Información sobre el sistema de medición de flujo turístico del Ayuntamiento de Santander y su impacto en la protección de datos personales

Resolución reclamación art. 24 LTAIBG I. ANTECEDENTES 1. Según se desprende de la documentación que obra en el expediente, el 17 de octubre de 2023 el ahora reclamante solicitó al Ayuntamiento de Santander la siguiente información, al amparo de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (en adelante, LTAIBG), y a colación de la licitación a través de La Empresa Municipal de Turismo de Santander, del servicio de evaluación del flujo turístico: “PRIMERO.- El acceso a la Evaluación de Impacto realizada por el Ayuntamiento de Santander en cumplimiento de lo establecido en el artículo 35 del RGPD en lo que se refiere al objeto de la licitación expuesta. SEGUNDO.- Que en el caso de que no se haya realizado dicha Evaluación de Impacto, se solicita el acceso al informe del Delegado de Protección de Datos que recoja y motive la no necesidad de realizar una Evaluación de Impacto, de conformidad con lo dispuesto en el artículo 35.2 del RGPD. TERCERO.- Que se me facilite toda la documentación técnica y jurídica que obre en poder de este Ayuntamiento o de la Empresa Municipal de Turismo de Santander, M.P., S.A., haya sido generada por él o facilitada por terceros, en relación al despliegue del sistema descrito en la licitación mencionada. En concreto, se solicitan los siguientes documentos que la empresa adjudicataria ha debido aportar según el pliego de prescripciones técnicas: N/REF: 720-2024 Fecha: La de la firma Administración/Organismo: Ayuntamiento de Santander (Cantabria). Información solicitada: Medición flujo personas en zonas comerciales. RA CTBG Número: 2024-0696 Fecha: 26/12/2024 a) Alcance técnico descrito en la página 4 del pliego de prescripciones técnicas: “Protección de datos y cumplimiento de la normativa vigente”. b) “Descripción tanto técnica como legal que justifique la adecuación a la normativa vigente en materia de protección de datos”, que se cita en la página 8 del meritado pliego y que se exigía aportar. CUARTO.- Que se me indique qué concretos parámetros de mi teléfono móvil serán captados o procesados para determinar mi ubicación cuando transite por las calles en la que se despliegue este sistema de monitorización. QUINTO.- Que se me informe si este Ayuntamiento o la Empresa Municipal de Turismo de Santander, M.P., S.A. ha hecho uso de la consulta previa descrita en el artículo 36 del RGPD y en caso afirmativo, se me facilite copia de la respuesta recibida por parte de la autoridad de control. SEXTO.- Que se me informe en qué concreta Actividad de Tratamiento del Registro de Actividades del Tratamiento de este Ayuntamiento se contempla el tratamiento de datos personales que se realizará con ocasión de la ejecución del contrato adjudicado.” 2. Ante la ausencia de respuesta, el solicitante interpuso una reclamación ante el Consejo de Transparencia y Buen Gobierno (en adelante, CTBG), el 23 de abril de 2024, registrada con número de expediente 720-2024. 3. El 29 de abril de 2024 el CTBG remitió la reclamación a la Secretaría General del Ayuntamiento de Santander, el cual ha contestado lo siguiente: “Primero. – Sobre antecedentes a tener en cuenta y medidas adoptadas La Empresa Municipal de Turismo de Santander, M.P., S.A., en adelante, SANTANDER DESTINO, es una sociedad mercantil cuyo titular único es el Ayuntamiento de Santander, del que es medio propio. El Ayuntamiento de Santander, en el marco de un Encargo de Gestión a medio propio, encarga a SANTANDER DESTINO la ejecución parcial de actuaciones de fortalecimiento del comercio en zonas turísticas, entre las que figura la contratación objeto de la presente reclamación. Con fecha 19 de octubre de 2023, se presenta solicitud de acceso a información pública en el Ayuntamiento, por (…), en adelante, el reclamante, que el Ayuntamiento traslada a SANTANDER DESTINO, al entender que resultaba de competencia de esta sociedad, al ser una licitación ejecutada directamente por la sociedad, aun en el marco de un encargo del Ayuntamiento. RA CTBG Número: 2024-0696 Fecha: 26/12/2024 En la misma, el reclamante solicita el acceso a determinada información cuyo alcance podría exceder los límites de derecho de acceso a información pública. No obstante, en el momento de aquella petición (octubre 2023), el contrato de referencia todavía se encontraba en un punto incipiente de ejecución y la documentación solicita todavía no se había generado, por lo que, por un lado, no se podía valorar su alcance ni tampoco podía facilitarse, al no estar disponible. En previsión de su aportación, se exige a la adjudicataria, SEEKETING S.L. para que remita toda la documentación de planificación de trabajos, especificaciones técnicas del despliegue y análisis jurídico y técnico de la solución y datos que utilizaría. En diciembre de 2023, la adjudicataria remite, junto a las especificaciones técnicas, el informe de análisis jurídico técnico (anexo 1) en el que su responsable jurídico concluye que “De acuerdo a las condiciones técnicas el servicio de nodos detectores de móviles y plataforma de análisis de comportamiento ofrecido proporciona datos anonimizados, no personalizados, no perfilados y no gestiona ningún tipo de datos personales. Queda por tanto fuera del alcance de la GRPD.” A 31 de diciembre de 2023, se le comunica dado el grado de avance del proyecto, los retrasos en las instalaciones tanto de los dispositivos de sensorización como en el despliegue de los sistemas de gestión y su integración con la plataforma tecnológica municipal, la necesidad de subsanación de la documentación entregada y las actuaciones incluidas dentro del alcance del contrato que están pendientes de realizar por parte de la empresa adjudicataria, se considera necesario extender el plazo de ejecución hasta que todas las tareas sean completadas, no pudiendo exceder dicho plazo la fecha del 30 de junio de 2024 fijada en la prórroga concedida. Entre enero y abril de 2024, continúan las aclaraciones y definición de especificaciones técnicas, habiéndose instalado los sensores y recabando toda la documentación en una solución “en la nube”, propiedad de la adjudicataria, sin que se haya desplegado la solución en servidores del Ayuntamiento. A dicha solución, los usuarios del Ayuntamiento de Santander solo acceden a través de registro de usuario, en la que se ofrecen gráficos de distribución genérica de flujos de tránsito de zonas, sin que se identifique ningún usuario único. Con fecha 6 de mayo de 2024, se recibe notificación de la Agencia de Española de Protección de Datos, en la que se da traslado de una reclamación, con prácticamente idéntico argumento, basándose en la suposición de uso ilícito de datos. Con fecha 15 de mayo, se recibe la presente notificación de reclamación, reenviada por el Ayuntamiento de Santander, RT 720/2024, presentada por (…) ante el Consejo de Transparencia y Buen Gobierno del Estado. En vista de tales reclamaciones, se requiere de nuevo a la adjudicataria a la revisión de la documentación jurídico-técnica para poder dar respuesta. En dicha documentación (anexo 2), la adjudicataria manifiesta y matiza, de nuevo, que el sistema propuesto no utiliza, ni almacena, ni analiza direcciones MAC, ni ningún otro parámetro identificativo del terminal de las señales que capta. Técnicamente es imposible a través de dichos parámetros de las señales WIFI llegar a identificar o trazar una localización de un terminal o un usuario en diferentes puntos de la ciudad (flujo turístico), o saber su grado de recurrencia de un usuario en concreto, además esto no es lo que se solicita en la licitación, ni el interés legítimo de la Entidad Local. Como cualquier experto en la materia sabe hoy en día, no hay parámetros que permitan individualizar un terminal o usuario a través de la lectura de tramas WIFI o Bluetooth emitida por los terminales. Es, por tanto, un error de un lego en la materia pensar que a través de los sistemas solicitados de análisis de las señales Wifi y Bluetooth que emiten al aire los terminales móviles, sin estar conectados a una red WIFI como se solicita en el pliego de Santander Destino, se pueda llegar a individualizar datos de localización de personas No cabe, por tanto, la petición de hacer una evaluación de impacto cuando la persona no es si quiera identificable, ni por el sistema que pretende ponerse en marcha con la licitación de referencia, ni por cualesquiera otros métodos que puedan ponerse en marcha simultáneamente y otras fuentes de datos que se intercambien de forma activa, lo cual también que queda fuera de nuestro interés. Segundo. - Sobre la naturaleza de la información solicitada y la limitación de acceso En el informe actualizado que remite la empresa adjudicataria ante la reclamación presentada al consejo de transparencia, la misma esgrime que la información solicitada sobre la posible identificación personal de individuos y el cumplimiento de la GRPD no guarda relación con el contrato de servicio y solicitan que, con el fin de proteger sus intereses comerciales legítimos, ligados a una experiencia y conocimiento técnico que podrían quedar desvelados, no se haga pública ni se dé traslado del detalle de las explicaciones técnicas que reclama el denunciante recabar, ya que en ese caso parecería otro fin buscado por el demandante diferente al de velar por su privacidad y por el cumplimiento de la ley. Analizada la petición del reclamante, se concluye que la información que se solicita no forma parte del expediente de contratación, sino que es parte de la ejecución del contrato de carácter confidencial, así señalado por la adjudicataria, siendo por tanto informes jurídicos y técnicos, que, para su divulgación, sería necesaria una acción previa de reelaboración. Así mismo, el derecho puede ser limitado cuando acceder a la información pudiera resultar un perjuicio para los intereses económicos y comerciales o el secreto profesional y la propiedad intelectual e industrial, en este caso, directamente relacionados, puesto que constituyen el área de experiencia y conocimiento de la empresa adjudicataria del contrato. Por lo expuesto, SUPLICO AL CONSEJO DE TRANSPARENCIA Y BUEN GOBIERNO, que tenga por presentado este informe, junto con los documentos que adjunto se acompañan, dando por cumplimentado el trámite previsto en el artículo 19.3 de la LTAIBG (sic), para que pueda valorar estas alegaciones esperando que, en aras del interés legítimo de la empresa adjudicataria y dado el perjuicio que podría suponer para la misma el desvelar un conocimiento técnico, acepte las presentes alegaciones y desestime la reclamación presentada de contrario.” 4. Una vez consultada la administración reclamada acerca de las limitaciones de acceso alegadas, en concreto a la confidencialidad de la documentación facilitada en relación al expediente de referencia, se concedió trámite de audiencia al reclamante, remitiéndole los dos documentos aportados por la administración, que habían sido elaborados por la empresa adjudicataria del contrato -Seeketing-, habiendo aquel manifestado el 1 de octubre de 2024 que no desiste de su reclamación, II. FUNDAMENTOS JURÍDICOS 1. De conformidad con lo dispuesto en el artículo 38.2.c) de la LTAIBG y en el artículo 13.2.d) del Real Decreto 615/2024, de 2 de julio, por el que se aprueba el Estatuto del Consejo de Transparencia y Buen Gobierno, A.A.I. , el presidente de esta autoridad administrativa independiente es competente para resolver las 1 https://www.boe.es/eli/es/rd/2024/07/02/615 reclamaciones que en aplicación del artículo 24 de la LTAIBG se presenten frente a las resoluciones expresas o presuntas recaídas en materia de acceso a la información. 2. En virtud del apartado 2 de la disposición adicional cuarta de la LTAIBG , las comunidades autónomas pueden atribuir la competencia para la resolución de las reclamaciones al CTBG mediante la celebración del correspondiente convenio con la Administración General del Estado. En desarrollo de dicha previsión, existe convenio vigente suscrito con las comunidades autónomas de Asturias, Cantabria, La Rioja, Extremadura e Illes Balears, así como con las ciudades autónomas de Ceuta y Melilla. 3. La LTAIBG reconoce en su artículo 12 el derecho de todas las personas a acceder a la información pública, entendiendo por tal, según dispone en el artículo 13, «los contenidos o documentos, cualquiera que sea su formato o soporte, que obren en poder de alguno de los sujetos incluidos en el ámbito de aplicación de este título y que hayan sido elaborados o adquiridos en el ejercicio de sus funciones». De este modo, la LTAIBG delimita el ámbito material del derecho a partir de un concepto amplio de información, que abarca tanto documentos como contenidos específicos y se extiende a todo tipo de “formato o soporte”. Al mismo tiempo, acota su alcance, exigiendo la concurrencia de dos requisitos que determinan la naturaleza “pública” de las informaciones: (a) que se encuentren “en poder” de alguno de los sujetos obligados, y (b) que hayan sido elaboradas u obtenidas “en el ejercicio de sus funciones”. Cuando se dan estos presupuestos, el órgano competente debe conceder el acceso a la información solicitada, salvo que justifique de manera clara y suficiente la concurrencia de una causa de inadmisión o la aplicación de un límite legal. 4. En el presente expediente se solicita diversa información pública relacionada con el impacto en la intimidad personal y los datos personales que puedas tener el sistema de medición de flujo de personas en sectores de la ciudad de Santander. La administración municipal no respondió en plazo al solicitante. Posteriormente, remitió la solicitud de información a la empresa municipal que acometió el proyecto en aplicación de la obligación recogida en el artículo 4 de la LTAIBG, y facilitó determinada información. 2 https://www.boe.es/buscar/act.php?id=BOE-A-2013-12887&p=20181206&tn=1#a24 econ/convenios/conveniosCCAA.html 5. Antes de entrar a examinar el fondo de asunto, procede recordar que el artículo 20.1 LTAIBG dispone que «[l] a resolución en la que se conceda o deniegue el acceso deberá notificarse al solicitante y a los terceros afectados que así lo hayan solicitado en el plazo máximo de un mes desde la recepción de la solicitud por el órgano competente para resolver. Este plazo podrá ampliarse por otro mes en el caso de que el volumen o la complejidad de la información que se solicita así lo hagan necesario y previa notificación al solicitante». Como se ha indicado, en este caso, el órgano competente no respondió al solicitante en el plazo máximo legalmente establecido. A la vista de ello, es obligado recordar a la Administración que la observancia del plazo máximo de contestación es un elemento esencial del contenido del derecho constitucional de acceso a la información pública, tal y como el propio Legislador se encargó de subrayar en el preámbulo de la LTAIBG al manifestar que «con el objeto de facilitar el ejercicio del derecho de acceso a la información pública la Ley establece un procedimiento ágil, con un breve plazo de respuesta». 6. En lo que concierne a los ítems 1 y 2 de la solicitud, la respuesta proporcionada en fase de alegaciones, a través de este Consejo, evidencia que no se realizó la evaluación de impacto establecida en la normativa europea y española de protección de datos personales -por los motivos fácticos, técnicos y legales aducidos en los informes que se acompañan, cuya valoración no tiene cabida en el presente procedimiento-, y que no existe informe que justifique la no emisión del mismo. En consecuencia, la respuesta emitida, aunque extemporáneamente, ha contestado a los interrogantes formulados en los ítem 1 y 2 de la solicitud de información, por lo que procede la estimación por motivos formales, al no haberse respetado el derecho a obtener una respuesta en el plazo máximo legalmente establecido, habiendo sido necesaria la presentación de una reclamación ante este Consejo para ver plenamente reconocido su derecho. 7. Por otro lado, la petición del ítem 3 debe ser desestimada por las razones alegadas por la administración, al afectar a derechos económicos y empresariales de la empresa adjudicataria, y a sus derechos de propiedad intelectual, que deben ser protegidos en virtud de la aplicación de los límites legales de acceso del artículo 14.1.h) y j) de la LTAIBG, teniendo en cuenta que dicha empresa se ha opuesto expresamente a la divulgación del know-how que permite contabilizar personas sin identificarlas. La información solicitada en este punto se ha considerado no divulgable por ser parte de la ejecución del contrato de carácter confidencial, consistiendo ésta última en informes jurídicos y técnicos cuyo conocimiento por terceros podría provocar un perjuicio para los intereses económicos y comerciales o el secreto profesional y la propiedad intelectual e industrial, bienes jurídicos todos ellos relativos a la empresa privada concesionaria, y no de la empresa municipal que constituye un medio propio y cuyos intereses comerciales son de carácter público. Dicha empresa ha tenido oportunidad de realizar alegaciones dentro del expediente tramitado, tal y como explica la administración, de conformidad con lo establecido en el artículo 19. 3 de la LTAIBG. Del análisis de los dos informes aportados por la administración en la fase de alegaciones, elaborados por la empresa concesionaria, acerca del modo de recoger y tratar los datos, mediante cámaras, se desprende que el interés particular de conocer cómo se recogen y tratan datos paramétricos sobre flujo turístico no es preponderante sobre el interés empresarial de evitar que el know-how pase a ser de dominio público, con la consecuente pérdida de activos. En definitiva, se considera acreditado que son de aplicación de forma conjunta los límites alegados por la administración, de las letras h) y j) del artículo 14.1 de la LTAIBG, relativos a la protección de los intereses económicos y comerciales, al secreto profesional y a la propiedad intelectual. 8. Finalmente, los ítems 4, 5 y 6 constituyen peticiones de recibir informes y explicaciones singularizados y deben ser objeto de desestimación dado que implican la elaboración de una respuesta a medida que excede del ámbito propio del derecho de información pública, pues, o bien no existen, -como el informe oficial de impacto en materia de protección de datos- según se ha puesto de manifiesto en las alegaciones y en la documentación técnico-jurídica de respaldo-; o bien encierran en peticiones de elaborar información de nuevo cuño, lo cual queda fuera del ámbito de aplicación de la LTAIBG. 9. En definitiva, la respuesta administrativa sobre los ítems 1 y2 referida al informe sobre el impacto del proyecto en los datos personales de los viandantes, o al estudio jurídico sobre su no necesidad, cumple con las previsiones de la LTAIBG en relación con las pretensiones de acceso a la información pública del reclamante, pero al haber sido emitida fuera de plazo, conlleva la estimación de la reclamación por motivos formales, desestimándose el resto de pretensiones por las razones expresadas en los fundamentos jurídicos anteriores. III. RESOLUCIÓN En atención a los antecedentes y fundamentos jurídicos descritos, procede ESTIMACIÓN por motivos formales de la reclamación presentada frente al Ayuntamiento de Santander. De acuerdo con el artículo 23, número 1, de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno , la reclamación prevista en el artículo 24 de la misma tiene la consideración de sustitutiva de los recursos administrativos, de conformidad con lo dispuesto en el artículo 112.2 de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas . Contra la presente resolución, que pone fin a la vía administrativa, se podrá interponer recurso contencioso-administrativo, en el plazo de dos meses, directamente ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, de conformidad con lo previsto en el apartado quinto de la Disposición adicional cuarta de la Ley 29/1998, de 13 de julio, Reguladora de la Jurisdicción Contencioso-administrativa . EL PRESIDENTE DEL CTBG Fdo.: José Luis Rodríguez Álvarez