Categoría: Judicial

tual requiere de adaptaciones en la esfera digital que exigen de una traducción en el plano normativo. El desarrollo y empleo de las nuevas tecnologías y redes de comunicaciones por parte de las Administraciones Públicas se está acelerando. Ello exige establecer sin demora un marco jurídico que garantice el interés general y, en particular, la seguridad pública, asegurando la adecuada prestación de los servicios públicos y, al mismo tiempo, que la administración digital se emplee para fines legítimos que no comprometan los derechos y libertades de los ciudadanos». Posteriormente, indica que la Ley 36/2015, de 28 de septiembre, de seguridad nacional, «describe los riesgos asociados a las nuevas tecnologías como uno de los principales desafíos de la sociedad actual», siendo la ciberseguridad uno de los ámbitos prioritarios de actuación de la estrategia de seguridad nacional 2017, aprobada mediante Real Decreto 1008/2017, de 1 de diciembre, en cuanto «identifica las ciberamenazas y el espionaje como amenazas que comprometen o socavan la seguridad nacional». Continúa afirmando que «(e)l desarrollo tecnológico implica una mayor exposición a nuevas amenazas, especialmente las asociadas al ciberespacio, tales como el robo de datos e información, el hackeo de dispositivos móviles y sistemas industriales, o los ciberataques contra infraestructuras críticas. La hiperconectividad actual agudiza algunas de las vulnerabilidades de la seguridad pública y exige una mejor protección de redes y sistemas, así como de la privacidad y los derechos digitales del ciudadano». En esa línea, se indica que «entre los principales desafíos que las nuevas tecnologías plantean desde el punto de vista de la seguridad pública se encuentran las actividades de desinformación, las interferencias en los procesos de participación política de la ciudadanía y el espionaje. Estas actividades se benefician de las posibilidades que ofrece la sofisticación informática para acceder a ingentes volúmenes de información y datos sensibles». Se alude a continuación al «proceso de transformación digital de la administración», señalando que «[l]a administración electrónica agudiza la dependencia de las tecnologías de la información y extiende la posible superficie de ataque, incrementando el riesgo de utilización del ciberespacio para la realización de actividades ilícitas que impactan en la seguridad pública y en la propia privacidad de los ciudadanos».
A lo anterior se añade que «los recientes y graves acontecimientos acaecidos en parte del territorio español han puesto de relieve la necesidad de modificar el marco legislativo vigente para hacer frente a la situación. Tales hechos demandan una respuesta inmediata para evitar que se reproduzcan sucesos de esta índole estableciendo un marco preventivo a tal fin, cuyo objetivo último sea proteger los derechos y libertades constitucionalmente reconocidos y garantizar la seguridad pública de todos los ciudadanos».
Más adelante, el apartado III de la exposición de motivos vuelve a referirse al requisito de la extraordinaria y urgente necesidad, indicando que «el real decreto-ley constituye un instrumento constitucionalmente lícito, siempre que el fin que justifica la legislación de urgencia, sea, tal como reiteradamente ha exigido nuestro Tribunal Constitucional (sentencias 6/1983, de 4 de febrero, FJ 5; 11/2002, de 17 de enero, FJ 4, 137/2003, de 3 de julio, FJ 3, y 189/2005, de 7 julio, FJ 3), subvenir a un situación concreta, dentro de los objetivos gubernamentales, que por razones difíciles de prever exige una acción normativa inmediata en un plazo más breve que el requerido por la vía normal o por el procedimiento de urgencia para la tramitación parlamentaria de las leyes», mencionando luego la doctrina constitucional en torno a la concurrencia de los presupuestos habilitantes de la extraordinaria y urgente necesidad y a la necesaria conexión de sentido entre la situación de necesidad definida y las medidas adoptadas.
Se sostiene también que «la alternativa de introducir estas medidas mediante un proyecto de ley no es factible en el presente caso, habida cuenta de que las Cámaras se encuentran disueltas y no es posible dilatar su adopción hasta la constitución de las Cortes Generales, y, aun utilizándose entonces el trámite de urgencia, no se lograría reaccionar a tiempo». Se concluye afirmando que «los motivos que acaban de exponerse justifican ampliamente la concurrencia de los requisitos constitucionales de extraordinaria y urgente necesidad, que habilitan al Gobierno para aprobar el presente real decreto-ley dentro del margen de apreciación que, en cuanto órgano de dirección política del Estado, le reconoce el artículo 86.1 de la Constitución (STC 142/2014, FJ 3 y STC 61/2018, FFJJ 4 y 7). Concurren también las notas de excepcionalidad, gravedad y relevancia que hacen necesaria una acción normativa inmediata en un plazo más breve que el requerido para la tramitación parlamentaria de una ley, bien sea por el procedimiento ordinario o por el de urgencia (STC 68/2007, FJ 10 y STC 137/2011, FJ 7)». A lo que se añade que «en el supuesto abordado por este real decreto-ley ha de subrayarse que para subvenir a la situación de extraordinaria y urgente necesidad descrita es necesario proceder a la reforma de varias normas con rango de ley, lo que de por sí exige “una respuesta normativa con rango de ley” [STC 152/2017, de 21 de diciembre, FJ 3 i)]».
En el debate de convalidación del Real Decreto-ley 14/2019, de 27 de noviembre de 2019, ante la Diputación Permanente del Congreso de los Diputados (debate que se transcribe en «Diario de Sesiones. Congreso de los Diputados», XIII Legislatura, núm. 14, págs. 13-31), la ministra de Economía y Empresa en funciones asumió su defensa en nombre del Gobierno señalando que la revolución digital «exige establecer sin demora un marco jurídico que garantice el interés general y, en particular, la seguridad pública, asegurando la adecuada prestación de los servicios públicos y, al mismo tiempo, que la administración digital se emplea para fines legítimos que no comprometan los derechos y libertades de los ciudadanos». Esta idea se reitera posteriormente cuando afirma que «es imprescindible garantizar a los ciudadanos un nivel de seguridad y protección de sus derechos en el ámbito digital exactamente igual al que tienen en el ámbito analógico, y este, y no otro, es el objetivo que se persigue con este real decreto-ley, señorías, que incluye medidas en los ámbitos de la documentación nacional de identidad, la identificación electrónica ante la administración y datos en poder de las administraciones públicas, la contratación pública, las telecomunicaciones y la seguridad en las redes y sistemas de información».
Y sostiene que «[e]l real decreto-ley que se somete hoy a convalidación es coherente con los principios de urgente y extraordinaria necesidad que se exigen a esta figura jurídica. Se trata de una norma urgente, habida cuenta de la celeridad con la que se están produciendo los avances en esta materia y dada la situación política actual, con el Gobierno en funciones y las cámaras disueltas. Esperar a la constitución de las nuevas Cortes Generales y tramitar un proyecto de ley habría impedido contar con la suficiente celeridad con un marco jurídico preventivo que sirva para proteger los derechos y libertades constitucionalmente reconocidos».
Por último, debemos examinar el expediente de elaboración de la norma impugnada. En concreto, el documento aportado a los autos por el abogado del Estado, cuyo nombre completo es «Memoria abreviada del análisis de impacto normativo del proyecto de Real Decreto-ley por el que se adoptan medidas urgentes por razones de seguridad pública en materia de administración digital, contratación del sector público y telecomunicaciones», elaborado conjuntamente por siete departamentos ministeriales con fecha 30 de octubre de 2019. Los contenidos de este documento han sido trasladados en gran parte a la exposición de motivos del Real Decreto-ley 14/2019 y reitera, al abordar la motivación de la propuesta, las referencias a los graves acontecimientos acaecidos en parte del territorio español, que hacen necesario adoptar medidas urgentes con el fin de preservar la seguridad pública de todos los ciudadanos. Se afirma que «resulta necesario articular una respuesta inmediata para evitar que se reproduzcan sucesos de esta índole. Ha de establecerse un marco jurídico preventivo a tal fin, cuyo objetivo último sea proteger los derechos y libertades constitucionalmente reconocidos». Posteriormente, se alude a la intensidad del desarrollo de la administración electrónica y su dependencia de las tecnologías de la información, lo que incrementa «el riesgo de utilización del ciberespacio para la realización de actividades ilícitas que impactan en la seguridad pública y en la propia privacidad de los ciudadanos», con la consecuencia de que se entiende obligado «establecer sin demora un marco jurídico que garantice el interés general y, en particular, la seguridad pública. Solo de este modo podrá asegurarse que la administración digital se emplea para fines legítimos que no comprometan los derechos y libertades de los ciudadanos».
En el apartado denominado «Análisis de alternativas» se indica que «se consideró la alternativa de introducir estas medidas mediante un proyecto de ley; sin embargo, dada la urgencia requerida para su aprobación y habida cuenta de que las Cámaras se encuentran disueltas, dilatar estas medidas hasta la constitución de las Cortes Generales, y aun utilizándose entonces el trámite de urgencia, no habría permitido reaccionar a tiempo».
(ii) Expuestos y analizados todos estos motivos, debemos valorar si dan cuenta de la existencia de una justificación razonable de la situación de extraordinaria y urgente necesidad, para comprobar luego si las medidas aprobadas son congruentes con esa situación. En la realización de este examen son necesarias dos precisiones. La primera es que, aunque no se impugnan todos los preceptos del Real Decreto-ley 14/2019, las alegaciones de la demanda cuestionan la falta del presupuesto habilitante en los preceptos impugnados de forma global o común, con lo que las razones alegadas para justificar la concurrencia de la extraordinaria y urgente necesidad se pueden examinar conjuntamente. La segunda es que, en ese examen, debe tenerse en cuenta el necesario «margen de apreciación» que debe reconocerse al Gobierno como órgano de dirección política cuando de decisiones de esta naturaleza se trata.
Teniendo en cuenta lo expuesto, el Tribunal aprecia que las razones que llevaron al Gobierno a dictar los preceptos del Real Decreto-ley 14/2019 aquí cuestionados tienen que ver con la necesidad de garantizar un adecuado nivel de protección de los derechos de los ciudadanos en un entorno en constante transformación como es el digital, evitando con ello los riesgos que, en dicho entorno, pueden plantearse para la seguridad pública. Consideración esta última fundada en la mención a determinados acontecimientos acaecidos que, en la consideración del Gobierno, hacían preciso introducir modificaciones tanto en el régimen jurídico aplicable a la utilización de medios electrónicos en las relaciones entre la administración y los ciudadanos como en el ámbito de las telecomunicaciones, incrementando el estándar de protección de la seguridad pública en ambos ámbitos.
A eso debe añadirse que, cuando el Gobierno aprobó la norma, las posibilidades de que la situación de urgente necesidad que debía ser atendida pudiera solventarse a través del procedimiento legislativo era remota. Cuando se dicta el Real Decreto-ley 14/2019 recurrido en este proceso constitucional, el Gobierno llevaba más de medio año en funciones, concretamente 185 días. Las Cortes Generales fueron disueltas en virtud de lo dispuesto en el art. 99.5 CE y convocadas elecciones generales para el día 10 de noviembre de 2019 (en virtud del Real Decreto 551/2019, de 24 de septiembre, de disolución del Congreso de los Diputados y del Senado y de convocatoria de elecciones). La disolución automática de las cámaras y la correspondiente convocatoria de nuevas elecciones generales prolongó de un modo inevitable la situación de interinidad del Gobierno, iniciada originariamente con la convocatoria de elecciones de 28 de abril de 2019 (Real Decreto 129/2019, de 4 de marzo, de disolución del Congreso de los Diputados y del Senado y de convocatoria de elecciones generales). Durante el dilatado periodo de interinidad gubernamental, el Gobierno no pudo presentar proyectos de ley por establecerlo así el art. 21.5 de la Ley 50/1997, de 27 de noviembre, del Gobierno. Y, dado el breve plazo transcurrido desde la constitución de las cámaras y sus órganos hasta su disolución como consecuencia del transcurso de dos meses, a contar desde la primera votación de investidura, sin que el Congreso de los Diputados invistiera a un nuevo presidente del Gobierno (art. 99.5 CE), no era previsible que una proposición de ley pudiera culminar la tramitación parlamentaria hasta convertirse en ley. En esta situación, de prolongada interinidad del Gobierno, unida a la convocatoria de elecciones generales, que resultaba incierto el ejercicio de la potestad legislativa de las cámaras, encuentra justificación el recurso al instrumento de la legislación de urgencia para atender a la situación antes descrita.
El Tribunal estima que las situación descrita por el Gobierno, aun cuando no explicitada como es deseable la carga de que concurre el presupuesto habilitante, se mantiene dentro de los márgenes de apreciación que deben reconocérsele para hacer uso de la potestad legislativa excepcional del art. 86.1 CE.
La acreditada de manera suficiente en este proceso reúne las características del art. 86.1 CE, que legitiman al Gobierno para revertirla o corregirla con una urgencia que no permitiría la aprobación de una ley formal en el parlamento. La necesidad justificadora de los decretos-leyes supone una valoración esencialmente política de ordenación de prioridades de actuación respecto de situaciones concretas y objetivos gubernamentales que, por razones difíciles de prever, requieren una acción normativa inmediata en un plazo más breve que el requerido por la vía normal o incluso por el procedimiento de urgencia para la tramitación parlamentaria de las leyes. En este caso, el Gobierno ha definido «la situación de necesidad de modo explícito y razonado», por referencia a la situación que trata de atender y a la imposibilidad de resolverla por el procedimiento legislativo, sin necesidad de que «se refiera expresamente a todos y cada uno de los elementos determinantes de la misma, lo que no sería coherente con que la citada doctrina constitucional califique la decisión gubernativa de dictar un decreto-ley de “juicio político o de oportunidad” y defina la verificación de esta decisión que atañe al Tribunal como “control externo” a realizar mediante una “valoración conjunta de todos aquellos factores que determinaron al Gobierno a dictar la disposición legal excepcional”» (STC 93/2015, FJ 5).
Por tanto, y como consecuencia de todo ello, no es posible apreciar un exceso en el margen de apreciación del Gobierno o un uso arbitrario de la potestad del art. 86.1 CE.
En cuanto al segundo elemento de nuestro canon, atendiendo al control que corresponde a este tribunal, que debe respetar el margen de discrecionalidad política que en la apreciación de este requisito corresponde al Gobierno, podemos considerar que no se ha vulnerado la conexión de sentido entre la medida adoptada y la situación de extraordinaria necesidad y urgencia definida. Las modificaciones normativas se ajustan a los objetivos que la exposición de motivos de la norma de urgencia afirma perseguir en cuanto que todas ellas tienen que ver con la garantía de los derechos de los ciudadanos y de la seguridad pública en un entorno digital. Desde esta perspectiva, las medidas contenidas en los preceptos impugnados son coherentes con la situación de necesidad definida. Por otro lado, se modifica de manera inmediata la regulación existente, lo cual también es acorde con la situación de urgencia definida. No es obstáculo para ello, el hecho de que, respecto a algunas de las medidas se otorgue un plazo para su cumplimiento (disposiciones adicional única, transitoria primera.2 y transitoria segunda.1), pues la obligación ha quedado ya fijada y el ordenamiento modificado en el momento en que la norma de urgencia se aprueba. A este respecto, la STC 237/2012, de 13 de diciembre, FJ 6, señala que «no debe confundirse eficacia inmediata de la norma provisional con la ejecución instantánea de la misma. Solo aquella es un requisito ínsito en la definición constitucional del decreto-ley establecida en el art. 86.1 CE […] en tanto que la celeridad de la completa ejecución estará en función de la naturaleza y complejidad de las propias medidas adoptadas en cada decreto-ley para hacer frente a la situación de urgencia».
En suma, el Tribunal aprecia que las circunstancias reflejadas en la exposición de motivos del decreto-ley impugnado y puestas de manifiesto durante la fase de convalidación y en el expediente de elaboración de la norma reflejan, más allá de una mera conveniencia política, una situación de hecho que permite concluir, en el ámbito del control externo que compete realizar a este tribunal, que existen razones suficientes para apreciar la existencia de una situación de extraordinaria y urgente necesidad.
4. Examen de las quejas competenciales derivadas de la reforma de la Ley Orgánica 4/2015, de protección de la seguridad ciudadana; la Ley 59/2003, de firma electrónica, y la Ley 39/2015, de procedimiento administrativo común de las administraciones públicas.
Descartada la concurrencia del primer motivo de inconstitucionalidad alegado, debemos abordar ahora el enjuiciamiento de los concretos preceptos impugnados por razones competenciales, empezando por la impugnación de los preceptos que reforman la Ley Orgánica 4/2015 y las leyes 59/2003 y 39/2015, impugnados por introducir regulaciones a las que se imputa que restringen la potestad de autoorganización autonómica en relación con la administración digital, contraviniendo con ello los arts. 150 y 159 EAC.
Tales tachas se formulan: (i) a las medidas relativas al documento nacional de identidad establecidas en los arts. 1 y 2 del Real Decreto-ley 14/2019, por los que se modifican el art. 8.1 LOPSC y el art. 15.1 de la Ley 59/2003, de 19 de diciembre, de firma electrónica; (ii) al régimen de autorización previa para el empleo de sistemas de identificación y de firma electrónica de clave concertada u otros que cuenten con un registro previo como usuario que permita garantizar su identidad y que las administraciones consideren válido, previsto en el art. 3.1 y 2 del Real Decreto-ley 14/2019, en la redacción que da a los artículos 9.2 c) y 10.2 c) de la Ley 39/2015 y (iii) a la restricción del uso de las denominadas tecnologías de registro distribuido que deriva del art. 3.3 del Real Decreto-ley 14/2019, en cuanto añade una nueva disposición adicional sexta a la citada Ley 39/2015.
Sobre el segundo bloque de quejas de los citados, no nos pronunciaremos por haber desaparecido sobrevenidamente el objeto del recurso en este punto, tal y como se expone extensamente en el fundamento jurídico 2.
Tampoco lo haremos sobre otra serie de argumentos que guarda relación con las quejas anteriores. Nos referimos a aquellos que se plantean la inconstitucionalidad del art 3.1 y 2 del Real Decreto-ley 14/2019, en la obligación que incorpora a los arts. 9.3 y 10.3 de la Ley 39/2015, de situar «en territorio español» los recursos técnicos necesarios para la recogida, almacenamiento, tratamiento y gestión de los sistemas previstos en los artículos 9.2 c) y 10.2 c) de la citada ley, así como, por conexión, la disposición transitoria primera, apartado 2, del propio Real Decreto-ley 14/2019. Sin embargo, la tacha formulada respecto a estos tres preceptos no se relaciona con la infracción del orden constitucional de distribución de competencias, en la medida en que lo que realmente se alega es que no se ajustan a lo previsto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (RGPD), apreciación en la que descansa la denuncia de vulneración competencial construida, en todo caso, en torno a lo que se entiende como una infracción directa de una norma de Derecho de la Unión Europea, el ya referido Reglamento general de protección de datos.
Por tanto, teniendo en cuenta el modo en que se formula, esta tacha no puede ser atendida en sede de recurso de inconstitucionalidad, ya que es consolidada la doctrina recordada en la STC 81/2020, de 15 de julio, FJ 2, según la cual «el Derecho de la Unión Europea no es en sí mismo canon directo de constitucionalidad en los procesos constitucionales, de modo que la eventual infracción de las normas de la Unión Europea por leyes estatales o autonómicas constituye un conflicto de normas que ha de resolverse en el ámbito de la jurisdicción ordinaria y, en su caso, por el Tribunal de Justicia de la Unión Europea (entre otras muchas, SSTC 28/1991, de 14 de febrero, FJ 5; 128/1999, de 1 de julio, FJ 9; 173/2005, de 23 de junio, FJ 9; 135/2012, de 19 de junio, FJ 2; 64/2013, de 14 de marzo, FJ 4, y 76/2019, de 22 de mayo, FJ 3)».
Lo propio sucede también con la limitación a las transferencias de datos contenidas en el último párrafo de los nuevos arts. 9.3 y 10.3 de la Ley 39/2015, respecto a los que no hay propiamente denuncia de vulneración competencial, pues lo que en realidad se alega es que se trata de un régimen más restrictivo que el previsto en el Reglamento general de protección de datos, cuestión que, por lo que se acaba de exponer, no puede ser valorada en esta sede.
(i) Dicho lo anterior, nos centraremos, en primer lugar, en la impugnación de los arts. 1 y 2 del Real Decreto-ley 14/2019, relativos a la regulación del DNI y del DNI electrónico.
El art. 1 da nueva redacción al apartado 1 del art. 8 LOPSC, que queda redactado en los siguientes términos:
«1. Los españoles tienen derecho a que se les expida el Documento Nacional de Identidad.
El Documento Nacional de Identidad es un documento público y oficial y tendrá la protección que a estos otorgan las leyes. Es el único documento con suficiente valor por sí solo para la acreditación, a todos los efectos, de la identidad y los datos personales de su titular.»
Por su parte, el art. 2 modifica el apartado 1 del art. 15 de la Ley 59/2003, de 19 de diciembre, de firma electrónica, en los siguientes términos:
«El documento nacional de identidad electrónico es el documento nacional de identidad que acredita electrónicamente la identidad personal de su titular, en los términos establecidos en el artículo 8 de la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana, y permite la firma electrónica de documentos.»
Siendo, como se expone en el fundamento jurídico 2, la literalidad actual de eta previsión la siguiente, contenida en la disposición adicional tercera de la Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza:
«[E]l Documento Nacional de Identidad electrónico es el Documento Nacional de Identidad que permite acreditar electrónicamente la identidad personal de su titular, en los términos establecidos en el artículo 8 de la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana, así como la firma electrónica de documentos.»
La modificación introducida en el art. 8.1 LOPSC ha consistido en añadir que el DNI es «el único documento» con suficiente valor por sí solo para acreditar «a todos los efectos» la identidad del titular y sus datos personales. La reforma del art. 15.1 de la Ley de firma electrónica es consecuencia de lo anterior, en cuanto se limita a incorporar una remisión al citado art. 8.1 LOPSC.
La demanda cuestiona el posible efecto restrictivo que la concreta regulación que ahora se efectúa pueda tener sobre las competencias de la Generalitat para determinar los sistemas de identificación de los interesados ante las administraciones públicas, incidiendo en las competencias previstas en los arts. 150 y 159 EAC. Concretamente, se critica que la principal consecuencia de dicha modificación es que la creación de sistemas de identificación y firma deba ir precedida de una identificación personal que solo podrá realizarse a través del DNI. El abogado del Estado, por el contrario, ha defendido que la regulación impugnada no impide, como parece entender la demanda, la utilización de otros sistemas de identificación, sino que veta únicamente la creación de sistemas de identificación a los que se pretendiera otorgar la misma consideración y eficacia que al DNI.
El DNI se regula en el capítulo II LOPSC, (arts. 8 a 11), preceptos en los que se establece el derecho de los españoles a la expedición del DNI y el valor de dicho documento para la acreditación, a todos los efectos, de la identidad y los datos personales de su titular. Se determina el régimen de obligaciones y derechos, señalando que ningún español puede ser privado del DNI, ni siquiera temporalmente, salvo en los casos y en la forma establecidos por las leyes según las cuales deba ser sustituido por otro documento y se fija la exigencia de exhibirlo a requerimiento de los agentes de la autoridad de conformidad con lo dispuesto en la ley. El DNI también permite a los españoles mayores de edad que gocen de plena capacidad de obrar y a los menores emancipados la identificación electrónica de su titular, así como la firma electrónica de documentos, en los términos previstos en la legislación específica (en este caso, disposición adicional tercera de la Ley 6/2020).
Tratándose de una controversia competencial hemos, en primer lugar, de encuadrar la regulación cuestionada en el ámbito que le sea propio.
A este respecto la disposición final primera del Real Decreto-ley 14/2019, relativa a los títulos competenciales, afirma que «los artículos 1 y 2 de este real decreto-ley se dictan al amparo del artículo 149.1.29 de la Constitución, que atribuye al Estado la competencia exclusiva en materia de seguridad pública». Efectivamente, este encuadre es el adecuado en cuanto que la acreditación de la identidad de los ciudadanos es una premisa para que los poderes públicos puedan cumplir su función de perseguir los delitos y garantizar a la vez la seguridad ciudadana y la paz social. De hecho, garantizar el cumplimiento de los fines que persigue la Ley Orgánica de protección de la seguridad ciudadana es el sentido al que responde toda la regulación tanto sobre la documentación e identificación personal de los ciudadanos españoles, como acerca de los deberes de sus titulares y de la incorporación de las posibilidades de acreditación electrónica de la identidad y la exigencia de exhibirlos a requerimiento de los agentes de la autoridad en los supuestos y con las garantías que prevé la ley.
En dicha materia, el Estado ostenta,exart. 149.1.29 CE, competencias sobre seguridad pública «sin perjuicio de la posibilidad de creación de policías por las comunidades autónomas en la forma que se establezca en los respectivos estatutos en el marco de lo que disponga una ley orgánica». Por tanto, las comunidades autónomas no pueden asumir estatutariamente más competencias que las previstas, para la creación de cuerpos propios de policía, en el artículo 149.1.29 CE. Competencias que la Generalitat ostenta con los contenidos funcionales definidos en el artículo 164 EAC y —para determinados efectos— «de acuerdo con lo dispuesto en la legislación estatal» o «en el marco de la legislación estatal» (funciones contempladas, respectivamente, en los números 1 y 3 de dicho artículo).
Tal y como se recoge en el fundamento jurídico 6 a) de la STC 142/2018, de 20 de diciembre, sobre la Agencia de Ciberseguridad de Cataluña, la materia «seguridad pública» es, en principio, competencia exclusiva del Estadoexartículo 149.1.29 CE, y solamente se encuentra limitada por las competencias que las comunidades autónomas hayan asumido respecto a la creación de su propia policía (con la cita, por todas, de la STC 148/2000, de 1 de junio, FJ 5). En la misma STC 142/2018 se dice que, «[s]in embargo, la seguridad pública no se agota en la actividad policial (STC 86/2014, FJ 4), de modo que la falta de identificación absoluta entre la materia seguridad pública y el ámbito propio de los servicios policiales tiene consecuencias en el plano de la delimitación de competencias en la materia, de manera que a las comunidades autónomas con competencias asumidas corresponde la organización de sus propios servicios policiales y el ejercicio de las funciones o servicios policiales no estatales, así como la necesaria inherencia o complementariedad (SSTC 104/1989, FJ 6, y 175/1999, FJ 5) de determinadas funciones o potestades no estrictamente policiales» [FJ 6 a)].
Examinada la regulación del DNI y encuadrada la cuestión discutida en el ámbito de la seguridad pública, hemos de constatar ahora que el recurso parte, en este punto, de un inadecuado entendimiento de la regulación que cuestiona, lo que condiciona toda su argumentación. Atendiendo a las finalidades a las que el DNI sirve, se relaciona estrechamente con la competencia estatal en materia de seguridad pública del art. 149.1.29 CE. Pero la atribución al DNI del carácter de único documento válido para acreditar a todos los efectos la identidad y los datos personales de su titular (recuperando un rasgo que ya le atribuía el art. 1 del Decreto 196/1976, de 6 de febrero, por el que se regula el documento nacional de identidad) no va, como también ha señalado el abogado del Estado, en detrimento de la utilización de otros posibles sistemas de identificación que puedan utilizar las administraciones públicas.
La reforma de la regulación del DNI convive con el mantenimiento de las reglas prescritas por la legislación estatal en materia de procedimiento administrativo común. Conforme a tales reglas, las administraciones públicas pueden verificar la identidad de los interesados en el procedimiento administrativo, mediante la comprobación del nombre y apellidos que consten en el DNI o documento identificativo equivalente (art. 9.1 Ley 39/2015). Pero se mantiene igualmente la posibilidad de que los interesados se identifiquen ante las administraciones públicas a través de sistemas basados en certificados electrónicos, de clave concertada o de cualquier otro sistema que las administraciones consideren válido (art. 9.2), como por ejemplo el conocido como sistema Cl@ve. Se constata entonces que la regulación impugnada no impide, como dice la demanda, la utilización de otro sistema de identificación, posibilidad abierta por la norma estatal en materia de procedimiento administrativo común en el referido art. 9 de la Ley 39/2015, a la que luego habrá oportunidad de referirse en detalle.
Lo que sí queda vedado con esta regulación, sin que ello plantee problema competencial alguno, dado el carácter exclusivo del título estatal en los términos que resulta de la doctrina constitucional, es, como la propia demanda reconoce, que se regulen otros sistemas de identificación a los que se les otorgue la misma consideración y eficacia descrita en el art. 8.1 LOPSC. En otros términos, las normas cuestionadas lo único que hacen es cercenar la posibilidad de introducir un nuevo documento de acreditación de la identidad que pudiera sustituir al DNI.
Respetando tal límite, impuesto por las competencias estatales en materia de seguridad pública, en nada se afecta a la posibilidad, abierta por las propias normas estatales y confirmada por la doctrina constitucional (STC 55/2018, de 24 de mayo, FJ 9), de que las administraciones públicas establezcan sistemas de identificación electrónica, con lo que la reforma llevada a cabo por el Real Decreto-ley 14/2019 no afecta a la competencia de la Generalitat de Cataluña para organizar su propia administración (art. 150 EAC), ni a la que le corresponde en materia de régimen jurídico y procedimiento de las administraciones públicas catalanas (art. 159 EAC).
Por tanto, habiendo sido desechada la premisa sobre la descansaba la queja competencial que se formulaba, no queda sino desestimar esta impugnación.
(ii) Por lo que hace a la impugnación de la disposición adicional sexta de la Ley 39/2015, introducida por el art. 3.3 del Real Decreto-ley 14/2029, esta presenta el siguiente tenor literal:
1. No obstante lo dispuesto en los artículos 9.2 c) y 10.2 c) de la presente ley, en las relaciones de los interesados con los sujetos sometidos al ámbito de aplicación de esta ley, no serán admisibles en ningún caso y, por lo tanto, no podrán ser autorizados, los sistemas de identificación basados en tecnologías de registro distribuido y los sistemas de firma basados en los anteriores, en tanto que no sean objeto de regulación específica por el Estado en el marco del Derecho de la Unión Europea.
2. En todo caso, cualquier sistema de identificación basado en tecnología de registro distribuido que prevea la legislación estatal a que hace referencia el apartado anterior deberá contemplar asimismo que la administración general del Estado actuará como autoridad intermedia que ejercerá las funciones que corresponda para garantizar la seguridad pública.»
Para la demanda, impedir a una administración pública el uso de una tecnología por no disponer aún de un marco normativo específico, es una limitación desproporcionada y preventiva de sus competencias para el establecimiento de los sistemas de identificación. La existencia de riesgos no debe ser un obstáculo para el uso de tecnologías de tratamiento de datos personales, si se dispone de las debidas garantías, lo que se asegura mediante la aplicación del Reglamento general de protección de datos. Por tanto, la recurrente entiende que se vulneran los arts. 150 y 159 EAC. Por el contrario, el abogado del Estado sostiene que el uso de esta tecnología en la administración electrónica debe hacerse con cautela, para garantizar la seguridad de los datos, de forma que se eviten riesgos de lesión de derechos fundamentales. La restricción cautelar y temporal a estas tecnologías, en tanto la Unión Europea no desarrolle una normativa para su uso compatible con el citado Reglamento, se justifica en razones de seguridad pública del art. 149.1.29 CE.
El precepto alude a las denominadas tecnologías de registro distribuido o DLT (distributed ledger technologies, en inglés). A los efectos que ahora interesan el registro distribuido se define como una tecnología que se fundamenta en almacenes de información, en forma de bases de datos digitales descentralizadas, en las cuales existen copias de la información distribuidas entre diversos participantes que se comparten, actualizan y sincronizan de forma descentralizada y por acuerdo de los usuarios. De manera que la información digital se certifica por varios participantes distintos que la registran, actualizan y validan mediante consenso mayoritario sin intermediación de una autoridad central o certificadora, a diferencia de los sistemas de bases de datos centralizadas. También puede servir para desarrollar sistemas de la denominada gestión de identidad, en la medida en que en la red descentralizada se contienen todos los atributos o características que permiten la identificación de la persona, sin que sea así necesaria la intervención de un sistema centralizado de acreditación de la identidad.
Según la disposición final primera del Real Decreto 14/2019, el art. 3.3 del Real Decreto-ley 14/2019 se dicta al amparo de las competencias estatales de los arts. 149.1.18 y 149.1.29 CE.
El precepto aquí discutido, en la medida en que tiene relación con los posibles sistemas de identificación a utilizar por los interesados en sus relaciones con las administraciones, ha de encuadrarse preferentemente en el art. 149.1.18 CE, tal como se desprende de la doctrina constitucional (por todas, STC 55/2018, FJ 9) que considera que los sistemas de identificación electrónica y, en general, la disciplina sobre la identidad electrónica que fijen las normas estatales cumple una función típica de las normas de procedimiento administrativo común como es la de garantizar un tratamiento asimismo común de los administrados ante todas las administraciones públicas.
Por tanto, aunque no pueda descartarse en esta cuestión la incidencia del art. 149.1.29 CE, en atención a la doctrina que se ha citado, la cuestión que aquí se plantea ha de ser analizada a efectos de su encuadramiento competencial bajo el prisma del art. 149.1.18 CE, en tanto que título más específico.
El Tribunal estima que puede considerarse básica la decisión en torno a la eventual utilización de una determinada tecnología en el concreto ámbito discutido. Los sistemas para acreditar la identidad de los ciudadanos constituyen uno de los instrumentos clave para el despliegue de la administración electrónica y resultan un requisito previo para la implementación de cualquier tipo de procedimiento con plenas garantías. La previsión impugnada se relaciona, por tanto, con una de las finalidades que las medidas estatales adoptadas al amparo del art. 149.1.18 CE pueden cumplir, como es la de garantizar un tratamiento común a los ciudadanos en sus relaciones con las administraciones públicas. No cabe, por lo mismo, entender que concurra la vulneración de las alegadas competencias autonómicas de los arts. 150 y 159 EAC, en cuanto que dichas competencias no son ilimitadas sino que han de ajustarse al marco previamente definido por la norma estatal cuando actúa legítimamente en el ámbito competencial que le es propio. De hecho, el art. 9.2 c) de la Ley 39/2015 (tanto en la versión derivada del Real Decreto-ley 14/2019 como en la actual) permite que los interesados se identifiquen mediante sistemas de clave concertada y cualquier otro sistema que las administraciones públicas consideren válido, «en los términos y condiciones que se establezcan» y el art. 10.2 c) permite la firma electrónica de los interesados mediante «cualquier otro sistema que las administraciones públicas consideren válido, en los términos y condiciones que se establezcan», cláusula que, evidentemente, habilita al legislador estatal a tomar decisiones que delimiten el ámbito en el que hacer posible la utilización de esos sistemas alternativos, como pueden ser los basados en tecnologías de registro distribuido.
La restricción cobra su sentido en cuanto se refiere a la posible utilización de un determinado sistema de identificación y firma de los interesados respecto del que todavía es preciso valorar sus implicaciones desde el punto de vista de la necesaria protección en el acceso a los sistemas de información de las administraciones públicas y de los derechos de los ciudadanos que con ellas se relacionan, en la medida en que en este tipo de sistemas todos los participantes disponen de igual información en tiempo real y los datos están interconectados y, por tanto, disponibles. Resulta posible entonces que el Estado, al amparo de sus competencias en materia de procedimiento administrativo común, proyectadas al ámbito específico de los sistemas de administración electrónica, establezca prevenciones al respecto a fin de garantizar la seguridad jurídica de las relaciones electrónicas entre la administración y los ciudadanos.
Por otro lado, frente a lo que la demanda argumenta, la limitación impuesta no es, en términos de la exposición de motivos del Real Decreto-ley 14/2019, una prohibición general. Se persigue restringir de forma puntual y provisional su uso, en tanto no exista un marco regulatorioad hocde carácter estatal o europeo que haga frente a las necesarias adaptaciones que implican las peculiaridades de la tecnología de registro para hacer posible su utilización, desde el punto de vista de las normas aplicables a la imprescindible identificación y autenticación de usuarios así como para la seguridad de las propias redes. Algo que también se recoge en el precepto impugnado, que remite a una posterior regulación estatal en el marco del Derecho de la Unión Europea.
De hecho, la propia demanda advierte del hecho de que no ha sido objeto de regulación el uso de estas tecnologías de registro distribuido para usarse en sistemas de identificación, con lo que no se dispone del instrumento normativo que prevea las condiciones y garantías específicas para utilizarlo en el ámbito de los sistemas de identificación ante las administraciones públicas. Y la consideración de la demanda de que dicha circunstancia no resulta suficiente para justificar la limitación por considerar que existían otras alternativas posibles, no deja de ser la expresión de una discrepancia en torno a la cierta prevención con que el legislador estatal ha afrontado la cuestión. Lo aquí relevante es que, dejando a un lado consideraciones de oportunidad y técnica legislativa, la normativa efectivamente establecida y sometida a nuestro enjuiciamiento es un ejercicio de la libertad de configuración legislativa constitucionalmente garantizada que no desborda los límites del art. 149.1.18 CE y, por tanto, no invade las competencias autonómicas en materia de organización y procedimientos administrativos [en un sentido similar, STC 55/2018, FJ 9 b)].
5. Examen de las quejas competenciales derivadas de la reforma de la Ley 40/2015 de régimen jurídico del sector público
Se aborda ahora el examen de las medidas previstas en el art. 4 del Real Decreto-ley 14/2019, en cuanto que introduce un nuevo art. 46bisy modifica el art. 155 de la Ley 40/2015, así como la disposición transitoria segunda, apartado 1, que se refiere al régimen transitorio de tales modificaciones.
El apartado primero del art. 4 del Real Decreto-ley 14/2019 introduce un nuevo art. 46bisen la Ley 40/2015 en cuya virtud se establece la obligación de ubicar y prestar dentro del territorio de la Unión Europea, los sistemas de información y comunicaciones para la recogida, almacenamiento, procesamiento y gestión de determinadas bases de datos como son el censo electoral, los padrones municipales de habitantes y otros registros de población, datos fiscales relacionados con tributos propios o cedidos y datos de los usuarios del sistema nacional de salud, así como los correspondientes tratamientos de datos personales. En relación con lo anterior, la disposición transitoria segunda prevé un plazo de seis meses a partir de la entrada en vigor del Real Decreto-ley 14/2019 para que las entidades pertenecientes al sector público adopten las medidas necesarias para dar cumplimiento a estas nuevas obligaciones.
Con respecto a ambas previsiones ocurre algo similar a lo que ya se ha apreciado en el fundamento jurídico anterior, pues lo que se alega es la contradicción con el Reglamento general de protección de datos, contradicción que no puede, por las razones que ya se han expuesto anteriormente, dirimirse ante la jurisdicción constitucional (en el mismo sentido, STC 76/2019, de 22 de mayo, FJ 3).
Por el contrario, sí debe examinarse la queja que se plantea respecto al nuevo art. 155 de la Ley 40/2015 según el cual:
«1. De conformidad con lo dispuesto en el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE y en la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales y su normativa de desarrollo, cada administración deberá facilitar el acceso de las restantes administraciones públicas a los datos relativos a los interesados que obren en su poder, especificando las condiciones, protocolos y criterios funcionales o técnicos necesarios para acceder a dichos datos con las máximas garantías de seguridad, integridad y disponibilidad.
2. En ningún caso podrá procederse a un tratamiento ulterior de los datos para fines incompatibles con el fin para el cual se recogieron inicialmente los datos personales. De acuerdo con lo previsto en el artículo 5.1 b) del Reglamento (UE) 2016/679, no se considerará incompatible con los fines iniciales el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos.
3. Fuera del caso previsto en el apartado anterior y siempre que las leyes especiales aplicables a los respectivos tratamientos no prohíban expresamente el tratamiento ulterior de los datos para una finalidad distinta, cuando la administración pública cesionaria de los datos pretenda el tratamiento ulterior de los mismos para una finalidad que estime compatible con el fin inicial, deberá comunicarlo previamente a la administración pública cedente a los efectos de que esta pueda comprobar dicha compatibilidad. La administración pública cedente podrá, en el plazo de diez días oponerse motivadamente. Cuando la administración cedente sea la administración general del Estado podrá en este supuesto, excepcionalmente y de forma motivada, suspender la transmisión de datos por razones de seguridad nacional de forma cautelar por el tiempo estrictamente indispensable para su preservación. En tanto que la administración pública cedente no comunique su decisión a la cesionaria esta no podrá emplear los datos para la nueva finalidad pretendida.
Se exceptúan de lo dispuesto en el párrafo anterior los supuestos en que el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales esté previsto en una norma con rango de ley de conformidad con lo previsto en el artículo 23.1 del Reglamento (UE) 2016/679.»
Para la representación procesal de la Generalitat de Cataluña, la obligación de comunicación previa a la administración cedente es una medida de control inconstitucional impuesta a la administración autonómica. Según el Reglamento general de protección de datos los responsables del tratamiento deben ajustarse a las reglas previstas en él, especialmente en el art. 6.4. Pero el nuevo art. 155.3 de la Ley 40/2015 alteraría este régimen de cesión de datos entre administraciones públicas, incorporando un procedimiento de comprobación que equivale a una tutela cautelar que se considera contraria a las competencias autonómicas. El abogado del Estado sostiene que es una medida de régimen jurídico de las administraciones públicas, no de regulación de la protección de datos y que se ajusta a lo previsto en el Reglamento general de protección de datos, tanto en cuanto a la prohibición de tratamiento incompatible como a la suspensión por afección de la seguridad nacional.
Conforme al Reglamento general de protección de datos, los datos que se han recogido para fines determinados, explícitos y legítimos, no pueden tratarse con posterioridad de forma incompatible con estos fines. La norma europea establece la presunción general de que son actividades compatibles con otra anterior los tratamientos con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos. El tratamiento posterior para otros fines se permite previa determinación de si ese tratamiento posterior es o no compatible con el fin por el que se recogieron inicialmente los datos personales, atendiendo a las condiciones previstas por los arts. 6.4 y 23.1 RGPD. Así, la cesión de datos entre administraciones es, en principio, posible cuando sea necesaria para el ejercicio de poderes públicos conferidos al responsable del tratamiento [art. 6.1 e) RGPD], siempre que el ejercicio de tales poderes de tratamiento de datos derive de «una norma de Derecho de la Unión Europea o una norma con rango de ley, que podrá determinar las condiciones generales del tratamiento y los tipos de datos objeto del mismo así como las cesiones que procedan como consecuencia del cumplimiento de la obligación legal» (art. 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales).
La controversia se traba respecto al número 3 de este precepto de la Ley 40/2015, por cuanto los números 1 y 2 se limitan a trasladar la regulación del Reglamento general de protección de datos al ámbito de las transmisiones de datos entre administraciones públicas. El apartado 3 regula el procedimiento que tiene por finalidad comprobar si la finalidad ulterior a la que se quiere destinar los datos es o no compatible con la que inicialmente legitimó su tratamiento. Se establece una obligación adicional de consulta a la administración que comunica los datos, a resultas de la cual la destinataria, responsable del nuevo tratamiento, no podrá llevarlo a cabo hasta que lo haya comunicado a la administración que los recogió inicialmente. Y esta, puede comprobar que se da la citada compatibilidad, pudiendo oponerse, en caso contrario, en un plazo de diez días. Concretamente lo discutido es la posibilidad que el precepto otorga a la administración general del Estado para suspender la transmisión de datos por razones de seguridad nacional de forma cautelar por el tiempo estrictamente indispensable para su preservación.
Ya hemos expuesto que no procede aquí examinar la conformidad o no del precepto estatal con el Derecho de la Unión Europea, lo que, pese a lo alegado por las partes, nos exime de valorar la regulación cuestionada a la luz de lo dispuesto por el Reglamento general de protección de datos, pues el Derecho de la Unión Europea no es en sí mismo canon o parámetro directo de constitucionalidad [STC 1