El valor jurídico de las exigencias tecnológicas de la Administración electrónica, ¿una relación bien o mal avenida?

La pasada semana tuvo lugar en la Facultad de Ciencias Jurídicas y Sociales de la Universidad de Castilla La Mancha un interesante congreso en el que se debatía sobre la reforma de la Administración electrónica que ha tenido lugar a través de las leyes 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas, y 40/2015, de Régimen Jurídico del Sector Público, ambas con fecha 1 de octubre y publicadas en el BOE del día siguiente. Fue sin duda un acto entrañable, sobre todo porque la ausencia del prof. Luis Ortega Álvarez me obligó a constatar que la dedicación a la vida universitaria no puede tener mejor legado que discípulos comprometidos y volcados en las tareas docentes e investigadoras, con permiso de la gestión. Sin duda que Isaac Martín Delgado es un destacado ejemplo de cuanto estoy diciendo.

Mi intervención se centró en las relaciones entre el Derecho y las medidas de seguridad de carácter tecnológico, ante la convicción que ya he manifestado en alguno de mis trabajos acerca del carácter esencial de su efectivo cumplimiento. Durante el debate se suscitó una idea esencial que, al menos desde mi punto de vista, resume el núcleo esencial de la problemática que subyace en dicha relación: ¿cómo puede obligarse a las Administraciones Públicas para que asuman y respeten las normas que establecen reglas y criterios de carácter técnico? En última instancia, la seguridad jurídica descansa necesariamente sobre esta premisa pues, de lo contrario, no se estarían respetando las exigencias elementales para asegurar que las garantías que ofrece el Derecho son realmente cumplidas y, en última instancia, los derechos de los ciudadanos y el interés general que han de servir los poderes públicos podrían quedar en entredicho.

Así, en primer lugar, resulta indiscutible que la regulación jurídica ha de estar adaptada a la singularidad que presenta la tecnología, obviedad que encierra una innegable dificultad añadida: el vertiginoso ritmo de la innovación tecnológica no se adapta a los tiempos propios del Derecho, por lo que resulta absolutamente imposible pretender que las normas jurídicas contemplen específicamente todos y cada uno de los supuestos que el avance de la tecnología nos puede ofrecer para modernizar los servicios. La constatación de esta dificultad se refuerza si tenemos en cuenta la singular cultura jurídica que, con demasiada frecuencia, impregna nuestras Administraciones Públicas a modo de mecanismo de defensa; de manera que la respuesta fácil a la complejidad --que en muchos casos se limita a una simple novedad-- que plantea la modernización tecnológica es una simple negativa sin mayor justificación ni, por supuesto, un informe debidamente razonado que la sustente. Más aún, la tendencia a exigir que todas las alternativas y posibilidades se encuentren expresa y específicamente previstas en la norma jurídica nos aboca a un exceso reglamentista que, cuando se produce en las normas básicas, no sólo resulta de dudosa constitucionalidad sino que normalmente está llamado a generar importantes disfunciones en el caso de que se pretenda cumplir con la literalidad de la norma. Así pues, no queda otra respuesta que acudir a los principios generales del Derecho en tanto que asidero desde el que dar respuesta a los problemas y dificultades derivados del elemento tecnológico: en concreto, la proporcionalidad en cuanto a la exigencia de las normas técnicas y la confianza legítima están llamados a jugar un papel protagonista en este contexto.

Por otra parte, la técnica regulatoria en este ámbito ha de adaptarse a las especificidades de la tecnología y, por tanto, ha de prever herramientas que permitan evaluar el efectivo cumplimiento de las normas técnicas. Así, de un lado resulta imprescindible establecer el carácter preceptivo de informes técnicos periódicos sobre el respeto de las normas técnicas y, cómo no, de las jurídicas, evaluaciones que debieran llevarse a cabo por órganos o entidades ajenos a la propia Administración que presta los servicios conforme a parámetros estandarizados. Por otra parte, la regulación debe contemplar no sólo obligaciones precisas dirigidas a la entidad pública sino también a las empresas privadas contratistas; si bien son aquellas las que mediante el ejercicio de sus potestades y a través de los oportunos pliegos han de preocupase en primer lugar por dar satisfacción a dicha exigencia. En última instancia, ya que no parece oportuno imponer multas económicas que, en definitiva, serían pagadas por los contribuyentes a través de los impuestos, se han de contemplar otro tipo de medidas que puedan cumplir con su cometido --no olvidemos, que se cumplan las normas técnicas--, lo que necesariamente nos deja con una elemental conclusión: que se paralice el funcionamiento de las aplicaciones y sistemas de información hasta que no se asegure su efectivo respeto, en la línea de la previsión que establece la normativa sobre protección de datos de carácter personal. Aunque es preciso reconocer que, si bien en este ámbito se establece una regulación suficientemente precisa que establece una prohibición tajante --artículo 9 LOPD-- y una medida cautelar contundente --artículo 49 LOPD--, lo cierto es que su aplicación práctica deja mucho que desear, aunque sobre este asunto volveremos en una ocasión posterior.

En fin, podría pensarse que ladisposición adicional segunda de la Ley 39/2015 contiene una garantía para asegurar el efectivo respeto de los esquemas nacionales de seguridad e interoperabilidad cuando ofrece a las Comunidades Autónomas y las Entidades Locales la adhesión voluntaria a las plataformas y registros establecidos por la Administración estatal a fin de cumplir con las previsiones legales en materia de “registro electrónico de apoderamientos, registro electrónico, archivo electrónico único, plataforma de intermediación de datos y punto de acceso general electrónico”. En efecto, a pesar de ese ofrecimiento, el legislador permite a las referidas entidades que utilicen sus propios medios, si bien en ese supuesto habrán de demostrar que pueden prestar el servicio de modo más eficiente y, por lo que se refiere a la cuestión objeto de nuestro análisis, los registros y plataformas que utilicen deberán cumplir con los esquemas nacionales de seguridad e interoperabilidad, así como de sus normas técnicas de desarrollo. Al margen de las numerosas cuestiones que deja abiertas dicha disposición, lo cierto es que no parece que una norma enderezada a dar cumplimiento a la legislación sobre estabilidad presupuestaria y sostenibilidad financiera sea la vía más adecuada para dar satisfacción a las exigencias de la tecnología. No parece que el estricto respeto a los requisitos de dicha naturaleza sea sólo ni principalmente una cuestión económica que justifique la restricción de las competencias autonómicas en materia de auto-organización. ¿O sí?

¿Celebrando la (des)protección de los datos personales? Algunas aportaciones personales sobre el cambio de paradigma

Hoy celebramos, un año más, el Día de la Protección de Datos en Europa. A estas alturas, ya inmersos en la mitad de la segunda década del siglo XXI, cualquier reflexión que se pueda hacer al respecto debe tener en cuenta la singularidad y la complejidad del contexto tecnológico en el que se gestiona la información y, por lo tanto, los datos de carácter personal. De lo contrario existe un riesgo cierto de que, a pesar de la aparente protección que conlleva la existencia de múltiples normas aplicables, en la práctica este derecho fundamental termine por quedar sin una garantía jurídica adecuada que asegure su efectivo respecto.

Así, existe una marcada tendencia a la multiplicación de los sistemas de recogida de información que, además, se han de interconectar como premisa elemental para la obtención de valor añadido (es el caso de las smart cities), de manera que el origen de la información puede terminar difuminándose y, por tanto, la limitación de su uso para otros fines quedar irremediablemente dañada. Por otra parte, la generalización de los servicios en la nube (cloud computing) nos aboca a potenciales conflictos de carácter internacional sobre la normativa aplicable y la jurisdicción competente, dificultando así de modo casi irremediable la efectiva tutela de los derechos y libertades, especialmente desde la perspectiva individual. Más aún, con la progresiva implantación de las conexiones en todo tipo de dispositivos y aparatos (Internet of Things) las posibilidades de obtención de información relativa a los hábitos y conductas de los usuarios se multiplican, y lo hace más allá de los estrictos límites personales (caso de los teléfonos móviles, debido a su uso personal) para proyectarse incluso sobre los grupos y colectivos, como puede ser el caso de las familias. En fin, todo ello nos sitúa en un escenario tecnológico donde el big data encuentra un perfecto caldo de cultivo, en particular si tenemos en cuenta la propensión a difundir a través de las redes sociales todo tipo de información, documentos gráficos, opiniones o, simplemente, datos personales propios y de terceros.

            Al margen de que llege a aprobarse finalmente el esperado Reglamento durante el año 2015 —lo que no deja de ser un ejercicio de adivinación arriesgado si tenemos en cuenta los antecedentes—, nuestra reflexión debe tener en cuenta una realidad indiscutible: la dificultad, por no hablar directamente de imposibilidad, para el Derecho de ofrecer respuestas adecuadas a la singularidad de los desafíos que plantea la tecnología. Existe una tendencia, especialmente presente en culturas jurídicas continentales como la española, a que las normas jurídicas escritas predeterminen con suficiente precisión los supuestos de hecho a los que han de ser aplicadas, incurriendo con relativa frecuencia en un afán reglamentista que, por lo que ahora interesa, puede conllevar una importante limitación de su alcance. Ciertamente, la exhaustividad constituye una exigencia elemental en aquellos supuestos en que la regulación deba ser restrictiva, como sucede cuando conlleve una prohibición o se establezca una sanción, pero no con carácter general.

Se trata de un problema de especial trascendencia en el ámbito de la tecnología, donde el dinamismo constituye una de sus notas características, de manera que las normas podrían quedar desfasadas y, por tanto, no ser ya aplicables o, lo que incluso resulta más preocupante, aun siéndolo las consecuencias que se deriven llegaran a ser contrarias al objetivo inicialmente pretendido. Frente a esta realidad, los principios generales del Derecho adquieren una singular importancia a la hora de tratar de establecer mecanismos reguladores eficaces, si bien al mismo tiempo hay que admitir que una excesiva apertura en la determinación de su alcance puede generar un efecto indeseable en forma de inseguridad jurídica. Sin embargo, en un ámbito como la protección de los datos personales, donde ya contamos con una larga tradición en la interpretación y aplicación de un marco regulatorio europeo que incluso se ha plasmado en relevantes decisiones jurisprudenciales, sería de gran importancia avanzar en la línea propuesta ya que, de lo contrario, reglas jurídicas excesivamente concretas —aunque, sin duda, bienintencionadas— pueden terminar convirtiéndose en el principal de los problemas a resolver.

Por otra parte, la destacada vinculación tecnológica de los tratamientos de información constituye un relevante desafío para el Derecho y, en concreto, para la eficacia de sus previsiones. En efecto, la seguridad jurídica y, en concreto, la aplicación de las disposiciones jurídicas descansa en gran medida en el efectivo respeto a las reglas técnicas que se establezcan, exigencia que ha de observarse al menos desde una doble perspectiva. Así, en primer lugar, las normas jurídicas deben establecer un nivel adecuado de protección desde la perspectiva de los estándares tecnológicos en función de la naturaleza de los riesgos existentes, concreción que no puede predeterminarse de manera absoluta a través de las fuentes del Derecho y, que por tanto, nos remite a la necesaria aplicación de criterios generalmente aceptados en el sector. Ahora bien, en segundo lugar, de nada sirve que la norma fije estándares muy garantistas si en la práctica su incumplimiento no conlleva consecuencias jurídicas lo suficientemente contundentes como para desincentivar las conductas contrarias a las previsiones normativas. Y no se trata de establecer sanciones más o menos elevadas sino, sobre todo, de tratar de impedir —ya cautelarmente o, llegado el caso, de manera definitiva— la utilización de la información cuando no se hubiesen cumplido realmente las exigencias derivadas de la seguridad tecnológica.

Si atendemos a la regulación existente en relación a la protección de los datos de carácter personal y, sobre todo, a la realidad práctica de su aplicación, ¿no es realmente necesario un cambio de paradigma en los términos señalados?

Esta entrada ha sido publicada en la web de la Asociación Profesional Española de Privacidad-APEP con ocasión del monografíco que dicha entidad ha dedicado a conmemorar el Día Europeo de Protección de Datos 2015.

Sobre el libro Derecho, innovación y Administración electrónica (1)

Ese es el título de mi último libro, publicado por la editorial Global Law Press. ¿Cuáles son las principales premisas en que se sustenta la investigación que, después de varios años, sale ahora a la luz en forma de libro? Muchos de quienes siguen este blog seguro que han tenido ocasión de escucharlas de viva voz, así que disculpadme la repetición, pero ¡hoy he venido a hablar de mi libro! No sólo porque ha aparecido recientemente y, por tanto, la novedad obliga, sino también en la medida que esta perspectiva de la innovación tecnológica es una exigencia ineludible hoy más que nunca, especialmente desde la perspectiva de las reformas que se plantean en el informe CORA.

La tecnología es una herramienta con un gran potencial transformador que, no obstante, también ha trastocado las bases conceptuales y normativas sobre las que se ha venido asentando la Administración Pública, de manera que resulta imprescindible suscitar a nivel doctrinal el debate acerca de cómo reconfigurar las garantías jurídicas en un contexto de innovación en el que se corre el riesgo de primar la búsqueda de la eficacia y la eficiencia a costa, llegado el caso y su fuera preciso, de la integridad de los derechos y libertades de los ciudadanos. Se trata de un desafío que plantea como dificultad adicional la necesidad de entablar un diálogo constructivo entre el Derecho y la tecnología, renunciando a cualquier apriorismo o prejuicio ya que, en última instancia, resulta más cómodo permanecer en un estado de atonía o menosprecio intelectual sobre las efectivas posibilidades transformadoras de esta última. De lo contrario la eficacia del Derecho como garantía de los diversos intereses presentes puede quedar seriamente dañada, hasta el punto de llegar a percibirse como un enemigo irreconciliable de la eficacia, inescindiblemente unida en la actualidad al uso de medios informáticos y telemáticos.

Más aún, no sólo la tecnología ofrece innegables funcionalidades para transformar la realidad de la gestión administrativa y las comunicaciones con los ciudadanos más allá del mero cambio de soporte —del papel al electrónico— sino que, además y sobre todo, constituye una herramienta imprescindible en la actualidad para reforzar la perspectiva democrática de los poderes públicos y el control de su actividad, revitalizando los fundamentos del llamado Gobierno Abierto, es decir, la transparencia, la participación y la colaboración. En otras palabras, la adecuada regulación del uso de la tecnología en este ámbito ha de percibirse como una necesidad social prioritaria ya que, de lo contrario, se minará la confianza en su potencial para hacer frente al creciente desapego entre los ciudadanos y los poderes públicos desde la perspectiva político-administrativa.

Como puede comprobarse, el desafío intelectual que se plantea presenta una destacada relevancia para los juristas, que no podemos ya limitarnos al mero análisis de los cada vez más numerosos —¿también excesivos?— preceptos normativos que regulan esta materia. Desde el ámbito académico hemos de asumir el reto de adaptar las categorías jurídicas a la realidad sobre la que se proyectan para, en su caso, formular propuestas que permitan afrontar las dificultades y posibilidades que para la seguridad jurídica plantea el uso de medios electrónicos por parte de las Administraciones Públicas tanto a nivel interno como en la relaciones con los ciudadanos, en particular por lo que se refiere a su funcionalidad como instrumento para la transformación a partir de planteamientos innovadores de gestión.

 Desde estas premisas se comprenden algunas de las principales conclusiones que se han reflejado en el libro, pero esto lo dejaremos para otra entrada posterior...

Esquemas Nacionales

Aunque habría sido muy oportuno que se publicaran ayer coincidiendo con el Día Europeo de la Protección de Datos, en el BOE de hoy 29 de enero están publicadas las siguientes normas:

* Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica.

* Real Decreto 4/2010, de 8 de enero, por el que se regula el Esquema Nacional de Interoperabilidad en el ámbito de la Administración Electrónica.

e-Administración y seguridad

Hace unos días tuve el placer de compartir con varios colegas una interesante participación en los cursos de verano de la Universidad Pablo de Olavide en Carmona, dentro de un curso titulado "Sociedad vigilada y protección de datos" (ver noticia en el blog de Bartolomé Borrego). En concreto mi intervención tuvo lugar en la mesa redonda sobre seguridad y Administración electrónica, para lo cual me resultó de gran utilidad la noticia que sólo unos días antes encontré en uno de mis blogs preferidos: Apuntes de seguridad de la información. En fin, no tenía claro cómo enfocar la intervención, pero una vez más Javier Cao me ayudó a encontrar un planteamiento que no se centrara exclusivamente en un planteamiento jurídico; o, mejor dicho, que ofreciera interés tanto para juristas como para quienes no tuvieran tal condición, ya que seguramente el auditorio estaría integrandos tanto por unos como otros.
La primera duda que me asaltó era conceptual: ¿qué demonios digo que es la seguridad? Pues nada, ya que soy muy devoto de consultar el diccionario, me encuentro que el de la RAE ofrece acepciones muy heterogéneas: cualidad de seguro; libre y exento de todo peligro, daño o riesgo; cierto, indubitable y en cierta manera infalible; firme, constante y que no está en peligro de faltar o caerse; no sospechoso... Y la pregunta es más que evidente: si todo eso lo aplicamos a la Administración electrónica, ¿realmente cree alguien que hay seguridad? ¿hay preocupación generalizada en la Administración pública por las cuestiones relativas a la seguridad, o sólo algunos "locos de la colina" se interesan por estos temas? Desde luego, pienso que el ciudadano de a pie desconfía de la Administración, lo que unido a una gran falta de cultura en TICs resulta sin duda un cóctel peligroso desde el punto de vista de la confianza... Y tiene motivos para desconfiar: las veces que uno se da de bruces con aplicaciones que no funcionan y dan errores sistemáticamente o están mal diseñadas; las veces que nos piden papeles por enésima vez que ya tiene la propia Administración actuante (vulnerando un derecho que existe desde 1992); la brecha digital... Por no hablar de algún caso (que conozco por explicación directa de un afectado) en que al suscitar en un juicio el problema de las medidas de seguridad de una relevante entidad estatal que permite accesos indiscriminados a información de terceros el Abogado del Estado alude a una supuesta Ley de Bases de Datos...
Menos mal que, como jurista, me quedaba una salida: me enrocaré en la seguridad jurídica, aunque para ser sincero tampoco estaba muy convencido, así que empecé a tratar de buscar razones. El régimen jurídico de la e-Administración ¿se caracteriza por la certeza de sus normas? ¿realmente su aplicación es previsible? Ufff, el cerco se estrechaba. Ciertamente, hay que reconocer que la Ley 11/2007 (LAE) ha supuesto un avance incuestionable en relación con la situación anterior, hasta el punto de que se trata de una de las normativas más avanzadas a nivel europeo, que ha ayudado a resolver muchas de las barreras jurídicas que antes existitían en España. Pero no es menos cierto que hay muchas insuficiencias y problemas por resolver, entre otros:

• existe una evidente falta de coordinación entre la Ley 30/1992 y la LAE en algunas materias;
• la LAE no se ocupa de la protección de datos (se limita a afirmar que debe respetarse), sin tener en cuenta que la LOPD está basada en un modelo de protección propio de inicios/mediados de los años 90, donde Internet era muy pero que muy distinto y casi nadie sabía ni de qué hablabas;
• algunas previsiones ESENCIALES de la LAE no tienen carácter básico, por lo que no se aplican ciertas garantías a cualquier Adminitración (pe.: es el caso de las actuaciones automatizadas);
• el reconocimiento de derechos no siempre es la mejor opción metodológica para imponer obligaciones a la Administración, sobre todo si no está clara la titularidad de los mismos hasta después de ser ejercidos (derecho a no presentar documentos del art. 6.2.b LAE) o se puede renunciar a ellos o ejercerlos sin mayor justificación (caso de la elección del canal).

En fin, aunque me duela decirlo, desde ninguna de las perspectivas pude afirmar ese día en Carmona que la Administración electrónica fuera segura. ¡Mal que me pese!