1. Abuso de identificación por parte de las instituciones vs minimización de datos desde el diseño y por defecto

1 – ABUSO DE IDENTIFICACIÓN POR PARTE DE LAS INSTITUCIONES vs MINIMIZACIÓN DE DATOS DESDE EL DISEÑO Y POR DEFECTO
 

ABUSO DE IDENTIFICACIÓN POR PARTE DE LAS INSTITUCIONES vs MINIMIZACIÓN DE DATOS DESDE EL DISEÑO Y POR DEFECTO

“En general, un buen sistema de protección de datos se caracteriza por el hecho de que las organizaciones responsables del tratamiento de nuestra información personal conocen muy bien sus obligaciones normativas y los ciudadanos conocemos muy bien nuestros derechos y los medios para ejercerlos. La máxima expresión de este axioma es un estadio en el que la intervención de las autoridades de control no sea necesaria. Sin embargo, la realidad presente dista mucho de contar con un sistema perfecto capaz de autorregularse por sí mismo. (…) No en vano, el modelo europeo de protección de datos centra su enfoque en el refuerzo de los derechos de los ciudadanos, así como de las obligaciones de las organizaciones en el marco de la denominada responsabilidad proactiva. El cambio de paradigma que tuvo lugar con la aprobación del Reglamento General de Protección de Datos (en adelante, RGPD), profundiza en el empoderamiento de las personas sobre su propia información, cimentado en la transparencia de las organizaciones sobre el uso que se hace de la misma. Se pretende erradicar la asimetría, el desequilibrio de poder que genera la opacidad, el “poder ver sin ser visto” sobre el que disertaba Foucault hace ya medio siglo”.(1)
 

El derecho de las personas a acceder a la información pública es un derecho reconocido. Además, la casi totalidad de los Estados Miembros de la Unión Europea, ya disponían de alguna regulación sobre la transparencia y el derecho de acceso a la información pública cuando en España se aprobó la Ley 19/2013, de 9 de diciembre, de Transparencia, Acceso a la Información Pública y Buen Gobierno, desarrollando el artículo 105.b) de la Constitución Española.
A esto se le ha de añadir la obligación de las y los servidores públicos responsables de una tarea de identificarse cuando prestan un servicio (art. 53 de la Ley 39/2015).

La transparencia de las instituciones y corporaciones es fundamental para la demo-cracia, el derecho a proporcionar y recibir información veraz, el control de los poderes públicos, la protección del interés general, preservar la rendición de cuentas y la integridad en el sector público, inhibiendo la corrupción o simplemente garantizar una suficiente agilidad de las instituciones en sus relaciones con la ciudadanía y las y los usuarios.

Aún así, no toda la información que debería ser publicada por las Administraciones y corporaciones sistémicas lo es, y no siempre se publica correctamente. Además, el acceso a la información que debería ser pública y no se encuentra publicada, se desincentiva a través de los requisitos que se exigen para obtenerla. Se mantiene así una todavía considerable opacidad de las instituciones, mientras se exige a la ciudadanía exponerse demasiado si quiere ejercer su derecho de acceso a la información. No nos estamos refiriendo solo a información de una cierta complejidad, sino también a información trivial y de uso cotidiano como la información sobre servicios, tarifas o similares.
Ejemplo: servicio de información de empresa de telefonía –>

 
En el Estado español encontramos prácticas establecidas desde hace años según las cuales se recogen datos desproporcionados de la ciudadanía, sin motivo aparente alguno, lo que se ha incrementado desde 2015 cuando se aprobó la nueva Ley de Procedimiento Administrativo (e incluso con la Ley de Transparencia) con la obligación de identificación de todas las personas usuarias sistemática y por defecto.

La aplicación del nuevo Reglamento europeo de Protección de Datos y la adaptación del derecho nacional al mismo hubiera permitido al legislador español revertir la situación sobre esta recogida de datos. Sin embargo, no encontramos en la nueva (2018) Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales ninguna mejora sustancial relacionada con este aspecto, y aunque en algunas corporaciones y administraciones se ha reducido la cantidad de datos que se recogen de las y los consumidores y usuarios, esta no es una práctica habitual.

En este contexto se enmarca también la histórica crítica de Xnet a la demagogia con la que se está legislando la justa reivindicación de la sociedad civil para que haya registros de grupos de intereses. En este momento, estos registros desorganizados obligan mucho más a la ciudadanía que no a quienes realmente deberían hacer aflorar, perpetrando la asimetría de poder y desincentivando la participación activa de las personas en la gestión pública.(2)
 

Colisión con el Reglamento Europeo de Protección de Datos (RGPD)

En el transcurso del posgrado dirigido por Simona Levi y Cristina Ribas sobre Tecnopolítica y Derechos en la Era Digital, algunos de las y los participantes han realizado solicitudes de información a distintas administraciones públicas y corporaciones sobre la cantidad de datos requeridos para la realización de estos trámites, preguntando sobre el motivo de cada uno de dichos requerimientos, en algunos casos obtuvieron que se eliminasen algunos. La Administración requiere identificación para la realización de cualquier actuación o trámite ante la misma, incluyendo las solicitudes realizadas vía la Ley de Transparencia, además de otras comunicaciones tan sencillas como quejas y sugerencias. Lo establece la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPAC)(3) o, en otros casos, como veremos, la Ley de transparencia.

Las Administraciones Públicas tienen la obligación de pedir un gran número de datos. Esto se deriva del hecho anacrónico de que toda relación entre ciudadanía e instituciones se considere un “trámite administrativo”, incluso para poder conocer informaciones que, por ley, por políticas o simplemente por lógica, deben ser públicas. Como veremos en el siguiente apartado, la ley que impone estos procedimientos farragosos creemos que choca con la Ley europea superior.

De hecho, una de las reivindicaciones históricas de la sociedad civil que han dado origen al Reglamento General de Protección de Datos al que está subordinada la Ley Orgánica de Protección de Datos española, es la de no pedir a la ciudadanía más datos de los estrictamente necesarios para que su privacidad no se vea expuesta por una circulación excesiva de datos personales. A este principio se le llama “minimización” y surge especialmente de las reivindicaciones de la sociedad civil alemana que sufrió a mano de la Stasi la más grande operación de vigilancia y recolección de datos personales jamás conocida en la época predigital.

Cuanto a los procedimientos de las grandes empresas sistémicas que también piden más datos de los necesarios y a las que se les debería aplicar directamente la obligación de minimización, esto no ocurre en la mayoría de los casos(4). Esto es agravado por el hecho de que cuando los consumidores detectan irregularidades en el tratamiento de sus datos deban reclamar ante la Agencia Española de Protección de Datos (AEPD) para alertar de ello con resultados que llegan a cuenta gotas y no implican un cambio general de la situación. Creemos que la AEPD que dispone de poderes de supervisión sobre las empresas españolas, podría actuar previa y proactivamente, como en algunos casos ya se ha empezado a hacer.

Las leyes administrativas no sólo exigen que la identificación de los ciudadanos se realice, sino que impone condiciones a dicha identificación. Además, en el ámbito digital, es habitual que se exija la identificación por medio de certificados electrónicos u otros medios que las Administraciones establezcan(5). En el caso de uso de certificados electrónicos, cada Administración escoge la información que recopila de los mismos(6), sin que en general se informe al ciudadano de los datos efectivamente recogidos ni de la finalidad por la que van a ser utilizados ulteriormente (a parte de la identificación del ciudadano).

Los requisitos de comprobación de la identidad de la ciudadanía para todo trámite que quieran llevar a cabo ante las administraciones públicas colisionan directamente con el RGPD según el cual sólo deben recogerse los datos adecuados, pertinentes y no excesivos de acuerdo con los fines para los que son recogidos y antes de recogerlos debe establecerse qué datos serán recogidos por defecto y por qué.
Las leyes administrativas aprobadas en 2013 y 2015 exigen por defecto que las administraciones recojan más datos de los que son necesarios para decidir si permiten a los solicitantes acceder a la información pública o no.

En principio, los datos identificativos no son necesarios para resolver y responder a las solicitudes de acceso a información pública.
Por lo tanto, consideramos que deberían modificarse estas normas para permitir la realización solicitudes y otros trámites sin necesidad de identificar las personas, lo que permitiría que la ciudadanía pudiese controlar las instituciones sin miedo a represalias además de reducir al mismo tiempo la burocracia por la que debe pasarse actualmente para acceder a la información. Quienes deberían identificar el expediente para su seguimiento, trazabilidad y demostrar que están respondiendo a las peticiones, deberían ser solamente las instituciones por medio de códigos identificativos para el usuario u otros sistemas parecidos.
 

Identificación prescindible de los solicitantes de información pública

En las comparaciones de las leyes de transparencia de distintos países publicadas en la página del Consejo de Transparencia y Buen Gobierno(7,8), puede observarse que en la mayoría de países la solicitud de información pública puede realizarse sin identificarse o utilizando una palabra de reconocimiento que no debe coincidir con el nombre real de la persona, siendo España uno de los pocos países en que se verifica obligatoriamente que la identidad del solicitante coincide con su identidad real mediante la comprobación del DNI, documento equivalente o certificado electrónico. Además, en la mayoría de Estados que se analizan no se requieren la utilización de certificados o firmas electrónicas y es suficiente disponer de una dirección de correo electrónico para realizar la solicitud. Los sistemas en los distintos países son los siguientes:

Xnet, teniendo en cuenta que las normas internacionales permiten que los Estados reconozcan el derecho a la privacidad de quien pide información pública, salvo cuando la identificación sea esencial para tramitar la solicitud de información, considera que requerir la identificación de los solicitantes es excesivo cuando se solicita el acceso a información pública, pudiendo en ciertos casos incluso desincentivar las solicitudes de información por temor a posibles represalias. Además, debemos ser conscientes que algunas de las solicitudes de información que se realizan se refieren a información que debería haber sido publicada por la Administración. Por lo tanto, es ilógico requerir al solicitante que se identifique cuando debería poder acceder a dicha información libremente y no puede hacerlo a causa del incumplimiento de la Administración de su deber de publicar dicha información.

La identificación no es necesaria para acceder a información pública, ya que para decidir sobre las solicitudes, las administraciones deben hacerlo de manera objetiva, es decir, tomando sólo en consideración la información que se solicita y los límites de acceso establecidos por ejemplo en la Ley de transparencia como son la protección de datos personales de las personas que pueden aparecer en la información y la protección de intereses generales como pueden ser la seguridad pública, la protección del medio ambiente, intereses económicos y comerciales, etc.

Finalmente, ha sido admitido incluso por el Consejo de Transparencia y Buen Gobierno que los sistemas de identificación electrónica (Cl@ve y otros certificados electrónicos) pueden ser percibidos como una traba para el ejercicio del derecho de acceso a la información pública(9) en la medida que pueden resultar de difícil uso para la ciudadanía porque son sistemas complejos en cualquiera de sus modalidades, además de discriminar tanto a las personas jurídicas (empresas, asociaciones, etc.) que no tienen DNI ni pueden obtener certificados electrónicos y también discrimina las personas extranjeras que carecen de DNI o certificados electrónicos, e incluso europeas porque el sistema pensado para ellos no funciona para muchos países. De este modo, el Consejo de Transparencia y Buen Gobierno admite que los sistemas de identificación suponen una traba, sin entrar a valorar si la identificación puede percibirse también como una traba al ejercicio del derecho de acceso a la información pública.
 

Prescindible identificación en el uso de servicios privados

Tenemos derecho a utilizar un servicio sin revelar datos adicionales a los necesarios para su uso. Si una empresa u organización desea procesar datos personales que no son estrictamente necesarios para la prestación de un determinado servicio (por ejemplo, una aplicación de transporte que desea acceder a la lista de contactos de su teléfono), debe obtener el consentimiento explícito para procesar dichos datos y no debería plantearse como un “chantaje”, o sea sin datos no hay servicio. Existen salvedades en la Ley (art. 6.3. “No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual”), pero las personas no lo saben. Que una empresa crea que ciertos datos son útiles para la prestación de su servicio, no siempre significa que sean necesarios. Eso permite también, por ejemplo, caminar hacia evitar el acoso y el atropello de la presunción de inocencia que practican muchas multinacionales de servicios como las de telefonía, luz y gas cuando persiguen clientes o supuestos deudores, aunque no se haya demostrado que lo sean.

RECOMENDACIONES

Fruto del análisis realizado, para garantizar y proteger el derecho de las personas a acceder a la información, en línea con la legislación internacional de derechos humanos, desde XNet recomendamos:

• Modificar las leyes administrativas, en particular la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPAC), la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y garantía de los derechos digitales, además de los protocolos de actuación internos a las instituciones y empresas para proteger la identidad de la ciudadanía cuando no es necesaria para acceder a los servicios prestados por la Administración o empresas.

El Ministerio de Presidencia señaló en 2017 su voluntad de simplificar el sistema de identificación de los solicitantes de información.(10) También hay expertos que se han postulado por una modificación de la Ley para revisar los criterios de identificación de los solicitantes de acceso a la información pública para que no disuadirlos del ejercicio de este derecho.(11)

En este sentido, Xnet considera necesario modificar las leyes administrativas y la Ley de Transparencia, para utilizar las facultades que las normas internacionales dan al Estado para que la identificación de la ciudadanía se requiera solo en casos imprescindibles y debidamente justificados.

En la misma línea, es conveniente prever disposiciones similares para que no se requiera la identificación personal de quienes, desde la sociedad civil organizada y sin ánimo de lucro, se reúnan o interpelen instituciones para aportar exigencias y recomendaciones para las legislaciones y políticas públicas. La transparencia bien entendida debería poner la presión sobre la agenda de las instituciones haciendo de obligado cumplimiento real la publicación de todas las reuniones llevadas a cabo tanto con lobistas profesionales como con la sociedad civil, esto sin necesidad de exponer los datos personales de estos últimos.

• Garantizar la minimización por defecto de los datos que se recogen.
Revisar las leyes y normas de uso frecuente, tanto por parte de operadores públicos como privados, que exigen la recogida de datos personales de las personas para asegurar que el derecho interno no colisiona con el europeo y estos no requieran por defecto más datos de los necesarios escudándose en la ley que deben aplicar, recogiendo solo los datos estrictamente necesarios para el servicio o finalidad que debe cumplirse. En caso de detectar que una norma requiere más datos de los que serían necesarios, promover regulaciones y leyes para su enmienda y adaptación a la nueva regulación de protección de datos personales.

• Exigir que la información de interés público sea puesta a disposición de la ciudadanía sin tener que solicitarla.
Como muchas organizaciones de la sociedad civil pedimos, poner más énfasis y sanciones en que se publique efectiva y debidamente la información que debe ser pública. Por otra parte, no hay impedimento para que las administraciones públicas y otras instituciones y organizaciones obligadas y no obligadas por la Ley publiquen voluntariamente más información de la exigida que pueda ser de interés público. Si las instituciones hacen pública la información, el acceso será directo por parte de la ciudadanía, sin necesidad de identificación alguna, garantizando así un acceso universal y gratuito. Son necesarias mejores sanciones cuando se incumplan las obligaciones de publicación de información en el ámbito de la Administración, las instituciones, los partidos políticos y de las empresas sistémicas. A este propósito recordamos otra reivindicación histórica cuanto a ampliar los sujetos y objetos de aplicación de la Ley de transparencia.

Las autoridades nos han manifestado su preocupación por el uso comercial que se hace de las informaciones que ellas ofrecen en la resolución a las consultas que se les plantean. Consideramos que se puede paliar este problema publicando las consultas de utilidad pública. Cobrar por información institucional que se puede conseguir públicamente es claramente una mala praxis.

• Inspeccionar las medidas adoptadas por parte de instituciones y empresas para proteger los datos personales de las personas.
La Agencia Española de Protección de Datos puede ampliar y normalizar la actuación proactiva que está llevando a cabo, haciendo extensivas a otras instituciones y empresas del mismo sector de actividad las investigaciones que realice. Cuanto a las grandes empresas es necesario que las sanciones sean proporcionadas pero consistentes ya que ha quedado demostrado que las sanciones suelen ser inferiores a lo que las corporaciones ganan recopilando más datos de los necesarios(12). Debe reconocerse la obligación de quienes tratan datos personales de cumplir con las resoluciones de las autoridades cuando se encuentren en situaciones similares a las que se aplique una resolución.

• Reforzar el derecho de la ciudadanía a conocer el uso y destino de sus datos.
Exigir que se informe correctamente a la ciudadanía sobre las comunicaciones de datos que se llevaran a cabo y las finalidades de las mismas, también en los trámites voluntarios, para que esté bien informada y ejerza plenamente su derecho a la autodeterminación informativa reconocido por primera vez en Europa fue en la sentencia del Tribunal Constitucional Alemán de 15 de diciembre de 1983 y en España por el Tribunal Constitucional (STC 254/1993) que la llamó «libertad informática».

• Acortar mejor las definiciones de conceptos demasiado ambiguos, especialmente el de “intereses legítimos”.

RECOMENDACIONES DE BUENAS PRÁCTICAS PARA LAS INSTITUCIONES Y EMPRESAS SISTÉMICAS

ANTERIORES A MODIFICACIONES DE LA LEY PARA CREAR UN MARCO MÁS FAVORABLE AL RESPETO DE LAS LIBERTADES FUNDAMENTALES

• Publicar proactivamente la información institucional, de planificación, jurídica, económica, presupuestaria, estadística o de otra índole, Incluso la que no esté expresamente requerida por Ley, para así reducir el número de solicitudes de acceso, mediante una interpretación amplia de la obligación de publicidad activa prevista por la Ley de Transparencia. Valorar la aplicación de los límites al derecho de acceso de forma objetiva, haciendo por defecto abstracción de la identidad del solicitante.

• En los casos de información o consultas que se realicen frecuentemente a la institución, publicar la información y respuestas en un lugar fácilmente accesible, por ejemplo, mediante una página de preguntas/consultas frecuentes para que no sea preciso contactarla para su obtención. Las autoridades nos han manifestado su preocupación por el uso comercial que se hace de las informaciones que ellas ofrecen en la resolución a las consultas que se les plantean. Consideramos que se puede paliar este problema publicando las consultas de utilidad pública. Cobrar por información institucional que se puede conseguir públicamente es claramente una mala praxis.

• Revisar las políticas existentes en las administraciones, instituciones y grandes empresas sobre la recogida de datos personales para que no recojan más datos de los estrictamente legales y necesarios para los distintos trámites que la ciudadanía puede llevar a cabo.

• Iniciar un mayor número de procedimientos de inspección en las instituciones y grandes empresas para detectar informaciones que deberían ser públicas, pero que sin embargo no han sido objeto de publicación activa así como las infracciones de protección de datos, además de aplicar con mayor agilidad las resoluciones a los actores análogos.

• Adoptar actos normativos, protocolos o procedimientos internos en los que no se requiera la identificación de los solicitantes en base a los estándares internacionales que lo permiten, para así facilitar el ejercicio del derecho de acceso por parte de la ciudadanía. Ejemplos que pueden tomarse en cuenta para este fin son el Protocolo del Consejo General del Poder Judicial(13), la Ordenanza de Transparencia del Ayuntamiento de Madrid(14) o el Buzón Ético del Ayuntamiento de Barcelona, comentados en el análisis del desarrollo legislativo del presente informe.

En la misma línea, es conveniente prever disposiciones similares para que no se requiera la identificación personal de quienes, desde la sociedad civil organizada y sin ánimo de lucro, aporten exigencias y recomendaciones para las legislaciones y políticas públicas y sí hacer de obligado cumplimiento la publicación por parte de los cargos públicos de todas las reuniones llevadas a cabo tanto con lobistas profesionales como con la sociedad civil, esto sin necesidad de exponer los datos personales de estos últimos.

• Desincentivar los incumplimientos.

• Incentivar estas prácticas en el sector privado.

ENMIENDAS A LA LEY

Modificación de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas

Para alcanzar el fin propuesto, debemos solicitar la enmienda de dos artículos de la Ley:
Con la modificación del apartado 1 del Artículo 9. “Sistemas de identificación de los interesados en el procedimiento”, que quedaría redactado como sigue:

1. Las Administraciones Públicas están obligadas a verificar la identidad de los interesados en el procedimiento administrativo, salvo en los casos previstos en el segundo párrafo del apartado 1 del artículo 11 de esta Ley, mediante la comprobación de su nombre y apellidos o denominación o razón social, según corresponda, que consten en el Documento Nacional de Identidad o documento identificativo equivalente.

Asimismo, se debe introducir un nuevo párrafo en el apartado 1 del Artículo 11. “Uso de medios de identificación y firma en el procedimiento administrativo”, que quedaría redactado como sigue:

1. Con carácter general, para realizar cualquier actuación prevista en el procedimiento administrativo, será suficiente con que los interesados acrediten previamente su identidad a través de cualquiera de los medios de identificación previstos en esta Ley.
Los interesados no deberán acreditar su identidad cuando realicen simples consultas, quejas y sugerencias, peticiones de acceso a información pública o información de interés público de acuerdo con la Ley 19/2013 de Transparencia, acceso a la información púbica y buen gobierno.

Tampoco deberán acreditar su identidad cuando, desde la sociedad civil se organicen agrupaciones adhoc y sin ánimo de lucro, se reúnan o interpelen instituciones para aportar exigencias y recomendaciones para las legislaciones y políticas públicas, sugerencias, exigencias o críticas para la elaboración de leyes, reglamentos, políticas, planes y programas públicos (función de grupo de presión para el bien común), pudiendo registrar y proporcionar un nombre, plataforma, grupo informal o colectivo sin designar una persona concreta como representante ni indicar los datos personales de ninguno de sus integrantes, a diferencia de las consultoras y los grupos de presión profesionales que deberán inscribirse en el registro con todos los datos para su identificación.

Modificación de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno.

Para alcanzar el fin propuesto, debemos solicitar la enmienda de un artículo de la Ley, eliminando el punto “a) La identidad del solicitante” del apartado 2 del artículo 17 “Solicitud de acceso a la información”, que quedaría redactado como sigue:

2. La solicitud podrá presentarse por cualquier medio que permita tener constancia de:

a) La información que se solicita.
b) Una dirección de contacto, preferentemente electrónica, a efectos de comunicaciones.
c) En su caso, la modalidad que se prefiera para acceder a la información solicitada.

Además de la introducción de un nuevo apartado 3 del mismo artículo, que quedaría redactado como sigue:

3. El solicitante no está obligado a proporcionar su identidad real en su solicitud de acceso a la información. La ausencia de identificación no será por si sola causa de rechazo o inadmisión de la solicitud.
La identificación del solicitante sólo podrá requerirse cuando sea esencial para valorar su solicitud, debiendo la institución justificar debidamente dicho requerimiento

Los apartados 3 y 4 actuales pasarán a ser, respectivamente los apartados 4 y 5.
 

Para incrementar las posibilidades de control, tanto del sector público como privado, es altamente recomendable ampliar las posibilidades de publicación de información de forma proactiva y prever la inclusión de corporaciones sistémicas dentro del ámbito de aplicación de la Ley de Transparencia. De mismo modo, es necesaria la definición de sanciones sin las cuales la Ley es papel mojado.

Para incrementar las posibilidades de control de los procedimientos para la elaboración de leyes, reglamentos, políticas, planes y programas públicos, es también altamente recomendable que se exija la publicación de las agendas y reuniones llevadas a cabo por miembros y responsables de las instituciones tanto con lobistas profesionales como con la sociedad civil. En el primer caso, identificando de forma clara el grupo o entidad representada y en el segundo aplicando la siguiente enmienda al artículo 11.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas:

Tampoco deberían indicarse datos personales tales como domicilios o similares cuando, desde la sociedad civil se organicen agrupaciones adhoc y sin ánimo de lucro, se reúnan o interpelen instituciones para aportar exigencias y recomendaciones para las legislaciones y políticas públicas, sugerencias, exigencias o críticas para la elaboración de leyes, reglamentos, políticas, planes y programas públicos (función de grupo de presión para el bien común), pudiendo registrar y proporcionar un nombre, plataforma, grupo informal o colectivo, para que estas agrupaciones tengan una protección igual o superior a la de los lobistas profesiones. Estos – las consultoras y los grupos de presión profesionales – deberán inscribirse en el registro con sus datos profesionales de identificación completos.

Modificación de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y garantía de los derechos digitales

Para alcanzar el fin propuesto, debemos solicitar la enmienda de la Ley para acotar las definiciones de conceptos genéricos existentes tanto en el Reglamento (UE) 2016/679 General de Protección de Datos como en la Ley, tales como “tratamientos a gran escala”, y específicamente las relativas al “interés legítimo” como base jurídica de legitimación del tratamiento.

Además de la introducción de un nuevo párrafo en el artículo 50. “Publicidad”, que quedaría redactado como sigue:

La Agencia Española de Protección de Datos publicará las resoluciones de su Presidencia que declaren haber lugar o no a la atención de los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, las que pongan fin a los procedimientos de reclamación, las que archiven las actuaciones previas de investigación, las que sancionen con apercibimiento a las entidades a que se refiere el artículo 77.1 de esta ley orgánica, las que impongan medidas cautelares y las demás que disponga su Estatuto.
Las resoluciones y sus indicaciones serán de obligado cumplimiento para todo responsable y/o encargado del tratamiento que se encuentre en una situación análoga a las de los supuestos objeto de las mismas.

Modificación del Real Decreto Legislativo 1/2007, de 16 de noviembre, por el que se aprueba el texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios y otras leyes complementarias

Para alcanzar el fin propuesto, debemos solicitar la enmienda de un artículo de la Ley:

Con la introducción de dos nuevos apartados, g) y h), en el Artículo 8. “Derechos básicos de los consumidores y usuarios”, que quedaría redactado como sigue:

Son derechos básicos de los consumidores y usuarios:
a) La protección contra los riesgos que puedan afectar su salud o seguridad.
b) La protección de sus legítimos intereses económicos y sociales; en particular frente a las prácticas comerciales desleales y la inclusión de cláusulas abusivas en los contratos.
c) La indemnización de los daños y la reparación de los perjuicios sufridos.
d) La información correcta sobre los diferentes bienes o servicios y la educación y divulgación para facilitar el conocimiento sobre su adecuado uso, consumo o disfrute.
e) La audiencia en consulta, la participación en el procedimiento de elaboración de las disposiciones generales que les afectan directamente y la representación de sus intereses, a través de las asociaciones, agrupaciones, federaciones o confederaciones de consumidores y usuarios legalmente constituidas.
f) La protección de sus derechos mediante procedimientos eficaces, en especial ante situaciones de inferioridad, subordinación e indefensión.
g) El derecho de acceso a la información de interés público sobre las empresas sujetos a esta Ley.
h) El derecho a la protección de sus datos personales, conforme la legislación en vigor, y en especial a los principios relativos al tratamiento previstos en el artículo 5 del Reglamento (UE) 2016/679 General de Protección de Datos.

ANÁLISIS DEL DESARROLLO LEGISLATIVO

El derecho de las personas a acceder a la información pública se encuentra protegido tanto a nivel internacional, como europeo ya sea como parte del derecho a la libertad de expresión e información o como derecho autónomo:

Además, en España se aprobó la Ley 19/2013, de 9 de diciembre, de Transparencia, Acceso a la Información Pública y Buen Gobierno (en adelante, LTAIBG) que desarrolla el artículo 105.b) de la Constitución Española, según el cual la ley debe regular “el acceso de los ciudadanos a los archivos y registros administrativos, salvo en lo que afecte a la seguridad y defensa del Estado, la averiguación de los delitos y la intimidad de las personas.”

En este sentido, el derecho de acceso a la información pública se encuentra específicamente previsto en el artículo 12 de la LTAIBG tanto en el ámbito estatal como en el ámbito autonómico. Se configura como un derecho universal disponible a “todas las personas”, es decir, que debe poder ejercerse sin ser víctima de discriminación alguna. La ley en este sentido concuerda con las normas internacionales que no distinguen entre los solicitantes, el derecho aplicándose tanto a personas físicas como jurídicas(15), sin discriminación por motivo de nacionalidad o residencia, incluyendo a europeos y extranjeros(16), o por edad, formación, recursos, circunstancias personales o condición o situación social.
Además, de acuerdo con el artículo 17.3 LTAIBG, no debe justificarse ningún interés del solicitante en la solicitud de información, sin que la administración pueda denegar el acceso por ello. Indicar los motivos por los que se solicita la información es opcional. En caso de indicarlos, la administración podrá tenerlos en cuenta a la hora de decidir si concede el acceso o no.

El artículo 13 de la LTAIBG define el concepto de información pública del siguiente modo:

“Se entiende por información pública los contenidos o documentos, cualquiera que sea su formato o soporte, que obren en poder de alguno de los sujetos incluidos en el ámbito de aplicación de este título y que hayan sido elaborados o adquiridos en el ejercicio de sus funciones.”

Además de esta información, la ciudadanía tiene derecho a conocer otra información que debe ser objeto de publicación activa por parte de las Administraciones públicas, esta información incluye “información cuyo conocimiento sea relevante para garantizar la transparencia de su actividad relacionada con el funcionamiento y control de la actuación pública” según el artículo 5 de la LTAIBG, que viene concretada en los siguientes artículos que se refieren a “información institucional, organizativa y de planificación” (artículo 6 LTAIBG), el “registro de actividades de tratamiento” (artículo 6bis LTAIBG), “información de relevancia jurídica” (artículo 7 LTAIBG) e “información económica, presupuestaria y estadística” (artículo 8 LTAIBG).

Los “sujetos incluidos en el ámbito de aplicación de este título”, es decir, a los que se les puede solicitar información elaborada o adquirida por ellos incluyen las instituciones previstas en los artículos 2 y 4 de la LTAIBG:
 

Artículo 2. Ámbito subjetivo de aplicación.

1. Las disposiciones de este título se aplicarán a:

a) La Administración General del Estado, las Administraciones de las Comunidades Autónomas y de las Ciudades de Ceuta y Melilla y las entidades que integran la Administración Local.

b) Las entidades gestoras y los servicios comunes de la Seguridad Social, así como las mutuas de accidentes de trabajo y enfermedades profesionales colaboradoras de la Seguridad Social.

c) Los organismos autónomos, las Agencias Estatales, las entidades públicas empresariales y las entidades de Derecho Público que, con independencia funcional o con una especial autonomía reconocida por la Ley, tengan atribuidas funciones de regulación o supervisión de carácter externo sobre un determinado sector o actividad.

d) Las entidades de Derecho Público con personalidad jurídica propia, vinculadas a cualquiera de las Administraciones Públicas o dependientes de ellas, incluidas las Universidades públicas.

e) Las corporaciones de Derecho Público, en lo relativo a sus actividades sujetas a Derecho Administrativo.

f) La Casa de su Majestad el Rey, el Congreso de los Diputados, el Senado, el Tribunal Constitucional y el Consejo General del Poder Judicial, así como el Banco de España, el Consejo de Estado, el Defensor del Pueblo, el Tribunal de Cuentas, el Consejo Económico y Social y las instituciones autonómicas análogas, en relación con sus actividades sujetas a Derecho Administrativo.

g) Las sociedades mercantiles en cuyo capital social la participación, directa o indirecta, de las entidades previstas en este artículo sea superior al 50 por 100.

h) Las fundaciones del sector público previstas en la legislación en materia de fundaciones.

i) Las asociaciones constituidas por las Administraciones, organismos y entidades previstos en este artículo. Se incluyen los órganos de cooperación previstos en el artículo 5 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, en la medida en que, por su peculiar naturaleza y por carecer de una estructura administrativa propia, le resulten aplicables las disposiciones de este título. En estos casos, el cumplimiento de las obligaciones derivadas de la presente Ley serán llevadas a cabo por la Administración que ostente la Secretaría del órgano de cooperación.

Artículo 4. Obligación de suministrar información.

Las personas físicas y jurídicas distintas de las referidas en los artículos anteriores que presten servicios públicos o ejerzan potestades administrativas estarán obligadas a suministrar a la Administración, organismo o entidad de las previstas en el artículo 2.1 a la que se encuentren vinculadas, previo requerimiento, toda la información necesaria para el cumplimiento por aquéllos de las obligaciones previstas en este título.
Esta obligación se extenderá a los adjudicatarios de contratos del sector público en los términos previstos en el respectivo contrato.

Se excluyen entre los obligados a proporcionar información cuando les es solicitada mediante el derecho de acceso a muchos sectores sensibles como los partidos políticos, sindicatos, organizaciones empresariales. Desde siempre las organizaciones de la sociedad civil que luchamos por la transparencia de las instituciones pedimos que se eliminen un gran número de estas exclusiones.
En lo que respecta a los límites del derecho de acceso a información pública, se encuentran previstos en los artículos 14 y 15 de la LTAIBG, a veces también mal empelados o discutibles.
En todo caso se limita el acceso a la información cuando la difusión de la misma pueda suponer un perjuicio para: La seguridad nacional; La defensa; Las relaciones exteriores; La seguridad pública; La prevención, investigación y sanción de los ilícitos penales, administrativos o disciplinarios; La igualdad de las partes en los procesos judiciales y la tutela judicial efectiva; Las funciones administrativas de vigilancia, inspección y control; Los intereses económicos y comerciales; La política económica y monetaria; El secreto profesional y la propiedad intelectual e industrial: La garantía de la confidencialidad o el secreto requerido en procesos de toma de decisión; La protección del medio ambiente.

Cuando la información contenga datos “que revelen la ideología, afiliación sindical, religión o creencias (…) el origen racial, la salud o la vida sexual” o “incluyese datos genéticos o biométricos o contuviera datos relativos a la comisión de infracciones penales o administrativas que no conllevasen la amonestación pública al infractor”, solo podrá proporcionarse acceso a la misma cuando la persona cuyos datos contiene la información hubiese dado su consentimiento expreso o los hubiese hecho manifiestamente públicos los datos con anterioridad a que se solicitase el acceso (por ejemplo, publicándolos en redes sociales), salvo disociación de los mismos para impedir la identificación de la persona afectada.

Sobre este límite, el mismo artículo 15 LTAIBG admite que los datos personales que aparezcan en la información solicitada sean disociados para que el solicitante no pueda identificar la persona o personas afectadas, es decir, la información podrá proporcionarse al solicitante cuando los datos personales que no sean pertinentes y proporcionados sean anonimizados.

Hay motivos de inadmisión de las solicitudes que se encuentran enumerados en el artículo 18 LTAIBG, el cual indica que podrán inadmitirse las solicitudes cuando:

• La información solicitada esté en curso de elaboración o de publicación general;

• La información tenga carácter auxiliar o de apoyo (borradores, notas, opiniones, resúmenes, comunicaciones e informes internos);

• La información deba reelaborarse antes de su divulgación;

• La solicitud se haya dirigido a un órgano que no es competente y se desconozca cual es el competente;

• Se trate de solicitudes manifiestamente repetitivas o abusivas.

Puede observarse que la falta de identificación del solicitante de información no constituye pues ni un límite ni una causa de inadmisión de la solicitud de acceso a información pública, pero es preciso examinar con más atención este requisito.

Apuntes sobre el requisito de identificación:

El artículo 17.2 LTAIBG establece que la solicitud de derecho de acceso deberá presentarse por cualquier medio que permita tener constancia de la identidad del solicitante, el acceso debiendo tener lugar preferentemente por vía electrónica (artículo 22.1 LTAIBG).

Si bien es cierto que la LTAIBG no establece que es necesario comprobar la identidad mediante la presentación del DNI o por medio de certificados electrónicos, en este aspecto se aplica de manera supletoria la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPAC).
Encontramos en la LPAC el artículo 11.1 que requiere acreditar la identidad de la ciudadanía “con carácter general, para realizar cualquier actuación prevista en el procedimiento administrativo”, incluyendo en el campo de aplicación de este articulo cualquier actuación o trámite ante la Administración Pública, como serían las solicitudes realizadas vía la Ley de Transparencia, además de otras comunicaciones, quejas y sugerencias. Un ejemplo de la aplicación de este artículo puede encontrarse en el Portal de Transparencia de la Administración General del Estado dónde se justifica solicitar la identificación de la ciudadanía que ejerce el derecho de acceso a información pública del modo siguiente:

“¿Por qué debo identificarme?
El ejercicio del Derecho de Acceso inicia con la administración un procedimiento administrativo que exige la identificación del solicitante.”(17)

La LPAC no sólo exige comprobar la identidad de los solicitantes de información o personas que realizan algún trámite ante la Administración(18), sino que además impone condiciones a dicha comprobación en su artículo 9, debiendo proporcionarse el DNI o documento equivalente, y en el ámbito digital, es habitual que se exija la identificación por medio de certificados electrónicos u otros medios que las Administraciones establezcan (generalmente mediante: Cl@ve PIN, Cl@ve Permanente y DNI electrónico), como el mismo artículo indica.

Ha sido admitido incluso por el Consejo de Transparencia y Buen Gobierno en su memoria anual de 2015(19) que los sistemas de identificación electrónica (Cl@ve y otros certificados electrónicos) pueden ser una traba para el ejercicio del derecho de acceso a la información pública en la medida que pueden resultar de difícil uso para la ciudadanía porque son sistemas complejos en cualquiera de sus modalidades.

Además, de acuerdo con la misma memoria del Consejo de Transparencia y Buen Gobierno, estos sistemas de identificación electrónica resultan discriminatorios con:

• la ciudadanía española que reside en el extranjero y no dispone de identificación por medio del sistema Cl@ve, DNI electrónico o código PIN, porque dichos métodos de identificación sólo están disponibles para los residentes en España(20);

• las personas jurídicas, porque no tienen DNI ni pueden obtener certificados electrónicos desde la entrada en vigor del Reglamento Europeo de firma electrónica en julio de 2016;

• la ciudadanía de la Unión Europea, porque aún poder verificar su identidad a través de la plataforma STORK de validación de firmas e identidades establecidas por los distintos Estados, no todos los países de la UE o del EEE están adheridos a dicha plataforma.

• las personas extranjeras de terceros países no pueden obtener acceso a información alguna al no poder ser comprobada su identidad, debiendo acudir en persona a las Embajadas españolas en caso de querer realizar una solicitud.(21)

Suprimir el requisito de la identificación no solo serviría para ser coherentes con la regulación internacional del derecho de acceso a la información pública, sino que facilitaría su ejercicio, garantizaría que se trata efectivamente de un derecho universal, y reduciría la burocracia que debe cumplirse actualmente para ejercerlo.

Apuntes sobre la normativa de protección de datos personales:

De la localización de la regulación del derecho a la protección de datos personales en la Constitución Española (artículo 18.4CE), bajo el Título dedicado a “los derechos y deberes fundamentales” puede fácilmente deducirse que el mismo constituye un derecho fundamental cuya regulación prima sobre la regulación del derecho de acceso de los ciudadanos a la información pública (artículo 105.b) CE) y la legislación administrativa.
Siendo así, durante la adaptación del ordenamiento jurídico español al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos o Reglamento General de Protección de Datos (en adelante, RGPD), consideramos que el legislador español, cuando fue adoptada la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), no tuvo suficientemente en cuenta dos principios para evitar que se recojan datos excesivos de la ciudadanía:

• El principio de minimización de datos: no es un concepto nuevo en el ordenamiento jurídico español.

El artículo 5.1.c) del RGPD establece que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”, a lo que el Considerando 39 del mismo RGPD añade que “los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios”.

No sería un principio nuevo en el ordenamiento jurídico español. Quizás inspirada de la doctrina del Tribunal Constitucional que ya lo había establecido, la Federación Española de Municipios y Provincias aprobó una “Ordenanza tipo de transparencia, acceso a la información y reutilización”(22) la cual, en su artículo 26.1 indica que “Los órganos competentes para resolver las solicitudes de acceso a la información pública no requerirán a los solicitantes más datos sobre su identidad que los imprescindibles para poder resolver y notificar aquellas”.

El artículo 25 del RGPD remitiendo y precisando el principio anterior, establece:

“1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados.

2. El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas.

3. Podrá utilizarse un mecanismo de certificación aprobado con arreglo al artículo 42 como elemento que acredite el cumplimiento de las obligaciones establecidas en los apartados 1 y 2 del presente artículo.”

Así, el RGPD dice que cuando se diseña un tratamiento de datos personales, debe garantizarse que por defecto sólo sean objeto de tratamiento los datos necesarios.
En este caso, el legislador es quien diseñó el tratamiento consistente en la recogida y comprobación de los datos identificativos de los solicitantes de acceso a la información pública por ley, en concreto la LTAIBG de 2013 y la LPAC de 2015. El RGPD se aprobó en 2016 y la LOPDGDD en 2018. En el proceso de elaboración de la LOPDGDD el legislador debió revisar normas de uso tan frecuente como las mencionadas para asegurar que el derecho interno no colisionaba con el europeo, pero no lo hizo. Así, nos encontramos que las administraciones públicas requieren por defecto más datos de los necesarios escudándose en la ley que deben aplicar, que no fue modificada para ser coherente con los estándares europeos.

Confirmando nuestra posición, encontramos:

• El RGPD

• El artículo 11 del RGPD, dedicado a los tratamientos que no requieren identificación, que indica que “si los fines para los cuales un responsable trata datos personales no requieren o ya no requieren la identificación de un interesado por el responsable, este no estará obligado a mantener, obtener o tratar información adicional con vistas a identificar al interesado con la única finalidad de cumplir el presente Reglamento.”

• La inclusión por parte del RGPD de la seudononimización como medida aplicable para garantizar el cumplimiento del mismo.

• El Reglamento (UE) 910/2014 sobre servicios de identificación electrónica y servicios fiduciarios para transacciones electrónicas en el mercado interior que además de recordar que la autenticación debe implicar exclusivamente el tratamiento de los datos identificativos adecuados, pertinentes y no excesivos para la concesión del acceso al servicio en línea de que se trate (considerando 11), establece la posibilidad de utilizar seudónimos (artículo 5) o de establecer niveles más bajos de identificación para ciertos servicios (considerando 15), incluidas las transacciones electrónicas que se llevan a cabo en los Estados miembros de la UE.

• El Buzón Ético de Xnet y el Ayuntamiento de Barcelona y sus réplicas

Xnet ha sido pionera en España reivindicando la importancia de proteger a las personas frente a la asimetría con los poderes establecidos y en particular cuando las personas revelan abusos sistémicos para el interés general (whistleblowers/alertadores). En esta labor ha instalado por primera vez en una institución – el Ayuntamiento de Barcelona- un buzón de alerta contra abusos sistémico completamente anónimo. A través de este buzón, la ciudadanía puede enviar denuncias, pistas o indicios de irregularidades para que sean investigados por el Ayuntamiento, quien también puede remitirlas a la institución pertinente al efecto. Este buzón conserva el poder de la ciudadanía de decidir si revela o no su identidad, permitiendo comunicar la información tanto de forma confidencial, es decir, proporcionando la propia identidad, como de forma anónima.

Este prototipo se ha replicado y continua replicándose en otras instituciones como las Oficina Antifraude de Catalunya y de la Comunidad Valenciana, entre otras y es recogido en la Proposición de Ley de Protección Integral de los Alertadores de Xnet, primera transposición europea de la Directiva (UE) 2019/1937, de 23 de octubre de 2019, del Parlamento Europeo y del Consejo sobre la Protección de las Personas que informen sobre infracciones, registrada en el Congreso de los Diputados: https://xnet-x.net/proposicion-ley-proteccion-integral-alertadores/.

• Ya dentro del marco de la inminente aprobación de la mencionada Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión(23), la LOPDGDD permitió la presentación de denuncias anónimas a través de los sistemas de denuncias internas en su artículo 24.1, según el cual:

“Será lícita la creación y mantenimiento de sistemas de información a través de los cuales pueda ponerse en conocimiento de una entidad de Derecho privado, incluso anónimamente, la comisión en el seno de la misma o en la actuación de terceros que contratasen con ella, de actos o conductas que pudieran resultar contrarios a la normativa general o sectorial que le fuera aplicable. Los empleados y terceros deberán ser informados acerca de la existencia de estos sistemas de información.”

Siguiendo este precepto y el camino abierto por Xnet, la Agencia Española de Protección de Datos, con la aprobación de su Código Ético en enero de 2020, incorporó un canal de consulta y alerta en los que no es preciso indicar la identidad de quién consulta o alerta sobre la comisión de incumplimientos del código ético, irregularidades o actos contrarios a la legalidad.
 

• Consejo General del Poder Judicial

Antes de la entrada en vigor de la LTAIBG el Consejo General del Poder Judicial (en adelante, CGPJ) puso en marcha su Portal de Transparencia y lo hizo sujetándose a los estándares internacionales fijados en el Convenio n.º 205 del Consejo de Europa sobre el Acceso a Documentos Públicos.

El 18 de noviembre de 2014 CGPJ adoptó un “Protocolo de Integración de la gestión de solicitudes de información de los ciudadanos en el funcionamiento de la organización interna del Consejo General del Poder Judicial”(25) donde se establece en su punto 1.1.1 lo siguiente:

“El CGPJ tramitará todas las solicitudes de información con independencia de los datos de identificación proporcionados.(31)
Sólo cuando se requiera un acceso cualificado (por ejemplo, si se solicita el acceso presencial a una gran cantidad de documentación) se exigirá una identificación.”

Justifica que no se requiera identificación del siguiente modo:

“Aunque la Ley 19/2013 exige la identificación del solicitante, la falta de necesidad de identificación del solicitante es un estándar internacionalmente fijado, al entenderse que el acceso a la información pública es un derecho fundamental de carácter universal en cuya garantía priman las obligaciones de transparencia de los poderes públicos frente a cualquier requisito impuesto al ciudadano que solicita el acceso”.

– El Ayuntamiento de Madrid

En la Ordenanza de Transparencia del Ayuntamiento de Madrid(26), a parte de prever el régimen general aplicable de acuerdo con la LTAIBG, se estableció la posibilidad de solicitar el acceso a información pública sin identificación del solicitante, el cual sólo debe facilitar una dirección de correo electrónico para que el Ayuntamiento pueda comunicarle su decisión y, en su caso, la información solicitada. En todo caso, la Ordenanza indica que de no ser concedido el acceso a la información el solicitante no podrá impugnar la resolución, pero podrá volver a solicitarlo mediante la aplicación de la Ley de Transparencia, esta vez haciendo constar su identidad.

_________________________________________________________________