Reclamación por denegación de acceso a datos estadísticos sobre la aplicación de la Ley 2/2023 en la AEPD, resuelta con estimación

Resolución reclamación art. 24 LTAIBG I.ANTECEDENTES 1.Según se desprende de la documentación obrante en el expediente, el reclamante solicitó a la AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS (en adelante, AEPD), al amparo de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (en adelante, LTAIBG), la siguiente información: « 1º Todos los datos y referencias disponibles por la AEPD sobre invocaciones, citas, procedimientos y resoluciones relativas a la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. S/REF: 00001-00085706 N/REF: 440/2024 Fecha:La de firma. Dirección: Información solicitada: Estadísticas del canal del denunciante. R C T B G N ú m e r o : - F e c h a : / / P s id n t F h a ir m S d d b 2º Con mayor precisión, todo cuanto la AEPD pueda informar sobre su propio “Procedimiento para la gestión de informaciones de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción”, con todo el detalle posible sobre su naturaleza y ámbito legal, su entrada en vigor, y todos los datos, por supuesto, bien anonimizados, sobre su aplicación hasta la fecha más reciente.» 2.Mediante resolución de 16 de febrero de 2024 la AEPD resolvió, de forma acumulada, los expedientes 00001-00085577, 00001-00085486 y 00001-00086732 y el que da origen a esta reclamación, acordando conceder parcialmente el acceso a la información en los siguientes términos: «1. En respuesta a la solicitud de acceso a la información pública, cuyo objeto se ha descrito en el apartado I de esta resolución, se facilita la información relativa al procedimiento para la gestión de informaciones implantado por la AEPD desde junio de 2023, consistente en: • La resolución, de 9 de junio de 2023, de la AEPD por la que se aprueban los principios generales del Sistema interno de información y defensa del informante, y el procedimiento de gestión de informaciones previsto en la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Accesible en el siguiente enlace de la web de la AEPD: politicas.pdf. • Los principios generales del Sistema interno de información y defensa del informante de la Agencia Española de Protección de Datos. Accesible en el siguiente enlace: defensa-del-informante.pdf. • El procedimiento para la gestión de informaciones de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Accesible en el siguiente enlace: G ú o - 2. La citada Ley 2/2023, de 20 de febrero, en su artículo 5, denomina al Canal de Protección del Informante como “Sistema interno de Información”, cuya finalidad es doble: por un lado, hacer posible la comunicación por parte de personas a las que se refiere el artículo 3 de la Ley que en un contexto laboral o profesional (en este caso de la AEPD) detecten infracciones penales o administrativas graves o muy graves previstas en el artículo 2 de la Ley; y, por otro, que esas personas estén protegidas frente a posibles represalias. Por lo tanto, el Canal tiene un ámbito subjetivo, es decir, quién puede presentar informaciones, que son únicamente las personas que tengan o hayan tenido una relación laboral o profesional que conlleve una dependencia frente a la AEPD, y un ámbito objetivo, el objeto en sí mismo de las informaciones, esto es, conductas indebidas graves o de presunta corrupción que puedan ser constitutivas de infracciones penales o administrativas graves o muy graves relacionadas con las actividades de la AEPD. 3. En cuanto a la información solicitada, relativa a la aplicación de la citada Ley hasta la fecha (invocaciones, citas, procedimientos y resoluciones), la AEPD, como responsable de este sistema interno de información, debe valorar si conceder dicho acceso puede suponer algún perjuicio de los descritos en el artículo 14.1 de la LTAIBG (test del daño) y si, además, según señala el artículo 14.2 de la LTAIBG concurre un interés público o privado superior que justifique el acceso (ponderación de intereses en juego) (…) 4. A este respecto hay que señalar, por una parte, que el Sistema interno de información y defensa del informante protege tanto al denunciante como a las personas afectadas, de tal manera que para que esa protección sea efectiva, los artículos 4 y 5 del Procedimiento para la gestión de la información aprobado por la Agencia establecen los derechos de los informantes y de los afectados, respectivamente, reconociendo en ambos casos el derecho a la confidencialidad de las comunicaciones, necesaria para la finalidad que persigue la Ley 2/2023. 5. Por otra parte, el acceso público a la información sobre invocaciones, citas, procedimientos y resoluciones en aplicación de la Ley 2/2023, supone la exposición de su Canal de Protección del Informante, así como de los denunciantes, a un riesgo, por cuanto contiene información interna de la organización, de las actividades y del personal, lo que va en contra de la esencia misma de la norma para que ésta sea efectiva. La AEPD entiende que la transparencia no puede suponer un riesgo ni para los interesados ni para la propia Administración, por lo que debe evitarse la publicación de cualquier información que pueda generarlo. Criterio recogido en el informe 34/2023 del Gabinete Jurídico de la AEPD. 6. Una vez constatada la existencia del daño y la concurrencia del límite descrito en el artículo 14.1.k) de la LTAIBG, se debe además examinar si la aplicación de estos límites entra en colisión con un interés público o privado superior que justifique el acceso. (…) 7. La AEPD considera que la información sobre el Canal de Protección del Informante disponible en el apartado de Transparencia de su Página Web es suficiente para constatar que esta Agencia, en aplicación de la citada Ley, ha desarrollado un procedimiento eficaz, que protege adecuadamente a los informantes e identifica correctamente a los responsables de su protección. Se concluye, por tanto, que no existe interés privado o público superior prevalente que pueda desvirtuar la necesidad de proteger la confidencialidad de la información relativa a las invocaciones, citas, procedimientos y resoluciones, que justifique su divulgación. Con base en lo anterior, se dicta la siguiente V. Resolución Primera.- De conformidad con lo dispuesto en los artículos 12 y 22 de la LTAIBG, se concede el acceso a la información solicitada referente a la implantación del Canal de Protección del Informante creado en la AEPD, en la forma indicada en el Fundamento Jurídico Primero. Segunda.- Se limita el acceso a la información relativa a las invocaciones, citas, procedimientos y resoluciones en aplicación de la Ley 2/2023, de 20 de febrero, normativas y de lucha contra la corrupción, en virtud de lo dispuesto en el artículo 14.1.k) de la LTAIBG.» 3.Mediante escrito registrado el 15 de marzo de 2024, el solicitante interpuso una reclamación ante el Consejo de Transparencia y Buen Gobierno (en adelante, el Consejo) en aplicación del artículo 24 de la LTAIBG en la que, en lo que a este procedimiento interesa (pues incluye en la reclamación diversos escritos presentados ante diferentes órganos y Ministerios aparte del dirigido a la AEPD) pone de manifiesto que: «La AEPD ignora, omite y oculta la información que se solicita confundiendo el claro objeto de la solicitud de transparencia. Basta leer la solicitud y la resolución que aquí se reclama para entender, y poder denunciar, su opacidad y secretismo” (…) 2ª A diferencia de la AEPD, otras entidades públicas sí que han entendido mejor, y han proporcionado algo más que la opaca AEPD. Por mencionar algunas relevantes 2.1. ADIF y ADIF-AV registró 248 en 2023 y 161 en 2022 por la Ley 2/2023 según se publica en https://cita.es/presidencia-transparencia-informantes-adif.pdf 2.2. El Ministerio de Defensa registró 93 según https://cita.es/presidencia- transparencia-informantes-defensa.pdf 2.3. El Ministerio de Igualdad registró 33 según https://cita.es/presidencia- transparencia-informantes-igualdad.pdf Por qué la AEPD ignora por completo nuestra solicitud de datos, por supuesto, bien anonimizados, pero estadísticamente relevantes, sobre la aplicación de la Ley 2/2023 más allá de su canal interno, también por quienes, sin ser empleados de la AEPD pueden recibir protección por esa Ley 2/2023 bien por solicitarlo, o bien “de oficio”, y muy especialmente, por la competencia sancionadora de la AEPD afectada por el artículo 38 apartado 5 expresamente citado en nuestra solicitud de transparencia? El secretismo y la opacidad de la AEPD sobre el ejercicio del derecho de los informantes o de los denunciantes que invocan el art. 38 de la Ley 2/2023, es gravísimo, porque promueve la censura encubridora de muchas infracciones normativas y corrupción (…).» 4.Con fecha 18 de marzo de 2024, el Consejo trasladó la reclamación a la entidad requerida solicitando la remisión de la copia completa del expediente derivado de la solicitud de acceso a la información y el informe con las alegaciones que considere pertinentes. El 16 de abril de 2024 tuvo entrada en este Consejo escrito en el que se señala: «En respuesta a estas afirmaciones, hay que partir de la obligación de preservar la necesaria confidencialidad del Libro-registro de las informaciones recibidas y de las investigaciones internas a que hayan dado lugar: El artículo 25.1 de la Ley 2/2023, de 20 de febrero, bajo la denominación “Información sobre los canales interno y externo de información” dispone que:“Los sujetos comprendidos dentro del ámbito de aplicación de esta ley proporcionarán la información adecuada de forma clara y fácilmente accesible, sobre el uso de todo canal interno de información que hayan implantado, así como sobre los principios esenciales del procedimiento de gestión. En caso de contar con una página web, dicha información deberá constar en la página de inicio, en una sección separada y fácilmente identificable.” Por su parte, el artículo 26 de la citada Ley, bajo la denominación “Registro de Informaciones” determina que : “1. Todos los sujetos obligados, de acuerdo con lo dispuesto en esta ley, a disponer de un canal interno de informaciones, con independencia de que formen parte del sector público o del sector privado, deberán contar con un libro-registro de las informaciones recibidas y de las investigaciones internas a que hayan dado lugar, garantizando, en todo caso, los requisitos de confidencialidad previstos en esta ley. Este registro no será público y únicamente a petición razonada de la Autoridad judicial competente, mediante auto, y en el marco de un procedimiento judicial y bajo la tutela de aquella, podrá accederse total o parcialmente al contenido del referido registro. 2. Los datos personales relativos a las informaciones recibidas y a las investigaciones internas a que se refiere el apartado anterior solo se conservarán durante el período que sea necesario y proporcionado a efectos de cumplir con esta ley. En particular, se tendrá en cuenta lo previsto en los apartados 3 y 4 del artículo 32. En ningún caso podrán conservarse los datos por un período superior a diez años”. De los preceptos que se acaban de citar se extrae la conclusión de que, en relación con la “información generada” por la aplicación de la Ley 2/2023, podemos distinguir dos espacios perfectamente diferenciados, que responden a finalidades específicas y que son acreedores de distintos limites o garantías. Así, en primer lugar, existe un espacio destinado a proporcionar información sobre el uso del Canal Interno de Información que, en el caso de la AEPD, se publica en su página web y que de modo expreso se le ha facilitado al hoy reclamante. Esto supone que en la resolución emitida se entregó el contenido completo al que la Ley obliga, que se circunscribe al uso del canal. Y hay un segundo espacio, que es el referido al libro-registro que se sitúa al abrigo de la confidencialidad y no publicidad. En este segundo ámbito, la Ley es taxativa y establece que la única posibilidad de acceso al libro-registro se otorga tras la petición razonada de una autoridad judicial en el marco de un procedimiento judicial. Dado que, en el presente caso, no se ha iniciado un procedimiento de esta clase, y no hay solicitud alguna por parte del juez, está plenamente justificada la actuación de la AEPD al no entregar los datos requeridos por el solicitante, ya que en caso contrario se habría producido una vulneración de la ley, al extender el acceso a los datos del registro que obra en poder de la Agencia más allá de lo que la norma permite de forma expresa. A lo que hay que añadir que, en la propia LTAIBG, se establecen límites en cuanto al acceso a la información, no sólo referidos a la protección de datos personales (art. 15), sino también al secreto profesional (art. 14.1.j) y a la garantía de confidencialidad (art. 14.1.k), que resultarían de aplicación al presente supuesto. En conclusión, a juicio de esta Agencia Española de Protección de Datos, la petición del solicitante en los términos planteados supondría vulnerar la confidencialidad que requiere la información obtenida e ir en contra de los preceptos recogidos en la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. TERCERA.- El reclamante compara la resolución de la AEPD con la de otros organismos que, de nuevo, en su opinión, “han entendido mejor, y han proporcionado algo más que la opaca AEPD”, como son ADIF, el Ministerio de Defensa o el Ministerio de Igualdad, las cuales satisfacen en mayor medida sus peticiones facilitándole el número de comunicaciones recibidas. En respuesta a esta información, la AEPD señala que, en cuanto a información sobre datos estadísticos y dación de cuentas de actividad, la Ley 2/2023 establece, en su disposición adicional tercera, esta obligación solo respecto de la “Autoridad Independiente de Protección del Informante, A.A.I.”, pero no respecto de los canales internos de cada una de las autoridades obligadas: (…) Con base en lo anterior, teniendo en cuenta que no hay una previsión legal de que los canales internos de cada organismo público publiquen datos estadísticos y, en particular, en cumplimiento de lo previsto en el artículo 26 citado de que los registros de cada canal interno no son públicos, y que únicamente serán accesibles -total o parcialmente- a la autoridad judicial competente que lo solicite, en el curso de un procedimiento judicial, la AEPD no puede facilitar más información, ni total ni parcial, sobre los registros referentes a las informaciones recibidas, a través de su canal interno, ni sobre el resultado de lo actuado.» II.FUNDAMENTOS JURÍDICOS 1.De conformidad con lo dispuesto en el artículo 38.2.c) de la LTAIBG y en el artículo 8 del Real Decreto 919/2014, de 31 de octubre, por el que se aprueba el Estatuto del Consejo de Transparencia y Buen Gobierno , el presidente de esta Autoridad Administrativa Independiente es competente para resolver las reclamaciones que, en aplicación del artículo 24 de la LTAIBG , se presenten frente a las resoluciones expresas o presuntas recaídas en materia de acceso a la información. 2.La LTAIBG reconoce en su artículo 12 el derecho de todas las personas a acceder a la información pública, entendiendo por tal, según dispone en el artículo 13, «los contenidos o documentos, cualquiera que sea su formato o soporte, que obren en poder de alguno de los sujetos incluidos en el ámbito de aplicación de este título y que hayan sido elaborados o adquiridos en el ejercicio de sus funciones». De este modo, la LTAIBG delimita el ámbito material del derecho a partir de un concepto amplio de información, que abarca tanto documentos como contenidos específicos y se extiende a todo tipo de “formato o soporte”. Al mismo tiempo, acota su alcance, exigiendo la concurrencia de dos requisitos que determinan la naturaleza “pública” de las informaciones: (a) que se encuentren “en poder” de algunode los sujetos obligados, y (b) que hayan sido elaboradas u obtenidas “en el ejercicio de sus funciones”. Cuando se dan estos presupuestos, el órgano competente debe conceder el acceso a la información solicitada, salvo que justifique de manera clara y suficiente la concurrencia de una causa de inadmisión o la aplicación de un límite legal. 3.La presente reclamación trae causa de una solicitud, formulada en los términos que figuran en los antecedentes, en la que se pide el acceso a información sobre la implantación del canal del denunciante en la AEPD; en particular, sobre el propio procedimiento para la gestión de información de la Ley 2/2023, de 20 de febrero, así como todos los datos y referencias sobre invocaciones, citas, procedimientos y resoluciones relativas a la aplicación de la citada ley. La AEPD dictó resolución (acumulando diversas solicitudes de acceso de contenido idéntico) en la que acuerda conceder el acceso en lo concerniente al procedimiento para la gestión de informaciones y denuncias a través del canal del denunciante, pero deniega el acceso al resto de lo solicitado al considerar que se produce un daño a la confidencialidad de la información —así declarada por la propia Ley 2/2023, de 20 de febrero— y que no se constata la existencia de un interés privado o público prevalente, resultando de aplicación los límites previstos en el artículo 14.1.j) y k) y en el artículo 15.3 LTAIBG. En este sentido añade que la Ley de protección del informante solo impone la obligación de publicar información estadística a la Autoridad Independiente de Protección del Informante, pero no a los organismos públicos, señalando que, de acuerdo con lo establecido en la propia Ley 2/2023 en su artículo 26, los registros de cada canal interno no son públicos y únicamente serán accesibles (total o parcialmente) a instancia de autoridad judicial competente (mediante auto) en el marco de un procedimiento judicial. 4.Conviene precisar, en primer lugar, que el objeto deeste procedimiento de reclamación se ciñe a informaciones estadísticassobre el uso del canal de denuncias de la AEPD. Así se desprende de la solicitud de acceso inicial en la medida en que se piden «[t]odos los datos y referencias disponibles por la AEPD sobre invocaciones, citas, procedimientos y resoluciones relativas a la Ley 2/2023, de 20 de febrero, (…)»así como «todos los datos, por supuesto, bien anonimizados, sobre su aplicación hasta la fecha más reciente». Aun cuando el reclamante aporta profusa documentación consistente en escritos y denuncias presentadas ante otros organismos que puede inducir a cierta confusión, cabe identificar perfectamente el objeto de la solicitud de acceso y de la reclamación interpuesta. La AEPD parece sin embargo entender que lo pretendido es el acceso al contenido del libro-registro cuya existencia obligatoria establece el artículo 26 de la Ley 2/2023, de 20 de febrero, en los siguientes términos: «[t]odos los sujetos obligados, de acuerdo con lo dispuesto en esta ley, a disponer de un canal interno de informaciones, con independencia de que formen parte del sector público o del sector privado, deberán contar con un libro-registro de las informaciones recibidas y de las investigaciones internas a que hayan dado lugar, garantizando, en todo caso, los requisitos de confidencialidad previstos en esta ley». En este sentido, para denegar el acceso, invoca el límite de la protección de los datos de carácter personal, los límites de las letras j) y k) del artículo 14.1 LTAIBG y la cláusula legal de confidencialidad de los libros-registro previstos en la Ley 2/2023. Ciertamente, resulta indiscutible que el contenido material de este registro está sujeto a un régimen de confidencialidad establecido en el propio artículo 26 de la Ley 2/2023, en cuyo apartado segundo se establece que «no será público y únicamente a petición razonada de la Autoridad judicial competente, mediante auto, y en el marco de un procedimiento judicial y bajo la tutela de aquella, podrá accederse total o parcialmente al contenido del referido registro». Ahora bien, como se ha expuesto, lo solicitado no son los contenidos materiales del libro-registro sino determinados datos e informaciones estadísticas sobre el uso del canal y la aplicación de la ley. Este tipo de informaciones no contienen datos de carácter personal, por lo que no les resulta aplicable lo previsto en el artículo 15 LTAIBG, y tampoco cabe entender que su conocimiento público afecte a los bienes protegidos por los límites de las letras j) y k) del artículo 14. LTAIBG (el secreto profesional y la garantía de la confidencialidad o el secreto requerido en procesos de toma de decisión, respectivamente). En cuanto a la cláusula de confidencialidad del artículo 26 de la Ley 2/2023, aun partiendo de que los datos estadísticos solicitados estén incorporados al libro- registro de la institución, de ella no cabe deducir una prohibición de acceso a cualquier información estadística sobre la aplicación de la Ley por un sujeto obligado, pues su enunciado ha de ser interpretado atendiendo a la finalidad perseguida y de modo congruente con el resto de las normas que integran el ordenamiento. En este sentido, la finalidad del precepto no es otra que la de garantizar la confidencialidad de las informaciones facilitadas por las personas informantes así como la propia identidad de éstas personas y la de las demás afectadas. Por consiguiente, el fin perseguido por la norma no impide facilitar datos o estadísticas que no revelen los contenidos de las informaciones comunicadas ni la identidad de informantes y afectados. Por otra parte, el mencionado precepto no puede ser interpretado aisladamente, sino teniendo en cuenta el sistema jurídico al que pertenece y las normas de igual o superior rango que lo integran, entre las que se encuentran, en lo que ahora importa, las contenidas en la LTAIBG que regulan el derecho de acceso a la información pública, y también las disposiciones del Convenio del Consejo de Europa sobre el acceso a los documentos públicos, hecho en Tromsø el 18 de junio de 2009, que forma parte del ordenamiento español desde el 1 de enero de 2024. A juicio de este Consejo, una interpretación teleológica y sistemática del contenido del artículo 26 de la Ley 2/2023 no conduce a concluir que dicho precepto excluya la posibilidad de ejercer el derecho de acceso a la información pública para obtener información estadística sobre la aplicación de la ley por un sujeto obligado; antes al contrario, atendiendo a su finalidad e interpretado en conexión con las demás normas concurrentes, solo puede ser entendido en un sentido que posibilita la transparencia, la rendición de cuentas y el ejercicio del derecho de acceso a la información pública en relación con aquellos contenidos que no tienen carácter confidencial. Y la mejor prueba de que este entendimiento es el que acoge nuestro ordenamiento es que la propia Ley 2/2023, establece en su disposición adicional que la Autoridad Independiente de Protección del Informante, A.A.I. incluirá en su Memoria anual «el número y naturaleza de las comunicaciones presentadas y también las que fueron objeto de investigación y su resultado, especificándose las sugerencias o recomendaciones formuladas a la Autoridad Independiente de Protección del Informante, A.A.I. y el número de procedimientos abiertos.». Y, añade que la citada Autoridad «deberá disponer de los siguientes datos estadísticos: a) número de comunicaciones recibidas por las autoridades competentes; b) número de investigaciones y actuaciones judiciales iniciadas a raíz de dichas comunicaciones, y su resultado, y c) estimación del perjuicio económico y los importes recuperados tras las investigaciones y actuaciones judiciales relacionadas con las infracciones, si se hubieran podido obtener» para cumplir con la obligación impuesta por el artículo 27 de la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, sobre presentación anual a la Comisión Europea de estadísticas para que ésta, a su vez, elabore un informe evaluando la repercusión de las normas nacionales de transposición de la presente Directiva y lo presente al Parlamento Europeo y al Consejo. Y estas obligaciones legales de publicidad de los datos estadísticos sobre la aplicación de la ley son asimismo suficientemente expresivas del reconocimiento por el legislador europeo y español de la existencia de un interés público en conocer el funcionamiento de la ley y cómo se está aplicando por los sujetos obligados, de modo que no cabe sostener que el acceso a la información solicitada carezca de un interés público que lo justifique. 5. En consecuencia, por las razones expuestas, se ha de estimar la reclamación y reconocer el derecho de acceso del reclamante a los datos estadísticos solicitados. III.RESOLUCIÓN En atención a los antecedentes y fundamentos jurídicos descritos, procede PRIMERO: ESTIMAR la reclamación interpuesta por SEGUNDO: INSTAR a la AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS a que, en el plazo máximo de diez días, proporcione al reclamante la siguiente información: •Los datos y referencias disponibles por la AEPD sobre invocaciones, citas, procedimientos y resoluciones relativas a la Ley 2/2023, de 20 de febrero, normativas y de lucha contra la corrupción y todos los datos sobre su aplicación hasta la fecha más reciente. TERCERO: INSTAR a la AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS a que, en el mismo plazo máximo, remita a este Consejo copia de la información entregada. De acuerdo con el artículo 23.1 , de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, la reclamación prevista en el artículo 24 de la misma tiene la consideración de sustitutiva de los recursos administrativos, de conformidad con lo dispuesto en el artículo 112.2 de la Ley 39/2015, de 1 de octubre , de Procedimiento Administrativo Común de las Administraciones Públicas. Contra la presente resolución, que pone fin a la vía administrativa, se podrá interponer recurso contencioso-administrativo, en el plazo de dos meses, directamente ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, de conformidad con lo previsto en el apartado quinto de la Disposición adicional cuarta de la Ley 29/1998, de 13 de julio, Reguladora de la Jurisdicción Contencioso-administrativa . EL PRESIDENTE DEL CTBG Fdo.: José Luis Rodríguez Álvarez