# Dirección IP y RGPD: ¿es un dato personal?

> ¿Es una dirección IP un dato personal? Sentencia Breyer, medios de identificación y qué significa para las herramientas de reconocimiento de visitantes.

Quelle: https://whovisit.app/es/blog/direccion-ip-dato-personal-rgpd
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

Tras casi todo debate sobre el reconocimiento de visitantes hay una pregunta: ¿es una dirección IP un dato personal? De la respuesta depende si el RGPD se aplica siquiera. La respuesta corta es: a menudo sí, pero no siempre y no para todos. La respuesta más larga tiene que ver con los medios de identificación.

El artículo hace una clasificación sobria. No es asesoramiento jurídico. En la jurisprudencia más reciente conviene consultar el original.

## Direcciones estáticas y dinámicas

Una dirección IP **estática** pertenece de forma permanente a la misma conexión. Una dirección **dinámica** se asigna de nuevo en cada conexión, pero un proveedor de internet puede decir después a qué cliente pertenecía en un momento determinado.

Para la valoración jurídica importa menos el tipo de dirección que la pregunta: ¿quién podría averiguar, con un esfuerzo razonable, quién se esconde detrás?

## La sentencia Breyer y los medios de identificación

El Tribunal de Justicia de la Unión Europea decidió el 19 de octubre de 2016 en el asunto C-582/14 (Breyer) que también una dirección IP dinámica puede ser un dato personal para el operador de un sitio web. Condición: dispone de medios jurídicos que le permiten hacer identificar a la persona afectada con ayuda de terceros, por ejemplo del proveedor de internet.

La sentencia se dictó aún en relación con la antigua directiva de protección de datos. Pero se considera un punto de referencia también para el RGPD, cuyo considerando 26 recoge la misma idea: importan todos los medios que, según criterios generales, es razonablemente probable que se utilicen para identificar a la persona.

## Valoración relativa desde el punto de vista del destinatario

Si una información es personal no se decide, pues, de forma abstracta, sino desde la perspectiva de quien la tiene en su poder. El TJUE ha desarrollado esta valoración relativa en época reciente, en último lugar en el asunto C-413/23 P (Supervisor Europeo de Protección de Datos contra Junta Única de Resolución) con sentencia de 4 de septiembre de 2025. Se trataba allí de datos seudonimizados. El tribunal interpretó ampliamente el concepto de datos personales y tuvo en cuenta también la perspectiva del destinatario.

Para usted significa: que una información sea fácil de atribuir a una persona en manos de otro no la convierte automáticamente en dato personal para todos. Pero tampoco puede responderse la cuestión de forma general con «inofensivo». Antes de utilizar esta sentencia en un dictamen, compruebe usted mismo el número de asunto y el estado de la jurisprudencia posterior, pues aquí muchas cosas están en movimiento.

Cómo encaja la cuestión de la IP en el examen global del reconocimiento de visitantes lo muestra [Reconocimiento de visitantes y RGPD: una clasificación sobria](https://whovisit.app/blog/besuchererkennung-dsgvo).

## Dirección de empresa frente a empleado

En el reconocimiento de visitantes se añade una particularidad: la dirección a menudo no pertenece a un hogar particular, sino a una empresa. El RGPD no protege los datos de personas jurídicas. Pero tras la conexión de empresa se sienta una persona que está leyendo ahora su página.

Por eso la conexión de empresa no está automáticamente libre de datos personales. Una conexión desde la oficina de una empresa con dos empleados es más fácil de atribuir a una persona que la de un grupo con 5.000 equipos tras la misma dirección. Cuanto más pequeña es la empresa, más se acerca la atribución a una persona concreta. Por eso las herramientas serias llegan solo hasta el nivel de la organización y renuncian a nombrar personas.

## Tratar no es almacenar

Es importante la distinción entre tratar y almacenar. También el uso breve de una dirección IP para una consulta es un tratamiento en el sentido del RGPD, en la medida en que la dirección sea personal. Entonces hace falta una base jurídica. Pero la intensidad de la intromisión es otra si la dirección no se conserva tras la consulta.

Qué base jurídica encaja lo aclara [Consentimiento o interés legítimo: cómo decidir](https://whovisit.app/blog/einwilligung-oder-berechtigtes-interesse).

Lugares típicos en los que una dirección se queda pese a todo:

- **Registros del servidor**, cuando los accesos se anotan junto con la dirección.
- **Valores de control y limitadores** (protección contra abusos). Aquí se puede prevenir guardando en la memoria de trabajo solo un hash y no la dirección misma.
- **Transmisión a directorios**: quien consulta el titular de una red envía la dirección a un registro. Para direcciones fuera de Europa, los registros europeos reenvían las consultas a los registros de otras regiones del mundo. La consulta llega entonces a organismos fuera de la UE. Esto afecta a la cuestión de si existe una transferencia a un tercer país. Debe constar en la documentación.

Qué etapas recorre una dirección en el reconocimiento de empresas lo muestra [¿Cómo funciona el reconocimiento de empresas? Técnica en 6 pasos](https://whovisit.app/blog/firmenerkennung-website-technik).

Whovisit es un ejemplo de herramienta que utiliza la dirección solo para la consulta en el registro de redes y después la descarta. En la memoria de trabajo queda un valor de control formado por un hash con secreto del servidor. Es una descripción de la técnica y no una promesa de que con ello quede respondida toda cuestión jurídica.

Qué se almacena y durante cuánto tiempo figura en la ayuda, en [Conservación y borrado](https://whovisit.app/hilfe/datenschutz-und-aufbewahrung).

## Lista de comprobación de minimización de datos: preguntas a cada herramienta

1. ¿Se almacena la dirección IP, en la base de datos o en registros?
2. Si no: ¿dónde exactamente se descarta? ¿Cuánto tiempo permanece en la memoria de trabajo?
3. ¿Hay valores de control o limitadores? ¿Están cifrados con hash?
4. ¿Adónde se envía la dirección para su resolución (registro, DNS, proveedor de datos de empresas)?
5. ¿Están esos destinatarios en la UE o se aplican las normas de terceros países?
6. ¿Cómo se describe esto en la política de privacidad y en el contrato de encargo de tratamiento?
7. ¿Se limita el reconocimiento a empresas o se nombra también a personas individuales?

## Fuentes

- [TJUE, sentencia de 19 de octubre de 2016, Breyer, C-582/14](https://curia.europa.eu/juris/liste.jsf?num=C-582/14)
- [TJUE, sentencia de 4 de septiembre de 2025, SEPD contra JUR, C-413/23 P](https://curia.europa.eu/juris/liste.jsf?num=C-413/23)
- [RGPD](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679), art. 4, punto 1, y considerando 26