I. Introducción
La transparencia es un principio general de actuación al que deben someterse todas las Administraciones Públicas (art. 3.1.c Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, en adelante LRJSP). También las entidades que forman parte del sector público institucional deben respetar el principio de transparencia en su gestión (art. 81 LRJSP).
A su vez, se reconoce la transparencia como un derecho de la ciudadanía, conectado con el derecho a una buena administración, garantizado a todas las personas por el artículo 41 de la Carta de los Derechos Fundamentales de la Unión Europea. En efecto, toda persona tiene derecho a saber qué hacen las Administraciones Públicas y entidades del sector público. Y no sólo qué hacen, sino también cómo lo hacen. Este derecho a saber es inherente a la democracia. En efecto, transparencia y democracia son dos conceptos que van de la mano y que son inseparables. En consecuencia, la opacidad es incompatible con la democracia.
Pero la transparencia no llegó con la democracia, sino muchos años después. Debe reconocerse que en nuestro ordenamiento jurídico había normas que imponían un cierto nivel de publicidad y se reconocía el derecho de acceso a los archivos y registros. Así, el artículo 105.b de la Constitución Española ordenaba al legislador regular el acceso de la ciudadanía a los archivos y registros, salvo de lo que afectase la seguridad y defensa, la investigación de los delitos y la intimidad de las personas. Este mandato constitucional se cumplió con la derogada Ley 30/1992, pero la regulación del derecho de acceso era muy genérica y poco detallada, hasta tal punto que cabía en un solo artículo, el 37. Por cierto, este precepto fue objeto de muchas críticas durante sus casi 25 años de vigencia, porque la mayoría de sus apartados tenían como finalidad principal limitar el derecho de acceso, de modo que más que dedicarse a reforzar el contenido, efectividad y garantías del derecho, se ocupaba de regular las restricciones.
La apuesta clara y decidida por la transparencia no llegó hasta la aprobación de la Ley 19/2013, de transparencia, acceso a la información pública y buen gobierno (en adelante, LTAIBG), que propició una avalancha de leyes autonómicas. Tanto la LTAIBG como las leyes autonómicas basan la transparencia en dos ejes o pilares: la publicidad activa y el derecho de acceso a la información pública.
El derecho a saber no es absoluto, sino que está sometido a límites recogidos por la propia legislación de transparencia
La visión de la transparencia como un instrumento que permite a la ciudadanía fiscalizar la acción pública se simboliza con esta frase: «Las dictaduras hacen transparentes los ciudadanos y opacos los gobernantes; mientras que en la democracia es —o debe ser— al revés». Dicho de otro modo, en un sistema democrático los gobernantes deberían ser transparentes en la gestión de lo público, para dar cuenta a la ciudadanía y permitir así que pueda conocer y evaluar la actividad de los gobernantes. Por el contrario, los gobernantes deben garantizar la privacidad de la ciudadanía, asegurando la confidencialidad de los datos personales que tienen en su poder.
Esta obligación de asegurar la confidencialidad de determinada información supone un límite a la transparencia. En efecto, el derecho a saber no es absoluto, sino que, tal como sucede con la inmensa mayoría de derechos —sean o no fundamentales— está sometido a límites, recogidos por la propia legislación de transparencia. Tal situación no debe considerarse como una anomalía, sino que con una simple visión panorámica internacional se llega a la conclusión que en todas las regulaciones del derecho de acceso en derecho comparado también existen limitaciones, con mayor o menor intensidad. En efecto, es evidente que mediante el ejercicio del derecho de acceso no debería poderse acceder a toda la información gestionada por el sector público, como sería por ejemplo las historias clínicas de los centros sanitarios públicos, o las subvenciones recibidas por personas en situaciones de vulnerabilidad social.
Una muestra de regulación internacional con límites al derecho de acceso la tenemos en el Convenio de 2009 del Consejo de Europa de acceso a los documentos públicos, en el que se contempla expresamente la posibilidad de limitar dicho derecho en una lista de supuestos enumerados en el artículo 3, precepto que ha servido como referencia al legislador español al regular los límites contenidos en los artículos 14 y 15. Dicho Convenio se refiere expresamente al límite relativo a la «intimidad y otros intereses privados legítimos».
También en un contexto internacional, el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos —RGPD—). En la elaboración del RGPD se tuvo presente la posible colisión entre el derecho a la protección de datos y el derecho de acceso a la información pública, y ello dio lugar al artículo 86, dedicado al «Tratamiento y acceso del público a documentos oficiales». En dicho precepto se dispone que «Los datos personales de documentos oficiales en posesión de alguna autoridad pública o u organismo público o una entidad privada para la realización de una misión en interés público podrán ser comunicados por dicha autoridad, organismo o entidad de conformidad con el Derecho de la Unión o de los Estados miembros que se les aplique a fin de conciliar el acceso del público a documentos oficiales con el derecho a la protección de los datos personales en virtud del presente Reglamento». Así, igual que la legislación de transparencia ha previsto límites vinculados al derecho a la protección de datos, el RGPD ha previsto también la posibilidad de sacrificar el derecho fundamental que regula en favor del derecho de acceso a la información pública.
El RGPD ha previsto también la posibilidad de sacrificar el derecho fundamental que regula en favor del derecho de acceso a la información pública
Para acabar con esta introducción sobre la transparencia y el límite de la protección de datos, debemos tener en cuenta también el artículo 13 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPAC), dedicado a los derechos de las personas en sus relaciones con las Administraciones Públicas. En su letra h) reconoce el derecho «A la protección de datos de carácter personal, y en particular a la seguridad y confidencialidad de los datos que figuren en los ficheros, sistemas y aplicaciones de las Administraciones Públicas».
II. El límite de la protección de datos en la publicidad activa
Como he avanzado, la LTAIBG y las leyes autonómicas de transparencia imponen un nivel muy elevado de publicidad activa, exigiendo a los sujetos obligados la inclusión en el Portal de la Transparencia correspondiente numerosa información de carácter institucional, organizativa y de planificación (art. 6 LTAIBG); el Registro de actividades de tratamiento de datos personales [art. 6 bis LTAIBG, introducido por la Ley orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD)]; de relevancia jurídica (art. 7 LTAIBG); y por último de naturaleza económica, presupuestaria y estadística (art. 8 LTAIBG).
Las obligaciones de publicidad activa previstas en los artículos del 6 al 8 de la LTAIBG operan como un nivel mínimo exigible, que puede ser ampliado por las leyes autonómicas, de modo que las Administraciones Públicas y el resto de entidades del sector público —excepto la Administración General del Estado— deberán someterse también a lo previsto en la legislación autonómica. Este sistema viene establecido por el artículo 5.2 de la LTAIBG, en el cual se dispone que «Las obligaciones de transparencia contenidas en este capítulo se entienden sin perjuicio de la aplicación de la normativa autonómica correspondiente o de otras disposiciones específicas que prevean un régimen más amplio en materia de publicidad».
En definitiva, que las entidades del sector público están obligadas a publicar en los Portales de la Transparencia un volumen formidable de información. Y en muchos casos esa información a publicar contiene datos personales, por lo que habrá que tener en cuenta las posibles limitaciones. No está de más recordar en este punto la definición del concepto dato personal, que nos ofrece el artículo 4.1 del RGPD: «toda información sobre una persona física identificada o identificable ("el interesado"); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona». Debe subrayarse que el concepto «dato personal» no incluye únicamente los datos personales identificativos (nombre y apellidos, DNI, etc.) sino cualquier información relativa a una persona física identificada o identificable, de índole tributaria, académica, laboral, etc.
Deberá efectuarse una ponderación o equilibrio entre la transparencia y el derecho a la protección de datos
Ante tal escenario, los sujetos sometidos a la legislación de transparencia deben cumplir sus obligaciones de publicidad activa pero, al mismo tiempo, deben respetar el derecho a la protección de datos de las personas afectadas. Nos encontramos pues con dos derechos aparentemente enfrentados, que hay que conciliar adecuadamente. Deberá efectuarse una ponderación o equilibrio entre la transparencia y el derecho a la protección de datos, sin caer ni en la opacidad excesiva ni en una sobreexposición informativa. Hay que reconocer, sin embargo, que la gestión de ambos derechos es una cuestión que no siempre resulta fácil.
En relación con las obligaciones de publicidad activa y las posibles restricciones, el artículo 5.3 de la LTAIBG determina que serán de aplicación, en su caso, los límites al derecho de acceso a la información pública previstos en el artículo 14 y, especialmente, el derivado de la protección de datos de carácter personal, regulado específicamente en el artículo 15, que analizo en el epígrafe siguiente, por lo que me remito a las consideraciones que allí efectuaré.
Y de conformidad con el inciso final del artículo 5.3 de la LTAIBG, si la información contuviera datos especialmente protegidos, la publicidad sólo se llevará a cabo previa disociación de los mismos. Esta mención a los «datos especialmente protegidos» se basaba en la denominación que les daba el artículo 7 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante, LOPD), precepto hoy derogado por la nueva LOPDGDD. Dicha remisión debe entenderse efectuada hoy a la lista de datos enumerados en el artículo 9 del RGPD, que se incluyen en el concepto de «categorías especiales de datos».
Por lo tanto, la LTAIBG ha prohibido con carácter general la difusión mediante los Portales de la Transparencia de categorías especiales de datos personales, que incluyen los que revelan el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, la afiliación sindical, los datos genéticos o biométricos, los relativos a la salud o a la vida sexual o las orientaciones sexuales. La publicación de estas categorías de datos solo sería posible con el consentimiento expreso de la persona afectada, si la persona afectada los había hecho manifiestamente públicos (art. 9.2.e RGPD), o si una norma comunitaria o con rango de ley considera necesaria la publicación por razones de un interés público esencial (art. 9.2.g RGPD).
A esta lista de datos de categorías especiales del artículo 9 del RGPD habría que añadir los datos relativos a la comisión de infracciones penales (art. 10 RGPD), sometidos también a una protección especial, que puede considerarse equivalente a los efectos de transparencia. De modo que en principio existiría una prohibición de publicación de datos sobre infracciones penales en los Portales de la Transparencia,
Lo mismo puede decirse de la información sobre infracciones administrativas que no comportan la amonestación pública al infractor que, aunque el RGPD no ha reconocido la consideración de categoría especial, a los efectos de transparencia se equiparan a esta condición, dado que en el nuevo redactado que la LOPDGDD ha dado al artículo 15.1 de la LTAIBG se han incluido expresamente entre los datos en que rige la prohibición general de publicidad y acceso. Por lo tanto, no podrían publicar se en los Portales de la Transparencia información sobre infracciones administrativas vinculadas a personas físicas, salvo que concurriese alguna de las excepciones anteriormente citadas, y en particular que una norma con rango de ley hubiese considerado necesaria tal publicación. Así lo consideró el legislador español al introducir el artículo 95 bis de la Ley 58/2003, de 17 de diciembre, General Tributaria (en adelante, LGT), relativo a la publicidad de situaciones de incumplimiento relevante de las obligaciones tributarias, y en el que se impone la publicidad de deudas o sanciones tributarias pendientes de ingreso que superen el importe de 1.000.000 de euros, identificando a la persona física con su nombre y apellidos y NIF. Con relación a esta imposición de publicar conjuntamente el nombre y apellidos y NIF, debería tenerse en cuenta la Disposición Adicional 7ª de la LOPDGDD, que prohíbe expresamente la divulgación conjunta de ambos datos personales, como indicaré más adelante al referirme al principio de minimización de los datos.
La LTAIBG ha prohibido con carácter general la difusión mediante los Portales de la Transparencia de categorías especiales de datos personales
Fuera de estos supuestos excepcionales, con carácter general la información publicada en Portales de la Transparencia no deberá incluir categorías especiales de datos, y la mención del artículo 5.3 de la LTAIBG a la necesidad de publicar en tal caso los datos disociados, implica que no deberá ser posible la vinculación de la información a la persona afectada. Destaco aquí que existe una cierta tendencia a considerar que si se sustituye el nombre y apellidos de una persona por las iniciales ya estaríamos ante un dato disociado o anonimizado. Se trata de un error generalizado, puesto que es evidente que en muchos casos sería posible la identificación de dicha persona, a partir de la información de contexto. Igualmente, en ocasiones puede resultar insuficiente suprimir u ocultar el nombre y apellidos de la persona afectada, puesto que el resto de datos incluidos en la información publicada podrían propiciar su identificación indirecta.
En el caso concreto de las subvenciones, el artículo 8.1.c) de la LTAIBG obliga a publicar la información sobre las subvenciones y ayudas públicas concedidas, con indicación de la persona beneficiaria, lo que en principio obliga a su identificación. Conforme a lo expuesto anteriormente, no debería efectuarse tal identificación en el caso de subvenciones o ayudas que revelasen categorías especiales de datos, como por ejemplo si el motivo de la ayuda está relacionada con la salud de la persona beneficiaria. Además, debe tenerse en cuenta la limitación prevista en el artículo 20 de la Ley 38/2003, de 17 de noviembre, General de Subvenciones (en adelante, LGS), en el que se regula la Base de Datos Nacional de Subvenciones (BDNS). En su apartado 8.b dispone que no se identificará a la persona beneficiaria cuando en razón del objeto de la subvención, tal publicación pueda ser contraria al respeto y salvaguarda del honor, a la intimidad personal o familiar de las personas físicas. Esta disposición debe complementarse con la previsión del artículo 7.5.b del Real Decreto 130/2019, de 8 de marzo, por el que se regula la Base de Datos Nacional de Subvenciones y la publicidad de las subvenciones y demás ayudas públicas, en la que se indica que no se publicarán las subvenciones recibidas por personas físicas cuando éstas se encuentren en una situación de protección especial que pueda verse agravada con la cesión o publicación de sus datos personales, en particular, cuando sea víctima de violencia de género o de otras formas de violencia contra la mujer.
En esta misma línea de proteger a las personas beneficiarias de subvenciones en supuestos que van más allá de los relativos a categorías especiales de datos, existe alguna previsión autonómica en la que se protege la identidad de la persona beneficiaria que se encuentra en una situación vulnerable, como es el caso del artículo 15 de la Ley catalana 19/2014, de 29 de diciembre, de Transparencia, Acceso a la Información Pública y Buen Gobierno, que obliga a preservar la identidad de dicha persona cuando recibe ayudas por motivos de vulnerabilidad social.
Como puede observarse, la interacción entre la publicidad activa y la protección de datos puede generar situaciones conflictivas. En efecto, la puesta en funcionamiento de los Portales de la Transparencia y la consiguiente publicación y puesta a disposición en internet de una cantidad ingente de información ha generado muchos interrogantes en los sujetos obligados, que tenían dudas sobre si en determinados casos debía prevalecer la transparencia o la protección de datos. Asimismo, la publicación masiva de información también ha generado en ocasiones quejas de personas que consideraban que no debía publicarse su información personal.
Esta situación de una elevada complejidad llevó a la Autoridad Catalana de Protección de Datos (APDCAT) a efectuar una auditoría sobre los Portales de la Transparencia, a fin de verificar si las entidades del sector público catalán cumplían con la normativa de protección de datos personales en la gestión de dichas plataformas. En el informe de la auditoría, publicado el mes de mayo de 2019, se anunciaba que el objetivo principal perseguido era ayudar a las entidades a cumplir con la normativa aplicable, y esto se hacía a través de una serie de pautas y recomendaciones generales y específicas.
Principio de licitud: sólo se pueden publicar datos personales en los Portales de la Transparencia si se dispone de una base jurídica
En las próximas líneas expondré brevemente estas pautas generales que ha dado la APDCAT en dicho informe, que se fundamentan en sus dictámenes y resoluciones, y también en los pronunciamientos de otras Autoridades de control en protección de datos, y de organismos de garantía de la transparencia y el derecho de acceso a la información pública. Dichas pautas se emiten desde la óptica de los principios del artículo 5 del RGPD.
La primera pauta general se refiere al principio de licitud (art. 5.1.a RGPD), en virtud del cual sólo se pueden publicar datos personales en los Portales de la Transparencia si se dispone de una base jurídica. Antes pues de publicar información que contiene datos personales, la entidad que gestiona el Portal debe asegurarse de que las leyes de transparencia u otra norma con rango de ley habilitan que se publiquen estos datos. Este sería el caso de la identidad de personas adjudicatarias de contratos públicos (art. 8.1.a LTAIBG); o de las personas que perciben subvenciones (art. 8.1.c LTAIPBG).
En segundo lugar, el informe de la APDCAT contiene una pauta general sobre el principio de minimización (art. 5.1.c RGPD), en virtud del cual se obliga a tratar sólo los datos personales necesarios para la finalidad de transparencia perseguida. De acuerdo con este principio se dan tres pautas: una, relativa a la identificación de las personas con el nombre y apellidos (a); la otra, relativa a las firmas manuscritas (b); y la tercera sobre el DNI en las firmas electrónicas (c).
- a) Cuando hay que identificar a una persona en el Portal, la APDCAT considera que procede hacerlo con el nombre y apellidos, de modo que sería innecesario, y por lo tanto excesivo, añadir el número del DNI o NIE con todas sus cifras. Respecto de esta cuestión, la Disposición Adicional 7ª de la nueva LOPDGDD —que anteriormente he citado al exponer la publicación de deudas y sanciones tributarias prevista en el artículo 95 bis de la LGT— dispone expresamente que no se publicará el nombre y apellidos de manera conjunta con el número completo del DNI o NIE, y prevé que se incluyan cuatro cifras numéricas aleatorias de estos documentos, además del nombre y apellidos.
En relación con esta previsión de la DA 7ª, hay que hacer dos consideraciones, siguiendo el informe de la APDCAT. La primera, que no sería aplicable a toda la información que se debe incluir en los Portales de la Transparencia, sino únicamente a la publicación de actos administrativos. Y la segunda, que recientemente la Agencia Española de Protección de Datos (AEPD) ha publicado un informe (2019/30) sobre la publicación de calificaciones universitarias en el que indica que, en atención al principio de minimización de los datos, el añadido del DNI o NIE parcial a la identificación con el nombre y apellidos previsto en la DA 7ª de la LOPDGDD sólo procedería si hay dos estudiantes con el mismo nombre y apellidos. Este razonamiento contenido en el informe parece extrapolable a la publicación de cualquier acto administrativo en el que se identifique a una pluralidad de personas físicas.
- b) En las verificaciones de la auditoría, la APDCAT expone en su informe que se detectó la presencia de muchos documentos con firmas manuscritas. Es evidente que la persona que firma desarrolla unas trazas propias y personales que la identifican, que la persona utiliza también en su esfera privada. En el informe se hace notar que la publicación de la firma implica un riesgo de reproducción, que se acentúa si la publicación se reitera en varios documentos. De acuerdo con ello, se concluye que hay que ocultar la firma manuscrita de los documentos publicados en el portal, aunque se puede hacer constar que la versión original está firmada.
En este mismo sentido se había pronunciado el criterio interpretativo número CI/004/2015, de 23 de julio de 2015, emitido conjuntamente por el CTBG y la AEPD, relativo a la publicidad activa de la firma manuscrita y también de los datos del DNI. En dicho criterio se concluye, respecto a la firma manuscrita, que no puede ignorarse que la publicación de la firma manuscrita puede generar una situación de riesgo debido a la posibilidad de reproducción por parte de cualquier persona que acceda al documento, por lo que se recomienda la supresión de todas las firmas manuscritas de los documentos, «siempre que la ausencia de las firmas sea suplida con algún tipo de mención que ponga de manifiesto que el original del mismo ha sido efectivamente firmado».
- c) En el informe la APDCAT indica que también se detectó la publicación de documentos firmados electrónicamente en los que se podía visualizar el número de DNI, dato que se considera innecesario a los efectos de identificar la persona que firma y, por lo tanto, excesivo. Por otra parte, también había documentos firmados electrónicamente en los que no aparecía el número de DNI, pero que al descargarlos era posible acceder a las propiedades de la firma del documento y, de este modo, llegar a conocer el número de DNI. Las pautas que se dan al respecto en el informe son las de no incluir la firma en el documento publicado, o bien incluirla con la apariencia modificada para que no conste el número de DNI. Y, por otra parte, evitar que al descargar el documento se pueda acceder al número de DNI.
Principio de minimización: no se publicará el nombre y apellidos de manera conjunta con el número completo del DNI o NIE
El criterio interpretativo emitido conjuntamente por el CTBG y la AEPD antes mencionado también se refería a la publicación del DNI. Al respecto, señalaba que el conocimiento de dicho dato «no es relevante a los efectos de alcanzar el objetivo de transparencia que preside la LTAIBG, toda vez que el mismo se cumple con la identificación realizad a través de la publicación de los nombres y apellidos». Se añadía que el DNI excede de la esfera pública de los firmantes, y su conocimiento por terceros podría generar riesgos de suplantación de identidad, especialmente en el ámbito de las transacciones electrónicas. Por todo ello se considera impertinente la publicación del DNI en los Portales de la Transparencia, idea reforzada posteriormente con la DA 7ª de la nueva LOPDGDD.
En tercer lugar, el informe de la APDCAT se refería al principio de exactitud (art. 5.1.d RGPD), y desde esta óptica indicaba que debía evitarse la difusión de la información incompleta o desactualizada de tal manera que pudiera perjudicar a las personas afectadas. En el informe se recuerda el deber de la entidad responsable de asegurarse que la información publicada sea correcta y actualizada, así como para que cese en la difusión cuando contenga datos erróneos o no vigentes.
Desde la perspectiva del principio de limitación del plazo de conservación (art. 5.1.e RGPD) señalaba el informe que la publicación de datos personales en el Portal sólo se puede mantener durante el plazo necesario para alcanzar los fines de transparencia. Por ello, la APDCAT recomienda adoptar las medidas técnicas y organizativas necesarias para garantizar que los datos personales se difunden sólo durante el período establecido en la normativa aplicable, o durante el tiempo necesario para alcanzar la finalidad de transparencia. Estas medidas podrían consistir, por ejemplo, en el establecimiento de controles para retirar automáticamente la información.
El informe de la APDCAT se refería también al principio de transparencia (art. 12 RGPD) y desde esta óptica señalaba que para hacer efectivo el derecho de información (art. 13 y 14 RGPD), hay que informar a la persona afectada que sus datos se publicarán en el Portal. En efecto, que exista una base jurídica que habilita la publicación de datos personales no exime al responsable del tratamiento del cumplimiento del deber de información. Sólo si el interesado está adecuadamente informado podrá, en su caso, alegar una situación personal especialmente vulnerable que desaconseje divulgar los datos. Cabe decir que esta obligación de informar debería cumplirse también respecto del personal propio de quien se pueden publicar datos, a fin de que las personas empleadas pudieran comunicar una situación singular que aconsejara ocultar los datos, como podría ser el caso de una persona víctima de violencia de género, testigo protegido, etc.
Se recomienda el establecimiento de medidas para evitar que los buscadores de internet indexen los datos personales que se publican en los Portales de la Transparencia
Finalmente, en el informe de la APDCAT se indica que en las verificaciones efectuadas en la auditoría se detectó que, al hacer una búsqueda por nombre y apellidos de una persona a través de los buscadores de Internet (Google, Bing, Yahoo, etc.), se indexaban datos personales publicados en Portales de la Transparencia, lo que permitía realizar búsquedas masivas a partir del nombre y apellidos de personas. Tal posibilidad permitía a su vez que la información indexada se utilizara para obtener perfiles personales o información indiscriminada de una persona concreta.
Ante tal situación, en el informe se recomienda el establecimiento de medidas para evitar que los buscadores de internet indexen los datos personales que se publican en los Portales de la Transparencia.
Estas pautas generales contenidas en el informe de la APDCAT, que se complementan con las pautas específicas del informe referidas a determinados tipos de información concretos de publicación obligatoria, pueden servir de ayuda a las entidades que gestionan Portales de la Transparencia para cumplir con las obligaciones de publicidad activa sin vulnerar el RGPD y, en consecuencia, sin vulnerar los derechos y libertades de las personas.
III. El límite de la protección de datos en el derecho de acceso a la información pública
La regulación de la LTAIBG sobre los límites al derecho de acceso a la información pública la encontramos en sus artículos 14, 15 y 16. El artículo 14 de la LTAIBG dispone que el derecho puede limitarse si el acceso a la información puede suponer un perjuicio para una serie de derechos o intereses allí enumerados (seguridad nacional, defensa, relaciones exteriores, seguridad pública, etc.), en una lista inspirada en la que contiene el artículo 3 del Convenio de 2009 del Consejo de Europa sobre el acceso a los documentos públicos. En el apartado 2º del artículo 14 se añade que la aplicación de los límites será justificada y proporcionada a su objeto y finalidad de protección y atenderá a las circunstancias del caso concreto, especialmente a la concurrencia de un interés público o privado superior que justifique el acceso. Por su parte, el artículo 16 de la LTAIBG regula el acceso parcial, y establece al respecto que si la aplicación de alguno de los límites previstos en el artículo 14 —puede aplicarse por analogía al límite del artículo 15— no afecte a la totalidad de la información, se concederá el acceso parcial previa omisión de la información afectada por el límite salvo que de ello resulte una información distorsionada o que carezca de sentido. En este caso, dispone el precepto que deberá indicarse al solicitante que parte de la información ha sido omitida.
Entro ya en el análisis del límite al derecho de acceso derivado del derecho a la protección de datos personales. La información que gestionan las Administraciones Públicas y entidades del sector público está repleta de datos personales y concurre un entramado de derechos y deberes que debemos saber conjugar adecuadamente. Así, la aportación de información personal por parte de la ciudadanía genera en las entidades del sector público el deber de respetar los principios y garantías del derecho a la protección de datos personales, consagrados en el RGPD, y en particular el de confidencialidad (art. 5.1.f del RGPD). A este deber de confidencialidad se refiere también el artículo 5 de la nueva LOPDGDD, que impone a todas las personas que intervengan en cualquier fase del tratamiento de datos personales, como es el caso de las personas empleadas públicas que gestionan información con estos datos. Como he avanzado, tal deber de confidencialidad también lo exige el artículo 13 de la LPAC.
Por lo tanto, desde la perspectiva de la transparencia, el ejercicio del derecho de acceso origina en las entidades del sector público el deber de ser transparentes y de facilitar la información solicitada. Asimismo, el derecho a la protección de datos impone un deber de confidencialidad respecto de los datos personales recogidos. Así, si ante una solicitud de acceso, por prudencia, se opta por la opacidad, podría incumplirse la legislación de transparencia; pero si, por el contrario, el órgano actuante se decanta en exceso a favor de la transparencia, se podría vulnerar la legislación de protección de datos. Tal situación puede generar una cierta incertidumbre, sobre si debe resolverse el conflicto a favor de la transparencia o de la protección de datos.
A mi entender, tal escenario debe resolverse siempre a favor de la transparencia y también de la protección de datos. En otras palabras, la solución debe pasar forzosamente por intentar conciliar o conjugar ambos derechos, y a ello ayuda la posibilidad del acceso parcial del artículo 16 de la LTAIBG antes mencionado. Ahora bien, en ocasiones el sacrificio de alguno de los dos derechos puede resultar inevitable. En este escenario de complejidad no hay soluciones apriorísticas, sino que hay que hacer una ponderación y un equilibrio en cada supuesto concreto.
Antes de entrar en el detalle del artículo 15 de la LTAIBG debo hacer dos consideraciones previas. La primera, que el límite de la protección de datos se refiere a datos de personas vivas, ya que los datos de personas fallecidas no generan restricciones, salvo en el caso de datos de carácter policial, procesal, clínico o de cualquier otra índole que puedan afectar a la seguridad de las personas, a su honor, a la intimidad de su vida privada y familiar y a su propia imagen, supuestos en los que se amplía la protección hasta 25 años más allá de la muerte, de conformidad con el artículo 57.1.c de la Ley 16/1985, de 25 de junio, del Patrimonio Histórico Español (en adelante, LPHE).
Si quien formula la solicitud pretende acceder a información relativa a su persona, debería vehicularse como un ejercicio del derecho de acceso regulado por la normativa de protección de datos
Dicho precepto dispone que en los documentos que contengan las tipologías de datos indicadas sólo podrán consultarse si media consentimiento expreso de los afectados o hasta el transcurso del plazo indicado de 25 años desde su muerte, si se conoce la fecha de fallecimiento. En otro caso, es decir, si se desconoce la fecha de la muerte y por tanto no es posible iniciar el cómputo de los 25 años, se podrá acceder a los documentos una vez superado el plazo de 50 años desde la fecha del documento, pero siempre que se tenga la certeza de la muerte de la persona afectada, o al menos pueda presumirse por razón de la edad de la persona afectada. Debo hacer notar aquí que en caso de aplicar únicamente el plazo de 50 años sin exigir a su vez el requisito de afectar a una persona fallecida, se daría la paradoja de proteger más a las personas fallecidas (hasta 25 años más allá de su muerte) que a las personas vivas (en documentos policiales o clínicos emitidos durante la infancia o juventud de la persona afectada, que podría seguir viva una vez los documentos alcanzaran la antigüedad de los 50 años).
Y la segunda consideración previa, que los datos personales que limitan el acceso se referirán a terceras personas, es decir distintas de la persona solicitante. Y es que si quien formula la solicitud pretende acceder a información relativa a su persona, entonces debería vehicularse la solicitud como un ejercicio del derecho de acceso regulado por la normativa de protección de datos, y concretamente por el artículo 15 del RGPD. Así se había precisado inicialmente en el anteproyecto de LTAIBG, aunque finalmente no se mantuvo en la redacción final, lo que no debe impedir la interpretación que aquí se sostiene, y que ha sido expresamente acogida por ejemplo por el artículo 24.3 de la Ley catalana 19/2014. En efecto, debe subrayarse que en tal caso la finalidad perseguida con esta solicitud de acceso no sería controlar las actuaciones de los gobernantes, sino ejercer el poder de control sobre los propios datos.
Entro ya en el análisis del artículo 15 de la LTAIBG, y con ello, de las tres categorías de datos personales que se distinguen en dicho precepto, y que determinan una mayor o menor intensidad en la aplicación del límite.
En el primer nivel de intensidad del límite se encuentran los datos incluidos en el artículo 15.1 de la LTAIBG, en relación con las que se había asumido también la denominación utilizada en la rúbrica del artículo 7 de la anterior LOPD, de «especialmente protegidos», que como he avanzado en el apartado dedicado a la publicidad activa, el artículo 9 del RGPD sustituye por «categorías especiales de datos». Si la información a la que se solicita acceder contiene datos de terceras personas relativos a la ideología, afiliación sindical, la religión o las creencias, la regla general es que se deniegue el acceso, y únicamente se podrá autorizar en caso de que se contase con el consentimiento expreso y por escrito del afectado, a menos que dicho afectado hubiese hecho manifiestamente públicos los datos con anterioridad a que se solicitase el acceso. Por otra parte, si los datos se refieren al origen racial, la salud o la vida sexual, si incluye datos genéticos o biométricos o contiene datos relativos a la comisión de infracciones penales o administrativas que no comportan la amonestación pública del infractor, la regla general de denegación se mantiene, salvo que se disponga del consentimiento expreso o que el acceso esté amparado por una norma con rango de ley.
Los datos de infracciones administrativas estaban previstos como «especialmente protegidos» en el artículo 7.5 de la anterior LOPD, pero no se han incluido en la lista del artículo 9 del RGPD de categorías especiales de datos. Las dudas que esto podía generar sobre la posibilidad de acceder a información sobre infracciones cometidas por terceros, se han desvanecido desde la perspectiva del derecho de acceso, con la redacción que la nueva LOPDGDD ha dado al artículo 15.1 de la LTAIBG, que, además de añadir los datos genéticos y biométricos en este primer grupo en que el límite opera con su máxima intensidad, incluye expresamente los datos relativos a infracciones administrativas.
Dejamos el primer nivel y saltamos al tercer nivel de intensidad del límite, es decir al más bajo, en el que encontramos los datos meramente identificativos relacionados con la organización, funcionamiento o actividad pública del órgano (art. 15.2 LTAIBG). A modo de ejemplo, encajaría en este grupo un certificado o informe donde consta identificada la persona que lo emite —ya sea un cargo o empleado público—, o incluso la persona trabajadora de una empresa concesionaria de una Administración Pública. Son datos personales vinculados al ejercicio de funciones públicas, que no aportan ninguna información sobre la vida privada y, por ello, la regla general aquí sería el acceso. Salvo que en el caso concreto prevalezca la protección de datos personales u otros derechos constitucionalmente protegidos sobre el interés público en la divulgación, como podría ser el nombre y apellidos de empleados de cuerpos policiales o los de una persona víctima de violencia de género.
El conjunto de datos del art. 15.3 LTAIBG son los que generan más problemas desde la óptica del derecho de acceso
Finalmente abordamos los datos personales restantes, es decir los no comprendidos en el nivel primero y tercero, y que quedarían en la tipología del segundo nivel de intensidad del límite, correspondiente a los previstos en el artículo 15.3 de la LTAIBG. Ejemplos de esta categoría serían los datos consignados en una instancia presentada a la Administración Pública por una persona física, y en concreto, el nombre y apellidos, domicilio y/o dirección electrónica de contacto, etc. También los datos académicos, tributarios y laborales, u otros que pueden constar en documentos de índole diversa. Este conjunto de datos del artículo 15.3 de la LTAIBG son los que generan más problemas desde la óptica del derecho de acceso, porque aquí la legislación de transparencia no se decanta ni a favor ni en contra, sino que encomienda una tarea de ponderación entre el interés público en la divulgación y los derechos de las personas afectadas, según el caso concreto planteado.
Para esta tarea de ponderación, el artículo 15.3 de la LTAIBG enumera una serie de circunstancias a tener en cuenta:
- a) El menor perjuicio a los afectados derivado del transcurso de los plazos establecidos en el artículo 57 de la LPHE. Genera una cierta confusión tal remisión a los plazos antes mencionados de los 25 años más allá de la muerte o 50 del documento cuando se desconoce la fecha de la muerte, puesto que dichos plazos están previstos para el acceso a datos personales que mayoritariamente encajarían en el grupo del primer nivel de intensidad que como regla general prohíbe el acceso sin consentimiento del tercero afectado, mientras que aquí la LTAIBG acude a estos plazos de la LPHE como criterio de ponderación.
- b) La justificación por los solicitantes de su petición en el ejercicio de un derecho o el hecho de que tengan la condición de investigadores y motiven el acceso en fines históricos, científicos o estadísticos. Este criterio de ponderación permite inclinar la balanza a favor del acceso cuando la pretensión del solicitante no es simplemente la de fiscalizar la actividad administrativa, sino que persigue utilizarla para ejercer algún derecho. Igualmente, la condición de investigador podría servir también para decantar la ponderación en favor del acceso, si bien parece recomendable aquí exigir unas garantías al investigador en cuanto al uso de los datos y a su confidencialidad.
- c) El menor perjuicio de los derechos de los afectados en caso de que los documentos únicamente contuviesen datos de carácter meramente identificativo de aquéllos. Este criterio no se refiere a datos meramente identificativos de personas empleadas públicas, puesto que dichos datos se incluyen en el grupo del tercer nivel. Se refiere pues el precepto a datos de personas ciudadanas, pero que no van más allá de los datos de contacto, a los que se refiere el artículo 19 de la LOPDGDD.
- d) La mayor garantía de los derechos de los afectados en caso de que los datos contenidos en el documento puedan afectar a su intimidad o a su seguridad, o se refieran a menores de edad. Este criterio operaría claramente en contra del acceso, no solo cuando los datos afecten a la intimidad —sin encajar en el grupo del primer nivel puesto que entonces ya no existiría ponderación sino la denegación—, sino también cuando el acceso puede poner en riesgo la seguridad del tercero, o bien si estos pertenecen a colectivos vulnerables como es el caso de los menores de edad.
No deberían revelarse datos personales aportados por la ciudadanía, si no tienen nada que ver con el fin que persigue la transparencia
Estos factores de ponderación no tienen el carácter de lista cerrada, como se infiere del artículo 15.3 de la LTAIBG cuando indica que se tomarán en consideración particularmente, lo que permite pues tener en cuenta otras circunstancias relevantes en la ponderación, como por ejemplo que los datos personales se hayan publicado previamente, lo que jugaría a favor del acceso; o en sentido inverso, que al recoger los datos personales se haya generado una expectativa razonable de privacidad.
En todo caso, el elemento decisivo en la ponderación es si la solicitud de acceso a la información encaja en la finalidad principal de la transparencia, que no es otra que dar visibilidad a la acción de los gobernantes para que la ciudadanía pueda fiscalizarla. La aplicación de este filtro de la finalidad implicaría, por ejemplo, facilitar el acceso al extracto de la tarjeta de crédito asignada a cargos públicos. Por el contrario, no deberían revelarse datos personales aportados por la ciudadanía, si no tienen nada que ver con el fin que persigue la transparencia.
En definitiva, si a resultas de la aplicación de la legislación de transparencia y después de efectuar, en su caso, la ponderación pertinente, se concluye que hay que dar al solicitante acceso a datos personales de terceros, estaríamos ante un tratamiento de datos personales que, pese a no contar con el consentimiento de la persona afectada, en principio tendría base jurídica suficiente (art. 6.1.c y 6.1.e del RGPD). Ahora bien, habría que facilitar sólo los datos personales necesarios para la finalidad de transparencia, en aplicación del principio de minimización de los datos (art. 5.1.c del RGPD), lo que podría justificar que no se facilitara un acceso íntegro a la información, sino parcial, conforme al artículo 16 de la LTAIBG.