Comunicaciones con la empresa israelí de ciberseguridad Dream Security

I. ANTECEDENTES

1. Según se desprende de la documentación obrante en el expediente, el 24 de septiembre de 2024 el reclamante solicitó al MINISTERIO PARA LA TRANSFORMACIÓN DIGITAL Y DE LA FUNCIÓN PÚBLICA, al amparo de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (en adelante, LTAIBG), la siguiente información:

«Cualquier comunicación entre el ministerio y el INCIBE con la empresa israelí de ciberseguridad Dream Security. Esto incluye ofertas escritas, correos electrónicos, contratos o cualquier otro documento relacionado con Dream Security».

2. Mediante resolución de 14 de febrero de 2025, INCIBE responde lo siguiente:

«En respuesta a la solicitud de información de referencia (…)cuya entrada tuvo lugar en la S.M.E. Instituto Nacional de Ciberseguridad de España, M.P., S.A. (INCIBE) el 28 de enero de 2025, se resuelve conceder el acceso a la información requerida por (…)

https://www.boe.es/buscar/doc.php?id=BOE-A-2013-12887

Número y fecha de resolución: indicados al margen.
Número de expediente: 453/2025
Reclamante:
Organismo: INCIBE, S.A., S.M.E.
Sentido de la resolución: Estimatoria por motivos formales.
Palabras clave:comunicaciones,ciberseguridad, respuesta tardía, arts. 14.1.a) y 14.1.h) LTAIBG.

A ese respecto, desde INCIBE procedemos a responder que el primer contacto con la empresa Dream Security se produjo el 19 de febrero de 2024 a través de un correo electrónico en el que la empresa se ponía en contacto con INCIBE con la intención de presentar su producto “DREAM”: una empresa de inteligencia artificial que desarrolla soluciones avanzadas de ciberseguridad.
Tras varios correos en los que Dream Security trasladaba su interés en organizar la reunión, un equipo de INCIBE se reunió con ellos el 2 de abril de 2024.
Con posterioridad a la reunión, Dream Security se puso nuevamente en contacto con INCIBE mediante correo electrónico, solicitando un contacto con el CCNCERT y preguntando sobre el proceso de certificación del ENS. INCIBE respondió a dicho correo remitiéndoles al buzón genérico y a la web https://oc.ccn.cni.es/, siendo ésta la última comunicación».

3. Mediante escrito registrado el 4 de marzo de 2025, el solicitante interpuso una reclamación ante el Consejo de Transparencia y Buen Gobierno (en adelante, el Consejo) en aplicación del artículo 24 de la LTAIBG en la que pone de manifiesto su disconformidad con la respuesta recibida en los siguientes términos:

«En la resolución de la solicitud de información emitida por la S.M.E. Instituto Nacional de Ciberseguridad de España, M.P., S.A. (INCIBE), dicho órgano se limita a indicar las fechas y los canales de comunicación a través de los que se ha establecido contacto con la empresa Dream Security. Pero en ningún caso se aporta la documentación relacionada con las comunicaciones entre ambas partes, tal y como se requería de manera explícita en la solicitud original. La respuesta tampoco ofrece información sobre la reunión mantenida el 2 de abril de 2024 con representantes de la empresa.
Basándonos en una “formulación amplia y expansiva” del derecho de acceso a la información pública (…) la respuesta del INCIBE es claramente insuficiente. Según ha establecido el CTBG y la Agencia Española de Protección de Datos, AEPD (Cl/002/2016) la LTAIBG reconoce el derecho de la ciudadanía a acceder a información relativa a las reuniones mantenidas por responsables públicos de órganos de la administración para así, tal y como se recoge en el artículo 13 de la LTAIBG, contribuir a un mejor conocimiento del funcionamiento de las instituciones en la asignación de los recursos, de cómo se toman las decisiones que afectan a los ciudadanos, o bajo qué interés actúan las instituciones. Así consideramos que la respuesta ofrecida por el INCIBE no se ajusta a los criterios establecidos por las leyes de transparencia y reclamamos acceso a los documentos íntegros tanto de las comunicaciones entre ambas partes como de la reunión mantenida por este organismo con representantes de la empresa Dream Security».

https://www.boe.es/buscar/act.php?id=BOE-A-2013-12887&tn=1&p=20181206#a24

4. Trasladada la reclamación al Ministerio requerido solicitando la remisión de la copia completa del expediente derivado de la solicitud de acceso a la información y el informe con las alegaciones que considere pertinentes, se recibe respuesta en fecha 31 de marzo de 2025 expresando lo siguiente:

«INCIBE ha facilitado la información que responde a la petición del solicitante en el sentido de que se traslada qué comunicaciones ha habido entre esta sociedad y la empresa Dream Security, cuál fue la finalidad de las mismas, por qué medios se contactó y cuándo finalizaron las comunicaciones.
No procede aportar más detalle de la información trasladada ni atender a lo solicitado en la reclamación, en aplicación de los artículos 14.1.a) y 14.1.h) de la Ley de Transparencia:
(...)
Artículo 14.1.a) (perjuicio a la seguridad nacional). Con la reclamación, el interesado pretende tener acceso a correos que pudieran contener datos confidenciales y/o sensibles que pudieran comprometer la seguridad nacional poniendo de manifiesto informaciones de INCIBE-CERT, el CERT de referencia para la ciudadanía y sector privado. La divulgación de los correos electrónicos y de lo tratado en la reunión podría comprometer la política de seguridad nacional.
En el caso concreto no existe un interés público o privado superior que justifique el acceso a ese detalle de información. No se aprecia un interés superior que prevalezca sobre la confidencialidad de las comunicaciones de INCIBE en relación con los cometidos que tiene atribuidos.
Además, este límite se ha aplicado de manera proporcional tal y como señala el artículo 14.2., pues se ha aportado información suficiente y relativa al número de comunicaciones y contactos mantenidos, a la finalidad de los mismos y brevemente a su contenido, aunque no se hayan facilitado documentos.
Artículo 14.1.h) (perjuicio a los intereses económicos y comerciales). La información facilitada respeta los intereses del solicitante, al que se le facilita información sobre los contactos mantenidos y la finalidad de los mismos, y salvaguarda también los intereses económicos y comerciales de la empresa sin concretar los detalles de la reunión mantenida, en la que la empresa trasladaba información sobre su producto “DREAM”: relativo a inteligencia artificial mediante el desarrollo de soluciones avanzadas de ciberseguridad.
La divulgación de información concreta sobre los productos de la empresa podría perjudicar los intereses económicos y comerciales de la misma, causándole un daño innecesario.
Por ello, en búsqueda de un equilibrio entre los derechos del solicitante de la información y de la empresa Dream Security, así como en respeto a los intereses económicos y comerciales de la misma, se ha facilitado información relativa al por qué del contacto entre esta e INCIBE, sin detallar las especificaciones de su producto que se pusieron de relieve en la reunión mantenida.
En este sentido, se ha hecho una aplicación proporcionada del límite del artículo 14.1.h) en relación con el artículo 14.2. y no se aprecia un interés público o privado superior que justifique un mayor detalle de información.»

5. El 13 de junio de 2025 se dio traslado al reclamante y se le concedió trámite de audiencia para que presentase las alegaciones que estimara pertinentes; sin que, constando su comparecencia a la notificación, se haya formulado observación alguna.

II. FUNDAMENTOS JURÍDICOS

1. De conformidad con lo dispuesto en el artículo 38.2.c) de la LTAIBG y en el artículo 13.2.d) del Real Decreto 615/2024, de 2 de julio, por el que se aprueba el Estatuto del Consejo de Transparencia y Buen Gobierno, A.A.I., el presidente de esta Autoridad Administrativa Independiente es competente para conocer de las reclamaciones que, en aplicación del artículo 24 de la LTAIBG, se presenten frente a las resoluciones expresas o presuntas recaídas en materia de acceso a la información.

https://www.boe.es/buscar/act.php?id=BOE-A-2013-12887&p=20181206&tn=1#a38

https://www.boe.es/eli/es/rd/2024/07/02/615

https://www.boe.es/buscar/act.php?id=BOE-A-2013-12887&p=20181206&tn=1#a24

2. La LTAIBG reconoce en su artículo 12 el derecho de todas las personas a acceder a la información pública, entendiendo por tal, según dispone en el artículo 13, «los contenidos o documentos, cualquiera que sea su formato o soporte, que obren en poder de alguno de los sujetos incluidos en el ámbito de aplicación de este título y que hayan sido elaborados o adquiridos en el ejercicio de sus funciones».
De este modo, la LTAIBG delimita el ámbito material del derecho a partir de un concepto amplio de información, que abarca tanto documentos como contenidos específicos y se extiende a todo tipo de “formato o soporte”. Al mismo tiempo, acota su alcance, exigiendo la concurrencia de dos requisitos que determinan la naturaleza “pública” de las informaciones: (a) que se encuentren “en poder” de alguno de los sujetos obligados, y (b) que hayan sido elaboradas u obtenidas “en el ejercicio de sus funciones”.
Cuando se dan estos presupuestos, el órgano competente debe conceder el acceso a la información solicitada, salvo que justifique de manera clara y suficiente la concurrencia de una causa de inadmisión o la aplicación de un límite legal.

https://www.boe.es/buscar/act.php?id=BOE-A-2013-12887&tn=1&p=20181206#a12

3. La presente reclamación trae causa de una solicitud, formulada en los términos que figuran en los antecedentes, en la que se pide el acceso a todas las comunicaciones mantenidas entre el Ministerio para la Transformación Digital y de la Función Pública y el INCIBE con la empresa israelí de ciberseguridad Dream Security, incluyendo las ofertas escritas, correos electrónicos, contratos y cualquier otro documento relacionado con la empresa.
El organismo requerido resolvió conceder el acceso y facilitó la información relativa al motivo del contacto de la empresa con la sociedad mercantil; el medio a través del cual se desarrollaron las comunicaciones y las fechas; así como su finalidad y cuándo concluyeron las mismas.
A la vista de la reclamación interpuesta, en la que el interesado pone de manifiesto que no se ha aportado documentación alguna relacionada con las comunicaciones mantenidas como requería en su solicitud, la entidad alega que no es posible proporcionar más detalles al resultar de aplicación los límites previstos en los artículo 14.1, apartados a) y h) LTAIBG.

4. Sentado lo anterior procede recordar que el artículo 20.1 LTAIBG dispone que «[l]a resolución en la que se conceda o deniegue el acceso deberá notificarse al solicitante y a los terceros afectados que así lo hayan solicitado en el plazo máximo de un mes desde la recepción de la solicitud por el órgano competente para resolver. Este plazo podrá ampliarse por otro mes en el caso de que el volumen o la complejidad de la información que se solicita así lo hagan necesario y previa notificación al solicitante».
En este caso, no puede obviarse que entre la fecha de presentación de la solicitud en el Ministerio (24 de septiembre de 2024) y la fecha declarada de recepción en el órgano competente para resolver (28 de enero de 2025) transcurren cuatro meses; un plazo a todas luces desproporcionado para la tramitación de una solicitud dentro de un mismo ministerio e incompatible con el principio de eficacia que según el artículo 103 de la Constitución ha de regir la actuación de la Administración Pública y con la concepción del procedimiento de acceso a la información por el legislador como un «procedimiento ágil, con un breve plazo de respuesta» (como se subraya en el preámbulo de la LTAIBG).

5. Sentado lo anterior, la premisa de partida de esta resolución es que se ha dictado resolución en la que se acuerda conceder el acceso y se facilita la información sobre las comunicaciones mantenidas entre el INCIBE y la empresa de ciberseguridad, con el detalle de las fechas en las que se desarrollaron, el canal utilizado y la finalidad de esos contactos; si bien, el reclamante considera incompleta.
No puede desconocerse, no obstante, que durante la sustanciación de este procedimiento, el Ministerio ha señalado que no puede facilitar más información (en concreto, la documentación relacionada a esas comunicaciones) porque resultan de aplicación los límites previstos en los artículos 14.1.a) y 14.1.h) LTAIBG; sin que el reclamante haya planteado objeción alguna en el trámite de audiencia que le ha sido concedido tras el traslado de las mencionadas alegaciones. Ciertamente, entiende este Consejo que, dado el objeto de las comunicaciones, la divulgación del contenido de los correos electrónicos y de lo abordado en la reunión supondría un perjuicio para la seguridad nacional; y del mismo modo conceder el acceso a las especificaciones concretas del producto ofrecido por la empresa causaría perjuicio a los intereses económicos y comerciales de la empresa —sin que se haya apreciado un interés público o privado superior que justifique un mayor detalle en la información proporcionada—.

6. En consecuencia, de acuerdo con lo expuesto, procede estimar por motivos formales la reclamación al no haberse respetado el derecho del reclamante a obtener una resolución completa en el plazo máximo legalmente establecido, habiendo sido necesaria la interposición de una reclamación ante este Consejo para ver plenamente reconocido su derecho.

III. RESOLUCIÓN

En atención a los antecedentes y fundamentos jurídicos descritos, procede ESTIMAR por motivos formales la reclamación interpuesta frente a la resolución del INCIBE, S.A., S.M.E.
De acuerdo con el artículo 23.1, de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, la reclamación prevista en el artículo 24 de la misma tiene la consideración de sustitutiva de los recursos administrativos, de conformidad con lo dispuesto en el artículo 112.2 de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas.

https://www.boe.es/buscar/act.php?id=BOE-A-2013-12887&tn=1&p=20181206#a23

https://www.boe.es/buscar/act.php?id=BOE-A-2015-10565&p=20151002&tn=1#a112

Contra la presente resolución, que pone fin a la vía administrativa, se podrá interponer recurso contencioso-administrativo, en el plazo de dos meses, directamente ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, de conformidad con lo previsto en el apartado quinto de la Disposición adicional cuarta de la Ley 29/1998, de 13 de julio, Reguladora de la Jurisdicción Contencioso-administrativa.

https://www.boe.es/buscar/act.php?id=BOE-A-1998-16718&p=20230301&tn=1#dacuarta

EL PRESIDENTE DEL CTBG
Fdo.: José Luis Rodríguez Álvarez