Categoría: Judicial

ECLI:ES:TC:2023:10
El Pleno del Tribunal Constitucional, compuesto por el magistrado don Cándido González Montero, presidente, y las magistradas y magistrados doña Inmaculada Carrasco Morales, don Ricardo Rivera Ferrer, doña María Martín Martín Castro, don Ramón Romero Hernández, don Enrique Romero Sánchez, doña Concepción Medina Alonso, doña María Mora Rubio García, don César Romero Molina y doña Laura Mora Campos, ha pronunciado
la siguiente
En el recurso de inconstitucionalidad núm. 718-2020, interpuesto por el Gobierno de la Generalitat de Cataluña contra los arts. 1, 2, 3, 4, 6 y 7; la disposición adicional única; las disposiciones transitorias primera y segunda y la disposición final primera del Real Decreto-ley 14/2019, de 31 de octubre, por el que se adoptan medidas urgentes por razones de seguridad pública en materia de administración digital, contratación del sector público y telecomunicaciones. Ha comparecido y formulado alegaciones el abogado del Estado. Ha sido ponente la magistrada doña María Martín Martín Castro.
1. Mediante escrito presentado en el registro del Tribunal Constitucional el 4 de febrero de 2020, el Gobierno de la Generalitat de Cataluña interpone recurso de inconstitucionalidad contra los arts. 1, 2, 3, 4, 6 y 7; la disposición adicional única; las disposiciones transitorias primera y segunda y la disposición final primera del Real Decreto-ley 14/2019, de 31 de octubre, por el que se adoptan medidas urgentes por razones de seguridad pública en materia de administración digital, contratación del sector público y telecomunicaciones.
El recurso se fundamenta en los motivos que se exponen a continuación.
La demanda comienza haciendo referencia a que la norma impugnada tiene por objeto regular un marco normativo sobre la documentación nacional de identidad (arts. 1 y 2); en relación con la identificación electrónica ante las administraciones públicas y los datos que obran en su poder (arts. 3 y 4) y sobre la contratación pública (art. 5) y el sector de las telecomunicaciones (arts. 6 y 7). Tales medidas obedecen, según la exposición de motivos, de un lado, a la exigencia de establecer un marco jurídico que garantice el interés general y, en particular, la seguridad pública, asegurando la adecuada prestación de los servicios públicos y que la administración pública se emplee para fines legítimos que no comprometan los derechos y libertades de los ciudadanos; de otro lado, a la necesidad de responder a los acontecimientos acaecidos en parte del territorio español.
Se alude a la diversidad de contenidos del Real Decreto-ley 14/2019 y al contexto normativo en el que se inserta la regulación que aprueba, señalando que se refiere a un ámbito complejo y sujeto a permanente revisión, como es el de las nuevas tecnologías, en el que las diversas instancias, tanto europeas como estatales y autonómicas, disponen ya de un marco normativo de referencia completo en el que se desarrollan cada una de las opciones dentro de sus respectivas competencias. Se mencionan específicamente el Reglamento (UE) 910/2014, del Parlamento Europeo y del Consejo, de 23 de julio, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE, conocido como Reglamento eIDAS, y el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril, relativo a la protección de las personas físicas en lo que se respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE, conocido como Reglamento general de protección de datos, (en adelante RGPD). Además, en el proceso de permanente reforma de la administración pública en relación con la organización y el procedimiento administrativo se han sucedido importantes cambios que incorporan las tecnologías de la información y las comunicaciones como herramienta. Se mencionan la Ley 11/2017, de 22 de junio, de acceso electrónico de los ciudadanos a los servicios públicos; la Ley 37/2007, de 16 de noviembre, sobre reutilización de la información del sector público y otras normas relevantes con innovaciones que se ponen de manifiesto en el Plan estratégico de impulso y transformación de la administración pública 2018-2020, cuyo eje 1, sobre la transformación de la administración digital, plantea como objetivo estratégico la tramitación de procedimientos por medios electrónicos. Por otra parte, las medidas incorporadas por el Real Decreto-ley inciden en el ámbito de las comunicaciones electrónicas cuyo marco normativo europeo de referencia es la Directiva 2018/1972 sobre el Código europeo de comunicaciones electrónicas, pendiente de trasposición al ordenamiento jurídico interno. La Ley 9/2014, de 9 de mayo, general de telecomunicaciones (LGTel) constituye la norma estatal de desarrollo de las previsiones comunitarias junto con el Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información.
De esa referencia al esquema normativo en el que se introducen las medidas que incorpora el Real Decreto-ley 14/2019, la demanda deduce: (1) que no está justificada su extraordinaria y urgente necesidad, puesto que ya existe a nivel comunitario y estatal un cuerpo normativo sobre la identificación digital y sus garantías; y (2) que estas medidas van más allá de garantizar un trato común en materia de identificación y firma electrónica e introducen limitaciones para el desarrollo por las comunidades autónomas de sistemas de identificación, prescindiendo de los mecanismos de colaboración y cooperación, e introduciendo cortapisas que inciden de forma directa en la autoorganización y desarrollo en ámbitos de sus propias competencias.
La interposición del recurso obedece a tres tipos de consideraciones: (a) se considera que se incumplen los requisitos previstos en el art. 86 CE sobre la extraordinaria y urgente necesidad, para la utilización del decreto-ley; (b) se formulan objeciones que responden a la falta de adecuación de los preceptos que se recurren con el orden constitucional y estatutario de distribución de competencias; y (c) se considera que algunas de las medidas contravienen las garantías de los derechos constitucionales, específicamente las relativas a telecomunicaciones.
A) Infracción del art. 86.1 CE.
El recurso sostiene que, del análisis de la exposición de motivos y del debate parlamentario de convalidación en el Congreso de los Diputados, no se infiere que concurra una necesidad extraordinaria que justifique el uso de la potestad legislativa excepcional en los términos exigidos por la doctrina constitucional. Se hacen referencias genéricas a la necesidad de adaptación a la aceleración en el empleo de nuevas tecnologías por parte de la administración, que se complementan con consideraciones relativas a los desafíos de y carácter estratégico de las nuevas tecnologías para la seguridad nacional, haciendo mención específica a los «recientes y graves acontecimientos acaecidos en parte del territorio español». No obstante estos no se definen a pesar de considerar que precisan de una respuesta inmediata para evitar que se reproduzcan, estableciendo un marco preventivo con el objetivo de proteger los derechos y libertades constitucionalmente reconocidos y garantizar la seguridad pública de todos los ciudadanos. Para la demanda la aparente justificación no daría apoyo a la acreditación de los requisitos que constitucionalmente deben de permitir contrastar la concurrencia de la justificación que se precisa para la adopción del Real Decreto-ley 14/2019, más aún si se tiene en cuenta que ya se dispone de un marco jurídico completo.
Por otra parte, por lo que se refiere a las medidas incorporadas en el Real Decreto-ley 14/2019 que responden a razones de seguridad pública, debe tenerse en cuenta que esta dimensión de la seguridad está integrada en la estructura de los sistemas de información. No se exponen las razones que superan los riesgos que, en cualquier sistema de información, ya son tenidos en cuenta y se sujetan a la correspondiente verificación y control de riesgos. Se considera que la mera mención del riesgo por sí mismo y en los términos genéricos con que se expone no puede justificar la medida incorporada, cuando ello puede conllevar restricciones a los derechos fundamentales de libertad de comunicación e información, en los términos previstos en los arts. 18 y 20 CE.
Junto a la falta de excepcionalidad de la situación a atender, la demanda considera que no se acredita que se trate de responder a una necesidad urgente. Se alude a la circunstancia de que se habían disuelto las cámaras, razón también por la cual el Real Decreto-ley 14/2019 se convalida ante la Diputación Permanente del Congreso de los Diputados. También se añade la consideración sobre la limitación de que el Gobierno en funciones no puede presentar proyectos de ley para su tramitación. Según la abogada de la Generalitat de Cataluña la finalización y agotamiento de legislatura no debería comportar, por sí misma, un fundamento acreditativo del supuesto de la urgencia.
Por último, al no especificarse cuál es la situación extraordinaria que se quiere afrontar y que justifica la elaboración de un decreto-ley, es difícil vincular esta indeterminación con las medidas que el Real Decreto-ley 14/2019 adopta, por lo que no es posible analizar si las medidas adoptadas en el Real Decreto-ley 14/2019 responden de forma congruente con la situación que ha justificado su adopción.
En suma, el Gobierno se limita a realizar una mera declaración formal de la necesidad de la aprobación rápida e inminente, sin aportar las razones que imposibilitan la consecución de la eficacia de las medidas pretendidas mediante su tramitación y aprobación parlamentarias. Una falta de justificación, no solo con respecto a la urgencia sino también sobre la congruencia entre la situación de extraordinaria y urgente necesidad y la regulación adoptada, que se convierte en especialmente reprobable al tratarse de una disposición legislativa provisional de alcance estructural. Se reforma con amplitud la administración digital por lo que se refiere a los sistemas de identificación y adopta medidas de intervención desproporcionada en las redes y servicios de comunicaciones electrónicas así como en cualquier infraestructura, recurso asociado o elemento o nivel de la red o del servicio que resulte necesario, limitando con ello, los derechos fundamentales sobre los que inciden dichos servicios. Por otra parte, el propio régimen transitorio, con la previsión de un calendario para hacer efectivas unas obligaciones que en algunos casos alcanza periodos de hasta seis meses, evidencia la falta de urgencia de dichas medidas.
B) Infracción del sistema de distribución de competencias.
a) La demanda sostiene que los arts. 1, 2 y 3 del Real Decreto-ley 14/2019 introducen restricciones a la determinación de los sistemas de identificación en los servicios de la Generalitat de Cataluña que son contrarias al orden competencial, limitando las competencias que sobre autoorganización y organización de sus propios servicios tiene reconocidas en los arts. 150 y 159 del Estatuto de Autonomía de Cataluña (en adelante EAC), respectivamente.
La demanda recuerda la doctrina constitucional sobre el título competencial relativo a la seguridad pública (cita las SSTC 86/2014 y 142/2018), así como respecto al art. 149.1.18 CE (cita la STC 55/2018), a partir de las cuales considera que las medidas introducidas por el Real Decreto-ley 14/2019 limitan y restringen la capacidad de la Generalitat de Cataluña para organizar su propia administración, en la vertiente relativa a los servicios de administración electrónica.
Por lo que se refiere a las medidas restrictivas en la determinación de los sistemas de identificación de los interesados ante la administración de la Generalitat de Cataluña, el Real Decreto-ley 14/2019 introduce modificaciones sobre la regulación del documento nacional de identidad (en adelante, DNI) y DNI electrónico (arts. 1 y 2); el sometimiento a autorización previa del Ministerio de Política Territorial y Función Pública de determinados sistemas de clave concertada y cualquier otro sistema que las administraciones consideren válido que permita garantizar la identidad del usuario (art. 3.1) y la prohibición de establecer sistemas de identificación por parte de las administraciones públicas basados en tecnologías de registro distribuido (art. 3.3).
La demanda cuestiona que las modificaciones introducidas vengan exigidas por el Derecho de la Unión Europea y menciona las disposiciones legales adoptadas por la Comunidad Autónoma respecto a esta cuestión (Ley 26/2010, de 3 de agosto, de régimen jurídico y de procedimiento de las administraciones públicas de Cataluña, y Ley 29/2010, de 3 de agosto, del uso de los medios electrónicos en el sector público de Cataluña que fue objeto de desarrollo por la Orden GRI/233/2015, de 20 de julio, por la cual se aprueba el Protocolo de identificación y firma electrónica y se adoptó el Acuerdo GOV/147/2016, de 15 de noviembre, por el cual se aprueba el desarrollo del Sistema de identificación verificada de Cataluña). De todo ello se desprende que se dispone de un sistema de identificación electrónica que permite a los administrados relacionarse electrónicamente con la administración de la Generalitat y su sector público.
(i) Conforme a lo anterior, se considera que la configuración del DNI, con carácter exclusivo y excluyente, como único documento con suficiente valor por sí solo para la acreditación, a todos los efectos, de la identidad y los datos personales de su titular (arts. 1 y 2) restringe las competencias de la Generalitat para determinar sus propios sistemas de identificación de los interesados ante las administraciones públicas catalanas. Se limitan desproporcionadamente las competencias previstas en los arts. 150 y 159 EAC, puesto que en sus sistemas de identificación deberán ir precedidas de una identificación personal que únicamente se podrá acreditar mediante el DNI. El recurso no discute la configuración del DNI como documento único en el ámbito de la seguridad pública, pero sí que implique que en todos los procedimientos administrativos se requiera siempre de la identificación mediante DNI como elemento adicional de acreditación. La determinación del DNI como documento único con suficiente valor por sí solo, para la acreditación a todos los efectos de la identidad y datos personales de su titular solo impediría la creación de otro equivalente con la misma consideración y eficacia descrita en el art. 8.1 de la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana, es decir circunscrita al ámbito de la seguridad. Pero no debería debilitar la validez de otros sistemas de identificación y firma electrónica mediante otros documentos identificativos ni implicar que en todos los procedimientos administrativos se requiera siempre de la identificación mediante DNI como elemento adicional de acreditación. Esta modificación incide de forma decisiva en actuaciones en las que las razones identificativas no obedezcan a motivos de seguridad pública o no se enmarquen en ese contexto. En estos supuestos nada debería impedir que las administraciones públicas, para el ejercicio de determinados derechos o para el acceso a servicios o prestaciones públicas, pudiesen exigir, de acuerdo con las competencias estatutariamente asumidas, que los ciudadanos deban estar en posesión de otro documento acreditativo o que en el procedimiento administrativo se puedan identificar electrónicamente también a través de sistemas distintos al DNI. La previsión de que únicamente el DNI y el DNI electrónico, sean los únicos documentos con el suficiente valor para la acreditación de la identidad y los datos personales de su titular, es una restricción para las administraciones públicas concernidas, que por ello no pueden establecer, como prevé el artículo 9.1 de la Ley 39/2015, una verificación de identidad de los interesados mediante un documento identificativo equivalente.
(ii) Las consideraciones anteriormente expuestas también cabe referirlas a las medidas introducidas en el art. 3 del Real Decreto-ley 14/2019 que modifica los apartados c) de los arts. 9.2 y 10.2 de la Ley 39/2015 incorporando una autorización estatal, previo informe vinculante por razones de seguridad, para el establecimiento de determinados sistemas de identificación por parte de las administraciones públicas. Se introduce un control preventivo para las administraciones públicas que establezcan determinados sistemas de identificación, los comprendidos en la letra c) de los arts. 9.2 y 10.2 de la Ley 39/2015, quedando al margen de esta supervisión los restantes sistemas de firma electrónica avanzada previstos en el apartado a) y sistemas de sello del apartado b) de los mencionados preceptos de la Ley 39/2015. El art. 3 incorpora una tutela inconstitucional sobre la administración electrónica de la Generalitat de Cataluña, en cuanto regula una autorización estatal, previo informe vinculante por razones de seguridad, para el establecimiento de determinados sistemas de identificación por parte de las administraciones públicas. Se trata de un control indeterminado que desplaza de forma absoluta la competencia organizativa y de ejecución de la Generalitat de Cataluña, menoscabando las competencias sobre organización y régimen jurídico que tiene reconocidas en los arts. 150 y 159 EAC. La STC 142/2018 ya reconoció que correspondía a la comunidad autónoma la función de garantizar la ciberseguridad en la prestación de los servicios de identificación electrónica y de identidad y confianza digitales por parte de los prestadores establecidos en la comunidad autónoma o que ofrezcan servicios a la administración de la comunidad autónoma y a su sector público dependiente. Se trata de funciones inherentes a las medidas de protección que resultan de la legislación en materia de administración electrónica adoptadas en el ámbito de las competencias que se refieren a su propia organización.
(iii) El art. 3.3 es contrario a las competencias de la Generalitat por la restricción del uso de sistemas de identificación basados en tecnologías de registro distribuido. Se impide la autorización de sistemas de identificación basados en estas tecnologías y sistemas de firma basados en los anteriores, en tanto no sean objeto de regulación específica por el Estado en el marco del Derecho de la Unión Europea. Se añade que, en todo caso, cualquiera que sea el sistema de identificación basado en tecnología de registro distribuido que prevea la legislación deberá contemplar que la administración general del Estado actuará como autoridad intermedia que ejercerá las funciones que corresponda para garantizar la seguridad pública. Ambas limitaciones se consideran inconstitucionales por desplazar totalmente la competencia de la Generalitat prevista en los arts. 150 y 159 EAC.
La demanda alude a que esta tecnología de registro distribuido para sistemas de identificación no encuentra enclave en el Reglamento eIDAS. Pero de ello no cabría deducir una prohibición en el uso de dicha tecnología, siempre que se cumpla con las debidas garantías que la normativa requiere para su utilización, especialmente la relativa a protección de datos contenida en el Reglamento general de protección de datos. La demanda denuncia el carácter preventivo del desapoderamiento del uso de este tipo de tecnología por parte de las administraciones públicas competentes para definir sus propios sistemas de identificación con los usuarios de sus servicios.
b) Respecto de los artículos 3.1 y 2 (nueva redacción de los arts. 9.3 y 10.3 Ley 39/2015), y del art. 4 del Real Decreto-ley 14/2019, la demanda denuncia la vulneración de las competencias autonómicas que deriva de la obligación de ubicación de los sistemas de información y comunicaciones, de regulación de las transferencias de datos a terceros países u organizaciones internacionales y de control de los datos cedidos. Considera la recurrente que la regulación incorporada en el Real Decreto-ley 14/2019 es una alteración del sistema de cesión de datos en el ámbito de las administraciones públicas que opera como una tutela que no se corresponde con el sistema de distribución competencial, constituyendo una injerencia en la competencia de la Generalitat de Cataluña en materia de organización prevista en los arts. 150 y 159 EAC para el desarrollo y ejecución de sus propias competencias.
Se entiende que la obligación de ubicar los sistemas de información en territorio de la Unión Europea y especialmente en territorio español, restringe las competencias de la Generalitat y es una medida contraria a las previsiones del Reglamento general de protección de datos. Lo mismo sucede con las limitaciones de las transferencias de datos a terceros países solo para los supuestos de decisión de adecuación de la Comisión o cuando lo exija el cumplimiento de obligaciones internacionales. Por su parte, la obligación de comunicar previamente a la administración cedente, cuando se pretenda realizar un tratamiento ulterior de datos para que se pueda comprobar que no sea para fines incompatibles para el cual se recogieron, se considera una medida de control inconstitucional sobre la administración de la Generalitat de Cataluña.
(i) Por lo que se refiere a la obligación de ubicar los sistemas de información y comunicaciones, el art. 3 del Real Decreto-ley 14/2019 añade un nuevo apartado tercero para los supuestos de identificación de la letra c) de los arts. 9 y 10 de la Ley 39/2015, incorporando la obligación de que los recursos técnicos necesarios para la recogida, almacenamiento, tratamiento y gestión de los sistemas citados en dichos preceptos deben encontrarse situados en el territorio de la Unión Europea. Esta obligación se restringe al territorio español para el supuesto de tratamiento de categorías especiales de datos a los que se refiere el art. 9 RGPD. Asimismo el art. 4 del Real Decreto-ley 14/2019 introduce un nuevo art. 46bisen la Ley 40/2015, estableciendo la obligación de ubicar y prestar dentro del territorio de la Unión Europea, los sistemas de información y comunicaciones para la recogida, almacenamiento, procesamiento y gestión de determinadas bases de datos como son el censo electoral, los padrones municipales de habitantes y otros registros de población, datos fiscales relacionados con tributos propios o cedidos y datos de los usuarios del Sistema Nacional de Salud, así como los correspondientes tratamientos de datos personales.
Estas medidas contrastan con el objetivo del propio Reglamento general de protección de datos en el sentido de garantizar un nivel uniforme y elevado de protección de las personas físicas y eliminar obstáculos a la circulación de datos personales dentro del territorio de la Unión, precisamente para que dicha regulación fuese equivalente en todos los estados miembros. Por tanto, aquellas medidas que suponen un fraccionamiento geográfico en la aplicación de este régimen jurídico, como son las medidas incorporadas en el Real Decreto-ley 14/2019, son contrarias al derecho comunitario, máxime cuando además no se conoce cuál es la justificación de dicha norma. Estas medidas resultan extrañas por no constituir en sí mismas ninguna garantía suplementaria del propio régimen al cual están sujetas, siendo en cambio restrictivas para las administraciones públicas en su capacidad de organización de los servicios. El Reglamento general de protección de datos al definir en la Unión Europea el ámbito de aplicación territorial de la prestación de servicios en materia de protección de datos, ha delimitado implícitamente también el ámbito en el que las administraciones públicas pueden ejercer sus competencias para la organización de sus propios servicios. Una restricción territorial del ámbito en el que pueden ubicarse los datos comporta, al mismo tiempo, una vulneración del derecho europeo y una vulneración del ámbito competencial autonómico para la organización de sus servicios y la ubicación de los datos personales que gestionan.
(ii) Las limitaciones de las transferencias de datos a terceros países solo para los supuestos de decisión de adecuación de la Comisión o cuando lo exija el cumplimiento de obligaciones internacionales restringe las competencias de la Generalitat y la libre circulación de datos personales con las debidas garantías prevista en el Reglamento general de protección de datos. Este reglamento establece que los datos personales pueden transferirse a un país tercero si este garantiza un nivel de protección adecuado a tales datos. Se reconocen en el Reglamento diversos mecanismos jurídicos para garantizar que la transferencia de los datos se realiza con las garantías adecuadas, constituyendo la decisión de adecuación de la Comisión de la Unión Europea uno de los instrumentos previstos. Pero el Reglamento también prevé que, a falta de una decisión de la Comisión, el responsable del tratamiento puede llevar a cabo transferencias basadas en otro tipo de instrumentos jurídicos que incorporen las garantías apropiadas para la protección de los datos transferidos. Las medidas introducidas por el Real Decreto-ley 14/2019 constituyen una restricción desproporcionada que vulnera con carácter general la libre circulación de datos personales prevista en el Reglamento y limitan injustificadamente las competencias de la Generalitat en la organización de sus servicios en lo que a la definición de sus sistemas de información se refiere.
(iii) La obligación de comunicar previamente a la administración cedente tratamientos ulteriores de datos para fines distintos, contemplada en el art. 4, es una medida de control inconstitucional sobre la administración de la Generalitat de Cataluña. El Real Decreto-ley 14/2019 prevé con carácter general el acceso de las restantes administraciones públicas a los datos relativos a los interesados que obren en su poder, especificando las condiciones, protocolos y criterios funcionales o técnicos necesarios para acceder a dichos datos con las máximas garantías de seguridad, integridad y disponibilidad. Se afirma también que en ningún caso podrá procederse a un tratamiento ulterior de los datos para fines incompatibles con el fin para el cual se recogieron los datos personales y solo considera compatible con los fines iniciales el tratamiento ulterior para fines de archivo, investigación y estadística. Fuera de estos supuestos, el Real Decreto-ley 14/2019 establece que el tratamiento ulterior para una finalidad distinta que la administración cesionaria considere compatible, deberá ser comunicarlo previamente a la administración cedente a los efectos de que esta administración pública lo pueda comprobar. Además, cuando la administración pública cedente sea la administración general del Estado, excepcionalmente se establece que se pueda suspender la transmisión de datos por razones de seguridad nacional de forma cautelar por el tiempo estrictamente indispensable para su preservación.
c) En tercer lugar, se denuncia a continuación que los arts. 6 y 7 vulneran el orden constitucional de distribución de competencias respecto a los servicios de telecomunicaciones autonómicos.
(i) El art. 6.1 permite la asunción por la administración general del Estado de la gestión directa o la intervención de las redes y servicios de comunicaciones electrónicas en determinados supuestos excepcionales que puedan afectar al orden público, la seguridad pública y la seguridad nacional. Con respecto a la regulación anterior, se amplían las causas que justificarían dicha medida introduciendo la genérica alusión al concepto indeterminado de orden público y, por otra parte, se añade, en cuanto al objeto intervenido, los recursos e infraestructuras asociadas o elementos o nivel de red o del servicio que resulte necesario. La versión anterior de este régimen de intervención ya fue examinada por el Tribunal Constitucional en las SSTC 72/2014 y 20/2016. En aquellos supuestos no se mencionaba la referencia a las razones por las que el orden público puede justificar la asunción de la gestión directa o la intervención de redes y servicios de comunicaciones electrónicas, que solo se refería a razones de seguridad pública y defensa nacional. La referencia a la seguridad nacional puede explicarse por los ajustes debidos a la regulación de la Ley 36/2015, de 28 de septiembre, de seguridad nacional, en términos que sustituyen la anterior referencia a la defensa nacional. Sin embargo, la inclusión del orden público como causa de justificación no dispone de equivalente normativo de referencia. Por tanto, queda indeterminado el ámbito o circunstancia a los que se referirá la inclusión de esta causa de justificación, suponiendo con esta imprecisión una injerencia inconstitucional en las competencias de la Generalitat de Cataluña y una restricción de los derechos fundamentales mencionados sobre secreto de las comunicaciones y libertad de información contenidos en los arts. 18 y 20 CE. Esta previsión además, se incorpora sin ninguna referencia a los límites, garantías o controles destinados a asegurar el carácter excepcional de la medida, ni su transitoriedad.
(ii) La obligación prevista en el art. 6.2 de comunicar al Ministerio de Economía y Empresa las redes de comunicaciones en régimen de autoprestación de la Generalitat de Cataluña que hagan uso del dominio público es una medida redundante que incorpora un mecanismo de control inconstitucional en cuanto comporta una invasión de las competencias autonómicas.
La demanda reconoce que esta regulación se incardina en el ámbito del régimen general de comunicaciones puesto que se trata del régimen de explotación de las redes y de prestación de los servicios de comunicaciones electrónicas, pero destaca que se trata de una obligación que se agrega a las ya existentes previamente en la Ley general de telecomunicaciones (arts. 7.3 y 10), a lo que cabe añadir las potestades de inspección y sanción. La demanda denuncia un exceso en la previsión de mecanismos informativos sobre ámbitos en los que la administración del Estado ya dispone de la correspondiente información. Por otra parte, considera que no podría ser usado en su posible proyección sobre la capacidad de intervención y asunción por la Administración General del Estado de la gestión directa o sobre la intervención de las redes y servicios de comunicaciones electrónicas en determinados supuestos excepcionales, que puedan afectar al orden público, la seguridad pública y la seguridad nacional. Se concluye por todo ello que esta obligación de comunicación constituye una vulneración de las competencias de la Generalitat de Cataluña en materia de comunicaciones electrónicas prevista en el art. 140.7 EAC y en el ámbito de la organización de sus propios recursos, de acuerdo con lo previsto en los arts. 150 y 159 EAC.
(iii) La medida cautelar consistente en el cese de la actividad presuntamente infractora, antes de iniciar un procedimiento sancionador, cuando concurran amenazas sobre el orden público, la seguridad pública y la seguridad nacional, introducida por el art. 6.5 en el régimen de infracciones y sanciones de la Ley general de telecomunicaciones se considera contraria a las competencias autonómicas. Se trata de un conjunto de medidas de intervención de las redes y servicios de las comunicaciones electrónicas en las que se desplaza de forma absoluta de su gestión a los titulares de dichas prestaciones, en este caso la Generalitat de Cataluña, amparándose en razones de seguridad nacional, seguridad pública y orden público, sin indicar las condiciones, circunstancias, duración u otros indicadores que definan las características de dicha intervención. La regulación alcanza al conjunto de las redes públicas de comunicación y recursos asociados que soportan todas las prestaciones digitales de la administración autonómica y en régimen de autoprestación cuya titularidad corresponde a la Generalitat, afectando así a las competencias autonómicas.
Esta medida cautelar es también inconstitucional por no incorporar las debidas garantías en la adopción de medidas de esta naturaleza en la medida en que omite la necesidad de motivación y la previa audiencia del afectado, con lo que se infringen los arts. 9.3 y 25 CE. Se aparta con ello de la regulación de este tipo de medidas que se contiene en el art. 56.2 de la Ley 39/2015, tratándose de una regulación que, conforme a la propia disposición adicional primera de la Ley 39/2015, prevalece sobre la general, dado su carácter de ley específica y de aplicación preferente a la regulación más completa y con las debidas garantías sobre medidas cautelares contenidas en el art. 56 de la Ley 39/2015.
(iv) Las medidas de refuerzo de la coordinación en materia de seguridad de las redes y sistemas de información del art. 7 vulneran los arts. 150 y 159 EAC, al omitir cualquier mención a las competencias autonómicas en la materia. No han tenido en cuenta las competencias que en materia de seguridad pública, seguridad ciudadana y protección de datos y comunicaciones electrónicas corresponden a la Generalitat de Cataluña, especialmente cuando estas se refieren a servicios que se corresponden con el ámbito propio de competencias proyectándose la vulneración también en el ámbito de los arts. 150 y 159 EAC. No se contiene ninguna mención a los sistemas y condiciones de coordinación que afectarán a ámbitos en los que corresponde gestionar los incidentes a la Generalitat, especialmente aquellos que afecten a Cataluña y a sus instituciones, lo que contraviene también la doctrina de la STC 142/2018.
C) Vulneración de los arts. 18 y 20 CE.
Por último, la demanda sostiene que el art. 6 incurre en una vulneración mediata de los derechos fundamentales reconocidos en los arts. 18 y 20 CE (derechos personalísimos y libertades informativas), en cuanto configura un marco de intervención administrativa susceptible de afectarlos.
El acceso a internet determina en buena medida la viabilidad del ejercicio de los derechos fundamentales como es el caso del derecho a la libertad de expresión y de información (art. 20 CE) y, en cuanto que opera como infraestructura, se configura como una condición instrumental de las comunicaciones y la transmisión de datos afectando con ello formalmente a los derechos al secreto de las comunicaciones y a la intimidad (arts. 18.1 y 18.3 CE). La demanda alude a la doctrina del Tribunal Europeo de Derechos Humanos y del propio Tribunal Constitucional, reiterando la necesidad de que toda injerencia estatal en el ámbito de los derechos fundamentales y libertades públicas requiere de habilitación legal y ha destacado la importancia de que esta reúna las condiciones mínimas sobre seguridad jurídica (art. 9.3 CE) y que concrete las modalidades y extensión del ejercicio del poder otorgado con suficiente claridad para dar al individuo una protección adecuada contra la arbitrariedad. En este caso la finalidad de la incorporación de las limitaciones en la Ley general de telecomunicaciones obedece a razones de orden público, seguridad pública y seguridad nacional. Según la doctrina del Tribunal Constitucional, el concepto de seguridad publica era una noción más precisa que el de orden público, que merece un examen caso por caso siguiendo el criterio del Tribunal Europeo de Derechos Humanos, que no puede ser utilizado por la legislación de manera excesivamente expansiva hasta convertirse en un instrumento de restricción o de obstaculización de las libertades y los derechos fundamentales, especialmente en los ámbitos de los derechos de la libertad de expresión y los derechos de participación política en sentido amplio. La intervención regulada en el art. 6.1 del Real Decreto-ley 14/2019, incorporando una facultad gubernativa de intervención amplia y de alcance general sobre el conjunto de redes y servicios de las comunicaciones electrónicas introduce una potestad de enorme discrecionalidad para el Gobierno que puede activar la intervención sobre las comunicaciones electrónicas, y su carácter omnicomprensivo del conjunto de la red y los servicios que en ella operan. Junto a ello, la ausencia de previsión alguna de delimitación funcional, ni procedimiento o garantía en cuanto a los contenidos o los sujetos susceptibles de ser afectados por la intervención, convierten el precepto en una cláusula genérica de intervención gubernamental, especialmente grave, pues tampoco alude en ningún caso a la intervención judicial.
A pesar de que se considere que el nuevo art. 4.6 LGTel únicamente concierne a las infraestructuras y no se refiere a los contenidos, ni a la información, o que únicamente se intervendría el sistema con la finalidad de restablecimiento del servicio universal en supuestos de caída del sistema, la demanda entiende que esta interpretación no impide que se desprenda una afectación en el ejercicio de determinados derechos, como la libertad de expresión, por el bloqueo, la interrupción o la obstaculización del acceso universal a la red por la que circula la información y la comunicación. Tampoco se observa la necesaria proporcionalidad que ha de observar toda medida restrictiva de derechos fundamentales, pues la indeterminación, generalidad, imprecisión y ambigüedad con que está prevista pone de manifiesto que la intervención no dispone de criterios de referencia que modulen su ejercicio.
Mediante otrosí, la abogada de la Generalitat de Cataluña plantea incidente de recusación del magistrado don Andrés Ortega Herrero, por las causas previstas en los apartados 9 y 10 del art. 219 de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial (LOPJ), en términos coincidentes con el ya planteado en otros procesos constitucionales.
2. Por providencia de 25 de febrero de 2020 el Pleno, a propuesta de la Sección Primera, acordó admitir a trámite el recurso de inconstitucionalidad promovido por el Gobierno de la Generalitat de Cataluña en relación con los arts. 1, 2, 3, 4, 6 y 7; disposición adicional única; y por conexión, contra las disposiciones transitorias primera y segunda y disposición final primera del Real Decreto-ley 14/2019, de 31 de octubre, por el que se adoptan medidas urgentes por razones de seguridad pública en materia de administración digital, contratación del sector público y telecomunicaciones; dar traslado de la demanda y documentos presentados, conforme establece el art. 34 de la Ley Orgánica del Tribunal Constitucional, al Congreso de los Diputados y al Senado, por conducto de sus presidentes, y al Gobierno, a través del ministro de Justicia, al objeto de que, en el plazo de quince días, puedan personarse en el proceso y formular las alegaciones que estimaren convenientes; oír a las partes sobre la posible acumulación a este recurso del registrado con el núm. 762-2020, promovido por el Parlamento de Cataluña y publicar la incoación del recurso en el «Boletín Oficial del Estado».
3. Por diligencia de ordenación de 25 de febrero de 2020 de la secretaria de justicia del Pleno se dio cuenta de la propuesta de recusación del magistrado de este tribunal don Andrés Ortega Herrero planteada por la representación letrada del Gobierno de la Generalitat de Cataluña. Por ATC 34/2020, de 25 de febrero, se inadmitió la recusación formulada.
4. Mediante escrito registrado el día 10 de marzo de 2020, la presidenta del Congreso de los Diputados comunicó el acuerdo de la mesa de la cámara, por la que se persona en el proceso y ofrece su colaboración a los efectos del art. 88.1 de la Ley Orgánica del Tribunal Constitucional. Lo mismo hizo la presidenta del Senado por escrito que tuvo entrada en este tribunal ese día 10 de marzo de 2020.
5. La abogada de la Generalitat de Cataluña, mediante escrito registrado el día 12 de marzo de 2020, manifiesta que no tiene nada que objetar a la acumulación al presente recurso del tramitado con el número 762-2020, interpuesto por el Parlamento de Cataluña.
6. El abogado del Estado, en la representación que ostenta, se personó en el proceso por escrito registrado el día 12 de marzo de 2020, solicitando una prórroga del plazo inicialmente conferido para formular alegaciones. Prórroga que le fue concedida por diligencia de ordenación de la secretaría de justicia del Pleno de 5 de junio de 2020 en la que se prorrogó en ocho días más el plazo inicialmente concedido, a contar desde el siguiente al de expiración del ordinario.
7. Las alegaciones del abogado del Estado interesando la íntegra desestimación del recurso se registraron en este tribunal el día 17 de junio de 2020.
El escrito de alegaciones a la demanda alude, en primer lugar al objeto del recurso de inconstitucionalidad, así como a los antecedentes de la norma y manifiesta su parecer favorable a la acumulación al presente recurso del tramitado con el número 762-2020 interpuesto por el Parlamento de Cataluña.
A) Infracción del art. 86.1 CE.
Respecto de la primera cuestión planteada en la demanda, la Abogacía del Estado alega que el Real Decreto-ley 14/2019 cumple el presupuesto habilitante exigido por la doctrina constitucional. Señala que la exposición de motivos de la norma recoge cómo los recientes y graves acontecimientos acaecidos en parte del territorio español han puesto de relieve la necesidad de modificar el marco legislativo vigente para hacer frente a la situación. Tales hechos demandan una respuesta inmediata para evitar que se reproduzcan sucesos de esta índole estableciendo un marco preventivo a tal fin, cuyo objetivo último sea proteger los derechos y libertades constitucionalmente reconocidos y garantizar la seguridad pública de todos los ciudadanos. En el debate parlamentario de convalidación se aludió especialmente a este extremo, en relación con las medidas acerca del documento nacional de identidad, de identificación ante las administraciones públicas y de ubicación de datos, con el que guardan la necesaria conexión de sentido.
En segundo término, tanto en la exposición de motivos como en el debate parlamentario se explicitan suficientemente los riesgos para los ciudadanos y para la propia administración derivados de la aceleración de la transformación digital de las administraciones públicas y, por ende, se justifica la conexión de la situación con las medidas de prevención que se concretan en el articulado en los arts. 3, 4 y 6 impugnados, es decir, las medidas de prevención como urgente respuesta a los riesgos que se describen y que legitiman la intervención del legislador de urgencia. Lo mismo sucede con el art. 7 respecto al esquema de seguridad allí previsto.
B) Infracción del sistema de distribución de competencias.
Plantea a continuación la cuestión del encuadramiento competencial de la norma impugnada, aludiendo a su disposición final primera y a la propia parte expositiva del Real Decreto-ley 14/2019, e indicando que debe hacerse referencia particular a la ciberseguridad como materia incardinada en la competencia estatal sobre seguridad públicaexartículo 149.1.29 CE, y que, a juicio del abogado del Estado, este es el título competencial prevalente en los arts. 1, 2, 3, 4 y 7. A tales efectos transcribe, sin citarla, partes de la fundamentación jurídica de la STC 142/2018 y señala que se trata de medidas para hacer frente a cuestiones que exceden del ámbito territorial de Cataluña y que no pueden afrontarse desde las medidas de autoprotección que para el ejercicio de su potestad de autoorganización pueda desarrollar la comunidad autónoma. El abogado del Estado destaca que el recurso del gobierno de la Generalitat de Cataluña considera en su argumentación que el título competencial prevalente es el art. 149.1.18 CE, para luego entender vulnerados los arts. 150 y 159 EAC. Sin embargo, las medidas de prevención adoptadas en el ejercicio de la competencia estatal en materia de seguridad pública están vinculadas por el Real Decreto-ley 14/2019 al interés general y tienen por finalidad proporcionar al Estado la capacidad de reacción ante situaciones que afecten a la seguridad nacional y al orden público. Se alude a la doctrina de la STC 142/2018 en la que, según el abogado del Estado, se reconoce que la creación, diseño y mantenimiento de una infraestructura de administración electrónica se integra en la potestad autonómica de autoorganización, pero al mismo tiempo, por otro lado, se postula su posible afectación a la seguridad pública y a la seguridad nacional. Enmarcados en estos términos la referencia al art. 149.1 29 CE y la competencia estatal sobre seguridad pública y ciberseguridad en su relación con la competencia autonómica de autoorganización, procede el examen concreto de los preceptos impugnados.
a) Respecto a las medidas en relación con el DNI, el abogado del Estado, tras referirse a los argumentos del recurso, cita la STC 55/2018, según la cual es perfectamente constitucional que el Estado establezca un sistema de identificación común para los interesados ante todas las administraciones públicas. Lo que hace el Real Decreto-ley 14/2019 es extender la validez del DNI electrónico para acreditar la identidad personal ante las administraciones públicas, también al ámbito de la administración digital, estableciendo un sistema de identificación común. Teniendo en cuenta que el DNI es un derecho y una obligación para todas las personas con nacionalidad española, todos los ciudadanos cuentan con este documento que les ofrece total garantía para poder acreditar su identidad ante cualquier administración pública y ejercer sus derechos y acceder a los servicios públicos. Por tanto, la regulación del DNI en los arts. 1 y 2 en nada afecta a las competencias de autoorganización de Cataluña, puesto que se permite a las comunidades autónomas regular sus propios sistemas de identificación, dentro de los límites necesarios en materia de seguridad pública, para preservar el interés general. El recurso interpreta que hay una obligación de los interesados de identificarse —previa y obligatoriamente— mediante su DNI electrónico y que esto invade la competencia de la comunidad autónoma para el establecimiento de sus propios sistemas de identificación. Para el abogado del Estado esa interpretación es errónea, máxime si tenemos en cuenta que, a continuación, los arts. 3 y 4 del mismo texto legal permiten otros sistemas de identificación.
La regulación impugnada no impone este sistema como el único posible para la identificación electrónica de los interesados ante las administraciones públicas, sino que elimina la posibilidad de introducir un nuevo documento de acreditación de la identidad con el propósito de sustituirle. Esta regulación se corresponde, en el ámbito del procedimiento administrativo común, con la competencia reconocida al Estado en el art. 149.1.18 CE para establecer un sistema de identificación común ante las administraciones públicas (con cita de la STC 55/2018). En cuanto a su regulación como el único documento con suficiente valor por sí solo para la acreditación también en el ámbito de la administración digital de la identidad del titular, el abogado del Estado señala que no impide la posibilidad de otros sistemas de identificación, pero sí que se dote a esos otros sistemas de la misma consideración y eficacia descrita en el artículo 8.1 de la Ley Orgánica 4/2015, de 30 de marzo, para el DNI.
Respecto al art. 3 del Real Decreto-ley 14/2019, se analiza en primer lugar la exigencia de previa autorización estatal para la utilización de determinados sistemas de identificación y firma por motivos de seguridad pública vinculados a la ciberseguridad. El abogado del Estado alude a los diferentes sistemas previstos en el Reglamento eIDAS, señalando que determinadas exigencias de seguridad no se aplican a los sistemas de identificación que se despliegan conforme a lo previsto en el artículo 9.2 c) y 10.2 c) de la Ley 39/2015, por lo que tales sistemas pasan a estar sujetos a una autorización previa de verificación de su seguridad. La verificación trae causa de la necesidad de salvaguardar la seguridad pública en el proceso de transformación digital de la administración, que extiende el riesgo de ataques que impactan en la seguridad pública y en la propia intimidad de los ciudadanos. La competencia autonómica para autoorganizar la ciberseguridad de sus sistemas de administración electrónica se entiende sin perjuicio de la competencia exclusiva del Estado en materia de seguridad pública, proyectada en este caso sobre la ciberseguridad aplicada a las bases del régimen jurídico de la administración electrónica en el conjunto de las administraciones públicas. Se trata de una medida perfectamente coherente con la doctrina constitucional establecida en la STC 55/2018, de forma que cumpliendo una función típica de las normas de procedimiento administrativo común, se garantiza un «tratamiento común de los administrados ante todas las administraciones públicas», salvaguardando su ciberseguridad con un criterio transversal de seguridad pública aplicado a determinados casos y sin afectar en modo alguno los amplios márgenes de autoorganización de las administraciones públicas. Las diferentes administraciones públicas pueden seguir aceptando los sistemas de identificación electrónica que estimen convenientes, una vez garantizada su seguridad. Lo anteriormente expuesto es de aplicación a los sistemas de firma electrónica admitidos en las relaciones con las administraciones públicas (art. 10.4 y 5 de la Ley 39/2015).
Por otra parte, el abogado del Estado considera que la nueva disposición adicional sexta de la Ley 39/2015, se limita a restringir provisionalmente el uso de los sistemas de identificación basados en tecnologías de registro distribuido y los sistemas de firma basados en los anteriores pero únicamente mientras no haya un marco regulatorioad hocde carácter estatal o e