Acceso a informes de auditoría y certificación de generadores de números aleatorios en póker online

ANTECEDENTES

• Una pareja entre las cinco cartas de la mesa, atendiendo a una muestra de un mínimo de diez mil manos? • En mesas de seis jugadores de la modalidad High, ¿en qué porcentaje se dan dos Ases entre las cuatro cartas que se entregan a los jugadores?

• ¿Cuántas auditorías centradas en el póker se han hecho desde que entró en vigor la Ley de Regulación del Juego, el 28 de mayo de 2011? • ¿Cuántas auditorías se han hecho con manos jugadas con dinero real?

• ¿Cuántos controles efectuados por sorpresa han tenido que pasar las casas de póker? • ¿Qué clase de exigencia puede esperarse de unas auditoras que han sido previamente elegidas por las casas de póker?

2.

El 9 de mayo de 2017, la Dirección General de Ordenación del Juego del MINISTERIO DE HACIENDA Y FUNCIÓN PÚBLICA dictó Resolución por la que comunicó a la Asociación POKERCSI, lo siguiente:

• De acuerdo con la letra g) del apartado 1 del artículo 14 de la citada Ley 19/2013, de 9 de diciembre, el derecho de acceso podrá ser limitado cuando acceder a la información suponga un perjuicio para las funciones administrativas de vigilancia, inspección y control.
• Así mismo, de acuerdo con la letra j) del apartado 1 del artículo 14 de la citada Ley 19/2013, de 9 de diciembre, el derecho de acceso podrá ser limitado cuando acceder a la información suponga un perjuicio el secreto profesional y la propiedad intelectual e industrial.
• Por otra parte, según el artículo 16 de la misma Ley 19/2013 en los casos en que la aplicación de alguno de los límites previstos en el artículo 14 no afecte a la totalidad de la información, se concederá el acceso parcial previa omisión de la información afectada por el límite salvo que de ello resulte una información distorsionada o que carezca de sentido.
• En relación a las preguntas 1 a 3, relativas a las pruebas estadísticas realizadas para comprobar la correcta traslación de la aleatoriedad de los resultados del generador de números aleatorios al juego, las entidades de certificación se basan en estándares estadísticos compuestos de pruebas de frecuencia, correlación, permutación, distribución y adyacencia, para verificar que en el proceso no se manipula la entropía del sistema. Las pruebas realizadas por las entidades de certificación corroboran con un alto grado de confianza en que los sistemas técnicos de juego de los operadores de póquer no pierden su grado de entropía. El orden de magnitud del número de muestras tomadas para la realización de las pruebas estadísticas es de cientos y cada muestra se compone de millones de registros.
• Las pruebas típicas que se realizan por los laboratorios son las siguientes:
  • Diehard: Set de pruebas, que testea las salidas en bruto del sistema de generación de números aleatorios en formato de bits. Esta suite, revisa que no existan patrones en los bits producidos por un GNA.
  • Chi-Square: Prueba utilizada para revisar la frecuencia en que cada número sale en el rango de cada muestra. Un número elevado de ocurrencias de un número significaría que se elige con demasiada frecuencia. Este examen permite identificar desviaciones significativas del comportamiento aleatorio esperado.
  • Serial correlation: Esta prueba determina si las muestras escogidas afectan de alguna forma a las jugadas posteriores, midiendo la dependencia de los valores dentro de una posición y comparándolos con los valores de los resultados de juego. Este test da un coeficiente de correlación de las dos series, la generación pura de números aleatorios y su traslación al juego. Este test permite detectar si existen valores que hagan pensar que existen diferencias significativas entre la distribución de números aleatorios y su traslación al juego.
  • Interplay Correlation: Esta prueba indica si existe algún tipo de relación entre dos posiciones de números elegidos en una misma selección. Es un análisis similar al realizado en el test Serial Correlation, pero en este caso realizándolo en pares de datos. Si la representación gráfica de este test produce una curvatura estándar en campana, demuestra que los coeficientes de correlación conforman una distribución adecuada.
  • Permutación: Esta prueba se realiza con permutaciones en un set de datos que es una baraja de cartas ya mezclada, comparando las apariciones de cada número y su posición en la baraja de 52 cartas, o en otras palabras, los ciclos de aparición. Este test permite detectar si la distribución sigue un patrón definido y por tanto no cumple con la aleatoriedad intrínseca del sistema.
  • Total Distribution: Esta prueba consiste en contar las ocurrencias totales de cada número en el total de las selecciones, para identificar si existe la misma probabilidad de aparición de cada número. Este test permite detectar un número o serie de números con un grado significativamente mayor de aparición.
  • Duplicares: Esta prueba revisa que en una serie de números, no existe un patrón que indique que un número tiene una duplicidad mayor dentro de un rango.
  • Horizontal Duplicares: Esta prueba se realiza para garantizar que no se escogen selecciones duplicadas dentro del rango muestra.
  • Runs: Prueba utilizada para determinar si existen patrones establecidos de algún valor de la muestra. Este test permite detectar desviaciones significativas que induzcan a pensar que existe un "modus operandi" que altere la aleatoriedad del sistema.
  • Adjacency: Esta prueba se realiza para determinar si existe un patrón en la distribución de los números, estableciendo ordenaciones de los mismos para examinar su distribución entre valores máximos y mínimos, si existen bloques definidos de números o valores más altos o más bajos en rangos determinados de la selección. Este examen permite identificar si los valores escogidos están agrupados por bloques, valores máximos o mínimos o siguen un patrón de valores altos o bajos en rangos determinados de la muestra.
  • Coupon Collectors: Esta prueba revisa el tiempo que tarda cada número en aparecer de nuevo dentro de la muestra.
  • Overlaps: Esta prueba compara los valores de una muestra frente a los valores seleccionados de otra, superponiendo las dos muestras y hallando su número de superposiciones.
• La relación concreta de las pruebas realizadas por cada entidad de certificación, el número de muestras utilizadas o los resultados obtenidos, tienen naturaleza confidencial y su revelación podría suponer un perjuicio para el secreto profesional y la propiedad intelectual e industrial por lo que su acceso está limitado de acuerdo con la letra j) del apartado 1 del artículo 14 de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno.
• En relación a las preguntas 4 y 5 las auditorías de los sistemas se han realizado según lo establecido en el artículo 12 del Real Decreto 1613/2011, de 14 de noviembre, por el que se desarrolla la Ley 13/2011, de 27 de mayo, de regulación del juego, en lo relativo a los requisitos técnicos de las actividades de juego (en adelante, RD Técnico) que establece que "La primera auditoría se realizará en los seis meses siguientes al vencimiento del plazo de dos años contados desde la concesión de la homologación. Las sucesivas auditorías se realizarán, también, dentro de los seis meses siguientes al vencimiento del plazo de dos años.". Las primeras homologaciones de licencias de póquer datan de abril de 2013 por lo que las auditorías se realizaron en octubre de 2015. Las segundas auditorías se realizarán en octubre de 2017. Se debe indicar que las auditorías siempre se realizan en entornos de producción en los que se maneja dinero real.
• Sobre la pregunta 6, cabe decir que todos los operadores están sometidos a control permanente en el marco del plan de inspección de la Dirección General. El detalle o el número de controles realizados es información confidencial y su revelación podría suponer un perjuicio para el sigilo profesional en el ejercicio de las funciones de vigilancia, inspección y control por lo que su acceso está limitado de acuerdo con la letra g) del apartado 1 del artículo 14 de la Ley 19/2013, de 9 de diciembre, el derecho de acceso a la información.
• Sobre la pregunta 7, se debe reiterar que las auditorías se realizan según lo establecido en el artículo 12 del RD Técnico, que en su apartado primero establece que "La auditoría, cuyo coste será asumido por el operador, podrá ser realizada por la Comisión Nacional del Juego o por la entidad que a estos efectos proponga de entre las reconocidas para la homologación y certificación de los sistemas técnicos de juego y que será distinta a la entidad que, en su caso, hubiera realizado el último informe de homologación y certificación de los sistemas técnicos de juego del operador."
• Sobre la manifestación del consultante que "{lo que} no queda claro es qué se hace para comprobar que los generadores de números aleatorios que utilizan las empresas de póker, realmente lo son, ya que desde el momento en que hay una fórmula {algoritmo} detrás realmente los números no son aleatorios del todo" se considera preciso trasladar que los operadores tienen dos tipos de Generadores de Números Aleatorios (GNA):
  • 1.-TRNG (True Random Number Generator): Es un tipo de hardware que se conecta a un ordenador y produce números aleatorios genuinos con un tanto por ciento de aleatoriedad cercano al 100%. El método utilizado generalmente es amplificar el ruido generado por un semiconductor de luz o calor. Con este tipo de dispositivos se obtienen series de números que son estadísticamente independientes.
  • 2.-PRNG (Pseudo Random Number Generator): Los Generadores de Números Pseudoaleatorios son algoritmos software que requieren de parámetros de arranque para llegar a un tanto por ciento de aleatoriedad aceptable, dado que no es posible generar números aleatorios por medio de cálculos. Este tipo de procesos son denominados de semilla o resemillado, y en ellos se debe imitar o utilizar el ruido de aleatoriedad pura que realizan los TRNG. Existen distintos tipos de sistemas de semillado. Los operadores suelen utilizar como semilla la generada por ruido ambiental o cualquier otra variable física como la temperatura, el sonido o la luz, imitando de esta forma el funcionamiento de los TRNG, llegando a un tanto por ciento de aleatoriedad aceptable con un alto grado de entropía. Definida la entropía como una medida de distorsión o aleatoriedad de un sistema cerrado, la fuente de entropía será un componente o evento que genera valores impredecibles que son capturados habitualmente por medios físicos del entorno (luz, temperatura, radiofrecuencia, etc.).
• Sobre su manifestación de que "habiendo contactado con analistas de software de póker, que trabajan para empresas homologadoras, dos de ellos han comentado que las pruebas de control que se realizan son muy primarias ... y existen muchos métodos para burlar el control de los programas que forman una aplicación": cabe reiterar al la invitación a presentar una denuncia y a aportar la documentación, información o evidencias que pongan de manifiesto las supuestas irregularidades de los laboratorios o de los operadores de póquer.
• Sobre su solicitud de acceso a las auditorías y a los resultados de las mismas, se debe reiterar que esta documentación tiene naturaleza confidencial y su revelación podría suponer un perjuicio para el secreto profesional y la propiedad intelectual e industrial por lo que su acceso está limitado de acuerdo con la letra j) del apartado 1 del artículo 14 de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno.

3.

El 22 de mayo de 2017, el MINISTERIO DE HACIENDA Y FUNCIÓN PÚBLICA comunicó a la Asociación POKERCSI, lo siguiente:

• En relación a su solicitud de acceso a la información registrada con el nº 001-013812, que presentó a través del Portal de la Transparencia el día 6 de abril de 2017, sobre "Consultas a la Dirección General de Ordenación del Juego" el Ministerio de la Presidencia y para las Administraciones Territoriales nos ha enviado la queja que usted formuló a través del buzón de quejas y sugerencias. En ella expone que se le comunicó que el 17 de abril recibiría la respuesta de la Dirección General de Ordenación del Juego, pero que a fecha de 19 de mayo no la había recibido y que no puede consultar el expediente 001-013812, a través del enlace desde la sección "Derecho de acceso a la información -Estado de mis solicitudes".
• Con respecto a lo que nos explica, efectivamente se comprobó el error que describe en su incidencia, se subsanó el 22/05/2017 y desde ese día ya puede consultar el estado de su solicitud y acceder a la resolución, compruébelo por favor.

4.

Mediante escrito de fecha 23 de Mayo de 2017, con entrada el 24 de mayo, la Asociación POKERCSI, presentó, al amparo de lo dispuesto en la misma norma, una Reclamación ante el Consejo de Transparencia y Buen Gobierno, con el siguiente contenido:

• El día 6 de abril, desde el Portal de la Transparencia, iniciamos una comunicación con la Dirección General de Organización del Juego, dirigida a su Director. Un texto que previamente le habíamos enviado, el día 29 de marzo, a su correo(...)
• Seguidamente, el día 17 de abril, recibimos un correo desde el Ministerio de la Presidencia, en la que se nos notificaba lo siguiente: Le informamos que tiene una notificación en relación a su expediente 001-013812 del procedimiento: Derecho de acceso. Puede usted acceder a esta notificación en la dirección, desde la sección "Derecho de acceso a la información -Estado de mis solicitudes", que podrá encontrar en la parte superior de la página.
• Pasado un mes desde la notificación del Ministerio de Presidencia, todavía no hemos recibido ninguna comunicación de la respuesta de la DGOJ. Además, de manera inesperada, al hacer consulta del estado de nuestros expedientes, hemos visto como el expediente abierto para esta comunicación -expediente 001-013812-ha desaparecido, a pesar de que durante varios días habíamos tenido acceso al mismo desde el Portal de la Transparencia.
• El día 22 de mayo, iniciamos un correo con la DGOJ, explicando los hechos, sin que oficialmente nos hayan contestado. Puestos en contacto con la secretaria del Sr. Director, nos ha comentado que no les consta este escrito, que no lo han recibido.
• Esperamos de la mediación del Consejo de Transparencia y Buen Gobierno una explicación al respecto y la exigencia de una respuesta a nuestra comunicación.

5.

En correo electrónico del mismo día 23 de Mayo de 2017, con entrada el 24 de mayo, Asociación POKERCSI, comunicó expediente, ya tenemos la respuesta de la DGOJ, por lo que dejamos sin efecto nuestra reclamación.

6.

Mediante Resolución de la Presidenta del Consejo de Transparencia, de fecha 19 de junio de 2017, recaída en el expediente R/0238/2017, se acordó ARCHIVAR, desistimiento voluntario, la Reclamación presentada por Asociación POKERCSI, con entrada el 24 de mayo de 2017, contra el MINISTERIO DE HACIENDA Y FUNCIÓN PÚBLICA.

7.

Con fecha 21 de junio de 2017, Asociación POKERCSI, presentó, al amparo en misma norma, una nueva Reclamación ante el Consejo de Transparencia y Buen Gobierno, con el siguiente contenido resumido:

• Antes que nada, queremos hacer constar que desde el Organismo Hacienda y Función Pública se ha reconocido un error informático, por lo que tuvimos la recepción del mencionado escrito, el día 23 de mayo, por lo que nuestro período límite de reclamación se ha desplazado al día 22 de junio, tal y como se nos ha confirmado desde el Consejo de Transparencia y Buen Gobierno.
• Aludir a que exponer unos resultados "supone incumplir el secreto profesional y la propiedad intelectual e industrial" en este caso está fuera de lugar, puesto que no pretendemos tener acceso al software que realiza los análisis de las manos de póker, sino a los resultados que se derivan de la aplicación del mismo. Tampoco se trata de hacer pública una contabilidad privada, es simplemente informar de unos resultados estadísticos que solo sirven para demostrar que los controles son óptimos, mejorables o precarios.
• En cuanto a que "acceder a la información suponga un perjuicio para las funciones administrativas": solo se nos ocurre pensar que el posible perjuicio resultante sería que en caso de detectarse que los controles son ineficientes, los responsables de los mismos quedarían en mal lugar, con lo que la negativa a mostrar la información resulta del todo inadmisible.
• Cabe decir lo propio en cuanto a que "el derecho de acceso podrá ser limitado cuando suponga un perjuicio para las funciones administrativas de vigilancia, inspección y control": Es realmente sorprendente como se blindan ante una posible mala gestión, pues con leyes de este tipo, aplicadas de manera exagerada, se impide la detección de irregularidades.
• En un mundo ideal sería razonable que todos los integrantes del mundo del póker online, tuviésemos acceso a los resultados de las pruebas realizadas. Bloquear la transparencia mediante leyes que sirven para cualquier circunstancia, aunque sea con las excusas más insustanciales, significa poner barreras a la necesaria información en aras de impedir que se detecten anomalías en la gestión. En cierto modo, esta actitud induce al recelo, a la sospecha de que las cosas no se están haciendo bien del todo.
• Apelamos a la transparencia para que nos sea permitido acceder de buena fe, firmando un contrato de confidencialidad, a los resultados de las diferentes pruebas realizadas en relación a las diferentes modalidades de póker online, para valorar tanto su periodicidad como su profundidad y eficacia. Para reforzar esta petición apelamos al artículo 16 de la Ley 19/2013.
• En cuanto a que nos invitan a presentar una denuncia, cabe decir que no somos detectives, pero sí que tenemos la capacidad de valorar los resultados de las pruebas efectuadas y discernir si tienen desviaciones estadísticas. Es por ello que insistimos en acceder a las mismas, para que en caso de detectar irregularidades, poderlas exponer de manera confidencial al Director de la DGOJ.
• Sí como se afirma "el orden de magnitud del número de muestras tomadas para la realización de las pruebas estadísticas es de cientos de muestras con millones de registros" esto debería ser un motivo más para mostrar los resultados de las pruebas pues, de hacerse de manera adecuada, sería poco probable que muestren desviaciones estadísticas. Si fuese así seríamos los primeros en propagar a los cuatro vientos la idoneidad de unos controles que son absolutamente necesarios en periodicidad y profundidad.
• Solicitamos que dicten resolución estimando íntegramente la presente Reclamación contra la Resolución de fecha 9 de mayo de 2017, dictada por el Ministerio de Hacienda y Administraciones Públicas desde la Dirección General de Ordenación del Juego, y se requiera a dicho Organismo para que se nos permita el acceso a las pruebas realizadas en el control del póker online, concretamente en el apartado de interrelación e interacción de las cartas, en virtud de nuestro escrito de fecha 6 de abril de 2017, con número de registro 001 013812, con entrega de los datos y resultados requeridos.

8.

El 7 de julio de 2017, se remitió el expediente al MINISTERIO DE HACIENDA Y FUNCIÓN PÚBLICA para que presentara alegaciones, las cuales tuvieron entrada el 28 de julio siguiente, con este contenido:

• En primer lugar, resulta necesario hacer una serie de consideraciones sobre la información solicitada por el interesado, con la finalidad de acotar adecuadamente el alcance de su reclamación. La solicitud de información sobre las "pruebas realizadas en el control del póker online concretamente en el apartado de interrelación e interacción de las cartas (...) con entrega de los datos y resultados requeridos" ha de partir del hecho de que, según el modelo previsto en nuestra normativa y que se describe de forma general más adelante, esas pruebas están contenidas en los siguientes documentos:
  • El informe de certificación elaborado por las entidades certificadoras que el operador debe presentar, bien en el proceso de homologación de su sistema técnico de juego, bien en los sucesivos cambios sustanciales de elementos críticos del sistema que pueda acometer. Este informe se elabora por entidades certificadoras debidamente acreditadas, por lo que no es un documento elaborado por la DGOJ, aunque sí que obra en su poder. En concreto, lo que solicita el interesado es acceder, en la parte del informe de certificación que afecta exclusivamente a la certificación de la funcionalidad, a la siguiente información: Análisis del generador de números aleatorios (GNA) y Análisis de la lógica del juego y los sucesos aleatorios.
  • Los informes de las auditorías a las que deben someterse los operadores de juego cada dos años. Al igual que los informes de certificación, estos informes se elaboran por entidades certificadoras debidamente acreditadas, por lo que no son documentos elaborados por la DGOJ, aunque sí que obra en su poder. En concreto, la información que solicita el interesado se corresponde con los siguientes apartados de dicho informe: Área: generador de números aleatorios y Descripción: homologación del GNA, fallos en el GNA, resemillado del GNA, controles de la lógica del juego.
• En cuanto a las concretas preguntas formuladas por el interesado en su escrito de solicitud este Centro directivo entiende que, salvo aquéllas que conectan directamente con el contenido de aquella parte de los informes de certificación y de los informes de auditoría objeto de reclamación (preguntas 1 a 3), el resto de las preguntas han sido oportunamente contestadas en el escrito de la DGOJ de 9 de mayo de 2017, pues esas preguntas no han sido objeto de reformulación expresa en la reclamación de 21 de junio de 2017, ante el Consejo de Transparencia y Buen Gobierno.
• Con carácter previo, resulta necesario explicar en qué consiste un Generador de Números Aleatorios (en adelante, GNA) y cuál es su naturaleza. Dicha explicación será necesaria para comprender adecuadamente alguno de los motivos esgrimidos por esta DGOJ para proceder a la denegación de la reclamación de información solicitada. Según la norma internacional del National Institute of Standards and Technology, un GNA usa fuentes no determinísticas para producir números aleatorios genuinos con un tanto por ciento de aleatoriedad cercano al 100%. Por tanto, podemos decir que un GNA es un dispositivo informático, ya sea un programa y/o un dispositivo/componente hardware, diseñado para producir secuencias de números cuyo valor es generado al azar y no está ligado a ningún patrón reproducible, por lo que son impredecibles. En consecuencia, el GNA de un sistema técnico de juego es utilizado para garantizar la aleatoriedad de dicho sistema. Los componentes utilizados por gran parte de los operadores de juego online en su GNA (entre los que se incluyen los operadores de juego de póquer), están basados en la generación de series numéricas mediante la utilización de dispositivos criptográficos y en el uso de algoritmos matemáticos que transforman los números generados en una nueva serie con una longitud fija, todo ello para lograr los mayores estándares de calidad, de forma que esta nueva serie no sea reversible, no pudiendo llegar al número generado por el GNA si tuviéramos registro de dicha serie. En este sentido, los operadores de juego emplean en su GNA sistemas criptográficos sólidos que garantizan un adecuado nivel de seguridad y el cumplimiento de los estándares de calidad comentados anteriormente. Por ello, los GNA han de ajustarse a los requisitos técnicos específicamente determinados en nuestra normativa (concretamente, en el artículo 5 del Real Decreto 1613/2011, y en varias resoluciones de la DGOJ). En el contexto del juego del póquer, el GNA es utilizado tanto para la asignación de las cartas como para la ordenación de éstas en la baraja.
• Junto a la explicación relativa al concepto y a la naturaleza de un GNA, también resulta conveniente describir el marco sectorial en el que se desenvuelve la reclamación de acceso a la información que motiva este escrito de alegaciones, así como el contenido y la estructura de los informes de certificación de funcionalidad, y los informes de auditoría objeto de reclamación por parte del interesado. De conformidad con lo dispuesto en los artículos 16 y 24 de la Ley 13/2011, de 27 de mayo, de regulación del juego, la DGOJ es el órgano encargado de auditar, vigilar, inspeccionar y controlar todos los aspectos y estándares relativos al desarrollo de las actividades de juego, además de ser el competente para homologar los sistemas técnicos de juego empleados por dichos operadores. La homologación de los sistemas técnicos se realiza según el procedimiento establecido en el artículo 8 del Real Decreto 1613/2011, de 14 de noviembre, por el que se desarrolla la Ley 13/2011, de 27 de mayo, regulación del juego, en lo relativo a los requisitos técnicos de las actividades de juego. La homologación se basa en el análisis de los sistemas de juego realizado por laboratorios de certificación expertos en la evaluación de funcionalidad y de la seguridad que han sido expresamente acreditados para realizar esa función. Este análisis de los laboratorios de certificación, que debe ajustarse a las especificaciones técnicas expresamente desarrolladas por la DGOJ, se plasma en los informes de certificación realizados por dichos laboratorios.
• Los informes de certificación están regulados en la Resolución de 6 de octubre de 2014, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición que establece el modelo y contenido del informe de certificación definitiva de los sistemas técnicos de los operadores de juego y se desarrolla el procedimiento de gestión de cambios. En esta Resolución se señala que los informes de certificación son de dos clases: informe de certificación de la funcionalidad e informe de certificación de la seguridad. Siguiendo el apartado séptimo de esa Resolución, el informe de certificación de la funcionalidad, que evalúa el cumplimiento de los requisitos técnicos del sistema técnico de juego efectivamente empleado por el operador para el desarrollo y explotación del juego objeto de la licencia, consta, como mínimo, de tres partes: Pruebas de evaluación del cumplimiento de los requisitos técnicos, análisis específicos de funcionalidades relevantes y pruebas de integración.
• Como se ha señalado anteriormente, una vez que la DGOJ homologa los sistemas técnicos de juego de los operadores con licencia, cualquier cambio sustancial que afecte a la aleatoriedad del sistema debe ser asimismo certificado expresamente por los laboratorios de certificación. Además, las auditorías a los sistemas técnicos de juego, que se hacen cada dos años, se deben realizar de conformidad con lo dispuesto en el artículo 12 del Real Decreto 1613/2011, de 14 de noviembre. En este contexto, la auditoría bienal del sistema técnico de juego tiene por objeto la verificación de la adecuación técnica y organizativa a los requisitos establecidos en los artículos 17 y 18 de la Ley 13/2011, de 27 de mayo.
• Pues bien, la denegación del acceso a los informes elaborados por los laboratorios de certificación se fundamenta, como ya se señaló en el escrito de la DGOJ de 9 de mayo de 2017, en varios de los supuestos previstos en el artículo 14.1 de la LTAIBG. Estos supuestos son los siguientes:
  • Perjuicio de los intereses económicos y comerciales de los laboratorios de certificación y de los operadores regulados, al vulnerar su secreto profesional/comercial (artículos 14.1 h) y j) de la LTAIBG).
  • Transgresión de la garantía de confidencialidad que se exige específicamente por la normativa sectorial en materia de juego (14.1 k) de la LTAIBG).
  • Perjuicio a las funciones administrativas de vigilancia, inspección y control ejercidas por la Dirección General de Ordenación del Juego (artículo 14.1 g) de la LTAIBG).
• En primer lugar, el acceso a la información solicitada perjudicaría los intereses económicos y comerciales de los laboratorios de certificación y de los operadores regulados, al vulnerar su secreto profesional/comercial (artículos 14.1.h) y j) de la LTAIBG]. La Resolución del Consejo de Transparencia y Buen Gobierno de 15 de diciembre de 2015 (R/0296/2015), además de señalar que "cualquier tipo de información puede constituir un secreto comercial" siempre y cuando la entidad que considere valiosa esa información obtenga por ello ventajas frente a sus competidores, determina los requisitos básicos para que las informaciones sean consideradas secretos comerciales y, por lo tanto, estén protegidas jurídicamente. Esos requisitos son los siguientes:
  • a. La información debe ser secreta o ser compartida dentro de una obligada confidencialidad.
  • b. La información debe tener valor comercial.
  • c. La empresa debe haber tomado medidas claras para mantener la información en secreto.
• En cuanto al requisito de que la información sea secreta o se comparta dentro de una obligada confidencialidad, procede afirmar que el modelo de relación establecido entre el operador y la entidad de certificación suele estar basado en estándares internacionales de auditoría, en el que la confidencialidad de la información juega un papel esencial. En este sentido, tanto la norma ISO/IEC/17025 que establece los requisitos generales para la competencia de los laboratorios de ensayo y de calibración, como la norma ISO/IEC 17020 relativa a los organismos que realizan inspecciones exigen que las entidades de certificación garanticen la protección de la información confidencial de sus clientes.
• A nivel interno, además, en la Orden EHA/2528/2011, de 20 de septiembre, por la que se establecen los requisitos y el procedimiento de designación de entidades independientes que realicen las certificaciones de evaluación del software de juegos y de seguridad de operadores de juegos, se establece un modelo de trabajo basado en la confidencialidad y la seguridad. Por ello, el artículo 3 de dicha orden ministerial señala expresamente que las entidades de certificación deben acreditar "confidencialidad respecto de las evaluaciones, de los resultados de las mismas y de las restantes materias que fueran objeto de conocimiento de la Entidad por las necesidades propias de las evaluaciones. Este requisito se aplica únicamente a las informaciones que no tienen carácter público". En este sentido, teniendo en cuenta que los informes objeto de reclamación no tienen carácter público en ningún caso, puede deducirse que el requisito de la confidencialidad se aplica íntegramente a tales informes. Asimismo en el artículo 5.8 se establece que las entidades designadas como entidades certificadoras deberán "Cumplir con las obligaciones correspondientes en materia de confidencialidad de los datos proporcionados por los operadores de juego, implementando para ello las medidas de seguridad que se consideren necesarias".
• En cuanto al valor comercial de la información contenida en los informes objeto de reclamación, cabe incidir en el mismo desde la doble perspectiva de los laboratorios de certificación y de los operadores de juego:
  • En cuanto a los laboratorios de certificación: Cuando una entidad de certificación realiza una certificación de un Generador de Números Aleatorio, aplica una metodología que forma parte de su secreto comercial y de su propiedad industrial e intelectual. A través de dicha metodología el laboratorio de certificación establece entre otros, los tests que ha de realizar en cada escenario, los métodos de prueba y medición a aplicar, los criterios utilizados para interpretar los resultados, además de los resultados que derivan de dichos tests. Para poder interpretar los resultados numéricos es necesario conocer en su integridad la metodología aplicada en cada caso; de otro modo, el resultado no sólo no sería interpretable, sino que podría dar lugar también a malinterpretaciones respecto a la metodología aplicada.
  • En cuanto a los operadores de juego con licencia: En el contenido de dichos informes, se incluye información muy sensible del operador de juego: Fabricante, Producto, Versión, Tipo de GNA, si el componente es compartido por diferentes sistemas, algoritmo utilizado, Método de Resemillado, longitud de los números generados, etc. Toda esta información tiene un evidente valor comercial para el operador de juego, máxime teniendo en cuenta que esa información no tiene por qué haber sido explotada comercialmente aún.
• En cuanto a las medidas adoptadas por las entidades para mantener la información en secreto, puede señalarse que todos los informes de certificación incorporan una cláusula de confidencialidad. En el Anexo 1 de este informe, se muestran ejemplos de las cláusulas de confidencialidad que las entidades de certificación incluyen en sus informes. Los laboratorios de certificación y los operadores de juego operan en un sector de actividad altamente competitivo, con costes elevados, sometido a un proceso constante de vigilancia, monitorización e inspección por parte de la Dirección General de Ordenación del Juego. La puesta en conocimiento de los informes objeto de reclamación traería como consecuencia que la actividad de estas entidades fuese conocida por cualquier futuro competidor, que podría aprovechar la experiencia previa de dichas entidades -que en tanto know-how es una parte importante del fondo de comercio de las mismas-para ser acreditado como laboratorio de certificación o para obtener una licencia de juego y operar en el mercado regulado, obteniendo con ello una ventaja competitiva de indudable valor.
• En segundo lugar, y como complemento indispensable del anterior apartado, la publicación parcial o total del contenido de los informes objeto de reclamación podría suponer la transgresión de la garantía de confidencialidad que se exige específicamente por la normativa sectorial en materia de juego, contraviniendo lo dispuesto en el artículo 14.1 k) de la LTAIBG. Siguiendo de nuevo al Consejo de Transparencia y Buen Gobierno (R/0283/2016) la "garantía de la confidencialidad o el secreto requerido en procesos de toma de decisión" podría ser de aplicación en casos en que "se deba guardar secreto por imperativo legal o por aplicación de otro tipo de normas internas o corporativas de carácter ético o profesional". En este sentido, es preciso volver a invocar lo dispuesto en el artículo 3 de la Orden EHA/2528/2011, de 20 de septiembre, que señala expresamente que las entidades de certificación deben acreditar "confidencialidad respecto de las evaluaciones, de los resultados de las mismas y de las restantes materias que fueran objeto de conocimiento de la Entidad por las necesidades propias de las evaluaciones. Este requisito se aplica únicamente a las informaciones que no tienen carácter público".
• En este contexto, sería de aplicación lo dispuesto en el apartado 2 de la disposición adicional primera de la LTAIBG, que señala lo siguiente: "Se regirán por su normativa específica, y por esta Ley con carácter supletorio, aquellas materias que tengan previsto un régimen jurídico específico de acceso a la información." Tal y como se explicó anteriormente, el marco jurídico sectorial en el que se desenvuelve la evaluación, homologación y la monitorización de los sistema técnicos de juego de los operadores con licencia parte de la LRJ y se desarrolla normativamente en el Real Decreto 1613/2011, en la orden ministerial citada y, además, en las resoluciones mencionadas anteriormente.
• En tercer lugar, el acceso a los informes objeto de reclamación afectaría gravemente a las funciones administrativas de vigilancia, inspección y control ejercidas por la Dirección General de Ordenación del Juego (artículo 14.1 g) ya que el acceso a esta información implicaría un perjuicio a la propia seguridad de los sistemas técnicos de juego de los operadores y, en particular, de su GNA. Como ya se ha manifestado, es la Dirección General de Ordenación del Juego la encargada tanto de homologar los sistemas técnicos de juego (artículo 16 LRJ) como de realizar la auditoría, vigilancia, inspección y control de todos los aspectos y estándares administrativos, económicos, procedimentales, técnicos, informáticos, telemáticos y de documentación, relativos al desarrollo de las actividades previstas en esta Ley (artículo 24 LRJ). Como se ha puesto de manifiesto anteriormente, los GNA de los sistemas técnicos de juego se construyen sobre la base de modelos criptográficos que garantizan la aleatoriedad del sistema. Los informes de certificación de los laboratorios emplean de manera recurrente términos o expresiones que ofrecen indicios constantes del sustrato tecnológico en el que se asientan los GNA de los operadores de juego. El conocimiento, directo o indirecto, de esa información, podría ser aprovechado por terceros para intentar descifrar la lógica subyacente del sistema y realizar acciones de hacking que perviertan el modelo criptográfico subyacente o bien para obtener ciertas ventajas como jugador de póquer. Por ello, teniendo en cuenta que la DGOJ es el garante último de la correcta eficacia del sistema, cualquier acción que ponga en riesgo la seguridad y calidad del marco establecido, entre las que se encuentra la cesión de información relativa al control del GNA de los sistemas técnicos de juego podría redundar en perjuicio de las funciones de vigilancia, inspección y control atribuidas a DGOJ y previstas expresamente en la Ley 13/2011, de 27 de mayo. El modelo de control y supervisión del GNA de los operadores de juego con licencia, se diseña sectorialmente partiendo de la Ley 13/2011, de 27 de mayo, y de sus disposiciones de desarrollo, y se completa con otro tipo de mecanismos que van más allá de la legislación sectorial precitada. Si existiese una percepción sobre la perversión del sistema tan señalada como la que deja intuir el interesado en su escrito de reclamación ante el Consejo de Transparencia y Buen Gobierno, la DGOJ, por las funciones que desempeña en ese sistema, habría recibido, a lo largo de estos años un número importante de denuncias o escritos de jugadores de póquer que apuntasen en esa dirección.
• No parece posible extraer información que pueda conocerse por el interesado, habida cuenta de que su contenido:
  • Entrelaza de forma sistemática los intereses comerciales de los laboratorios de certificación y de los operadores con licencia.
  • Está garantizado por una cláusula de confidencialidad prevista en la normativa sectorial en materia de juego.
  • Podría llegar a ser utilizado por personas ajenas al sistema para vulnerar los mecanismos criptográficos sobre los que se construye el GNA de los operadores de juego.
• En conclusión, en atención a las razones expuestas, esta Dirección General entiende que en la naturaleza de la información solicitada concurren sobradamente determinados límites al derecho de acceso a la misma de los consignados en el artículo 14 apartado 1 de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno.

9.

A la vista de las alegaciones del MINISTERIO DE HACIENDA Y FUNCIÓN PÚBLICA, con fecha 3 de agosto de 2017 y en aplicación del art. 82 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, el Consejo de Transparencia y Buen Gobierno procedió a dar trámite de audiencia al En dicho trámite de audiencia, el interesado alegó lo siguiente:

(...) Las decenas de miles de denuncias expresadas en Internet deberían ser escuchadas. Hasta que no se realicen unos controles periódicos, de alta profundidad, y se muestren los resultados de las pruebas de interrelación e interconexión de las cartas, nunca podremos saber si se cumplen los requisitos exigibles para evitar una posible manipulación. (...) Una gran parte del Informe de Alegaciones presentado por la DGOJ descarta nuestra solicitud por los quebrantos y perjuicios que ello pudiera suponer. Esta argumentación es absurda en sí misma, siendo la principal causa de sospecha de la precariedad de los controles. (...) En ningún momento solicitamos tener acceso a programas, rutinas, secuencias o algoritmos. Solo queremos ver los resultados finales. Una gran parte de la exposición está centrada en bloquear nuestro acceso a una mínima información, y lo hace con argumentos que son rebatibles, pues confunde una información privada, que no solicitamos, con una información pública que debería estar expuesta o como mínimo ser mostrada a las personas o entidades que la soliciten. (...) Sobre la imposibilidad de ceder datos, ya expusimos que una cosa es tener acceso a información confidencial -que no sería necesario en modo alguno-y otra tener resultados finales de los informes y/o secuencias de manos sin que en las mismas consten los importes jugados ni el alias de los jugadores, ni tan siquiera el número de la mano. Por tanto, el hecho de tener miles de manos secuenciadas, sin más información que las cartas, no incumpliría ninguna normativa y permitiría efectuar procesos estadísticos de gran profundidad, algo que a día de hoy no se ha hecho. (...) Es evidente que tener acceso a los resultados de los controles daría respuesta a los legítimos intereses de los jugadores de poker sin que ello perjudicase a nadie, salvo que los resultados fuesen demostrativos de una manipulación interesada.

FUNDAMENTOS JURÍDICOS

1. De conformidad con lo dispuesto en el artículo 24 de la LTAIBG, en relación con el artículo 8 del Real Decreto 919/2014, de 31 de octubre, por el que se aprueba el Estatuto del Consejo de Transparencia y Buen Gobierno, la Presidenta de este Organismo es competente para resolver las reclamaciones que, con carácter previo a un eventual y potestativo Recurso Contencioso-Administrativo, se presenten en el marco de un procedimiento de acceso a la información.

2. La LTAIBG, en su artículo 12, regula el derecho de todas las personas a acceder a la información pública, entendida, según el artículo 13 de la misma norma, como "los contenidos o documentos, cualquiera que sea su formato o soporte, que obren en poder de alguno de los sujetos incluidos en el ámbito de aplicación de este título y que hayan sido elaborados o adquiridos en el ejercicio de sus funciones". Por lo tanto, la Ley define el objeto de una solicitud de acceso a la información en relación a información que ya existe, por cuanto está en posesión del Organismo que recibe la solicitud, bien porque él mismo la ha elaborado o bien porque la ha obtenido en ejercicio de las funciones y competencias que tiene encomendadas.

3. En primer lugar, debemos acotar el ámbito objetivo específico al que debe ceñirse la presente Resolución, puesto que algunas de las cuestiones ahora planteadas han sido ya resueltas por la Administración durante la tramitación de la anterior Reclamación, bajo el número de procedimiento R/0238/2017, ya finalizado. En concreto, salvo aquellas preguntas que conectan directamente con el contenido de la parte de los informes de certificación y de los informes de auditoría objeto de reclamación, el resto de las cuestiones han sido oportunamente contestadas por la Administración el 9 de mayo de 2017, pues esas cuestiones no han sido objeto de reformulación expresa en la Reclamación presentada el 21 de junio de 2017. Por lo tanto, nos vamos a centrar en analizar las siguientes cuestiones:

• En mesas de seis jugadores en la modalidad Texas Holdem, ¿en qué porcentaje se repartieron AA y KK en una misma mesa, atendiendo a una muestra de un mínimo de diez mil manos?
• En mesas de nueve jugadores en la modalidad Texas Holdem, una vez mostradas las cartas comunitarias, ¿cuál era el porcentaje en el que había una pareja entre las cinco cartas de la mesa, atendiendo a una muestra de un mínimo de diez mil manos?
• En mesas de seis jugadores de la modalidad High, ¿en qué porcentaje se dan dos Ases entre las cuatro cartas que se entregan a los jugadores?

Estas cuestiones tienen que ver, esencialmente, con las pruebas realizadas en el control del póker online, concretamente en el apartado de interrelación e interacción de las cartas con entrega de los datos y resultados requeridos. Estas pruebas de control se contienen en sendos informes denominados de certificación y de auditoría. El primer informe se elabora por entidades certificadoras debidamente acreditadas, por lo que no es un documento elaborado por la Administración, aunque sí que obra en su poder. En concreto, lo que solicita el interesado es acceder, en la parte del informe de certificación que afecta exclusivamente a la certificación de la funcionalidad, a la siguiente información: Análisis del generador de números aleatorios (GNA) y Análisis de la lógica del juego y los sucesos aleatorios. El informe de auditoría se realiza a los operadores de juego cada dos años. Al igual que los informes de certificación, estos informes se elaboran por entidades certificadoras debidamente acreditadas, por lo que no son documentos elaborados por la Administración, aunque sí que obra en su poder. En concreto, la información que solicita el interesado se corresponde con los siguientes apartados de dicho informe: Área: generador de números aleatorios y Descripción: homologación del GNA, fallos en el GNA, resemillado del GNA, controles de la lógica del juego.

Estando, pues, ambos documentos en poder de la Administración como consecuencia de las labores que tiene legalmente encomendadas, constituyen información pública de la definida en los artículos 12 y 13 de la LTAIBG, antes citados. Por lo tanto, hay que analizar si es información que deba ser comunicada a terceros o si, por el contrario, existe algún límite legal que lo impida.

4. Los informes de certificación están regulados en la Resolución de 6 de octubre de 2014, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición que establece el modelo y contenido del informe de certificación definitiva de los sistemas técnicos de los operadores de juego y se desarrolla el procedimiento de gestión de cambios. En esta Resolución se señala que los informes de certificación son de dos clases: informe de certificación de la funcionalidad e informe de certificación de la seguridad. Siguiendo el apartado séptimo de esa Resolución, el informe de certificación de la funcionalidad, que evalúa el cumplimiento de los requisitos técnicos del sistema técnico de juego efectivamente empleado por el operador para el desarrollo y explotación del juego objeto de la licencia, consta, como mínimo, de tres partes: Pruebas de evaluación del cumplimiento de los requisitos técnicos, análisis específicos de funcionalidades relevantes y pruebas de integración. Estos informes se realizan como consecuencia de las auditorias obligatorias a que son sometidos los operadores de juego cada dos años. La Administración deniega el acceso a los informes elaborados por los laboratorios de certificación en base a varios de los supuestos previstos en el artículo 14.1 de la LTAIBG. Estos supuestos son los siguientes:

• Perjuicio de los intereses económicos y comerciales de los laboratorios de certificación y de los operadores regulados, al vulnerar su secreto profesional/comercial (artículos 14.1 h) y j) de la LTAIBG).
• Transgresión de la garantía de confidencialidad que se exige específicamente por la normativa sectorial en materia de juego (14.1 k) de la LTAIBG).
• Perjuicio a las funciones administrativas de vigilancia, inspección y control ejercidas por la Dirección General de Ordenación del Juego (artículo 14.1 g) de la LTAIBG).

5. Respecto de este concreto asunto, ya se ha pronunciado este Consejo de Transparencia con anterioridad, estableciendo criterios opuestos en función de si el informe de auditoría que se solicita afecta a un órgano o entidad que debe ser auditado o se refiere a las auditorías que realiza un organismo auditor, dentro de las funciones que tiene encomendadas como organismo de control y supervisión. Por ejemplo, en la Resolución de 2 de junio de 2017, recaída en el procedimiento R/0109/2017, que afectaba a auditorías realizadas a las mutuas colaboradoras de la Seguridad Social (llamadas mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social hasta 2014) se razonaba lo siguiente:

"Respecto a la aplicación de los límites contenidos en la LTAIBG, se debe seguir el Criterio Interpretativo C/1002/2015, de 24 de junio, de este Consejo de Transparencia, que se resume a continuación: El Consejo de Transparencia y Buen Gobierno viene observando una interpretación extensiva de los conceptos contenidos en determinados límites respecto de los cuales resulta conveniente identificar y precisar los criterios y condiciones que justifican su aplicación. Los límites a que se refiere el artículo 14 de la LTAIBG, a diferencia de los relativos a la protección de los datos de carácter personal, no se aplican directamente, sino que de acuerdo con la literalidad del texto del número 1 del mismo, "podrán" ser aplicados. De esta manera, los límites no operan ni automáticamente a favor de la denegación ni absolutamente en relación a los contenidos. La invocación de motivos de interés público para limitar el acceso a la información deberá estar ligada con la protección concreta de un interés racional y legítimo. En este sentido su aplicación no será en ningún caso automática: antes al contrario deberá analizarse si la estimación de la petición de información supone un perjuicio (test del daño) concreto, definido y evaluable. Este, además no podrá afectar o ser relevante para un determinado ámbito material, porque de lo contrario se estaría excluyendo un bloque completo de información. Del mismo modo, es necesaria una aplicación justificada y proporcional atendiendo a la circunstancia del caso concreto y siempre que no exista un interés que justifique la publicidad o el acceso (test del interés público). En el presente caso, respecto del primer límite invocado, relativo a la prevención de los ilícitos penales, administrativos o disciplinarios, este Consejo de Transparencia entiende que no resulta totalmente de aplicación por los siguientes motivos: a. Debemos recordar, en primer lugar, que la norma general establecida en la LTAIBG es la de dar la información, siendo los limites la excepción y que, como tal, debe ser debidamente justificada por quien la invoca (Sentencia 85/2016, de 14 de junio de 2016, del Juzgado Central de lo Contencioso Administrativo nº 5). b. Los informes de auditoría deben ser publicados obligatoriamente por la Administración por mandato del artículo 8.1 e) de la LTAIBG, relativo a la publicidad activa de información económica, presupuestaria y estadística, el cual dispone que Los sujetos incluidos en el ámbito de aplicación de este título deberán hacer pública, como mínimo, la información relativa a los actos de gestión administrativa con repercusión económica o presupuestaria que se indican a continuación: Las cuentas anuales que deban rendirse y los informes de auditoría de cuentas y de fiscalización por parte de los órganos de control externo que sobre ellos se emitan. Ello es así, porque el conocimiento de esta información es relevante para garantizar la transparencia de su actividad relacionada con el funcionamiento y control de la actuación pública. Por lo tanto, al estar las mutuas de accidentes de trabajo y enfermedades profesionales colaboradoras de la Seguridad Social expresamente incluidas en el ámbito de aplicación de la LTAIBG en virtud del art. 2.1 b) la LTAIBG, se trata de información que, según el art. 8.1 e) de la misma norma antes indicado, debe de ser objeto de publicidad proactiva. Por otro lado, como entiende este Consejo de Transparencia y Buen Gobierno y como han confirmado los Tribunales de Justicia, el hecho de se trate de información que debe ser publicada, no es obstáculo para que pueda ser objeto de una solicitud de información. Así, la Sentencia de de mayo de 2017 dictada por la sección séptima de la Audiencia Nacional indica lo siguiente: (...) es indiferente (...) que la mencionada información pueda obtenerse por vía de acceso directo, pues una y otra forma de obtención de información, -publicidad activa y publicidad pasiva-, previstas en la Ley en capítulos distintos no tienen por qué tener los mismos contenidos, refiriéndose, en todo caso, una y otra a los sujetos incluidos en el art. 2 de dicha ley, como tampoco distingue en este sentido el legislador respecto a una y otra publicidad por el ente de que se trate Por otro lado, no puede obviarse que si el Portal de Transparencia debe tener el contenido que se recoge en el art. 8 de la Ley 19/2013 es porque dicho contenido ha de ser objeto de control, y no puede ser por otro órgano que el Consejo de Transparencia y Buen Gobierno, a la vista de las funciones que le otorga dicha Ley. c. Al solicitarse Informes de auditoría se debe entender que la petición abarca aquellos cuyo contenido está elaborado en su integridad; es decir, los que no se están elaborando actualmente o los que aun se encuentran en fase preliminar. Entiende por lo tanto este Consejo que, de acuerdo con los argumentos expuestos y los que se desarrollarán a continuación, el acceso debería limitarse a los informes de auditoría que ya se hayan completado y que, por lo tanto, se encuentren en su versión final. Fuera de estos casos, resulta difícilmente justificable y, en cualquier caso, no ha quedado acreditado por la Administración, que un Informe de este tipo pueda perjudicar esa labor de prevención, investigación o sanción de un ilícito penal, administrativo o disciplinario puesto que, en su caso, lo que se estaría es poniendo de manifiesto hechos objetivos que revelaran o rechazaran que se hubiera cometido un ilícito como los señalados. d. Así, las labores de investigación y sanción, aunque posteriores, normalmente, a la comisión de un ilícito penal, administrativo o disciplinario, no ha quedado suficientemente acreditado por la Administración que puedan verse perjudicadas por hacer públicos esos informes de auditoría, salvo en aquellos casos en que esos informes se encuentren actualmente recurridos ante los Tribunales de Justicia, y que su conocimiento pudiera afectar a la posición de las partes en el procedimiento. En este caso, estaríamos hablando del límite al acceso previsto en el artículo 14. 1 f). No obstante, atendiendo a las causas presentes en este supuesto, no puede afirmarse que el conocimiento de la información pudiese afectar a alguna de las partes en el procedimiento por cuanto, precisamente, las partes conocerían el contenido de los informes ya que el mismo, sería el objeto del conflicto judicial. e. Igualmente, a nuestro entender, no resulta de aplicación el artículo 15. 1 de la LTAIBG, relativo a la aplicación del límite de la protección de datos personales especialmente protegidos o asimilados, como las infracciones penales o administrativas, puesto que dicho artículo, así como la normativa sobre protección de datos personales, es aplicable únicamente a los datos de personas físicas, no de personas jurídicas, entre las que se encuentran las mutuas colaboradoras con la Seguridad Social, objeto de los informes solicitados en el presente caso. f. Por otro lado, este Consejo de Transparencia ya se ha pronunciado con anterioridad sobre este tipo de informes, por ejemplo en el procedimiento R/0370/2016, en el que se razonaba lo siguiente: "Como es conocido, las auditorías consisten en realizar un examen de los procesos y de la actividad económica o contractual de una organización para confirmar si se ajustan a lo fijado por las leyes o los buenos criterios. Normalmente, realizan a posteriori, es decir, después de haber llevado a cabo esa labor económica o contractual, aunque nada impide que se realicen durante esa misma fase. En el presente caso, se trataría de comprobar si las empresas adjudicatarias de la concesión cumplen con lo dispuesto en las Bases del Concurso, por una parte, y con las demás leyes de general aplicación, por otro. Es decir, las auditorías cumplen una función de control de la actividad privada pública y, desde este punto de vista, sirven indudablemente para controlar la acción de los operadores en la medida en que ejercitan acciones en nombre de los poderes públicos y van a recibir contraprestaciones en forma de dinero igualmente público. Por ello, hacer públicas las auditorías que solicita el Reclamante entronca perfectamente con el espíritu de las LTAIBG, recogido en su Exposición de Motivos, que literalmente proclama que La transparencia, el acceso a la información pública y las normas de buen gobierno deben ser los ejes fundamentales de toda acción política. Sólo cuando la acción de los responsables públicos se somete a escrutinio, cuando los ciudadanos pueden conocer cómo se toman las decisiones que les afectan, cómo se manejan los fondos públicos o bajo qué criterios actúan nuestras instituciones podremos hablar del inicio de un proceso en el que los poderes públicos comienzan a responder a una sociedad que es crítica, exigente y que demanda participación de los poderes públicos." Respecto del segundo límite invocado, relativo a las funciones administrativas de vigilancia, inspección y control, este Consejo de Transparencia entiende que tampoco resulta totalmente de aplicación por los mismos motivos que se han señalado anteriormente, añadiendo los siguientes: • Resulta difícilmente justificable que un Informe de este tipo pueda perjudicar esa labor de vigilancia, inspección y control de los auditores, ya que se debe entender que la petición abarca aquellos informes cuyo contenido está elaborado en su integridad; es decir, los que no se están elaborando actualmente y por tanto se encuentran en fase de borrador. • No se aprecia por este Consejo de Transparencia ni se demuestra suficientemente por la Administración cuál pueda ser ese daño o perjuicio a las funciones administrativas de vigilancia, inspección y control y sí se aprecia que las auditorías efectuadas pueden demostrar si se ha realizado algún tipo de daño o perjuicio al interés público, que es uno de los objetivos perseguidos por la LTAIBG." En consecuencia, se estimaba la Reclamación presentada, instando a la Administración a proporcionar los informes de auditoría requeridos.

6. Sin embargo, en la Resolución de 31 de julio de 2017, recaída en el procedimiento R/0215/2017, que afectaba a auditorías realizadas por la Dirección General de Transporte Terrestre del MINISTERIO DE FOMENTO a las empresas contratistas de los servicios públicos de transporte regular de viajeros, se razonaba lo

"Los secretos comerciales, esenciales a la hora de poder confirmar que se produce un perjuicio en el sentido señalado en el art. 14.1 h) de la LTAIBG, han sido regulados por la reciente Directiva 2016/943 del Parlamento Europeo y del Consejo de 8 de junio de 2016 relativa a la protección de los conocimientos técnicos y la información empresarial no divulgados (secretos comerciales) contra su obtención, utilización y revelación ilícitas. Sí bien el plazo para trasponer esta directiva finaliza en junio de 2018, su texto señala cuestiones de interés para el caso que nos ocupa. Así, señala lo siguiente: "Las empresas, así como los organismos de investigación de carácter no comercial, invierten en la obtención, desarrollo y aplicación de conocimientos técnicos (Know How) e información, que son la moneda de cambio de la economía del conocimiento y proporcionan una ventaja competitiva. Esta inversión en la generación y aplicación de capital intelectual es un factor determinante para su competitividad y su rendimiento asociado a la innovación en el mercado y, por tanto, para la rentabilidad de sus inversiones, que constituye la motivación subyacente a la investigación y el desarrollo en las empresas (...) proteger esa gran diversidad de conocimientos técnicos e información empresarial, ya sea como complemento o como alternativa a los derechos de propiedad intelectual, los secretos comerciales permiten a los creadores e innovadores sacar provecho de sus creaciones e innovaciones, por lo que son especialmente importantes para la competitividad de las empresas, así como para la investigación y el desarrollo, y el rendimiento asociado a la innovación. (Considerando 2). La obtención, utilización o revelación ilícitas de un secreto comercial comprometen la capacidad de su poseedor legítimo para aprovechar las ventajas que le corresponden como precursor por su labor de innovación (Considerando 4). La obtención, utilización o revelación ilícitas de un secreto comercial por un tercero podría tener consecuencias desastrosas para el poseedor legítimo del secreto comercial, ya que, una vez divulgado, sería imposible para el poseedor legítimo volver a situación anterior a la pérdida del secreto comercial. Es esencial, pues, prever medidas provisionales rápidas, efectivas y accesibles para poner fin inmediatamente a la obtención, utilización o revelación ilícitas de un secreto comercial, incluso cuando utilice para la prestación de servicios. (...) (Considerando 26). Finalmente, en su artículo 2, define "secreto comercial" como (...) la información que reúna todos los requisitos siguientes: a) Ser secreta en el sentido de no ser, en su conjunto o en la configuración y reunión precisas de sus componentes, generalmente conocida por las personas pertenecientes a los círculos en que normalmente se utilice el tipo de información en cuestión, ni fácilmente accesible para estas; b) Tener un valor comercial por su carácter secreto; c) Haber sido objeto de medidas razonables, en las circunstancias del caso, para mantenerla secreta, tomadas por la persona que legítimamente ejerza su control; Por su parte, la Comunicación de la Comisión relativa a las normas de acceso al expediente de la Comisión en los supuestos de aplicación de los artículos 81 y 82 del Tratado CE, los artículos 53, 54 y 57 del Acuerdo EEE, y el Reglamento (CE) nº 139/2004 del Consejo (2005/C 325/07), en lo referente a los secretos comerciales, establece que 3. 2. 1. Secretos comerciales 18. Cuando la divulgación de información sobre la actividad económica de una empresa pueda causarle un perjuicio grave, dicha información tendrá carácter secreto comercial ( ). Como ejemplos de información que puede considerarse secreto comercial cabe citar la información técnica y/o financiera relativa a los conocimientos técnicos de una empresa, los métodos de evaluación de costes, los secretos y procesos de producción, las fuentes de suministro, las cantidades producidas y vendidas, las cuotas de mercado, los ficheros de clientes y distribuidores, la estrategia comercial, la estructura de costes y precios y la estrategia de ventas. A juicio de este Consejo de Transparencia y Buen Gobierno, atendiendo a la naturaleza de la información solicitada -una auditoría, los informes de gestión y los datos de explotación de cada contrato -en la cual se pueden revelar datos cruciales relativos a las ventajas propias frente al resto de empresas con las que compiten a la hora de licitar por las concesiones de servicio de transporte regular de viajeros por carretera (como por ejemplo, los descuentos por combustible que pactan con sus proveedores, las tecnologías que le permiten un comportamiento más eficiente en su actividad, los precios más favorables a los que acceden para la compra de vehículos, las reparaciones o la reposición de material, etc), estamos sin duda ante la existencia de secretos comerciales. Teniendo en cuenta lo anterior, los intereses económicos o comerciales han sido interpretados por la Sentencia nº 98/2017, relativa al acceso a información relativa al contrato de compra de trenes AVE, dictada por el Juzgado Central de lo Contencioso-Administrativo nº 11 de Madrid el 22 de junio de 2017 en el PO 49/2016 en el siguiente sentido: "La ley consagra pues la prevalencia del derecho subjetivo a obtener la información y correlativamente el deber de entregarla, salvo que concurran causas justificadas que limiten tal derecho, a las que se refiere el art. 14, causas que constituyen conceptos jurídicos indeterminados cuya relevancia y trascendencia han de ser concretadas en cada caso, ponderando los intereses en conflicto, resultando en este caso que deben prevalecer los intereses generales en mantener la confidencialidad de los datos contenidos en el Pliego de Condiciones, se exigió al entregarse únicamente a los licitadores, por tratarse de un procedimiento restringido". "Aunque ciertamente el contrato objeto de solicitud supone el uso de fondos públicos, resulta que en este caso, la existencia de posible secretos profesionales o garantía de confidencialidad, podrían resultar afectados de accederse a lo solicitado, (.. .)" En conclusión, por todos los argumentos expuestos, en el caso que nos ocupa, puede entenderse que el acceso a la información solicitada, por su consideración de secreto comercial respecto de la entidad o entidades auditadas, por la finalidad de los contratos firmados y por tratarse de servicios prestados en régimen de libre competencia, debe entenderse que, de forma clara y no meramente hipotética, puede producirse un perjuicio a los intereses económicos y comerciales en el sentido previsto en el art. 14. 1 h)." (.......) Por lo tanto, en base a los argumentos anteriores, aplicables también al presente caso, y a la expresa previsión normativa que afecta a la información objeto de solicitud, este Consejo de Transparencia y Buen Gobierno considera que resulta de aplicación el límite previsto en el art. 14.1 j) de la LTAIBG, relativo a la salvaguarda del secreto profesional, aunque no haya sido expresamente alegado por la Administración." Por ello, dicha Reclamación fue desestimada.

7. En definitiva, la LTAIBG obliga a publicar los informes de auditoría de los órganos que la han recibido o soportado, pero este Consejo de Transparencia y Buen Gobierno entiende que debe tenerse en cuenta el deber de confidencialidad respecto de los informes de auditoría solicitados a los responsables de su realización. En el presente caso, los informes de auditoría solicitados no han sido elaborados por la Administración, sino por empresas terceras certificadas que deben guardar el deber de confidencialidad derivado de lo dispuesto en la Orden EHA/2528/2011, de 20 de septiembre, por la que se establecen los requisitos y el procedimiento de designación de entidades independientes que realicen las certificaciones de evaluación del software de juegos y de seguridad de operadores de juegos. Asimismo, sí se aprecia que facilitar esa información podría afectar a los intereses comerciales de los laboratorios de certificación y de los operadores con licencia para certificar, así como perjudicar el secreto comercial y la propiedad industrial, ya que podría llegar a ser utilizado por personas ajenas al sistema para vulnerar los mecanismos criptográficos sobre los que se construye el GNA de los operadores de juego, que, recordemos, es un dispositivo informático, ya sea un programa y/o un dispositivo/componente hardware, diseñado para producir secuencias de números cuyo valor es generado al azar y es utilizado para garantizar la aleatoriedad de dicho sistema de juego on line. Tanto la programación del mismo como su diseño y sus componentes forman parte del Know-How de aquellos operadores que invierten tiempo, dinero y conocimientos en la obtención, desarrollo y aplicación de conocimientos técnicos e información, que son la moneda de cambio de la economía del conocimiento y proporcionan una ventaja competitiva. Esta inversión en la generación y aplicación de capital intelectual es un factor determinante para su competitividad y su rendimiento asociado a la innovación en el mercado y, por tanto, para la rentabilidad de sus inversiones, que constituye la motivación subyacente a la investigación y el desarrollo en las empresas. Este límite afecta al contenido total de lo solicitado por el Reclamante, por lo que no es posible acceder a parte de dicha información. Por lo anteriormente expuesto, procede desestimar la presente Reclamación, al ser de aplicación el límite del articulo 14.1 j) de la LTAIBG, relativo a la propiedad intelectual e industrial.

RESOLUCIÓN

En atención a los Antecedentes y Fundamentos Jurídicos descritos, procede DESESTIMAR la Reclamación presentada por Asociación POKERCSI con entrada el 21 de junio de 2017, contra el MINISTERIO DE HACIENDA Y FUNCIÓN PÚBLICA.

De acuerdo con el artículo 23, número 1, de la Ley 19/2013, de 9 de diciembre, de Transparencia, Acceso a la Información Pública y Buen Gobierno, la Reclamación prevista en el artículo 24 de la misma tiene la consideración de sustitutiva de los recursos administrativos, de conformidad con lo dispuesto en el artículo 112.2 de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas.

Contra la presente Resolución, que pone fin a la vía administrativa, se podrá interponer Recurso Contencioso-Administrativo, en el plazo de dos meses, ante los Juzgados Centrales de lo Contencioso-Administrativo de Madrid, de conformidad con lo previsto en el artículo 9.1 e) de la Ley 29/1998, de 13 de julio, Reguladora de la Jurisdicción Contencioso-Administrativa.

LA PRESIDENTA DEL CONSEJO DE TRANSPARENCIA Y BUEN GOBIERNO

Fdo: Esther Arizmendi Gutiérrez