Reclamación de acceso a la evaluación de impacto del sistema biométrico de AENA estimada parcialmente

Resolución reclamación art. 24 LTAIBG I. ANTECEDENTES 1. Según se desprende de la documentación obrante en el expediente, la Fundación Éticas Data Society, ahora reclamante, solicitó el 23 de junio 2022 a AENA SME, S.A. , al amparo de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (en adelante, LTAIBG), la siguiente información: «En relación con el sistema biométrico implementado por Aena SME, S.A. (…) solicitamos: - Evaluación de impacto (pudiendo eliminarse, en su caso, los elementos que tengan carácter confidencial). - El registro de actividades de tratamiento de Aena SME, S.A que incluya los tratamientos objeto de la presente solicitud. S/REF: 2022/IP000038 N/REF: R-0749-2022 / 100-007267 [Expte. 1014-2023] Fecha: La de firma. Dirección: Administración/Organismo: AENA, SME S.A. Información solicitada: Evaluación de impacto sistema biométrico. R CTBG Número: 2023-0246 Fecha: 13/04/2023 – Cualquier consulta realizada a la Agencia Española de Protección de Datos relacionada con el sistema biométrico». 2. La sociedad AENA con fecha 21 de julio de 2022 contestó a la solicitante lo siguiente: «(…) se envía en el fichero excel adjunto, la información relativa al registro de actividades de tratamiento del proyecto biométrico de Aena, S.M.E., S.A. (…) Respecto a las otras dos peticiones referidas a la evaluación de impacto, así como cualquier consulta realizada a la Agencia Española de Protección de Datos relacionada con el sistema biométrico, le comunico que se deniega el acceso a la citada información, conforme a lo dispuesto en el artículo 14.1. h) y j) de la Ley 19/2013, que establece que el derecho de acceso podrá ser limitado cuando acceder a la información suponga un perjuicio para los intereses económicos y comerciales y el secreto profesional y la propiedad intelectual e industrial, respectivamente, dado que supone un perjuicio para una Sociedad Mercantil Cotizada como es Aena S,M,E, S.A., así como para aquellos sujetos privados cuya información económica o comercial sensible esté en poder de Aena como resultado de las relaciones jurídicas nacidas de la colaboración o trabajos conjuntos en el marco de la implementación del servicio objeto de esta consulta, además de la implicación de otras entidades en la puesta en marcha de este sistema de reconocimiento facial, con las que Aena guarda el correspondiente deber de confidencialidad. En concreto, las consultas realizadas por la Agencia Estatal de Protección de Datos y respondidas por Aena y viceversa, comprenden detalles cuya difusión contravendría los intereses de Aena en tanto que de ser conocidas por sus competidores estos podrían obtener una posición de ventaja. La difusión de la información solicitada divulgaría conocimientos exclusivos que se han obtenido tras años de trabajo y debilitaría, de forma razonable y no meramente hipotética, la posición de Aena en el mercado, en tanto que produciría un detrimento de su competitividad causando un perjuicio real. Adicionalmente, sería de aplicación el artículo 14.1. d) de la Ley 19/2013 que establece como límite al derecho de acceso la seguridad pública, dado que es necesario proteger la información relacionada con el sistema de reconocimiento facial en tanto que contiene datos sensibles al incidir en los sistemas de seguridad de Aena. Los aeropuertos son considerados como infraestructuras críticas; revelar cualquier información sobre los sistemas informáticos o técnicos implantados en los distintos puntos a través de los cuales deben transitar los pasajeros puede impactar en la R CTBG Número: 2023-0246 Fecha: 13/04/2023 vulnerabilidad de estos controles. Por tanto, también por dicha razón, cualquier información relacionada con el sistema biométrico debe permanecer en un ámbito reservado. En consecuencia, ni la evaluación de impacto ni las consultas realizadas a la Agencia pueden ser objeto de difusión. Estos documentos contienen información sobre estrategias, productos novedosos, soluciones técnicas de alto valor empresarial que serían considerados inestimables por los competidores de Aena». 3. Mediante escrito registrado el 12 de agosto de 2022, la solicitante interpuso una reclamación ante el Consejo de Transparencia y Buen Gobierno (en adelante, CTBG) en aplicación del artículo 24 de la LTAIBG con el siguiente contenido: «(…) dejando a un lado lo referente a la solicitud de las consultas realizadas a la Agencia Española de Protección de Datos, en lo que se refiere la “Evaluación de Impacto” solicitada, se deniega el acceso por la Fundación alegando que dicho acceso supondría un perjuicio para los intereses económicos y comerciales y el secreto profesional y la propiedad intelectual e industrial. La Fundación discrepa de cuanto arriba indicado con respecto a la Evaluación de Impacto y considera que Aena SME, S.A. está obligada a atender la solicitud el acceso a la “Evaluación de Impacto” por los motivos que se detallan a continuación. - Aena SME, S.A. está sometida al régimen de la LTBG (artículo 2.1 g). Asimismo, la Evaluación de Impacto se encuentra amparada bajo el concepto legal de información pública previsto en el artículo 13 LTBG (“contenidos o documentos, cualquiera que sea su formato o soporte, que obren en poder de alguno de los sujetos incluidos en el ámbito de aplicación de este título y que hayan sido elaborados o adquiridos en el ejercicio de sus funciones”). - La Fundación, en línea con lo indicado en el Informe de la Agencia Española de Protección de Datos referenciado en el presente escrito, ha pedido que se eliminara de la Evaluación de Impacto solicitada cualquier información de carácter confidencial. En este sentido, no debe olvidarse que el Artículo 16 “Acceso parcial” de la LTBG establece lo siguiente: “En los casos en que la aplicación de alguno de los límites previstos en el artículo 14 no afecte a la totalidad de la información, se concederá el acceso parcial previa omisión de la información afectada por el límite salvo que de ello resulte una información distorsionada o que carezca de sentido. En este caso, deberá indicarse al solicitante que parte de la información ha sido omitida”. - La propia LTBG exige que cualquier limitación al derecho de acceso se haga de modo motivado, intentándose siempre salvaguardar el acceso parcial, previa omisión de la información afectada (artículo 16) u omitiendo en su caso (artículo 15 LTBG) los datos personales implicados (para la Fundación dichas omisiones son indiferentes, pues su objetivo no es conocer tales datos). En este sentido, en la propia solicitud de la Fundación se indicaba “pudiendo eliminarse, en su caso, los elementos que tengan carácter confidencial”. - La propia Agencia Española de Protección de Datos recomienda en su informe “Gestión del riesgo y evaluación de impacto en tratamientos de datos personales” (página 148) que se adjunta como Documento 5 LA PUBLICACIÓN de aquellos elementos que derivan de la realización de la EVALUACIÓN DE IMPACTO indicando: “Por tanto, la publicación de aquellos elementos que derivan de la realización de una EIPD que pudieran resultar en una acción de transparencia y fomentar la confianza de los interesados es una práctica aconsejable. En este caso, el responsable ha de evitar publicar detalles innecesarios que no añadan valor a dicha transparencia o que no resultasen proporcionales con relación a nuevos riesgos que la publicidad de los mismos podría crear que se trata una práctica aconsejable la publicación de aquellos elementos que derivan de la realización de una Evaluación de Impacto sobre la Protección de Datos que pudieran resultar en una acción de transparencia y fomentar la confianza de los interesados”. - Teniendo en cuenta que se solicita el acceso parcial a la Evaluación de Impacto y que estos informes de Evaluación de Impacto se elaboran sobre la base de un “modelo de informe de evaluación de impacto en la protección de datos (eipd) para el sector público” (que se adjunta como Documento 7) disponible en la página web de la Agencia Española de Protección de Datos, esta parte entiende que la información solicitada no es objeto de derechos de propiedad industrial ni intelectual. - Consideramos que tampoco puede mantenerse que el acceso esté afectado por alguna de las causas de inadmisión del artículo 18 LTBG. La información solicitada ya está terminada; no es de carácter auxiliar; no precisa reelaboración (conformará uno o como mucho dos expedientes ya compilados y archivados); están dirigidas a la entidad que posee dicha información, no es repetitiva la petición y, desde luego, no es abusiva. - Por último, teniendo en cuenta los objetivos estatutarios de la Fundación es evidente que existe un interés legítimo en acceder a la documentación solicitada. En todo caso, el artículo 12 LGTB faculta a todas las personas a acceder a la información pública conforme a los parámetros de la LTBG. De este modo, la ley no exige una especial vinculación de interés». 4. Con fecha 19 de agosto de 2022, el Consejo de Transparencia y Buen Gobierno remitió la reclamación a AENA a fin de que remitiese las alegaciones que considerase oportunas. El 9 de septiembre de 2022 se recibió respuesta con el siguiente contenido: « (…) El artículo 14.1.h) y j) de la Ley 19/2013 establece dos limitaciones al derecho de acceso a la información. Esto es, cuando suponga un perjuicio, por un lado, para los intereses económicos y comerciales y, por otro, para el secreto profesional y la propiedad intelectual e industrial, respectivamente. En este sentido, en cuanto al primer límite aludido, es necesario proteger los intereses comerciales legítimos de Aena. Este límite, está estrechamente vinculado con la libertad de empresa amparada por el artículo 38 CE y el artículo 41.2.b) de la Carta de Derechos Fundamentales de la Unión Europea, cuyo objetivo principal es impedir atentados contra la libre competencia o las posiciones en las negociaciones de los operadores económicos. Este límite protegería también los intereses de aquellos sujetos privados cuya información económica o comercial sensible esté en poder de Aena como resultado de las relaciones jurídicas nacidas de la colaboración o trabajos conjuntos en el marco de la implementación del servicio objeto de esta consulta. Así, en este proyecto están implicadas otras compañías en la puesta en marcha de este sistema de reconocimiento facial con las que Aena guarda el correspondiente deber de confidencialidad. (…) En el presente caso, la información relacionada con el sistema biométrico contiene datos técnicos fruto de años de trabajo, pero, sobre todo, engloba un “know how”, propiedad de Aena y de las compañías implicadas, que pertenece exclusivamente a su ámbito empresarial y comercial. La evaluación de impacto solicitada por la Fundación comprende datos cuya difusión contravendría los intereses comerciales y económicos de Aena en tanto que, de ser conocidos por sus competidores, éstos podrían obtener una posición de ventaja sin necesidad de haber desarrollado un proyecto similar. De esta manera, de ser divulgada información sobre el proyecto, se podría utilizar para desarrollar un sistema idéntico con el perjuicio que de ello se derivaría para Aena. Sumado a lo anterior, también es necesario proteger la información relacionada con el sistema de reconocimiento facial en tanto que contiene datos se nsibles al incidir en los sistemas de seguridad de Aena. Es necesario resaltar, que los aeropuertos, aeródromos e instalaciones de navegación aérea tienen la consideración de infraestructuras críticas incluidas en el ámbito de aplicación y especial protección de la Ley 8/2011 de 28 de abril, por la que se establecen medidas para la protección de las infraestructuras críticas, así como en el Real Decreto 704/2011 de 20 de mayo de desarrollo de dicha Ley y, por ello, se encuentra dentro de las prioridades estratégicas de la Seguridad Nacional. En consecuencia, revelar cualquier información sobre los sistem as informáticos o técnicos implantados en los distintos puntos a través de los cuales deben transitar los pasajeros puede impactar negativamente en la vulnerabilidad de la seguridad de estos controles. Por tanto, cualquier información relacionada con el sistema biométrico debe permanecer en un ámbito reservado, puesto que puede verse comprometida la seguridad aérea. El objeto de la Ley 19/2013 previsto en su artículo 1 es el de ampliar y reforzar la transparencia de la actividad pública, regular y garantizar el derecho de acceso a la información relativa a aquella actividad y establecer las obligaciones de buen gobierno que deben cumplir los responsables públicos, así como las consecuencias derivadas de su incumplimiento. Esta petición de información realizada no está vinculada con esta finalidad de control de los responsables públicos, fiscalización de su actuación, control sobre cómo es el proceso de toma de decisiones en Aena o las actuaciones de sus representantes. Ni siquiera indiciariamente puede deducirse en qué medida el acceso a la información solicitada puede estar vinculada con los fines que propugna la Ley 19/2013. Tal y como se ha indicado, la Ley 19/2013 debe proteger la información, como en el presente caso, que afecte a los intereses comerciales o empresariales. De no ser así, toda empresa interesada en obtener información sensible de un competidor podría acudir a esta Norma para conseguirla a través de una empresa pública sometida a la Ley 19/2013. Asimismo, esta Sociedad considera que en la presente petición de información no sólo median cláusulas de confidencialidad entre las partes implicadas en la creación e implementación del sistema biométrico, sino también que se cumplen cada una de las conclusiones contenidas en el Criterio Interpretativo 1/2019, de 24 de septiembre, elaborado por el Consejo de Transparencia para establecer que los intereses empresariales y comerciales deben ser protegidos. Así, el sistema biométrico guarda una estrecha relación con la actividad propia de Aena en tanto que abarca el recorrido del pasajero desde la facturación, el control de seguridad y el embarque. Por tanto, está intrínsecamente vinculado a las operaciones de Aena. Por otro lado, la información solicitada no tiene carácter público, ni es conocida ni es accesible. Además, hay una voluntad por parte de las compañías implicadas de mantener alejada del conocimiento público la información en cuestión. Esta información pertenece al ámbito privado de los acuerdos suscritos entre los participantes en la puesta en marcha de este sistema. Como ya se ha explicitado anteriormente, el interés en mantener secreta esta información no es baladí, sino que responde a la necesidad de no revelar datos que producirían un detrimento de la competitividad de Aena, dado que la difusión de la información solicitada podría de forma razonable y no meramente hipotética debilitar la posición de Aena, ya que la divulgación de los datos requeridos pondría en manos del mercado y, por tanto, de la competencia de Aena, conocimientos exclusivos obtenidos tras años de trabajo para su desarrollo y puesta en servicio que han supuesto una inversión relevante, cuyo retorno esperado, parámetro generalmente utilizado en la gestión empresarial para justificar un desembolso de esta naturaleza, se vería afectado negativamente. A través de la reclamación efectuada por la Fundación, ésta adquiriría información incalculable acerca del funcionamiento del sistema biométrico que, a día de hoy, no se encuentra al alcance del público y conocería las soluciones técnicas o estrategias a las que Aena ha llegado tras diversas pruebas a lo largo de un periodo muy dilatado de tiempo. Cabe destacar que esta Sociedad es pionera en la implantación de este sistema lo que le otorga una ventaja sobre sus competidores. Sin embargo, esta ventaja se ha adquirido con mucho esfuerzo en tanto que Aena apostó por invertir en innovación a lo largo de los difíciles años 2020 y 2021. En la actualidad, el sistema de Aena tiene un nivel de desarrollo superior al resto de soluciones similares existentes en el mercado, por lo que posee un valor económico añadido; hasta tal punto, que la Fundación o cualquier otra persona ajena, en caso de acceder a la información que solicita, podría hacer un uso comercial de ella. En caso de difundirse información sobre el proyecto, Aena perdería su posición de ventaja en este ámbito con respecto a sus competidores, posición, como ya se ha indicado, lograda tras años de esfuerzo, investigación e inversión. En relación con el segundo límite referido al secreto profesional y la propiedad intelectual e industrial, y previsto en el artículo 14.1.j) de la Ley 19/2013, debe ser aplicado al caso que nos ocupa. Se reitera lo recogido con anterioridad, esto es, la difusión de la información solicitada no tiene relación con las actividades sometidas a transparencia. Es decir, la materia de la información solicitada excede del marco del concepto de información pública sujeta a la obligación de transparencia. En este sentido, el Consejo de Transparencia ha dictado la Resolución 132/2019 que revisa el límite del artículo 14.1. j): “Asimismo, ha de recordarse que la LTAIBG tiene como objetivo el control de la actuación pública a través del conocimiento de las decisiones de los organismos públicos y la rendición de cuentas por las mismas. En este sentido, pretender obtener conocimiento de los resultados de un proyecto de investigación, por más que el mismo haya estado financiado con fondos públicos, sin observar la necesaria protección a la propiedad industrial e intelectual de los resultados alcanzados con las investigaciones no se corresponde con la finalidad última de la LTAIBG”. Es preciso señalar también que en la solicitud de acceso planteada no se ha puesto de manifiesto ningún motivo de naturaleza pública o privada que pudiese justificar el acceso a la información que se solicita, por lo que debe prevalecer la protección del derecho a la propiedad industrial de una empresa, que por el mero hecho de la titularidad pública de sus acciones no puede verse obligada a revelar información que ha supuesto una inversión en investigación y desarrollo. Tal y como se ha indicado anteriormente, en el periodo en el que se ha desarrollado el sistema de biometría se han utilizado medios humanos y técnicos que han obtenido conclusiones y soluciones técnicas únicas en el mercado que deben ser necesariamente protegidas». II. FUNDAMENTOS JURÍDICOS 1. De conformidad con lo dispuesto en el artículo 38.2.c) de la LTAIBG y en el artículo 8 del Real Decreto 919/2014, de 31 de octubre, por el que se aprueba el Estatuto del Consejo de Transparencia y Buen Gobierno , el Presidente de esta Autoridad Administrativa Independiente es competente para resolver las reclamaciones que, en aplicación del artículo 24 de la LTAIBG , se presenten frente a las resoluciones expresas o presuntas recaídas en materia de acceso a la información. 2. La LTAIBG reconoce en su artículo 12 el derecho de todas las personas a acceder a la información pública, entendiendo por tal, según dispone en el artículo 13, «los contenidos o documentos, cualquiera que sea su formato o soporte, que obren en poder de alguno de los sujetos incluidos en el ámbito de aplicación de este título y que hayan sido elaborados o adquiridos en el ejercicio de sus funciones». De este modo, la LTAIBG delimita el ámbito material del derecho a partir de un concepto amplio de información, que abarca tanto documentos como contenidos específicos y se extiende a todo tipo de “formato o soporte”. Al mismo tiempo, acota su alcance, exigiendo la concurrencia de dos requisitos que determinan la naturaleza “pública” de las informaciones: (a) que se encuentren “en poder” de alguno de los sujetos obligados, y (b) que hayan sido elaboradas u obtenidas “en el ejercicio de sus funciones”. Cuando se dan estos presupuestos, el órgano competente debe conceder el acceso a la información solicitada, salvo que justifique de manera clara y suficiente la concurrencia de una causa de inadmisión o la aplicación de un límite legal. 3. La presente reclamación trae causa de una solicitud, formulada en los términos que figuran en los antecedentes, en la que se pide el acceso a diversa información referida al sistema de reconocimiento facial que está implementando AENA: en particular; la evaluación de impacto del sistema biométrico (pudiendo eliminarse, en su caso, los elementos que tengan carácter confidencial); (ii) el registro de actividades de tratamiento de AENA que incluya los tratamientos objeto de esta solicitud; y (iii) cualquier consulta realizada a la Agencia Española de Protección de Datos relacionada con el sistema biométrico En respuesta a su solicitud, la unidad de transparencia de AENA facilitó la información referida al registro de actividades de tratamiento, pero acordó denegar el acceso al resto de información solicitada (consultas realizadas a la AEPD y evaluación de impacto) invocando el artículo 14.1. d), h) y j) LTAIBG, que establece la posibilidad de limitar el acceso a la información cuando suponga un perjuicio para la seguridad pública, para los intereses económicos y comerciales y para el secreto profesional y la propiedad intelectual e industrial, respectivamente. 4. Con carácter previo es preciso acotar el objeto de este procedimiento pues, en el escrito presentado ante este Consejo, la Fundación actuante manifiesta de forma expresa que «dejando a un lado lo referente a la solicitud de las consultas realizadas a la Agencia Española de Protección de Datos, en lo que se refiere la “Evaluación de Impacto” solicitada, se deniega el acceso por la Fundación alegando que dicho acceso supondría un perjuicio para los intereses económicos y comerciales y el secreto profesional y la propiedad intelectual e industrial», centrando su disconformidad, por lo tanto, en la negativa a proporcionar la evaluación de impacto que AENA fundamenta en la concurrencia de los límites previstos en el artículo 14.d), h) y j) LTAIBG. 5. Sentado lo anterior procede verificar la concurrencia de los límites invocados por la entidad requerida para denegar el acceso al informe de Evaluación de Impacto en la protección de datos personales (EIPD). La premisa de partida es la necesaria interpretación estricta, cuando no restrictiva, de los límites que prevé la LTAIBG, dada la formulación amplia en el reconocimiento y en la regulación legal del derecho de acceso a la información, sin que quepa aceptar limitaciones que supongan un menoscabo injustificado y desproporcionado del derecho de acceso a la información — por todas, STS de 16 de octubre de 2017 (ECLI:ES:TS:2017:3530)—. En esa línea, en el Criterio Interpretativo CI/002/2015, de 24 de junio, este Consejo ha señalado que la aplicación de las restricciones al acceso previstas en el artículo 14 LTAIBG no supondrá, en ningún caso, una exclusión automática del derecho a la información, debiéndose justificar el test del daño y su ponderación con el interés público para ser aplicado, lo que exige, por tanto, la motivación expresa de la denegación del acceso. 6. Por lo que concierne, en particular, a la aplicabilidad del límite contemplado en el artículo 14.1.h) LTAIBG, debe recordarse que la delimitación de qué haya de entenderse por perjuicio a los intereses económicos y comerciales ha quedado establecida en el Criterio Interpretativo CI/001/2019, de 24 de septiembre, de este Consejo, en el que se pone de manifiesto que «por “intereses económicos” se entienden las “conveniencias, posiciones ventajosas o de importancia de un sujeto individual o colectivo en el terreno de la producción, distribución y consumo de bienes y servicios” y por “intereses comerciales” las “conveniencias, posiciones ventajosas o de importancia en el materias relativas al ámbito del intercambio de mercancías o servicios en un ámbito de mercado”». Se añade que, para calificar una información como confidencial por afectar a tales intereses, debe tratarse de una información relativa a circunstancias u operaciones que guarden conexión directa con la actividad económica propia de la empresa; que no se trate de una información fácilmente accesible o conocida y que exista una voluntad de mantenerla alejada del conocimiento público —lo que debe obedecer a «un legítimo interés objetivo que debe tener naturaleza económica, y que cabrá identificar. Por ejemplo, cuando la revelación de la información produzca el detrimento de la competitividad de la empresa titular del secreto frente a sus competidores, debilite la posición de esta en el mercado o le cause un daño económico al hacer accesible a los competidores conocimientos exclusivos de caráct er técnico o comercial»—. A los efectos que aquí interesan, es importante destacar que, con arreglo al citado criterio y a fin de evitar una aplicación automática del límite, no resulta suficiente argumentar sobre la posibilidad incierta de que se pueda producir un daño sobre los intereses económicos y comerciales; el perjuicio debe ser definido indubitado y concreto y el daño debe ser sustancial, real, manifiesto y directamente relacionado con la divulgación de la información. Además, constatada la existencia del daño y su impacto, siempre según el criterio interpretativo, «deberá procederse a la ponderación de la existencia de un interés prevalente que marcará, en última instancia, el peso de dicho daño en los intereses económicos y comerciales frente al interés legítimo existente en conocer la información concreta a divulgar». 7. En este caso, se justifica la aplicación del límite del artículo 14.1.h) LTAIBG alegando que la divulgación de lo solicitado supone un perjuicio tanto para AENA como para aquellos sujetos privados cuya información económica o comercial sensible esté en poder de AENA como resultado de las relaciones jurídicas nacidas de la colaboración o trabajos conjuntos en el marco de la implementación del sistema de reconocimiento facial. Se añade, en este sentido, que el acceso a la información supondría la difusión de conocimientos exclusivos que se han obtenido tras años de trabajo y debilitaría la posición de AENA en el mercado, yendo en detrimento de su competitividad. Sin embargo, no puede obviarse que estas afirmaciones se realizan en relación con el contenido de las consultas que AENA dirige a la AEPD pues en ellas «se comprenden detalles cuya difusión contravendría los intereses de Aena en tanto que de ser conocidas por sus competidores estos podrían obtener una posición de ventaja», pero no se proyectan sobre el acceso al informe de evaluación de impacto sobre el que se centra la reclamación que ahora se resuelve. Ciertamente, en fase de alegaciones en este procedimiento, sostiene AENA, ya desde una perspectiva general, que la información relacionada con el sistema biométrico contiene datos técnicos fruto de años de trabajo, pero, sobre todo, engloba un “know how”, propiedad de Aena y de las compañías implicadas, que pertenece exclusivamente a su ámbito empresarial y comercial¸ añadiendo que de ser conocidos estos datos por los competidores, éstos podrían obtener una posición de ventaja sin necesidad de haber desarrollado un proyecto similar. Sin embargo, atendiendo al contenido de la Evaluación de Impacto en la protección de datos personales no se aprecia, y no ha sido argumentado ni justificado por AENA con proyección al caso concreto, qué tipo de información, de la que figura en el EIPD, constituye información técnica, económica, científica o referida a las estrategias comerciales de la entidad cuya divulgación implique un perjuicio para su posición frente a sus competidores. En este punto, es preciso tener en cuenta que el artículo 35. 1 del El Reglamento UE 2016/679, General de Protección de Datos del Parlamento Europeo y del Consejo, de 27 de abril (en adelante RGPD) establece la obligación de realizar, por parte del responsable del tratamiento de datos, una Evaluación de Impacto de Protección de Datos (EIPD) especialmente en los casos en que se realiza «un tratamiento a gran escala de las categorías especiales de datos a que se refiere el artículo 9, apartado 1, o de los datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10» [artículo 35.3.b) RGPD], entre los que se encuentran —según la lista elaborada por la AEPD en virtud de lo previsto en el artículo 35.4 RGPD— los tratamientos que impliquen el uso de datos biométricos con el propósito de identificar de manera única a una persona física (núm. 5 del listado). En esa línea, de la lectura del contenido-tipo del EIPD (disponible en la web de la AEPD como guía para Administraciones públicas y sujetos privados) se desprende que la información que debe figurar en el mencionado documento se refiere a la identificación y análisis de factores de riesgo que implica el tratamiento de los datos personales para los derechos y libertades de las personas; a las medidas que se adopten para el control del riesgo; así como el reflejo de la necesidad y proporcionalidad del tratamiento de datos —evaluando su idoneidad respecto del fin perseguido, la necesidad de llegar a cabo el tratamiento o la existencia de una medida menos lesiva para el derecho fundamental y la proporcionalidad de la media en sentido estricto—; el memorando con las conclusiones y recomendaciones del delegado de protección de datos; o la identificación del responsable de tratamiento, entre otros aspectos —en la línea del contenido mínimo que prevé el artículo 35.7 RGPD-. En definitiva, no se ha argumentado en qué medida el acceso a la EIPD (con el contenido descrito) supone la toma de conocimiento de información técnica o comercial relativa al desarrollo e implantación del concreto sistema biométrico que cause un perjuicio a situación estratégica en el mercado; pero, en todo caso, no puede desconocerse que la propia Fundación solicitante ha pedido que se eliminara de la EIDP cualquier información de carácter confidencial. Así pues, no se pretende el acceso al proyecto técnico del sistema de control biométrico ni a la información con valor económico o comercial, sino a los elementos no confidenciales del documento resultante de la aplicación de una herramienta de evaluación del impacto y control de los riesgos para la protección de los datos de carácter personal. De lo anterior concluye este Consejo que no procede la invocación del artículo 14.1.h) LTAIBG como fundamento para una denegación total del acceso solicitado; no habiéndose realizado una aplicación proporcionada del mencionado límite con arreglo a lo dispuesto en los artículos 14.2 y 16 LTAIBG –sobre todo, partiendo del hecho de que la Fundación no pretende el acceso a información confidencial-. 8. A idéntica conclusión ha de llegarse respecto de la pretendida concurrencia del límite previsto en el artículo 14.j) LTAIBG según el cual «el derecho de acceso podrá ser limitado cuando acceder a la información suponga un perjuicio para el secreto profesional y la propiedad intelectual e industrial». En efecto, debe reiterarse aquí que lo solicitado no es el acceso al proyecto de implantación del sistema biométrico desarrollado por AENA y sus colaboradores; esto es, no se pide información respecto de las conclusiones y soluciones técnicas únicas en el mercado que deben ser necesariamente protegidas; sino respecto del informe de evaluación de los riesgos que suponen para los derechos y libertades de los individuos el tratamiento de datos biométricos. Por lo tanto, no resulta de aplicación la resolución 132/2019 d ictada por este Consejo en relación con la aplicación del límite previsto en el artículo 14.1.j) LTAIBG puesto que, a diferencia de lo que ocurría en aquel caso, no se pretende obtener el conocimiento de los resultados de un proyecto de investigación, sino el acceso a un documento cuya publicación, como pone de relieve la reclamante, se recomienda por la propia AEPD con exclusión de aquellos datos que no sean necesarios para garantizar la transparencia de las medidas adoptadas. En este sentido, en la guía de la AEPD Gestión del riesgo y evaluación de impacto en tratamientos de datos personales, aportado a este procedimiento, se señala que «la publicación de aquellos elementos que derivan de la realización de una EIPD que pudieran resultar en una acción de transparencia y fomentar la confianza de los interesados es una práctica aconsejable. En este caso, el responsable ha de evitar publicar detalles innecesarios que no añadan valor a dicha transparencia o que no resultasen proporcionales con relación a nuevos riesgos que la publicidad de los mismos podría crear». En definitiva, también en este caso se opera una aplicación indebida del límite por falta de justificación suficiente y por no tomar en consideración la posibilidad de otorgar un acceso parcial como prevé el artículo 16 LTAIBG. 9. En la línea apuntada, tampoco puede considerarse aplicable el límite previsto en el artículo 14.1. d) LTAIBG (perjuicio a la seguridad pública) que se invoca en la resolución denegatoria, pues de nuevo parte de una premisa errónea. En efecto, más allá del hecho de que la calificación como infraestructura crítica de los aeropuertos no implica per se que toda información relacionada suponga un perjuicio para la seguridad pública, lo cierto es que la solicitud de información no se refiere a los sistemas informáticos o técnicos implantados en los distintos puntos a través de los cuales deben transitar los pasajeros con posible impacto en la vulnerabilidad de estos controles, que es la fundamentación que se esgrime por AENA en la resolución. 10. En conclusión, con arreglo a lo expuesto en los anteriores fundamentos jurídicos, procede estimar la reclamación ya que a juicio de este Consejo no se ha realizado una aplicación debidamente justificada y proporcionada de los límites invocados, con arreglo a lo dispuesto en los artículo 14.2 y 16 LTAIBG y, por otra parte, en contra de lo manifestado por AENA, existe un indudable interés público en el acceso a la información solicitada dado que los tratamientos que requieren una evaluación de impacto son aquellos en los que sea probable que entrañen «un alto riesgo para los derechos y las libertades de las personas físicas» (art. 35.1 RGPD). Por consiguiente, se reconoce el derecho de la Fundación solicitante a acceder a la Evaluación de Impacto de protección de datos del sistema biométrico de reconocimiento facial de AENA con exclusión, en caso de figurar, de aquellos elementos o partes de la información que, por tratarse de datos económicos, científicos, técnicos, pudieran causar un perjuicio a los intereses comerciales y económicos de AENA o a la propiedad intelectual e industrial, lo que deberá ser justificado de forma expresa. III. RESOLUCIÓN En atención a los antecedentes y fundamentos jurídicos descritos, procede PRIMERO: ESTIMAR la reclamación presentada por FUNDACIÓN ETICAS DATA SOCIETY frente a la resolución de AENA, SME S.A. de fecha 21 de julio de 2022. SEGUNDO: INSTAR a AENA, SME S.A. a que, en el plazo máximo de 10 días hábiles, remita al reclamante la siguiente información: - Evaluación de impacto (pudiendo eliminarse, en su caso, los elementos que tengan carácter confidencial). TERCERO: INSTAR AENA, SME S.A. a que, en el mismo plazo máximo, remita a este Consejo de Transparencia copia de la información enviada al reclamante. De acuerdo con el artículo 23.1 , de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, la reclamación prevista en el artículo 24 de la misma tiene la consideración de sustitutiva de los recursos administrativos, de conformidad con lo dispuesto en el artículo 112.2 de la Ley 39/2015, de 1 de octubre , de Procedimiento Administrativo Común de las Administraciones Públicas. Contra la presente resolución, que pone fin a la vía administrativa, se podrá interponer recurso contencioso-administrativo, en el plazo de dos meses, directamente ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, de conformidad con lo previsto en el apartado quinto de la Disposición adicional cuarta de la Ley 29/1998, de 13 de julio, Reguladora de la Jurisdicción Contencioso-administrativa . EL PRESIDENTE DEL CTBG Fdo.: José Luis Rodríguez Álvarez