La dirección de protocolo de Internet dinámica de un usuario constituye, para el gestor del sitio, un dato personal cuando dicho gestor dispone de medios legales que le permitan identificar al usuario de que se trate gracias a la información suplementaria de que dispone el proveedor de acceso a Internet del usuario
El gestor de un sitio web puede conservar, más allá del cierre de la sesión, un registro de las direcciones IP dinámica de sus usuarios, pues tiene un interés legítimo en garantizar la continuidad del funcionamiento del sitio ante eventuales ataques.
Así lo ha declarado el Tribunal de Justicia de la Unión Europea en su sentencia de fecha 19 de octubre de 2016 (asunto C-582/14, Breyer), resolviendo una cuestión prejudicial presentada por el Tribunal Supremo Civil y Penal de Alemania, en la que se preguntaba, por un lado, si las direcciones IP «dinámicas» constituyen en relación con el gestor del sitio de Internet, un dato personal del usuario, que disfruta de la protección prevista para tales datos y, por otro, si el gestor de un sitio de Internet debe, al menos en principio, tener la posibilidad de recoger y utilizar posteriormente los datos personales de los usuarios con el fin de garantizar el funcionamiento general de su sitio.
Características de las direcciones IP de los usuarios de un sitio web
El caso se inició ante la pretensión de un ciudadano alemán que se opuso, ante los órganos jurisdiccionales alemanes, a que los sitios de Internet de los organismos federales alemanes que consulta registren y conserven sus direcciones de protocolo de Internet («direcciones IP»).
Las direcciones IP son secuencias de números que se asignan a los ordenadores conectados a Internet para permitir la comunicación entre ellos a través de esa red. Cuando se consulta un sitio de Internet, la dirección IP del ordenador que consulta se comunica al servidor en el que se aloja el sitio consultado. Dicha comunicación es necesaria para que los datos consultados puedan transferirse al destinatario correcto.
Por su parte, una dirección IP dinámica es una dirección IP que cambia con ocasión de cada nueva conexión a Internet. A diferencia de las direcciones IP estáticas, las direcciones IP dinámicas no permiten relacionar, mediante ficheros accesibles al público, un ordenador concreto y la conexión física a la red utilizada por el proveedor de acceso a Internet, pues únicamente el proveedor de acceso a Internet del usaurio dispone de la información suplementaria necesaria para identificarle.
Los organismos alemanes registran y conservan, además de la fecha y hora de la consulta, las direcciones IP de los usuarios para prevenir ataques cibernéticos y posibilitar el ejercicio de acciones penales.
Las direcciones IP como dato personal protegible
En su sentencia, el Tribunal de Justicia declara, en primer lugar, que una dirección IP dinámica registrada por un «proveedor de servicios de medios en línea» (es decir, por el gestor de un sitio de Internet, en el presente asunto los organismos federales alemanes) durante la consulta de su sitio de Internet accesible al público constituye, respecto al gestor, un dato personal, en el sentido de la sentido de la Directiva 95/46/CE, de 24 de octubre de 1995, cuando dicho operador dispone de medios legales que le permitan identificar al usuario gracias a la información suplementaria de que dispone el proveedor de acceso a Internet de dicho usuario.
Y en el caso concreto, la legislación alemana permite al gestor de servicios en línea dirigirse a la autoridad competente a fin de que ésta lleve a cabo las actuaciones necesarias para obtener dicha información del proveedor de acceso a Internet y para ejercitar a continuación acciones penales.
Legitimidad de la conservación de los datos de las IP’s dinámicas
En segundo lugar, el Tribunal de Justicia recuerda que, conforme al Derecho de la Unión, el tratamiento de datos personales es lícito, entre otros supuestos, si es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento (o por el tercero o terceros a los que se comuniquen los datos), siempre que no prevalezcan el interés o los derechos y libertades fundamentales del interesado.
Por ello, teniendo en cuenta que la normativa alemana, tal como la interpreta la mayor parte de la doctrina, excluye que el objetivo de garantizar el funcionamiento general de dicho medio en línea pueda ser objeto de ponderación con el interés o los derechos y libertades fundamentales de los usuarios, el Tribunal de Justicia señala que los organismos federales alemanes que suministran servicios de medios en línea podrían tener un interés legítimo en garantizar, más allá de cada utilización concreta de sus sitios de Internet accesibles al público, la continuidad del funcionamiento de sus sitios.
