Solicitud de informe del CCN-CERT sobre software Pegasus y resolución del CTBG estimatoria por motivos formales

Resolución reclamación art.24 LTAIBG I. ANTECEDENTES 1. Según se desprende de la documentación obrante en el expediente, el reclamante solicitó el 4 de mayo 2022 al MINISTERIO DE DEFENSA, al amparo de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (en adelante, LTAIBG), la siguiente información: «En relación a las diversas noticias en la que se indica que el CCN-CERT habría elaborado un documento donde se indica cómo detectar el software de espionaje Pegasus, se solicita dicho informe, el que referencian las noticias como CCN-CERT IT- 48/21. En las noticias se indica que este informe ha sido elaborado para teléfonos iPhone, en el caso de que exista otro informe similar para teléfonos Android, también se solicita dicho informe.» S/REF:001-068441 N/REF: R-0547-2022 / 100-006992 [Expte. 154-2022] Fecha:La de firma Dirección: Administración/Organismo: MINISTERIO DE DEFENSA Información solicitada: Informe CCN-CERT para detección del software de espionaje Pegasus Documento firmado electrónicamente desde la plataforma esPublico Gestiona | Página 1 de 8 R CTBG Número: 2023-0059 Fecha: 06/02/2023 2. No consta respuesta de la Administración. 3. Mediante escrito registrado el 15 de junio 2022, el solicitante interpuso una reclamación ante el Consejo de Transparencia y Buen Gobierno (en adelante, CTBG) en aplicación del artículo 24 de la LTAIBG con el siguiente contenido: «Con fecha 4 de mayo de 2022 realicé la solicitud de acceso que adjunto. Habiendo transcurrido el plazo legalmente previsto para emitir resolución al respecto, entiendo que ha sido desestimada por silencio y presento esta reclamación con la finalidad de que se estime la petición de acceso y se entregue la documentación solicitada.» 4. Con fecha 15 de junio de 2022, el Consejo de Transparencia y Buen Gobierno remitió la reclamación al MINISTERIO DE DEFENSA al objeto de que se formulasen las alegaciones que se considerasen oportunas. El 8 de julio de 2022 se recibió respuesta informando de que se había procedido a contestar la solicitud, adjuntando la resolución emitida, con el siguiente contenido: «l. La disposición adicional primera, apartado 2 LTAIBG prescribe expresamente que "se regirán por su normativa específica, y por esta Ley con carácter supletorio, aquellas materias que tengan previsto un régimen jurídico específico de acceso a la información". II. El CNI se rige por las disposiciones contempladas en la Ley 11/2002, de 6 de mayo, reguladora del CNI (LCNI). El artículo 5.1 LCNI dispone que "las actividades del CNI, así como su organización y estructura interna, medios y procedimientos, personal, instalaciones, bases y centros de datos, fuentes de información y las informaciones o datos que puedan conducir al conocimiento de las anteriores materias, constituyen información clasificada, con el grado de secreto, de acuerdo con lo dispuesto en la legislación reguladora de los secretos oficiales y en los Acuerdos internacionales o, en su caso, con el mayor nivel de clasificación que se contemple en dicha legislación y en los mencionados Acuerdos". III. El Centro Criptológico Nacional (CCN) está adscrito al CNI, razón por la cual le son de aplicación las anteriores previsiones, en el sentido de que el CNI se rige por su régimen jurídico específico de acceso a la información, constituido por la Ley 9/1968, Documento firmado electrónicamente desde la plataforma esPublico Gestiona | Página 2 de 8 R CTBG Número: 2023-0059 Fecha: 06/02/2023 de 5 de abril, sobre secretos oficiales, y su normativa de desarrollo, así como por los Tratados internacionales que regulan el intercambio y la protección de información clasificada. Por ello, no es posible facilitar información alguna sobre las cuestiones planteadas, habida cuenta de la clasificación legal expresa como secreto de todo lo relativo sus actividades, medios, estructura interna, procedimientos, personal, relación puestos de trabajo, etc. y, dado que el régimen jurídico propio que resulta aplicable a dicho CCN no contempla un derecho de acceso a la citada información por parte del interesado. IV. Por otro lado, el Consejo de Transparencia y Buen Gobierno (CTBG) avala expresamente la anterior interpretación en su criterio interpretativo Cl/008/2015, de 12 de noviembre, "Aplicación de la disposición adicional primera de la Ley 19/2013 sobre regulaciones especiales del derecho de acceso a la información pública", donde señala lo siguiente en su apartado V: "V. Hay que tener en cuenta, finalmente, que la excepción prevista en la LTAIBG no realiza una enumeración taxativa de los procedimientos o áreas de actuación que cuentan con regímenes específicos, para no provocar, por ello, lagunas o introducir rigideces indebidas en el ordenamiento jurídico. Los regímenes mencionados en el apartado tres de su disposición adicional primera -el régimen específico de acceso a la legislación medioambiental, contenido en la Ley 27/2006, de 18 de julio, y el previsto en la Ley 37/2007, de 16 de noviembre, sobre reutilización de la información del sector público- lo son a título de ejemplo y admiten la consideración de otros sectores, entre ellos estaría el contenido en los artículos 23 a 32 del Real decreto 1708/2011,de 18 de noviembre, que establece el Sistema de Archivos de la Administración general del Estado o las disposiciones que, en concreta normativa específica, prevean la reserva en el acceso cuando se den determinados condicionantes (secretos ofíciales, secreto estadístico) y algunos otros". V. Finalmente, fiel reflejo de las singularidades específicas que presenta el CNI, derivadas de la clasificación como secreto de sus actividades, medios y procedimientos, la disposición adicional decimoctava de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, determina expresamente que el CNI no se regirá de manera general por lo prescrito en dicha Ley para todo el sector público, sino que, incluso, en su actuación administrativa se regirá por su normativa específica. Documento firmado electrónicamente desde la plataforma esPublico Gestiona | Página 3 de 8 RESOLUCIÓN En consecuencia, con fundamento en lo dispuesto en el apartado 2 de la disposición adicional primera LTAIBG, se inadmite a trámite la solicitud de acceso a la información pública que ha quedado identificada en el antecedente primero de esta resolución, al no resultar de aplicación el régimen jurídico de acceso a la información dispuesto en la LTAIBG, ni siquiera con carácter supletorio, habida cuenta de la general clasificación legal como secreto de todo lo relativo a las actividades, medios, procedimientos, etc. del CN 1 y, en consecuencia, del acceso a los mismos.» 5. El 12 de julio de 2022, se concedió audiencia al reclamante para que presentase las alegaciones que estimara pertinentes. El 19 de julio de 2022, se recibió un escrito con el siguiente contenido: «Respecto a las alegaciones de contrario por las que pone de manifiesto que al CCN, institución adscrita al CNI, no le sería de aplicación el régimen del derecho de acceso de la Ley 19/2013, indicar que este Consejo de la Transparencia ya ha tenido ocasión de pronunciarse a este respecto, afirmando, en su Resolución 0425/2017 y respecto del CNI que: "Por lo tanto, al formar parte de la Administración General del Estado y no estar expresamente excluido del ámbito de aplicación de la LTAIBG, a juicio de este Consejo de Transparencia y Buen Gobierno debe cumplir con sus obligaciones, tanto en lo que respecta a la publicidad activa como al ejercicio del derecho de acceso a la información pública...". Por otro lado, el CCN está regulado por el Real Decreto 421/2004, de 12 de marzo, por el que se regula el Centro Criptológico Nacional, indicándose en su artículo 2.a como funciones del CCN la de elaborar y difundir instrucciones, guías, recomendaciones, etc. para garantizar la seguridad de los sistemas de las tecnologías de la información. Es precisamente a una de esas guías a las que se está pidiendo el acceso; esta parte entiende que el CCN debería haber hecho público (o al menos una versión especial para publicar) estos documentos o guías que permiten a cualquier ciudadano, empresa o Administración conocer si está o ha podido ser espiado con Pegasus, al igual que el CCN publica documentos sobre seguridad para Microsoft Edge (CCNCERT BP/26), para Oracle Database 19C (CCN-CERT-BP/22) o sobre Corpus Ransomware (CCN-CERT-ID-08/22). Documento firmado electrónicamente desde la plataforma esPublico Gestiona | Página 4 de 8 Corresponde igualmente al CCN, de conformidad con lo dispuesto en el artículo tercero del Decreto 242/1969, de 20 de febrero, por el que se desarrollan las disposiciones de la Ley 9/1968, de 5 de abril sobre Secretos Oficiales, justificar de qué forma conocer el contenido del documento al que se pide acceso pudiera "comprometer los Intereses fundamentales de la Nación en materia referente a la defensa nacional, la paz exterior o el orden constitucional". Por todo lo anterior, esta parte considera que se debería estimar esta reclamación y o bien facilitar el documento expresamente solicitado o bien una versión con las palabras o informaciones que pudiera afectar a la clasificación de secreto del contenido del documento tachadas.» II. FUNDAMENTOS JURÍDICOS 1. De conformidad con lo dispuesto en el artículo 38.2.c) de la LTAIBG y en el artículo 8 del Real Decreto 919/2014, de 31 de octubre, por el que se aprueba el Estatuto del Consejo de Transparencia y Buen Gobierno , el Presidente de esta Autoridad Administrativa Independiente es competente para resolver las reclamaciones que, en aplicación del artículo 24 de la LTAIBG , se presenten frente a las resoluciones expresas o presuntas recaídas en materia de acceso a la información. 2. La LTAIBG reconoce en su artículo 12 el derecho de todas las personas a acceder a la información pública, entendiendo por tal, según dispone en el artículo 13, «los contenidos o documentos, cualquiera que sea su formato o soporte, que obren en poder de alguno de los sujetos incluidos en el ámbito de aplicación de este título y que hayan sido elaborados o adquiridos en el ejercicio de sus funciones». De este modo, la LTAIBG delimita el ámbito material del derecho a partir de un concepto amplio de información, que abarca tanto documentos como contenidos específicos y se extiende a todo tipo de “formato o soporte”. Al mismo tiempo, acota su alcance, exigiendo la concurrencia de dos requisitos que determinan la naturaleza “pública” de las informaciones: (a) que se encuentren “en poder” de alguno de los Documento firmado electrónicamente desde la plataforma esPublico Gestiona | Página 5 de 8 sujetos obligados, y (b) que hayan sido elaboradas u obtenidas “en el ejercicio de sus funciones”. Cuando se dan estos presupuestos, el órgano competente debe conceder el acceso a la información solicitada, salvo que justifique de manera clara y suficiente la concurrencia de una causa de inadmisión o la aplicación de un límite legal. 3. La presente reclamación trae causa de una solicitud, formulada en los términos que figuran en los antecedentes, en la que se pide el acceso al informe que el Centro Criptológico Nacional habría elaborado respecto cómo detectar el software de espionaje Pegasus. El Ministerio requerido no contestó en plazo, por lo que la solicitud se entendió desestimada por silencio y expedita la vía de la reclamación del artículo 24 LTAIBG. Con posterioridad, en fase de alegaciones en este procedimiento, el Ministerio requerido, tras poner de manifiesto ciertas dificultades que habrían dilatado el proceso de tramitación de la solicitud, derivadas del carácter clasificado de la información solicitada, aporta la resolución de la solicitud dictada en su día en la que, en resumen, se acuerda su inadmisión por tratarse de información clasificada con arreglo a la Ley 11/2002, de 6 de mayo, reguladora del CNI, cuya regulación se aplica con carácter preferente (Disposición adicional primera de la LTAIBG). 4. Antes de entrar a examinar el fondo de asunto, procede recordar que el artículo 20.1 LTAIBG dispone que «[l] a resolución en la que se conceda o deniegue el acceso deberá notificarse al solicitante y a los terceros afectados que así lo hayan solicitado en el plazo máximo de un mes desde la recepción de la solicitud por el órgano competente para resolver. Este plazo podrá ampliarse por otro mes en el caso de que el volumen o la complejidad de la información que se solicita así lo hagan necesario y previa notificación al solicitante». En el presente caso, el órgano competente no respondió al solicitante en el plazo máximo legalmente establecido, sin que conste causa o razón suficiente que lo justifique —pues la alusión a que el carácter clasificado con el grado de secreto de la información solicitada como circunstancia que ha dificultado y dilatado el proceso de tramitación de la solicitud no viene acreditada—. A la vista de ello, es obligado recordar a la Administración que la observancia del plazo máximo de contestación es un elemento esencial del contenido del derecho constitucional de acceso a la información pública, tal y como el propio Legislador se encargó de subrayar en el Documento firmado electrónicamente desde la plataforma esPublico Gestiona | Página 6 de 8 preámbulo de la LTAIBG al manifestar que «con el objeto de facilitar el ejercicio del derecho de acceso a la información pública la Ley establece un procedimiento ágil, con un breve plazo de respuesta». 5. No obstante lo anterior, como ya se ha expuesto, en trámite de alegaciones en este procedimiento se ha aportado la resolución en la que se acuerda inadmitir la solicitud como consecuencia, precisamente, de su carácter clasificado. A los efectos de verificar la conformidad a derecho de la restricción acordada es necesario partir de lo previsto en el artículo 1 de la Ley 9/1968 de 5 de abril, sobre secretos oficiales según el cual «[l]os Órganos del Estado estarán sometidos en su actividad al principio de publicidad, de acuerdo con las normas que rijan su actuación, salvo los casos en que por la naturaleza de la materia sea ésta declarada expresamente “clasificada”, cuyo secreto o limitado conocimiento queda amparado por la presente Ley», disponiendo, a continuación, en el segundo apartado que «[t]endrán carácter secreto, sin necesidad de previa clasificación, las materias así declaradas por Ley». Por su parte, la Ley 11/2002, de 6 de mayo, reguladora del Centro Nacional de Inteligencia, invocada por el Departamento ministerial en su resolución dispone, en el artículo 5.1 que «[l]as actividades del Centro Nacional de Inteligencia así como su organización y estructura interna, medios y procedimientos, personal, instalaciones, bases y centros de datos, fuentes de información y las informaciones o datos que puedan conducir al conocimiento de las anteriores materias constituyen información clasificada, con el grado de secreto, de acuerdo con lo dispuesto en la legislación reguladora de los secretos oficiales y en los Acuerdos internacionales o, en su caso, con el mayor nivel de clasificación que se contemple en dicha legislación y en los mencionados Acuerdos». A la vista del tenor de las disposiciones reproducidas, resulta obligado concluir que la información solicitada, en la medida en que versa sobre actividades realizadas por el CNI, constituye información que está legalmente clasificada con el grado de secreto y, por consiguiente, este Consejo carece de facultades para disponer que se conceda el acceso a la misma. En idéntico sentido, y ante reclamaciones similares, se ha pronunciado ya este Consejo en las resoluciones R CTBG 2022-510, de 20 de diciembre y R CTBG 2023-056, de 3 de febrero. 6. Sin perjuicio de lo expuesto, no cabe desconocer que la respuesta a la solicitud de acceso se ha proporcionado cuando había transcurrido ampliamente el plazo legal para resolver. En consecuencia, en concordancia con lo acordado en supuestos similares, Documento firmado electrónicamente desde la plataforma esPublico Gestiona | Página 7 de 8 procede estimar la reclamación por razones formales al haberse vulnerado el derecho del reclamante a obtener una resolución (estimatoria o desestimatoria) en el plazo máximo legalmente establecido. III. RESOLUCIÓN En atención a los antecedentes y fundamentos jurídicos descritos, procede ESTIMAR por motivos formales la reclamación presentada por frente al MINISTERIO DE DEFENSA, sin requerir trámites adicionales. De acuerdo con el artículo 23.1 , de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, la reclamación prevista en el artículo 24 de la misma tiene la consideración de sustitutiva de los recursos administrativos, de conformidad con lo dispuesto en el artículo 112.2 de la Ley 39/2015, de 1 de octubre , de Procedimiento Administrativo Común de las Administraciones Públicas. Contra la presente resolución, que pone fin a la vía administrativa, se podrá interponer recurso contencioso-administrativo, en el plazo de dos meses, ante los Juzgados Centrales de lo Contencioso-administrativo de Madrid, de conformidad con lo previsto en el artículo 9.1 c) de la Ley 29/1998, de 13 de julio, Reguladora de la Jurisdicción Contencioso- administrativa . EL PRESIDENTE DEL CTBG Fdo.: José Luis Rodríguez Álvarez Documento firmado electrónicamente desde la plataforma esPublico Gestiona | Página 8 de 8