miércoles, 28 de enero de 2009

guía sobre protección de datos en Entidades Locales

Aprovecho que hoy es el Día Europeo de la Protección de Datos para compartir con vosotros un regalito que me ha llegado por correo-e hoy mismo. Se trata de la "Guía para entidades locales: cómo adaptarse a la normativa sobre protección de datos" que ha publicado el Instituto Nacionial para las Tecnologías de la Comunicación (INTECO).

Ciertamente, hay otros documentos que pueden resultar también de mucho interés con el mismo tema, entre otras la Guía de la Junta de Castilla y León

Sin duda, muchas Entidades Locales se encuentran desorientadas en esta materia, de manera que el documento les va a resultar de gran interés. Enhorabuena a los responsables de la iniciativa.

viernes, 23 de enero de 2009

formación en Administración electrónica

Un recordatorio de Daniel Sánchez sobre la 3ª edición del Curso de Iniación a la Administración electrónica que dirige y en el que participo me ha recordado que, precisamente, la disposición adicional segunda de la Ley 11/2007 contempla como una de las principales medidas que deben adoptar las Administraciones Públicas promover actividades de formación de su personal. Ahora bien, dado que ya tengo alguna experiencia acumulada en los últimos años en impartir formación en esta materia en todo tipo de escenarios, me permito compartir con vosotros algunas reflexiones.

Creo que en demasiadas ocasiones los responsables administrativos no son plenamente conscientes de la necesidad de ofrecer formación especializada en esta materia al personal de su organización, lo cual acaba generando un problema en forma de reticencia a una nueva forma de gestión basada en las herramientas tecnológicas. Así pues, uno de los principales aliados termina por convertirse en un acérrimo enemigo.

Por otra parte, pienso que el concepto de formación ligado simplemente a incrementar los méritos para un eventual ascenso es en este ámbito muy dañino: Por una parte, existe un riesgo cierto de que te encuentres con auditorios abarrotados a los que les importa bien poco que hables de TICs, suvenciones, sanciones administrativas o inembargabilidad de los biens públicos... Es, sinceramente, muy descorazonador que después de estar un buen rato dando explicaciones y más explicaciones las ponencias terminen muchas veces sin preguntas por parte del auditorio. O uno es muy oscuro en la exposición o, simplemente, ni han entendido mucho ni les importa. Quizás ambas cosas...

Por otra parte, se desaprovechan diversas posibilidades formación que, poco a poco y tímidamente van apareciendo, tal y como sucede con los cada vez más numerosos materiales audiovisuales que hay en Internet que permiten asistir, a distancia y en cualquier momento, a diversas ponencias y conferencias especializadas. A este respecto, me permito poner a vuestra disposición algunas de mis intervenciones accesibles online y, sobre todo, recordaros los materiales de los Congresos Derecho TICs/SICARM que venimos organizando en Murcia en mayo desde hace unos años, donde la totalidad del evento está disponible en video online. Precisamente, ya estamos trabajando en la edición 2009, de la que pronto daré noticias aquí mismo. ¡No os lo perdáis este año!

Finalmente, considero que debe potenciarse el uso de las TICs en el ofrecimiento de actividades formativas para el personal al servicio de las Administraciones Públicas. Ahora bien, debemos ser muy conscientes de que esta nueva metodología, aun permitiendo que se aprovechen mejor las posibilidades de la accción formativa (soy director de un curso online sobre protección de datos personales que ya va por la quinta edición y, creedme, los comentarios generalizados de los alumnos van en esta línea) exige, sin embargo, una mayor dedicación tanto para el profesorado como, en especial, para el alumno.

sábado, 10 de enero de 2009

La validación del e-documento administrativo: el caso de la FNMT

Al leer uno de mis blogs favoritos, el de Javier Cao, he recordado algunas reflexiones sobre este tema que tengo publicados en un trabajo anterior fruto de mi participación en el Congreso sobre el documento electrónico que organizó la Universidad Jaime I de Castellón hace unos meses (video de la conferencia), que finalmente ha visto la luz en el libro de actas del evento coordinado por José Luis Blasco y Modesto Fabra. Se trata, sin duda, de un tema clave por cuanto sólo si la validación de los certificados puede llevarse a cabo podrá comprobarse la integridad y autenticidad del documento administrativo electrónico. Para entender realmente el alcance de esta afirmación hay que partir de lo dispuesto en el artículo 29 LAE. Este precepto ha establecido ciertos requisitos para la validez y eficacia de los documentos administrativos, entre los que destaca en relación con este tema la exigencia de que incorporen una o varias firmas electrónicas. Pues bien, son diversos los problemas que, desde la perspectiva de la validación, presenta la necesaria incorporación de esta garantía técnica.

En primer lugar, hay que partir de que cualquier entidad pública o privada ha de aceptar aquellos documentos administrativos emitidos por las Administraciones Públicas que hubiera sido firmados digitalmente utilizando los servicios de certificación ofrecidos por cualquier proveedor que satisfaga las exigencias técnicas que, a tal efecto, se establecen en la legislación de firma electrónica. Se trata de una consecuencia ineludible a la vista del principio de libre prestación de servicios de certificación que, por imposición de la normativa europea en la materia, reconoce el artículo 5 LFE, incluso si los citados prestadores se encontraran establecidos en otro Estado de la Unión Europea. En consecuencia, la admisibilidad de tal número y diversidad de certificados supone un inconveniente práctico relevante, sobre todo por la exigencia de comprobar su vigencia —y, en su caso, de los atributos del titular del órgano, autoridad o funcionario signatario— en el momento de la fecha que aparece reflejada en el documento administrativo.

Este inconveniente se encuentra reduplicado por lo que se refiere a los servicios ofrecidos por la Fábrica Nacional de la Moneda y Timbre-Real Casa de la Moneda, prestador que normalmente opera a través de convenios con las respectivas Administraciones Públicas, en virtud de los cuales los servicios de validación sólo se encuentran accesibles previa satisfacción de una cierta cantidad económica; modelo de negocio basado en el pago por el destinatario de los documentos firmados y no por parte de quien los firma, que es en realidad a quien se le presta el servicio, cuya conformidad con el artículo 21 LAE es más que dudosa. En efecto, según el citado precepto, los certificados reconocidos sólo serán admitidos cuando el prestador ponga a disposición de la Administración Pública la información precisa en condiciones técnicamente viables y sin coste alguno para ella, de manera que la conclusión parece evidente: la negativa de la FNMT a ofrecer servicios de validación de forma gratuita a terceras entidades en relación con los documentos firmados por aquellas Administraciones Públicas que sí tienen suscrito un convenio con ella es contraria a lo dispuesto en el citado precepto legal.

Así pues, el receptor del documento electrónico podría no disponer de medios lícitos para hacer la comprobación en las condiciones del artículo 21 LAE y, en consecuencia, difícilmente pude hablarse de una obligación al respecto. Así pues, únicamente podría conocer si el certificado estaba o no caducado ya que dicha información sí consta en la información que el mismo proporciona, pero no si dicho certificado había sido revocado y, en consecuencia, se encontraba en vigor al ser utilizado para signar electrónicamente el documento administrativo en cuestión.

Este problema debería solventarse de forma definitiva obligando a todos los prestadores y, en concreto a la FNMT, a que permitan el libre acceso a la información necesaria para comprobar el estado del certificado en el momento de ser utilizado respetando las condiciones a que se refiere el artículo 21 LAE, es decir, sin coste alguno para la Administración Pública destinataria del documento. Precisamente, el artículo 21.3 LAE pretende establecer el mecanismo oportuno a tal efecto al disponer que la Administración General del Estado ofrezca una plataforma de “verificación del estado de revocación de todos los certificados admitidos en el ámbito de las Administraciones Públicas que será de libre acceso por parte de todos los Departamentos y Administraciones”. Sin embargo, dadas las condiciones de uso del referido servicio (@firma), el acceso al estado de los certificados expedidos por la FNMT sólo es posible cuando se tenga firmado un convenio con dicha entidad, es decir, cuando se pague por los servicios de certificación prestados por la misma (véase apartado 5.1.2a). Al margen de las dificultades prácticas que estas condiciones suponen para el intercambio de documentos administrativos firmados electrónicamente dado el amplio número de Administraciones Públicas que utilizan los servicios de la FNMT, se trata de una práctica claramente contraria a lo dispuesto en el artículo 21 LAE y, en definitiva, nos lleva a la inexorable conclusión de que los certificados de dicho prestador cuyo estado de revocación no se pueda comprobar gratuitamente pueden no ser admitidos —es más, no deberían— por las Administraciones Públicas ya que no se puede confiar en su vigencia en el momento de ser utilizados.

martes, 23 de diciembre de 2008

Los intermediarios en la Administración electrónica

La verdad, cuánto me cuesta ser disciplinado y escribir, al menos una entrada semanal... Por no hablar de la revisión de los blogs a los que estoy suscrito. En fin, intentaremos hacer un esfuerzo especial porque, la verdad, que le estoy cogiendo el gustillo al asunto.

Acabo de leer una interesante reflexión en el blog de Andrés Nin acerca de los intermediarios en el gobierno electrónico, lo que me recuerda algunas ideas que me vienen merodeando desde hace algún tiempo. Sin ánimo de ser exhaustivo, sí me gustaría destacar algunos aspectos que someto a vuestra consideración.

Muchas veces, el desarrollo de aplicaciones y servicios se externaliza en empresas privadas con las que contrata la Administración, de manera que la relación ya no se da directamente con el ciudadano sino a través del producto que elabora una tercera parte. En este caso, el control del funcionamiento de la aplicación (al menos en última instancia) puede escapar a la propia Administración, que muchas veces no puede imponer condiciones unilateralmente a las empresas porque su personal carece de la cualificación necesaria, aunque jurídica sí podría a través de los mecanimos que ofrece el régimen jurídico de la contratación pública.

Para la prestación de servicios de Administración electrónica muchas entidades tienen que externalizar servicios como el alojamiento de los servidores, las bases de datos, el acceso a Internet..., sin que esté todavía muy claro cuál es el marco normativo aplicable. ¿Se aplica la Ley 34/2002, conocida como LSSICE, a las Administraciones Públicas? En el enlace la "respuesta oficial" que a mí, personalmente no me convence ... O, por insistir sobre las inseguridades jurícias en la materia: ¿se aplica la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones a las entidades públicas, en concreto por lo que se refiere al deber de retención de los datos de tráfico de los usuarios?

Más cosas, espero que no sean demasiadas. En la Ley 11/2007 no se encuentra expresamente planteado el asunto, aunque sí implícitamenet al regular el tema de la notificación en el art. 28.3. ¿Qué sucede cuando la relación telemática entre el ciudadano y la Administración se ve imposibilitada debido al problema de un prestador de servicios de intermediación? Por ejemplo, si me falla mi conexión a Internet por un problema de mi proveedor el último día del plazo para presentar una solicitud... ¿y si falla el servidor, de una empresa privada, que aloja los servicios electrónicos de la Administración?

martes, 16 de diciembre de 2008

El Derecho en la Administración electrónica

Recientemente tuve ocasión de participar en unas Jornadas sobre e-Administración que organizó la Comunidad Autónoma de la Región de Murcia, en las que tuve ocasión de coincidir, entre otros ponentes con Iñaki Ortiz. Precisamente, una entrada suya en eadminblog.net dio lugar a un comentario de ocortes que me lleva, tal y como prometí en eadminblog.net, a preparar una reflexión más detallada... En fin, vamos al tema.

Es del todo cierto que los juristas damos, con demasiada frecuencia, la impresión de que todo lo confiamos en la eficacia del Derecho, actitud que, de ser cierta, constituiría sin duda una seria deformación profesional. Ahora bien, no debemos olvidar que en cualquier Estado de Derecho (y el nuestro lo es, al menos formalmente) el papel que están llamadas a jugar las normas jurídicas es ciertamente de primer orden. En este sentido, los mecanismos que aseguren su efectivo respecto y, asimismo, las consecuencias prácticas derivadas del mismo alcanzan una relevancia esencial por cuanto, en última instancia, de qué serviría tener una marco normativo inmejorable si luego, a la hora de aplicarlo, carecemos de las herramientas que aseguren su vigencia en la práctica.

Precisamente, en el ámbito de la Administración Pública tenemos un problema muy serio más allá de las singularidades de la tecnología que comentaré más adelante: que desgraciadamente no hay una cultura asentada acerca del valor que tiene el cumplimiento estricto de la normativa, en particular del Derecho Administrativo (¡cada vez más el Código Penal empieza a temerse en las Administraciones!), ya que al fin y al cabo los incumplimientos sólo darán lugar, en el mejor de los casos, a un recurso contencioso-administrativo cuya resolución sólo infrecuentemente terminará con una condena en costas que, por cierto, pagamos los ciudadanos con nuestros impuestos. En el caso de la Administración electrónica, dos botones nos pueden servir como ejemplificación de cuanto hablamos:
  • El antiguo art. 45.4 de la Ley 30/1992 (hoy degraciadamente derogado), exigía que las aplicaciones informáticas que se utilizaran para el ejercicio de potestades administrativas, debían ser aprobadas por el órgano competente; pues bien, salvo excepciones muy honrosas, se trata de una garantía que, a pesar de ser elemental, fue sistemáticamente incumplida por gran parte de las Administraciones Públicas. ¿Y cuáles han sido las consecuencias prácticas de ese incumplimiento? Pues, sustancialmente, ningunas...
  • En muchas ocasiones, la implantación de la Administración electrónica se está haciendo a costa del recorte de los derechos de los ciudadanos y, en concreto, de la protección de los datos de carácter personal, en particular de las medidas de seguridad establecidas en el Real Decreto 1720/2007 de desarrollo de la Ley Orgánica 15/1999, de Protección de los Datos de Carácter Personal. ¿Y cuál es la consecuencia práctica? La única noticia que me ha llegado es la de un juicio donde la Abogacía del Estado citaba, para rebatir los argumentos del recurrente, ¡La Ley de Bases de Datos! Ni siquiera se sabía el nombre correctamente de una Ley que pretende garantizar un derecho fundamental.

En fin, como queda evidenciado, el Derecho no lo puede todo, como por otra parte rezaba el famoso brocardo anglosajón ("La Ley lo puede todo, salvo convertir un hombre en mujer"). Pero no por ello puede minusvalorarse su papel como "motor" para avanzar en la configuración de nuevas situaciones, realidades o comportamientos. En este sentido, con carácter general es preferible que una determinada medida se encuentre prevista en una norma que no lo esté aunque, todo hay que reconocerlo, la concreta configuración de la misma puede dejarla sin efectividad práctica o, al menos, generar importantes problemas prácticos. Por ejemplificar cuanto estoy diciendo: aunque, como he señado en otro lugar, la Ley 11/2007 ha puesto encima de la mesa algunos problemas e inconvenientes de cierta consideración, no es menos cierto que gracias a esta Ley las Administraciones se han embarcado en un proceso de modernización para dar cumplimiento a sus previsiones que, en última instancia, puede ser beneficioso para el ciudadano al menos potencialmente.

Ahora bien, no soy yo muy optimista en relación con este proceso, más que nada porque el Derecho es sólo una herramienta para la consecuención de ciertos objetivos que han de ser fijados políticamente, de manera que corremos el riesgo cierto de que se hagan unas inversiones cuantiosas sin tener claro en qué consiste el proceso de modernización deseado. En este sentido, la Ley 11/2007 ofrece sólo un marco general que ha de ser precisado en cada ámbito administrativo y ahí es donde el Derecho ha de jugar un papel relevante dando forma jurídica a las decisiones políticas, organizativas e institucionales que han de ser adoptadas.

Prometo volver de nuevo con más ideas y reflexiones sobre esta tensión Derecho/tecnología, en concreto sobre la eficacia "psicológica" de la Ley 11/2007 y las diferentes actitudes de los juristas ante lo desconocido. ¡Pero eso será otro día!

martes, 2 de diciembre de 2008

Protección de datos personales y Administración electrónica

Llevo ya un tiempo dándole vueltas a este asunto, sobre todo con ocasión de alguna conversación -presencial- con Samuel Parra, cuyo blog sobre protección de datos os recomiendo especialmente. Y cada vez tengo más claro que el anvace de la Administración electrónica en España, a pesar de que toda generalización es injusta, se está produciendo en gran medida a costa de la protección de los datos personales de los ciudadanos. Insisto, hay excepciones ciertamente loables, como la Recomendación 2/2008, sobre publicación de datos en boletines y diarios oficiales en Internet y sitios webs institucionales, y la Recomendación 3/2008, sobre tratamiento de datos en servicios de Administración electróncia, ambas de la Agencia de la Comunidad de Madrid, que ha establecido una serie de criterios orientativos cuya eficacia directa, no obstante, se limita al ámbito de las Administraciones Públicas que se encuentran bajo su competencia.

En fin, valgan una serie de botones como muestra de esta preocupación:

- Hace ya algún tiempo que junto con Daniel Sánchez publicamos un trabajo en Datospersonales.org (acceso al texto) sobre las implicaciones que para este derecho fundamental tiene el proceso de comprobación del estado de revocación de los certificados, así como los potenciales acopios informativos que puede hacer el responsable del fichero, esto es, la Dirección General de Policía. No digo que estén utilizando la información así obtenida, pero una vez que está almacenada...

- Asimismo, la firma electrónica de los documentos administrativos supone un tratamiento de más datos personales que los que implica la firma manuscrita en soporte papel, singularmente los datos que ofrece el certificado electrónico asociado a los servicios de firma electrónica (pe.: número del DNI del firmante, dirección de correo-e...)

- Por lo que se refiere a la difusión de información administrativa usando medios electrónicos, hoy día resulta ciertamente sencillo hacer búsquedas a través de los buscadores para saber si una persona determinada ha sido sancionada por una Administración: basta con que no estuviera en su domicilio las dos veces que, según la Ley, ha de intentarse la notificación personal. Y ahí tenemos el famoso caso del profesor de secundaria sorprendido haciendo aguas menores en la vía pública, cuyos alumnos dieron con la información simplemente utilizando Google.

- Por no hablar de la cuestión relativa a la falta de implementación de las medidas de seguridad previstas por el Real Decreto 1720/2007, de desarrollo de la LOPDP, en los servicios de Administración electrónica, lo que resulta especialmente grave cuando el cotilleo es uno de los deportes nacionales...

En fin, creo que la LAE ha perdido una magnífica ocasión de haber obligado a que cualquier procedimiento de Administración electrónica requiera, como trámite inexcusable, la elaboración de un informe sobre su impacto en el derecho de los ciudadanos a la protección de los datos personales, al igual que se exige, por ejemplo, en cuanto a su simplicación (art. 34). Eso sí, siempre que dicho precepto hubiera sido considerado básico por el legislador estatal a los efectos de imponer su cumplimiento a TODAS las Administraciones, no como sucede actualmente a tenor de lo previsto en la disposición final primera.

martes, 25 de noviembre de 2008

El DNI electrónico no es la panacea...

El pasado jueves apareció un interesante artículo en el CiberP@ís sobre el estado de la Administración electrónica en España y, en particular, sobre el DNI digital: el título hacía referencia a que su despliegue “no anima a hacer trámites por la Red”. También se destacaba, bajo otro titular, que el carné digital supone una menor burocracia, si bien la lectura del reportaje nos demuestra que, más bien, lo que parece estar sucediendo es que ha llegado una nueva burocracia, en este caso electrónica, no sabemos si para quedarse definitivamente. ¿Pero no teníamos una nueva Ley que obliga a las Administraciones Públicas a satisfacer el derecho de los ciudadanos a relacionarse con ellas por medios electrónicos?

Parafraseando el libro del sociólogo frances Michel Crozier No se cambia la sociedad por decreto, podríamos decir que no se cambia la Administración electrónica sólo aprobando la Ley 11/2007. Y no pongo el enlace al BOE de esta norma porque según se advierte en el aviso jurídico de la propia web del diario oficial, la versión allí publicada no tiene la consideración de oficial y auténtica. Aunque es un problema que tiene los días contados, no deja de ser indicativo del auténtico desafío de la Administración electrónica en España: la falta de confianza por parte de los ciudadanos. Y no es casualidad que, precisamente, las Administraciones que hasta ahora más han avanzado en el ofrecimiento de servicios electrónicos hayan sido precisamente las que se encargan de la función recaudatoria: ¿o a qué se dedican la Agencia Tributaria y la Seguridad Social?

Hace unos meses tuve ocasión de trabajar en un proyecto (Breaking Barriers to e-Government) auspiciado por la Comisión Europea junto con un grupo de universidades lideradas por el Internet Institute de la Universidad de Oxford. Una de las principales conclusiones a la que llegamos radicaba en que muchas veces la principal barrera para el desarrollo de la Administración electrónica radica en que no se diseñan pensando en satisfacer las necesidades prioritarias de los ciudadanos sino, antes bien, las internas de las propias organizaciones que los ponen en marcha. Y luego, claro está, se quejan de que después de lo que se ha ¿invertido? el usuario es desagradecido y no percibe lo que el paternalismo administrativo está haciendo por "simplificarle" la vida...


Ciertamente, el art. 6 de la LAE ha supuesto un avance de gran alcance en cuanto a la imposición de obligaciones concretas para que las Administraciones permitan al ciudadano elegir el canal de sus comunicaciones con ellas, pero al mismo tiempo la configuración legal de este derecho presenta al menos ciertas dudas razonables:

a) gran parte de los servicios que afectan al día a día del ciudadano son de competencia local o autonómica, no estatal, de manera que la aplicación de la LAE en estos ámbitos administrativos está condicionada a sus disponibilidades presupuestarias tal y como contempla la disposición final tercera;

b) existe un riesgo cierto de que, si no se ponen en marcha los mecanismos de interconexión oportunos la Administración electrónica consista, fundamentalmente, en seguir haciendo lo mismo pero -¡cosas de la modernidad y la tecnología!- utilizando el soporte electrónico en lugar del papel (para mayores detalles, os remito a un trabajo anterior que publiqué hace unos meses);

c) y, por supuesto, la obligación legal de rediseño y simplificación de los procedimientos administrativos contemplada en el art. 34 LAE no tiene carácter básico, es decir, sólo se aplica en la Administración General del Estado.

En última instancia, ¿qué sucedería si una Administración Pública, llegada la fatídica fecha del 1 de enero de 2010, no permitiera a los ciudadanos el ejercicio de sus derechos por medios electrónicos? Pues seguramente no gran cosa, a menos que se decida a interponer un recurso judicial y logre convencer a su señoría que realmente tiene un derecho y que, a pesar de su insuficiente configuración legal, la Administración en cuestión no puede alegar que carece de disponibilidades presupuestarias suficientes. Quizás, teniendo en cuenta la precariedad electrónica de los juzgados y tribunales, lo máximo que pueda obtener por esta vía es una sonrisa "judicial" en lugar de una sentencia estimatoria....

En fin, que el DNI electrónico sólo es una herramienta y en modo alguno la panacea para la modernización tecnológica de la Administración española, sobre todo cuando hasta ahora hemos podido utilizar muchas otras herramientas de identificación y autenticación electrónicas, tanto públicas como privadas, fundamentalmente para pagar a Hacienda...