agents y, a menudo, identificadores de cuenta, y el proveedor de internet que la asignó puede asociarla a un abonado. Por eso muchos reguladores razonan que una dirección es un dato personal cuando alguien, en algún lugar, dispone de los medios para identificar a la persona que hay detrás. La asignación rotatoria no cambia mucho esto: una dirección que rota entre clientes sigue vinculada a un cliente en un momento dado en los registros del proveedor.
Esta es también la razón por la que los límites técnicos de los datos de IP importan para el análisis jurídico. Una consulta devuelve un país, una estimación a nivel de ciudad, un propietario de red y señales de reputación, no un nombre. Puedes ver cómo es pasando una dirección por la búsqueda WHOIS de IP, que muestra el registro del bloque, normalmente una organización como un ISP y no un particular. La cuestión jurídica es qué podría hacerse con la dirección en combinación con otros datos, no solo qué revela una única consulta.
La Unión Europea y el Reino Unido
En la UE, el GDPR define los datos personales de forma amplia, y la jurisprudencia de la UE ha tratado las direcciones IP que cambian entre sesiones como datos personales en manos de un operador de sitio web que dispone de medios legales para obtener del proveedor la información identificativa. El UK GDPR sigue el mismo enfoque. En la práctica, esto significa que tratar las IP de los visitantes requiere una base jurídica, una finalidad declarada, límites al tiempo que las conservas y una seguridad adecuada. Las mitigaciones habituales son truncar el último octeto de una dirección IPv4 antes de almacenarla, aplicar un hash con una sal rotatoria y fijar ventanas de conservación cortas para los registros en bruto. Nuestro artículo sobre el GDPR y las direcciones IP como datos personales profundiza en esto.
Normas distintas se aplican al almacenamiento o la lectura de información en el dispositivo de un usuario, como las cookies, en el marco de ePrivacy. La prevención del fraude y la seguridad de la red se citan a menudo como finalidades legítimas para tratar IP, por lo que las herramientas de seguridad y la ley de privacidad están menos enfrentadas de lo que parece al principio, pero la finalidad y la proporcionalidad siguen necesitando documentarse.
Estados Unidos y otras regiones
Estados Unidos no tiene una única ley federal que cubra las direcciones IP. En su lugar hay un mosaico de leyes estatales, siendo las más conocidas la CCPA y la CPRA de California, y varios otros estados han aprobado leyes de privacidad integrales. Estas suelen incluir los identificadores en línea, entre ellos las direcciones IP, en su definición de información personal y otorgan a los residentes derechos como el acceso, la supresión y la exclusión de ciertos usos compartidos o de la publicidad dirigida. Las normas sectoriales, como las de datos de menores o datos de salud, añaden requisitos adicionales.
- Brasil tiene la LGPD, que se asemeja al GDPR en su estructura y cubre la información relativa a una persona identificable.
- Canadá aplica la PIPEDA y algunas leyes provinciales, y los reguladores han tratado las direcciones IP como información personal según el contexto.
- China tiene una Ley de Protección de la Información Personal con normas sobre consentimiento y transferencias transfronterizas.
- India ha promulgado una ley de protección de datos, y quien dependa de ella debe comprobar el estado actual de implantación de sus normas.
- Japón, Corea del Sur y Australia tienen cada uno su propio régimen, con umbrales distintos sobre lo que se considera información personal.
Como las leyes se modifican con frecuencia, trata cualquier resumen, incluido este, como un punto de partida y confirma el texto vigente de cada mercado al que prestes servicio.
Hábitos de ingeniería prácticos que sirven en cualquier lugar
Sea cual sea la jurisdicción, unos pocos hábitos reducen la exposición. Recoge solo los datos de IP que necesites para una finalidad documentada. Haz el enriquecimiento que necesites, como país, ASN o un indicador de VPN, en el momento de la solicitud y almacena el campo derivado en lugar de la dirección en bruto cuando esta no sea necesaria. Conserva los registros en bruto durante un periodo corto y definido. Controla quién puede leerlos. Anota dónde se realiza el tratamiento, ya que las normas de transferencia transfronteriza pueden aplicarse cuando los registros o las consultas salen de una región.
También ayuda separar las señales que usas. Las comprobaciones a nivel de país para fines de licencias o impuestos necesitan mucha menos precisión que una función de personalización a nivel de ciudad, y una comprobación de seguridad como una puntuación de reputación no necesita ninguna ubicación. La consulta de IP de ipto devuelve país, ciudad, ASN, organización e indicadores como is_vpn, is_tor e is_abuser, de modo que puedes almacenar solo el campo general que necesita tu caso de uso. Para la gestión de abusos, el verificador de abuso de IP devuelve una puntuación y un nivel de riesgo sin ningún perfil personal asociado. Los detalles de los campos de solicitud y respuesta están en la documentación de la API.
Por último, di a los usuarios lo que haces. Un aviso de privacidad claro que nombre las direcciones IP entre los datos recogidos, con la finalidad y el plazo de conservación, cumple un requisito de muchos regímenes y es el trabajo de cumplimiento más reutilizable entre países.
También ayuda ver qué revela realmente una consulta sobre un visitante. El verificador de VPN y proxy muestra por qué la ubicación aparente de un visitante puede no ser donde está, algo que importa cuando aplicas reglas basadas en la ubicación. Nada de esto sustituye al asesoramiento jurídico para tu situación.