TYGlobe

Direcciones IP, Cookies, BSSID y cadenas TC, si bien no permiten necesariamente identificar directamente el nombre del sujeto de la información, pueden «identificar» a una persona natural específica al combinarse con otra información.

El Código Civil de China define la información personal de la siguiente manera: la información personal es todo tipo de información registrada por medios electrónicos o de otro tipo, que puede identificar a una persona natural específica por sí sola o en combinación con otra información.

El Artículo 4 del Reglamento General de Protección de Datos (RGPD) de la Unión Europea define la «información personal» como toda información relativa a una persona natural identificada o identificable.

De ello se desprende que el carácter de «identificable» resulta de especial importancia para determinar qué información se incluye en la categoría de información personal.

En cuanto a la interpretación del concepto de «identificable», el Reglamento General de Protección de Datos (RGPD) de la Unión Europea establece que una persona física identificable es aquella que puede ser identificada directa o indirectamente a través de elementos de identificación. La formulación del Grupo de Trabajo del Artículo 29 sobre Protección de Datos de la Unión Europea es más gráfica: «Una persona física puede considerarse «identificada» cuando, dentro de un grupo de personas, se distingue de todos los demás miembros del grupo», es decir, «ser identificable significa poder reconocer a una persona física concreta entre la multitud».

El Reglamento General de Protección de Datos establece en su Considerando 26 (Recital 26) que, al determinar si una persona física es identificable, se deben tomar en consideración todos los métodos razonables, y al evaluar la razonabilidad de dichos métodos, se deben combinar factores como el costo, la factibilidad técnica actual, entre otros. Los casos mencionados anteriormente también nos aportan experiencias importantes para dominar el concepto de «identificable» en la práctica:

¿Acaso dicha información no constituye «información personal» si no se combina con «otra información» para fines de identificación?

En el caso de apelación entre Google y Judith Vidal-Hall y otros, Google alegó que había segregado efectivamente la otra información susceptible de combinarse con las cookies, es decir, no había utilizado dicha «otra información» para combinarla con las cookies con el fin de identificar la identidad personal, por lo que la información de las cookies no constituye información personal. El Tribunal de Apelación del Reino Unido no apoyó dicho argumento, sosteniendo que, de conformidad con la definición de información personal prevista en la legislación de la Unión Europea, la información que permite identificar la identidad personal de forma indirecta constituye información personal siempre que se halle en poder del responsable del tratamiento de datos y pueda ser utilizada para identificar la identidad personal, siendo irrelevante si se ha utilizado realmente para tal fin o si existe intención de utilizarla de este modo.

En cuanto a la redacción del artículo 1(1)(b), esta se refiere únicamente a la información «en posesión de» el controlador de datos, y al parecer solo se centra en si los datos «pueden ser utilizados» para identificar a una persona física, no en si ya han sido utilizados de este modo o si existe la intención de utilizarlos de tal forma. Por lo tanto, conforme a una interpretación literal y directa de dicho artículo, el hecho de que un controlador de datos no agregue la información pertinente en la práctica es irrelevante. Lo que importa es si el demandado cuenta efectivamente en su poder con «otra información» que pueda utilizar para identificar al sujeto del BGI, independientemente de si lo hace o no.

¿Si la «otra información» no puede ser obtenida, la información de que se dispone no constituye información personal?

En el caso Patrick Breyer c. República Federal de Alemania, el Gobierno Federal de Alemania era el proveedor de contenidos del sitio web de que se trataba y no disponía de la dirección IP de Breyer por sí mismo, por lo que el Tribunal Federal de Justicia de Alemania incurrió en un error judicial en la resolución de dicho caso.

En el presente asunto, la calificación de la dirección IP como dato personal debe determinarse atendiendo a las circunstancias concretas: la dirección IP solo puede considerarse dato personal cuando obra en poder de un proveedor de servicios de Internet, ya que este último dispone de «otra información» que puede combinarse con la dirección IP para identificar la identidad de Breyer. Por el contrario, un proveedor de contenidos de sitios web como el Gobierno Federal de Alemania no cuenta con la capacidad para obtener dicha «otra información», por lo que la dirección IP no constituye un dato personal en tales circunstancias.

El Tribunal de Justicia de la Unión Europea no comparte este criterio, y considera que, con arreglo a la normativa de la Unión Europea, para determinar si una información constituye un dato que permita la identificación indirecta de una persona física, no solo se han de tomar en consideración las informaciones a las que el controlador de datos actual puede acceder por medios razonables, sino también las informaciones a las que otros sujetos pueden acceder por medios razonables. En otras palabras, la normativa de la Unión Europea no exige que todas estas informaciones obren en poder de un mismo sujeto para que se estime que constituyen datos personales.

Además, el considerando 26 de la Directiva 95/46 establece que, para determinar si una persona es identificable, se deben tener en cuenta todos los medios que razonablemente puedan ser utilizados tanto por el responsable del tratamiento como por cualquier otra persona para identificar a la referida persona.

En la medida en que dicho considerando se refiere a los medios que razonablemente pueden ser utilizados tanto por el responsable del tratamiento como por «cualquier otra persona», su redacción sugiere que, para que la información sea calificada como «datos de carácter personal» en el sentido del artículo 2, letra a), de la mencionada Directiva, no es requisito que toda la información que permite la identificación del titular de los datos se encuentre en poder de una sola persona.

¿Se trata únicamente del formulador de las normas de tratamiento de la información que no entra en contacto con la información en absoluto, o del controlador de información personal?

A veces, creemos que basta con no tener acceso a la información para quedar al margen de los riesgos de seguridad de la información.

En el caso IAB Europe c. Gegevensbeschermingsautoriteit, IAB Europe no accedió a la información en todo el transcurso de sus actividades, sin embargo, al haber formulado las reglas de tratamiento de la cadena TC, fue declarado controlador conjunto de la información personal (t-controller) y asumió las responsabilidades correspondientes.

Al respecto, el Tribunal de Justicia de la Unión Europea indicó lo siguiente: si un organismo público proporciona a sus miembros las reglas de tratamiento de la información personal, que incluyen no solo las especificaciones técnicas para el tratamiento de la información, sino también las reglas relativas a la distribución y almacenamiento de la misma, deberá ser calificado como «controlador conjunto».

La razón es que dicho organismo público ha ejercido influencia sobre el proceso de tratamiento de la información, y ha decidido conjuntamente con sus miembros la finalidad y los métodos de tratamiento de la información; el hecho objetivo de que dicho organismo público no acceda directamente a la información no le excluye por consiguiente de la condición de controlador conjunto.

Primero, una organización sectorial, en la medida en que proponga a sus miembros un marco normativo por ella establecido relativo al consentimiento para el tratamiento de datos de carácter personal, que contenga no solo normas técnicas vinculantes, sino también normas que detallen las disposiciones de almacenamiento y difusión de los datos de carácter personal relativos a dicho consentimiento, deberá ser clasificada como controlador de datos…… ejerce influencia sobre el tratamiento de datos de carácter personal en cuestión para la consecución de sus propios fines, y determina conjuntamente con sus miembros las finalidades y los medios de dicho tratamiento. El hecho de que dicha organización sectorial no cuente por sí misma con acceso directo a los datos de carácter personal…… no le impide ostentar la condición de controlador de datos……;