Análisis sobre la legalidad de solicitar direcciones IP en teleformación bonificada (SEPE)

Análisis técnico-legal de la solicitud de IP en cursos bonificados por el SEPE. Conoce la normativa y si es legal negarse a facilitar estas direcciones

1. Normativa vigente aplicable en España

Reglamento General de Protección de Datos (RGPD). El RGPD (Reglamento (UE) 2016/679) define dato personal como “toda información sobre una persona física identificada o identificable” (art. 4.1 RGPD). Se considera que las direcciones IP son datos personales, ya que pueden asociarse a usuarios concretos (por ejemplo, a través de su proveedor de internet o de la propia plataforma de formación). De hecho, el Tribunal Supremo español ha señalado expresamente que “las direcciones IP son datos personales” al contener información sobre personas físicas identificadas o identificables. En consecuencia, el tratamiento de las IP de alumnos y profesores en la formación online está sujeto a las exigencias del RGPD en cuanto a licitud, transparencia, minimización, seguridad, etc.

El RGPD exige que todo tratamiento de datos personales tenga una base jurídica válida (art. 6.1 RGPD). Entre las bases legales posibles se incluyen, entre otras, el cumplimiento de una obligación legal (art. 6.1.c RGPD) o el cumplimiento de una misión en interés público o ejercicio de poderes públicos (art. 6.1.e RGPD) que justifiquen dicho tratamiento. En el caso que nos ocupa, la solicitud de direcciones IP por parte de un organismo público (el SEPE) en un proceso de control podría encajar en alguna de estas bases, siempre que exista una norma que lo habilite.

Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD). La Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD), complementa el RGPD en España y aporta precisiones relevantes. En particular, su artículo 8 aclara los supuestos de tratamiento basados en obligaciones legales o en funciones de interés público. Establece que el tratamiento estará amparado en el cumplimiento de una obligación legal (art. 6.1.c RGPD) solo cuando “así lo prevea una norma de la Unión Europea o una norma con rango de ley”, pudiendo dicha norma determinar las condiciones generales del tratamiento, los tipos de datos e incluso imponer garantías adicionales. Igualmente, el tratamiento basado en misión en interés público o ejercicio de poderes públicos (art. 6.1.e RGPD) requiere que derive de “una competencia atribuida por una norma con rango de ley”. Esto significa que para que el SEPE pueda invocar una base de legitimación en estos supuestos, debe existir una normativa con rango de ley que le otorgue la facultad de recabar datos personales (como las IP) en sus funciones de control.

Normativa específica del SEPE/FUNDAE sobre formación bonificada (teleformación). La formación programada por las empresas (bonificada) se rige por la Ley 30/2015, de 9 de septiembre, que regula el Sistema de Formación Profesional para el Empleo en el ámbito laboral, desarrollada por el Real Decreto 694/2017, de 3 de julio. Dicha normativa establece las obligaciones de empresas, entidades organizadoras y de formación, así como las facultades de seguimiento y control por parte de la Administración (SEPE/Fundación Estatal para la Formación en el Empleo – FUNDAE).

En cuanto a la modalidad de teleformación, la normativa impone requisitos técnicos para garantizar la calidad y verificabilidad de la formación. El Real Decreto 694/2017 define la teleformación y prevé que las plataformas virtuales de aprendizaje deben registrar la actividad de los usuarios. De hecho, las Instrucciones del SEPE en materia de seguimiento y control (por ejemplo, la Instrucción de la Dirección General del SEPE de 2019 sobre seguimiento de acciones formativas) especifican que la plataforma de teleformación debe estar habilitada para generar registros de interacción de cada usuario (alumnos y tutores), incluyendo todas las actividades que realizan. Entre las comprobaciones obligatorias están la realización del itinerario formativo por el alumno, la limitación de horas diarias de conexión, la realización de controles de aprendizaje y el seguimiento continuo de la participación.

En particular, estas instrucciones señalan expresamente que se podrá realizar seguimiento al dato de la dirección IP del usuario cuando sea necesario para verificar la correcta ejecución de la acción formativa bonificada, pudiendo el órgano de control (SEPE) requerir dicha información en sus actuaciones de seguimiento incluso sin el consentimiento expreso del interesado. Esto deja claro a nivel reglamentario que los sistemas de formación online deben registrar la IP de conexiones de alumnos y tutores, y que dicho dato puede ser exigido por la Administración en una inspección o control.

Por otro lado, la normativa de FUNDAE/SEPE impone obligaciones documentales. Según las FAQs oficiales de FUNDAE, en teleformación la entidad debe conservar durante 4 años diversos documentos y evidencias del curso, incluyendo “registros de actividad/interacción con el programa”, los controles de aprendizaje realizados, contenidos, guías didácticas, acreditaciones de los tutores, etc., así como un registro de conexiones donde se identifiquen los participantes, con sus fechas y tiempos de conexión. La plataforma debe poder generar estos informes de conexión por usuario; solo de forma excepcional, si la herramienta no pudiera, se admitiría una declaración responsable del participante. Esto demuestra la importancia que da la normativa sectorial al registro técnico de la participación, del cual la dirección IP suele ser parte relevante (p.ej., para constatar el origen de la conexión o posibles conexiones duplicadas anómalas).

Además, la normativa laboral sancionadora (Real Decreto Legislativo 5/2000, de 4 de agosto, Ley de Infracciones y Sanciones en el Orden Social – LISOS) incluye infracciones específicas en materia de formación bonificada. En su artículo 15 (infracciones graves) se tipifica, entre otras conductas, “no establecer el debido control de asistencia de los participantes en las acciones formativas, o establecerlo de manera inadecuada”, así como expedir diplomas o certificados de asistencia falsos o negarse a entregarlos cuando sean requeridos por los órganos de control. También se prevé como infracción muy grave la obtención indebida de bonificaciones o el incumplimiento de obligaciones de formación si da lugar a disfrute indebido de fondos públicos. Esta normativa sancionadora refuerza la obligación de llevar un control fiable de la realización de la formación y de colaborar con las inspecciones, bajo pena de sanción.

Otras normativas aplicables. Además de lo anterior, podría ser relevante la Ley 39/2015, de Procedimiento Administrativo Común (en cuanto al deber de colaboración con la Administración en procedimientos de inspección), así como la normativa de protección de datos en comunicaciones electrónicas si aplicase (p.ej., Ley 34/2002, de Servicios de la Sociedad de la Información, respecto a direcciones IP y datos de tráfico, aunque en este contexto prima el RGPD/LOPDGDD al tratarse de control interno y no de comunicaciones comerciales). También la normativa laboral general impone a empresas y entidades colaboradoras el deber de facilitar información a la Inspección de Trabajo o al propio SEPE en el marco de subvenciones o bonificaciones que gestionan.

En síntesis, el marco legal vigente (RGPD/LOPDGDD y normas específicas de formación bonificada) reconoce la dirección IP como dato personal y, al mismo tiempo, establece las obligaciones legales que legitiman su recopilación y cesión al SEPE con fines de control, siempre que dichas obligaciones estén previstas en norma con rango de ley o su desarrollo reglamentario.

2. Facultad legal del SEPE para solicitar las direcciones IP y circunstancias habilitantes

Dada la normativa expuesta, el SEPE sí tiene base legal para solicitar las direcciones IP de alumnos y formadores involucrados en cursos bonificados de teleformación, siempre que dicha solicitud se enmarque en sus funciones de seguimiento y control de la formación subvencionada. En particular, la Ley 30/2015 encomienda al SEPE (y, en su caso, a las Comunidades Autónomas competentes) la supervisión de la correcta ejecución de las acciones formativas bonificadas, para garantizar que los fondos públicos se apliquen adecuadamente. Esta ley, desarrollada por el RD 694/2017, habilita al SEPE a recabar cuanta información y documentación sea necesaria para verificar la realización efectiva de la formación.

La Instrucción interna del SEPE antes citada dispone claramente que, en formación mediante teleformación, las entidades impartidoras deberán facilitar a petición de los órganos de control “la información y los instrumentos técnicos necesarios para el ejercicio de sus funciones, incluyendo el acceso telemático a las herramientas utilizadas”. Esto supone que, ante un requerimiento de inspección o auditoría, la entidad debe permitir al SEPE acceder a la plataforma o, alternativamente, extraer y entregar los datos de seguimiento de la misma (por ejemplo, informes de conexiones, registros de actividad, etc.). Dentro de esa información, cuando sea necesario para verificar la correcta ejecución del curso, el SEPE puede pedir expresamente los datos de dirección IP asociados a las conexiones de cada participante.

¿En qué circunstancias sería “necesario” solicitar las IP? Por ejemplo: para comprobar la ubicación o identidad del usuario en casos dudosos, para detectar posibles fraudes (como un mismo tutor conectándose con credenciales de varios alumnos), para constatar que un alumno accedió realmente desde un entorno permitido, o ante indicios de que los registros de actividad pudieran haber sido manipulados. La IP actúa como un elemento de verificación adicional: puede revelar si dos usuarios remotos comparten el mismo origen (lo que podría evidenciar suplantaciones), o si un alumno nunca se conectó desde la ubicación esperada. En definitiva, la IP sirve al SEPE como medio de control en caso de inspección o investigación de irregularidades en la impartición de la formación online.

Desde la perspectiva de protección de datos, la solicitud del SEPE se ampara en una base de licitud clara: el cumplimiento de una obligación legal y el ejercicio de poderes públicos en el ámbito del control de subvenciones. Esta actividad de control tiene fundamento normativo suficiente (Ley 30/2015 y RD 694/2017, junto con la LISOS para sanciones). En términos del RGPD, la entidad que custodia los datos (empresa bonificada o entidad organizadora/impulsora) puede ceder las IP al SEPE sin requerir el consentimiento del afectado, dado que existe una obligación legal de colaborar con la Administración en estas actuaciones de seguimiento. Esto se alinea con el art. 6.1.c RGPD (tratamiento necesario por obligación legal) y con el art. 8 LOPDGDD, al existir normas con rango legal que prevén dicho tratamiento.

Cabe señalar que, a efectos de RGPD, el SEPE actuaría como responsable del tratamiento en el ejercicio de sus funciones públicas, mientras que la empresa o entidad de formación sería responsable de los datos de sus alumnos/tutores y los compartiría como cesionaria obligada. Tal como indican análisis legales, la cesión de datos de los trabajadores desde la empresa o entidad formadora hacia FUNDAE/SEPE está legitimada por el art. 6.1.c RGPD (obligación legal). En consecuencia, no se vulnera la normativa de protección de datos cuando el SEPE requiere direcciones IP en virtud de sus competencias de control, puesto que dicho requerimiento tiene amparo normativo expreso.

Resumiendo este apartado: Sí, el SEPE tiene facultad legal para pedir las direcciones IP de alumnos y profesores en cursos bonificados de teleformación, siempre en el contexto de actuaciones de seguimiento, inspección o control. Las circunstancias habilitantes serían aquellas relacionadas con la verificación de la correcta ejecución de la formación, el cumplimiento de los requisitos de la bonificación y la detección de posibles fraudes o incumplimientos. La propia regulación del sistema de formación establece esta potestad, eliminando la necesidad de consentimientos individuales e imponiendo a las entidades el deber de colaboración.

3. Legalidad de negarse a entregar estos datos por parte de la entidad organizadora y posibles consecuencias

Una entidad organizadora o impartidora de formación bonificada que se niegue a proporcionar las direcciones IP de alumnos y tutores requeridas por el SEPE estaría incurriendo, en principio, en un incumplimiento de sus obligaciones legales. Dada la obligación general de colaboración con los órganos de control, la negativa a facilitar datos supone una obstrucción a la labor inspectora y puede acarrear varias consecuencias:

• Incumplimiento del RGPD/LOPDGDD? Desde la óptica de protección de datos, algunas entidades podrían alegar que entregar IP de usuarios vulnera la privacidad. Sin embargo, esa argumentación no prospera jurídicamente en este contexto, ya que el propio RGPD permite el tratamiento y cesión cuando es necesario para una obligación legal o función pública. Es decir, si el SEPE lo exige en base a la normativa, la entidad debe entregar los datos personales solicitados. Negarse bajo pretexto de “protección de datos” sería un error de interpretación: el RGPD no prohíbe compartir datos personales si hay un deber legal de hacerlo; al contrario, lo ampara (y ni siquiera requiere el consentimiento del interesado en tal caso). De hecho, la Agencia Española de Protección de Datos (AEPD) ha señalado que la colaboración con requerimientos legales es obligada incluso tratándose de datos personales sensibles, y que las entidades deben prever estas cesiones en su información a los interesados. Por tanto, desde el punto de vista de la legalidad, la negativa no estaría justificada por la normativa de privacidad sino que más bien la contravendría, ya que supondría un tratamiento ilícito (omisión) al no atender una obligación normativa de comunicar datos al órgano competente.
• Incumplimiento de la normativa de formación bonificada. Las reglas de FUNDAE/SEPE exigen a las entidades disponer de mecanismos de registro (incluyendo IP) y facilitar toda evidencia de realización de la formación. Si la entidad no registra las IP o se niega a entregarlas, es muy probable que sea considerada una falta de control adecuado de la asistencia/participación. Recordemos que “no establecer el debido control de asistencia… o establecerlo de manera inadecuada” es una infracción grave conforme al art. 15.6.b) LISOS. No registrar ni aportar las IP podría encuadrarse en “control inadecuado”, especialmente si con ello se impide verificar fehacientemente la identidad o conexión de los participantes. Además, si la negativa a aportar datos obstaculiza la comprobación del curso, el SEPE podría no dar por válida la formación correspondiente. Esto tendría como consecuencia práctica que la bonificación aplicada por la empresa sea declarada improcedente (como gasto no justificado), obligando a reintegrar las cantidades bonificadas indebidamente. En términos de la Ley 30/2015, la Administración puede incluso revocar la autorización de la entidad de formación si ésta incumple obligaciones esenciales tras requerimiento de subsanación.
• Posibles sanciones administrativas. Obstruir la labor de inspección o control puede conllevar sanciones. La Inspección de Trabajo y Seguridad Social, apoyada por la Unidad Especial de Inspección en materia de formación, podría proponer sanción por infracción grave o muy grave. En la LISOS, además de la infracción por falta de control, encontramos como infracción grave “negar la entrega de certificados o diplomas a los participantes tras requerimiento del órgano de control”. Por analogía, negarse a entregar datos requeridos (como las IP) también se consideraría una resistencia a la acción de vigilancia y control del SEPE. Adicionalmente, el art. 18 LISOS tipifica como infracción grave genérica la negativa a colaborar con los inspectores o a suministrar datos requeridos oficialmente (de hecho, “no facilitar información solicitada por la autoridad competente” suele figurar como infracción). Las sanciones podrían ir desde multas de cuantía considerable (las infracciones graves en el orden social pueden sancionarse con multas administrativas, según la gravedad, graduación y reincidencia) hasta la posible pérdida del derecho a seguir impartiendo formación bonificada temporalmente. En casos extremos (infracciones muy graves reiteradas), la entidad podría ser dada de baja del registro de entidades de formación o vetada en el sistema durante algunos años.
• Pérdida de confianza y otros perjuicios. Más allá de las sanciones formales, negarse a cooperar con el SEPE/FUNDAE puede acarrear perjuicios reputacionales y contractuales. La empresa bonificada (cliente) podría ver peligrar su bonificación por culpa de la postura de la entidad organizadora, generando conflictos comerciales. Incluso, la FUNDAE publica en ocasiones “listas” de entidades investigadas por incidencias, lo cual puede afectar la imagen y futuras oportunidades de negocio de la entidad.

En conclusión, no es legalmente sostenible que una entidad organizadora se niegue a facilitar las direcciones IP requeridas por el SEPE en la gestión de cursos bonificados. Al contrario, la legalidad la obliga a colaborar. Dicha negativa supondría un incumplimiento de obligaciones tanto en materia de formación (seguimiento y control) como potencialmente en materia laboral, y la entidad se arriesgaría a consecuencias negativas: desde la devolución de las bonificaciones, la suspensión de los cursos, hasta sanciones económicas e incluso la inhabilitación para gestionar formación subvencionada.

Desde el punto de vista de protección de datos, la entidad debe entender que el marco legal legitima esta cesión y por tanto negarse no la protege de nada, sino que la expone a infracciones de otro orden. La postura correcta sería cumplir el requerimiento asegurando, eso sí, que se han seguido las formalidades de protección de datos (por ejemplo, informar previamente a los alumnos de que estos datos podrían ser cedidos al SEPE en caso de inspección, tal como recomienda la propia guía de protección de datos).

4. Resoluciones, sanciones o jurisprudencia relevante

En cuanto a precedentes o pronunciamientos específicos sobre esta materia, se pueden destacar los siguientes:

• Criterio de la Agencia Española de Protección de Datos (AEPD): La AEPD, desde hace años, considera que la dirección IP es dato de carácter personal y, por tanto, sujeto a la normativa de protección de datos. No obstante, no consta una sanción de la AEPD contra el SEPE ni contra entidades de formación por la solicitud o cesión de direcciones IP en este contexto. Al contrario, la posición general (derivable de informes y resoluciones) es que cuando medie una obligación legal, la comunicación de datos al organismo público es lícita. Por ejemplo, en el Informe 327/2003 de la AEPD ya se concluyó que las IP son datos personales, pero que pueden ser tratadas y cedidas con base en una obligación legal. En línea con esto, la propia LOPDGDD en su artículo 8 autoriza estos tratamientos siempre que una ley lo prevea – circunstancia que aquí concurre. Por tanto, desde la óptica de protección de datos, la práctica de que el SEPE recabe IP en sus controles no ha sido objeto de reproche por la AEPD; antes bien, se entiende amparada por la legislación sectorial.
• Jurisprudencia sobre direcciones IP: Aunque no específicamente sobre formación bonificada, hay jurisprudencia relevante sobre la naturaleza de las IP y su tratamiento. El Tribunal Supremo (Sala de lo Penal, por ejemplo en casos de propiedad intelectual en redes P2P) ha aclarado dos cosas importantes: (1) que la IP es un dato personal protegido; y (2) que la IP por sí sola no siempre identifica con certeza al individuo responsable de un acto (p.ej., no basta la IP para una condena penal sin otras pruebas). En el ámbito que nos ocupa, el primer punto refuerza la necesidad de tratar las IP con garantías (considerarlas datos personales), y el segundo punto explica por qué el SEPE suele usar la IP como indicio complementario y no como único elemento de prueba. Por ejemplo, en algún caso contencioso-administrativo, una empresa podría alegar que aunque varias conexiones compartían IP, ello no prueba automáticamente fraude (podrían ser compañeros conectando desde la misma oficina, etc.). Pero si a la IP coincidente se le suman otros indicios (horarios solapados incompatibles, patrones de actividad idénticos), la Administración tendría un caso sólido. No se conocen hasta la fecha sentencias contenciosas que anulen sanciones del SEPE por este tema concreto de las IP, lo cual sugiere que la práctica ha sido aceptada jurídicamente.
• Sanciones administrativas en materia de formación bonificada: Tras la reforma de 2015 del sistema de formación, ha habido numerosas inspecciones y sanciones a entidades por fraude en bonificaciones. Algunas resoluciones sancionadoras (ej. expedientes de la Inspección de Trabajo) han incluido la detección de irregularidades mediante revisión de plataformas de teleformación. Si bien los detalles no siempre son públicos, asociaciones del sector (p.ej. Autoforma) han informado de casos donde el SEPE detectó conexiones sospechosas y abrió expedientes de reintegro. Un indicio típico es un tutor que completa actividades de varios alumnos (misma IP del tutor en varias cuentas), o alumnos que figuran activos fuera del horario laboral sin justificación. Estos hallazgos han terminado en sanciones por simulación de formación. En esos casos, la trazabilidad técnica (logs e IP) ha sido clave como evidencia. La jurisprudencia administrativa ha confirmado que la Administración puede usar dichos registros para fundamentar sus decisiones, siempre que se obtengan de forma legítima.
• Reclamaciones de alumnos/profesores: No se tienen noticias de resoluciones de la AEPD por queja de alumnos sobre cesión de su IP al SEPE. Esto quizás se deba a que los alumnos normalmente ni siquiera perciben que su IP fue revisada, y en todo caso la cesión estaría amparada legalmente, lo que haría inviable una reclamación por uso ilícito de datos. En cambio, sí ha habido quejas de entidades de formación sobre el alcance de las inspecciones (algunas consideraban excesivo que el SEPE exigiera ciertos datos). Sin embargo, hasta donde alcanza el análisis, dichas quejas no han prosperado en anular requerimientos. Por ejemplo, el Defensor del Pueblo o la propia FUNDAE han explicado a los centros que el SEPE está facultado para auditar las plataformas, incluyendo los registros de conexión.

En síntesis, la práctica de solicitar direcciones IP ha sido validada tanto por la doctrina de protección de datos como por la normativa sectorial y la jurisprudencia. Lejos de existir resoluciones que la prohíban, encontramos respaldo legal: la AEPD asume su licitud con base en obligación legal, y los tribunales reconocen su utilidad probatoria con las debidas cautelas. Las sanciones identificadas en este ámbito no sancionan el hecho de recopilar o ceder IP, sino más bien sancionan la falta de colaboración o los fraudes detectados gracias a las IP.

5. Conclusiones y recomendaciones para las entidades organizadoras

Conclusiones sobre la legalidad de la práctica: Solicitar y recopilar las direcciones IP de alumnos y profesores en cursos de teleformación bonificada es una práctica legal, siempre que se realice en el marco de las funciones de control del SEPE y con respeto a la normativa de protección de datos (información y seguridad). Las normas vigentes (RGPD, LOPDGDD, Ley 30/2015, RD 694/2017, etc.) habilitan al SEPE para requerir estos datos sin consentimiento individual, por tratarse de un supuesto de cumplimiento de obligación legal e interés público en garantizar el correcto uso de fondos públicos. Por tanto, cuando el SEPE (o FUNDAE en su apoyo técnico) solicita a una entidad las direcciones IP usadas en la plataforma por ciertos usuarios, dicha solicitud tiene fundamento jurídico y la entidad debe atenderla. Lejos de contravenir el RGPD, esta comunicación de datos está amparada por el art. 6.1.c) del RGPD y por la legislación nacional que exige la colaboración en actuaciones de seguimiento.

Negarse a facilitar las IP carece de cobertura legal y acarrea riesgos significativos: la entidad incumpliría sus obligaciones, podría frustrar la justificación de la bonificación (obligando a su devolución) y se expondría a sanciones en el orden laboral (infracción grave por obstaculización del control). Tampoco sería defendible alegar protección de datos para negarse, ya que el propio régimen de protección de datos contempla excepciones por razones legales y de control público.

En definitiva, es lícito y exigible que las entidades de formación bonificada registren las direcciones IP de conexión de los participantes y las entreguen al SEPE si son solicitadas en una inspección. Esta medida contribuye a verificar la autenticidad y regularidad de la formación online, previniendo fraudes.

Recomendaciones para las entidades organizadoras:

1. Incluir la recogida de IP en su cumplimiento RGPD: Las entidades deben actuar proactivamente. Es recomendable que en la política de privacidad o cláusulas informativas que proporcionan a los alumnos y tutores indiquen claramente que, por exigencias del SEPE/FUNDAE, se registrarán datos técnicos de la formación, incluida la dirección IP de conexión, y que estos datos podrán ser comunicados a la Administración para fines de seguimiento y control. Esta transparencia evitará sorpresas a los interesados y alineará la práctica con el principio de información del RGPD (art. 13).
2. Adecuar la plataforma de teleformación: Asegurarse de que la plataforma LMS utilizada registre automáticamente las IP, fechas, horas y actividad de cada usuario. La configuración técnica debe permitir extraer informes completos de cada participante (logins con fecha/hora e IP, tiempos de actividad, tareas realizadas, etc.). Esto no solo cumple la normativa, sino que facilita atender cualquier requerimiento rápidamente. Si la plataforma actual no almacena IP, la entidad debería habilitar esa función o cambiar de herramienta, dado que la instrucción del SEPE lo considera un requisito de la modalidad online.
3. Guardar los registros durante el tiempo obligatorio: Como mínimo, conservar los logs e IP durante 4 años desde la finalización del curso (plazo general de prescripción de infracciones y de mantenimiento de documentación justificativa de bonificaciones). Esta conservación debe hacerse de forma segura y garantizando la integridad de los datos (por ejemplo, custodiando los registros en soporte inalterable o con firmas digitales de tiempo). Pasado el plazo legal, se recomienda suprimir o anonimizar estos datos para no retener información personal más tiempo del necesario (principio de limitación de conservación del RGPD).
4. Asegurar la confidencialidad y seguridad: Las IP y demás datos de seguimiento deben ser accesibles solo para personal autorizado. Implementar medidas técnicas para evitar accesos no autorizados o fugas de esa información (cifrado, control de accesos, etc.), tal como exige el RGPD (art. 32 sobre seguridad del tratamiento). Aunque el SEPE las pueda requerir, mientras la entidad las custodia debe tratarlas con el mismo nivel de protección que otros datos personales de los alumnos.
5. Colaborar ante requerimientos oficiales: Ante una inspección o requerimiento escrito del SEPE solicitando información de un curso, la entidad organizadora debe responder en plazo y de forma veraz. Es aconsejable remitir todos los datos solicitados, incluyendo las IP en el formato indicado (por ejemplo, exportando los logs en Excel o PDF certificados). Guardar copia de lo entregado. Si hubiese dificultad técnica para obtener las IP (p.ej., por fallo del sistema), documentarlo y comunicárselo al SEPE, ofreciendo alternativas (como acceso directo a la plataforma para que el inspector obtenga la info). La clave es demostrar buena fe y colaboración. Una comunicación fluida puede evitar sanciones: en ocasiones el SEPE da plazos de subsanación, y si la entidad muestra voluntad de corregir deficiencias (por ejemplo, a futuro registrar IP correctamente), podría atenuarse la respuesta administrativa.
6. Formación y concienciación: Informar internamente a los tutores-formadores y personal gestor de la entidad sobre estas obligaciones. Los tutores deben saber que su propia IP de conexión puede ser examinada, para que también actúen diligentemente (conectándose siempre con sus credenciales, no usando las de alumnos, etc.). La entidad puede establecer protocolos internos para revisar periódicamente los logs de su plataforma, de modo que ante conductas anómalas (múltiples accesos desde una misma IP de distintos usuarios, conexiones simultáneas imposibles, etc.) se detecten y corrijan antes de que lo haga un inspector externo.

En resumen, la recomendación principal es integrar el control de direcciones IP como parte del cumplimiento normativo de la formación bonificada. Lejos de ser visto como un requisito ajeno, debe asumirse como una exigencia más para asegurar la calidad y trazabilidad de la formación online. Una entidad organizadora prudente actuará con previsión: informará a sus alumnos, configurará correctamente sus sistemas y no dudará en aportar la información al SEPE llegado el caso. Esto no solo la mantendrá dentro de la legalidad, sino que fortalecerá su credibilidad ante clientes y Administración.

• Reglamento (UE) 2016/679 (RGPD), arts. 4.1, 6.1.c) y 6.1.e).
• Ley Orgánica 3/2018 (LOPDGDD), art. 8 (bases de legitimación por obligación legal o interés público).
• Ley 30/2015, de 9 de septiembre, y Real Decreto 694/2017, de 3 de julio (regulación de la Formación Profesional para el Empleo).
• Instrucción del SEPE sobre seguimiento de acciones formativas (criterios para teleformación e inspección): obligación de facilitar información y acceso a plataformas; posibilidad de requerir direcciones IP para verificación sin necesidad de consentimiento.
• FAQ de FUNDAE: conservación de registros de teleformación 4 años; necesidad de registros de conexiones con identificación de participantes.
• Criterio AEPD – Informe 327/2003: la dirección IP es dato personal. Tribunal Supremo (STS Ponente Del Riego, 2015): confirmación de que las IP son datos personales identificables.
• Real Decreto Legislativo 5/2000 (LISOS), arts. 15 y 16: infracción grave por no controlar asistencia adecuadamente; infracción grave por no atender requerimientos de los órganos de control (negativa a entregar diplomas, análogo a no facilitar información); infracción muy grave por disfrute indebido de bonificaciones.
• Artículos y guías especializadas: Protección de datos y formación bonificada(obligación de facilitar IP si es requerida por inspección, informando al alumno); Documentación oficial de FUNDAE/SEPE sobre requisitos de plataformas de teleformación.

Estos marcos normativos y fuentes sostienen y contextualizan la legalidad de la medida analizada, proporcionando a las entidades organizadoras un mapa claro de sus deberes y derechos en la materia. En conclusión, solicitar las IP por el SEPE es legítimo y negarse no lo es; por tanto, es preferible cumplir con las obligaciones establecidas, asegurando a la vez el respeto a la privacidad mediante la transparencia y la seguridad en el tratamiento de los datos.