Categoría: Judicial

de seguridad nacional de forma cautelar por el tiempo estrictamente indispensable para su preservación.
Ya hemos expuesto que no procede aquí examinar la conformidad o no del precepto estatal con el Derecho de la Unión Europea, lo que, pese a lo alegado por las partes, nos exime de valorar la regulación cuestionada a la luz de lo dispuesto por el Reglamento general de protección de datos, pues el Derecho de la Unión Europea no es en sí mismo canon o parámetro directo de constitucionalidad [STC 152/2020, de 22 de octubre, FJ 2 b) y las que cita], especialmente cuando el motivo de inconstitucionalidad que pretende hacerse valer atañe a la vulneración de las reglas constitucionales y estatutarias de distribución de competencias. El Derecho de la Unión Europea no altera el orden constitucional y estatutario de reparto de competencias entre el Estado y las comunidades autónomas (por todas, STC 45/2001, de 15 de febrero, FJ 7), por lo que la ejecución del Derecho europeo presenta carácter neutro en cuanto que no «predetermina el reparto de competencias dentro de nuestro ordenamiento interno» (STC 100/2019, de 18 de julio, FJ 5).
Atendiendo a las reglas de reparto competencial, puede, en principio, considerarse que la regulación del art. 155 de la Ley 40/2015 tiene amparo en las competencias estatales en materia de régimen jurídico de las administraciones públicas del art. 149.1.18 CE, en cuanto contribuye a determinar las garantías en torno a los datos de los ciudadanos cuando son objeto de transmisión o cesión entre las respectivas administraciones públicas, con la doble finalidad de facilitar el ejercicio de las funciones y competencias propias de aquellas y, al propio tiempo, asegurar los derechos de los administrados en este concreto ámbito material.
Sin embargo, la concreta excepción aquí discutida encuentra su fundamento, conforme al tenor del precepto, en consideraciones basadas únicamente en la preservación de la seguridad nacional, lo que enlaza con las competencias estatales exclusivas del art. 149.1.4 y 29 CE (STC 184/2016, de 3 de noviembre, FJ 3). Se trata de una medida de prevención que tiene por finalidad proporcionar al Estado capacidad de reacción ante situaciones que afectan a esa seguridad nacional, de indudable responsabilidad estatal. Atendiendo a las anteriores consideraciones, no cabe poner en duda la competencia estatal para realizar la actuación en cuestión, justificándose en el ejercicio de atribuciones propias relacionadas con la preservación de un ámbito de responsabilidad estatal, como es la seguridad nacional en el entorno de la sociedad de la información y de las nuevas tecnologías de la comunicación (STC 142/2018, FJ 4), sin que ello suponga una alteración del esquema competencial, ni tampoco, por la misma razón, el establecimiento de un inconstitucional mecanismo de tutela sobre la actuación autonómica, extremo en el que la recurrente ha centrado sus quejas.
Por otro lado, la excepción, fundada en motivos de seguridad nacional, al régimen general de comunicación de datos entre administraciones públicas no es incondicionada, sino que incorpora una serie de cautelas o garantías que contribuyen a delimitar su ejercicio. Por un lado, esta potestad de suspensión de la cesión de datos tiene carácter excepcional y se adopta de manera motivada y por el tiempo estrictamente indispensable para la preservación de la seguridad nacional. Por otro, atendiendo a su ubicación sistemática, no puede aplicarse a los supuestos en que el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales esté previsto en una norma con rango de ley, de conformidad con lo dispuesto en el art. 23.1 RGPD al que remite el precepto, esto es, cuando se fundamenta en una «medida necesaria y proporcional en una sociedad democrática» para salvaguardar fines como la seguridad del Estado; la defensa; la seguridad pública; la prevención, investigación, detección o enjuiciamiento de infracciones penales o la ejecución de sanciones penales incluida la protección frente a amenazas a la seguridad pública y su prevención; otros objetivos importantes de interés público general de la Unión o de un Estado miembro, en particular un interés económico o financiero importante de la Unión o de un Estado miembro, inclusive en los ámbitos fiscal, presupuestario y monetario, la sanidad pública y la seguridad social; la protección de la independencia judicial y de los procedimientos judiciales; la prevención, la investigación, la detección y el enjuiciamiento de infracciones de normas deontológicas en las profesiones reguladas; la supervisión, inspección o reglamentación vinculada, incluso ocasionalmente, con el ejercicio de la autoridad pública; la protección del interesado o de los derechos y libertades de otros y la ejecución de demandas civiles.
Procede, por tanto, desestimar la impugnación.
6. Quejas competenciales en relación con la modificación de la Ley 9/2014, de 9 de mayo, general de telecomunicaciones.
(i) El art. 6.2 introduce un nuevo apartado tercero en el art. 6 LGTel, que queda redactado como sigue:
«Las administraciones públicas deberán comunicar al Ministerio de Economía y Empresa todo proyecto de instalación o explotación de redes de comunicaciones electrónicas en régimen de autoprestación que haga uso del dominio público, tanto si dicha instalación o explotación vaya a realizarse de manera directa, a través de cualquier entidad o sociedad dependiente de ella o a través de cualquier entidad o sociedad a la que se le haya otorgado una concesión o habilitación al efecto.
El régimen de autoprestación en la instalación o explotación de dicha red puede ser total o parcial, y por tanto dicha comunicación deberá efectuarse aun cuando la capacidad excedentaria de la citada red pueda utilizarse para su explotación por terceros o para la prestación de servicios de comunicaciones electrónicas disponibles al público.
En el caso de que se utilice o esté previsto utilizar, directamente por la administración pública o por terceros, la capacidad excedentaria de estas redes de comunicaciones electrónicas en régimen de autoprestación, el Ministerio de Economía y Empresa verificará el cumplimiento de lo previsto en el artículo 9. A tal efecto, la administración pública deberá proporcionar al Ministerio de Economía y Empresa toda la información que le sea requerida a efecto de verificar dicho cumplimiento.
La obligación establecida en este apartado se entiende sin perjuicio de la prevista en el artículo 7.3 de esta ley.»
Relacionada con la anterior se encuentra la disposición adicional única que prevé que la comunicación de las redes de comunicaciones electrónicas en régimen de autoprestación que hagan uso del dominio público que hayan sido instaladas o estén en proceso de instalación o explotación se lleve a cabo en el plazo de un mes contado a partir de la entrada en vigor del Real Decreto-ley 14/2019.
Según la demanda, la obligación de comunicar al Ministerio de Economía y Empresa las redes de comunicaciones en régimen de autoprestación de la Generalitat de Cataluña que hagan uso del dominio público es una medida redundante, en cuanto referida a un ámbito en el que la administración del Estado ya dispone de suficiente información, ya que esta obligación se añade a la ya existente de notificación al registro de operadores prevista en aquel momento en el art. 7.3 LGTel y al amplio elenco de obligaciones informativas que pesan sobre quienes exploten redes o presten servicios de comunicaciones electrónicas, conforme al art. 10 LGTel. Se considera, además, que incorpora un mecanismo de control inconstitucional y extralimita las competencias estatales del art. 149.1.21 CE, vulnerando la potestad de autoorganización autonómica. El abogado del Estado sostiene que una obligación de mera comunicación no puede vulnerar la competencia autonómica de autoorganización. El único fin de la norma es garantizar que el uso del excedente de redes en autoprestación no dé lugar a distorsiones en la competencia que puedan contravenir el Derecho de la Unión Europea por el que deba responder el Reino de España.
La adecuada comprensión del precepto impugnado requiere hacer una referencia al régimen de la Ley 11/2022, general de telecomunicaciones, en punto a la actuación de las administraciones públicas en esta materia.
La Ley 11/2022 contiene el régimen jurídico que regula la explotación de redes y prestación de servicios de comunicaciones electrónicas en régimen de libre competencia, diferenciando entre las redes y servicios que se explotan a terceros («al público») y las actividades de telecomunicaciones que se sujetan al régimen de autoprestación. Al respecto, la mencionada ley prevé dos tipos de intervenciones de las administraciones públicas en el ámbito de las comunicaciones electrónicas: por una parte, la instalación y explotación de redes públicas o la prestación de servicios de comunicaciones electrónicas en régimen de prestación a terceros por operadores controlados directa o indirectamente por administraciones públicas y, por otra parte, las actuaciones en régimen de autoprestación.
El primer supuesto es el previsto en el art. 13 de la Ley 11/2022 en el que la actividad «se realizará dando cumplimiento al principio de inversor privado, con la debida separación de cuentas, con arreglo a los principios de neutralidad, transparencia, no distorsión de la competencia y no discriminación, y cumpliendo con la normativa sobre ayudas de Estado a que se refieren los artículos 107 y 108 del Tratado de Funcionamiento de la Unión Europea» (art. 13.2 LGTel), actividad que está sometida a la previa comunicación al registro de operadores previsto en el art. 7 de la Ley 11/2022.
En el caso de autoprestación, esto es, «la explotación de redes y la prestación de servicios de comunicaciones electrónicas por una administración pública para la satisfacción de sus necesidades, esto es, las vinculadas al desempeño de las funciones propias del personal al servicio de la administración pública de que se trate y que contribuyan al cumplimiento de los fines que le son propios» (Circular 1/2010, de la Comisión del Mercado de las Telecomunicaciones, por la que se regulan las condiciones de explotación de redes y la prestación de servicios de comunicaciones electrónicas por las administraciones públicas, publicada en el «Boletín Oficial del Estado» de 9 de agosto de 2010), la administración pública no está sometida al régimen general de libre competencia que, en cuanto que deriva del art. 5 de la Ley 11/2022, es inherente a la explotación de redes y a la prestación de servicios de comunicaciones electrónicas.
A las anteriores obligaciones, se añade ahora el deber de comunicar al Ministerio de Asuntos Económicos y Transformación Digital el proyecto de instalación o explotación de redes en régimen de autoprestación que hagan uso del dominio público, tanto si la actividad se realiza de forma directa como indirecta. Asimismo, se dispone que, en caso de que la citada red de comunicaciones electrónicas en régimen de autoprestación tenga capacidad excedentaria, pueda usarse para su explotación por terceros o para la prestación de servicios de comunicaciones electrónicas disponibles al público, el citado Ministerio verifique el cumplimiento de lo previsto en el art. 13 LGTel.
Señalado todo lo anterior, estamos ya en condiciones de abordar el enjuiciamiento de ambas disposiciones, comenzando por su encuadramiento competencial. Al respecto el Real Decreto-ley 14/2019, las considera dictadas al amparo de la competencia estatal del art. 149.1.21 CE en materia de régimen general de comunicaciones (disposición final primera.4).
A la vista del contenido y finalidad de ambos preceptos, es preciso convenir en que se trata de una materia que incide en el régimen de explotación de las redes y de prestación de los servicios de comunicaciones electrónicas, inserto en la materia del régimen general de comunicaciones (STC 8/2012, de 18 de enero, FJ 7), sobre la que corresponde al Estado la totalidad de la competencia normativaexartículo 149.1.21, e incluso la función ejecutiva necesaria para configurar un sistema materialmente unitario [por todas, STC 142/2018, de 20 de diciembre, FJ 6 b)]. El apartado 7 del art. 140 EAC atribuye a la Generalitat «de acuerdo con la normativa del Estado, la competencia ejecutiva en materia de comunicaciones electrónicas», citando a continuación las potestades que incluye, potestades que la doctrina constitucional ha relacionado preferentemente con la materia relativa a los medios de comunicación social. Dicha competencia no puede menoscabar ni perturbar la competencia estatal en materia de régimen general de comunicaciones que tiene por objeto ordenar normativamente y asegurar la efectividad de las comunicaciones, ni tampoco la dimensión técnica vinculada al uso del dominio público radioeléctrico que está en manos del Estado, que es su titular (art. 149.1.21 CE; STC 31/2010, de 28 de junio, FJ 85).
En particular, la STC 8/2016, de 21 de enero, FJ 3, ya destacó que «el Estado es competente, en exclusiva, para: a) la caracterización del sector (mercado) de las telecomunicaciones —actualmente, definidas como servicios de interés general que se prestan en régimen de libre competencia (arts. 2 y 5 de la Ley general de telecomunicaciones) frente a su tradicional consideración de servicio público—; b) el establecimiento de las condiciones de explotación de las redes y de prestación de servicios de comunicaciones electrónicas así como el régimen jurídico de los operadores (STC 8/2012, FJ 7)», señalando posteriormente que «[s]e trata, en definitiva, de la atribución al Estado de la competencia para definir los elementos estructurales del sector a través tanto del establecimiento del marco institucional del mercado (regulación de la competencia) como de la intervención en los procesos del propio mercado (obligaciones de hacer o no hacer de los operadores del sector, en el ámbito del acceso a redes, interconexión o garantía de cobertura, por ejemplo».
Atendiendo a la doctrina que se acaba de exponer, no cabe apreciar el reproche competencial que se formula a los preceptos impugnados, pues esta exigencia de información se justifica en las competencias estatales en la materia, sin que implique una supervisión de la actuación autonómica incompatible con su autonomía. Lejos de establecer fórmula alguna de control o supervisión, el precepto impugnado regula un mecanismo de suministro de información que se incardina con naturalidad en el marco de la colaboración y la lealtad institucional, implícitos en el correcto funcionamiento del sistema autonómico.
Estos mecanismos se justifican desde un doble punto de vista.
En primer término, la obligación de remisión de la información necesaria para el ejercicio de las competencias propias es un medio válido de cooperación entre administraciones públicas. Téngase en cuenta, además, que según el art. 142 de la Ley 40/2015, el deber de colaboración puede hacerse efectivo, entre otras, a través de la técnica del suministro de información, datos, documentos o medios probatorios que se hallen a disposición del organismo público o la entidad al que se dirige la solicitud y que la administración solicitante precise disponer para el ejercicio de sus competencias.
Más específicamente, esta comunicación permite, en última instancia, asegurar el cumplimiento de los requisitos para el uso de la capacidad excedentaria de estas redes, requisitos que los cuales tienen como finalidad salvaguardar los principios de inversor privado, neutralidad, transparencia, no distorsión de la competencia y no discriminación propios de un mercado liberalizado como es el de las telecomunicaciones, pero con fuerte intervención pública. Así pues, la verificación a la que se alude en el precepto tiene que ver, como así lo expresa con su referencia al art. 13 LGTel, con la necesidad de asegurar el respeto a las normas aplicables a la explotación de redes y de servicios de comunicaciones electrónicas en régimen de prestación a terceros por parte de las administraciones públicas y, por lo tanto, a través de operadores controlados por estas.
Como resaltó la STC 8/2016, FJ 6, el Estado, en ejercicio de la competencia exclusiva que le otorga el art.149.1.21 CE para regular las condiciones de explotación de redes y prestación de servicios, ha decidido caracterizarlo como un sector abierto a la libre competencia cuyas particulares características, sin embargo, determinan no solo una regulación más intensa por parte de los poderes públicos, sino también la posibilidad de establecer excepciones a aquel principio. Entre tales excepciones está la posibilidad de la instalación y explotación de redes públicas y prestación de servicios de comunicaciones electrónicas por operadores controlados directa e indirectamente por las administraciones públicas, excepción que también implica la de definir los servicios cuya prestación por los poderes públicos no supone una distorsión de la libre competencia del sector y que justifica la tarea de verificación que aquí se ha discutido. Tampoco se impide con ello que la comunidad autónoma, en su ámbito de competencias, pueda adoptar las medidas que considere adecuadas para garantizar la prestación de los servicios y las redes de comunicación electrónicas que sean de su responsabilidad.
En suma, por todo lo expuesto, esta impugnación debe ser desestimada.
(ii) b) El art. 6.5 da nueva redacción al apartado 1 del art. 81 LGTel que queda redactado en los términos siguientes:
«1. Previamente al inicio del procedimiento sancionador, podrá ordenarse por el órgano competente del Ministerio de Economía y Empresa, mediante resolución sin audiencia previa, el cese de la presunta actividad infractora cuando existan razones de imperiosa urgencia basada en alguno de los siguientes supuestos:
a) Cuando exista una amenaza inmediata y grave para el orden público, la seguridad pública o la seguridad nacional.
b) Cuando exista una amenaza inmediata y grave para la salud pública.
c) Cuando de la supuesta actividad infractora puedan producirse perjuicios graves al funcionamiento de los servicios de seguridad pública, protección civil y de emergencias.
d) Cuando se interfiera gravemente a otros servicios o redes de comunicaciones electrónicas.
e) Cuando cree graves problemas económicos u operativos a otros proveedores o usuarios de redes o servicios de comunicaciones electrónicas o demás usuarios del espectro radioeléctrico.»
La demanda argumenta que la medida cautelar consistente en el cese de la actividad presuntamente infractora, antes de iniciar un procedimiento sancionador, es contraria a las competencias autonómicas en materia de comunicaciones electrónicas del art. 140.7 EAC, así como a las relativas a la organización de sus propios recursos en materia de administración electrónica derivadas de los arts. 150 y 159 EAC. Se incide con esta previsión en el control de las infraestructuras de comunicación que la administración de la Generalitat de Cataluña utiliza para la prestación de las comunicaciones corporativas dentro del ámbito de sus competencias, constituyendo una intromisión en el ámbito de la ejecución de la infraestructura digital de la administración.
El abogado del Estado defiende que la modificación que se introduce en el art. 81.1 LGTel no tiene otro objetivo que reforzar las potestades del Gobierno para actuar en situaciones que puedan suponer una amenaza inmediata y grave para el orden público, la seguridad, la seguridad nacional o la salud pública y para ello amplía los supuestos habilitantes para la adopción de una medida cautelarísima previa al inicio del expediente sancionador sin audiencia del presunto infractor. Este instrumento y los supuestos habilitantes existen en todo ordenamiento jurídico y, en particular, en el art. 30.6 del Código europeo de las comunicaciones electrónicas. Y, todo ello, sin que se afecte a las garantías que la propia LGTel y la Ley 39/2015 otorgan al presunto infractor, ni altere el régimen de responsabilidad previsto en la Ley general de telecomunicaciones, ya se trate de un operador público o privado o de cualquier otro sujeto obligado a respetar lo establecido en la normativa de telecomunicaciones.
Pues, bien, la queja competencial, la única a la que nos referiremos por las razones expuestas en el fundamento jurídico 2, no puede prosperar. Se integra en la materia de telecomunicaciones y de régimen general de comunicaciones (y corresponde, por tanto, al Estado la competencia exclusiva conforme al art. 149.1.21 CE) la conformación, regulación o configuración del propio sector, en el que se incluye el establecimiento de las condiciones de explotación de las redes y de prestación de servicios de comunicaciones electrónicas, así como el régimen jurídico de los operadores (STC 8/2016, citando la STC 8/2012, de 18 de enero, FJ 7).
Por otro lado, ha de recordarse el carácter instrumental de la potestad sancionadora respecto a la competencia material de manera que la titularidad de la potestad sancionadora va ligada a la competencia sustantiva de que se trate (STC 34/2013, de 14 de febrero, FJ 19, entre muchas otras). Por ello, el titular de la competencia sustantiva lo es también de las potestades de naturaleza ejecutiva referidas a la inspección, vigilancia y control, a la adopción de medidas provisionales y a la instrucción de expedientes sancionadores; de esta suerte, al Estado le corresponde definir el régimen sancionador aplicable a la explotación de las redes y la prestación de los servicios de comunicaciones electrónicas y los recursos asociados (art. 1.1 LGTel), determinando a quién corresponde la responsabilidad por las infracciones en materia de telecomunicaciones (art. 74 LGTel), tipificando las conductas (arts. 76 a 78 LGTel) y las sanciones correspondientes (arts. 79 y 80 LGTel). No hay, por tanto, previsión alguna de control de las infraestructuras de comunicaciones de competencia de la Generalidad de Cataluña, sin que la demanda tampoco explicite el modo en que el ejercicio de esas competencias sancionadoras puede suponer un control inconstitucional susceptible de afectar a la explotación de redes y prestación de servicios que, en régimen de autoprestación, realice la comunidad autónoma. Y tampoco se vulnera el art. 140.7 EAC, por cuanto ya tenemos declarado que «dicha competencia no puede menoscabar ni perturbar la competencia estatal en materia de régimen general de comunicaciones que tiene por objeto ordenar normativamente y asegurar la efectividad de las comunicaciones, ni tampoco la dimensión técnica vinculada al uso del dominio público radioeléctrico que está en manos del Estado, que es su titular (art. 149.1.21 CE; STC 31/2010, de 28 de junio, FJ 85)» (STC 142/2018, FJ 6).
Por tanto, esta impugnación ha de ser desestimada.
(iii) El art 7 del Real Decreto-ley 14/2019 modifica el Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información, introduciendo un apartado 3 en el art. 11 del siguiente tenor literal:
«El Centro Criptológico Nacional (CCN) ejercerá la coordinación nacional de la respuesta técnica de los equipos de respuesta a incidentes de seguridad informática (CSIRT) en materia de seguridad de las redes y sistemas de información del sector público comprendido en la Ley 39/2015, de 1 de octubre, del procedimiento administrativo común de las administraciones públicas, y en la Ley 40/2015, de 1 de octubre, de régimen jurídico del sector público.
Los CSIRT de las administraciones públicas consultarán, cuando proceda, con los órganos con competencias en materia de seguridad nacional, seguridad pública, seguridad ciudadana y protección de datos de carácter personal y colaborarán con ellos en el ejercicio de sus respectivas funciones.
El CCN ejercerá la función de enlace para garantizar la cooperación transfronteriza de los CSIRT de las administraciones públicas con los CSIRT internacionales, en la respuesta a los incidentes y gestión de riesgos de seguridad que les correspondan.»
En la demanda se argumenta que este precepto desconoce las competencias autonómicas en relación con los incidentes de seguridad que se refieran a servicios en el ámbito de competencias autonómico, con lo que se vulneran los arts. 150 y 159 EAC y se desconoce la doctrina de la STC 142/2018, de 20 de diciembre, en relación a la Agencia Catalana de Ciberseguridad. El abogado del Estado ha negado la vulneración denunciada señalando que esta coordinación ya se establecía tanto en el Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información, como en el esquema nacional de seguridad en la administración electrónica aprobado en el año 2010, lo que encuentra justificación en las competencias exclusivas en materia de comunicaciones (art. 149.1.21 CE) y de seguridad pública (art. 149.1.29 CE), sin que menoscabe las competencias autonómicas para crear centros de soporte ante incidentes en el ámbito de su sector público.
El Real Decreto-ley 12/2018 ahora modificado tiene, entre otros objetivos, el de trasponer al derecho español la Directiva (UE) 2016/1148, del Parlamento Europeo y del Consejo, de 6 de julio de 2016, relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión (Directiva NIS, por las siglasNetwork and Information Systems). Esta norma persigue regular la seguridad de las redes y sistemas de información utilizados para la provisión de los servicios esenciales y de los servicios digitales y establecer un sistema de notificación de incidentes. Además, establece un marco institucional para su aplicación y la coordinación entre autoridades competentes y con los órganos de cooperación relevantes en el ámbito comunitario. El real decreto-ley se aplica a los servicios esenciales dependientes de las redes y sistemas de información comprendidos en los sectores estratégicos definidos en el anexo de la Ley 8/2011, así como a los servicios de la sociedad de la información en el sentido recogido en la letra a) del anexo de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico. La norma identifica los sectores en los que es necesario garantizar la protección de las redes y sistemas de información, y establece procedimientos para identificar los servicios esenciales ofrecidos en dichos sectores, así como los principales operadores que prestan dichos servicios.
Conforme a su art. 1, tiene por objeto regular la seguridad de las redes y sistemas de información utilizados para la provisión de los servicios esenciales y de los servicios digitales, y establecer un sistema de notificación de incidentes. En lo que a esto último respecta, desarrolla la red CSIRT (por sus siglas en inglés deComputer Security Incident Response Team) creada por la Directiva NIS, definiendo a dichos organismos como los equipos de respuesta a incidentes que analizan riesgos y supervisan incidentes a escala nacional (definido como suceso inesperado o no deseado con consecuencias en detrimento de la seguridad de las redes y sistemas de información), difunden alertas sobre ellos y aportan soluciones para mitigar sus efectos (arts. 11 y 12). El art. 11.1 a) 1 del Real Decreto-ley 12/2018 declara que tiene la condición de CSIRT de referencia en materia de seguridad de las redes y sistemas de información respecto de la comunidad constituida por las entidades públicas incluidas en el ámbito de aplicación de la Ley 40/2015, el Centro Criptológico Nacional [CCN-CERT (Computer Emergency Response Team)] —que fue creado por el Real Decreto 421/2004, de 12 de marzo— adscrito al Centro Nacional de Inteligencia (Ley 11/2002, de 6 de mayo).
De lo expuesto se deduce que, en lo que resulta de relevancia para el presente proceso, los CSIRT son los responsables del desarrollo de las medidas preventivas y reactivas ante incidentes de seguridad en los sistemas de información y telecomunicaciones de los que se sirvan las administraciones públicas para así garantizar la seguridad de los sistemas de las tecnologías de la información que emplean.
El precepto impugnado atribuye al Centro Criptológico Nacional la coordinación estatal de todas las autoridades o equipos de respuesta a incidentes de seguridad informática (CSIRT) en materia de seguridad de las redes y sistemas de información. Adicionalmente, obliga a todos los CSIRT de las administraciones públicas a colaborar en el ejercicio de las funciones respectivas y a consultar, cuando proceda, a los órganos con competencias en materia de seguridad nacional, seguridad pública, seguridad ciudadana y protección de datos de carácter personal. Finalmente, atribuye al Centro Criptológico Nacional la función de enlace para garantizar la cooperación transfronteriza de los CSIRT de las administraciones públicas con los CSIRT internacionales, cuando se trate de la respuesta a los incidentes y la gestión de los riesgos de seguridad que les corresponden.
Es, por tanto, evidente, la relación que el precepto impugnado guarda con la materia ciberseguridad, respecto a la que nos pronunciamos en la ya citada STC 142/2018. Tal como allí se declaró «[l]a ciberseguridad, como sinónimo de la seguridad en la red, es una actividad que se integra en la seguridad pública, así como en las telecomunicaciones. A partir de su conceptuación como conjunto de mecanismos dirigidos a la protección de las infraestructuras informáticas y de la información digital que albergan, fácilmente se infiere que, en tanto que dedicada a la seguridad de las tecnologías de la información, presenta un componente tuitivo que se proyecta específicamente sobre el concreto ámbito de la protección de las redes y sistemas de información que utilizan los ciudadanos, empresas y administraciones públicas. El uso cotidiano de las tecnologías de la información y la comunicación ha provocado que se conviertan en un elemento esencial para el desarrollo económico y las relaciones sociales. No obstante, es también un hecho constatado que las amenazas a la seguridad de la red comportan un riesgo que afecta a los ámbitos más diversos, por cuanto pueden afectar a la disponibilidad, integridad y confidencialidad de la información» (FJ 4). También señalamos que «la ciberseguridad no es un concepto o materia reconducible a un único título competencial. Puede, como allí se recalca, identificarse con la seguridad nacional o con la seguridad pública cuando se trata de la protección ordinaria de las redes y las infraestructuras de telecomunicaciones. Pero también puede proyectarse sobre otros planos, como es el caso de la administración electrónica, que abarca la organización de medios y previsión de medidas de protección de la administración y, por extensión, la protección de los derechos de los ciudadanos cuando se relacionan con la administración por medios electrónicos» (FJ 5).
Constatamos así, el carácter «transversal e interconectado de las tecnologías de la información y las comunicaciones y de su conceptuación como conjunto de mecanismos dirigidos a la protección de las infraestructuras informáticas y de la información digital que albergan los sistemas interconectados» (STC 142/2018, FJ 5), lo que, a su vez, determinaba dos consecuencias. La primera, su encuadramiento material en el ámbito de las competencias estatales en materia de seguridad pública en relación con las relativas a las telecomunicaciones y a la seguridad nacional. La segunda era que, a partir del respeto a dichas competencias estatales a las que se acaba de hacer mención, las diferentes administraciones públicas son competentes para la adopción de medidas de autoprotección en relación con sus infraestructuras y la seguridad de las tecnologías de la información y la comunicación, en la medida en que, como ya se ha mencionado, el diseño, creación y mantenimiento de «servicios de administración electrónica» es un aspecto central de la «potestad de autoorganización» inherente a la autonomía (STC 111/2016, de 9 de junio, FJ 11).
A la vista de la delimitación competencial en la materia, debe examinarse el precepto impugnado empezando por la función de coordinación nacional que asume el Centro Criptológico Nacional.
Respecto a la función de coordinación, la doctrina constitucional tiene declarado que «la coordinación persigue la integración de la diversidad de las partes o subsistemas en el conjunto o sistema, evitando contradicciones y reduciendo disfunciones que, de subsistir, impedirían o dificultarían respectivamente la realidad misma del sistema» (STC 33/2017, de 1 de marzo, FJ 4). La coordinación estatal sirve así para garantizar que no haya disfunciones, y «“presupone la existencia de competencias de las Comunidades Autónomas que deben ser coordinadas, y que el Estado debe respetar al desarrollar su función de coordinación […] la competencia de coordinación no otorga a su titular competencias que no ostente, especialmente facultades de gestión complementarias, de suerte que, implicando lógicamente su ejercicio la existencia de competencias autonómicas que deben ser coordinadas, en ningún caso puede aquel suponer la invasión y el vaciamiento de las mismas (STC 194/2004, FJ 8). En definitiva, la competencia en materia de coordinación no autoriza al Estado “para atraer hacia su órbita de actividad cualquier competencia de las Comunidades Autónomas por el mero hecho de que su ejercicio pueda incidir en el desarrollo de las competencias estatales sobre determinadas materias. La coordinación no supone “una sustracción o menoscabo de las competencias de las entidades sometidas a la misma: antes bien, presupone, lógicamente, la titularidad de las competencias en favor de la entidad coordinada” (STC 27/1987, de 27 de febrero); por lo que no puede servir de instrumento para asumir competencias autonómicas, ni siquiera respecto de una parte del objeto material sobre el que recaen” [STC 227/1988, de 29 de noviembre, FJ 20 e)]” (FJ 9)» [STC 71/2018, de 21 de junio, FJ 3 b)].
Conforme a dicha doctrina, ninguna objeción cabe formular al hecho de que la función de coordinación sea ejercida por un órgano estatal, sin que con ello se produzca detrimento o menoscabo de las competencias autonómicas. Esta previsión tampoco desconoce la doctrina de la STC 142/2018, por cuanto la atribución de dicha función coordinadora al órgano estatal en nada afecta a las competencias autonómicas, delimitadas en los términos que allí se expusieron, sino que responde a la necesidad de un funcionamiento armonizado del conjunto de instrumentos y mecanismos para la prevención y respuesta de los incidentes de seguridad en las redes.
Ningún reproche cabe formular tampoco al mecanismo de consulta al que alude el segundo párrafo del precepto impugnado, en tanto que manifestación de los principios de colaboración y cooperación que han de regir en las relaciones entre las administraciones públicas. No en vano el principio de cooperación entre el Estado y las Comunidades Autónomas está implícito en el correcto funcionamiento del Estado de las Autonomías; depende en buena medida de la estricta sujeción de uno y otras a las fórmulas racionales de cooperación, consulta, participación, coordinación, concertación o acuerdo previstas en la Constitución y en los estatutos de autonomía (por todas, STC 109/2017, de 21 de septiembre, FJ 4), sin que, tal como se diseña, presente el riesgo de usarse para «eludir responsabilidades propias ni para ejercer las competencias que el sistema constitucional ha atribuido a otras Administraciones» (STC 132/2018, de 13 de diciembre, FJ 10). Así pues, esta posibilidad de consulta («cuando proceda»), dirigido indistintamente a los CIRST de todas las administraciones públicas, respecto a los órganos con competencias específicas en materia de seguridad nacional, seguridad pública, seguridad ciudadana y protección de datos de carácter personal y de colaborar con ellos en el ejercicio de sus respectivas funciones, es conforme con el orden competencial.
Por último, la función de enlace atribuida al Centro Criptológico Nacional lo es para garantizar la cooperación transfronteriza con los CIRST internacionales lo que pone de relieve su vinculación con la competencia estatal del art. 149.1.3 CE, en relación con las competencias estatales en materia de ciberseguridad. Por otra parte, responde a una de las exigencias de la Directiva NIS, (art. 8.3 y 4) en cuanto que esta norma exige a cada Estado miembro la designación de un único punto de contacto en materia de seguridad de las redes y sistemas de información para garantizar la cooperación transfronteriza entre las autoridades de los estados miembros y con las autoridades competentes en otros estados miembros y con el grupo de cooperación y la red de CSIRT.
Respecto a esto último es preciso también recordar la consolidada doctrina según la cual «en el ámbito de la resolución de disputas competenciales, bien sea en conflictos de competencias o en procesos de inconstitucionalidad, el hecho de que una competencia suponga ejecución del Derecho comunitario no prejuzga cuál sea la instancia territorial a la que corresponda su ejercicio, porque ni la Constitución ni los estatutos de autonomía prevén una competencia específica para la ejecución del Derecho comunitario; si bien tampoco cabe ignorar la necesidad de proporcionar al Gobierno los instrumentos indispensables para desempeñar la función que le atribuye el artículo 93 CE […] esto es, para adoptar las medidas necesarias a fin de garantizar el cumplimiento de las resoluciones de los organismos internacionales en cuyo favor se han cedido competencias (del Derecho derivado europeo, en lo que ahora interesa), función que solo una interpretación inadecuada de los preceptos constitucionales y estatutarios puede obstaculizar» [STC 69/2018, de 21 de junio, FJ 5 c)].
Consecuentemente, la impugnación del art. 7 del Real Decreto-ley 14/2019 debe ser desestimada.
7. Desestimación de la impugnación de la disposición final primera del Real Decreto-ley 14/2019.
La disposición final primera explicita los títulos competenciales estatales que prestan amparo a las distintas regulaciones incluidas en el Real Decreto-ley 14/2019. Su impugnación no es autónoma. La demanda fundamenta el reproche competencial simplemente en la conexión que la referida disposición tiene con el resto de los contenidos impugnados del Real Decreto-ley 14/2019 por razones competenciales. De modo que la desestimación de las anteriores impugnaciones lleva consigo la de la disposición final primera (en el mismo sentido, entre otras, STC 101/2017, de 20 de julio, FJ 11).
En atención a todo lo expuesto, el Tribunal Constitucional, por la autoridad que le confiere la Constitución de la Nación española, ha decidido:
1.º Declarar extinguido, por pérdida sobrevenida del objeto, el presente recurso de inconstitucionalidad núm. 718-2020, interpuesto por el Gobierno de la Generalitat de Cataluña contra el Real Decreto-ley 14/2019, de 31 de octubre, por el que se adoptan medidas urgentes por razones de seguridad pública en materia de administración digital, contratación del sector público y telecomunicaciones, en relación con el art. 3.1 y 2 (respecto de la modificación de los arts. 9.2 c) y 10.2 c) de la Ley 39/2015, de 1 de octubre, del procedimiento administrativo común de las administraciones públicas); en relación con el art. 6.1 (que modifica el art. 4.6 de la Ley 9/2014, de 9 de mayo, general de telecomunicaciones); y en relación con el art. 6.5 (que da nueva redacción al art. 81.1 de la Ley general de telecomunicaciones).
2.º Desestimar el recurso en todo lo demás.
Publíquese esta sentencia en el «Boletín Oficial del Estado».
Dada en Madrid, a veintitrés de febrero de dos mil veintitrés.–Cándido Conde-Pumpido Tourón.–Inmaculada Montalbán Soto.–Ricardo Enríquez Hidalgo Luisa Balaguer Rivera Vázquez Valcárcel.–Enrique Arnaldo Alcubilla.–Concepción Hernández Jorquera.–María Suárez Segoviano Rivera Marín Tribiño.–Laura Díez Bueso.–Firmado y rubricado.