1. Abús d’identificació per part de les institucions vs minimització de dades des del disseny i per defecte

1 – ABÚS D’IDENTIFICACIÓ PER PART DE LES INSTITUCIONS vs MINIMITZACIÓ DE DADES DES DEL DISSENY I PER DEFECTE
 

ABÚS D’IDENTIFICACIÓ PER PART DE LES INSTITUCIONS vs MINIMITZACIÓ DE DADES DES DEL DISSENY I PER DEFECTE

“En general, un bon sistema de protecció de dades es caracteritza pel fet de que les organitzacions responsables del tractament de la nostra informació personal coneixen molt bé les seves obligacions normatives i els ciutadans coneixem molt bé els nostres drets i Mitjans per exercir-los. La màxima expressió d’aquest axioma és un estadi en què la intervenció de les autoritats de control no sigui necessària. Tot i això, la realitat present dista molt de comptar amb un sistema perfecte capaç d’autoregular-se per si mateix. (…) No en va, el model europeu de protecció de dades centra el seu enfocament en el reforç dels drets dels ciutadans, així com de les obligacions de les organitzacions en el marc de l’anomenada responsabilitat proactiva. El canvi de paradigma que va tenir lloc amb l’aprovació del Reglament General de Protecció de Dades (en endavant RGPD), profunditza en l’apoderament de les persones sobre la seva pròpia informació, cimentat en la transparència de les organitzacions sobre l’ús que es fa de la mateixa. Es pretén erradicar l’asimetria, el desequilibri de poder que genera l’opacitat, el “poder veure sense ser vist” sobre el que dissertava Focault fa ja mig segle”.(1)

El dret de les persones a accedir a la informació pública és un dret reconegut. A més, la quasi totalitat dels Estats Membres de la Unió Europea, ja disposaven d’alguna regulació sobre la transparència i el dret d’accés a la informació pública quan a Espanya es va aprovar la Llei 19/2013, de 9 de desembre, de Transparència, d’accés a la Informació Pública i Bon Govern, desenvolupant l’article 105.b) de la Constitució Espanyola. A això se li ha d’afegir la obligació de les i dels servidors públics responsables d’una tasca d’identificar-se quan presten un servei (art. 53 de la Llei 39/2015).
La transparència de les institucions i corporacions és fonamental per a la demo-cràcia, el dret a proporcionar i rebre informació veraç, el control dels poders públics, la protecció de l’interès general, preservar la rendició de comptes i la integritat del sector públic, inhibint la corrupció o simplement garantir una suficient agilitat de les institucions en les seves relacions amb la ciutadania i les i els usuaris.

Tot i això, no tota la informació que hauria de ser publicada per les administracions i corporacions sistèmiques ho és, i no sempre es publica correctament. A més, l’accés a la informació que hauria de ser pública i no es troba publicada, es desincentiva a través dels requisits que s’exigeixen per a obtenir-la. Es manté així una encara considerable opacitat de les institucions, mentre s’exigeix a la ciutadania exposar-se massa si vol exercir el seu dret d’accés a la informació. No ens estem referint tant sols a informació de certa complexitat, sinó també a informació trivial i d’ús quotidià com la informació sobre serveis, tarifes o similars.

A l’Estat espanyol trobem pràctiques establertes des de fa anys segons les quals es recullen dades desproporcionades de la ciutadania, sense motiu aparent, el que s’ha incrementat des de 2015 quan es va aprovar la nova Llei de procediment administratiu. (i fins i tot amb la Llei de Transparència) amb la obligació d’identificació de totes les persones usuaris sistemàtica i per defecte.

L’aplicació de el nou Reglament europeu de Protecció de Dades i l’adaptació de el dret nacional al mateix hauria permès al legislador espanyol revertir la situació sobre aquesta recollida de dades. No obstant això, no trobem en la nova (2018) Llei Orgànica de Protecció de Dades i Garantia dels Drets Digitals cap millora substancial relacionada amb aquest aspecte, i encara que en algunes corporacions i administracions s’ha reduït la quantitat de dades que es recullen de les i dels consumidors i usuaris, aquesta no és una pràctica habitual.

En aquest context s’emmarca també la històrica crítica d’Xnet a la demagògia amb què s’està legislant la justa reivindicació de la societat civil perquè hi hagi registres de grups d’interessos. En aquest moment, aquests registres desorganitzats obliguen molt més a la ciutadania que no als qui realment haurien de fer aflorar, perpetrant l’asimetria de poder i desincentivant la participació activa de les persones en la gestió pública.(2)
 

Col·lisió amb el Reglament Europeu de Protecció de Dades (RGPD)

En el transcurs del postgrau dirigit per Simona Levi i Cristina Ribas sobre Tecnopolítica i Drets en l’Era Digital, alguns de les i els participants han realitzat sol·licituds d’informació a diferents administracions públiques i corporacions sobre la quantitat de dades requerides per a la realització d’aquests tràmits, preguntant sobre el motiu de cadascun d’aquests requeriments, en alguns casos van obtenir que s’eliminessin alguns. L’Administració requereix identificació per a la realització de qualsevol actuació o tràmit davant la mateixa, incloent les sol·licituds realitzades via la Llei de Transparència, a més d’altres comunicacions tan senzilles com queixes i suggeriments. Ho estableix la Llei 39/2015, d’1 d’octubre, del procediment administratiu comú de les administracions públiques (LPAC)(3) o, en altres casos, com veurem, la Llei de transparència.

Les administracions públiques tenen l’obligació de demanar un gran nombre de dades. Això es deriva del fet anacrònic que tota relació entre ciutadania i institucions es consideri un “tràmit administratiu”, fins i tot per poder conèixer informacions que, per llei, per polítiques o simplement per lògica, han de ser públiques. Com veurem en el següent apartat, la llei que imposa aquests procediments feixucs creiem que xoca amb la Llei europea superior.

De fet, una de les reivindicacions històriques de la societat civil que han donat origen al Reglament General de Protecció de Dades a què està subordinada la Llei Orgànica de Protecció de Dades espanyola, és la de no demanar a la ciutadania més dades de les estrictament necessàries perquè la seva privacitat no es vegi exposada per una circulació excessiva de dades personals. A aquest principi se l’anomena “minimització” i sorgeix especialment de les reivindicacions de la societat civil alemanya que va patir a mà de la Stasi la més gran operació de vigilància i recollida de dades personals mai coneguda en l’època predigital

Pel que fa als procediments de les grans empreses sistèmiques que també demanen més dades de les necessàries i a les que se’ls hauria d’aplicar directament l’obligació de minimització, això no passa en la majoria dels casos(4). Això s’agreuja pel fet que implica que quan els consumidors detecten irregularitats en el tractament de les seves dades hagin de reclamar davant l’Agència Espanyola de Protecció de Dades (AEPD) per alertar-ne amb resultats que arriben a comptagotes i no impliquen un canvi general de la situació. Creiem que l’AEPD, que disposa de poders de supervisió sobre les empreses espanyoles podria actuar prèvia i proactivament, com en alguns casos ja s’ha començat a fer.

Les lleis administratives no només exigeixen que la identificació dels ciutadans es realitzi, sinó que imposa condicions a aquesta identificació. A més, en l’àmbit digital, és habitual que s’exigeixi la identificació per mitjà de certificats electrònics o altres mitjans que les administracions estableixin(5). En el cas d’ús de certificats electrònics, cada Administració escull la informació que recopila dels mateixos(6), sense que en general s’informi al ciutadà de les dades efectivament recollides ni de la finalitat per la qual seran utilitzades posteriorment (a part de la identificació del ciutadà).

Els requisits de comprovació de la identitat de la ciutadania per a tot tràmit que vulguin dur a terme davant les administracions públiques col·lideixen directament amb el RGPD segons el qual només s’han de recollir les dades adequades, pertinents i no excessives d’acord amb els fins per als quals són recollides i abans de recollir-les s’ha d’establir quines dades seran recollides per defecte i per què.

Les lleis administratives aprovades el 2013 i 2015 exigeixen per defecte que les administracions recullin més dades de les que són necessàries per decidir si permeten als sol·licitants accedir a la informació pública o no.
En principi, les dades identificatives no són necessàries per a resoldre i respondre a les sol·licituds d’accés a informació pública. Per tant, considerem que s’haurien de modificar aquestes normes per permetre la realització sol·licituds i altres tràmits sense necessitat d’identificar les persones, el que permetria que la ciutadania pogués controlar les institucions sense por a represàlies a més de reduir al mateix temps la burocràcia per la qual s’ha de passar actualment per accedir a la informació. Els qui haurien d’identificar l’expedient per al seu seguiment, traçabilitat i demostrar que estan responent a les peticions haurien de ser només les institucions per mitjà de codis identificatius per a l’usuari o altres sistemes semblants.
 

Identificació prescindible dels sol·licitants d’informació pública

En les comparacions de les lleis de transparència de diversos països publicades a la pàgina de Consell de Transparència i Bon Govern(7,8), es pot observar que en la majoria de països la sol·licitud d’informació pública pot realitzar-se sense identificar-se o utilitzant una paraula de reconeixement que no ha de coincidir amb el nom real de la persona, essent Espanya un dels pocs països en què es verifica obligatòriament que la identitat del sol·licitant coincideix amb la seva identitat real mitjançant la comprovació del DNI, document equivalent o certificat electrònic. A més, en la majoria d’Estats que s’analitzen no es requereixen la utilització de certificats o signatures electròniques i és suficient disposar d’una adreça de correu electrònic per fer la sol·licitud. Els sistemes en els diversos països són els següents:

Xnet, tenint en compte que les normes internacionals permeten que els Estats reconeguin el dret a la privacitat de qui demana informació pública, excepte quan la identificació sigui essencial per a tramitar la sol·licitud d’informació, considera que requerir la identificació dels sol·licitants és excessiu quan es sol·licita l’accés a informació pública, i pot desincentivar les sol·licituds d’informació per por a possibles represàlies. A més, hem de ser conscients que algunes de les sol·licituds d’informació que es realitzen es refereixen a informació que hauria d’haver estat publicada per l’Administració. Per tant, és il·lògic requerir al sol·licitant que s’identifiqui quan hauria de poder accedir a aquesta informació lliurement i no pot fer-ho a causa de l’incompliment de l’Administració del seu deure de publicar aquesta informació.

La identificació no és necessària per accedir a informació pública, ja que per decidir sobre les sol·licituds, les administracions han de fer-ho de manera objectiva, és a dir, prenent només en consideració la informació que es demana i els límits d’accés establerts per exemple a la Llei de transparència, com són la protecció de dades personals de les persones que poden aparèixer a la informació i la protecció d’interessos generals com poden ser la seguretat pública, la protecció de l’entorn, interessos econòmics i comercials, etc.

Finalment, s’ha admès fins i tot pel Consell de Transparència i Bon Govern que els sistemes d’identificació electrònica (Cl@ve y altres certificats electrònics) poden ser percebuts com un entrebanc per l’exercici del dret d’accés a la informació pública(9) en la mesura que poden resultar de difícil ús per part de la ciutadania perquè són sistemes complexos en qualsevol de les seves modalitats, a més de discriminar tant a les persones jurídiques (empreses, associacions, etc.) que no tenen DNI ni poden obtenir certificats electrònics, i també les persones estrangeres que no tenen DNI o certificats electrònics, i fins i tot europees perquè el sistema pensat per a elles no funciona per a molts països. D’aquesta manera, el Consell de Transparència i Bon Govern admet que els sistemes d’identificació suposen una trava, sense entrar a valorar si la identificació es pot percebre també com una trava a l’exercici de el dret d’accés a la informació pública.
 

Prescindible identificació en l’ús de serveis privats

Tenim dret a utilitzar un servei sense revelar dades addicionals. Si una empresa o organització vol processar dades personals que no són estrictament necessàries per a la prestació d’un determinat servei (per exemple, una aplicació de transport que vol accedir a la llista de contactes del seu telèfon), ha d’obtenir el consentiment explícit per processar aquestes dades i no hauria de plantejar-se com un “xantatge”, o sigui, sense dades no hi ha servei. Existeixen excepcions a la Llei (art. 6.3 “No podrà supeditar-se l’execució del contrac te a que l’afectat consenti el tractament de dades personals per finalitats que no tinguin relació amb el manteniment, desenvolupament o control de la relació contractual”), però les persones no ho saben. Que una empresa cregui que certes dades són útils per a la prestació del seu servei, no sempre vol dir que siguin necessàries. Això permet també, per exemple, caminar cap a evitar l’assetjament i l’atropellament de la presumpció d’innocència que practiquen moltes multinacionals de serveis com les de telefonia, llum i gas quan persegueixen clients o suposats deutors, encara que no s’hagi demostrat que ho siguin.

 

RECOMANACIONS

Fruit de l’anàlisi realitzada, per garantir i protegir el dret de les persones a accedir a la informació, en línia amb la legislació internacional de drets humans, des de Xnet recomanem:

• Modificar les lleis administratives, en particular la Llei 39/2015, d’1 d’octubre, del Procediment Administratiu Comú de les Administracions Públiques (LPAC), La Llei 19/2013, de 9 de desembre, de transparència, accés a la informació pública i bon govern i la Llei Orgànica 3/2018, de 5 de desembre, de Protecció de Dades i garantia dels drets digitals, a més dels protocols d’actuació interns a les institucions i empreses per a protegir la identitat de la ciutadania quan no és necessària per accedir als serveis prestats per la Administració o corporacions.

El Ministeri de Presidència va assenyalar el 2017 la seva voluntat de simplificar el sistema d’identificació dels sol·licitants d’informació(10). També hi ha experts que s’han postulat per una modificació de la Llei per revisar els criteris d’identificació dels sol·licitants d’accés a la informació pública perquè no dissuadir-los de l’exercici d’aquest dret(11).

En aquest sentit, Xnet considera necessari modificar les lleis administratives i la Llei de Transparència, per utilitzar les facultats que les normes internacionals donen a l’Estat perquè la identificació de la ciutadania es requereixi només en casos imprescindibles i degudament justificats.

En la mateixa línia, és convenient preveure disposicions similars perquè no es requereixi la identificació personal dels qui, des de la societat civil organitzada i sense ànim de lucre, es reuneixin o interpel·lin institucions per aportar exigències i recomanacions a les legislacions i polítiques públiques. La transparència ben entesa hauria de posar la pressió sobre l’agenda de les institucions fent d’obligat i efectiu compliment la publicació de totes les reunions dutes a terme tant amb lobbistes professionals com amb la societat civil, això sense necessitat d’exposar les dades personals d’aquests últims.

• Garantir la minimització per defecte de les dades que es recullen.

Revisar les lleis i normes d’ús freqüent, tant per part d’operadors públics com privats, que exigeixen la recollida de dades personals de les persones per assegurar que el dret intern no col·lideix amb l’europeu i aquests no requereixen per defecte més dades de les necessàries escudant-se en la llei que han d’aplicar, recollint només les dades estrictament necessàries pel servei o finalitat que ha de complir-se. En cas de detectar que una norma requereix més dades de les necessàries, promoure regulacions i lleis per la seva esmena i adaptació a la nova regulació de protecció de dades personals.

• Exigir que la informació d’interès públic sigui posada a disposició de la ciutadania sense haver de sol.licitar-la.

Com moltes organitzacions de la societat civil demanem posar més èmfasi i sancions a que es publiqui efectiva i degudament la informació que ha de ser pública. Per altra banda, no hi ha impediment perquè les administracions públiques i altres institucions i organitzacions obligades i no obligades per la Llei publiquin voluntàriament més informació de l’exigeida que pugui ser d’interès públic. Si les institucions fan pública la informació, l’accés serà directe per part de la ciutadania, sense necessitat de cap identificació, garantint així un accés universal i gratuït. Són necessàries sancions quan s’incompleixin les obligacions de publicació d’informació en l’àmbit de l’Administració, les institucions, els partits polítics i de les empreses sistèmiques. A aquest propòsit recordem una altra reivindicació històrica sobre a ampliar els subjectes i objectes d’aplicació de la Llei de transparència.

Les autoritats ens han manifestat la seva preocupació per l’ús comercial que es fa de les informacions que elles ofereixen en la resolució a les consultes que se’ls plantegen. Considerem que es pot pal·liar aquest problema publicant les consultes d’utilitat pública. Cobrar per informació institucional que es pot aconseguir públicament és clarament una mala praxis.

• Inspeccionar les mesures adoptades per part d’institucions i empreses per protegir les dades personals de les persones.

L’Agència Espanyola de Protecció de Dades pot proactivament, fent extensives a altres institucions i empreses del mateix sector d’activitat les investigacions que realitzi. En el que es refereix a les grans empreses, és necessari que les sancions siguin proporcionades però consistents ja que ha quedat demostrat que les sancions solen ser inferiors al que les corporacions guanyen recopilant més dades de les necessàries(12). S’ha de reconèixer la obligació dels que tracten dades personals de complir amb les resolucions de les autoritats quan es trobin en situacions similars a les que s’apliqui una resolució.

• Reforçar el dret de la ciutadania a conèixer l’ús i destí de les seves dades.

Exigir que s’informi correctament a la ciutadania sobre les comunicacions de dades que es duran a terme i les finalitats de les mateixes també en els tràmits voluntaris, perquè estigui ben informada i exerceixin plenament el seu dret a l’autodeterminació informativa, reconegut per primera vegada a Europa en la sentència del Tribunal Constitucional Alemany de 15 de desembre de 1983 i a Espanya pel Tribunal Constitucional (STC 254/1993) que va anomenar-lo “llibertat informàtica”.

• Delimitar millor les definicions de conceptes massa ambigus, especialment el “d’interessos legítims”.

RECOMANACIONS DE BONES PRÀCTIQUES PER LES INSTITUCIONS I EMPRESES SISTÈMIQUES

ANTERIORS A LES MODIFICACIONS DE LA LLEI PER CREAR UN MARC MÉS FAVORABLE AL RESPECTE DE LES LLIBERTATS FONAMENTALS

• Publicar proactivament la informació institucional, de planificació, jurídica, econòmica, pressupostària, estadística o d’una altra índole, fins i tot la que no estigui expressament requerida per llei, per així reduir el nombre de sol•licituds d’accés, mitjançant una interpretació àmplia de la obligació de publicitat activa prevista per la Llei de Transparència. Valorar l’aplicació dels límits al dret d’accés de forma objectiva, fent abstracció per defecte de la identitat de la persona sol•licitant.

• En els casos d’informació o consultes que es realitzin freqüentment a la institució, publicar la informació i respostes en un lloc fàcilment accessible, per exemple, mitjançant una pàgina de preguntes/consultes freqüents perquè no sigui precís contactar-la per la seva obtenció. Les autoritats ens han manifestat la seva preocupació per l’ús comercial que es fa de les informacions que elles ofereixen en la resolució a les consultes que se’ls plantegen. Considerem que es pot pal•liar aquest problema publicant les consultes d’utilitat pública. Cobrar per informació institucional que es pot aconseguir públicament és clarament una mala praxis.

• Revisar les polítiques existents a les administracions, institucions i grans empreses sobre la recollida de dades personals perquè no recullin més dades de les estrictament legals i necessàries per als diferents tràmits que la ciutadania pot dur a terme.

• Iniciar un major nombre de procediments d’inspecció en les institucions i grans empreses per detectar informacions que haurien de ser públiques però que no obstant això no han estat objecte de publicació activa així com les infraccions de protecció de dades, a més d’aplicar amb major agilitat les resolucions als actors anàlegs.

• Adoptar actes normatius, protocols o procediments interns en els quals no es requereixi la identificació dels sol·licitants en base als estàndards internacionals que ho permeten, per així facilitar l’exercici del dret d’accés per part de la ciutadania. Exemples que es poden prendre en compte per a aquesta finalitat són el Protocol de el Consell General de Poder Judicial(13) o l’Ordenança de Transparència de l’Ajuntament de Madrid(14) o la Bústia ètica de l’Ajuntament de Barcelona, comentats en l’anàlisi del desenvolupament legislatiu del present informe.

En la mateixa línia, és convenient preveure disposicions similars perquè no es requereixi la identificació personal dels qui, des de la societat civil organitzada i sense ànim de lucre, aportin exigències i recomanacions per a les legislacions i polítiques públiques, i sí fer d’obligat compliment la publicació per part dels càrrecs públics de totes les reunions dutes a terme tant amb lobbistes professionals com amb la societat civil, això sense necessitat d’exposar les dades personals d’aquests últims.

• Desincentivar els incompliments.

• Incentivar aquestes pràctiques a l’empresa privada.

ENMIENDAS A LA LEY DE COMPETENCIA ESTATAL

Modificación de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas

Para alcanzar el fin propuesto, debemos solicitar la enmienda de dos artículos de la Ley:
Con la modificación del apartado 1 del Artículo 9. “Sistemas de identificación de los interesados en el procedimiento”, que quedaría redactado como sigue:

1. Las Administraciones Públicas están obligadas a verificar la identidad de los interesados en el procedimiento administrativo, salvo en los casos previstos en el segundo párrafo del apartado 1 del artículo 11 de esta Ley, mediante la comprobación de su nombre y apellidos o denominación o razón social, según corresponda, que consten en el Documento Nacional de Identidad o documento identificativo equivalente.

Asimismo, se debe introducir un nuevo párrafo en el apartado 1 del Artículo 11. “Uso de medios de identificación y firma en el procedimiento administrativo”, que quedaría redactado como sigue:

1. Con carácter general, para realizar cualquier actuación prevista en el procedimiento administrativo, será suficiente con que los interesados acrediten previamente su identidad a través de cualquiera de los medios de identificación previstos en esta Ley.

Los interesados no deberán acreditar su identidad cuando realicen simples consultas, quejas y sugerencias, peticiones de acceso a información pública o información de interés público de acuerdo con la Ley 19/2013 de Transparencia, acceso a la información púbica y buen gobierno.

Modificación de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno.

Para alcanzar el fin propuesto, debemos solicitar la enmienda de un artículo de la Ley, eliminando el punto “a) La identidad del solicitante” del apartado 2 del artículo 17 “Solicitud de acceso a la información”, que quedaría redactado como sigue:

2. La solicitud podrá presentarse por cualquier medio que permita tener constancia de:

a) La información que se solicita.
b) Una dirección de contacto, preferentemente electrónica, a efectos de comunicaciones.
c) En su caso, la modalidad que se prefiera para acceder a la información solicitada.

Además de la introducción de un nuevo apartado 3 del mismo artículo, que quedaría redactado como sigue:

3. El solicitante no está obligado a proporcionar su identidad real en su solicitud de acceso a la información. La ausencia de identificación no será por si sola causa de rechazo o inadmisión de la solicitud.
La identificación del solicitante sólo podrá requerirse cuando sea esencial para valorar su solicitud, debiendo la institución justificar debidamente dicho requerimiento

Los apartados 3 y 4 actuales pasarán a ser, respectivamente los apartados 4 y 5.
 

Para incrementar las posibilidades de control, tanto del sector público como privado, es altamente recomendable ampliar las posibilidades de publicación de información de forma proactiva y prever la inclusión de corporaciones sistémicas dentro del ámbito de aplicación de la Ley de Transparencia. De mismo modo, es necesaria la definición de sanciones sin las cuales la Ley es papel mojado.

Para incrementar las posibilidades de control de los procedimientos para la elaboración de leyes, reglamentos, políticas, planes y programas públicos, es también altamente recomendable que se exija la publicación de las agendas y reuniones llevadas a cabo por miembros y responsables de las instituciones tanto con lobistas profesionales como con la sociedad civil. En el primer caso, identificando de forma clara el grupo o entidad representada y en el segundo aplicando la siguiente enmienda al artículo 11.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas:

Tampoco deberían indicarse datos personales tales como domicilios o similares cuando, desde la sociedad civil se organicen agrupaciones adhoc y sin ánimo de lucro, se reúnan o interpelen instituciones para aportar exigencias y recomendaciones para las legislaciones y políticas públicas, sugerencias, exigencias o críticas para la elaboración de leyes, reglamentos, políticas, planes y programas públicos (función de grupo de presión para el bien común), pudiendo registrar y proporcionar un nombre, plataforma, grupo informal o colectivo, para que estas agrupaciones tengan una protección igual o superior a la de los lobistas profesiones. Estos – las consultoras y los grupos de presión profesionales – deberán inscribirse en el registro con sus datos profesionales de identificación completos.

Modificación de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y garantía de los derechos digitales

Para alcanzar el fin propuesto, debemos solicitar la enmienda de la Ley para acotar las definiciones de conceptos genéricos existentes tanto en el Reglamento (UE) 2016/679 General de Protección de Datos como en la Ley, tales como “tratamientos a gran escala”, y específicamente las relativas al “interés legítimo” como base jurídica de legitimación del tratamiento.

Además de la introducción de un nuevo párrafo en el artículo 50. “Publicidad”, que quedaría redactado como sigue:

La Agencia Española de Protección de Datos publicará las resoluciones de su Presidencia que declaren haber lugar o no a la atención de los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, las que pongan fin a los procedimientos de reclamación, las que archiven las actuaciones previas de investigación, las que sancionen con apercibimiento a las entidades a que se refiere el artículo 77.1 de esta ley orgánica, las que impongan medidas cautelares y las demás que disponga su Estatuto.
Las resoluciones y sus indicaciones serán de obligado cumplimiento para todo responsable y/o encargado del tratamiento que se encuentre en una situación análoga a las de los supuestos objeto de las mismas.

Modificación del Real Decreto Legislativo 1/2007, de 16 de noviembre, por el que se aprueba el texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios y otras leyes complementarias

Para alcanzar el fin propuesto, debemos solicitar la enmienda de un artículo de la Ley:

Con la introducción de dos nuevos apartados, g) y h), en el Artículo 8. “Derechos básicos de los consumidores y usuarios”, que quedaría redactado como sigue:

Son derechos básicos de los consumidores y usuarios:
a) La protección contra los riesgos que puedan afectar su salud o seguridad.
b) La protección de sus legítimos intereses económicos y sociales; en particular frente a las prácticas comerciales desleales y la inclusión de cláusulas abusivas en los contratos.
c) La indemnización de los daños y la reparación de los perjuicios sufridos.
d) La información correcta sobre los diferentes bienes o servicios y la educación y divulgación para facilitar el conocimiento sobre su adecuado uso, consumo o disfrute.
e) La audiencia en consulta, la participación en el procedimiento de elaboración de las disposiciones generales que les afectan directamente y la representación de sus intereses, a través de las asociaciones, agrupaciones, federaciones o confederaciones de consumidores y usuarios legalmente constituidas.
f) La protección de sus derechos mediante procedimientos eficaces, en especial ante situaciones de inferioridad, subordinación e indefensión.
g) El derecho de acceso a la información de interés público sobre las empresas sujetos a esta Ley.
h) El derecho a la protección de sus datos personales, conforme la legislación en vigor, y en especial a los principios relativos al tratamiento previstos en el artículo 5 del Reglamento (UE) 2016/679 General de Protección de Datos.

ANÁLISIS DEL DESARROLLO LEGISLATIVO

El derecho de las personas a acceder a la información pública se encuentra protegido tanto a nivel internacional, como europeo ya sea como parte del derecho a la libertad de expresión e información o como derecho autónomo:

Además, en España se aprobó la Ley 19/2013, de 9 de diciembre, de Transparencia, Acceso a la Información Pública y Buen Gobierno (en adelante, LTAIBG) que desarrolla el artículo 105.b) de la Constitución Española, según el cual la ley debe regular “el acceso de los ciudadanos a los archivos y registros administrativos, salvo en lo que afecte a la seguridad y defensa del Estado, la averiguación de los delitos y la intimidad de las personas.”

En este sentido, el derecho de acceso a la información pública se encuentra específicamente previsto en el artículo 12 de la LTAIBG tanto en el ámbito estatal como en el ámbito autonómico. Se configura como un derecho universal disponible a “todas las personas”, es decir, que debe poder ejercerse sin ser víctima de discriminación alguna. La ley en este sentido concuerda con las normas internacionales que no distinguen entre los solicitantes, el derecho aplicándose tanto a personas físicas como jurídicas(15), sin discriminación por motivo de nacionalidad o residencia, incluyendo a europeos y extranjeros(16), o por edad, formación, recursos, circunstancias personales o condición o situación social.
Además, de acuerdo con el artículo 17.3 LTAIBG, no debe justificarse ningún interés del solicitante en la solicitud de información, sin que la administración pueda denegar el acceso por ello. Indicar los motivos por los que se solicita la información es opcional. En caso de indicarlos, la administración podrá tenerlos en cuenta a la hora de decidir si concede el acceso o no.

El artículo 13 de la LTAIBG define el concepto de información pública del siguiente modo:

“Se entiende por información pública los contenidos o documentos, cualquiera que sea su formato o soporte, que obren en poder de alguno de los sujetos incluidos en el ámbito de aplicación de este título y que hayan sido elaborados o adquiridos en el ejercicio de sus funciones.”

Además de esta información, la ciudadanía tiene derecho a conocer otra información que debe ser objeto de publicación activa por parte de las Administraciones públicas, esta información incluye “información cuyo conocimiento sea relevante para garantizar la transparencia de su actividad relacionada con el funcionamiento y control de la actuación pública” según el artículo 5 de la LTAIBG, que viene concretada en los siguientes artículos que se refieren a “información institucional, organizativa y de planificación” (artículo 6 LTAIBG), el “registro de actividades de tratamiento” (artículo 6bis LTAIBG), “información de relevancia jurídica” (artículo 7 LTAIBG) e “información económica, presupuestaria y estadística” (artículo 8 LTAIBG).

Los “sujetos incluidos en el ámbito de aplicación de este título”, es decir, a los que se les puede solicitar información elaborada o adquirida por ellos incluyen las instituciones previstas en los artículos 2 y 4 de la LTAIBG:
 

Artículo 2. Ámbito subjetivo de aplicación.

1. Las disposiciones de este título se aplicarán a:

a) La Administración General del Estado, las Administraciones de las Comunidades Autónomas y de las Ciudades de Ceuta y Melilla y las entidades que integran la Administración Local.

b) Las entidades gestoras y los servicios comunes de la Seguridad Social, así como las mutuas de accidentes de trabajo y enfermedades profesionales colaboradoras de la Seguridad Social.

c) Los organismos autónomos, las Agencias Estatales, las entidades públicas empresariales y las entidades de Derecho Público que, con independencia funcional o con una especial autonomía reconocida por la Ley, tengan atribuidas funciones de regulación o supervisión de carácter externo sobre un determinado sector o actividad.

d) Las entidades de Derecho Público con personalidad jurídica propia, vinculadas a cualquiera de las Administraciones Públicas o dependientes de ellas, incluidas las Universidades públicas.

e) Las corporaciones de Derecho Público, en lo relativo a sus actividades sujetas a Derecho Administrativo.

f) La Casa de su Majestad el Rey, el Congreso de los Diputados, el Senado, el Tribunal Constitucional y el Consejo General del Poder Judicial, así como el Banco de España, el Consejo de Estado, el Defensor del Pueblo, el Tribunal de Cuentas, el Consejo Económico y Social y las instituciones autonómicas análogas, en relación con sus actividades sujetas a Derecho Administrativo.

g) Las sociedades mercantiles en cuyo capital social la participación, directa o indirecta, de las entidades previstas en este artículo sea superior al 50 por 100.

h) Las fundaciones del sector público previstas en la legislación en materia de fundaciones.

i) Las asociaciones constituidas por las Administraciones, organismos y entidades previstos en este artículo. Se incluyen los órganos de cooperación previstos en el artículo 5 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, en la medida en que, por su peculiar naturaleza y por carecer de una estructura administrativa propia, le resulten aplicables las disposiciones de este título. En estos casos, el cumplimiento de las obligaciones derivadas de la presente Ley serán llevadas a cabo por la Administración que ostente la Secretaría del órgano de cooperación.

Artículo 4. Obligación de suministrar información.

Las personas físicas y jurídicas distintas de las referidas en los artículos anteriores que presten servicios públicos o ejerzan potestades administrativas estarán obligadas a suministrar a la Administración, organismo o entidad de las previstas en el artículo 2.1 a la que se encuentren vinculadas, previo requerimiento, toda la información necesaria para el cumplimiento por aquéllos de las obligaciones previstas en este título. Esta obligación se extenderá a los adjudicatarios de contratos del sector público en los términos previstos en el respectivo contrato.

Se excluyen entre los obligados a proporcionar información cuando les es solicitada mediante el derecho de acceso a muchos sectores sensibles como los partidos políticos, sindicatos, organizaciones empresariales. Desde siempre las organizaciones de la sociedad civil que luchamos por la transparencia de las instituciones pedimos que se eliminen un gran número de estas exclusiones. En lo que respecta a los límites del derecho de acceso a información pública, se encuentran previstos en los artículos 14 y 15 de la LTAIBG, a veces también mal empelados o discutibles. En todo caso se limita el acceso a la información cuando la difusión de la misma pueda suponer un perjuicio para: La seguridad nacional; La defensa; Las relaciones exteriores; La seguridad pública; La prevención, investigación y sanción de los ilícitos penales, administrativos o disciplinarios; La igualdad de las partes en los procesos judiciales y la tutela judicial efectiva; Las funciones administrativas de vigilancia, inspección y control; Los intereses económicos y comerciales; La política económica y monetaria; El secreto profesional y la propiedad intelectual e industrial: La garantía de la confidencialidad o el secreto requerido en procesos de toma de decisión; La protección del medio ambiente.

Cuando la información contenga datos “que revelen la ideología, afiliación sindical, religión o creencias (…) el origen racial, la salud o la vida sexual” o “incluyese datos genéticos o biométricos o contuviera datos relativos a la comisión de infracciones penales o administrativas que no conllevasen la amonestación pública al infractor”, solo podrá proporcionarse acceso a la misma cuando la persona cuyos datos contiene la información hubiese dado su consentimiento expreso o los hubiese hecho manifiestamente públicos los datos con anterioridad a que se solicitase el acceso (por ejemplo, publicándolos en redes sociales), salvo disociación de los mismos para impedir la identificación de la persona afectada.

Sobre este límite, el mismo artículo 15 LTAIBG admite que los datos personales que aparezcan en la información solicitada sean disociados para que el solicitante no pueda identificar la persona o personas afectadas, es decir, la información podrá proporcionarse al solicitante cuando los datos personales que no sean pertinentes y proporcionados sean anonimizados.

Hay motivos de inadmisión de las solicitudes que se encuentran enumerados en el artículo 18 LTAIBG, el cual indica que podrán inadmitirse las solicitudes cuando:

• La información solicitada esté en curso de elaboración o de publicación general;

• La información tenga carácter auxiliar o de apoyo (borradores, notas, opiniones, resúmenes, comunicaciones e informes internos);

• La información deba reelaborarse antes de su divulgación;

• La solicitud se haya dirigido a un órgano que no es competente y se desconozca cual es el competente;

• Se trate de solicitudes manifiestamente repetitivas o abusivas.

Puede observarse que la falta de identificación del solicitante de información no constituye pues ni un límite ni una causa de inadmisión de la solicitud de acceso a información pública, pero es preciso examinar con más atención este requisito.

Apuntes sobre el requisito de identificación:

El artículo 17.2 LTAIBG establece que la solicitud de derecho de acceso deberá presentarse por cualquier medio que permita tener constancia de la identidad del solicitante, el acceso debiendo tener lugar preferentemente por vía electrónica (artículo 22.1 LTAIBG).

Si bien es cierto que la LTAIBG no establece que es necesario comprobar la identidad mediante la presentación del DNI o por medio de certificados electrónicos, en este aspecto se aplica de manera supletoria la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPAC).
Encontramos en la LPAC el artículo 11.1 que requiere acreditar la identidad de la ciudadanía “con carácter general, para realizar cualquier actuación prevista en el procedimiento administrativo”, incluyendo en el campo de aplicación de este articulo cualquier actuación o trámite ante la Administración Pública, como serían las solicitudes realizadas vía la Ley de Transparencia, además de otras comunicaciones, quejas y sugerencias. Un ejemplo de la aplicación de este artículo puede encontrarse en el Portal de Transparencia de la Administración General del Estado dónde se justifica solicitar la identificación de la ciudadanía que ejerce el derecho de acceso a información pública del modo siguiente:

“¿Por qué debo identificarme?
El ejercicio del Derecho de Acceso inicia con la administración un procedimiento administrativo que exige la identificación del solicitante.”(17)

La LPAC no sólo exige comprobar la identidad de los solicitantes de información o personas que realizan algún trámite ante la Administración(18), sino que además impone condiciones a dicha comprobación en su artículo 9, debiendo proporcionarse el DNI o documento equivalente, y en el ámbito digital, es habitual que se exija la identificación por medio de certificados electrónicos u otros medios que las Administraciones establezcan (generalmente mediante: Cl@ve PIN, Cl@ve Permanente y DNI electrónico), como el mismo artículo indica.

Ha sido admitido incluso por el Consejo de Transparencia y Buen Gobierno en su memoria anual de 2015(19) que los sistemas de identificación electrónica (Cl@ve y otros certificados electrónicos) pueden ser una traba para el ejercicio del derecho de acceso a la información pública en la medida que pueden resultar de difícil uso para la ciudadanía porque son sistemas complejos en cualquiera de sus modalidades.

Además, de acuerdo con la misma memoria del Consejo de Transparencia y Buen Gobierno, estos sistemas de identificación electrónica resultan discriminatorios con:

• la ciudadanía española que reside en el extranjero y no dispone de identificación por medio del sistema Cl@ve, DNI electrónico o código PIN, porque dichos métodos de identificación sólo están disponibles para los residentes en España(20);

• las personas jurídicas, porque no tienen DNI ni pueden obtener certificados electrónicos desde la entrada en vigor del Reglamento Europeo de firma electrónica en julio de 2016;

• la ciudadanía de la Unión Europea, porque aún poder verificar su identidad a través de la plataforma STORK de validación de firmas e identidades establecidas por los distintos Estados, no todos los países de la UE o del EEE están adheridos a dicha plataforma.

• las personas extranjeras de terceros países no pueden obtener acceso a información alguna al no poder ser comprobada su identidad, debiendo acudir en persona a las Embajadas españolas en caso de querer realizar una solicitud.(21)

Suprimir el requisito de la identificación no solo serviría para ser coherentes con la regulación internacional del derecho de acceso a la información pública, sino que facilitaría su ejercicio, garantizaría que se trata efectivamente de un derecho universal, y reduciría la burocracia que debe cumplirse actualmente para ejercerlo.

Apuntes sobre la normativa de protección de datos personales:

De la localización de la regulación del derecho a la protección de datos personales en la Constitución Española (artículo 18.4CE), bajo el Título dedicado a “los derechos y deberes fundamentales” puede fácilmente deducirse que el mismo constituye un derecho fundamental cuya regulación prima sobre la regulación del derecho de acceso de los ciudadanos a la información pública (artículo 105.b) CE) y la legislación administrativa.
Siendo así, durante la adaptación del ordenamiento jurídico español al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos o Reglamento General de Protección de Datos (en adelante, RGPD), consideramos que el legislador español, cuando fue adoptada la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), no tuvo suficientemente en cuenta dos principios para evitar que se recojan datos excesivos de la ciudadanía:

• El principio de minimización de datos: no es un concepto nuevo en el ordenamiento jurídico español.

El artículo 5.1.c) del RGPD establece que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”, a lo que el Considerando 39 del mismo RGPD añade que “los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios”.

No sería un principio nuevo en el ordenamiento jurídico español. Quizás inspirada de la doctrina del Tribunal Constitucional que ya lo había establecido, la Federación Española de Municipios y Provincias aprobó una “Ordenanza tipo de transparencia, acceso a la información y reutilización”(22) la cual, en su artículo 26.1 indica que “Los órganos competentes para resolver las solicitudes de acceso a la información pública no requerirán a los solicitantes más datos sobre su identidad que los imprescindibles para poder resolver y notificar aquellas”.

El artículo 25 del RGPD remitiendo y precisando el principio anterior, establece:

“1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados.

2. El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas.

3. Podrá utilizarse un mecanismo de certificación aprobado con arreglo al artículo 42 como elemento que acredite el cumplimiento de las obligaciones establecidas en los apartados 1 y 2 del presente artículo.”

Así, el RGPD dice que cuando se diseña un tratamiento de datos personales, debe garantizarse que por defecto sólo sean objeto de tratamiento los datos necesarios.
En este caso, el legislador es quien diseñó el tratamiento consistente en la recogida y comprobación de los datos identificativos de los solicitantes de acceso a la información pública por ley, en concreto la LTAIBG de 2013 y la LPAC de 2015. El RGPD se aprobó en 2016 y la LOPDGDD en 2018. En el proceso de elaboración de la LOPDGDD el legislador debió revisar normas de uso tan frecuente como las mencionadas para asegurar que el derecho interno no colisionaba con el europeo, pero no lo hizo. Así, nos encontramos que las administraciones públicas requieren por defecto más datos de los necesarios escudándose en la ley que deben aplicar, que no fue modificada para ser coherente con los estándares europeos.

Confirmando nuestra posición, encontramos:

• El RGPD

• El artículo 11 del RGPD, dedicado a los tratamientos que no requieren identificación, que indica que “si los fines para los cuales un responsable trata datos personales no requieren o ya no requieren la identificación de un interesado por el responsable, este no estará obligado a mantener, obtener o tratar información adicional con vistas a identificar al interesado con la única finalidad de cumplir el presente Reglamento.”

• La inclusión por parte del RGPD de la seudononimización como medida aplicable para garantizar el cumplimiento del mismo.

• El Reglamento (UE) 910/2014 sobre servicios de identificación electrónica y servicios fiduciarios para transacciones electrónicas en el mercado interior que además de recordar que la autenticación debe implicar exclusivamente el tratamiento de los datos identificativos adecuados, pertinentes y no excesivos para la concesión del acceso al servicio en línea de que se trate (considerando 11), establece la posibilidad de utilizar seudónimos (artículo 5) o de establecer niveles más bajos de identificación para ciertos servicios (considerando 15), incluidas las transacciones electrónicas que se llevan a cabo en los Estados miembros de la UE.

• El Buzón Ético de Xnet y el Ayuntamiento de Barcelona y sus réplicas

Xnet ha sido pionera en España reivindicando la importancia de proteger a las personas frente a la asimetría con los poderes establecidos y en particular cuando las personas revelan abusos sistémicos para el interés general (whistleblowers/alertadores). En esta labor ha instalado por primera vez en una institución – el Ayuntamiento de Barcelona- un buzón de alerta contra abusos sistémico completamente anónimo. A través de este buzón, la ciudadanía puede enviar denuncias, pistas o indicios de irregularidades para que sean investigados por el Ayuntamiento, quien también puede remitirlas a la institución pertinente al efecto. Este buzón conserva el poder de la ciudadanía de decidir si revela o no su identidad, permitiendo comunicar la información tanto de forma confidencial, es decir, proporcionando la propia identidad, como de forma anónima.

Este prototipo se ha replicado y continua replicándose en otras instituciones como las Oficina Antifraude de Catalunya y de la Comunidad Valenciana, entre otras y es recogido en la Proposición de Ley de Protección Integral de los Alertadores de Xnet, primera transposición europea de la Directiva (UE) 2019/1937, de 23 de octubre de 2019, del Parlamento Europeo y del Consejo sobre la Protección de las Personas que informen sobre infracciones, registrada en el Congreso de los Diputados: https://xnet-x.net/proposicion-ley-proteccion-integral-alertadores/.

• Ya dentro del marco de la inminente aprobación de la mencionada Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión(23), la LOPDGDD permitió la presentación de denuncias anónimas a través de los sistemas de denuncias internas en su artículo 24.1, según el cual:
“Será lícita la creación y mantenimiento de sistemas de información a través de los cuales pueda ponerse en conocimiento de una entidad de Derecho privado, incluso anónimamente, la comisión en el seno de la misma o en la actuación de terceros que contratasen con ella, de actos o conductas que pudieran resultar contrarios a la normativa general o sectorial que le fuera aplicable. Los empleados y terceros deberán ser informados acerca de la existencia de estos sistemas de información.”

Siguiendo este precepto y el camino abierto por Xnet, la Agencia Española de Protección de Datos, con la aprobación de su Código Ético en enero de 2020, incorporó un canal de consulta y alerta en los que no es preciso indicar la identidad de quién consulta o alerta sobre la comisión de incumplimientos del código ético, irregularidades o actos contrarios a la legalidad.

• Consejo General del Poder Judicial

Antes de la entrada en vigor de la LTAIBG el Consejo General del Poder Judicial (en adelante, CGPJ) puso en marcha su Portal de Transparencia y lo hizo sujetándose a los estándares internacionales fijados en el Convenio n.º 205 del Consejo de Europa sobre el Acceso a Documentos Públicos.

El 18 de noviembre de 2014 CGPJ adoptó un “Protocolo de Integración de la gestión de solicitudes de información de los ciudadanos en el funcionamiento de la organización interna del Consejo General del Poder Judicial”(25) donde se establece en su punto 1.1.1 lo siguiente:

“El CGPJ tramitará todas las solicitudes de información con independencia de los datos de identificación proporcionados.(31)
Sólo cuando se requiera un acceso cualificado (por ejemplo, si se solicita el acceso presencial a una gran cantidad de documentación) se exigirá una identificación.”

Justifica que no se requiera identificación del siguiente modo:

“Aunque la Ley 19/2013 exige la identificación del solicitante, la falta de necesidad de identificación del solicitante es un estándar internacionalmente fijado, al entenderse que el acceso a la información pública es un derecho fundamental de carácter universal en cuya garantía priman las obligaciones de transparencia de los poderes públicos frente a cualquier requisito impuesto al ciudadano que solicita el acceso”.

• El Ayuntamiento de Madrid

En la Ordenanza de Transparencia del Ayuntamiento de Madrid(26), a parte de prever el régimen general aplicable de acuerdo con la LTAIBG, se estableció la posibilidad de solicitar el acceso a información pública sin identificación del solicitante, el cual sólo debe facilitar una dirección de correo electrónico para que el Ayuntamiento pueda comunicarle su decisión y, en su caso, la información solicitada. En todo caso, la Ordenanza indica que de no ser concedido el acceso a la información el solicitante no podrá impugnar la resolución, pero podrá volver a solicitarlo mediante la aplicación de la Ley de Transparencia, esta vez haciendo constar su identidad.

_________________________________________________________________