La necesaria reformulación de las garantías jurídica ante la innovación tecnológica en la Administración

Hace unas semanas planteaba en una entrada anterior de este blog los cambios de paradigma que suscita la innovación tecnológica, anunciando que dejaba para una entrada posterior la necesaria adaptación de las garantías jurídicas. Pues aquí estamos de nuevo… En primer lugar, como idea general, es necesario enfatizar que, aunque resulte ingenuo pretender un control absoluto de la tecnología por parte del Derecho, no por ello debe renunciarse al establecimiento, al menos, de una serie de requisitos mínimos y principios básicos a los que se ha de someter cualquier iniciativa, proyecto o servicio basado en el uso avanzado e innovador de las herramientas tecnológicas.

            Como es sabido, el procedimiento administrativo constituye uno de los ejes en torno a los cuales se ha sustentado el correcto funcionamiento de las Administraciones Públicas, hasta el punto de que una de las principales causas de invalidez de los actos administrativos se refiere a la vulneración de las normas procedimentales. El uso de medios electrónicos —y de manera más intensa incluso cuando se trata de la innovación— presenta una incidencia directa sobre esta concepción clásica del procedimiento en la medida que quiebra con una de sus principales exigencias: que los sucesivos actos que lo integran se deban producir necesariamente en un determinado momento de la tramitación y, en concreto, tras la finalización de los anteriores. Más aún, la automatización de las actuaciones administrativa puede suponer que no lleve a cabo procedimiento alguno para la adopción de las decisiones, al menos si por el mismo entendemos un conjunto ordenado de trámites que han de tener lugar de forma sucesiva. En consecuencia, es necesario proceder a la reformulación del procedimiento administrativo a partir de las singularidades que plantea la innovación tecnológica.

Por otra parte, hay que reclamar un efectivo control sobre el funcionamiento de las aplicaciones y los sistemas de automatizados, ya que la automatización de las decisiones administrativas supone un desplazamiento de la capacidad de decisión de las personas físicas que se encuentran al frente de los órganos y las unidades administrativas. Desde la perspectiva que ahora nos interesa adquiere singular importancia que las aplicaciones informáticas y los sistemas de información que se utilicen sean aprobados formalmente por la entidad pública donde vayan a ser utilizados, especialmente en aquellos supuestos es que su funcionamiento pueda afectar a los derechos y libertades de los ciudadanos. De esta manera se habilitaría la posibilidad de realizar una impugnación autónoma del acto de aprobación formal de las aplicaciones y los sistemas de información.

            Asimismo, debe exigirse el efectivo cumplimiento de las garantías tecnológicas como sustento de la seguridad jurídica, premisa inexcusable si tenemos en cuenta la singular incidencia de la tecnología en un contexto de potencial incertidumbre jurídica. Se trata, en definitiva, de asegurar que las garantías jurídicas puedan desplegar su auténtico potencial y, en definitiva, de asegurar su prevalencia frente a planteamientos extrajurídicos que no tengan en cuenta suficientemente el efectivo respeto a los derechos e intereses que se puedan ver afectados. A este respecto, resulta de gran relevancia llevar a cabo un proceso —tanto a nivel normativo, jurisprudencial y doctrinal— de decantación de las consecuencias jurídicas que supone el incumplimiento de las normas técnicas, especialmente las relativas a seguridad: de nada sirve con la mera previsión en disposiciones jurídicas de las garantías tecnológicas si las consecuencias del incumplimiento no se encuentran aseguradas suficientemente.

            Asimismo, es necesario proceder a la adaptación de las garantías relativas a la privacidad en tanto exigencia de la mayor incidencia de la innovación tecnológica. En concreto, resulta imprescindible asegurar la efectiva aplicación de las limitaciones en cuanto a su utilización, para lo cual los metadatos y cualesquiera otros elementos que permitan contextualizar el origen de los datos están llamados a jugar un destacado papel desde una perspectiva amplia de la neutralidad tecnológica que, más allá de cercenar o limitar derechos, facilite su efectivo respeto; lo que, por tanto, nos remite a la necesidad de reforzar los estándares de gestión documental desde esta perspectiva. Más aún si tenemos en cuenta que la innovación tecnológica conlleva no sólo que se incrementen los tratamientos automatizados dentro de la propia entidad o, incluso, entre distintas Administraciones Públicas sino que, además, entren en juego nuevos operadores del sector privado en el manejo activo de los datos. Como parece avanzar un primer análisis de la reciente normativa europea en la materia se ha tratado de dar un paso en la línea de adaptar a la actual realidad tecnológica el marco normativo aplicable a los tratamientos de información vinculada a las personas físicas, si bien su eficacia está todavía por comprobarse, en particular si tenemos que hasta dentro de dos años no entrará plenamente en vigor.

Por último, aunque sin ánimo de exhaustividad, resulta imprescindible proceder a la ampliación del ámbito objetivo de la normativa sobre transparencia ante la ineludible complejidad tecnológica. En efecto, en los últimos meses hemos asistido al proceso de puesta en marcha de una novedosa regulación sobre transparencia y acceso a la información del sector público que, tal y como ya he planteado en anteriores ocasiones, resulta excesivamente restrictiva en cuanto al objeto, las limitaciones y, sobre todo, las garantías que establece. Esta insuficiencia reclama que la garantía relativa a la transparencia y el acceso a la información se complete necesariamente con el reconocimiento de un derecho por parte de los ciudadanos a obtener toda aquella información que permita:

• la identificación de los medios y aplicaciones utilizadas;
• la determinación del órgano bajo cuyo control permanezca el funcionamiento de la aplicación o el sistema de información;
• el acceso no sólo al resultado de la aplicación o del sistema informativo que le afecte específicamente a su círculo de intereses sino, además y sobre todo, al origen de los datos empleados y la naturaleza y el alcance del tratamiento realizado, es decir, cómo el funcionamiento de aquellos puede dar lugar a un determinado resultado;
• el conocimiento de los extremos antes referidos no sólo cuando se refieran a la decisión que se adopte sino que, adicionalmente, debería proyectarse sobre los actos de trámite y, en particular con los informes, borradores y documentación complementaria.

El valor jurídico de las exigencias tecnológicas de la Administración electrónica, ¿una relación bien o mal avenida?

La pasada semana tuvo lugar en la Facultad de Ciencias Jurídicas y Sociales de la Universidad de Castilla La Mancha un interesante congreso en el que se debatía sobre la reforma de la Administración electrónica que ha tenido lugar a través de las leyes 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas, y 40/2015, de Régimen Jurídico del Sector Público, ambas con fecha 1 de octubre y publicadas en el BOE del día siguiente. Fue sin duda un acto entrañable, sobre todo porque la ausencia del prof. Luis Ortega Álvarez me obligó a constatar que la dedicación a la vida universitaria no puede tener mejor legado que discípulos comprometidos y volcados en las tareas docentes e investigadoras, con permiso de la gestión. Sin duda que Isaac Martín Delgado es un destacado ejemplo de cuanto estoy diciendo.

Mi intervención se centró en las relaciones entre el Derecho y las medidas de seguridad de carácter tecnológico, ante la convicción que ya he manifestado en alguno de mis trabajos acerca del carácter esencial de su efectivo cumplimiento. Durante el debate se suscitó una idea esencial que, al menos desde mi punto de vista, resume el núcleo esencial de la problemática que subyace en dicha relación: ¿cómo puede obligarse a las Administraciones Públicas para que asuman y respeten las normas que establecen reglas y criterios de carácter técnico? En última instancia, la seguridad jurídica descansa necesariamente sobre esta premisa pues, de lo contrario, no se estarían respetando las exigencias elementales para asegurar que las garantías que ofrece el Derecho son realmente cumplidas y, en última instancia, los derechos de los ciudadanos y el interés general que han de servir los poderes públicos podrían quedar en entredicho.

Así, en primer lugar, resulta indiscutible que la regulación jurídica ha de estar adaptada a la singularidad que presenta la tecnología, obviedad que encierra una innegable dificultad añadida: el vertiginoso ritmo de la innovación tecnológica no se adapta a los tiempos propios del Derecho, por lo que resulta absolutamente imposible pretender que las normas jurídicas contemplen específicamente todos y cada uno de los supuestos que el avance de la tecnología nos puede ofrecer para modernizar los servicios. La constatación de esta dificultad se refuerza si tenemos en cuenta la singular cultura jurídica que, con demasiada frecuencia, impregna nuestras Administraciones Públicas a modo de mecanismo de defensa; de manera que la respuesta fácil a la complejidad --que en muchos casos se limita a una simple novedad-- que plantea la modernización tecnológica es una simple negativa sin mayor justificación ni, por supuesto, un informe debidamente razonado que la sustente. Más aún, la tendencia a exigir que todas las alternativas y posibilidades se encuentren expresa y específicamente previstas en la norma jurídica nos aboca a un exceso reglamentista que, cuando se produce en las normas básicas, no sólo resulta de dudosa constitucionalidad sino que normalmente está llamado a generar importantes disfunciones en el caso de que se pretenda cumplir con la literalidad de la norma. Así pues, no queda otra respuesta que acudir a los principios generales del Derecho en tanto que asidero desde el que dar respuesta a los problemas y dificultades derivados del elemento tecnológico: en concreto, la proporcionalidad en cuanto a la exigencia de las normas técnicas y la confianza legítima están llamados a jugar un papel protagonista en este contexto.

Por otra parte, la técnica regulatoria en este ámbito ha de adaptarse a las especificidades de la tecnología y, por tanto, ha de prever herramientas que permitan evaluar el efectivo cumplimiento de las normas técnicas. Así, de un lado resulta imprescindible establecer el carácter preceptivo de informes técnicos periódicos sobre el respeto de las normas técnicas y, cómo no, de las jurídicas, evaluaciones que debieran llevarse a cabo por órganos o entidades ajenos a la propia Administración que presta los servicios conforme a parámetros estandarizados. Por otra parte, la regulación debe contemplar no sólo obligaciones precisas dirigidas a la entidad pública sino también a las empresas privadas contratistas; si bien son aquellas las que mediante el ejercicio de sus potestades y a través de los oportunos pliegos han de preocupase en primer lugar por dar satisfacción a dicha exigencia. En última instancia, ya que no parece oportuno imponer multas económicas que, en definitiva, serían pagadas por los contribuyentes a través de los impuestos, se han de contemplar otro tipo de medidas que puedan cumplir con su cometido --no olvidemos, que se cumplan las normas técnicas--, lo que necesariamente nos deja con una elemental conclusión: que se paralice el funcionamiento de las aplicaciones y sistemas de información hasta que no se asegure su efectivo respeto, en la línea de la previsión que establece la normativa sobre protección de datos de carácter personal. Aunque es preciso reconocer que, si bien en este ámbito se establece una regulación suficientemente precisa que establece una prohibición tajante --artículo 9 LOPD-- y una medida cautelar contundente --artículo 49 LOPD--, lo cierto es que su aplicación práctica deja mucho que desear, aunque sobre este asunto volveremos en una ocasión posterior.

En fin, podría pensarse que ladisposición adicional segunda de la Ley 39/2015 contiene una garantía para asegurar el efectivo respeto de los esquemas nacionales de seguridad e interoperabilidad cuando ofrece a las Comunidades Autónomas y las Entidades Locales la adhesión voluntaria a las plataformas y registros establecidos por la Administración estatal a fin de cumplir con las previsiones legales en materia de “registro electrónico de apoderamientos, registro electrónico, archivo electrónico único, plataforma de intermediación de datos y punto de acceso general electrónico”. En efecto, a pesar de ese ofrecimiento, el legislador permite a las referidas entidades que utilicen sus propios medios, si bien en ese supuesto habrán de demostrar que pueden prestar el servicio de modo más eficiente y, por lo que se refiere a la cuestión objeto de nuestro análisis, los registros y plataformas que utilicen deberán cumplir con los esquemas nacionales de seguridad e interoperabilidad, así como de sus normas técnicas de desarrollo. Al margen de las numerosas cuestiones que deja abiertas dicha disposición, lo cierto es que no parece que una norma enderezada a dar cumplimiento a la legislación sobre estabilidad presupuestaria y sostenibilidad financiera sea la vía más adecuada para dar satisfacción a las exigencias de la tecnología. No parece que el estricto respeto a los requisitos de dicha naturaleza sea sólo ni principalmente una cuestión económica que justifique la restricción de las competencias autonómicas en materia de auto-organización. ¿O sí?

Los funcionarios murcianos, al desnudo

Ha causado un cierto revuelo en la opinión pública murciana —y, como no podía ser de otra manera, entre el propio colectivo afectado— la decisión del Gobierno autonómico de hacer pública la identidad y retribuciones del personal al servicio de la Administración regional. Según se ha anunciado, la difusión de esta información ha generado un aluvión de quejas ante la Agencia de Protección de Datos, institución encargada de la tutela del derecho fundamental a la protección de los datos de carácter personal consagrado por el artículo 18.4 de la Constitución. Más allá de cualquier otra consideración conviene aclarar el alcance de la medida desde la perspectiva jurídica, de manera que cualquier valoración que pretenda realizarse pueda hacerse desde las premisas que plantea el Derecho.

Se ha afirmado con vehemencia que se trata de una decisión que vulnera la Ley Orgánica de Protección de Datos y, para ello, se llegan incluso a traer a colación las recientes decisiones conjuntas de la citada Agencia y el Consejo estatal de Transparencia y Buen Gobierno que, por cierto, tienen un ámbito objetivo distinto de la noticia que nos ocupa, ya que sólo se refieren a los casos en que se solicite acceder a la información, no a los supuestos de publicidad activa como el que nos ocupa. Para determinar si existe colisión con la referida Ley Orgánica resulta indispensable referirse al contenido de esta última. Precisamente, en su artículo 11.2.a) se afirma que la comunicación de datos personales podrá tener lugar no sólo cuando lo consientan los propios afectados sino, asimismo, cuando lo contemple una norma con rango legal. Pues bien, es una Ley, en este caso autonómica, la que el Gobierno murciano aduce como fundamento de su decisión, de manera que no puede afirmarse que se trate de una publicación que carezca de base legal o que, sin más, resulte contraria a la Ley Orgánica que regula el derecho fundamental. En efecto, el artículo 13.2.a) de la Ley 12/2014, de 16 de diciembre, de Transparencia y Participación Ciudadana de la Comunidad Autónoma de la Región de Murcia, obliga a que se publiquen “las relaciones de puestos de trabajo, plantillas, catálogos de puestos o documento equivalente, referidos a todo tipo de personal, con indicación de sus ocupantes y su relación jurídica, así como de sus retribuciones anuales”.

Ahora bien, precisamente porque la difusión se ampara en una norma legal, los únicos límites que podría haber vulnerado se han de encontrar necesariamente en el Texto Constitucional, lo que nos obliga a realizar una doble valoración. Por una parte, no sólo el poder ejecutivo sino también los jueces y tribunales están sometidos a las leyes, de manera que la decisión sobre la constitucionalidad de la previsión legal analizada sólo puede ser adoptada por el Tribunal Constitucional, lo que podría suceder si los sujetos legitimados plantean un recurso de inconstitucionalidad o, en su caso, los afectados acuden a la vía judicial y el órgano que conozca el asunto decide plantear a aquél una cuestión de inconstitucionalidad. Por otra parte, aun admitiendo que exista amparo legal para proceder a la difusión de los datos del personal al servicio de la Administración regional murciana, lo cierto es que ni siquiera el legislador puede quebrantar los derechos fundamentales. En consecuencia, deberíamos preguntarnos si la medida vulnera el derecho a la intimidad de dichas personas —derecho distinto al que hasta ahora hemos examinado— teniendo en cuenta el alcance de la difusión, la naturaleza de la información difundida y el interés público en conocerla; o, en última instancia, si contraviene el contenido esencial del derecho a la protección de los datos de carácter personal.

A este respecto, tal y como ha afirmado el Tribunal Constitucional en la sentencia 292/2000, de 30 de noviembre, la limitación a los derechos fundamentales que establezca el legislador habrá de ser proporcionada, y es precisamente aquí donde podría encontrarse la respuesta al problema planteado: la obligación de publicidad que establece la ley autonómica, ¿vulnera las exigencias del principio de proporcionalidad? La respuesta no es sencilla ciertamente, ya que no sólo puede tenerse en cuenta la perspectiva del personal afectado sino, asimismo, el interés público que pueda suscitar a la ciudadanía saber cómo se gasta el dinero obtenido con el pago de sus impuestos. Y se complica todavía más si entendemos que el alcance del contenido esencial del derecho ha de interpretarse en función de la tecnología hoy día disponible, lo que nos obligaría a tener en cuenta las condiciones en que ha tenido lugar la publicación. Esta exigencia, lejos de ser una mera disquisición teórica, tiene importantes consecuencias por lo que respecta a las posibilidades de tratamiento avanzado de los datos —no olvidemos que se incluyen las retribuciones— en los entornos de big data actuales, donde el cambio de paradigma que se plantea pasa por un cambio radical en la gestión de la información a nivel empresarial. La pregunta que se suscita entonces no puede ser más evidente: ¿se afanarán las entidades de crédito o las empresas aseguradoras —entre otros muchos sectores que el lector está invitado a completar— en conocer los niveles de renta de los afectados para conectarlos con otra información relevante, ya en su poder o accesible en registros públicos, a fin de conseguir una mayor eficiencia en su respectivo sector de actividad?

En todo caso, es sólo cuestión de tiempo que podamos comprobar si el efectivo cumplimiento de las previsiones legales en materia de transparencia es realmente un prioridad para el Gobierno regional. Y para ello resulta imprescindible que se dote al Consejo de la Transparencia de la Región de Murcia de los medios y de las dependencias adecuadas para poder ejercer con independencia las funciones de control que establece esa misma ley que ordena la publicación de los datos objeto de polémica. Y siguiendo con las previsiones de la regulación legal autonómica, ¿no habría procedido una consulta a dicha institución para que ejerciese las competencias que tiene asignadas? Al margen, claro está, de que el Consejo de la Transparencia de la Región de Murcia decida intervenir de oficio o, en su caso, lo haga a instancia de alguna de las personas afectadas, al amparo de lo dispuesto en el art. 5.3 de la Ley estatal 19/2013, de 9 de diciembre, de transparencia, acceso a la información y buen gobierno; precepto que, al tener carácter básico, se convierte en un límite infranqueable para el legislador autonómico.

De estas y otras cuestiones, también de gran relevancia, sobre el acceso y la reutilización de la información del sector público tratarán las jornadas SICARM que, un año más, se celebrarán en la Universidad de Murcia en el marco de los congresos de la Red Derecho TICs a la que está vinculado iDerTec, nuestro grupo de investigación sobre Innovación, Derecho y Tecnología. Como la asistencia al evento es gratuita no me resisto a invitarles al sugerente debate académico que tendrá lugar en nuestra Universidad la semana próxima: la cita será los días 21 y 22 de octubre en el Salón de Grados de la Facultad de Derecho.