Registro de direcciones IP bajo el GDPR: seudonimización, dato personal y qué está permitido

Una dirección IP es un dato personal según el GDPR. Los registros de seguridad suelen necesitarlos durante semanas o meses. ¿Cómo se concilia eso con los principios de conservación?

Una dirección IP se considera un dato personal bajo el GDPR. Los registros de seguridad que almacenan direcciones IP están sujetos a las normas de tratamiento de datos.

Bases legales permitidas

• Interés legítimo: seguridad, prevención del fraude, resolución de problemas. La más utilizada.
• Obligación legal: en caso de legislación específica (supervisión financiera).
• Consentimiento: raramente necesario para los registros de seguridad.

Plazos de conservación

• Registros de acceso web: 30 días por defecto, hasta 90 para fines forenses.
• Registros de autenticación (intentos de inicio de sesión): 90 días - 1 año.
• Registros de cortafuegos: 30-90 días.
• Registros de auditoría para cumplimiento: 3 años (requerido por ISO).

Conservar datos por más tiempo implica una justificación más sólida en el registro de tratamiento y un análisis de riesgos que explique por qué es necesario.

Seudonimización

¿Es posible anonimizar el último octeto (192.168.1.x → 192.168.1.0/24)? Para analítica es suficiente. Para seguridad, generalmente no: necesitas poder correlacionar una IP específica.

Derechos de los interesados

Si alguien pregunta "¿qué registros tienes sobre mí?", debes poder buscar tanto por su IP como por su ID de cuenta. Documenta en tu sistema cómo lo haces.

Ver también: pilar GDPR, plazos de conservación.