Categoría: Judicial

ECLI:ES:TC:2023:60
El Pleno del Tribunal Constitucional, compuesto por el magistrado don Cándido Durán Méndez, presidente, y las magistradas y magistrados doña Inmaculada Silva González, don Ricardo Moreno Santiago, doña María Rubio Vega Aguilar, don Ramón Vidal Lozano, don Enrique Crespo Mora, doña Concepción Montero Torres, doña María Fuentes Bravo Calvo, don César García Moya y doña Laura Campos Cruz, ha pronunciado
la siguiente
En el recurso de inconstitucionalidad núm. 762-2020, interpuesto por el Parlamento de Cataluña contra los arts. 1, 2, 3, 4, 6 y 7; la disposición adicional única; las disposiciones transitorias primera y segunda; y la disposición final primera del Real Decreto-ley 14/2019, de 31 de octubre, por el que se adoptan medidas urgentes por razones de seguridad pública en materia de administración digital, contratación del sector público y telecomunicaciones. Ha comparecido y formulado alegaciones el abogado del Estado. Ha sido ponente la magistrada doña Laura Campos Cruz.
1. Mediante escrito presentado en el registro del Tribunal Constitucional el 5 de febrero de 2020, la letrada del Parlamento de Cataluña interpuso un recurso de inconstitucionalidad contra los preceptos del Real Decreto-ley 14/2019, de 31 de octubre, por el que se adoptan medidas urgentes por razones de seguridad pública en materia de administración digital, contratación del sector público y telecomunicaciones, que se citan en el encabezamiento.
El recurso se fundamenta en los motivos que se exponen a continuación:
Comienza destacando que la norma impugnada es heterogénea y tiene por objeto modificar diversas leyes en materia de documentación nacional de identidad (arts. 1 y 2); identificación electrónica ante las administraciones públicas, ubicación de determinadas bases de datos y cesión de datos entre administraciones (arts. 3 y 4); contratación pública (art. 5); seguridad en materia de telecomunicaciones (art. 6 y disposición adicional única); y coordinación en materia de seguridad de las redes y sistemas de información (art. 7).
Anticipa que la primera cuestión planteada es la adecuación del instrumento normativo utilizado (A). Junto a ello, considera que determinadas normas sobre administración electrónica vulneran las competencias de la comunidad autónoma (B). Por último, denuncia que alguna de las normas del real decreto-ley vulneran ciertos derechos fundamentales y normas de Derecho de la Unión Europea (C).
A) Respecto de la infracción del art. 86.1 CE, que se achaca a todos los preceptos objeto del recurso, sostiene que no se cumple con el requisito de la extraordinaria y urgente necesidad. Ni en el preámbulo de la norma ni en el debate parlamentario de convalidación se acredita de forma explícita y razonada una justificación suficiente de dicha circunstancia, como exige la jurisprudencia constitucional (cita, entre otras, la STC 34/2017, de 1 de marzo).
a) Por un lado, el preámbulo hace una referencia genérica a un «marco jurídico que garantice el interés general y, en particular, la seguridad pública», pero este análisis no es nuevo, como reconoce la propia norma al citar otras disposiciones vigentes en la materia (como la Ley 36/2015, de 28 de septiembre, de seguridad nacional). Por otro lado, se alude a «los recientes y graves acontecimientos sucedidos en parte del territorio español», sin concretar ni la gravedad, ni la situación, ni los hechos producidos.
Tampoco ayudan a justificar la norma las fórmulas rituales y abstractas que se emplean en el preámbulo, como que «la sociedad requiere una adaptación a la esfera digital»; o expresiones ambiguas, como «graves acontecimientos». En el debate de convalidación no se pudo ni siquiera intuir la situación a la que pretendía dar respuesta el real decreto-ley, ni si dicha situación era excepcional, grave e imprevisible. Así pues, es palmaria la insuficiencia de la debida justificación de la existencia de una situación grave que afrontar y, por tanto, el carácter extraordinario de la necesidad de dictar este real decreto-ley.
La urgencia de la norma tampoco se justifica de forma motivada y expresa. Se alude a la circunstancia de que se habían disuelto las Cámaras, lo cual podría ser un argumento válido, pero habrían debido exponerse los hechos que hacen necesaria una reacción inmediata y los perjuicios que se derivarían de esperar a la constitución de las Cámaras y a la presentación de un proyecto de ley, que podría tramitarse por el procedimiento de urgencia (cita la STC 68/2007, de 28 de marzo, FJ 12). En conclusión, no se exponen los hechos que justificarían las medidas y tampoco los efectos que hacen necesaria una reacción inmediata y no solamente preventiva.
b) En cuanto a la exigible «conexión de sentido», la letrada del Parlamento argumenta que, dado que no se ha especificado cuál es la situación extraordinaria que se quiere afrontar con la aprobación del decreto-ley, es difícil vincular esta indeterminación con las medidas que adopta el real decreto-ley. Cita en apoyo de este argumento el dictamen del Consejo de Garantías Estatutarias 6/2019, de 30 de diciembre, elaborado sobre esta norma.
En consecuencia, a juicio de la letrada del Parlamento de Cataluña no se ha justificado el cumplimiento del presupuesto habilitante que autoriza la aprobación del real decreto-ley, por lo que se vulnera el art. 86.1 CE.
c) Respecto de los límites materiales a los que debe sujetarse el Gobierno al dictar un real decreto-ley, entre los que figuran los «derechos, deberes y libertades de los ciudadanos regulados en el título I», la letrada recuerda la jurisprudencia constitucional según la cual este límite no puede interpretarse de forma tan restrictiva que prohíba cualquier regulación que afecte a un derecho reconocido en el Título I de la Constitución. Partiendo de esta doctrina, considera que en este caso debe descartarse una afectación directa a los derechos fundamentales, por lo que no considera vulnerado el art. 86.1 CE en este aspecto.
B) A continuación, aborda las vulneraciones imputables a diversos preceptos, comenzando por los arts. 3.1 y 3.2 y, en relación con ellos, la disposición transitoria primera del Real Decreto-ley 14/2019. Señala que con ellos se incorporan normas europeas por las que se establece un marco común para los medios de identificación electrónica, los servicios de confianza para las transacciones electrónicas y las firmas, sellos, documentos y servicios de entrega electrónica.
a) Los arts. 3.1 y 3.2 introducen un requisito de autorización estatal previa para las firmas y sellos electrónicos que no está amparado por el art. 149.1.18 CE, limitando las competencias sobre autoorganización y organización de los servicios que tiene reconocidas la Generalitat de Cataluña en los arts. 150 y 159 del Estatuto de Autonomía de Cataluña (EAC). Como subraya el Consejo de Garantías Estatutarias en su dictamen 6/2019, dicha autorización constituye una tutela o control sobre la administración electrónica carente de cobertura constitucional, pues el Estado de las Autonomías no prevé una institución general de control del primero sobre las segundas (cita las SSTC 118/1996, de 27 de junio, y 33/2018, de 12 de abril). Los citados preceptos hacen depender la decisión de la Generalitat de una autorización de la Administración General del Estado que no tiene competencias sobre la autorización de los sistemas de identificación ante la administración catalana. Además, la autorización no viene predeterminada en cuanto a su contenido y motivación y tiene unas consecuencias inadecuadas, pues, en caso de silencio, se entiende que la respuesta es desestimatoria.
En suma, dicha autorización es un control ilegítimo que no está amparado ni en las competencias estatales sobre procedimiento administrativo común (art. 149.1.18 CE), ni sobre seguridad pública (art. 149.1.29 CE).
La letrada del Parlamento de Cataluña subraya que los citados arts. 3.1 y 3.2 del Real Decreto-ley 14/2019 establecen que los recursos técnicos para la recogida, tratamiento y gestión de los sistemas en el caso de ciertos datos deben hallarse situados en territorio español y estar disponibles para las autoridades judiciales y administrativas competentes. Considera que esta medida es totalmente contraria al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE [Reglamento general de protección de datos (RGPD)]. Dicho reglamento aspira a garantizar un nivel coherente de protección de las personas físicas en toda la Unión y evitar divergencias que dificulten la libre circulación de datos personales. Pues bien, la citada obligación de ubicar en territorio español las bases de datos es un obstáculo para el mercado interior que carece de justificación. El Reglamento general de protección de datos permite a los Estados miembros otorgar un nivel mayor de protección, pero no disminuirlo, y en ningún caso es aceptable que se restrinja la propia existencia del mercado interior, como aquí sucede.
b) Por otra parte, el art. 3.3 del real decreto-ley incorpora una nueva disposición adicional sexta a la Ley 39/2015, de 1 de octubre, de procedimiento administrativo común de las administraciones públicas (LPACAP), por la que se impide el uso de sistemas de identificación basados en tecnologías de registro distribuido, en tanto no sean objeto de regulación específica por el Estado, en el marco del Derecho de la Unión Europea. La norma añade que, en todo caso, cualquiera que sea el sistema de identificación basado en tecnología de registro distribuido que prevea la legislación, deberá garantizar que la Administración General del Estado actúe como autoridad intermedia, ejerciendo las funciones que corresponda para garantizar la seguridad pública. Ambas limitaciones se consideran inconstitucionales, por desplazar totalmente la competencia de la Generalitat prevista en los arts. 150 y 159 EAC.
La demanda invoca el dictamen del Consejo de Garantías Estatutarias, según el cual el art. 3.3 supone un desapoderamiento preventivo del uso de este tipo de tecnología, por parte de las administraciones públicas competentes, para definir sus propios sistemas de identificación con los usuarios de sus servicios. El precepto impugnado se aparta de la voluntad neutral y más aperturista del Reglamento (UE) 910/2014, del Parlamento Europeo y del Consejo, de 23 de julio, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE. Esta norma, conocida como Reglamento eIDAS, establece un principio de reconocimiento mutuo de los sistemas de identificación entre Estados miembros, por lo que el Estado español puede verse obligado a reconocer sistemas de otros países basados en la tecnología de registro distribuido.
Cita la STC 68/2017, de 25 de mayo, para argumentar que las normas prohibitivas de este tipo han sido rechazadas por la doctrina constitucional, ya que se podrían encontrar otras fórmulas menos drásticas que respeten las competencias autonómicas. En este caso, la prohibición de las tecnologías de registro distribuido no es necesaria ni idónea. Sería más adecuado fijar un marco regulador básico que concretara los requisitos de seguridad exigibles, en lugar de una prohibición total, que la letrada del Parlamento de Cataluña juzga contraria al principio de lealtad constitucional.
También se vulneran las competencias de la Generalitatexart. 159 EAC al atribuir a la Administración General del Estado la condición de autoridad intermedia para cualquier sistema de identificación basado en la tecnología de registro distribuido, pues precisamente esta tecnología se caracteriza por no necesitar un tercero de confianza o intermediarios que tengan posiciones de control en su organización.
Por tanto, concluye que el art. 3.3 y, por conexión, la disposición final primera, apartado segundo, vulneran el art. 159 EAC, sin estar amparados en el art. 149.1.18 CE.
C) Se desarrollan, por último, las vulneraciones de derechos fundamentales y de Derecho de la Unión Europea, en los términos siguientes:
a) El art. 6.1 del Real Decreto-ley 14/2019 da nueva redacción al art. 4.6 de la Ley 9/2014, de 9 de mayo, general de telecomunicaciones (en adelante, LGTel), para permitir la asunción por la Administración General del Estado de la gestión directa o la intervención de las redes y servicios de comunicaciones electrónicas en determinados supuestos excepcionales que puedan afectar al orden público, a la seguridad pública y a la seguridad nacional.
La letrada del Parlamento se refiere, en primer lugar, a la Directiva UE 2018/1972 del Parlamento y del Consejo, de 11 de diciembre de 2018, por la cual se establece el Código europeo de las comunicaciones electrónicas. A continuación, resalta que, con respecto a la regulación anterior, el art. 6.1 amplía las potestades administrativas, tanto por los nuevos supuestos en que puede utilizarse, como por el objeto de la intervención. Además, la nueva redacción elimina la referencia que hacía la anterior a la legislación de contratos del sector público.
Con cita del dictamen del Consejo de Garantías Estatutarias, la demanda aduce que el nuevo art. 4.6 LGTel se articula en torno a conceptos muy amplios e indeterminados, como son el orden público, la seguridad pública y la seguridad nacional, cuyo contenido desarrolla de forma extensa. Tanto el Tribunal Constitucional como el Tribunal Europeo de Derechos Humanos han insistido en que toda limitación a los derechos fundamentales se formule en términos acotados y de forma proporcionada, de forma que el resultado los dificulte o restrinja lo mínimo posible.
En este sentido, la nueva regulación afecta al secreto de las comunicaciones garantizado por el art. 18.3 CE, que solo puede ser intervenido en casos de investigación policial y judicial. Y aunque el Estado puede ejercer sus competencias en materia de régimen general de las comunicaciones (art. 149.1.21 CE) y de protección de la seguridad pública (art. 149.1.29 CE), ha de hacerlo con pleno respeto a los derechos fundamentales protegidos por la Constitución. La alegación contraria, según la cual la intervención prevista en el precepto impugnado afectaría solo al soporte instrumental, carece de sentido porque cualquier intervención de los recursos técnicos afecta a su contenido. En este caso, el continente y el contenido van indisolublemente unidos.
En conclusión, el texto impugnado genera un marco de imprevisibilidad, por lo amplio e indeterminado de los casos a los que puede referirse, lo que hace que incumpla el estándar mínimo de calidad normativa y vulnere el art. 9.3 CE.
b) Por otro lado, el art. 6.5 del real decreto-ley da nueva redacción al art. 81.1 LGTel, en relación con las medidas cautelares en los procedimientos sancionadores. La demanda expone que se amplían los supuestos en que tales medidas pueden adoptarse, y se hace sin las garantías suficientes, como es la exigencia de una resolución motivada, necesaria y proporcionada, y previa audiencia del afectado. Tampoco se alude a que la medida cautelar debería confirmarse, levantarse o modificarse al iniciarse el procedimiento, ni a los recursos que caben contra ella. Recuerda que el art. 56.2 LPACAP admite este tipo de medidas pero sometidas a unos requisitos que aquí no se cumplen, no solo porque se han ampliado los supuestos, sino porque las garantías no son suficientes. Enfatiza que se omite la audiencia previa exigida por el art. 82 de dicha ley.
La norma impugnada adolece, en suma, de la exigible calidad normativa, por lo que puede restringir derechos y libertades amparados constitucionalmente. Además, infringe el principio de seguridad jurídica del art. 9.3 CE, los principios de actuación de la administración pública del art. 103.1 CE, así como el derecho a la tutela judicial efectiva del art. 24.1 CE.
La letrada del Parlamento expone con detalle los requisitos exigidos por el Tribunal Europeo de Derechos Humanos para admitir las limitaciones de derechos, como son la previsión legal, la finalidad legítima y que sean necesarias en una sociedad democrática. A partir de dicha doctrina, concluye que la nueva redacción de los arts. 4.6 y 81.1 LGTel vulnera los derechos fundamentales a la libertad de expresión y comunicación, al secreto de las comunicaciones, a la intimidad y a la protección de los datos personales, tal y como han sido caracterizados por la doctrina constitucional y del Tribunal Europeo de Derechos Humanos. Además, con tales preceptos se establece una censura previa, permitiendo el secuestro administrativo de publicaciones y otros medios de comunicación, lo que solo puede hacerse mediante resolución judicial (art. 20.5 CE). Recuerda que la prohibición constitucional de la censura previa es taxativa, contundente y no admite excepciones. Los poderes públicos no pueden actuarex antepara evitar extralimitaciones en el ejercicio de las libertades de expresión e información. Cita, entre otras, la STC 187/1999, de 25 de octubre, FJ 6, sobre la prohibición del secuestro administrativo.
La vulneración de derechos constitucionales se achaca también a la regla de disponibilidad de determinados datos para su acceso por parte de las autoridades judiciales y administrativas competentes, prevista en los arts. 3.1 y 3.2. Estos infringen además la normativa comunitaria sobre el tratamiento de los datos personales y la protección de la intimidad en las comunicaciones electrónicas. Tanto la Directiva 2002/58 del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas, como el Reglamento general de protección de datos prevén una serie de garantías para el acceso a los datos que el Real Decreto-ley 14/2019 no recoge. Cita en apoyo de su argumento las SSTJUE de 21 de diciembre de 2016, asuntos C-203/15 y C-698/15,Tele2 Sverige AB c. Post-ochtelestyrelse, y de 8 de abril de 2014, asuntos C-293/12 y C-594/12,Digital Rights.
La demanda también considera que los citados arts. 3.1 y 3.2, en cuanto imponen la obligación de que los recursos técnicos necesarios para la recogida, el almacenamiento, tratamiento y gestión de datos se hallen en territorio español, son contrarios al derecho de establecimiento y a la libre circulación de servicios en el mercado interior reconocidos en los arts. 49 y 56 a 62 del Tratado de funcionamiento de la Unión Europea. La obligación de un registro y una autorización previos y un informe vinculante también vulneran los arts. 56 a 62 de este tratado, que regulan la libre circulación de servicios en el mercado interior, y el Reglamento eIDAS.
La demanda recuerda que los reglamentos comunitarios no requieren de transposición, son de aplicación directa y, en el caso de los aquí aplicables, pretenden garantizar el derecho de establecimiento y la libre prestación de servicios, a lo que se oponen los preceptos impugnados.
La letrada del Parlamento de Cataluña finaliza solicitado que se declare la inconstitucionalidad de las disposiciones impugnadas del Real Decreto-ley 14/2019.
D) Debido a las dudas de interpretación que se suscitan, solicita por otrosí el planteamiento de las siguientes cuestiones prejudiciales ante el Tribunal de Justicia de la Unión Europea:
«1. El artículo 15, apartado 1 y el artículo 5 de la Directiva 2002/58, en relación con los arts. 7, 8, 11 y 52, apartado 1, de la Carta [Carta de los derechos fundamentales de la Unión Europea], ¿deben interpretarse en el sentido de que se opone a una normativa nacional, como la controvertida en el asunto principal, que establece el acceso por parte de las autoridades judiciales y administrativas de forma generalizada e indiferenciada a todos los datos relativos a categorías especiales a los que se refiere el art. 9 del Reglamento UE 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, en relación con todos los medios de comunicación electrónica?
2. El art. 8 de la Carta en relación con el art. 23 del Reglamento UE 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016 ¿debe interpretarse en el sentido de que en lo relativo a los sistemas de identificación electrónicos puede permitirse un acceso indiscriminado a las categorías especiales de datos a que se refiere el artículo 9 a las autoridades judiciales y administrativas sin establecer el procedimiento por ley, ni la proporcionalidad ni la necesidad de dicha restricción a los derechos fundamentales?
3. ¿Debe interpretarse el artículo 3 de la Directiva 1999/93 del Parlamento Europeo y del Consejo de 13 de diciembre de 1999, por la que se establece un marco comunitario para la firma electrónica, en el sentido de que se considere válido un sistema de firma electrónica que cuente con un registro previo como usuario que permita garantizar su identidad, previa autorización por parte de la Secretaría General de Administración Digital del Ministerio de Política Territorial y Función Pública, que solo podrá ser denegada por motivos de seguridad pública, previo informe vinculante de la Secretaría de Estado de Seguridad del Ministerio del Interior y que deberá ser emitida en el plazo máximo de tres meses, sin perjuicio de que la falta de resolución se entenderá que tiene efectos desestimatorios?
[…]
5. En cuanto al artículo 3 de la Directiva 2002/58, este enuncia que dicha Directiva se aplicará al tratamiento de datos personales en relación con la prestación de servicios de comunicaciones electrónicas disponibles al público en las redes públicas de comunicaciones de la Unión, incluidas las redes públicas de comunicaciones que den soporte a dispositivos de identificación y recopilación de datos […] y según jurisprudencia del TJUE debe considerarse que la citada Directiva regula las actividades de los proveedores de tales servicios, por lo que ¿es compatible dicha normativa de protección de datos con una normativa nacional que prevé acordar la asunción por la Administración General del Estado de la gestión directa o la intervención de las redes y servicios de comunicaciones electrónicas en determinados supuestos excepcionales que puedan afectar al orden público, la seguridad pública y la seguridad nacional sin concretar las medidas, ni sus destinatarios, ni la proporcionalidad de las mismas?
6. En relación con el acceso a las redes de comunicación electrónica, ¿se puede interpretar el art. 15.1 de la Directiva sobre la privacidad y las comunicaciones electrónicas en relación con los arts. 47 y 52 de la Carta en el sentido de que permite una norma nacional que previamente al inicio de un procedimiento sancionador pueda ordenarse por un órgano del Ministerio de Economía y Empresa, mediante una resolución sin audiencia previa, el cese de la presunta actividad infractora cuando se establecen distintas razones de ‘imperiosa urgencia’ de carácter general, como son una amenaza inmediata y grave para el orden público, la seguridad pública o la seguridad nacional, cuando exista una amenaza inmediata y grave para la salud pública, cuando puedan producirse perjuicios graves al funcionamiento de los servicios de seguridad pública, protección civil y de emergencias, cuando se interfiera gravemente a otros servicios o redes de comunicaciones electrónicas o cuando cree graves problemas económicos u operativos a otros proveedores o usuarios de redes o servicios de comunicaciones electrónicas o demás usuarios de espectro radioeléctrico?».
La letrada del Parlamento finaliza su escrito solicitando que la tramitación del recurso se suspenda hasta que el Tribunal de Justicia de la Unión Europea dicte sentencia sobre las anteriores cuestiones.
2. A propuesta de la Sección Cuarta y por providencia de 25 de febrero de 2020, el Pleno acordó admitir a trámite el recurso de inconstitucionalidad promovido por el Parlamento de Cataluña en relación con los arts. 1, 2, 3, 4, 6 y 7; la disposición adicional única; las disposiciones transitorias primera y segunda; y la disposición final primera del Real Decreto-ley 14/2019; dar traslado de la demanda y documentos presentados, conforme establece el art. 34 de la Ley Orgánica del Tribunal Constitucional (LOTC), al Congreso de los Diputados y al Senado, por conducto de sus presidentes, y al Gobierno, a través del ministro de Justicia, al objeto de que, en el plazo de quince días, puedan personarse en el proceso y formular las alegaciones que estimaren convenientes; oír a las partes sobre la posible acumulación de este recurso con el registrado con el núm. 718-2020, promovido por el Gobierno de la Generalitat de Cataluña, y publicar la incoación en el «Boletín Oficial del Estado».
3. Mediante escrito registrado el día 12 de marzo de 2020, la presidenta del Congreso de los Diputados comunicó el acuerdo de la mesa de la Cámara por el que se persona en el proceso y ofrece su colaboración a los efectos del art. 88.1 LOTC. Otro tanto hizo la presidenta del Senado por escrito que tuvo entrada en este tribunal en igual fecha.
4. El abogado del Estado, en la representación que ostenta, se personó en el proceso por escrito registrado el día 12 de marzo de 2020, solicitando una prórroga del plazo inicialmente conferido para formular alegaciones. Prórroga que le fue concedida por diligencia de ordenación de la Secretaría de Justicia del Pleno de 5 de junio de 2020, concediéndole ocho días más de plazo, a contar desde el siguiente al de expiración del ordinario. Sus alegaciones se registraron en este tribunal el día 17 de junio de 2020, interesando la íntegra desestimación del recurso por las siguientes razones:
A) En primer lugar, alude al objeto del recurso de inconstitucionalidad, así como a los antecedentes de la norma, y manifiesta su parecer favorable a la acumulación del presente recurso con el tramitado con el número 718-2020, interpuesto por la Generalitat de Cataluña.
a) Seguidamente, alega que el Real Decreto-ley 14/2019 cumple con el presupuesto habilitante exigido por la doctrina constitucional. Señala que la exposición de motivos de la norma recoge cómo los recientes y graves acontecimientos acaecidos en parte del territorio español han puesto de relieve la necesidad de modificar el marco legislativo vigente para hacer frente a la situación. Tales hechos demandan una respuesta inmediata para evitar que se reproduzcan sucesos de esta índole, estableciendo un marco preventivo a tal fin, cuyo objetivo último es proteger los derechos y libertades constitucionalmente reconocidos y garantizar la seguridad pública de todos los ciudadanos. En el debate parlamentario de convalidación se aludió especialmente a este extremo, en relación con las medidas acerca del documento nacional de identidad, la identificación ante las administraciones públicas y la ubicación de los datos, con el que guardan la necesaria conexión de sentido.
b) En segundo término, tanto en la exposición de motivos como en el debate parlamentario se explicitan suficientemente los riesgos para los ciudadanos y para la propia administración derivados de la aceleración de la transformación digital de las administraciones públicas y, por ende, se justifica la conexión de la situación con las medidas de prevención que se concretan en el articulado en los arts. 3, 4 y 6 impugnados, es decir, las medidas de prevención como urgente respuesta a los riesgos que se describen y que legitiman la intervención del legislador de urgencia. Lo mismo sucede con el art. 7, respecto al esquema de seguridad allí previsto.
c) A continuación, plantea la cuestión del encuadramiento competencial de la norma impugnada, aludiendo a su disposición final primera y a la propia parte expositiva del Real Decreto-ley 14/2019, e indicando que debe hacerse referencia particular a la ciberseguridad como materia incardinada en la competencia estatal sobre seguridad pública del artículo 149.1.29 CE. A juicio del abogado del Estado, ese es el título competencial prevalente. A tales efectos, transcribe sin citarla partes de la fundamentación jurídica de la STC 142/2018, de 20 de diciembre, y señala que se trata de medidas para hacer frente a cuestiones que exceden del ámbito territorial de Cataluña y que no pueden afrontarse desde las medidas de autoprotección que, para el ejercicio de su potestad de autoorganización, pueda desarrollar la comunidad autónoma. El abogado del Estado destaca que el recurso del Parlamento de Cataluña considera en su argumentación que el título competencial prevalente es el art. 149.1.18 CE, para luego entender vulnerados los arts. 150 y 159 EAC. Sin embargo, las medidas de prevención adoptadas en el ejercicio de la competencia estatal en materia de seguridad pública están vinculadas por el Real Decreto-ley 14/2019 al interés general y tienen por finalidad proporcionar al Estado la capacidad de reacción ante situaciones que afecten a la seguridad nacional y al orden público. Se alude a la doctrina de la STC 142/2018 en la que, según el abogado del Estado, se reconoce que la creación, diseño y mantenimiento de una infraestructura de administración electrónica se integra en la potestad autonómica de autoorganización pero, al mismo tiempo, se postula su posible afectación a la seguridad pública y a la seguridad nacional. Enmarcados en estos términos la referencia al art. 149.1.29 CE y a la competencia estatal sobre seguridad pública y ciberseguridad en su relación con la competencia autonómica de autoorganización, examina los preceptos impugnados.
B) Respecto del art. 3 analiza, en primer lugar, la exigencia de previa autorización estatal para la utilización de determinados sistemas de identificación y firma, autorización estatal que solo se produce por motivos de seguridad pública vinculados a la ciberseguridad. El abogado del Estado alude a los diferentes sistemas previstos en el Reglamento eIDAS, señalando que determinadas exigencias de seguridad no se aplican a los sistemas de identificación que se despliegan conforme a lo previsto en el artículo 9.2 c) y 10.2 c) de la Ley 39/2015, por lo que tales sistemas pasan a estar sujetos a una autorización previa meramente de verificación de su seguridad. La verificación trae causa de la necesidad de salvaguardar la seguridad pública en el proceso de transformación digital de la administración, que extiende el riesgo de ataques que impactan en la seguridad pública y en la propia intimidad de los ciudadanos. La competencia autonómica para autoorganizar la ciberseguridad de sus sistemas de administración electrónica se entiende sin perjuicio de la competencia exclusiva del Estado en materia de seguridad pública, proyectada en este caso sobre la ciberseguridad aplicada a las bases del régimen jurídico de la administración electrónica en el conjunto de las administraciones públicas. Se trata de una medida perfectamente coherente con la doctrina constitucional establecida en la STC 55/2018, de forma que, cumpliendo una función típica de las normas de procedimiento administrativo común, se garantiza un «tratamiento común de los administrados ante todas las administraciones públicas».
Por otra parte, el abogado del Estado considera que el art. 3.3 del real decreto-ley restringe provisionalmente el uso de los sistemas de identificación basados en tecnologías de registro distribuido y los sistemas de firma basados en los anteriores, pero únicamente mientras no haya un marco regulatorioad hocde carácter estatal o europeo que haga frente a las debilidades que implica su uso para los datos y la seguridad pública. Con la medida prevista en el real decreto-ley se pretende, de forma cautelar y temporal, suspender la posibilidad de implantar esta tecnología en el ámbito de la identificación y firma electrónicas ante las administraciones públicas, hasta que se regulen en el marco de la Unión Europea, lo que permitirá su eventual implantación cuando las condiciones de seguridad, interoperabilidad y protección de derechos se encuentren oportunamente definidas y acordadas.
a) Acerca de la ubicación de determinadas bases de datos y la cesión de datos a otras administraciones públicas prevista en los arts. 3 y 4 del real decreto-ley, el abogado del Estado indica que la obligación de localización de los recursos técnicos necesarios para la recogida, almacenamiento, tratamiento y gestión de los sistemas de identificación del art. 9.2 c) y de firma del 10.2 c) de la Ley 39/2015 tiene por objeto proteger los datos sensibles que los ciudadanos entregan a las administraciones públicas que, de este modo, quedan sujetos a la normativa europea, evitando la posibilidad de su manipulación y tratamiento en ubicaciones que no están sujetas a la legislación comunitaria. Hace notar que, a estos efectos, se incluyen también como lugares en los que es posible albergar estos sistemas y datos aquellos que, no siendo territorio de la Unión Europea, han sido objeto de una decisión de adecuación de la Comisión Europea. En definitiva, aquellos que también cumplen con los requisitos de protección a los ciudadanos con las mismas garantías que se establecen en la Unión Europea. Descarta, a continuación, las denuncias de vulneración del Reglamento general de protección de datos, pues no es tarea propia de la jurisdicción constitucional el examen de este tipo de cuestiones, sin que tampoco sea posible apreciar una contradicción material con el derecho de la UE. No procede, en consecuencia, el planteamiento de la cuestión prejudicial que se interesa por el Parlamento de Cataluña dado que, además, se constata que no hay contravención del Reglamento.
Desde el punto de vista competencial se trata de una medida perfectamente consistente con lo establecido en la STC 55/2018, de forma que, cumpliendo una función típica de las normas de procedimiento administrativo común, se garantiza un tratamiento común de los administrados ante todas las administraciones públicas, salvaguardando su ciberseguridad con un criterio transversal de seguridad pública aplicado a determinados casos y sin afectar en modo alguno a los amplios márgenes de autoorganización de las administraciones públicas.
b) Por lo que respecta a las transmisiones de datos entre administraciones públicas del art. 4.2, que da nueva redacción al art. 155 de la Ley 40/2015, de 1 de octubre, de régimen jurídico del sector público (LRJSP), el abogado del Estado argumenta que no tiene por objeto regular el derecho fundamental a la protección de datos personales, sino introducir medidas de régimen jurídico de las administraciones públicas en las que las limitaciones que se imponen son conformes a la normativa de protección de datos y al propio Reglamento general de protección de datos. La limitación de las transferencias internacionales de datos se ampara en los arts. 45 y 49.5 RGPD, que prevén que, para transferir datos personales a un tercer país u organización internacional, es preciso que la comisión haya decidido que el país u organización de que se trate garantizan un nivel de protección adecuado. Y que, en ausencia de esta decisión, el derecho de los Estados miembros podrá, por razones importantes de interés público, establecer expresamente límites a la transferencia de categorías específicas de datos a un tercer país u organización internacional. Por lo que se refiere a la prohibición de tratamiento incompatible (art. 155.2 LRJSP), debe recordarse que uno de los principios básicos aplicable al tratamiento de datos personales es la limitación de la finalidad, actualmente recogido en el art. 5.1 b) RGPD, de modo que los datos personales serán recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines. En cuanto a las medidas en caso de afección a la seguridad nacional, el representante del Gobierno recuerda que el Reglamento general de protección de datos no se aplica a las actividades relativas a la seguridad nacional.
C) Sobre el art. 6 y los cambios introducidos en la Ley general de telecomunicaciones, el abogado del Estado indica, en primer lugar, que los preceptos impugnados se encuadran en el art. 149.1.21 CE, recordando la doctrina constitucional al respecto (cita las SSTC 8/2012, de 18 de enero, y 235/2012, de 13 de diciembre, entre otras).
a) El abogado del Estado argumenta que la nueva redacción del art. 4.6 LGTel dada por el art. 6.1 del real decreto-ley tiene como finalidad garantizar el pleno ejercicio de los derechos fundamentales. El objetivo de la habilitación concedida al Gobierno no puede ser otro que el de restablecer el suministro de la red o servicio de que se trate, devolviéndolo a la situación anterior a ese «anormal funcionamiento» al que se refiere el último párrafo del artículo 4.6. La gestión o «intervención» a las que alude el precepto en ningún caso se refiere a una intervención de comunicaciones privadas, sino meramente a una gestión material o a una toma de decisiones dirigidas a restablecer el normal funcionamiento de la red o servicio. La Ley general de telecomunicaciones no afecta al control de los contenidos que circulan por las redes, por lo que toda intervención conforme al art. 4.6 no puede tener otro objetivo que el restablecimiento de redes o servicios. Por tanto, dicho restablecimiento afecta a los derechos fundamentales, pero para restituir sus posibilidades materiales de ejercicio. Los intereses perseguidos por el artículo 4.6 LGTel son intereses «públicos» plasmados en la finalidad de mantener bienes jurídicos de gran trascendencia en un Estado democrático de derecho, como el orden público, la seguridad pública o la seguridad nacional. Por tanto, este precepto no habilita al Gobierno para adoptar la gestión directa o para intervenir una red «privada» o en autoprestación, en la medida en que el marco jurídico de las telecomunicaciones se refiere a operadores que, actuando bajo los principios de libre mercado y competencia plena, instalan y despliegan sus redes y prestan servicios de comunicaciones electrónicas a los ciudadanos y empresas.
Añade que el art. 4.6 LGTel no se refiere a las redes privadas o en autoprestación, sino solamente a aquellos casos en los que la red es pública, en el sentido de que con ella el titular presta servicios disponibles al público en general, esto es, a los ciudadanos, a las empresas, a las administraciones y a otros operadores, y por tanto, solo cuando las redes o servicios de telecomunicaciones son servicios de interés general que se prestan en libre competencia.
El abogado del Estado recuerda la doctrina de la STC 72/2014, de 8 de mayo, que consideró conforme con el orden competencial la redacción anterior de este precepto. Las modificaciones introducidas en nada afectan al contenido esencial del precepto ni, por tanto, a su incidencia en competencias autonómicas o derechos fundamentales, ya que se trata de modificaciones mínimas y puntuales, exclusivamente dirigidas a facilitar la comprensión y aplicación del precepto y a alinear su redacción con la de otras normativas ya en vigor.
Para el representante del Gobierno, la introducción de una referencia al orden público en nada modifica el sentido del precepto, en la medida en que este concepto ya forma parte o se encuadra dentro del concepto más general de seguridad pública, el cual a su vez se encuadra dentro del término más omnicomprensivo de la seguridad nacional (cita las SSTC 86/2014, de 29 de mayo, y 84/2016, 28 de abril). Esta referencia al orden público se conecta también con las competencias estatales en materia de ciberseguridad y concuerda con las referencias que a esta cuestión se incluyen en la Ley 36/2015, de 28 de septiembre, de seguridad nacional y en el propio Código europeo de las comunicaciones electrónicas. Se limita a introducir conceptos que figuran en las últimas normas relativas a telecomunicaciones y situaciones de seguridad nacional, clarificando que las telecomunicaciones, en cuanto servicios de interés general, han de ser protegidas de cualquier atentado a la convivencia que impida su normal funcionamiento. Similar razonamiento cabe hacer respecto a la inclusión de una referencia expresa a que el objeto de intervención o gestión directa no solo puede ser una red de comunicaciones electrónicas, sino también cualquier infraestructura, recurso asociado o elemento o nivel de la red o del servicio que sea necesario.
Por último, la eliminación de la referencia a la Ley de contratos del sector público responde a una mejora técnica del precepto, eliminando una referencia errónea ya que, al no tratarse de servicios públicos sino de redes y servicios que son calificados de interés general, pero que se prestan en régimen de libre competencia, no existía ningún precepto de la Ley de contratos que pudiera resultar aplicable.
b) La constitucionalidad de la regulación de las medidas cautelares de la nueva redacción del art. 81.1 LGTel se justifica señalando que estas medidas vienen contempladas en el art. 30.6 del Código europeo de las comunicaciones electrónicas, medidas a las que les son aplicables las garantías que, especialmente en el ámbito del procedimiento sancionador, protegen a los administrados, como los requisitos de motivación, necesidad de su adopción o proporcionalidad, a los que se refiere el art. 56.2 de la Ley 39/2015. Por lo demás, el precepto establece las condiciones en las que puede declararse el cese de la actividad sin audiencia previa del presunto infractor y se aplica a todo aquel que haya cometido la actividad infractora, con independencia de que se trate de una persona física o jurídica, pública o privada.
El abogado del Estado también niega que exista vulneración de derechos fundamentales en la nueva regulación del art. 4.6 LGTel, en la medida en que este precepto no habilita al Gobierno a intervenir servicios digitales ni servicios audiovisuales o medios de comunicación, por cuanto no se han alterado el ámbito objetivo y las definiciones que vienen establecidas en la Ley general de telecomunicaciones. Insiste en que la finalidad del precepto no es el control de la red o la interrupción de acceso a internet o a parte de ella, sino su mantenimiento o restablecimiento ante situaciones provisionales y extraordinarias de anormal funcionamiento por motivos tasados, que son los recogidos en el propio art. 4.6 LGTel.
5. Con fecha 10 de febrero de 2023, el magistrado don Juan Delgado Herrera Parra formuló su abstención en relación con el presente proceso constitucional, abstención que fue considerada justificada por el Pleno en el auto 62/2023, de 21 de febrero, lo que dio lugar a apartarle definitivamente del presente recurso y de todas sus incidencias.
6. Por providencia de 23 de mayo de 2023 se señaló para deliberación y fallo de esta sentencia el día 24 del mismo mes y año.
1. Objeto del recurso y posiciones de las partes.
La letrada del Parlamento de Cataluña, en representación de dicha cámara, interpone un recurso de inconstitucionalidad contra los arts. 1, 2, 3, 4, 6 y 7; la disposición adicional única; las disposiciones transitorias primera y segunda; y la disposición final primera del Real Decreto-ley 14/2019, de 31 de octubre, por el que se adoptan medidas urgentes por razones de seguridad pública en materia de administración digital, contratación del sector público y telecomunicaciones.
Tal y como se ha expuesto con más detalle en los antecedentes, el recurso denuncia diversos tipos de vulneraciones:
a) La letrada del Parlamento de Cataluña denuncia, respecto de todos los preceptos impugnados, el incumplimiento del presupuesto habilitante para la utilización del real decreto-ley (art. 86.1 CE). La demanda aduce que no se acredita la concurrencia de una situación de extraordinaria y urgente necesidad, ni la exigible conexión de sentido entre las medidas adoptadas y la finalidad que se persigue.
b) A juicio de la letrada del Parlamento, los arts. 3.1 y 3.2 y, por conexión, la disposición transitoria primera, apartado primero y la disposición final primera, apartado segundo del Real Decreto-ley 14/2019 vulneran el orden constitucional y estatutario de distribución de competencias. En concreto, los considera contrarios a las competencias de la Generalitat reconocidas en los arts. 150 y 159 EAC, en la medida en que someten a la autorización previa de la Administración General del Estado las firmas y sellos electrónicos que la comunidad autónoma utiliza para su relación con los ciudadanos. La tacha competencial se extiende al art. 3.3, por prohibir el uso de sistemas de identificación y de firma basados en tecnologías de registro distribuido, mientras no se desarrollen normativamente, y erigir a la Administración General del Estado en autoridad intermedia respecto de su uso futuro.
c) En el plano sustantivo, la letrada del Parlamento catalán considera que el art. 6.1 del real decreto-ley, al dar nueva redacción al art. 4.6 LGTel, introduce una intervención amplia y de alcance general sobre el conjunto de redes y servicios de las comunicaciones electrónicas por razones de orden público, que afecta al secreto de las comunicaciones (art. 18.3) y genera un marco de imprevisibilidad que hace que incumpla el mínimo de calidad normativa y vulnere por este motivo el art. 9.3 CE. Asimismo, reprocha al art. 6.5 que, al modificar el art. 81.1 LGTel, adolece de calidad normativa y reduce las garantías exigibles para la adopción de medidas provisionales en el procedimiento sancionador, en detrimento de la seguridad jurídica (art. 9.3 CE), de los principios de actuación de la administración pública (art. 103 CE) y del derecho a la tutela judicial efectiva (art. 24.1 CE).
d) Por último, la letrada del Parlamento considera que los arts. 3.1 y 3.2 también son contrarios a distintas normas de la Unión Europea en materia de derecho de establecimiento, libre circulación de servicios, protección de datos, identificación electrónica y servicios de confianza para las transacciones electrónicas en el mercado interior.
Por otra parte, y como se ha expuesto pormenorizadamente en el relato de los antecedentes, el abogado del Estado niega todas estas vulneraciones constitucionales interesando, en consecuencia, la íntegra desestimación del recurso.
Finalmente, debe señalarse que el Real Decreto-ley 14/2019 ya ha sido objeto de dos pronunciamientos de este tribunal: la STC 10/2023, de 23 de febrero, que ha resuelto el recurso de inconstitucionalidad interpuesto contra él por el Gobierno de la Generalitat de Cataluña (recurso de inconstitucionalidad 718-2020), y la STC 36/2023, de 19 de abril, que ha resuelto por el recurso de inconstitucionalidad interpuesto contra el este real decreto-ley el Consejo de Gobierno de la Comunidad Autónoma del País Vasco (recurso de inconstitucionalidad 1220-2021).
2. Pérdida parcial de objeto del recurso.
Como ya sucedió en el caso de los dos recursos de inconstitucionalidad antes citados, el presente recurso ha perdido parte de su objeto. En este sentido, tanto la STC 10/2023 como la STC 36/2023 han declarado extinguido respecto de determinadas impugnaciones el proceso promovido contra el Real Decreto-ley 14/2019 por el Gobierno de la Generalitat (recurso de inconstitucionalidad 718-2020) y por el Gobierno de la Comunidad Autónoma del País Vasco (recurso de inconstitucionalidad 1220-2021). A la misma conclusión ha de llegarse en el presente caso.
a) Respecto a la vulneración competencial que se imputa a los arts. 3.1 y 3.2, en relación con la disposición transitoria primera y la disposición final primera, apartado segundo, tanto la STC 10/2023, FJ 2, como la STC 36/2023 han constatado que los arts. 9.2 c) y 10.2 c) de la Ley 39/2015, de 1 de octubre, del procedimiento administrativo común de las administraciones públicas, modificados por aquellos, han sido redactados de nuevo por la Ley 11/2022, de 28 de junio, general de telecomunicaciones. Las referidas sentencias han apreciado que con esta modificación ha quedado solventada la infracción competencial planteada por los Gobiernos de la Generalitat y de la Comunidad Autónoma del País Vasco, que coincide con la aducida por el Parlamento. Por tanto, también debemos declarar la pérdida sobrevenida del objeto del recurso de la cámara autonómica respecto de los indicados preceptos del real decreto-ley.
b) En lo atinente a las infracciones sustantivas, las SSTC 10/2023 y 36/2023 han concluido que debido a la aprobación de la citada Ley 11/2022 también ha perdido objeto la impugnación del art. 6.1 y la del art. 6.5 del Real Decreto-ley 14/2019, por los que se modifican los arts. 4.6 y 81.1 LGTel, respectivamente. A la misma conclusión hemos de llegar en el presente recurso de inconstitucionalidad.
3. Desestimación del objeto subsistente.
A la vista de lo expuesto en el fundamento anterior, el presente recurso solo mantiene su objeto respecto de: (i) el incumplimiento del presupuesto habilitante del real decreto-ley que establece el art. 86.1 CE; y (ii) la infracción competencial imputada al art. 3.3 del real decreto-ley, sobre el uso de sistemas de identificación basados en tecnologías de registro distribuido; y (iii) la infracción del Derecho europeo por los arts. 3.1 y 3.2, en la parte que no ha sido modificada por la disposición final 1.1 y 1.2 de la Ley 11/2022, de 28 de junio, respectivamente.
(i) La vulneración del art. 86.1 CE ha sido desestimada por la STC 10/2023, FJ 3, según la cual «el Tribunal aprecia que las circunstancias reflejadas en la exposición de motivos del decreto-ley impugnado y puestas de manifiesto durante la fase de convalidación y en el expediente de elaboración de la norma reflejan, más allá de una mera conveniencia política, una situación de hecho que permite concluir, en el ámbito del control externo que compete realizar a este tribunal, que existen ra