Solicitud de información sobre la gestión y seguridad de la aplicación TikTok en el Ministerio de Asuntos Exteriores y estimación formal de la reclamación

Resolución reclamación art. 24 LTAIBG I. ANTECEDENTES 1. Según se desprende de la documentación obrante en el expediente, el 19 de enero de 2024 el reclamante solicitó al MINISTERIO DE ASUNTOS EXTERIORES, UNIÓN EUROPEA Y COOPERACION, al amparo de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (en adelante, LTAIBG), la siguiente información: « Conocer en qué dispositivo o dispositivos del Ministerio de Asuntos Exteriores está instalada la aplicación TikTok desde la que se gestiona la cuenta del ministro, José Manuel Albares . Indicándose: - Si este dispositivo es de propiedad gubernamental o personal. - Qué cargo o funcionario de la Administración Pública lo gestiona (no es necesario especificar su nombre S/REF: 00001-00087215 N/REF: 352/2024 Fecha: La de firma. Dirección: COOPERACION. Información solicitada: Información relativa a la aplicación TikTok del Ministerio. R CTBG Número: 2024-0705 Fecha: 26/06/2024 pero sí el departamento y responsabilidad que ocupa). - Desde qué fecha está instalado. - Modelo del dispositivo desde el que se utiliza TikTok. - Dominio de correo electrónico con el que está creada la cuenta. - Si se opera desde una red del Gobierno o datos móviles. Documentación o normativa sobre medidas de seguridad que dispone el Ministerio de Asuntos Exteriores para instalar y gestionar TikTok. Indicándose los procesos de seguridad que aplican en la descarga de la aplicación y su uso. En caso de que la información no se encuentre tal y como la demando, solicito que se me entregue tal y como consta en los registros públicos, para evitar así cualquier acción previa de reelaboración. Recuerdo también el derecho de acceso de forma parcial. En el caso de que no se me entregue parte de lo solicitado o se deniegue, no es óbice para no entregar el resto de lo pedido. Se trata de información de indudable interés público sobre la que no prevalecen límites para denegar lo solicitado» 2. Mediante resolución de 26 de febrero de 2024 el citado ministerio acordó conceder parcialmente el acceso solicitado en los siguientes términos: «Los teléfonos móviles a disposición de empleados públicos son proporcionados y configurados por la Administración General del Estado. Para garantizar su seguridad y correcto uso, la Secretaría General de Administración Digital (SGAD), junto con la colaboración del Centro Criptológico Nacional (CCN), gestiona la seguridad de los dispositivos móviles de las entidades de la AGE que están dentro del alcance del Contrato Centralizado de Comunicaciones. De forma adicional, existe un servicio integral, gestionado por Presidencia del Gobierno, de la movilidad corporativa y la seguridad de los dispositivos entregados en el Marco General de Funcionamiento de l Servicio de Comunicaciones y Dispositivos móviles para ciertos cargos del Gobierno y de la Administración General del Estado. Los usuarios del servicio especial de comunicaciones y dispositivos móviles son los miembros del Consejo de Ministros y de la Comisión de Secretarios de Estado y Subsecretarios. Existen, además, mecanismos de protección y seguridad en los dispositivos móviles entre los que destacamos los siguientes: · Solución EMM (Del inglés Enterprise Mobility Management) para la administración, monitorización y control de la configuración de los dispositivos móviles corporativos. R CTBG Número: 2024-0705 Fecha: 26/06/2024 · Herramienta MTD (Del Inglés Mobile Threat Defense), que es una solución proactiva de defensa frente a amenazas móviles. · Android Enterprise (AE), que proporciona protecciones de seguridad básica, políticas de administración y funciones de red. El protocolo señala que las aplicaciones requeridas para realizar actividades de comunicación se deben instalar en los dispositivos exclusivamente para uso de marketing público e información, y no vinculados a cuentas personales. Para garantizar un uso correcto y seguro de estos dispositivos, la AGE hace auditorias o comprobaciones sobre el uso de los dispositivos corporativos y la instalación de aplicaciones. Todas las herramientas que componen los servicios a disposición de los empleados públicos son imprescindibles para garantizar el cumplimiento legal de protección de datos de carácter personal, en base al Reglamento General de Protección de Datos (GDPR), así como la protección de la información corporativa acorde con las medidas de seguridad requeridas por el Esquema Nacional de Seguridad (ENS) o cualquier otra normativa legal que, por la naturaleza del servicio, se le pudiera aplicar. Por último, cabe señalar que la Administración General del Estado está en constante desarrollo de diversas medidas de carácter técnico para garantizar la seguridad y un uso adecuado de las redes sociales en los dispositivos utilizados. Por lo que respecta al cargo que ocupan las personas que usan la aplicación, el modelo de dispositivo, el dominio de correo electrónico, la red, las versiones de sistema operativo y el número de dispositivos, se consideran datos susceptibles, especialmente por su naturaleza técnica, de ser explotados para la realización de ciberataques, por lo que no se pueden suministrar por razones de salvaguarda de seguridad. El éxito de un ciberataque a alguno de los dispositivos a que se hace referencia podría entrañar una amenaza para toda la red y, por lo tanto, para la seguridad nacional, la defensa, las relaciones exteriores, la seguridad pública o los intereses económicos, siendo por lo tanto de aplicación las excepciones del artículo 14.1. en sus letras a), b), c), d) y h) de Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno. Se recuerda que, de conformidad con lo señalado en el artículo 15.5 de la Ley 19/2013, el tratamiento posterior que se pudiera hacer de los datos personales obtenidos a través del presente ejercicio del derecho de acceso a la información pública se encuentra sometido a la aplicación del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, General de Protección de Datos (RGPD); de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, así como demás normativa vigente sobre protección de datos personales.(…)» 3. Mediante escrito registrado el 29 de febrero de 2024, el solicitante interpuso una reclamación ante el Consejo de Transparencia y Buen Gobierno (en adelante, el Consejo) en aplicación del artículo 24 de la LTAIBG en la que pone de manifiesto que: « (…) Exteriores no entrega así la información relativa a “Qué cargo o funcionario de la Administración Pública lo gestiona (no es necesario especificar su nombre pero sí el departamento y responsabilidad que ocupa). Desde qué fecha está instalado. Modelo del dispositivo desde el que se utiliza TikTok. Dominio de correo electrónico con el que está creada la cuenta. Si se opera desde una red del Gobierno o datos móviles.” El ministerio se ampara en “las excepciones del artículo 14.1. en sus letras a), b), c), d) y h)” para no entregar la información porque “se consideran datos susceptibles, especialmente por su naturaleza técnica, de ser explotados para la realización de ciberataques, por lo que no se pueden suministrar por razones de salvaguarda de seguridad. El éxito de un ciberataque a alguno de los dispositivos a que se hace referencia podría entrañar una amenaza para toda la red y, por lo tanto, para la seguridad nacional, la defensa, las relaciones exteriores, la seguridad pública o los intereses económicos”. La respuesta de Exteriores contrasta con la dada por otros ministerios puesto que esta información sí ha sido entregada cuando se les solicitó, como viene recogido, por ejemplo, en la resolución del Consejo de Transparencia 1656-2023 en la que Asuntos económicos, aunque fuera de plazo, entrega esos datos a la persona interesada. Asimismo, como se adjunta en la reclamación, otros ministerios como el de Educación (001-081527) o Hacienda (001-00077976) sí entregan la información. Por lo que no caben límites para denegar el acceso a esos datos. Además, la información es de evidente interés público puesto que a nivel europeo se han debatido y puesto en marcha medidas sobre el uso de TikTok en dispositivos corporativos. (…)» 4. Con fecha 1 de marzo de 2024, el Consejo trasladó la reclamación al ministerio requerido solicitando la remisión de la copia completa del expediente derivado de la solicitud de acceso a la información y el informe con las alegaciones que considere pertinentes. El 26 de marzo de 2024 tuvo entrada en este Consejo escrito en el que se señala: « Con fecha 29 de febrero de 2024 tuvo entrada en la UIT del MAUC una reclamación interpuesta por el interesado ante el Consejo de Transparencia y Buen Gobierno (CTBG), registrada en el expediente 0352/2024 de ese Consejo, requiriendo a este MAUC la remisión del expediente completo y el informe con las alegaciones que se consideren pertinentes para la resolución de dicha reclamación. Analizada la reclamación, el Ministerio de Asuntos Exteriores, Unión Europea y Cooperación facilita los datos requeridos: • Modelo de Dispositivo: Iphone 13 • Cargo o funcionario que lo gestiona: Gabinete Ministro • Fecha: Diciembre 2023 • Dominio de correo electrónico: • Red: Vodafone.» 5. Concedido trámite de audiencia al reclamante en fecha 3 de abril de 2024, no consta su comparecencia a la notificación. II. FUNDAMENTOS JURÍDICOS 1. De conformidad con lo dispuesto en el artículo 38.2.c) de la LTAIBG y en el artículo 8 del Real Decreto 919/2014, de 31 de octubre, por el que se aprueba el Estatuto del Consejo de Transparencia y Buen Gobierno , el presidente de esta Autoridad Administrativa Independiente es competente para resolver las reclamaciones que, en aplicación del artículo 24 de la LTAIBG , se presenten frente a las resoluciones expresas o presuntas recaídas en materia de acceso a la información. 2. La LTAIBG reconoce en su artículo 12 el derecho de todas las personas a acceder a la información pública, entendiendo por tal, según dispone en el artículo 13, «los contenidos o documentos, cualquiera que sea su formato o soporte, que obren en poder de alguno de los sujetos incluidos en el ámbito de aplicación de este título y que hayan sido elaborados o adquiridos en el ejercicio de sus funciones». De este modo, la LTAIBG delimita el ámbito material del derecho a partir de un concepto amplio de información, que abarca tanto documentos como contenidos específicos y se extiende a todo tipo de “formato o soporte”. Al mismo tiempo, acota su alcance, exigiendo la concurrencia de dos requisitos que determinan la naturaleza “pública” de las informaciones: (a) que se encuentren “en poder” de alguno de los sujetos obligados, y (b) que hayan sido elaboradas u obtenidas “en el ejercicio de sus funciones”. Cuando se dan estos presupuestos, el órgano competente debe conceder el acceso a la información solicitada, salvo que justifique de manera clara y suficiente la concurrencia de una causa de inadmisión o la aplicación de un límite legal. 3. La presente reclamación trae causa de una solicitud, formulada en los términos que figuran en los antecedentes, en la que se pide el acceso a información referida a la aplicación TikTok usada por el Ministerio de Asuntos Exteriores, Unión Europea y Cooperación. El citado ministerio dictó resolución en la que concede parcialmente la información solicitada, denegando el acceso a la información sobre «el cargo que ocupan las personas que usan la aplicación, el modelo de dispositivo, el dominio de correo electrónico, la red, las versiones de sistema operativo y el número de dispositivos» (cuestiones, éstas, a las que se ciñe la reclamación) por considerar de aplicación los límites previstos en el artículo 14.1.a), b), c), d) y h) LTAIBG. 4. Sentado lo anterior no cabe desconocer que, a la vista de la reclamación interpuesta, el ministerio ha rectificado su inicial criterio y ha proporcionado la información referida a todos los extremos que reclamaba el solicitante. Esta rectificación se sitúa en la línea de lo actuado en otros ministerios [como, por ejemplo, el entonces Ministerio de Asuntos Económicos y Transformación Digital (R CTBG 943/2023, de 7 de noviembre y R CTBG 1097/2023, de 22 de diciembre) y la Secretaría General de la Presidencia del Gobierno (R CTBG 1011/2023, de 22 de noviembre)]. Por tanto, habiéndose proporcionado la información denegada inicialmente fuera del plazo concedido al efecto por la LTAIBG y una vez que se ha presentado reclamación ante este Consejo, debe reconocerse, por un lado, el derecho de la interesada a obtener una resolución en el plazo legalmente establecido y, por otro, tener en cuenta el hecho de que le ha proporcionado la información. En consecuencia, de acuerdo con o expuesto procede la estimación de la reclamación por motivos formales ya que no se ha respetado el derecho de la solicitante a obtener la información en el plazo máximo legalmente establecido, habiendo sido necesaria la interposición de una reclamación ante este Consejo para ver plenamente reconocido su derecho. III. RESOLUCIÓN En atención a los antecedentes y fundamentos jurídicos descritos, procede ESTIMAR por motivos formales la reclamación interpuesta por frente al MINISTERIO DE ASUNTOS EXTERIORES Y COOPERACIÓN. De acuerdo con el artículo 23.1 , de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, la reclamación prevista en el artículo 24 de la misma tiene la consideración de sustitutiva de los recursos administrativos, de conformidad con lo dispuesto en el artículo 112.2 de la Ley 39/2015, de 1 de octubre , de Procedimiento Administrativo Común de las Administraciones Públicas. Contra la presente resolución, que pone fin a la vía administrativa, se podrá interponer recurso contencioso-administrativo, en el plazo de dos meses, directamente ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, de conformidad con lo previsto en el apartado quinto de la Disposición adicional cuarta de la Ley 29/1998, de 13 de julio, Reguladora de la Jurisdicción Contencioso-administrativa . EL PRESIDENTE DEL CTBG Fdo.: José Luis Rodríguez Álvarez Consejo de Transparencia y Buen Gobierno AA www.consejodetransparencia.e SUBSANACIÓN DE ERROR MATERIAL Advertido error material en la resolución R CTBG 0705/2024, de 26 de junio [S/REF: 00001-00087215; N/REF: 352-2024], se procede a realizar la oportuna rectificación conforme al artículo 109.2 de la Ley 39/2015, del Procedimiento Administrativo Común (LPAC), a fin de corregir el error detectado en el cuadro- resumen inicial para adecuarlo a lo acordado en la parte dispositiva de la resolución. De acuerdo con lo anterior, procede la rectificación en los siguientes términos: x En el recuadro-resumen inicial, donde consta: S/REF: 00001-00087215 N/REF: 352/2024 Fecha: La de firma. Dirección: (…) Información solicitada: Información relativa a la aplicación TikTok del Ministerio. debe constar: Dirección: (…) Información solicitada: Información relativa a la aplicación TikTok del Ministerio . Esta rectificación no incide en el sentido de la resolución adoptada.