El nuevo (e INADMISIBLE) concepto legal del expediente administrativo: ¿una regulación de otra época?

En el interesante blog de Miguel Ángel Blanes sobre transparencia se ha publicado una entrada relativa a la INADMISIBLE regulación del legislador sobre el concepto de expediente administrativo con ocasión de la reforma de 2015 en materia de procedimiento administrativo común. Ciertamente, como él mismo plantea, se trata de una continuación de la senda emprendida en 2013 por la legislación general sobre transparencia, acceso a la información del sector público y buen gobierno. ¿Dónde está pues la diferencia?

Mientras que en esta última se pretende regular el derecho de acceso por parte de cualquier persona a la información en poder de los sujetos obligados, en el caso del artículo 70 de la Ley de Procedimiento Administrativo de 2015 se trata de un derecho únicamente reconocido a quien tenga la condición de interesado, es decir, sólo aquellas personas con una especial vinculación con el objeto del procedimiento en los términos del artículo 4, es decir, los titulares de derechos o intereses legítimos en el mismo. Ahora bien, debe advertirse que el artículo 53, al regular su derecho de acceso no se refiere al expediente, sino al procedimiento, creando así una dualidad cuyo alcance es preciso interpretar. A este respecto, dado que no hay una definición legal de procedimiento cabría pensar que se trata de dos conceptos jurídicos distintos, por más que pudiera interpretarse que el expediente es el reflejo documental de aquel. Ahora bien, en la medida que si se vincula el derecho de acceso de los interesados a la limitada concepción legal del expediente se podría vulnerar su derecho a la tutela judicial efectiva y, sobre todo, teniendo en cuenta que el legislador ha utilizado dos expresiones diferentes que, por tanto, han de tener un alcance diverso, la cuestión se complica. Hasta el punto de que resultaría necesario encontrar una interpretación conforme al Texto Constitucional ante el riesgo de la regulación legal del derecho de acceso de los interesados fuese inconstitucional. En fin, ¿no cabría considerar que, aunque no forme parte del expediente “la información que tenga carácter auxiliar o de apoyo, como la contenida en aplicaciones, ficheros y bases de datos informáticas, notas, borradores, opiniones, resúmenes, comunicaciones”, sí que podrían ser elementos esenciales del procedimiento y, por tanto, garantizarse el derecho de acceso de los interesados como contenido esencial de su derecho constitucional del artículo 24.1?

En fin, no se trata ni mucho menos de una cuestión menor, sobre todo en un contexto tecnológico como el actual donde precisamente la utilización de los medios electrónicos puede dar lugar a sorpresas sin duda curiosas. Basta simplemente con pensar en la facilidad con que se puede recopilar hoy día información basada en tratamientos de big data que, posteriormente, podrían utilizarse para iniciar un procedimiento sancionador. Pero de este tema ya nos ocupamos en una entrada anterior como consecuencia de mi intervención en el Congreso que organizó la UOC en 2013. Y para no ponernos pesados lo mejor es remitirnos al libro de actas que, como institución abierta, publicó en su página web: ¡que para eso los enlaces forman parte de la arquitectura de Internet!

Simplemente me gustaría ahora añadir una reflexión final: ¿no habremos llegado al final del tradicional concepto de expediente administrativo que había tenido sentido durante cientos de años gracias a la innovación de la tecnología? Pero dada la limitación que imponen los usos y costumbres en un blog como este, me temo que dejaremos el asunto para otra ocasión.

Los funcionarios murcianos, al desnudo

Ha causado un cierto revuelo en la opinión pública murciana —y, como no podía ser de otra manera, entre el propio colectivo afectado— la decisión del Gobierno autonómico de hacer pública la identidad y retribuciones del personal al servicio de la Administración regional. Según se ha anunciado, la difusión de esta información ha generado un aluvión de quejas ante la Agencia de Protección de Datos, institución encargada de la tutela del derecho fundamental a la protección de los datos de carácter personal consagrado por el artículo 18.4 de la Constitución. Más allá de cualquier otra consideración conviene aclarar el alcance de la medida desde la perspectiva jurídica, de manera que cualquier valoración que pretenda realizarse pueda hacerse desde las premisas que plantea el Derecho.

Se ha afirmado con vehemencia que se trata de una decisión que vulnera la Ley Orgánica de Protección de Datos y, para ello, se llegan incluso a traer a colación las recientes decisiones conjuntas de la citada Agencia y el Consejo estatal de Transparencia y Buen Gobierno que, por cierto, tienen un ámbito objetivo distinto de la noticia que nos ocupa, ya que sólo se refieren a los casos en que se solicite acceder a la información, no a los supuestos de publicidad activa como el que nos ocupa. Para determinar si existe colisión con la referida Ley Orgánica resulta indispensable referirse al contenido de esta última. Precisamente, en su artículo 11.2.a) se afirma que la comunicación de datos personales podrá tener lugar no sólo cuando lo consientan los propios afectados sino, asimismo, cuando lo contemple una norma con rango legal. Pues bien, es una Ley, en este caso autonómica, la que el Gobierno murciano aduce como fundamento de su decisión, de manera que no puede afirmarse que se trate de una publicación que carezca de base legal o que, sin más, resulte contraria a la Ley Orgánica que regula el derecho fundamental. En efecto, el artículo 13.2.a) de la Ley 12/2014, de 16 de diciembre, de Transparencia y Participación Ciudadana de la Comunidad Autónoma de la Región de Murcia, obliga a que se publiquen “las relaciones de puestos de trabajo, plantillas, catálogos de puestos o documento equivalente, referidos a todo tipo de personal, con indicación de sus ocupantes y su relación jurídica, así como de sus retribuciones anuales”.

Ahora bien, precisamente porque la difusión se ampara en una norma legal, los únicos límites que podría haber vulnerado se han de encontrar necesariamente en el Texto Constitucional, lo que nos obliga a realizar una doble valoración. Por una parte, no sólo el poder ejecutivo sino también los jueces y tribunales están sometidos a las leyes, de manera que la decisión sobre la constitucionalidad de la previsión legal analizada sólo puede ser adoptada por el Tribunal Constitucional, lo que podría suceder si los sujetos legitimados plantean un recurso de inconstitucionalidad o, en su caso, los afectados acuden a la vía judicial y el órgano que conozca el asunto decide plantear a aquél una cuestión de inconstitucionalidad. Por otra parte, aun admitiendo que exista amparo legal para proceder a la difusión de los datos del personal al servicio de la Administración regional murciana, lo cierto es que ni siquiera el legislador puede quebrantar los derechos fundamentales. En consecuencia, deberíamos preguntarnos si la medida vulnera el derecho a la intimidad de dichas personas —derecho distinto al que hasta ahora hemos examinado— teniendo en cuenta el alcance de la difusión, la naturaleza de la información difundida y el interés público en conocerla; o, en última instancia, si contraviene el contenido esencial del derecho a la protección de los datos de carácter personal.

A este respecto, tal y como ha afirmado el Tribunal Constitucional en la sentencia 292/2000, de 30 de noviembre, la limitación a los derechos fundamentales que establezca el legislador habrá de ser proporcionada, y es precisamente aquí donde podría encontrarse la respuesta al problema planteado: la obligación de publicidad que establece la ley autonómica, ¿vulnera las exigencias del principio de proporcionalidad? La respuesta no es sencilla ciertamente, ya que no sólo puede tenerse en cuenta la perspectiva del personal afectado sino, asimismo, el interés público que pueda suscitar a la ciudadanía saber cómo se gasta el dinero obtenido con el pago de sus impuestos. Y se complica todavía más si entendemos que el alcance del contenido esencial del derecho ha de interpretarse en función de la tecnología hoy día disponible, lo que nos obligaría a tener en cuenta las condiciones en que ha tenido lugar la publicación. Esta exigencia, lejos de ser una mera disquisición teórica, tiene importantes consecuencias por lo que respecta a las posibilidades de tratamiento avanzado de los datos —no olvidemos que se incluyen las retribuciones— en los entornos de big data actuales, donde el cambio de paradigma que se plantea pasa por un cambio radical en la gestión de la información a nivel empresarial. La pregunta que se suscita entonces no puede ser más evidente: ¿se afanarán las entidades de crédito o las empresas aseguradoras —entre otros muchos sectores que el lector está invitado a completar— en conocer los niveles de renta de los afectados para conectarlos con otra información relevante, ya en su poder o accesible en registros públicos, a fin de conseguir una mayor eficiencia en su respectivo sector de actividad?

En todo caso, es sólo cuestión de tiempo que podamos comprobar si el efectivo cumplimiento de las previsiones legales en materia de transparencia es realmente un prioridad para el Gobierno regional. Y para ello resulta imprescindible que se dote al Consejo de la Transparencia de la Región de Murcia de los medios y de las dependencias adecuadas para poder ejercer con independencia las funciones de control que establece esa misma ley que ordena la publicación de los datos objeto de polémica. Y siguiendo con las previsiones de la regulación legal autonómica, ¿no habría procedido una consulta a dicha institución para que ejerciese las competencias que tiene asignadas? Al margen, claro está, de que el Consejo de la Transparencia de la Región de Murcia decida intervenir de oficio o, en su caso, lo haga a instancia de alguna de las personas afectadas, al amparo de lo dispuesto en el art. 5.3 de la Ley estatal 19/2013, de 9 de diciembre, de transparencia, acceso a la información y buen gobierno; precepto que, al tener carácter básico, se convierte en un límite infranqueable para el legislador autonómico.

De estas y otras cuestiones, también de gran relevancia, sobre el acceso y la reutilización de la información del sector público tratarán las jornadas SICARM que, un año más, se celebrarán en la Universidad de Murcia en el marco de los congresos de la Red Derecho TICs a la que está vinculado iDerTec, nuestro grupo de investigación sobre Innovación, Derecho y Tecnología. Como la asistencia al evento es gratuita no me resisto a invitarles al sugerente debate académico que tendrá lugar en nuestra Universidad la semana próxima: la cita será los días 21 y 22 de octubre en el Salón de Grados de la Facultad de Derecho.

Big data y sanciones administrativas: el caso de Hacienda

Hace tan sólo unos días se publicaba en El País una noticia que reflejaba una nueva aproximación al big data en el ámbito de las Administraciones Públicas y, en concreto, de la actividad inspectora que realiza la Agencia Tributaria. Se trata, sin duda, de una perspectiva del big data que, hasta la fecha, no había sido destacada pero que viene a demostrar, una vez más, que los avances tecnológicos pueden también ser aprovechados para el ejercicio de funciones públicas no tan  "apreciadas" socialmente, pero sin duda necesitadas de la innovación tecnológica.

Sin embargo, como jurista, mi preocupación se centra en una cuestión esencial de nuestra actual sociedad tecnológica sobre la que, sin embargo, no se está haciendo una reflexión adecuada: la necesidad de adaptar las garantías jurídicas a las posibilidades de la innovación tecnológica. De ahí que, volviendo a la noticia antes referida, hace unos meses decidiese analizar las dificultades, riesgos y posibilidades del big data desde la perspectiva de la función inspectora que realizan las Administraciones Públicas en una comunicación que fue defendida en la IX Conferencia Internacional sobre Internet, Derecho y Política (IDP) organizada por la UOC en 2013 y que se centró en los retos y oportunidades del big data.

Sin perjuicio de remitirme al texto completo de la comunicación para quien tenga especial interés, sí me gustaría aprovechar esta entrada para compartir al menos un reflexión general. Cada vez estoy más convencido que la innovación basada en el uso de la tecnológica actualmente existente es uno de los principales desafíos para llevar a cabo una gestión avanzada de la información por parte de las Administraciones Públicas. Sin embargo, ni el marco normativo vigente ni los sistemas documentales se encuentran preparados para este desafío, salvo destacadas excepciones. A través de las alternativas que ofrecen los modelos de gestión basados en el big data la actividad administrativa —en general y, en particular, la función inspectora— puede incrementar de forma notable su eficacia y eficiencia. Sin embargo, resulta imprescindible llevar a cabo una inexcusable adaptación de un régimen jurídico que no puede ya sustentarse en las tradicionales garantías formales que, en ocasiones y por lo que respecta al ejercicio de la función inspectora por parte de las Administraciones Públicas, resultan claramente insuficientes e inadecuadas.

Existe, por tanto, un riesgo cierto de que se conviertan en una barrera que dificulte la innovación tecnológica o, incluso, se perciban como meras previsiones formales cuyo efectivo cumplimiento sea habitualmente ignorado. En consecuencia, la posición jurídica del ciudadano no puede verse perjudicada por la singularidad del tratamiento informativo en que consiste el big data y la falta de garantías de que normalmente adolece el régimen jurídico regulador de la actividad administrativa de inspección, debiendo adoptarse las medidas normativas o, en su caso, interpretativas que garanticen la efectividad del ejercicio de todos sus derechos.

¿Celebrando la (des)protección de los datos personales? Algunas aportaciones personales sobre el cambio de paradigma

Hoy celebramos, un año más, el Día de la Protección de Datos en Europa. A estas alturas, ya inmersos en la mitad de la segunda década del siglo XXI, cualquier reflexión que se pueda hacer al respecto debe tener en cuenta la singularidad y la complejidad del contexto tecnológico en el que se gestiona la información y, por lo tanto, los datos de carácter personal. De lo contrario existe un riesgo cierto de que, a pesar de la aparente protección que conlleva la existencia de múltiples normas aplicables, en la práctica este derecho fundamental termine por quedar sin una garantía jurídica adecuada que asegure su efectivo respecto.

Así, existe una marcada tendencia a la multiplicación de los sistemas de recogida de información que, además, se han de interconectar como premisa elemental para la obtención de valor añadido (es el caso de las smart cities), de manera que el origen de la información puede terminar difuminándose y, por tanto, la limitación de su uso para otros fines quedar irremediablemente dañada. Por otra parte, la generalización de los servicios en la nube (cloud computing) nos aboca a potenciales conflictos de carácter internacional sobre la normativa aplicable y la jurisdicción competente, dificultando así de modo casi irremediable la efectiva tutela de los derechos y libertades, especialmente desde la perspectiva individual. Más aún, con la progresiva implantación de las conexiones en todo tipo de dispositivos y aparatos (Internet of Things) las posibilidades de obtención de información relativa a los hábitos y conductas de los usuarios se multiplican, y lo hace más allá de los estrictos límites personales (caso de los teléfonos móviles, debido a su uso personal) para proyectarse incluso sobre los grupos y colectivos, como puede ser el caso de las familias. En fin, todo ello nos sitúa en un escenario tecnológico donde el big data encuentra un perfecto caldo de cultivo, en particular si tenemos en cuenta la propensión a difundir a través de las redes sociales todo tipo de información, documentos gráficos, opiniones o, simplemente, datos personales propios y de terceros.

            Al margen de que llege a aprobarse finalmente el esperado Reglamento durante el año 2015 —lo que no deja de ser un ejercicio de adivinación arriesgado si tenemos en cuenta los antecedentes—, nuestra reflexión debe tener en cuenta una realidad indiscutible: la dificultad, por no hablar directamente de imposibilidad, para el Derecho de ofrecer respuestas adecuadas a la singularidad de los desafíos que plantea la tecnología. Existe una tendencia, especialmente presente en culturas jurídicas continentales como la española, a que las normas jurídicas escritas predeterminen con suficiente precisión los supuestos de hecho a los que han de ser aplicadas, incurriendo con relativa frecuencia en un afán reglamentista que, por lo que ahora interesa, puede conllevar una importante limitación de su alcance. Ciertamente, la exhaustividad constituye una exigencia elemental en aquellos supuestos en que la regulación deba ser restrictiva, como sucede cuando conlleve una prohibición o se establezca una sanción, pero no con carácter general.

Se trata de un problema de especial trascendencia en el ámbito de la tecnología, donde el dinamismo constituye una de sus notas características, de manera que las normas podrían quedar desfasadas y, por tanto, no ser ya aplicables o, lo que incluso resulta más preocupante, aun siéndolo las consecuencias que se deriven llegaran a ser contrarias al objetivo inicialmente pretendido. Frente a esta realidad, los principios generales del Derecho adquieren una singular importancia a la hora de tratar de establecer mecanismos reguladores eficaces, si bien al mismo tiempo hay que admitir que una excesiva apertura en la determinación de su alcance puede generar un efecto indeseable en forma de inseguridad jurídica. Sin embargo, en un ámbito como la protección de los datos personales, donde ya contamos con una larga tradición en la interpretación y aplicación de un marco regulatorio europeo que incluso se ha plasmado en relevantes decisiones jurisprudenciales, sería de gran importancia avanzar en la línea propuesta ya que, de lo contrario, reglas jurídicas excesivamente concretas —aunque, sin duda, bienintencionadas— pueden terminar convirtiéndose en el principal de los problemas a resolver.

Por otra parte, la destacada vinculación tecnológica de los tratamientos de información constituye un relevante desafío para el Derecho y, en concreto, para la eficacia de sus previsiones. En efecto, la seguridad jurídica y, en concreto, la aplicación de las disposiciones jurídicas descansa en gran medida en el efectivo respeto a las reglas técnicas que se establezcan, exigencia que ha de observarse al menos desde una doble perspectiva. Así, en primer lugar, las normas jurídicas deben establecer un nivel adecuado de protección desde la perspectiva de los estándares tecnológicos en función de la naturaleza de los riesgos existentes, concreción que no puede predeterminarse de manera absoluta a través de las fuentes del Derecho y, que por tanto, nos remite a la necesaria aplicación de criterios generalmente aceptados en el sector. Ahora bien, en segundo lugar, de nada sirve que la norma fije estándares muy garantistas si en la práctica su incumplimiento no conlleva consecuencias jurídicas lo suficientemente contundentes como para desincentivar las conductas contrarias a las previsiones normativas. Y no se trata de establecer sanciones más o menos elevadas sino, sobre todo, de tratar de impedir —ya cautelarmente o, llegado el caso, de manera definitiva— la utilización de la información cuando no se hubiesen cumplido realmente las exigencias derivadas de la seguridad tecnológica.

Si atendemos a la regulación existente en relación a la protección de los datos de carácter personal y, sobre todo, a la realidad práctica de su aplicación, ¿no es realmente necesario un cambio de paradigma en los términos señalados?

Esta entrada ha sido publicada en la web de la Asociación Profesional Española de Privacidad-APEP con ocasión del monografíco que dicha entidad ha dedicado a conmemorar el Día Europeo de Protección de Datos 2015.

la información y las smart cities, ¿de quién son los datos?

En los últimos meses las smart cities se han convertido en uno de los principales temas por lo que se refiere a los proyectos vinculados a la modernización tecnológica en el ámbito de las Administraciones Públicas. No es mi intención analizar el concepto que subyace en este tipo de iniciativas, ya que la heterogeneidad es precisamente una de las notas características, por lo que quizás sea preferible remitirnos a los numerosos ejemplos concretos que se han ido poniendo en marcha. Pero sí me gustaría compartir algunas reflexiones que me ha suscitado la asistencia a las jornadas, que ha organizado el Ayuntamiento de Murcia, en particular por lo que respecta a las intervenciones de los dos ponentes con perfil jurídico: JoséVicente Belenguer, abogado en Garrigues, y Pablo Sánchez Chillón, director gerente de EOLEXCITILAB y responsable del blog Urban 360º.

Aunque las implicaciones jurídicas son ciertamente muchas y diversas, me centraré únicamente en las relativas a la innovación tecnológica y, en particular, por lo que se refiere al uso —y en su caso explotación— de la información que se genera en este tipo de proyectos, sin duda uno de los principales atractivos desde la perspectiva de la eficiencia que se pretende conseguir con iniciativas de esta naturaleza.

El eje a partir del que se vertebra jurídicamente el conjunto de actividades que integran una smart city es la prestación de servicios públicos y, más en general, las actividades que llevan a cabo las Administraciones municipales. En consecuencia, la normativa que regula la contratación del sector público adquiere una relevancia incuestionable, sobre todo si tenemos en cuenta la tendencia consolidada en los últimos años a la externalización de la prestación de los servicios, lo que nos aboca a un modelo de gestión de la información en la que necesariamente están llamadas a participar las empresas que los gestionen junto con las correspondientes entidades públicas. Y a este respecto cabe plantearse alternativas de gestión diversas que, en última instancia, pasan por la confluencia de intereses diversos y que podrían resultar contradictorios, especialmente cuando confluyen varias empresas interesadas en utilizar la información generada a partir de la gestión de los referidos servicios públicos o, en general, la realización de actividades relacionadas con la actividad competencia del municipio.

Resulta frecuente que la explotación de la información generada en dicho contexto se pretenda llevar a cabo por parte de las empresas que presten los servicios, lo que puede conllevar relevantes problemas por lo que respecta a la aplicación de la normativa sobre transparencia y acceso de la información y, asimismo, por lo que respecta a las posibilidades de reutilización de la misma con fines comerciales. Desde esta perspectiva, cabría pensar que el contenido de los correspondientes contratos para la prestación de los servicios contemple un derecho exclusivo al uso de los datos que se generen con ocasión de dicha actividad, lo que puede suponer una dificultad para la propia Administración cuando se extinga la relación jurídica con el prestador y, asimismo, por lo que respecta al derecho que pueden tener otros sujetos interesados en disponer de los datos y, en su caso, reutilizarlos para otras finalidades distintas.

Pues bien, teniendo en cuenta las exigencias jurídicas que implican las citadas normas debe partirse de la premisa de que, más allá de los supuestos en que se trate de datos de carácter personal en los que entraría en juego un derecho fundamental de los ciudadanos, resulta incuestionable: que la titularidad de la información generada pertenece a la correspondiente Administración municipal que, en consecuencia, deberá permitir el acceso a los ciudadanos y otras empresas en los términos que establece la normativa sobre transparencia y acceso a la información del sector público. Asimismo, por lo que respecta a la reutilización de esos datos por otras personas o entidades, debe recordarse que la posibilidad de los acuerdos que conlleven una posición de exclusividad se contempla en la regulación legal con carácter excepcional, de manera que su pertinencia en términos jurídicos ha de ser suficientemente motivada.

Dejaremos para una entrada posterior la perspectiva del ciudadano a quien, como usuario de los servicios, debe corresponder un papel protagonista del que no se puede prescindir a la hora de valorar las implicaciones jurídicas del uso de la información generada a partir de su actividad y sus comportamientos. A menos que nos resignemos a considerar que la privacidad es la primera víctima si queremos impulsar proyectos de smart cities.