Source: https://jsolerabogado.com/author/jsolerabogado/
Timestamp: 2020-04-01 12:04:00+00:00

Document:
Jesús Soler | jsolerabogado
11 febrero, 2020 Administración ElectrónicaJesús Soler
Reconozco que hay supuestos que no dejan de sorprenderme por las interpretaciones peculiares que realiza a veces la AEPD, apurando y estrujando las bases jurídicas de tratamiento dependiendo de circunstancias poco clarificadoras.
Mi compañero Gontzal, leyendo los documentos de primera hora y que se nos acumulan, ha tenido el mérito de encontrar esta frase que nos ha inquietado. La AEPD, mediante una Resolución de 10 de enero de 2020, aprobó la modificación del Esquema de Certificación de Delegados de Protección de datos, dentro de la cual se incluye un apartado 7.5 (pg 15) “método de evaluación” el que se afirma que “no está permitido facilitar o mostrar los exámenes a los candidatos que lo soliciten“.
Es decir, todos aquellos solicitantes al examen de certificación que hayan realizado el mismo y quieran revisarlo, no pueden acceder a su contenido por estar prohibido desde el propio órgano de Certificación. Ciertamente, me deja asombrado que el órgano que vela por la existencia de este derecho sea el que cercena el derecho recogido desde hace 30 años en la legislación, interpretando de forma ultra restrictiva la obtención de copias del artículo 15 del RGPD, no indicando cuál es el límite legislativo que le impide su exposición -de los contemplados en el artículo 23 de la misma norma-, y sea uno de los promotores de un límite del artículo 105 b) de la Constitución, del Convenio del Consejo de Europa sobre el Acceso a los Documentos Públicos (no ratificado), o las STS como las de 14 de noviembre de 2000 o 30 de marzo de 1.999.
La AEPD no puede promocionar la limitación de los derechos de protección de datos sin base ni fundamento, y no sería coherente ni propio de dicho órgano fundamentarlo en la Ley de Secretos empresariales. ¿Se imaginan que en los procesos selectivos, concursos, exámenes de universidad, colegios o cursos académicos aplicásemos dicho criterio? ¿De verdad nos creemos la esencia y filosofía que subyace en protección de datos o es mero postureo?
La notificación es la piedra angular de los procedimientos administrativos, no pudiendo imaginar una tramitación correcta si se producen defectos en su comunicación final, por eso se procura realizar siempre con las debidas cautelas, para lograr la efectiva notificación. De forma resumida, este ha sido el objetivo a cumplir en todo el sistema de notificación administrativa, el cual ha sido invadido por un nuevo sistema tecnológicamente superior, económicamente más eficiente y sobre todo, con una posible reducción de la carga probatoria: es la notificación electrónica.
Personalmente creo que poco crítica ha sido la doctrina al respecto, considerando la enorme repercusión que supone el cambio de sistema. Para comprender su alcance, deben comprenderse dos conceptos:
El primero, el subjetivo, los interesados obligados a recibir dichas notificaciones que conforme al artículo 14 de la LPACAP comprende a todos los colectivos excepto a las personas físicas que no actúen ni como colectivo definido, ni como profesional ni empresario. El alcance de interesados incluidos supone un gran porcentaje, con la repercusión que ello conlleva, sin olvidar, que el grupo de interesados excluidos puede voluntariamente adherirse a la notificación electrónica.
En segundo lugar, el mecanismo de notificación mediante comparecencia en sede electrónica o dirección electrónica habilitada. En cualquier caso, es una nueva potestad otorgada a la Administración que le confiere un poder enorme, no habiéndose producido una “rebelión” doctrinal que compensase ese poder. Parecen palabras gruesas, pero debe considerarse cómo ha cambiado el sistema de notificación del papel al electrónico: en el sistema papel es la Administración que, por sus medios o mediante el concurso de terceros (carteros, correos, empresas contratadas,…) se desplaza y busca en el domicilio del interesado la forma de notificar. En el sistema electrónico, la Administración deja en su propio espacio electrónico (bajo su absoluto control) la notificación, debiendo el interesado acercarse, introducirse, navegar, entender los caminos para llegar a la notificación, comprender los avisos legales, superarlos, actuando dentro de la “casa” de la propia Administración, con sus reglas. Que dicha sede electrónica sea amigable, comprensible, inteligible, sencilla y accesible son elementos totalmente subjetivos que hacen descompensar la relación jurídica en favor de la Administración actuante, consiguiendo una nueva potestad dentro del elenco de las potestades que ya dispone la misma.
¿No sería conveniente establecer alguna compensación a dicha nueva potestad? ¿Qué consecuencia jurídica tiene la dificultad de navegación, el error, el desconocimiento o la duda para un interesado? ¿Existe una carga iuris et de iure que toda plataforma de toda Administración es conforme a derecho? ¿Cómo puede el ciudadano romper esa presunción? Igual sería conveniente prever dichos supuestos creando un órgano que cumpla y haga cumplir, no ya el procedimiento administrativo, sino los principios de navegación que pueden llegar a ser tan relevantes como el propio procedimiento. Podríamos invocar el artículo 18.4 de la Constitución “la ley limitará el uso de la informática…”. Palancas haylas, solo hay que impulsarlas.
22 mayo, 2019 Administración ElectrónicaJesús Soler
Hace unas semanas me plantearon profesionalmente una duda muy sencilla relativa al valor jurídico u obligatoriedad de cumplimiento de las Guías del Centro Criptológico Nacional (CCN) en el ámbito de las Administraciones Públicas. Aparentemente es una cuestión sencilla, pero nos introduce sutilmente en ese ámbito regulatorio de la Administración que, con un fundamento técnico, puede imponer obligaciones a todo el Sector Público e incluso a los proveedores de productos o servicios del Sector privado que suministran a dichas organizaciones.
El CCN, regulado entre otras normas por el Real Decreto 421/2004, tiene relativamente pocas funciones, articuladas todas a través del concepto de la “seguridad”, permitiéndosele elaborar y difundir normas, instrucciones, guías y recomendaciones (CCN-STIC), valorar y acreditar la capacidad de los productos de cifra, constituir el organismo de certificación, llegando incluso el ENS a darle un cierto peso interpretativo respecto a sus Anexos, los cuales se van convirtiendo poco a poco en doctrina cuyo cumplimiento no se discute.
Esto nos hace reflexionar sobre dos aspectos relativos, primeramente, al alcance del concepto de la seguridad y, en segundo lugar, a las consecuencias de no seguir los criterios que indique el CCN. En primer lugar, respecto al concepto de la seguridad nos encontramos con uno de los conceptos más vaporosos, extensivos y potencialmente invasivos que podamos imaginar. Basta recordar el alcance de las medidas recogidas en el Anexo I del ENS, distribuidas en 3 grandes grupos (Marco organizativo, operacional y medidas de protección) que desarrolla aspectos tan dispares como Protección de las instalaciones e infraestructuras, Áreas separadas y con control de acceso, Identificación de las personas, Acondicionamiento de los locales, Protección frente a incendios, Gestión del personal, Deberes y obligaciones, concienciación, … y muchas más. Simplemente hay que imaginar a una Administración realizando una obra nueva, generando una nueva instalación en un local y en la que -evidentemente- cuando entre en servicio tratará información en sistemas automatizados y mixtos. ¿debe considerar el ENS además de los demás requisitos normativos y arquitectónicos? La respuesta es evidente pudiendo encontrarse en una situación compleja al tener que conjugar las diferentes normativas.
La siguiente cuestión radica en determinar si las normas del CCN son de obligado cumplimiento, a lo que debe contestarse que lo son de forma indirecta. Por un lado, para su validez, deben aprobarse mediante resolución de la Secretaría de Estado de Administraciones Públicas previa autorización del correspondiente “Ministerio de Hacienda y Administraciones Públicas, a propuesta del Comité Sectorial de Administración Electrónica”. Por otro, conforme a la DA1ª de la nueva LOPDGDD, el cumplimiento de lo contenido en el ENS se convierte en el modo de cumplir con la seguridad en protección de datos el ámbito del Sector Público, teniendo los órganos de control la capacidad de declarar la infracción en caso de “no adoptar de aquellas medidas técnicas y organizativas que resulten apropiadas“… y las apropiadas son las que marca el ENS e interpreta el CCN.
En resumen, y respondiendo a la pregunta del post ¿son obligatorias las guías e instrucciones del CCN? Bueno, no puedo afirmarlo, pero seguramente si actúas en el ámbito del Sector Público estarás más tranquilo si las cumples.
La LPACAP, en el ámbito de la gestión de la actividad administrativa, señala dos funciones que claramente tienen que ser realizadas por funcionarios, como son la asistencia en el uso de medios electrónicos a los interesados (regulada en el artículo 12) y la realización de copias auténticas (artículo 27). La exposición de motivos de la norma indica que dichas funciones podrán realizarse por los mismos funcionarios, “no existiendo impedimento a que un mismo funcionario tenga reconocida ambas funciones o sólo una de ellas”, no debiendo realizarse mayores consideraciones jurídicas pues su cumplimiento pasa, indefectiblemente por disponer de -al menos- un funcionario que realice dichas función.
Dicho esto, debería hacerse una reflexión sobre las relaciones jurídicas que mantienen las diferentes Administraciones y Corporaciones del Sector público con su personal, que de por sí se convierte en una especialidad jurídica con un debate propio, en el que al profano le parecen todas las situaciones similares, pero a un miembro de las mismas distingue y separa claramente entre dichos empleados públicos al personal funcionario (de carrera o interino) y al personal laboral (fijo o eventual), además de todas las especialidades en los diferentes ámbitos (sanitario, directivo, fuerzas armadas, Entidades Locales, Cortes, judicatura, correos, enseñanza, …), siendo esta distinción una aproximación más que distante a un mundo complejo y cuya distinción conlleva diferentes consecuencias jurídicas.
Dicho esto, no cabe sino elucubrar cómo se llevará a cabo estos registros de funcionarios habilitados, que serán plenamente interoperables y que dejarán constancia de quién tiene la capacidad de realizar ciertas actividades dentro de cada Organización, dado que dicho registro es obligatorio para todas aquellas Instituciones que apliquen la LPACAP, aunque sea supletoriamente, dado que la Norma técnica de Interoperabilidad de dichos registros todavía no ha sido aprobada, ni ha pasado de ser una mera elucubración normativa.
Pero volvamos a la distinción de funcionario- empleado público ¿Todas las Corporaciones de derecho Público, organismos públicos y entidades de derecho público vinculados o dependientes de las Administraciones Públicas tienen funcionarios en sus plantillas como para realizar legalmente esas funciones? Un colegio profesional, que es una Corporación de Derecho Público y aplica la LPACAP en determinados ámbitos de su actividad pero no tiene funcionarios en su plantilla ¿no puede realizar copias auténticas ni ayudar a los interesados a tramitar sus solicitudes electrónicamente en el SOJ? ¿Y el resto de Organismos Públicos? ¿Todos disponen de, al menos, 1 funcionario para realizar esas funciones? Por último, y llevando la reflexión al extremo, las propias Administraciones Públicas están tendiendo a disponer de grupos especializados de atención al ciudadano (SAC), que de forma centralizada realizan justamente las tareas definidas en esas normas ¿deben ser todos ellos funcionarios?¿Deben depender de un funcionario, dígase el Secretario de la Entidad Local, y éste debe supervisar su labor haciéndose responsable de la labor del personal de atención directa? ¿está dentro de sus funciones descritas en el Real Decreto 128/2018, de 16 de marzo, por el que se regula el régimen jurídico de los funcionarios de Administración Local con habilitación de carácter nacional -posterior a la propia LPACAP?
Son muchas las preguntas, y pocas las respuestas. Aunque el Anteproyecto de LPACAP trató de cambiar el concepto de funcionario al de empleado público (quedándose olvidado el concepto de empleado público en la DF 7ª), durante su tramitación se volvió a retomar el concepto de funcionario de la LAECSP ,y todo ello a pesar de la crítica mordaz que el Consejo de Estado le inquirió al respecto.
En fin, la única esperanza es que la Administración electrónica vuelva a tener un nuevo periodo de gracia (digamos que hasta octubre del 2022¿?) y nos deje reposar estos conceptos o al menos, buscar soluciones a situaciones difícilmente resolubles.
28 marzo, 2019 Administración ElectrónicaJesús Soler
En el derecho existen conceptos complejos, indeterminados e indefinidos pero de vez en cuando descubrimos nuevas versiones que nos generan cierta confusión y nos abren futuras puertas en cuanto a las fundamentaciones jurídicas que podemos utilizar en el tratamiento de datos. Mi compañero Gontzal ha tratado también el mismo asunto, pero voy a aventurarme con mi propia perspectiva.
La resolución de la AEPD referida como E/09288/2018 – AEPD expone unos hechos en los que confusamente relacionados explican cómo una empresa captó datos de un ciudadano (publicados, expuestos en internet…. no lo indica) para ofrecerle una posible colaboración comercial, realizando una remisión de mensajes comerciales “de spam a su móvil y presionándole vía WhatsApp”, con el fin de conseguir sus objetivos mercantiles . Esta acción -no explicada en detalle- supone un tratamiento claro de datos personales, tanto de su nombre, apellidos, teléfono móvil, además de poder incurrir en una vulneración de la legislación sobre comunicaciones comerciales, no negando ninguno de dichos aspectos la resolución, planteando el debate desde la única perspectiva si dicho tratamiento pudiera constituir una “presunta vulneración del artículo 6.1 a) del RGPD, que exige el consentimiento del interesado para el tratamiento de sus datos personales para que el mismo sea lícito“.
Llegados a este punto, la resolución pudiera haber tratado cómo dicho tratamiento por algún motivo se encuentra fuera del ámbito del RGPD, o se encuentra amparada en un tratamiento legítimo, conforme al artículo 6.1.f), ofreciéndonos nuevas pautas sobre el alcance del concepto del tratamiento legítimo, pero nada más lejos de la realidad, tal vez por falta de tiempo, por exceso de trabajo o por error tipográfico, archivan las actuaciones simplemente porque “se ha constatado que las conversaciones entre el reclamante y la empresa se trataban de una simple prospección empresarial de cortesía, en aras de una posible colaboración”. Es decir, la cortesía elimina toda necesidad en el cumplimiento de protección de datos, siendo muy importante para el trato humano éticamente correcto, pero además si el trato ha sido caballeroso, gentil y amable nos excluye del cumplimiento de protección de datos.
Tal y como se decía en el Quijote “sé cabal con los hombres, sé cortés con las mujeres“.

References: Resolución 
 artículo 15
 artículo 23
 artículo 105
 artículo 14
 artículo 18
 Real Decreto 
 resolución 
 artículo 12
 Real Decreto 
 resolución 
 artículo 6
 resolución 
 artículo 6