Evaluación de Impacto en Datos Personales (EIDP): sistema biométrico de reconocimiento de pacientes

I. ANTECEDENTES

1. Según se desprende de la documentación obrante en el expediente, el 7 de octubre de 2024 la reclamante solicitó al MINISTERIO DE SANIDAD, al amparo de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (en adelante, LTAIBG), la siguiente información:

« (…) la evaluación de impacto sobre la privacidad del sistema de identificación biométrica de pacientes implementado por INGESA con destino a los hospitales Comarcal de Melilla y Universitario de Ceuta y a atención primaria de Ceuta y Melilla».

2. Mediante resolución de 21 de octubre, el Instituto Nacional de Gestión Sanitaria (INGESA) acuerda conceder el acceso en los siguientes términos:

«(…) Informar que el Sistema de Identificación Biométrica de Pacientes se encuentra en fase de desarrollo y pruebas, en la actualidad no está implantado en los centros sanitarios. En cuanto a la evaluación de impacto sobre la privacidad de este software, indicar que la legislación de protección de datos personales establece que dicho análisis se comparte únicamente con la Autoridad de Control en materia de protección de datos.».

3. Mediante escrito registrado el 21 de noviembre de 2024, la fundación solicitante interpuso una reclamación ante el Consejo de Transparencia y Buen Gobierno (en adelante, el Consejo) en aplicación del artículo 24 de la LTAIBG en la que, tras poner de manifiesto que el documento solicitado encaja en la noción de información pública, alega lo siguiente:

«La evaluación de impacto relativa a la Protección de Datos (en adelante, EIPD), de acuerdo con el artículo 35.1 del RGPD, es fruto de la obligación que tienen los responsables de los tratamientos de datos con anterioridad a la puesta en marcha de tales tratamientos en el caso de que sea probable que estos, por su naturaleza, alcance, contexto o fines, “entrañe un alto riesgo para los derechos y libertades de las personas físicas”. (…) A este respecto, la Agencia Española de Protección de Datos (en adelante, AEPD) incluye, dentro de su lista orientativa de tratamientos que requieren la EIPD, aquellos “tratamientos que impliquen el uso de datos biométricos con el propósito de identificar de manera única a una persona física” (https://www.aepd.es/documento/listas-dpia-es-35-4.pdf). En este caso, el sistema pretende "mejorar la calidad asistencial incorporando mejoras en la identificación del paciente en los procesos clínicos, con el objetivo de mejorar la calidad y seguridad asistencial a través de la mejora de la calidad de los datos y de la interoperabilidad de los sistemas de información” (https://contrataciondelestado.es/wps/portal/!ut/p/b0/04_Sj9CPykssy0xPLMnMz0vMAfIjU1JTC3Iy87KtUlJLEnNyUuNzMpMzSxKTgQr0w_Wj9KMyU1zLcvQji_ItMzySy5wjvAtzC40MSysykhLDAm1t9Qtycx0BXYXqOA!!/), como puede comprobarse en el contrato adjudicado por INGESA y, en particular, en su memoria justificativa. En concreto, los objetivos del sistema son la mejora de la calidad asistencial mediante el aumento de la seguridad clínica, reduciendo el riesgo del empleo de historias clínicas que no correspondan al paciente; la mejora de la calidad de los datos de identificación del paciente y la interoperabilidad de los sistemas de información; y la incorporación de un sistema de identificación biométrico con vistas a mejorar y facilitar la identificación sin sacrificar la usabilidad del sistema, de acuerdo con el pliego de prescripciones técnicas (https://contrataciondelestado.es/wps/wcm/connect/PLACE_es/Site/area/docAccCmpnt?srv=cmpnt&cmpntname=GetDocumentsById&source=library&DocumentIdParam=4f36bacf-7c8b-4c81-bcbf-b28a99d6a365) de dicho contrato. En consecuencia, existe una obligación legal por parte del INGESA de realizar la EIPD debido a la naturaleza y los objetivos que caracterizan el Sistema de Identificación Biométrica de Pacientes. De este modo, a diferencia de lo que ocurría en la Resolución 0662/2023 del CTBG (Expediente 551-2023), donde existía una discrepancia sobre la aplicación de la normativa de protección de datos con respecto al Sistema Viogén y, en concreto, sobre la obligación legal de llevar a cabo o no la EIPD, este es un tema incontrovertible en el presente caso. De hecho, el INGESA admite de forma implícita que el documento ha sido elaborado y que obra en su poder, aunque solo lo haya compartido con la Autoridad de Control en materia de protección de datos, por lo que la EIPD relativa a este sistema debe ser considerada como información pública. (…) el INGESA se ha limitado a denegar la solicitud de la Fundación Ciudadana Civio de manera absoluta, sin tan siquiera nombrar ni justificar la aplicación de los límites previstos por la LTAIBG. Su resolución denegatoria se aparta además del Criterio Interpretativo 002/2015, de 24 de junio, donde el CTBG rechaza la exclusión automática del derecho de acceso a la información pública. En ese sentido, el órgano competente también obvia la jurisprudencia del Tribunal Supremo en esta materia al establecer que “los límites previstos se aplicarán atendiendo a un test de daño (del interés que se salvaguarda con el límite) y de interés público en la divulgación (que en el caso concreto no prevalezca el interés público en la divulgación de la información) y de forma proporcionada y limitada por su objeto y finalidad". Al contrario de lo que señala la Sentencia del Tribunal Supremo, Sala de lo Contencioso-Administrativo, 3530/2017, de 16 de octubre de 2017, el INGESA limita el ejercicio del derecho de acceso a la información pública de la solicitante al no mencionar ni interpretar los límites forma estricta ni restrictiva. En consecuencia, al denegar de forma automática el acceso a la EIPD relativa al Sistema de Identificación Biométrica de Pacientes, el INGESA restringe de manera injustificada y desproporcionada el ejercicio del derecho de acceso. TERCERO. - Existe un notable interés público con respecto a la EIPD del Sistema de Identificación Biométrica de Pacientes El Sistema de Identificación Biométrica de Pacientes puede categorizarse como de “alto riesgo” no solo por el empleo de datos biométricos, sino también por la finalidad en la que pretende ser implementado, esto es, la asistencia sanitaria, de acuerdo con el Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial y por el que se modifican los Reglamentos (CE) nº 300/2008, (UE) nº 167/2013, (UE) nº 168/2013, (UE) 2018/858, (UE) 2018/1139 y (UE) 2019/2144 y las Directivas 2014/90/UE, (UE) 2016/797 y (UE) 2020/1828 (Reglamento de Inteligencia Artificial). A este respecto, conviene recordar que la AEPD recoge de manera genérica que “la publicación de aquellos elementos que derivan de la realización de una EIPD que pudieran resultar en una acción de transparencia y fomentar la confianza de los interesados es una práctica aconsejable”, como puede comprobarse en su “Guía sobre la gestión del riesgo y evaluación de impacto en tratamientos de datos personales” (https://www.aepd.es/guias/gestion-riesgo-y-evaluacionimpacto-en-tratamientos-datos-personales.pdf)

4. Con fecha 21 de noviembre de 2024, el Consejo trasladó la reclamación al Ministerio requerido solicitando la remisión de la copia completa del expediente derivado de la solicitud de acceso a la información y el informe con las alegaciones que considere pertinentes. El 12 de diciembre de 2024 tuvo entrada en este Consejo escrito en el que se señala lo siguiente:

«(…) Por otro lado, el artículo 14.1 de la LTAIBG establece, en su letra k, que “El derecho de acceso podrá ser limitado cuando acceder a la información suponga un perjuicio para la garantía de la confidencialidad o el secreto requerido en procesos de toma de decisión” y el art. 14.2 establece que “La aplicación de los límites será justificada y proporcionada a su objeto y finalidad de protección y atenderá a las circunstancias del caso concreto, especialmente a la concurrencia de un interés público o privado superior que justifique el acceso”. Teniendo en cuenta estos fundamentos jurídicos y la resolución de la Agencia Española de Protección de Datos personales (en adelante, la “AEPD”), (Ref. entrada: 00001-00084193), cuando le formularon una consulta sobre si, determinada institución tenía que remitir al reclamante el contenido de la Evaluación de Impacto de Protección de Datos que había elaborado para la implementación del Canal de Protección del Informante regulado en la Ley 2/2023, de 20 de febrero, reguladora de la Protección de las personas que informen sobre Infracciones normativas y de lucha contra la corrupción, la AEPD se pronunció de la siguiente manera, y que traemos aquí a colación, ya que el INGESA considera hay un paralelismo bastante evidente: -Manifestó la AEPD en la anterior resolución indicada que “El acceso público al análisis de riesgos, así como, a la evaluación de impacto que, en su caso, pudiera haberse realizado para el Sistema Interno de Información y Defensa del Informante, supone la exposición de dichos sistemas a un riesgo; por cuanto contiene información interna de la organización, como es la documentación de la actividad de tratamiento realizada y las medidas de seguridad previstas para afrontar los riesgos. La AEPD entiende que la transparencia no puede ser un riesgo ni para los interesados ni para la propia administración, por lo que debe evitarse la publicación de cualquier información que pueda suponerlo”. Este criterio ha sido recogido en el Informe 34/2023 del gabinete jurídico de la AEPD. -Continúa expresando la AEPD que “Una vez constatada la existencia del daño y la concurrencia del límite descrito en el apartado k), del artículo 14.1 de la LTAIBG, debemos además examinar, de conformidad con lo expuesto en el fundamento jurídico segundo anterior, si la aplicación de estos límites entra en colisión con un interés público o privado superior que justifique el acceso, puesto que el solicitante no ha motivado su solicitud con lo cual no ha justificado un interés legítimo privado superior que deba ser objeto de ponderación. Se concluye por tanto que no existe interés privado o público superior prevalente que pueda desvirtuar la necesidad de proteger la confidencialidad de la información solicitada y justifique su divulgación”. -Por otro lado, el GRUPO DE TRABAJO DEL ARTICULO 29 estableció en su documento Directrices sobre la evaluación de impacto relativa a la protección de datos (EIPD), con fecha de 4 de abril de 2017 que, “Para determinar si el tratamiento de los datos entraña probablemente un alto riesgo o no a los efectos del Reglamento (UE) 2016/679 General de Protección de Datos (en adelante, el “RGPD”) es necesario que la publicación de una EIPD no represente un requisito jurídico del RGPD, ya que es una decisión que corresponde solo al Responsable del tratamiento y que la versión publicada podría consistir en un resumen de las principales conclusiones de la EIPD o incluso únicamente en una declaración que afirmarse que esta se ha llevado a cabo”. Teniendo en cuenta estos dos pronunciamientos, tanto el de la AEPD, como el del GRUPO DE TRABAJO DEL ARTÍCULO 29, el INGESA se reafirma en su postura diciendo que no está obligado, a fecha de hoy, a publicar la Evaluación de Impacto de Protección de Datos elaborada sobre la privacidad del Sistema de Identificación Biométrica de pacientes, ya que, el acceso público al Análisis de Riesgos, así como a la Evaluación de Impacto, podría suponer la exposición de dichos sistemas a un riesgo; por cuanto contiene información interna de la organización y la documentación de la actividad de tratamiento realizada, así como las medidas de seguridad previstas para afrontar los riesgos resultado del Análisis de Riegos y la Evaluación de Impacto que se hubiese realizado para este tratamiento de datos de identificación biométrica.».

5. El 13 de diciembre de 2024, se concedió audiencia a la reclamante para que presentase las alegaciones que estimara pertinentes; recibiéndose escrito el siguiente 23 de diciembre en el que señala:

«En las alegaciones presentadas por el Ministerio de Sanidad, esta institución cita, en primer lugar, el límite del artículo 14.1.k de la Ley de Transparencia, en relación a la garantía de confidencialidad o al secreto requerido en procesos de toma de decisión. Es un límite que no ha sido invocado en su resolución denegatoria y que el ministerio pone en relación con otras resoluciones sobre cuya interpretación, e incluso reproducción, discrepamos. La primera de ellas es la resolución 00001-00084193 de la AEPD, sobre una solución de información que pedía la evaluación de impacto en la protección de datos del canal de protección del informante, ante la que también se alegó este mismo límite 14.1.k. Dicha resolución establecía que la solicitud suponía un riesgo ya que la documentación requerida contenía “información interna de la organización, como es la documentación de la actividad de tratamiento realizada y las medidas de seguridad previstas para afrontar los riesgos", pero esta resolución también destaca que el interesado no había justificado un interés público o privado en su solicitud de información, al contrario de la solicitud en la que se enmarca esta reclamación. Pero, sobre todo, el Ministerio de Sanidad cita el documento Directrices sobre la evaluación de impacto relativa a la protección de datos (EIPD). En concreto, de este documento cita el siguiente párrafo: “Para determinar si el tratamiento de los datos entraña probablemente un alto riesgo o no a los efectos del Reglamento (UE) 2016/679 General de Protección de Datos (en adelante, el “RGPD”) es necesario que la publicación de una EIPD no represente un requisito jurídico del RGPD, ya que es una decisión que corresponde solo al Responsable del tratamiento y que la versión publicada podría consistir en un resumen de las principales conclusiones de la EIPD o incluso únicamente en una declaración que afirmarse que esta se ha llevado a cabo”. Este párrafo, sin embargo, no se corresponde con el texto original del documento citado, que señala textualmente que “la publicación de una EIPD no representa un requisito jurídico del RGPD, ya que es una decisión que corresponde al responsable del tratamiento. Sin embargo, los responsables deben considerar al menos la publicación de algunas partes, como un resumen o una conclusión de su EIPD”. Es decir, al contrario de lo alegado por el Ministerio, estas directrices marcadas desde la Unión Europea no limitan la publicidad de los informes de evaluación, sino que ordena su publicidad, si no al completo, al menos un resumen de sus conclusiones. Esta recomendación europea se relaciona, de nuevo, con la primera resolución citada por el Ministerio de Sanidad, que señalaba como riesgo que la información solicitada contiene “información interna de la organización, como es la documentación de la actividad de tratamiento realizada y las medidas de seguridad previstas para afrontar los riesgos" como motivo de riesgo. Sobre esto, recordamos que la Ley de Transparencia y Buen Gobierno establece en su artículo 16 que en el caso de que la información solicitada sobrepase en parte los límites establecidos en el artículo 14, se debe conceder acceso parcial, facilitando la información que no sobrepase estos límites. Por ello, solicitamos que se nos de acceso a la información reclamada en su totalidad, o en el caso de que parte del documento requerido sobrepase los límites marcados por la ley, se nos de acceso al resto del documento, eliminando esas partes.».

II. FUNDAMENTOS JURÍDICOS

1. De conformidad con lo dispuesto en el artículo 38.2.c) de la LTAIBG (https://www.boe.es/buscar/act.php?id=BOE-A-2013-12887&p=20181206&tn=1#a38) y en el artículo 13.2.d) del Real Decreto 615/2024, de 2 de julio, por el que se aprueba el Estatuto del Consejo de Transparencia y Buen Gobierno, A.A.I. (https://www.boe.es/eli/es/rd/2024/07/02/615), el presidente de esta Autoridad Administrativa Independiente es competente para conocer de las reclamaciones que, en aplicación del artículo 24 de la LTAIBG (https://www.boe.es/buscar/act.php?id=BOE-A-2013-12887&p=20181206&tn=1#a24), se presenten frente a las resoluciones expresas o presuntas recaídas en materia de acceso a la información.

2. La LTAIBG reconoce en su artículo 12 (https://www.boe.es/buscar/act.php?id=BOE-A-2013-12887&tn=1&p=20181206#a12) el derecho de todas las personas a acceder a la información pública, entendiendo por tal, según dispone en el artículo 13, «los contenidos o documentos, cualquiera que sea su formato o soporte, que obren en poder de alguno de los sujetos incluidos en el ámbito de aplicación de este título y que hayan sido elaborados o adquiridos en el ejercicio de sus funciones». De este modo, la LTAIBG delimita el ámbito material del derecho a partir de un concepto amplio de información, que abarca tanto documentos como contenidos específicos y se extiende a todo tipo de “formato o soporte”. Al mismo tiempo, acota su alcance, exigiendo la concurrencia de dos requisitos que determinan la naturaleza “pública” de las informaciones: (a) que se encuentren “en poder” de alguno de los sujetos obligados, y (b) que hayan sido elaboradas u obtenidas “en el ejercicio de sus funciones”. Cuando se dan estos presupuestos, el órgano competente debe conceder el acceso a la información solicitada, salvo que justifique de manera clara y suficiente la concurrencia de una causa de inadmisión o la aplicación de un límite legal.

3. La presente reclamación trae causa de una solicitud, formulada en los términos que figuran en los antecedentes, en la que se pide el acceso a la Evaluación de Impacto de Datos Personales (EIDP) elaborada por el INGESA con ocasión del desarrollo de un sistema biométrico de reconocimiento de pacientes para la mejora de la calidad asistencial. El organismo requerido dictó resolución en la que ponía en conocimiento de la fundación reclamante que el sistema de reconocimiento biométrico al que hace referencia se estaba desarrollando y todavía no estaba implementado, añadiendo que, de acuerdo con lo informado por la AEPD, la EIDP únicamente se comparte con las autoridades encargadas de su valoración y aplicación. Con posterioridad, a la vista de la reclamación, el INGESA alega la concurrencia del límite previsto en el artículo 14.1.k) LTAIBG, trae a colación la respuesta (negativa) de la AEPD sobre la posibilidad de facilitar copia de la EIDP y del análisis de riesgos elaborado con ocasión de la creación del canal del denunciante en INGESA, e invoca las directrices del Grupo de Trabajo 29 que subrayan la necesidad de que «la publicación de una EIPD no represente un requisito jurídico del RGPD, ya que es una decisión que corresponde solo al Responsable del tratamiento y que la versión publicada podría consistir en un resumen de las principales conclusiones de la EIPD o incluso únicamente en una declaración que afirmarse que esta se ha llevado a cabo”.

4. Sentado lo anterior, corresponde ahora verificar si la denegación de acceso a la EIPD acordada por el INGESA resulta conforme a derecho. En este proceso de verificación debe tomarse como punto de partida el hecho de que la resolución que deniega el acceso no lo hace con fundamento en los posibles límites que establece la LTAIBG, sino que, por el contrario, se limita a argumentar que el sistema biométrico de reconocimiento de pacientes se encuentra en fase de implantación y que la información únicamente puede compartirse con la Autoridad de Control en la materia según la normativa aplicable. Sin embargo, dada la evidente naturaleza de información pública de lo solicitado (extremo este que no ha sido controvertido), debe recordarse que el principio general ha de ser favorable al acceso salvo que se justifique de manera clara y suficiente la concurrencia de alguna de las restricciones legales previstas en los artículos 14 y 18 LTAIBG. En este sentido, tanto la doctrina de este Consejo como la jurisprudencia del Tribunal Supremo exigen una interpretación estricta, cuando no restrictiva, de las causas de inadmisión y de los límites contemplados en la LTAIBG, atendiendo a la formulación amplia en el reconocimiento y en la regulación legal del derecho de acceso a la información. Por ello, no cabe aceptar limitaciones que supongan un menoscabo injustificado y desproporcionado del derecho de acceso a la información —vid. STS de 16 de octubre de 2017 (ECLI:ES:TS:2017:3530)—. De lo anterior se desprende que la justificación de la denegación acordada en la resolución inicial resultó insuficiente, como también lo es la invocación del límite previsto en el artículo 14.1.k) LTAIBG durante la sustanciación de este procedimiento en la medida en que la entidad reclamada se limita a traer a colación una resolución de la Agencia Española de Protección de Datos que considera aplicable dicho límite pero que no resulta directamente trasladable a este caso. En efecto, en la resolución que se cita la AEPD considera que acceder a la EIPD del canal interno de protección de informante implantado por INGESA puede suponer un riesgo para la Administración y considera aplicable el citado límite del artículo 14.1.k) LTAIBG para, una vez identificado dicho límite, pasar a realizar la pertinente ponderación. Es en ese análisis de «si la aplicación de estos límites entra en colisión con un interés público o privado superior que justifique el acceso» donde se concluye que «el reclamante no ha motivado su solicitud con lo cual no ha justificado un interés legítimo privado superior que deba ser objeto de ponderación». Contra la pretendido por INGESA, tales conclusiones no pueden trasladarse a este caso en el que sí consta una detallada y exhaustiva motivación del interés que persigue la petición. Así, en su reclamación, la fundación pone de relieve que acceder a la información solicitada permite conocer cómo toman las decisiones las Administraciones Públicas (respecto de la implantación de herramienta de alto riesgo no solo por el empleo de datos biométricos sino por su finalidad asistencial) y, además, «determinar la idoneidad de implantar una herramienta de esta naturaleza y evaluar las medidas ideadas para evitar posibles sesgos raciales o de género, que supondrían una discriminación evidente en una población diversa como la que reside y acude habitualmente a los centros sanitarios de Ceuta y Melilla». Subraya, asimismo, la necesidad de garantizar el principio de transparencia «en un contexto donde cada vez es más frecuente “la automatización de decisiones”, cuyo impacto puede “socavar las garantías del interesado en el procedimiento administrativo, reforzar los sesgos discriminatorios y desigualdades ya existentes e, incluso, distorsionar la finalidad de las políticas públicas». Y, finalmente, vincula su petición al ejercicio del derecho fundamental a la información reconocido en el artículo 20.1.d) CE por lo que, con arreglo a lo reconocido en la STS de 25 de marzo de 2021, « cuando el solicitante de información sea un periodista, deben redoblarse las cautelas interpretativas de las limitaciones del derecho de acceso para no interferir en la libertad de expresión y comunicación libre de información de los medios de comunicación, derechos fundamentales protegidos constitucionalmente». En definitiva, no solo no resulta trasladable la decisión de la AEPD a la que acude INGESA para justificar la denegación del acceso, sino que en este caso, habiendo motivado profusamente su petición de acceso la fundación reclamante, no se ha realizado la aplicación proporcionada y la ponderación entre los diversos intereses y derechos presentes que exige el artículo 14.2 LTAIBG y el Criterio Interpretativo CI/002/2015, de 24 de junio, de este Consejo, limitándose la Administración a denegar todo el acceso con una exclusión automática del derecho a la información ausente de justificación.

5. No puede desconocerse, además, que este Consejo se ha pronunciado ya sobre una cuestión sustancialmente idéntica en la resolución R CTBG 246/2023, de 13 de abril,—y, en la misma línea, en la R CTBG 283/2023, de 24 de abril— en la que, estimando la reclamación entonces interpuesta frente a AENA, se concede el derecho de acceso a «la Evaluación de Impacto de Protección de Datos del sistema biométrico de reconocimiento facial de AENA con exclusión, en caso de figurar, de aquellos elementos o partes de la información que, por tratarse de datos económicos, científicos, técnicos, pudieran causar un perjuicio a los intereses comerciales y económicos de AENA o a la propiedad intelectual e industrial, lo que deberá ser justificado de forma expresa.» Si bien es cierto que los límites aplicados entonces por AENA para denegar el acceso no son los mismos que el aquí invocado, también lo es que la citada resolución R CTBG 246/2023 se asienta una posición favorable al acceso a las EIPD. En efecto, este Consejo, descartando la aplicabilidad de los límites del artículo 14.1.d), h) y j) LTAIBG, subrayó que «existe un indudable interés público en el acceso a la información solicitada dado que los tratamientos que requieren una evaluación de impacto son aquellos en los que sea probable que entrañen “un alto riesgo para los derechos y las libertades de las personas físicas” (art. 35.1 RGPD).»Se significa, por otro lado, que en la propia guía de la AEPD Gestión del riesgo y evaluación de impacto en tratamientos de datos personales, se señala que «la publicación de aquellos elementos que derivan de la realización de una EIPD que pudieran resultar en una acción de transparencia y fomentar la confianza de los interesados es una práctica aconsejable. En este caso, el responsable ha de evitar publicar detalles innecesarios que no añadan valor a dicha transparencia o que no resultasen proporcionales con relación a nuevos riesgos que la publicidad de los mismos podría crear». Por otro lado, alegado por la Administración como justificación de la no publicación de la EIPD que, de acuerdo con las Directrices del Grupo de Trabajo del Artículo 29 sobre la evaluación de impacto relativa a la protección de datos, de 4 de abril de 2017, «la publicación de una EIPD no representa un requisito jurídico del RGPD, ya que es una decisión que corresponde al responsable del tratamiento», es preciso señalar que en la citada directriz se añade, a continuación, que «los responsables deben considerar al menos la publicación de algunas partes, como un resumen o una conclusión de su EIPD». Esto es, se prevé, en la línea de lo aconsejado por la AEPD que se publique, al menos, parte de la información contenida en la citada Evaluación de impacto.

6. En consecuencia, de acuerdo con lo expuesto, procede la estimación de la reclamación a fin de que se proporcione la EIPD solicitada con la exclusión, únicamente, de aquella parte de la información que pueda resultar afectada por el límite, con justificación detallada y expresa de su concurrencia. En este sentido, debe tenerse en cuenta que, con arreglo a lo estipulado en el artículo 16 LTAIBG y en el artículo 6 del Convenio de Tromsø: a) no cabe denegar el acceso a la totalidad de la información solicitada cuando los límites legales afecten sólo a una parte (salvo cuando resulte una información distorsionada o carente de sentido); b) el órgano competente ha de informar al solicitante que se ha omitido una parte de la información; c) se ha de indicar claramente cuál es la información suprimida y el límite que justifica cada supresión.

III. RESOLUCIÓN

En atención a los antecedentes y fundamentos jurídicos descritos, procede

PRIMERO: ESTIMAR la reclamación interpuesta frente a la resolución del INGESA/MINISTERIO DE SANIDAD.

SEGUNDO: INSTAR al INGESA/MINISTERIO DE SANIDAD a que, en el plazo máximo de 10 días hábiles, remita al reclamante la siguiente información en los términos expuestos en el FJ 6 de esta resolución:

x«la evaluación de impacto sobre la privacidad del sistema de identificación biométrica de pacientes implementado por INGESA con destino a los hospitales Comarcal de Melilla y Universitario de Ceuta y a atención primaria de Ceuta y Melilla».

TERCERO: INSTAR al INGESA/MINISTERIO DE SANIDAD a que, en el mismo plazo máximo, remita a este Consejo de Transparencia copia de la información enviada al reclamante.

De acuerdo con el artículo 23.1 (https://www.boe.es/buscar/act.php?id=BOE-A-2013-12887&tn=1&p=20181206#a23), de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, la reclamación prevista en el artículo 24 de la misma tiene la consideración de sustitutiva de los recursos administrativos, de conformidad con lo dispuesto en el artículo 112.2 de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas (https://www.boe.es/buscar/act.php?id=BOE-A-2015-10565&p=20151002&tn=1#a112), de Procedimiento Administrativo Común de las Administraciones Públicas.

Contra la presente resolución, que pone fin a la vía administrativa, se podrá interponer recurso contencioso-administrativo, en el plazo de dos meses, directamente ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, de conformidad con lo previsto en el apartado quinto de la Disposición adicional cuarta de la Ley 29/1998, de 13 de julio, Reguladora de la Jurisdicción Contencioso-administrativa (https://www.boe.es/buscar/act.php?id=BOE-A-1998-16718&p=20230301&tn=1#dacuarta).

EL PRESIDENTE DEL CTBG
Fdo.: José Luis Rodríguez Álvarez