Source: https://tc.vlex.es/vid/751869537
Timestamp: 2019-10-15 06:27:15
Document Index: 330591001

Matched Legal Cases: ['artículo 149', 'artículo 149', 'artículo 149', 'artículo 34', 'artículo 5', 'artículo 161', 'artículo 30', 'artículo 88', 'artículo 161', 'artículo 5', 'artículo 140', 'artículo 2', 'artículo 2', 'artículo 2', 'artículo 149', 'artículo 10', 'artículo 149', 'artículo 2', 'artículo 149', 'artículo 149', 'artículo 149', 'artículo 149', 'artículo 140', 'artículo 149', 'artículo 2', 'artículo 2', 'artículo 159', 'artículo 2', 'artículo 2']

STC 142/2018, 20 de Diciembre de 2018 - Jurisprudencia - VLEX 751869537
STC 142/2018, 20 de Diciembre de 2018
Número de Recurso: 5284-2017
El 31 de octubre de 2017 tuvo entrada en el registro de este Tribunal el recurso de inconstitucionalidad interpuesto por el Abogado del Estado, en representación del Presidente del Gobierno, contra la Ley 15/2017, de 25 de julio, de la Agencia de Ciberseguridad de Cataluña. El Abogado del Estado invocó los artículos 161.2 CE y 30 de la Ley Orgánica del Tribunal Constitucional (LOTC), a fin de que se produjera la suspensión de la aplicación de la Ley 15/2017.
La demanda analiza a continuación las competencias del Estado en materia de seguridad pública del artículo 149.1.29 CE y su relación con los títulos competenciales estatales en materia de defensa y de telecomunicaciones. Así indica que el artículo 149.1.29 CE atribuye al Estado competencia exclusiva en materia de seguridad pública y dentro de ella se integra la ciberseguridad. No se discute que la Generalitat pueda ejercer determinadas funciones en el ámbito de la ciberseguridad, referida a su autoprotección, pero la Ley 15/2017 obvia las competencias estatales afectadas por la norma, en tanto que la ciberseguridad es uno de los aspectos imprescindibles a tener en cuenta a la hora de configurar la estrategia en materia de seguridad nacional. De hecho, diversas normas estatales se refieren a esta cuestión, como la Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protección de las infraestructuras críticas; la Ley 36/2015, de 28 de septiembre, de seguridad nacional, o la Ley 11/2002, de 6 de mayo, reguladora del Centro Nacional de Inteligencia. Igualmente, se ha de tener en cuenta que las infraestructuras de telecomunicaciones pueden constituir infraestructuras críticas, ámbito al que se refiere la STC 128/2016 .
El Abogado del Estado recuerda la doctrina constitucional en torno a la delimitación de competencias en materia de seguridad pública (cita STC 86/2014 ) y concluye que es doctrina consolidada del Tribunal Constitucional que esta es una competencia exclusiva del Estado ex artículo 149.1.29 CE y solamente se encuentra limitada por las competencias que las Comunidades Autónomas hayan asumido respecto a la creación de su propia policía (por todas, STC 148/2000 , FJ 5). Sin embargo, estima que las funciones atribuidas a la Agencia de Ciberseguridad de Cataluña desbordan el ámbito competencial de la Comunidad Autónoma.
Las consideraciones anteriores de la demanda se completan con una referencia a la Agencia de Ciberseguridad como “estructura de estado”. A tal efecto, se destaca la relación teleológica que la Ley 15/2017 guarda con otras leyes catalanas aprobadas poco después y que se enmarcan dentro del conjunto de actuaciones llevadas a cabo por la Generalitat en su propósito declarado de construir estructuras de Estado con virtualidad sustitutoria de las actualmente vigentes en el sistema estatal. Además de la doctrina de la STC 52/2017 , de 10 de mayo, se citan las Leyes 17/2017, de 1 de agosto, del código tributario de Cataluña y de aprobación de los libros primero, segundo y tercero, relativos a la Administración tributaria de la Generalitat, y 21/2017, de 20 de septiembre, de la Agencia de protección social de Cataluña, ambas impugnadas ante el Tribunal Constitucional, que ha admitido a trámite los recursos mediante providencias de 12 de septiembre y 17 de octubre de 2017.
Por providencia de 28 de noviembre de 2017, el Pleno, a propuesta de la Sección Tercera, acordó admitir a trámite el recurso de inconstitucionalidad promovido por el Presidente del Gobierno y, en su representación y defensa, por el Abogado del Estado, contra la Ley 15/2017, de 25 de julio, de la Agencia de Ciberseguridad de Cataluña; dar traslado de la demanda y documentos presentados, conforme establece el artículo 34 de la Ley Orgánica del Tribunal Constitucional (LOTC), al Congreso de los Diputados y al Senado, por conducto de sus Presidentes, así como al Gobierno de Cataluña y al Parlamento de Cataluña, por conducto de sus Presidentes, al objeto de que, en el plazo de quince días, puedan personarse en el proceso y formular las alegaciones que estimaren convenientes. Con el fin de evitar un conflicto en la defensa de los intereses del Estado y de la Comunidad Autónoma de Cataluña, se suspendió el plazo para que el Gobierno de Cataluña pueda personarse y formular alegaciones, en tanto el Consejo de Ministros, de conformidad con el artículo 5 del Real Decreto 944/2017, de 27 de octubre, ejerza las funciones y competencias que corresponden al Consejo de Gobierno de la Generalitat de Cataluña. Asimismo, se tuvo por invocado por el Presidente del Gobierno el artículo 161.2 de la Constitución, lo que, a su tenor y conforme dispone el artículo 30 LOTC, produce la suspensión de la vigencia y aplicación de la Ley impugnada, desde la fecha de interposición del recurso —31 de octubre de 2017— para las partes del proceso y desde el día en que aparezca publicada la suspensión en el “Boletín Oficial del Estado” para los terceros, lo que se comunicará a los Presidentes del Gobierno de Cataluña y Parlamento de Cataluña. Finalmente, se acordó publicar la incoación del recurso en el “Boletín Oficial del Estado” y en el “Diari Oficial de la Generalitat de Cataluña”.
Mediante escrito registrado el día 7 de diciembre de 2017, la Presidenta del Congreso de los Diputados comunicó al Tribunal el Acuerdo de la Mesa de la Cámara por el que se persona en el procedimiento y ofrece su colaboración a los efectos del artículo 88.1 LOTC. Lo mismo hizo el Presidente del Senado por escrito que tuvo entrada en este Tribunal el día 13 de diciembre.
Por escrito registrado el día 15 de diciembre de 2017, el Letrado del Parlamento de Cataluña se personó en el procedimiento y solicitó una prórroga por el máximo legal, siendo atendida dicha petición por providencia de este Tribunal de 16 de diciembre de 2017, por la que se prorrogó en ocho días más el plazo concedido por la anterior providencia de 28 de noviembre.
Las alegaciones del Parlamento de Cataluña, interesando la desestimación del recurso, se registraron en este Tribunal Constitucional el día 15 de enero de 2018.
Próximo a finalizar el plazo de los cinco meses que señala el artículo 161.2 CE desde que se produjo la suspensión de los preceptos impugnados en este recurso de inconstitucionalidad, el Pleno, por providencia de 7 de febrero de 2018, acordó oír a las partes personadas —Abogado del Estado— para que, en el plazo de cinco días, exponga lo que considere conveniente acerca del mantenimiento o levantamiento de dicha suspensión.
El Pleno, por ATC 29/2018 , de 20 de marzo, acordó mantener la suspensión de la Ley 15/2017, de 25 de julio, de la Agencia de Ciberseguridad de Cataluña.
El Pleno, por providencia de 5 de junio de 2018, acordó que, perdida la vigencia del Real Decreto 944/2017, de 27 de octubre, conforme a lo previsto en su disposición adicional segunda, procedía alzar la suspensión del plazo acordado, para presentar alegaciones, según se expone en el antecedente 2 en atención a lo dispuesto en su artículo 5, en el presente proceso constitucional. En consecuencia, se dio traslado al Gobierno de la Generalitat de Cataluña, por conducto de su Presidente, al objeto de que, en el plazo de quince días, pueda personarse en el proceso y formular las alegaciones que estime convenientes.
Las alegaciones del Gobierno de la Generalitat de Cataluña, interesando la desestimación íntegra del recurso, tuvieron entrada en el registro del Tribunal Constitucional el día 12 de junio de 2018.
Comienza señalando que el recurso tiene un carácter preventivo que se funda en un juicio acerca de la intencionalidad de la Ley, por su supuesto carácter a naturaleza de “estructura de estado”, que es ajeno a su contenido dispositivo. La consideración de la Agencia de Ciberseguridad de Cataluña como “estructura de estado” no aparece en el texto de la Ley y esa calificación no pasa de ser un juicio de intenciones y una valoración en términos políticos, carente de toda eficacia jurídica. Además, tal pretensión choca frontalmente con el principio de presunción de constitucionalidad de las leyes y de su debida interpretación conforme con la Constitución. Se trata, por el contrario, de una norma puramente organizativa, que crea nuevo organismo —una agencia gubernamental— en su sector público, para sustituir y suceder a la Fundación que viene ejerciendo en el ámbito de Cataluña las funciones de seguridad de la sociedad de la información, planificación, y la gestión y el control de la seguridad de las tecnologías de la información de la Administración de la Generalitat y de su sector público. Por tanto, la Generalitat no ha pretendido arrogarse con esta Ley la competencia para hacer una regulación general de la ciberseguridad. Además, la pretensión de enjuiciar la Ley 15/2017 en función de su supuesta intencionalidad política resulta totalmente improcedente dentro de un procedimiento de recurso de inconstitucionalidad, que solo permite un control jurídico y en abstracto de la norma recurrida, como tiene reiteradamente establecido el Tribunal Constitucional (cita STC 139/2017 , de 29 de noviembre). Ese carácter preventivo de la demanda la hace incompatible con el objeto propio de un recurso de inconstitucionalidad, lo que debería llevar, por sí solo, a la desestimación íntegra.
En consecuencia, según el Abogado de la Generalitat, es lógico reconocer a la Ley 15/2017 su encaje esencialmente en las competencias asumidas en materia de organización de la Administración de la Generalitat (art. 150 EAC), en materia de régimen jurídico y procedimiento de las Administraciones públicas catalanas (art. 159 EAC), que comprende los medios necesarios para el ejercicio de las funciones administrativas y también en la competencia en materia de la competencia ejecutiva en materia de comunicaciones electrónicas, en los términos del artículo 140.7 EAC, así como en las competencias asumidas en materia de ordenación administrativa del comercio electrónico [art. 121.1
EAC]. El encaje de la Ley catalana en esas competencias es perfectamente razonable si se atiende al carácter autoorganizativo de esta ley, cuyo objeto es meramente la creación de la Agencia para el desarrollo de funciones ejecutivas en esta materia. A mayor abundamiento, no puede desconocerse que la creación de la Agencia constituye una modificación orgánica para suceder, dar continuidad y desarrollo a las funciones que desde el año 2009 desempeñaba el Centro de Seguridad de la Información de Cataluña, ahora mediante una forma organizativa más ágil, eficiente y adecuada a los requerimientos de la gestión que tiene encomendada.
Por providencia de 18 de diciembre de 2018 se señaló para deliberación y fallo de esta Sentencia el día 20 del mismo mes y año.
El presente proceso constitucional tiene por objeto resolver el recurso de inconstitucionalidad que el Presidente del Gobierno ha interpuesto contra la Ley 15/2017, de 25 de julio, de la Agencia de Ciberseguridad de Cataluña.
Expuesto el objeto de este recurso y las posiciones de las partes, es preciso, atendiendo a lo planteado por las representaciones procesales del Parlamento de Cataluña y del Gobierno de la Generalitat, primero, hacer unas consideraciones en torno al carácter cautelar o preventivo del recurso, y, segundo, acerca de la necesidad de argumentar o fundamentar de manera suficiente los motivos que lo sustentan.
En cuanto a lo primero, la naturaleza del recurso, debe concluirse que la impugnación no es preventiva, ni cautelar, y no merece, por tanto, el reproche que en tal sentido se hace por parte del Letrado del Parlamento de Cataluña y del Abogado del Gobierno de la Generalitat.
Este Tribunal se ha pronunciado sobre la dificultad de valorar con carácter general y previo el carácter preventivo de un recurso. Verificar si dicho rasgo concurre requiere examinar cada una de las impugnaciones (STC 110/2011 , de 22 de junio, FJ 3, con cita de la STC 31/2010 , de 28 de junio, FJ 2). El Tribunal tiene declarado que “es constante la doctrina que insiste en que no será legítima la utilización del recurso de inconstitucionalidad con la finalidad de obtener declaraciones preventivas o previsoras ante eventuales agravios competenciales o interpretativas que pongan a cubierto de aplicaciones contrarias al orden de competencias establecidas en la [Constitución] y, dentro del marco constitucional, en los Estatutos de Autonomía (STC 49/1984 , de 5 de abril, FJ 2)” (SSTC 110/2011 , FJ 3, y 31/2010 , FJ 2). Sin embargo, en las mismas Sentencias se declara también que estos defectos “solo podrán ‘verificarse’ caso por caso, con ocasión del examen de cada una de las impugnaciones” por lo que en ellas se rechaza el motivo de oposición al recurso cuando se plantea con carácter general en estos términos.
Lo mismo sucede aquí. El objeto de este recurso es la creación por la Ley 15/2017 de una nueva estructura organizativa autonómica en un ámbito material concreto, el de la ciberseguridad, creación a la que se le imputan vicios de inconstitucionalidad sustantivos y competenciales, que, caso de ser estimados, determinarían que el Parlamento de Cataluña habría incurrido en una inconstitucionalidad actual y efectiva, pues habría llevado a cabo una actuación legislativa y una afirmación competencial que constituirían un ilícito constitucional consumado (SSTC 71/1982 , de 30 de noviembre, FJ 5; 101/1995 , de 26 de junio, FJ 7, y 128/2016 , de 7 de julio, FJ 5). En suma, se pone en duda la viabilidad del recurso con argumentos que no inciden sobre la corrección procesal de la vía emprendida al interponerlo, sino sobre lo mal fundado de la pretensión que incorpora [en el mismo sentido, STC 52/2017 , de 10 de mayo, FJ 2 b)].
b) Respecto al incumplimiento por el Abogado del Estado de su carga alegatoria, que también esgrimen el Letrado del Parlamento de Cataluña y el Abogado del Gobierno de la Generalitat, el Tribunal tiene declarado que la obligación de levantar la carga alegatoria en todos los procesos seguidos ante él supone una exigencia de colaboración con la justicia, además de una condición inexcusable inherente a la presunción de constitucionalidad de las normas con rango de ley, que no puede desvirtuarse sin un mínimo de argumentación (por todas, STC 184/2016 , de 3 de noviembre, FJ 2). En efecto, “cuando lo que está en juego es la depuración del ordenamiento jurídico, es carga de los recurrentes no sólo la de abrir la vía para que el Tribunal pueda pronunciarse, sino también la de colaborar con la justicia del Tribunal en un pormenorizado análisis de las graves cuestiones que se suscitan. Es justo, pues, hablar… de una carga del recurrente y en los casos en que aquélla no se observe, de una falta de diligencia procesalmente exigible, que es la diligencia de ofrecer la fundamentación que razonablemente es de esperar (STC 11/1981 , de 8 de abril, FJ 3, reiterada en las SSTC 43/1996 , de 15 de abril, FJ 3; 36/1994 , de 10 de febrero, FJ 1, y 61/1997 , de 20 de marzo, FJ 13)” (STC 86/2017 , de 4 de julio, FJ 2).
Sobre la vulneración del orden de distribución de competencias que se reprocha a la norma, el Abogado del Estado denuncia que “la regulación completa que realiza la Ley desborda las competencias autonómicas”. La queja es que se establece una completa regulación de la ciberseguridad en todos sus ámbitos y en todo el territorio de Cataluña, pero esa queja, concretada en que las funciones atribuidas a la Agencia de Ciberseguridad de Cataluña superan el ámbito competencial autonómico, solo se desarrolla respecto a un precepto de la norma. Como hemos expuesto con más detalle en los antecedentes, el iter discursivo del recurso arranca con la descripción del contenido de la norma, con especial detenimiento en su artículo 2, a lo que sigue la exposición de la doctrina constitucional sobre el régimen de distribución de competencias entre el Estado y las Comunidades Autónomas en relación con la seguridad pública. Dicha exposición es insuficiente por sí misma para satisfacer la diligencia procesal que permita soportar la impugnación de los concretos preceptos de la Ley 15/2017, pues es exigible que la parte recurrente proyecte la doctrina que expone sobre los mismos mediante un razonamiento que justifique el exceso competencial denunciado (en el mismo sentido, STC 118/2017 , de 19 de octubre, FJ 2).
En efecto, esta exposición no va seguida de la fundamentación necesaria para permitir el pronunciamiento de este Tribunal acerca de la totalidad de los preceptos de la Ley 15/2017, con lo que el recurrente no cumple la carga alegatoria exigible que le incumbe (STC 92/2017 , de 6 de julio, FJ 2, entre muchas otras). La argumentación de la demanda se ciñe exclusivamente al artículo 2 relativo al objeto y funciones de la Agencia de Ciberseguridad de Cataluña. La demanda describe los contenidos de los diferentes apartados de este precepto, si bien las razones de la inconstitucionalidad que se solicita aparecen únicamente concretadas respecto al apartado 1 y, por relación con él, a los apartados 2 y 3. También se denuncia que la Ley 15/2017 atribuye a la Agencia una serie de facultades y funciones que exceden de las competencias autonómicas, pero este exceso competencial únicamente se argumenta específicamente respecto a la letra f) del apartado 4 y a la letra b) del apartado 5, así como, ya por remisión al dictamen del Consejo de Estado, respecto a las letras b) y e) de ese mismo apartado 4 y de las letras a) y d) del apartado 5. Sobre el resto de preceptos de la Ley 15/2017 no es posible, atendiendo a lo que la demanda plantea, dilucidar las objeciones genéricas de inconstitucionalidad formuladas en el recurso, al no exponer el mismo las razones por las que tales preceptos habrían excedido las competencias autonómicas, con la consiguiente vulneración de las estatales que se afirma en la demanda.
Ese modo de articular el recurso, unido a la reiterada doctrina de este Tribunal, por la que no podemos “reconstruir de oficio la demanda ni suplir las razones de los recurrentes, cuando éstas no se aportan en su recurso” (STC 85/2016 , de 28 de abril, FJ 2), lleva a entender que únicamente concurre la carga argumental mínima exigible en relación con la vulneración de las competencias estatales que se denuncian en la demanda respecto al apartado 1, en relación con los apartados 2 y 3; al apartado 4, letras b), e) y f) y a la letras a), b) y d) del apartado 5, todos ellos del artículo 2 de la Ley 15/2017.
Señalado lo anterior se puede ya iniciar el enjuiciamiento de la Ley 15/2017.
El Abogado del Estado argumenta, por referencia al dictamen del Consejo de Estado, que la Ley 15/2017 puede relacionarse con el proceso de creación de estructuras de estado acometido por la Generalitat, sobre el que ya se ha pronunciado la STC 52/2017 . Añade que la norma está redactada en unos términos ambiguos, incluyendo algunas previsiones que podrían entenderse indistintamente aplicables dentro del orden de distribución de competencias diseñado por la Constitución o al margen de él, pero tampoco oculta que la Agencia que crea dicha Ley constituye, en su propio ámbito, una estructura organizativa idónea para actuar de forma autónoma en un eventual Estado catalán independiente. Los Letrados autonómicos han negado el carácter de “estructura de estado” que la demanda atribuye a la Agencia, alegando que la norma ha de ser examinada atendiendo al sentido propio y al contenido literal de sus términos.
La Ley 3/2015, de 11 de marzo, de medidas fiscales, financieras y administrativas de Cataluña, vino a materializar propuestas contenidas en los informes del Consejo Asesor para la Transición Nacional de Cataluña, en los que se diseñó la denominada “hoja de ruta” para la constitución de un Estado catalán y se abordaron diversas cuestiones estrechamente relacionadas con la pretensión de crear estructuras de estado, dotadas de características precisas para operar la sustitución del sistema estatal en el momento en que se produjera la pretendida independencia de Cataluña. Dicha norma fue declarada parcialmente inconstitucional en la STC 128/2016 . La creación de la Agencia de Ciberseguridad de Cataluña no se encontraba mencionada en la referida Ley 3/2015, como una de las actuaciones encomendadas a la Generalitat de Cataluña dentro del llamado proceso de transición nacional para la “desconexión” del Estado.
Este Tribunal ha rechazado ya en ocasiones anteriores pretensiones similares a la que ahora se formula [SSTC 139/2017 , de 29 de noviembre, FJ 2 c); 90/2017 , de 5 de julio, FJ 2, y 128/2016 , FJ 5 A)]. En los tres casos, el Tribunal ha destacado que el control que desarrolla “es exclusivamente de constitucionalidad, de carácter jurídico, no político, ni de oportunidad, ni de calidad técnica, ni de idoneidad. De modo que las intenciones del legislador, su estrategia política o su propósito último no constituyen, como es evidente, objeto de nuestro enjuiciamiento, que ha de circunscribirse a contrastar los concretos preceptos impugnados y las normas y principios constitucionales que integran en cada caso el parámetro de control” [por todas, STC 185/2016 , de 3 de noviembre, FJ 7 a)]. Por ello, la norma impugnada, cuya supuesta inconstitucionalidad se ventila debe ser interpretada y enjuiciada en atención a su propio sentido y tenor literal, no a partir del contexto que la demanda trae a colación referido a su utilización como una eventual “estructura de estado”, pues esa apreciación se basa en la intención que se atribuye a la norma catalana (STC 54/2018 , de 24 de mayo, FJ 4), no en la literalidad de la disposición. Sentido y tenor literal de las disposiciones impugnadas que fueron las que llevaron a este Tribunal a apreciar, en la STC 128/2016 la inconstitucionalidad y nulidad de las disposiciones adicionales vigésima segunda, vigésima cuarta y vigésima sexta de la mencionada Ley 3/2015.
En este caso, dicho carácter, como explícitamente reconoce el Abogado del Estado, no se deduce indubitadamente del tenor de la norma impugnada. Tampoco la alegación se formula de modo concluyente, sino en términos marcadamente hipotéticos, ya que la propia demanda admite que algunas previsiones de la Ley 15/2017 “podrían entenderse indistintamente aplicables dentro del orden de distribución de competencias diseñado por la Constitución de 1978 o al margen de él”. Resulta también de aplicación la consolidada doctrina acerca de que la eventualidad de un uso desviado de la norma no puede servir de fundamento para su anulación. Como señaló la STC 238/2012 , de 13 de diciembre, FJ 7, “la mera posibilidad de un uso torticero de las normas no puede ser nunca en sí misma motivo bastante para declarar la inconstitucionalidad de éstas, pues aunque el Estado de Derecho tiende a la sustitución del gobierno de los hombres por el gobierno de las leyes, no hay ningún legislador, por sabio que sea, capaz de producir leyes de las que un gobernante no pueda hacer mal uso (STC 58/1982 , de 27 de julio, FJ 2; en el mismo sentido, SSTC 132/1989 , de 18 de julio, FJ 14; 204/1994 , de 11 de julio, FJ 6; 235/2000 , de 5 de octubre, FJ 5, y 134/2006 , de 27 de abril, FJ 4)”.
Se debe analizar ahora la vulneración de las competencias estatales que la demanda denuncia.
En el ATC 29/2018 , de 20 de marzo, FJ 5, ya se constató la conexión existente entre ciberseguridad y seguridad nacional “incluida como dice expresamente la Ley 36/2015, en los títulos competenciales de las materias 4 y 29 del artículo 149.1 CE” (STC 184/2016 , FJ 3), pues la Ley 36/2015, de 28 de septiembre, de seguridad nacional, identifica en su artículo 10 la ciberseguridad como uno de los “ámbitos de especial interés de la seguridad nacional ... que requieren una atención específica, por resultar básicos para preservar los derechos y libertades, así como el bienestar de los ciudadanos, y para garantizar el suministro de los servicios y recursos esenciales”. También la Ley 8/2011, de 28 abril, de medidas para la protección de las infraestructuras críticas, dictada al amparo de la competencia atribuida al Estado en virtud del artículo 149.1.29 CE, hace referencia a la ciberseguridad. El artículo 2 de esta Ley define las infraestructuras estratégicas como “las instalaciones, redes, sistemas y equipos físicos y de tecnología de la información sobre las que descansa el funcionamiento de los servicios esenciales”. Tales servicios esenciales son los necesarios para el mantenimiento de las funciones sociales básicas, la salud, la seguridad, el bienestar social y económico de los ciudadanos, o el eficaz funcionamiento de las instituciones del Estado y las Administraciones públicas. La Ley 8/2011 también define las infraestructuras críticas como aquellas de las infraestructuras estratégicas “cuyo funcionamiento es indispensable y no permite soluciones alternativas, por lo que su perturbación o destrucción tendría un grave impacto sobre los servicios esenciales”. Y en su anexo se incluyen las tecnologías de la información y las comunicaciones como sector estratégico. Las instalaciones, redes, sistemas y equipos de tecnología de la información tienen la consideración, en los casos previstos en dicha norma, bien de instalaciones estratégicas o, incluso, de instalaciones críticas.
Como ha indicado el Parlamento de Cataluña en sus alegaciones, la ciberseguridad no es un concepto o materia reconducible a un único título competencial. Puede, como allí se recalca, identificarse con la seguridad nacional o con la seguridad pública cuando se trata de la protección ordinaria de las redes y las infraestructuras de telecomunicaciones. Pero también puede proyectarse sobre otros planos, como es el caso de la administración electrónica, que abarca la organización de medios y previsión de medidas de protección de la administración y, por extensión, la protección de los derechos de los ciudadanos cuando se relacionan con la administración por medios electrónicos.
Se deben mencionar ahora, en primer lugar, los preceptos del bloque de la constitucionalidad que delimitan la distribución de competencias en la materia de “seguridad pública” y, en segundo lugar, a los términos en los que la doctrina constitucional se ha referido a dicha materia, en particular en lo relativo a las competencias estatales y autonómicas sobre la misma. Aludiremos también a la doctrina constitucional sobre la materia telecomunicaciones y régimen general de comunicaciones, así como acerca de los restantes títulos invocados por los Letrados autonómicos, la potestad relativa a la organización de su propia administración pública de la Comunidad Autónoma y las competencias autonómicas en materia de comercio electrónico.
Procede recordar que la materia “seguridad pública” hace referencia a la “protección que se lleva a cabo, preferentemente, mediante la actividad policial propiamente dicha y las funciones no policiales inherentes o complementarias a aquellas” (SSTC 104/1989 , de 8 de junio, FJ 6, y 175/1999 , de 30 de septiembre, FJ 5). Pero también “puede ir más allá de la regulación de las intervenciones de la ‘policía de seguridad’, es decir, de las funciones propias de las fuerzas y cuerpos de seguridad” (STC 86/2014 , de 29 de mayo, FJ 4), de tal suerte que “la actividad policial es una parte de la materia más amplia de la seguridad pública” (SSTC 175/1999 , FJ 7). La seguridad pública es, en principio, competencia exclusiva del Estado ex artículo 149.1.29 CE, precepto constitucional que pone de manifiesto que ya en él se establecen salvedades (“sin perjuicio de”) que, en cierto sentido, vienen a modular la exclusividad de la competencia estatal, proclamada en el párrafo inicial del artículo 149 CE. De esas salvedades pueden derivarse, en su caso, límites, en razón del contenido de los Estatutos de las diferentes Comunidades Autónomas y de la Ley Orgánica a la que la norma constitucional confía la regulación del marco al que ha de ajustarse la creación de policías por las Comunidades Autónomas. Así se ha declarado que “la competencia exclusiva del Estado en materia de seguridad pública no admite más excepción que la que derive de la creación de las policías autónomas” (STC 104/1989 , de 8 de junio, FJ 3). Es pues doctrina consolidada de este Tribunal que la seguridad pública es una competencia exclusiva del Estado ex artículo 149.1.29 CE y solamente se encuentra limitada por las competencias que las Comunidades Autónomas hayan asumido respecto a la creación de su propia policía (por todas, STC 148/2000 , de 1 de junio, FJ 5).
Sin embargo, la seguridad pública no se agota en la actividad policial (STC 86/2014 , FJ 4), de modo que la falta de identificación absoluta entre la materia seguridad pública y el ámbito propio de los servicios policiales tiene consecuencias en el plano de la delimitación de competencias en la materia, de manera que a las Comunidades Autónomas con competencias asumidas corresponde la organización de sus propios servicios policiales y el ejercicio de las funciones o servicios policiales no estatales, así como la necesaria inherencia o complementariedad (SSTC 104/1989 , FJ 6, y 175/1999 , FJ 5) de determinadas funciones o potestades no estrictamente policiales.
De este modo, en los términos de nuestra doctrina, no basta únicamente la conexión de una determinada función con la materia seguridad pública, para encuadrarla competencialmente en la esfera de responsabilidad del Estado, sino que, además del dato positivo de esa posible conexión, que se daría en todos los casos de funciones policiales, es necesario el negativo de la inexistencia de vinculación específica con la competencia derivada de la “creación” de la policía autonómica, cuyo ámbito competencial no comporta sólo una referencia orgánica, sino también funcional. Esta competencia autonómica se refiere a la función policial prestada por dicha policía autónoma, esto es, a la capacidad de los poderes autonómicos de organizar aquella y ejercer las funciones o servicios policiales no estatales, así como las potestades administrativas que puedan ser consideradas como complementarias o inherentes a las tareas de prevención e investigación de hechos delictivos y persecución de los culpables, del mantenimiento del orden ciudadano y otras análogas que se atribuyen a los cuerpos y fuerzas de seguridad (por todas, STC 104/1989 , FJ 4).
b) En segundo lugar, incide en esta materia la competencia exclusiva estatal en materia de telecomunicaciones y de régimen general de comunicaciones del artículo 149.1.21 CE. La primera de ellas se conecta con los aspectos técnicos de la emisión relativos al uso de las ondas radioeléctricas o electromagnéticas (dominio público radioeléctrico), lo que justifica proceder a una “ordenación conjunta de todas las variantes de telecomunicación y radiocomunicación” [STC 78/2017 , de 22 de junio, FJ 4 a), citando la STC 168/1993 , de 27 de mayo, FJ 4]. Por su parte la competencia exclusiva estatal respecto del “régimen general de comunicaciones” “comprende, desde luego, la totalidad de las competencias normativas sobre la misma (SSTC 84/1982 , FJ 4, y 38/1983 , FJ 3); pero implica también un plus”, ya que “puede comportar la atribución de las competencias de ejecución necesarias para configurar un sistema materialmente unitario” (STC 195/1996 , de 28 de noviembre, FJ 6).
Como recuerda la STC 8/2016 , de 21 de enero, FJ 3: “Desde una última perspectiva, más global, se integra también en la materia de telecomunicaciones y de régimen general de comunicaciones (y corresponde por tanto al Estado la competencia exclusiva conforme al 149.1.21 CE) la conformación, regulación o configuración del propio sector de telecomunicaciones (comunicaciones electrónicas) atendiendo a la convergencia tecnológica (y de servicios) y al marco regulador de las comunicaciones electrónicas de la Unión Europea para asegurar una regulación homogénea en todo el territorio español. Esta homogeneidad resulta necesaria, no solo para el desarrollo e innovación del sector, sino también para la garantía de los derechos de los ciudadanos en el marco de la sociedad de la información (o sociedad del conocimiento), si se tiene en cuenta que el desarrollo de las comunicaciones y de las nuevas tecnologías de la información constituye un factor esencial para lograr la cohesión social, económica y territorial necesarias para evitar, o al menos disminuir, la llamada fractura digital”.
El apartado 7 del artículo 140 EAC atribuye a la Generalitat “de acuerdo con la normativa del Estado, la competencia ejecutiva en materia de comunicaciones electrónicas”, citando a continuación las potestades que incluye, potestades que la doctrina constitucional ha relacionado preferentemente con la materia relativa a los medios de comunicación social. Dicha competencia no puede menoscabar ni perturbar la competencia estatal en materia de régimen general de comunicaciones que tiene por objeto ordenar normativamente y asegurar la efectividad de las comunicaciones, ni tampoco la dimensión técnica vinculada al uso del dominio público radioeléctrico que está en manos del Estado, que es su titular (art. 149.1.21 CE; STC 31/2010 , de 28 de junio, FJ 85).
El otro título competencial que invoca la ley catalana, relativo al comercio [art. 121.1.
EAC], no presta cobertura a esta regulación, cuyo objeto directamente no es el comercio electrónico. Y aunque indirectamente lo fuera, no trata de la actividad comercial a la que se refiere este título competencial, sino de las condiciones de seguridad en las que debe desenvolverse cuando la actividad comercial se desarrolla por vía electrónica, lo cual reconduce al soporte —las redes y servicios de comunicación electrónica— que prevalentemente se encuadran en el ámbito del artículo 149.1.21 CE.
La “potestad de autoorganización” de la Comunidad Autónoma (STC 204/1992 , de 26 de noviembre, FJ 5) supone la potestad para crear, modificar y suprimir los órganos, unidades administrativas o entidades que configuran la respectiva Administración autonómica o dependen de ella (STC 55/1999 , de 6 de abril, FJ 3, y las que allí se citan) que nuestra doctrina ha identificado con la competencia autonómica en materia de régimen de organización de su autogobierno, esto es, de decidir cómo organizar el desempeño de sus propias competencias. Resulta de lo anterior que la Comunidad Autónoma puede “conformar libremente la estructura orgánica de su aparato administrativo” (STC 165/1986 , de 18 de diciembre, FJ 6), creando los departamentos o unidades que estime convenientes en orden al adecuado ejercicio de las competencias que le han sido atribuidas, siempre y cuando con ello no interfiera en las que son propias del Estado. Así pues, tan indiscutible es esta competencia autonómica para la propia organización, como el que la misma solo podrá ejercerse sobre ámbitos que, materialmente, correspondan a la propia Comunidad Autónoma, “pues no son concebibles, en Derecho, órganos, servicios o agencias autonómicos cuyas funciones no sean reconducibles a unas u otras competencias estatutarias” (STC 52/2017 , FJ 5).
La Generalitat ostenta competencias para la organización de su propia Administración (arts. 71.6 y 150 EAC), así como que el diseño, creación y mantenimiento de “servicios de administración electrónica” es un aspecto central de la “potestad de autoorganización” inherente a la autonomía (STC 111/2016 , de 9 de junio, FJ 11). Sin embargo, la cuestión planteada no es ésta, sino la de las funciones que la Ley 15/2017 reconoce o atribuye a la Agencia que crea. La queja que ha planteado el Abogado del Estado se centra en que el objeto y funciones en que se inserta la actividad de la Agencia no se ciñe al ámbito de la protección de la seguridad de las redes de comunicación electrónicas de la Administración de la Generalitat, sino que, por el contrario, el abanico de actuaciones que desarrolla la Agencia, de naturaleza muy diversa, permite deducir elementos que, según el caso, pueden incidir sobre las competencias en materia de seguridad pública (149.1.29 CE) y de telecomunicaciones y régimen general de comunicaciones (art. 149.1.21 CE).
Conforme a todo lo anterior puede ya abordarse el examen de los preceptos de la Ley 15/2017 impugnados por razones competenciales. Estos son el apartado 1, en relación con los apartados 2 y 3; el apartado 4, letras b), e) y f), y las letras a), b) y d) del apartado 5, todos ellos del artículo 2 de la Ley 15/2017. Dado que la argumentación no es exhaustiva, tampoco habrá de serlo nuestra respuesta (STC 42/2018 , de 26 de abril, FJ 5, y a las que se remite).
El artículo 2.1 prescribe que “la Agencia de Ciberseguridad de Cataluña tiene por objeto garantizar la ciberseguridad en el territorio de Cataluña, entendida como la seguridad de las redes de comunicaciones electrónicas y de los sistemas de información”.
Se trata, en unos casos, de actuaciones referidas a la ejecución de políticas públicas en materia de ciberseguridad, políticas cuya existencia, en tanto que referidas a la Administración de la Generalitat y su sector público, no ha sido discutida por el Abogado del Estado. Las tres primeras guardan relación con las actuaciones que la Generalitat puede poner en marcha en relación con sus propias redes y sistemas de telecomunicaciones teniendo presente la necesidad de proteger sus comunicaciones electrónicas. Se relacionan con la competencia autonómica del artículo 159.1
EAC, relativa a los medios necesarios para el ejercicio de las facultades administrativas y con las funciones que corresponden a la Generalitat relacionadas con la administración electrónica. Son expresión, por otra parte, de la aplicación de previsiones de normas estatales en materia de administración electrónica (arts. 1.2, 11 a 30 y 36 del Real Decreto 3/2010), de seguridad nacional (arts. 10, 11, 27.3 y disposición adicional tercera de la Ley 36/2015) y de infraestructuras críticas [arts. 2 d), e) y f); 10 y 15.2 de la Ley 8/2011]. Las otras dos actuaciones se refieren a medidas de fomento que la Generalitat puede llevar a cabo en su propio ámbito de competencias y que, tal como se formulan, no puede entenderse que perturben o menoscaben el ejercicio de las competencias estatales en materia de seguridad pública o de telecomunicaciones.
a) Impulsar y aprobar un marco de directrices y normas técnicas de seguridad de cumplimiento obligatorio para la Administración de la Generalidad y para los organismos y entidades vinculados o dependientes, para garantizar una protección eficaz, en particular ante el cibercrimen y los ciberataques. En el marco de las directrices y normas técnicas para la protección de los sistemas de información policiales, la Agencia debe coordinarse con el departamento competente en materia de policía y seguridad pública.
d) Garantizar la ciberseguridad en la prestación de los servicios de identificación electrónica y de identidad y confianza digitales por parte de los prestadores establecidos en Cataluña o que, en otro caso, ofrezcan servicios a la Administración de la Generalidad y a los organismos y entidades vinculados o dependientes.
La demanda se refiere expresamente al apartado b) ya que considera contrario al orden competencial que se atribuya a la Agencia la función de informar preceptivamente las disposiciones normativas estatales sobre ciberseguridad. Sin embargo, el tenor literal del precepto desmiente dicha vulneración, ya que alude a “disposiciones normativas tramitadas por la Administración de la Generalitat”, lo que se concreta en disposiciones meramente organizativas en relación a sus propias funciones en materia de ciberseguridad (al respecto, STC 31/2010 , FJ 61).
Estimar parcialmente el presente recurso de inconstitucionalidad y, en consecuencia, declarar que son inconstitucionales y nulos el apartado 1; el inciso “con relación a las personas físicas o jurídicas situadas en Cataluña” del apartado 3; el inciso “planificar, gestionar, coordinar y supervisar la ciberseguridad en Cataluña, estableciendo la capacidad preventiva y reactiva necesaria para paliar los efectos de los incidentes de ciberseguridad que afecten al territorio de Cataluña, así como las pruebas que puedan organizarse en materia de ciberseguridad y continuidad” de la letra b) del apartado 4, todos ellos del artículo 2 de la Ley 15/2017, de 25 de julio, de la Agencia de Ciberseguridad de Cataluña.
Declarar que el artículo 2.2 de la Ley 15/2017 no es contrario a la Constitución interpretado en los términos del fundamento jurídico 7 b) apartado i) de la presente Sentencia.