La IP dinámica recibe la consideración de dato de carácter personal siempre que la persona física pueda ser identificada o identificable, se cumplan los requisitos impuestos por la Sentencia del Tribunal de Justicia de la Unión Europea de 19 de octubre de 2016 (STJUE) y su consideración de dato personal se incluya dentro de los supuestos contemplados en el Reglamento de Protección de Datos (RPD). Los requisitos que fija la STJUE y el RPD son los siguientes:
- Una persona física es identificada por norma general a través de su nombre y apellidos, dirección de correo electrónico. La dirección IP dinámica no es una información relativa a persona física identificada puesto que con esa dirección no se revela la identidad de la persona física propietaria del ordenador desde el cual se realiza la conexión a Internet y consulta del sitio web, sin embargo, la persona física puede ser identificable a través de su dirección IP.
- Se considera que una persona física puede ser identificable cuando su identidad pueda determinarse directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos característicos de su identidad física, fisiológica, psíquica, económica, cultural o social. Haciendo una interpretación más extensiva de la identificación indirecta y de acuerdo con el Reglamento Europeo de Protección de Datos, se puede identificar indirectamente a una persona además de con un número de identificación (DNI o Pasaporte), con datos de localización y con datos de identificadores en línea, incluimos dentro de los datos de identificadores en línea, las direcciones de los protocolos de internet donde se incluye la IP.
- Para determinar si una persona es identificable según la STJU hay que tener en cuenta el conjunto de medios que pueden ser razonablemente usados por el responsable del tratamiento o por cualquier otra persona para identificar a dicha persona. Se considera que no existen medios razonables cuando la identificación del interesado está prohibida por ley o sea irrealizable por el esfuerzo que supone teniendo en cuenta los costes, el tiempo y los recursos humanos.
- Respecto a la consideración de dato personal de las direcciones IP dinámicas registradas por un proveedor de servicios en línea cuando una persona consulta su página web, será considerado como dato personal sujeto a la normativa de protección de datos, siempre y cuando el proveedor de servicios antes citado disponga de la información adicional que permite asociar la dirección IP con esa persona física.
Aquí nos preguntamos si el combinar la dirección IP dinámica que dispone el proveedor de servicios en línea con los datos que dispone el proveedor de acceso a Internet es un medio que pueda ser razonablemente utilizado para identificar al interesado. De entrada apuntar que por norma no será posible la cesión de dichos datos “información adicional” por parte del proveedor de acceso a internet al proveedor de servicios en base al deber de sigilo respecto a los datos de carácter personal, sin embargo, este puede solicitar dicha información en el marco de una investigación penal o en caso de ataques cibernéticos. Por lo tanto en estos casos, el proveedor de servicios dispone de medios que pueden usarse razonablemente para identificar a la persona física con la ayuda del proveedor de acceso o de la autoridad judicial competente.
Conclusión: la IP dinámica es un dato personal para el proveedor de productos y servicios en Internet cuando este dispone de medios legales para identificar a la persona interesada gracias a la información adicional facilitada por el proveedor de acceso a Internet.
Fuente: CR Consultores Legales
Source
