Solicitud de información de viajeros obtenida a través de Spain Travel Health y resultado de estimación parcial

Subdirección General de Reclamaciones Resolución 804/2020 I. ANTECEDENTES 1. Según se desprende de la documentación obrante en el expediente, el reclamante solicitó al MINISTERIO DE SANIDAD, al amparo de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (en adelante LTAIBG), con fecha 19 de octubre de 2020, la siguiente información: El detalle de todos y cada uno de los viajeros que haya notificado información a través de Spain Travel Health. Para cada uno solicito que se me indiquen los siguientes campos: sexo, nacionalidad, municipio de residencia en el caso de ser español, los campos sanitarios que facilitan -sintomatología y signos específicos, antecedentes personales en relación con la pandemia provocada por la COVID-19-, los epidemiológicos -contacto con enfermos, visita a hospitales, visitas a mercados de animales vivos y circunstancias epidemiológicas reseñables-, lugar de procedencia, aeropuerto o estación de llegada a España, aeropuerto o estación de origen, países visitados, riesgos para la salud pública y ocupación o profesión. S/REF: 001-048946 N/REF: R/0804/2020; 100-004454 Fecha: La de la firma Dirección: Administración/Organismo: Mi nisterio de Sanidad Información solicitada: Información de viajeros obtenida a través de Spain Travel Health Subdirección General de Reclamaciones Solicito que se me facilite la información en un formato tipo de base de datos reutilizable como puede ser .csv o .xls. Pido, además, que en el caso de que se me deniegue parte de la información solicitada, se me entregue el resto, debido a la existencia del derecho de acceso a la información pública de forma parcial. En el caso de que algún dato pueda permitir la identificación de las personas solicito que se me entregue toda la información solicitada omitiendo ese campo. Aun así, mi solicitud ya pide los datos de forma que no se pidan los datos personales del viajante, como domicilio de residencia, móvil, nombre o DNI. Por lo tanto, al entregarme la información como la he pedido ya estaría anonimizada. Más debido a la gran cantidad de personas que llegan diariamente a España y deben rellenar ese formulario. Por lo tanto, es imposible identificarles. Recuerdo, además, que el plazo para responderme es de un mes tal y como rige la LTAIBG. Un plazo que ruego se cumpla. 2. Mediante Resolución de 16 de noviembre de 2020, LA DIRECCIÓN GENERAL DE SANIDAD PÚBLICA (MINISTERIO DE SANIDAD) contestó al solicitante lo sigu iente: De acuerdo con el artículo 15 de la citada norma, se deniega el acceso a la información por contener datos especialmente protegidos referidos a la salud de terceros y cuyo nivel de disociación solicitado permitiría la identificación de las personas afectadas. Los datos obtenidos a través de la aplicación Spain Travel Health, son datos cuyo tratamiento responde a los fines de vigilancia y control sanitario por la pandemia provocada por la COVID-19, y la de garantizar la prestación de los servicios ordinarios o extraordinarios con el fin de asegurar el control sanitario de la entrada de pasajeros de vuelos internacionales en los aeropuertos. La cesión de la información, total o parcialmente, está limitada a las Áreas y Dependencias de Sanidad de las Delegaciones y Subdelegaciones del Gobierno, otros organismos o administraciones sanitarias y a las autoridades sanitarias de otros países, de acuerdo con la Ley Orgánica 3/2018 de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. 3. Ante la citada de contestación, con fecha 19 de noviembre de 2020, el solicitante presentó al amparo de lo dispuesto en el artículo 24 de la LTAIBG, una reclamación ante el Consejo de Transparencia y Buen Gobierno en base a los siguientes argumentos: (…) en mi petición indicaba ya lo siguiente: En el caso de que algún dato pueda permitir la identificación de las personas solicito que se me entregue toda la información solicitada omitiendo ese campo. Aun así, mi solicitud ya pide los datos de forma que no se pidan los datos personales del viajante, como domicilio de residencia, móvil, nombre o DNI. Por lo tanto, al entregarme la información como la he pedido ya estaría anonimizada. Más debido a la gran cantidad de personas que llegan diariamente a España y deben rellenar ese formulario. Por lo tanto, es imposible identificarles. Aun así, Sanidad se basa en la protección de datos personales para denegarme la petición al completo. A pesar de ello, indican que la información sí la ceden y puedan cederla a otras administraciones o Gobiernos, de España o de otros países. Ese ejemplo permite mostrar cómo se puede dar acceso a la información solicitada de forma anonimizada. Si se le pueden pasar datos a las comunidades, por ejemplo, que no tienen las competencias en este campo, los ciudadanos también tienen derecho a conocer la información recogida por esta aplicación. Conocer esta información permitiría saber en qué periodos ha entrado más gente a España procedente de lugares de riesgo o que ha tenido contactos con enfermos, pero no permitiría identificar a la población, ya que como mencionaba, no pido los campos que contienen los datos personales. De hecho, podrían haberme denegado otros campos si consideran que esos permiten identificar a la gente, cosa que ya indiqué en mi solicitud y tampoco han hecho. El criterio interpretativo CI/007/2015 del CTBG especifica que, la anonimización de datos de carácter personal o la disociación de algunas partes de la información solicitada por afecta a alguno de los límites previstos “no puede entenderse como reelaboración”. Por lo tanto, sólo había que entregar la información extrayendo previamente los campos que sí pueden identificar a las personas, un trabajo que en ningún caso sería reelaboración. El artículo 13.2 de la Ley 12/1989 indica que “se entiende que son datos personales los referentes a personas físicas o jurídicas que o bien permitan l a identificación inmediata de los interesados, o bien conduzcan por su estructura, contenido o grado de desagregación a la identificación indirecta de los mismos”. Por tanto, si bien dado su grado de desagregación la información solicitada podría revela la identificación indirecta de personas físicas, no es menos cierto que la Administración podría haber empleado un menor grado de desagregación al solicitado, suministrando menos datos desagregados, y cumpliendo de esta forma con la Ley 19/2013, tal y como ya había detallado en mi solicitud de acceso a la información. De todos modos, como ya he indicado, los datos que eran susceptibles de acabar con la identificación de los pasajeros, ya los dejé fuera de mi petición. Por lo tanto, no cabría la protección de datos personales para denegar la presente solicitud y pido al Consejo de Transparencia que estime la presente reclamación y se inste a Sanidad a entregarme lo solicitado. Por último, recuerdo que solicito que antes de resolver se me facilite una copia de todo el expediente, incluyendo las alegaciones de la administración, para que yo como reclamante pueda alegar lo que considere oportuno. 4. Con fecha 20 de noviembre de 2020, el Consejo de Transparencia y Buen Gobierno remitió el expediente al MINISTERIO DE SANIDAD, al objeto de que pudiera hacer las alegaciones que considerase oportunas. Mediante escrito de entrada 4 de diciembre de 2020, el citado Departamento Ministerial realizó las siguientes alegaciones: (…) Tal y como señala la Agencia Española de Protección de Datos en su documento «Orientaciones y garantías en los procedimientos de anonimización de datos personales»1, la anonimización tiene como objetivo «la ruptura de la cadena de identificación de las personas. Esta cadena se compone de microdatos o datos de identificación directa y de datos de identificación indirecta. Los microdatos permiten la identificación directa de las personas y los datos de identificación indirecta son datos cruzados de la misma o de diferentes fuentes que pueden permitir la reidentificación de las personas, como la información de otras bases de datos del mismo u otro responsable, de las redes sociales, buscadores, blogs, etc.» (p.2). Los datos solicitados por , a pesar de que se anonimicen, permitirían una identificación indirecta, ya que, si bien el volumen total de viajeros es grande, a la hora de desglosarlos con los criterios pedidos, se generan grupos reducidos de personas susceptibles de ser identificados con facilidad a través de otros medios. La propuesta que realiza el solicitante de eliminar todos los campos que se consideren necesarios hasta evitar totalmente la identificación indirecta no es viable puesto que provocaría el suministro de una información carente de sentido y que, en ningún modo, serviría para realizar el control de la actividad pública de la Administración por parte de la ciudadanía. Así pues, nos encontraríamos en el supuesto previsto en el artículo 16 de la Ley 19/2013, de 9 diciembre, donde se establece que «en los casos en que la aplicación de alguno de los límites previstos en el artículo 14 no afecte a la totalidad de la información, se concederá el acceso parcial previa omisión de la información afectada por el límite salvo que de ello resulte una información distorsionada o que carezca de sentido». Por último, cabe señalar que la comunicación de los datos a las Comunidades Autónomas está amparada plenamente por el ordenamiento jurídico, que les otorga las competencias en salud pública. Así, el artículo 148.1.21ª reconoce como competencias autonómicas la sanidad e higiene, las cuales han sido asumidas por todas en sus respectivos estatutos de autonomía. De la misma manera, la Ley 33/2011, de 4 de octubre, General de Salud Pública, concreta cuáles serán las competencias de la Administración General del Estado en dicha materia, estableciendo los correspondientes sistemas de coordinación con la Comunidades Autónomas, que son las que se encargan de la ejecución de la co mpetencia sanitaria. Por todo lo anterior, de conformidad con los artículos 15 y 16 de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, esta Dirección General solicita que se DESESTIME el recurso presentado por El 9 de diciembre de 2021, en aplicación del art. 82 de la Ley 39/2015, de 1 de octubre , del Procedimiento Administrativo Común de las Administraciones Públicas, se dio Audiencia al reclamante para que formulase las alegaciones que estimara pertinentes. Mediante escrito de entrada el mismo 9 de diciembre, el interesado realizó las siguientes alegaciones: Sanidad vuelve a ampararse en la protección de datos personales para denegar lo que solicité. Yo me reafirmo en todo lo expresado en mi reclamación. Los datos entregados en la forma en la que los solicité no establecerían grupos tan pequeños como dice el ministerio y, por lo tanto, no permitirían la identificación de las personas. Del mismo modo, Sanidad dice que la anonimización distorsionaría el sentido de la información solicitada, pero no estoy de acuerdo. Los datos con el desglose que he solicitado no permitirían la identificación de las personas, pero aun así, se podría eliminar algún otro campo como el de sexo o el de municipio de residencia para los ciudadanos españoles, en ese caso ya sería casi imposible identificar a ningún viajero llegado a España. Más teniendo en cuenta el gran volumen de personas que llegan cada día a nuestro país y, por lo tanto, deben rellenar ese formulario y que la mayoría de datos son epidemiológicos o de sintomatología de una fecha concreta, información que no se conoce de las personas y no permite identificarlas. Tal y como cita el Consejo en la resoluciónR-0400-2018: Consecuentemente, una vez efectuada la anonimización de los datos recogidos en el documento que será, por lo tanto, disociado de los datos que contuviese, ya no resultaría posible la identificación de sus titulares, permitiendo lo anterior el acceso a la información solicitada sin vulnerar el derecho a la protección de los datos personales. Es el criterio que intenté aplicar en mi solicitud. Y como ya dije, si se consideraba que aun así había que aplicarlo de forma más estricta se podía omitir algún otro campo o dato solicitado. Por lo tanto, solicito que se estime mi reclamación y el ministerio deba entregarme la información solicitada al ser posible exactamente tal y como pedí y sino tal y como la solicité pero omitiendo algún campo, como podría ser por ejemplo el de sexo. II. FUNDAMENTOS JURÍDICOS 1. De conformidad con lo dispuesto en el artículo 24 de la LTAIBG , en conexión con el artículo 8 del Real Decreto 919/2014, de 31 de octubre, por el que se aprueba el Estatuto del Consejo de Transparencia y Buen Gobierno , el Presidente de este Organismo es competente para resolver las reclamaciones que, que con carácter potestativo y previo a su eventual impugnación en vía contencioso-administrativa, se presenten frente a las resoluciones expresas o presuntas recaídas en materia de acceso a la información. 2. La LTAIBG, en su artículo 12 , reconoce el derecho de todas las personas a acceder a la información pública, entendiendo por tal según dispone su artículo 13 " los contenidos o documentos, cualquiera que sea su formato o soporte, que obren en poder de alguno de los sujetos incluidos en el ámbito de aplicación de este título y que hayan sido elaborados o adquiridos en el ejercicio de sus funciones". De este modo, la Ley delimita el ámbito material del derecho a partir de un concepto amplio de información, que abarca tanto documentos como contenidos específicos y que se extiende a todo tipo de “formato o soporte”, a la vez que acota su alcance exigiendo la concurrencia de dos requisitos vinculados con la naturaleza “pública” de las informaciones: (a) que se encuentren “en poder” de alguno de los sujetos obligados por la ley, y (b) que hayan sido elaboradas u obtenidas “en el ejercicio de sus funciones”. 3. Respecto al fondo del asunto, cabe recordar que la solicitud de información se concreta en el detalle de todos y cada uno de los viajeros que haya notificado información a través de Spain Travel Health, y que la Administración ha denegado de acuerdo con el artículo 15 por contener datos especialmente protegidos referidos a la salud de terceros y cuyo nivel de disociación solicitado permitiría la identificación de las personas afectadas. Al respecto, hay que señalar que el artículo 15 LTAIBG que establece los criterios para decidir en los supuestos en los que la información sobre la que versa el ejercicio del derecho de acceso incluya datos personales dispone lo siguiente: 1. Si la información solicitada contuviera datos personales que revelen la ideología, afiliación sindical, religión o creencias, el acceso únicamente se podrá autorizar en caso de que se contase con el consentimiento expreso y por escrito del afectado, a menos que dicho afectado hubiese hecho manifiestamente públicos los datos con anterioridad a que se solicitase el acceso. Si la información incluyese datos personales que hagan referencia al origen racial, a la salud o a la vida sexual, incluyese datos genéticos o biométricos o contuviera datos relativos a la comisión de infracciones penales o administrativas que no conllevasen la amonestación pública al infractor, el acceso solo se podrá autorizar en caso de que se cuente con el consentimiento expreso del afectado o si aquel estuviera amparado por una norma con rango de ley. 2. Con carácter general, y salvo que en el caso concreto prevalezca la protección de datos personales u otros derechos constitucionalmente protegidos sobre el interés público en la divulgación que lo impida, se concederá el acceso a información que contenga datos meramente identificativos relacionados con la organización, funcionamiento o actividad pública del órgano. 3. Cuando la información solicitada no contuviera datos especialmente protegidos, el órgano al que se dirija la solicitud concederá el acceso previa ponderación suficientemente razonada del interés público en la divulgación de la información y los derechos de los afectados cuyos datos aparezcan en la información solicitada, en particular su derecho fundamental a la protección de datos de carácter personal. Para la realización de la citada ponderación, dicho órgano tomará particularmente en consideración los siguientes criterios: a) El menor perjuicio a los afectados derivado del transcurso de los plazos establecidos en el artículo 57 de la Ley 16/1985, de 25 de junio, del Patrimonio Histórico Español. b) La justificación por los solicitantes de su petición en el ejercicio de un derecho o el hecho de que tengan la condición de investigadores y motiven el acceso en fines históricos, científicos o estadísticos. c) El menor perjuicio de los derechos de los afectados en caso de que los documentos únicamente contuviesen datos de carácter meramente identificativo de aquéllos. d) La mayor garantía de los derechos de los afectados en caso de que los datos contenidos en el documento puedan afectar a su intimidad o a su seguridad, o se refieran a menores de edad. 4. No será aplicable lo establecido en los apartados anteriores si el acceso se efectúa previa disociación de los datos de carácter personal de modo que se impida la identificación de las personas afectadas. 5. La normativa de protección de datos personales será de aplicación al tratamiento posterior de los obtenidos a través del ejercicio del derecho de acceso. 4. El análisis de la reclamación presentada debe partir del hecho de que la información que se solicita afecta, sin lugar a dudas, a datos relacionados con la salud ya que se piden tanto los correspondientes a los campos sanitarios (sintomatología y signos específicos, antecedentes personales en relación con la pandemia provocada por la COVID-19), como los relativos a los campos epidemiológicos (contacto con enfermos, visita a hospitales, visitas a mercados de animales vivos y circunstancias epidemiológicas reseñables) que hubieran sido obtenidos a través de la aplicación Spain Travel Health. Siendo así, resulta indiscutible que, de conformidad con lo establecido en el segundo párrafo del artículo 15.1 LTAIBG que acabamos de reproducir, solo se podrían facilitar en caso de que se cuente con el consentimiento expreso del afectado o el acceso estuviese amparado por una norma con rango de ley. No dándose ninguna de estas condiciones, la salvaguarda del derecho a la protección de datos personales obliga a la Administración a denegar cualquier modalidad de comunicación a terceros. Ahora bien, el hecho de que no se den los presupuestos habilitantes para conceder el acceso a los datos de carácter personal contenidos en informaciones públicas no comporta en modo alguno que se tenga que rechazar automáticamente la solicitud en su totalidad. Antes de adoptar esa decisión, que impide por completo la satisfacción del derecho del solicitante, es obligado considerar la posibilidad de proporcionar un acceso parcial, disociando previamente los datos de carácter personal mediante un proceso de anonimización, de modo que la información que se facilite no pueda ser conectada con ninguna persona física identificada o identificable. Así lo exige el principio de optimización que ha de presidir la resolución de todo conflicto entre derechos y que obliga a no sacrificar ninguno de ellos más allá de lo necesario para preservar el otro, un principio que tiene acogida expresa en el artículo 16 LTAIBG en el que se impone la obligación de conceder el acceso parcial cuando la aplicación de alguno de los límites del artículo 14 no afecte a la totalidad de la información y que, en los supuestos de colisión con el derecho a la protección de los datos personales, la propia LTAIBG posibilita su observancia mediante la previsión del artículo 15.4, conforme a la cual: “no será de aplicación lo establecido en los apartados anteriores si el acceso se efectúa previa disociación de los datos de carácter personal de modo que se impida la identificación de las personas afectadas”. Como consecuencia de ello, sólo cabría conceder prevalencia plena al derecho a la protección de datos personales y denegar el acceso a la información en su totalidad cuando el proceso de anonimización no sea técnicamente viable o cuando, con los medios disponibles, no se pueda llevar a cabo de una manera que proporcione las suficientes garantías para evitar los riesgos de reidentificación. No corresponde a este Consejo sino a la Administración o la entidad en cuyo poder se encuentra la información solicitada valorar, a la luz de las circunstancias de cada caso concreto, la viabilidad de conceder el acceso parcial con las garantías exigidas por la normativa de protección de datos personales, pero sí resulta necesario recordar, conforme a lo establecido en el artículo 20.2 de la LTAIBG la necesidad de motivar suficientemente las decisiones en las que dicho acceso se deniegue o conceda parcialmente como condición inexcusable para que los órganos de garantía puedan enjuiciar su racionalidad y tutelar el derecho frente a eventuales restricciones injustificadas. 5. En el caso que nos ocupa, conforme consta en los antecedentes, el Ministerio sostiene con buen fundamento que si la información solicitada se facilita con el nivel de desglose requerido se podría producir la identificación de las personas. En concreto, alega que: “Si bien el volumen total de viajeros es grande, a la hora de desglosarlos con los criterios pedidos, se generan grupos reducidos de personas susceptibles de ser identificados con fac ilidad a través de otros medios.” Sin embargo, carece de fundamento racional la alegación en la que se basa la denegación del acceso parcial, al sostener que “eliminar todos los campos que se consideren necesarios hasta evitar totalmente la identificación indirecta no es viable puesto que provocaría el suministro de una información carente de sentido y que, en ningún modo, serviría para realizar el control de la actividad pública de la Administración por parte de la ciudadanía.” Incluso en el supuesto de que para realizar la anonimización con las debidas garantías fuese necesario eliminar por completo los datos correspondientes a los campos relativos al sexo y al municipio de residencia, la información resultante reviste indudable interés para los fines perseguidos por la LTAIBG tal y como figuran expresados en su preámbulo: “La transparencia, el acceso a la información pública y las normas de buen gobierno deben ser los ejes fundamentales de toda acción política. Sólo cuando la acción de los responsables públicos se somete a escrutinio, cuando los ciudadanos pueden conocer cómo se toman las decisiones que les afectan, cómo se manejan los fondos públicos o bajo qué criterios actúan nuestras instituciones podremos hablar del inicio de un proceso en el que los poderes públicos comienzan a responder a una sociedad que es crítica, exigente y que demanda la participación de los poderes públicos”. En consecuencia, sobre la base de los argumentos expuestos, la presente reclamación debe ser estimada parcialmente. III. RESOLUCIÓN En atención a los Antecedentes y Fundamentos Jurídicos descritos, procede: PRIMERO: ESTIMAR PARCIALMENTE la reclamación presentada por , contra la Resolución de 16 de noviembre de 2020 de MINIISTERIO DE SANIDAD. SEGUNDO: INSTAR al MINISTERIO DE SANIDAD a que, en el plazo máximo de 15 días hábiles, remita a la información solicitada previa la correspondiente disociación de los datos de carácter personal de modo que se impida la identificación de las personas afectadas. TERCERO: INSTAR al MINISTERIO DE SANIDAD a que, en el mismo plazo máximo, remita a este Consejo de Transparencia copia de la información enviada al Reclamante. De acuerdo con el artículo 23, número 1, de la Ley 19/2013, de 9 de diciembre, de Transparencia, Acceso a la Información Pública y Buen Gobierno , la Reclamación prevista en el artículo 24 de la misma tiene la consideración de sustitutiva de los recursos administrativos, de conformidad con lo dispuesto en el artículo 112.2 de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas . Contra la presente Resolución, que pone fin a la vía administrativa, se podrá interponer Recurso Contencioso-Administrativo, en el plazo de dos meses, ante los Juzgados Centrales de lo Contencioso-Administrativo de Madrid, de conformidad con lo previsto en el artículo 9.1 c) de la Ley 29/1998, de 13 de julio, Reguladora de la Jurisdicción Contencioso-Administrativa . EL PRESIDENTE DEL CTBG Fdo: José Luis Rodríguez Álvarez