TYGlobe

Hoy en día, la conciencia de la población sobre la seguridad de la información es cada vez más fuerte. En la vida cotidiana, nos mantenemos alerta ante el uso de información que involucre el nombre completo, el número de Cédula de Identidad de Residente, el número de teléfono móvil, la huella dactilar, el número de cuenta bancaria, entre otros datos. Sin embargo, existen algunos contenidos que no parecen ser información personal a simple vista, pero en realidad también pertenecen a la categoría de información personal, por lo que requieren nuestra especial atención. Hoy profundizaremos en este tipo de información personal oculta y en los métodos para identificarla.

dirección IP dinámica

La dirección IP se refiere a una secuencia de números asignada a las computadoras conectadas a Internet, destinada a la comunicación entre dichas computadoras. Las direcciones IP se clasifican en direcciones IP estáticas y direcciones IP dinámicas. Durante un periodo existió controversia sobre si las direcciones IP dinámicas constituyen información personal, mientras que actualmente se ha establecido claramente que las direcciones IP, tanto estáticas como dinámicas, constituyen información personal.

En 2007, el Grupo de Trabajo sobre Protección de Datos del Artículo 29 de la Unión Europea (grupo de trabajo en materia de protección de datos establecido el 24 de octubre de 1995 por el Parlamento Europeo y el Consejo de la Unión Europea de conformidad con el artículo 29 de la Directiva sobre Protección de Datos de la UE) presentó un informe consultivo sobre el concepto de información personal denominado *OPINION 4/2007 on the concept of personal data*. En dicho informe, el grupo de trabajo consideró que los proveedores y gestores de servicios de acceso a Internet son los sujetos encargados de asignar direcciones IP a los usuarios de la red; al mismo tiempo, registran información de registros como la fecha de inicio de sesión de los usuarios de Internet, la duración de la sesión, las direcciones dinámicas, entre otros datos, y poseen el libro de registros del servidor HTTP. Por lo tanto, los proveedores y gestores de servicios de acceso a Internet pueden identificar la identidad de los usuarios a quienes se asignan las direcciones IP dinámicas a través de métodos correspondientes. En consecuencia, no cabe duda de que las direcciones IP constituyen información personal según la definición establecida en el artículo 2, letra a), de la Directiva Europea sobre Protección de Datos (Directiva 95/46).

El Grupo de Trabajo ha considerado las direcciones IP como datos relativos a una persona identificable. Ha declarado que "los proveedores de acceso a Internet y los administradores de redes de área local pueden, mediante medios razonables, identificar a los usuarios de Internet a quienes han asignado dichas direcciones IP, dado que por lo general registran de forma sistemática en un archivo la fecha, la hora, la duración y la dirección IP dinámica asignada al usuario de Internet. Lo mismo aplica a los proveedores de servicios de Internet que mantienen un libro de registro en el servidor HTTP. En estos casos, no existe duda alguna sobre el hecho de que se trata de datos personales en el sentido del apartado a) del Artículo 2 de la Directiva …"

Caso Patrick Breyer: el Tribunal de Justicia de la Unión Europea confirma que las direcciones IP dinámicas constituyen información personal.

En 2016, el Tribunal de Justicia de la Unión Europea dictó una resolución sobre la consulta prejudicial presentada en el asunto Patrick Breyer contra la República Federal de Alemania, en la que estimó que las direcciones IP dinámicas constituyen información personal. El demandante de dicho asunto, Breyer, interpuso demanda contra el Gobierno Federal de Alemania, alegando que este había recogido su dirección IP cuando accedió a los sitios web gubernamentales. Después de ser sustanciado en dos instancias judiciales en territorio alemán, los tribunales competentes tuvieron dificultades para determinar si las direcciones IP dinámicas se consideran información personal, por lo que presentaron la consulta prejudicial ante el Tribunal de Justicia de la Unión Europea. Tras examinar el asunto, el Tribunal de Justicia de la Unión Europea estimó que, teniendo en cuenta que los proveedores de servicios de Internet pueden identificar la identidad del sujeto de la información correspondiente a la dirección IP dinámica mediante la combinación de dicha dirección con otra información, las direcciones IP dinámicas entran en el ámbito de la información personal definida en la Directiva de Protección de Datos de la Unión Europea (Directiva 95/46).

Habida cuenta de todas las consideraciones anteriores, la respuesta a la primera cuestión es que el artículo 2, letra a), de la Directiva 95/46 debe interpretarse en el sentido de que una dirección IP dinámica registrada por un proveedor de servicios de medios en línea cuando una persona accede a un sitio web que dicho proveedor pone a disposición del público constituye datos de carácter personal en el sentido de dicha disposición en relación con dicho proveedor, siempre que este último disponga de los medios jurídicos que le permitan identificar al interesado mediante los datos adicionales que el proveedor de servicios de Internet posee sobre dicha persona.

Cookie

Se trata de un archivo de texto almacenado en el ordenador, que se encuentra asociado a un archivo de página web específico y conserva la información generada durante el acceso de dicho ordenador a la referida página web. Por consiguiente, cuando el ordenador vuelva a acceder a esta página web en la próxima ocasión, la información almacenada en las cookies podrá ser invocada para realizar la asociación correspondiente.nLas cookies suelen estar compuestas por dos partes: una es el nombre, que hace referencia a la dirección URL de la página web a la que accede el usuario; la otra es el contenido, que incluye la fecha concreta de acceso a la página web, la duración del acceso, entre otros elementos.

Alrededor de 2015, la Empresa Google fue demandada en todo el mundo por obtener información personal a través de cookies en violación de las disposiciones legales. En dichos litigios, los juzgados y tribunales adjudicadores determinaron la naturaleza de las cookies como información personal.

Caso Google y Judith Vidal-Hall

El contexto del caso es el siguiente: durante el periodo comprendido entre el verano de 2011 y el 17 de febrero de 2012, Google instaló ilícitamente archivos cookie en el navegador Safari de los usuarios de teléfonos móviles de Apple (navegador web proporcionado por Apple a los usuarios) y eludió la función de restablecimiento de dicho navegador, por lo que incluso si los usuarios de teléfonos móviles se negaban activamente a la instalación, no podían eliminar los archivos cookie instalados por Google en el navegador Safari. A través de los archivos cookie, Google recopilaba de forma clandestina la información de navegación web de los usuarios de teléfonos móviles de Apple, denominada BGI en el caso británico (Browser-Generated Information, mientras que en el caso homólogo estadounidense no se adoptó esta definición y se utilizó directamente el término Cookie). Google proporcionó la información recopilada a los anunciantes para aplicarla en el marketing publicitario dirigido.nnEn el presente caso, la compañía Google alegó que las cookies no pertenecen a la información personal, pero dicha alegación no fue apoyada por el Tribunal de Apelación del Reino Unido. Este último consideró que, dado que la información BGI de este caso incluye datos como la dirección web navegada por el usuario, la fecha y la hora de navegación, la dirección virtual y la dirección física del usuario, la BGI se considera información personal definida en el artículo 1(1) de la Ley de Protección de Datos del Reino Unido (DPA, por sus siglas en inglés):

The BGI singles them out and therefore directly identifies them for the purposes of section 1(1)(a) of the DPAhaving regard to the following:

(i) La información de BGI consta de dos elementos relevantes: (a) historiales de navegación detallados integrados por una serie de elementos como los sitios web visitados, así como las fechas y horas de visita a dichos sitios web; y (b) información derivada del uso de la cookie «DoubleClick», la cual constituye un identificador único que permite vincular los historiales de navegación a un dispositivo/usuario individual, así como al Demandado (se refiere en el presente asunto a la empresa Google) reconocer cuándo se encuentra el usuario en línea, de modo que se pueda dirigir publicidad segmentada al usuario basada en el análisis de su historial de navegación.

(ii) Taking those two elements together, the BGI enables the defendant (Aquí se refiere a Google) to single out users because it tells the defendant(i) the unique ISP address of the device the user is using i.e. a virtual postal address; (ii) what websites the user is visiting; (iii) when the user is visiting them; (iv) and, if geo location is possible, the location of the user when they are visiting the website; (v) the browser’s complete browsing history; (vi) when the user is online undertaking browser activities. The defendant therefore not only knows the user’s (virtual) address; it knows when the user is at his or her (virtual) home.

Caso FTC contra Google (CN 12-04177 SI)

En 2012, por la misma razón, Google fue sometido a la supervisión de la Comisión Federal de Comercio de los Estados Unidos (Federal Trade Commission, abreviada como FTC) en territorio estadounidense. Las dos partes alcanzaron un acuerdo de supervisión, que fue confirmado por la resolución del Juzgado de Distrito de los Estados Unidos. El juzgado no llevó a cabo el juicio sobre el contenido sustantivo del caso, pero en este asunto, Google también tuvo que abonar una indemnización de 22,5 millones de dólares estadounidenses por recopilar ilegalmente las cookies de los usuarios para prestar servicios de marketing publicitario preciso a empresas publicitarias. Por consiguiente, se puede observar que los órganos de supervisión de los Estados Unidos también han formulado una valoración negativa respecto al comportamiento de recopilación de cookies.

BSSID

Durante el uso de los teléfonos móviles (incluidos los equipados con el sistema Android y el sistema IOS de Apple), se requiere comunicar en tiempo real la latitud y longitud de la ubicación del dispositivo con estaciones base de telefonía móvil, satélites BeiDou, satélites GPS, entre otros. El BSSID (Identificador de Conjunto de Servicios Básico) es el archivo que registra la latitud y longitud exactas del teléfono móvil, que por regla general solo se proporciona a terceros previo consentimiento del usuario. En términos sencillos, el BSSID equivale a la dirección física del teléfono móvil.nnEn un caso ocurrido en los Estados Unidos, una empresa de explotación publicitaria fue sometida a supervisión por la Comisión de Comercio de los Estados Unidos por obtener la información de BSSID de los teléfonos móviles de los usuarios sin la autorización de estos.

Caso FTC contra OpenX (2:21-cv-09693)

OpenX es una empresa que presta servicios de apoyo a la difusión de publicidad dirigida precisa para anunciantes. En 2018, la Comisión Federal de Comercio (FTC) detectó que OpenX recopilaba la información BSSID de los teléfonos móviles de los usuarios sin el consentimiento de estos, contraviniendo las normativas pertinentes. La FTC no determinó directamente que el BSSID constituya información personal, pero sí estableció que la conducta de OpenX de recopilar la información BSSID de los teléfonos móviles de los usuarios sin su consentimiento constituye un acto ilícito, por lo que ejerció la supervisión y regulación correspondiente sobre OpenX.

OpenX recopiló y transfirió el BSSID incluso en los casos en que el consumidor no había prestado su consentimiento o había denegado expresamente el permiso para la recopilación de datos de ubicación. Por consiguiente, las declaraciones a las que se refiere el párrafo 57 eran falsas o engañosas, y constituyen un acto o práctica engañosa en infracción de la Sección 5(a) de la Ley de la Comisión Federal de Comercio (Ley FTC), 15 U.S.C. § 45(a).

Cadena de caracteres TC

La cadena de caracteres (String) es una secuencia de caracteres compuesta por números, letras y guiones bajos. Se trata de un tipo de datos utilizado para representar textos en los lenguajes de programación. En la resolución dictada por el Tribunal de Justicia de la Unión Europea en marzo de 2024, se establece que la cadena de caracteres TC constituye datos de carácter personal.

IAB Europe contra Gegevensbeschermingsautoriteit (C-604/22)

Gegevensbeschermingsautoriteit es la autoridad de protección de datos de Bélgica (cuyo acrónimo es DPA). IAB Europe es una organización sin ánimo de lucro dedicada a la intermediación publicitaria y las licitaciones en línea. Desde 2019, la DPA ha recibido sucesivas denuncias contra IAB Europe, acusándola de transmitir información personal de forma ilegal por medio de las cadenas TC.nLas cadenas TC son datos de cadena de caracteres utilizados por la plataforma de licitación publicitaria de IAB Europe, cuyo contenido incluye la manifestación de voluntad de los usuarios de Internet o de aplicaciones móviles de consentir el tratamiento de su información personal, es decir, el consentimiento para que los proveedores de aplicaciones, los intermediarios de datos y los anunciantes traten su información, así como la información sobre los comportamientos y preferencias de los usuarios durante la navegación por Internet, entre otros datos.nIAB Europe ha establecido un conjunto de reglas de tratamiento de datos en su propia plataforma, que estipulan los mecanismos de generación, almacenamiento y transmisión de las cadenas TC. IAB Europe aplica un sistema de afiliación: solo los afiliados registrados en IAB Europe pueden obtener estos datos de cadena de caracteres, y los mismos deben cumplir con las mencionadas reglas de tratamiento de datos formuladas por IAB Europe. Los afiliados, después de obtener la información de los usuarios de Internet contenida en las cadenas TC, realizan el envío de publicidad dirigida.

El punto controvertido del presente caso reside en si la cadena de caracteres TC se considera datos personales. El Tribunal de Apelación de Bruselas de Bélgica, al no poder determinar la cuestión, presentó una solicitud de consulta ante el Tribunal de Justicia de la Unión Europea.

El Tribunal de Justicia de la Unión Europea, al contrastar las disposiciones establecidas en el artículo 4, apartado 1 del Reglamento General de Protección de Datos (GDPR), estima que, si bien la cadena de caracteres TC no permite identificar directamente la identidad de una persona física, siempre que se combine con otros datos (por ejemplo, la dirección IP), podrá materializar la identificación de una persona física, por lo que sigue constituyendo datos de carácter personal según la definición prevista en el mencionado artículo 4, apartado 1.

El Reglamento General de Protección de Datos (GDPR) debe interpretarse en el sentido de que una cadena compuesta por una combinación de letras y caracteres, como la Cadena TC, que contiene las preferencias de un usuario de Internet o de una aplicación relativas al consentimiento de dicho usuario para el tratamiento de los datos personales que le conciernen por parte del proveedor del sitio web o de la aplicación, así como por parte de los intermediarios de dichos datos y de las plataformas publicitarias, constituye datos personales en el sentido de dicha disposición, en la medida en que dichos datos puedan, por cualquier medio, asociarse a un identificador, como, entre otros, la dirección IP del dispositivo del usuario, permitiendo la identificación de los sujetos de datos.