Reclamación de acceso a información sobre el tratamiento de datos personales, protocolos de transferencias internacionales y materiales de formación de la Agencia ACCIÓ

Resolució 432/2025, de 27 març Número d’expedient de la Reclamació: 1124/2024 Administració reclamada: ACCIÓ, Agència per a la Competitivitat – Generalitat de Catalunya Informació reclamada: Sobre tractament de dades que du a terme l’Agència. Sentit de la resolució: Pèrdua parcial i Es timació parcial Resum: Els antecedents posen de manifest que l’Administració reclamada ha donat accés respecte de la informació sol·licitada en el marc d’aquest procediment, sobre les avaluacions d’impacte que s’hagin realitzat sobre tots els tractaments de protecció de dades; la documentació resultant del contracte de serveis de Delegat de Protecció de dades conforme el RGPD; el detall de les fitxes de tractament de tots els tractaments de dades personals que consten al registre d’activitats de tractament i part dels materials de formació i difusió interna elaborats per a la formació de tot el personal. Aquest fet suposa la satisfacció extemporània d’una part de la sol·licitud d’informació de la qual deriva la Reclamació i comporta la pèrdua sobrevinguda de l’objecte d’aquesta, ja que s’han esvaït els motius de discrepància jurídica que la justificaven. En aquestes circumstàncies és procedent finalitzar parcialment la Reclamació sense necessitat de fer cap declaració sobre l’abast del dret d’accés exercit. D’altra banda, s’estima el dret de la reclamant a obtenir l’accés a la informació sobre procediments, protocols, instruccions i altres documents que utilitzi l’entitat per gestionar les dades personals tant de serveis centrals com a la resta de dependències; respecte de la informació sobre el règim de garanties adoptat per l’entitat en les transferències internacionals dades, i també respecte dels materials de formació i difusió interna per a la formació del personal amb l’adopció de les mesures adequades per a la preservació del dret de propietat intel·lectual pel que respecta a impedir la seva explotació. Paraules clau: Generalitat. Ens instrumental. Agències. Compliment normativa protecció de dades. RGPD. Procediments i Protocols. Transferències internacionals de dades. Documentació DPD. Fitxes de tractament de dades (RAT). Materials de formació. Estimació parcial. Lliurament parcial. Pèrdua parcial. Ponent: Maria del Mar Pérez Velasco Antecedents 1. El 13 d’agost de 2024 entra a la GAIP la Reclamació 1124/2024, presentada per un reclamant contra l’Agència per a la Competitivitat, ACCIÓ, ens de la Generalitat de Catalunya, d’acord amb la Llei 19/2014, del 29 de desembre, de transparència, accés a la informació pública i bon govern (LTAIPBG) i el Reglament de la GAIP, aprovat pel Decret 111/2017, de 18 de juliol (RGAIP). 2. El 19 de juny de 2024 , la reclamant, va presentar a l’Agència per a la Competitivitat, ACCIÓ una sol·licitud d’accés a la informació publica en els termes següents: “- tots els procediments, protocols, instruccions i altres documents que utilitzi ACCIO per gestionar les dades personals tant de serveis centrals com de totes les oficines que té ACCIO per tot el món. - tota la informació de com es realitzen les transferències internacionals entre seus, entitats que es subcontracten i els serveis centrals a Barcelona i dels mecanismes d'adequació emprats. - les avaluacions d’ impacte que s’hagin realitzat sobre tots els tractaments de protecció de dades. - la documentació resultant del contracte de serveis de Delegat de Protecció de dades conforme el Reglament Europeu de Protecció de Dades a l’Agència per a la Competitivitat de l’ Empresa, ACCIÓ i d’assessorament integral en aquesta matèria amb l’empresa( que a la petició s’indica) - el detall de les fitxes de tractament de tots els tractaments de dades personals que consten al registre d’activitats de tractament. - els materials de formació i difusió interna elaborats per a la formació de tot el personal”. 3. El 18 de juliol de 2024 l’Agència per a la Competitivitat- Acció, estima parcialment la sol·licitud d’accés a la informació pública i resol en es termes següents: “Estimar parcialment la sol·licitud d’accés a informació pública presentada en data 19 de juny de 2024 per la per la ( reclamant) . 2. Subministrar la informació relativa a: − les avaluacions d’impacte que s’hagin realitzat sobre tots els tractaments de protecció de dades. − la documentació resultant del contracte de serveis de Delegat de Protecció de dades conforme el Reglament Europeu de Protecció de Dades a l’Agència per a la Competitivitat de l’Empresa, ACCIÓ i l’assessorament integral en aquesta matèria amb l’empresa ( que s’indica a la resolució ) − el detall de les fitxes de tractament de tots els tractaments de dades personals que consten al registre d’activitats de tractament. − els materials de formació i difusió interna elaborats per a la formació de tot el personal en el format que es va demanar, informació inclosa en Annex a la present Resolució. 3. Inadmetre pels motius exposats anteriorment la informació relativa a: − tots els procediments, protocols, instruccions i altres documents que utilitzi ACCIO per gestionar les dades personals tant de serveis centrals com de totes les oficines que té ACCIO per tot el món. 4. Desestimar pels motius indicats la informació relativa a: − Tota la informació de com es realitzen les transferències internacionals entre seus, entitats que es subcontracten i els serveis centrals a Barcelona i dels mecanismes d'adequació emprats”. 4. A la reclamació presentada a la GAIP concretament es manifesta que: “1. L’ enllaç facilitat sobre la documentació resultant del contracte de serveis de DPD no inclou la documentació resultant del contacte de serveis. Només hi ha l’adjudicació, no la documentació elaborada per l’empresa durant l’adjudicació del contracte que és el que es demanava. 2. S’ha facilitat l’ enllaç al RAT però no el detall de les fitxes de tractament de tots els tractaments de dades personals. En la fitxa completa de cada tractament hi ha de constar més informació que la facilitada. 3. Respecte els materials de formació i difusió interna elaborats, s’ ha facilitat una llista de les formacions, però sense cap material. Per tant no s’h a lliurat la informació sol·licitada. 4. Respecte la inadmissió de lliurar tots els procediments, protocols, instruccions i altres documents que utilitzi ACCIO per gestionar les dades personals, no s’ ha lliurat argüint que són documents de treball o esborranys. No entenc perquè es dona aquesta consideració a protocols o instruccions internes. No hi ha cap limitació que afecti a documents consolidats tot i que siguin d’ ús intern. La inadmissió en aquest punt no està justificada. La documentació sol·licitada està relacionada amb la prestació del servei doncs és la que estableix com es gestionen les dades personals, no hi ha cap limitació per denegar l’accés pel caràcter intern sobre el funcionament de l’organització. 5. Respecte la desestimació de la petició de tota la informació de com es realitzen les transferències internacionals entre seus, entitats que es subcontracten i els serveis centrals a Barcelona i dels mecanismes d'adequació emprats no entenc com es pot aplicar un límit a la seguretat pública, si hi ha alguna dada que pugui afectar a infraestructures sensibles segur que es pot anonimitzar de forma convenient. No s’ estan demanant dades tècniques de gestió, ni ubicació de servidors, sestà demanant protocols de gestió sobre les transferències”. 5. El 27 d’agost de 2024 la GAIP comunica la Reclamació a l’Agència per a la Competitivitat- Acció i li requereix que, dins del termini de quinze dies establert per l’article 33.4 RGAIP, li trameti un informe sobre la Reclamació, així com també còpia de l’expedient de la sol·licitud d’informació de la qual deriva i, en general, dels antecedents que puguin ser rellevants per resoldre la Reclamació. Es reitera aquesta petició d’informe el 7 de gener de 2025. 6. El 3 de setembre de 2024 la GAIP admet provisionalment la Reclamació, informa a la persona reclamant sobre els aspectes més rellevants de la seva tramitació i de la posició jurídica que ostenta com a persona interessada, de conformitat amb la legislació de procediment administratiu i la de transparència i accés a la informació pública. Li demana especialment que informi a la GAIP immediatament de les comunicacions que rebi de l’Administració reclamada relatives a la informació pública sol·licitada, mentre duri la Reclamació. 7. El 18 de setembre de 202 4 la GAIP rep l’expedient i l’informe de l’Agència per a la Competitivitat-Acció que, en síntesi, manifesta que: - En relació amb el primer punt de la reclamació, es va facilitar l’enllaç a la Plataforma de serveis de contractació pública, on està publicada tota la informació relativa a l’expedient de contractació sol·licitat. I per tant, “reiterem que la documentació relativa al contracte de serveis de DPD es troba en l’expedient corresponent del perfil del contractant d’ACCIÓ, amb tota la documentació corresponent, en aplicació del principi de publicitat activa. Així mateix, la persona reclamant pot exercir el seu dret d’accés a l’expedient en condició de persona no interessada, i se li facilitarà, una vegada valorada la seva posició com a persona no interessada i la confidencialitat que hagi pogut declarar l’empresa adjudicatària sobre els documents de l’oferta, d’a cord amb el que estableix la Llei 9/2017, de 8 de novembre, de Contractes del Sector Públic, per la qual es transposen a l’ordenament jurídic espanyol les Directives del Parlament Europeu i del Consell 2014/23/UE i 2014/24/UE, de 26 de febrer de 2014. I en relació a tota aquella documentació que pugui resultar de l’execució del contracte diferent de la mencionada al punt quart de la reclamació, ens remetem al manifestat en relació al punt tercer de la reclamació, ja que en virtut de l’article 21.1 de la Llei 19/2014, del 29 de desembre, de transparència, accés a la informació pública i bon govern, és documentació que es regeix per l'apartat g) El secret professional i els drets de propietat intel·lectual i industrial, aplicant d'aquesta manera el límit al dret d'accés a la informació pública de la mateixa per aquests motius”. -Respecte de l’enllaç sobre el Registre d'activitats de tractament d’ACCIÓ, on consta el detall de cadascuna de les fitxes de tractament de dades personals, s’afirma que “és un inventari documentat de les activitats i operacions de tractament, efectuades sota la responsabilitat d’ACCIÓ, que ja es va facilitar a la persona reclamant, amb la informació requerida, ni més ni menys, per a cada activitat de tractament, indicada al RGPD i a la LOPDGDD” . -Sobre la manca de lliurament complet dels materials de formació al·legat per la reclamant, l’Agència afirma que “ En aquest apartat, cal assenyalar que la informació relativa als materials de les formacions no es va lliurar, en aplicació de l’article 21.1. de la Llei 19/2014, del 29 de desembre, de transparència, accés a la informació pública i bon govern: g) El secret professional i els drets de propietat intel·lectual i industrial, referit als límits al dret d'accés a la informació pública”. -Respecte la inadmissió de lliurar tots els procediments, protocols, instruccions i altres documents que utilitzi ACCIO per gestionar les dades personals, l’Agència informa que “ACCIÓ gestiona les dades personals sota la seva responsabilitat, actuant proactivament i en compliment de la normativa vigent i utilitzant procediments en l’àmbit del dret administratiu. Així mateix, ACCIÓ documenta la gestió de les dades personals sota la seva responsabilitat, en aplicació del principi de transparència i traçabilitat de la dada. Així doncs, no s’ha facilitat la informació, atès que es tracta de documents interns de treball sense rellevància o interès públic, d’acord amb el que disposa l’article 29.1.a de la Llei 19/2014”. - Pel que respecta a la desestimació de la petició de tota la informació de com es realitzen les transferències internacionals entre seus, entitats que es subcontracten i els serveis centrals a Barcelona i dels mecanismes d'adequació emprats, l’Agència es reitera en “l’esment a l’article 21 de la Llei 19/2014, del 29 de desembre, de transparència, accés a la informació pública i bon govern: Límits al dret d’accés a la informació pública 1. El dret d’accés a la informació pública pot ésser denegat o restringit si el coneixement o la divulgació de la informació comporta un perjudici per a: a) La seguretat pública, cal tenir en compte que quan la persona reclamant manifesta que demana “protocols de gestió sobre les transferències”, cal entendre que ACCIÓ dona compliment a les condicions jurídiques requerides per a la licitud d’aquests tractaments de transferències internacionals de dades. Tot i que ACCIÓ documenta, per obligació legal, aquests tractaments, en aplicació del principi de transparència i traçabilitat de la dada, no s’ha facilitat la informació, atès que es tracta de documents interns de treball sense rellevància o interès públic, d’acord amb el que disposa l’article 29.1.a de la Llei 19/2014, del 29 de desembre, de transparència, accés a la informació pública i bon govern, referit als límits al dret d'accés a la informació pública”. 8. El 9 d’octubre de 2024 la GAIP demana informe a l’Autoritat Catalana de Protecció de Dades (APDCAT) atès que les informacions demanades i les consideracions que s’han formulat respecte de la petició d’accés a la informació, es constata que per a resoldre aquesta reclamació i ponderar degudament les invocacions d’aquestes limitacions adduïdes per l’entitat reclamada, que es refereixen a obligacions legals del responsable del tractament de dades personals, i poden incidir en la correcta consideració d’allò que forma part de la publicitat activa en l’àmbit de la protecció de dades, en el seu cas, es precisa del seu pronunciament. 9. El 17 de març de 2025 la GAIP rep Dictamen de l’Autoritat Catalana de Protecció de dades de 20 de gener de 2025 en el qual es conclou que: “ Als efectes de la normativa de protecció de dades, no sembla que un tercer, que no té la condició de persona afectada (art. 4.1 RGPD), hagi de tenir accés a informació sobre el tractament de dades que du a terme un responsable, en uns termes més amplis o amb major grau de detall del que podria tenir una persona que sí té aquesta condició. - Accés a informació elaborada pel DPD i informació sobre procediments, protocols i instruccions de gestió de dades personals: No es desprèn de la normativa de protecció de dades una obligació específica de donar accés a la documentació elaborada pel DPD ni, per extensió, a altra documentació relativa a procediments o protocols de gestió en matèria de protecció de dades, tenint en compte que la reclamant no seria persona afectada als efectes de la normativa de protecció de dades, atesa la informació de què es disposa. - Accés a informació del RAT: L’entitat ha donat compliment a les exigències de la normativa de protecció de dades (art. 30 RGPD i art. 31.2 LOPDGDD), i no resultaria exigible, vista la normativa esmentada, facilitar altra informació que el responsable hagi pogut incloure de forma opcional en el RAT. - Accés als materials de formació interna: El llistat facilitat resulta prou indicatiu de la formació donada, i no sembla que la normativa de protecció de dades comporti una obligació específica de facilitar els materials de formació. Tot i així, en cas que no es vegin compromesos els drets de propietat intel·lectual dels autors, donar accés als materials de formació tampoc no resultaria contrari a la normativa de protecció de dades. - Accés a la informació relativa a les TID: Tenint en compte la naturalesa, funcions i estructura organitzativa de l’entitat, aquesta podria indicar quines garanties o instruments dels previstos a l’RGPD (arts. 44 i seg. RGPD) habiliten les TID en funció del país de destinació, sense que sembli necessari ni exigible, en base a la normativa de protecció de dades, que l’entitat concreti amb major detall aquesta qüestió”. Fonaments jurídics 1. Competència de la GAIP i contingut i abast general del dret d’accés a la informació pública D’acord amb l’article 39.1 de la Llei 19/2014, del 29 de desembre, de transparència, accés a la informació pública i bon govern (LTAIPBG) i 29 del Decret 111/2017, de 18 de juliol, pel qual s'aprova el Reglament de la Comissió de Garantia del Dret d'Accés a la Informació Pública (RGAIP) aquesta Comissió és competent per tramitar i resoldre aquesta Reclamació. L’article 2.b i c LTAIPBG defineixen la informació pública i preveuen el dret d’accés a les persones per a sol·licitar i obtenir-la que d’acord amb l’article 18.1 LTAIPBG, tant a títol individual o en nom i representació de qualsevol persona jurídica legalment constituïda. L’article 20 LTAIPBG preveu els requisits i criteris per a l’aplicació dels límits legals al dret d’accés a la informació pública, que l’Administració no disposa de potestat discrecional i ha d’indicar en cada cas els motius que ho justifiquen. Els articles 21 i 22 LTAIPBG estableixen que aquests límits no són d’aplicació automàtica i absoluta i han de ser aplicats d’acord amb criteris de proporcionalitat i temporalitat i han d’atendre les circumstàncies de cada cas concret, especialment la concurrència d’un interès públic o privat superior que justifiqui l’accés a la informació. 2. Pèrdua sobrevinguda de part de l’objecte de reclamació Els antecedents posen de manifest que l’Administració reclamada ha donat accés respecte de la informació sol·licitada en el marc d’aquest procediment relativa a: les avaluacions d’impacte que s’hagin realitzat sobre els tractaments de protecció de dades; la documentació resultant del contracte de serveis de Delegat de Protecció de dades conforme el RGPD; el detall de les fitxes de tractament dels tractaments de dades personals que consten al registre d’activitats de tractament i part dels materials de formació i difusió interna elaborats per a la formació del personal. Malgrat que segons la reclamant la informació abans esmentada s’hauria de completar, aquesta Comissió constata junt amb les valoracions aportades per l’Autoritat Catalana de Protecció de dades (APDCAT), que l’entitat reclamada ha lliurat la informació accessible sobre els referits àmbits. Malgrat haver considerat que s’ha produït una pèrdua respecte de la informació esmentada més amunt s’afegeixen les següents consideracions als efectes de donar a conèixer els criteris que han servit per a aquesta constatació. Pel que respecta a la informació sol·licitada sobre el contacte de serveis de Delegat de Protecció de dades, aquesta Comissió subscriu les consideracions de l’APDCAT sobre les obligacions de transparència respecte les dades de contacte dels DPD amb la finalitat de facilitar el contacte de les persones interessades amb aquests, en relació a la presentació d’ una consulta, reclamació o sol·licitar informació sobre el tractament de les seves dades personals. Es per això que l a normativa de protecció de dades obliga a fer pública la identitat dels DPD però no respecte a la difusió de les funcions que té encomanades el DPD. La reclamant no ha concretat quina és la informació o documentació que no se li ha facilitat, més enllà de manifestar que “no inclou la documentació resultant del contacte de serveis”. De l ’anàlisi de l’article 34 RGPD, de les Directrius del CEPD sobre els DPD (5 d’abril de 2017), en relació amb la previsió de l’article 37.7 RGPD i les funcions del DPO establertes a l’article 39 RGPD, es conclou que aquesta informació es podria referir, “a informes d’assessorament en àmbits diversos del tractament (auditories, avaluacions d’impacte, gestió de drets, etc., relatius a actuacions dutes a terme en el marc de qualsevol de les funcions que exerceix el DPD, que la pròpia normativa estableix amb un caràcter de mínims (art. 39.1 RGPD), i podria abastar qualsevol qüestió relativa al tractament de dades personals, inclosa la gestió de l’exercici de drets ARSOPOL per part dels afectats.” L’APDCAT considera que no seria accessible respecte de les actuacions que es realitzin en l’àmbit de la garantia del dret a la protecció de dades previst a l’article 15 RGPD ( sobre drets d’habeas data, els afectats poden estar legitimats per a obtenir una informació del responsable més detallada, si escau, en relació amb el tractament de dades efectuat i sobre l’assessorament que hagi pogut dur a terme el DPD, com hem dit, i atesa la informació disponible) però no seria accessible respecte d’un tercer. Com tampoc considera accessible a tercers la documentació que pugui generar o supervisar el DPD fora del propi responsable i, si escau, de les Autoritats de control de protecció de dades per tant, no es desprèn de la normativa de protecció de dades l’exigència per al responsable de donar accés al conjunt de la informació que hagi pogut elaborar el DPD en atenció a les seves funcions a un tercer que, per la informació disponible, no té la condició de persona afectada als efectes de la normativa de protecció de dades. Respecte del límit invocat sobre els perjudicis per al secret professional i els drets de propietat intel·lectual o industrial (ex. art. 21.1.g) LTC) aquesta Comissió recorda que no es poden invocar amb caràcter general i indeterminat. Requereix que s’hagi determinat sobre quins aspectes de la informació reclamada es projecta aquest límit, si é s que el tercer afectat, en aquest cas l’empresa adjudicatària de les funcions de DPO ha realitzat prèviament aquesta declaració de confidencialitat i respecte de quins àmbits, aspectes aquests que l’entitat no ha acreditat en aquesta reclamació. Veure Dictamen de l’APDCAT: CNS 17/2024 sobre les funcions i capacitat d’actuació dels DPD Respecte de les fitxes de tractament o informació sobre el registre d’activitats del tractament (RAT), la informació exigible als responsables, i que s’hauria de facilitar seria aquella que obligatòriament ha de constar en el RAT. L’ obligació de transparència i de responsabilitat proactiva de l’entitat, en aquest cas, afectaria a la informació que, com a responsable, s’ ha d’incloure obligatòriament en el RAT, i que a criteri de l’APDCAT una vegada analitzades les obligacions de l’entitat, considera que ja se li ha facilitat a la reclamant. Aquest fet suposa la satisfacció extemporània de la sol·licitud d’informació de la qual deriva la Reclamació i comporta la pèrdua sobrevinguda de l’objecte d’aquesta, ja que s’han esvaït els motius de discrepància jurídica que la justificaven. En aquestes circumstàncies és procedent finalitzar parcialment la Reclamació sense necessitat de fer cap declaració sobre l’abast del dret d’accés exercit. 3. Sobre el dret de la persona reclamant a la informació sol·licitada i límits: el RGPD L’objecte de la reclamació es refereix a un conjunt d’informació sobre diversos aspectes del règim jurídic del tractament de dades personals que du a terme l’Agència de Competitivitat. Concretament s’ha demanat l’accés a la informació sobre: els procediments, protocols, instruccions i altres documents que utilitzi l’entitat reclamada per gestionar les dades personals tant de serveis centrals com de totes les oficines a nivell internacional; informació de com es realitzen les transferències internacionals entre seus, entitats que es subcontracten i els serveis centrals a Barcelona i dels mecanismes d'adequació emprats; les avaluacions d’impacte que s’hagin realitzat sobre tots els tractaments de protecció de dades; la documentació resultant del contracte de serveis de Delegat de Protecció de dades conforme el Reglament Europeu de Protecció de Dades (RGPD) i d’assessorament integral en aquesta matèria amb l’empresa; el detall de les fitxes de tractament de tots els tractaments de dades personals que consten al registre d’activitats de tractament i els materials de formació i difusió interna elaborats per a la formació de tot el personal. Com es desprèn dels antecedents, bona part d’aquesta informació sol·licitada ha estat lliurada per l’entitat reclamada com s’ha reflectit en el fonament jurídic anterior (documentació respecte de la contractació de les funcions de Delegat de protecció de dades (DPO); les fitxes de tractament de tots els tractaments de dades personals). Respecte de les avaluacions d’impacte no es conté cap referència a la reclamació. D’altra banda, es constata que l’entitat reclamada no ha lliurat la informació relativa als procediments, protocols, instruccions i altres documents que utilitzi l’entitat reclamada per gestionar les dades personals, tant de serveis centrals com de totes les oficines a nivell internacional, ni sobre les transferències internacionals entre seus, entitats que es subcontracten i els serveis centrals i dels mecanismes d'adequació emprats. L’entitat reclamada ha invocat - en aquests casos- per denegar la informació la concurrència d’una causa d’inadmissió de l’article 29.1 LTAIPBG per considerar que es tracta d’informació interna pel que respecta a la petició dels procediments, protocols, instruccions. D’altra banda, sobre les transferències internacionals l’entitat ha invocat el límit previst a l’article 21.1.a LTAIPBG relatiu a l’afectació a la seguretat. La informació demanada té la condició d’informació pública d’acord amb allò previst a l’article 2 de la LTAIPBG ja que es tracta d’informació elaborada per l’Administració, que té en el seu poder com a conseqüència de la seva activitat en l’exercici de les seves funcions, inclosa la que li subministren els altres subjectes obligats d’acord amb el que estableix aquesta llei. L’entitat reclamada, l’Agència per a la Competitivitat-Acció, que és una entitat de dret públic de la Generalitat de Catalunya que actua subjecta al dret privat, amb personalitat jurídica pròpia, adscrita al Departament d’Empresa i Treball de la Generalitat de Catalunya s’inclou dins l’àmbit subjectiu d’aplicació previst a l’article 3.1.b LTAIPBG. Es constata que la informació demanada i ara reclamada es refereix bàsicament a diversos aspectes propis del regim jurídic del tractament de dades personals de l’ent itat requerida, i això ha motivat la sol·licitud d’informe a l’APDCAT amb l’objectiu d’apreciar i ponderar adequadament la concurrència de les particularitats provinents del règim al qual resta subjecta l’entitat requerida en l’àmbit de la normativa de protecció de dades (RGPD i LOPDGDD) . Als efectes de reconèixer el dret d’accés garantit per l’article 18.1 LTAIPBG, s’ha de recordar que només pot ser denegat o restringit per les causes establertes per la Llei de forma expressa. En concordança amb aquest darrer article, les limitacions legals al dret d’accés a la informació pública han d’ésser aplicades d’acord amb llur finalitat, tenint en compte les circumstàncies concretes de cada cas concret, i s’han d’interpretar sempre restrictivament en benefici d’aquest dret, no podent- se ampliar per analogia (article 20 LTAIPBG). Amb caràcter general, i referit a totes les peticions que conformen aquesta reclamació, es precisa que pel que respecta a la limitació relativa a la protecció de dades, prevista a l’article 24 LTAIPBG, com ha observat l’informe de l’APDCAT i que comparteix aquesta Comissió, en principi no es detecta que la informació merament identificativa de les persones que exerceixen de Delegat de protecció de dades (DPD) o d’aquelles que exerceixen diferents funcions a l’entitat i que pugui constar en la documentació que es sol·licita, així com, les dades merament identificatives de llei de creació: Llei 11/2011, del 29 de desembre, de reestructuració del sector públic per agilitzar l’activitat administrativa i Estatuts aprovats per Decret 223/2015, de 6 d'octubre, DOGC núm. 6976, 15/10/2015. professionals externs a l’entitat que hagin dut a terme activitats de formació, no han de suposar un impediment per donar accés a la informació. A continuació s’analitza la reclamació fent referència a cadascuna de les informacions sol·licitades que han suscitat per a cadascun dels supòsits de petició singularitats respecte del seu examen. -Procediments, protocols, instruccions- L’Administració reclamada ha apreciat, en primer terme, la concurrència d’una causa d’inadmissió respecte de la petició sobre els procediments, protocols, instruccions i altres documents que utilitzi l’entitat reclamada per gestionar les dades personals tant de serveis centrals com de totes les oficines a nivell internacional, per considerar que és informació interna sobre el funcionament de l’organització però no relacionada amb la prestació del servei (article 29.1.a LTAIPBG). Aquesta Comissió considera que a la vista de la previsió de l’esmentat article 29.1.a LTAIPBG i, més específicament, d’allò establert a l’article 65.2 RLTC, sobre opinions, valoracions, esborranys, comunicacions informals, no es pot determinar sense més si la informació continguda en aquests documents sol·licitats concorre aquesta causa d’inadmissió invocada. De la valoració que dels mateixos en fa la normativa de protecció de dades i específicament l’informe de l’APDCAT es precisa que aquesta restricció invocada per l’entitat seria referible a la documentació sobre gestió de protecció de dades generada pel DPD de l’entitat, per considerar que “no es desprèn de la normativa de protecció de dades una obligació, en termes de publicitat activa, de donar accés a la documentació que hagi elaborat el responsable i que afecti a la gestió de dades personals”. No obstant això, aquesta Comissió considera que la petició sobre els procediments, protocols, instruccions i altres documents que utilitzi l’entitat reclamada per gestionar les dades personals, no necessàriament ha d’anar referida exclusivament a la generada pel DPD. D’altra banda s’ha d’aclarir que la informació no subjecta a la obligació de publicitat activa, pot ésser consultada com ara demana la reclamant en exercici del dret d’accés a la informació publica ara suscitat. L’abast de les obligacions de publicitat activa i del dret d’accés són diferents, essent el segon més ampli. En aquest sentit, es recorda que el dret d’accés a la informació pública, d’acord amb la LTAIPBG no requereix per al seu exercici que s’acrediti , ni tan sols que s’informi, respecte del motiu o l’interès que fonamenta la petició. Tampoc ha de concórrer la circumstància de tractar-se d’un afectat o titular d’un dret relacionat amb les informació demanada, com sí es preveu a la normativa de protecció de dades. És per això que aquesta Comissió als efectes de determinar si procedeix el reconeixement del dret d’accés a la informació demanada, concretament la referida als procediments, protocols i instruccions que utilitza l’entitat reclamada per gestionar dades personals, s’ha de ponderar atenent al límit invocat en aquest cas, com és el contingut a l’article 29.1.a LTAIPBG per entendre que es tracta d’informació interna sense rellevància o interès públic. Es descarta que els procediments, protocols i instruccions, puguin tenir la consideració de “notes, esborranys, resums, opinions o qualsevol document de treball intern” ja que, d’una banda, clarament no podrien reunir les característiques consubstancials dels documents en elaboració o inconclusos (especialment en relació amb els esborrany s i els documents de treball), i d’una altra, tampoc s’ajustarien al que es poden considerar com a actes puntuals o bé que responen a circumstàncies o problemàtiques específiques com semblarien reflectir les notes, resums i opinions. Per tant, resta per analitzar si la consideració que suposaria una inadmissió del dret d’accés es aquella que es correspon amb consistir en i nformació interna sense rellevància o interès públic. Respecte d’aquest supòsit, cal recordar que la causa d’inadmissibilitat de l’article 29.1.a LTAIPBG requereix, per poder ser aplicada, que es compleixin acumulativament les dues condicions següents, que es tracti d’un document de treball intern i que, a més, no tingui rellevància o interès públic. (Resolució GAIP 108/2022 de 10 de febrer). Els procediments, protocols i instruccions es pot admetre que efectivament tenen la condició de ser informació interna, el que és qüestionable és que no tinguin rellevància o interès públic. Conèixer quin es el criteri i la forma de procedir en l’àmbit de la gestió de dades personals per part d’una entitat pública, com és l’Agència reclamada, sembla raonable que es descarti la carència de l’interès públic pel que respecta al seu coneixement. Es desconeix la forma d’adopció i aprovació d’aquests procediments, protocols i instruccions, però malgrat el seu caràcter intern, es pressuposa - sobretot per la seva denominació- que deuen consistir en normes o criteris genèrics d’aplicació interna, però que d’existir, prefiguren l’actuació de l’entitat publica que les ha elaborat, respecte de la protecció de dades personals. Per tant, aquesta Comissió considera que, en el benentès de que en cap cas es comprometi l’actuació interna del DPD i no es refereix a assumptes que afectin a tercers identificats, s’ha de reconèixer el dret d’accés als procediments, protocols i instruccions respecte de la protecció de dades personals que realitzi l’entitat publica reclamada. -Transferències internacionals de dades personals - Respecte de la petició formulada per la reclamant sobre la informació relativa a la forma com es realitzen les transferències internacionals (TID) entre les diverses seus, entitats que es subcontracten i serveis centrals de l’entitat i dels mecanismes d'adequació emprats, l’Agència va invocar el límit previst a l’article 21.1.a LTAIPBG sobre seguretat per a desestimar l’accés a la informació demanda. Aquesta seguretat es referia a les infraestructures sensibles a tercers i les quals són susceptibles de ser atacades, malgrat la precisió concretada després per la reclamant, en el sentit d’aclarir que “no es demanaven dades tècniques de gestió, ni ubicació de servidors, s’està demanant protocols de gestió sobre transferències” . Des de la perspectiva de la normativa de protecció de dades l’APDCAT recorda al seu informe que “l’RGPD estableix un règim específic per a les comunicacions de dades personals a països tercers o organitzacions internacionals (articles 44 a 46 RGPD). A partir del principi general segons el qual només es poden dur a terme TID si es compleixen les condicions previstes a l’RGPD i si el nivell de protecció d’aquest no es veu perjudicat (art. 44 RGPD), les TID s’han d’articular en base a garanties adequades, que estableix la normativa”. L’entitat reclamada tindria la condició d’autoritat pçu blica als efectes del RGPD, d’acord amb l’article 3.3 la Llei 40/2015, de 1 d’octubre, de Règim Jurídic del Sector Públic, i a parer de l’APDCAT hauria de disposar, com a tal, de mecanismes específics per acreditar les garanties adequades per a fer TID a països tercers. L’APDCAT recorda el règim previst a l’article 45 de l’RGPD sobre les transferències internacionals de dades (TID) que les habilita quan la Comissió Europea hagi decidit que el país destinatari de la informació garanteix un nivell de protecció adequat; o quan preveu la possibilitat d’establir mecanismes per considerar que s’ofereixen garanties adequades per transferir dades personals a un tercer país o organització internacional en què no es garanteix un nivell de protecció adequat . Atesa l’activitat de l’ens reclamat, que es projecta de forma important en l’àmbit internacional, efectivament les transferències internacionals de dades són un element rellevant, i especialment pel que es refereix al coneixement de quin és el regim de garanties que s’ha adoptat per preservar el degut tractament de les dades personals en la destinació geogràfica que correspongui. Aquesta consideració que es comparteix amb l’APDCAT, justifica el reconeixent de l’accés a la informació respecte del règim de garanties adequades que l’entitat reclamant ha articulat si, com informa l’APDCAT, a més “atenent a les previsions esmentades de l’RGPD i l’LOPDGDD, l’entitat ha de fer públic si es duen a terme TID, a través de la informació del RAT (registre d’activitats del tractament). Això, a banda, com ha quedat dit, que se n’hagi d’informar també als afectats (ex. art. 13 i 14 RGPD)”. Concretament l’article 46.1 RGPD: “1. A falta de decisión con arreglo al artículo 45, apartado 3, el responsable o el encargado del tratamiento solo podrá transmitir datos personales a un tercer país u organización internacional si hubiera ofrecido garantías adecuadas y a condición de que los interesados cuenten con derechos exigibles y acciones legales efectivas.” I els apartats 2 i 3 de l’article 46 RGPD en preveure les garanties adequades quan no requereixen d’autorització de l’autoritat de control. Article 42 LOPDGDD. D’acord amb l’exposat aquesta Comissió estima la reclamació i declara el dret de la reclamant a l’accés a la informació sobre la base jurídica o l’instrument específic dels previstos al RGPD que habilita a dur a terme les transferències internacionals de dades segons el països de destinació en els quals hi té relació i disposa d’establiments. Això tot compartint la conclusió de l’informe de l’APDCAT en considerar que “Tenint en compte la naturalesa, funcions i estructura organitzativa de l’entitat, aquesta podria indicar quines garanties o instruments dels previstos a l’RGPD (arts. 44 i seg. RGPD) habiliten les TID en funció del país de destinació, sense que sembli necessari ni exigible, en base a la normativa de protecció de dades, que l’entitat concreti amb major detall aquesta qüestió” . -Materials de formació i difusió interna elaborats per a la formació de tot el personal- Respecte de la petició relativa als materials de formació i difusió interna elaborats per a la formació de tot el personal, a la reclamació es manifesta que només s’ha obtingut una llista de les formacions, però sense cap material. L’entitat insisteix en que va lliurar la informació, i justifica respecte dels materials que no s’han lliurat, la invocació del límit previst a l’article 21.1.g) LT AIPBG sobre la protecció dels drets de propietat intel·lectual. L’informe d’APDCAT fa avinent que “l’entitat hauria facilitat, en l’annex esmentat, la llista de “formacions” i “notes de conscienciació” dutes a terme per l’entitat, indicant per a cadascuna la data i el títol de la formació duta a terme. Aquesta informació ja permet a un tercer aliè a l’entitat responsable tenir una aproximació a la freqüència de la formació donada, i a la temàtica que s’hauria tractat (entre d’altres, “Dades especialment sensibles”; “Gestió de contrasenyes”; “El responsable i l’encarregat del tractament” o “Drets digitals“).” Es per aquest motiu que considera que “el llistat facilitat ja resultaria indicatiu de la formació donada per l’entitat al seu personal en matèria de protecció de dades”. Sobre la invocació del límit relatiu al degut respecte del dret a la propietat intel·lectual respecte dels materials que segons la reclamant no s’han lliurat, aquesta Comissió recorda allò considerat al seu dictamen 1/2016, en analitzar aquest límit de la propietat intel·lectual previst a l’article 21.1.g LTAIPBG, que assenyala el següent: “Segons la legislació de propietat intel·lectual (Reial decret legislatiu 1/1996, de 12 d’abril, pel qual s’aprova el text refós de la Llei de propietat intel·lectual, TRLPI), el titular originari dels drets de propietat intel·lectual és el creador, que sempre és una (o més d’una) persona física. Així mateix, aquesta normativa distingeix entre els anomenats drets morals del creador (atribució o reconeixement d’autoria, divulgació, preservació de la integritat, entre altres), que són inalienables, i els drets d’explotació, que inclou la reproducció i l’aprofitament econòmic, que poden ser objecte de cessió.” I afegeix que “ l ’accés a un document protegit pel dret de propietat intel·lectual no afectarà previsiblement els drets morals del seu creador, però, segons com es fa l’accés, pot afectar els seus drets d’explotació. Dit d’una altra manera, la propietat intel·lectual protegeix de l’explotació del bé creat per part de terceres persones; per tant, és compatible amb la consulta o simple ús del bé que no interfereixi amb els drets d’explotació. La propietat intel·lectual no pot operar com a límit a l’accés, sinó com a límit a la seva utilització o explotació per part de la persona sol·licitant. Si tenim en compte que entre els drets d’explotació hi ha la reproducció i l’aprofitament econòmic, el que seria incompatible amb aquest dret seria un accés que comportés reproducció del bé o perjudici pels drets econòmics d’explotació”. D’acord amb l’exposat s’ha aclarit en la resolució 63/2018 en un cas similar al que ara ens ocupa que: “encara que s'acredités la concurrència d'aquest límit (en referència al límit de propietat intel·lectual), cal assenyalar que el que proscriu la legislació de propietat intel·lectual no és tant la divulgació de les obres protegides, sinó la usurpació dels drets d'explotació (que no sembla ser el que pretén la persona reclamant), i que aquesta eventual concurrència difícilment prevaldria damunt del dret d'accés sol·licitat, atès l’interès legítim que ostenta en aquest cas la persona reclamant per poder obtenir una informació adient per protegir els seus drets i interessos, interès que s'afegeix als públics de la legislació de transparència, entre les finalitats de la qual sens dubte és remarcable la d'assegurar l'objectivitat i la transparència en l'accés a l'ocupació pública”. No es desprèn del context de la reclamació que l’interès en l’accés a aquests materials ho sigui per explotar els seus continguts. En qualsevol cas, l’entitat reclamada pot preservar i protegir aquesta propietat intel·lectual respecte de la seva explotació pel reclamant mitjançant l’adopció del corresponent compromís explícit degudament formalitzat pel reclamant de que no en farà cap ús que comporti l’explotació d’aquests materials, o alternativament facilitar un accés que impedeixi tècnicament aquest ús no permès. 4. Seguiment de l’execució L’article 43.5 LTAIPBG estableix que “l’Administració ha de comunicar a la Comissió les actuacions fetes per a executar els acords de mediació i per a donar compliment a les resolucions dictades per la Comissió”. Sobre la base d’aquestes comunicacions i de les efectuades per les persones interessades, la GAIP ha de fer seguiment del compliment de les seves resolucions, d’acord amb el que preveuen els articles 48 i 49 RGAIP i l’apartat 30 del seu Manual de reclamació, i pot adoptar les mesures que s’hi preveuen en cas d’incompliment. L’article 43 LTAIPBG estableix que si l’Administració incompleix el termini establert pels acords de mediació o per les resolucions de la GAIP per lliurar la informació reclamada, les persones interessades ho poden comunicar a la Comissió perquè aquesta en requereixi el compliment; la desatenció d’aquest requeriment, vista la remissió expressa feta a aquest precepte per l’article 77.2.b LTAIPBG, ha de ser qualificada d’infracció molt greu amb relació al dret d’accés a la informació pública (que pot ser sancionada de conformitat amb els articles 81 i 82 LTAIPBG). L’article 49.2 RGAIP preveu que, als efectes anteriors, la Comissió pot posar aquests fets en coneixement dels òrgans competents per ordenar la incoació del procediment sancionador corresponent a què fa referència l’article 86 LTAIPBG. Així mateix, l’article 25.2.k RGAIP preveu la publicació en el web de la Comissió dels casos que els seus requeriments han estat desatesos pels subjectes obligats. 5. Publicitat de les resolucions de la GAIP L’article 44 LTAIPBG preveu que les resolucions de la GAIP s’han de publicar en el portal de la Comissió previst a l’article 25 RGAIP, amb la dissociació prèvia de les dades personals. Resolució Sobre la base dels antecedents i fonaments jurídics exposats, el Ple de la GAIP, en la sessió de de 27 de març de 2025, resol per unanimitat: 1. Pèrdua sobrevinguda respecte de la informació de Documentació sobre la contractació DPO; de les fitxes (RAT ) i materials de formació i difusió interna elaborats per a la formació de tot el personal que ja s’haurien lliurat en els termes considerats al fonament jurídic 2. 2. Estimar la Reclamació 1124/2024 i declarar el dret del reclamant a la informació sol·licitada i reclamada d’acord amb les consideracions fetes al fonament jurídic 2, respecte de la informació relativa a: els procediments, protocols i instruments; les transferències internacionals de dades (TID); i materials de formació i difusió interna elaborats per a la formació de tot el personal en els termes i condicions considerats al fonament jurídic 2. 3. Requerir al Departament que faciliti l’accés a la persona reclamant a la informació indicada a l’apartat 2 dins del termini màxim d’un mes . 4. Requerir al Departament a inf ormar la GAIP, dins del termini de quinze dies, de l’òrgan o la persona responsable del compliment d’aquesta Resolució, així com de les actuacions dutes a terme per complir-la. 5. Convidar a la persona reclamant que informi a la GAIP de qualsevol incidència que es produeixi amb motiu del compliment d’aquesta Resolució. 6. Declarar finalitzat el procediment relatiu a la Reclamació 1661 /2024 i donar publicitat d’aquesta resolució al web de la GAIP. Iolanda Pineda Balló Presidenta Els terminis establerts en aquesta Resolució per lliurar la informació s’han de comptar en dies hàbils (descomptant festius i dissabtes) i si no s’especifica una altra cosa comencen a partir de l’endemà de la recepció de la seva notificació per l’Administració reclamada. L’Administració obligada pot sol·licitar a la GAIP l’ampliació del termini atorgat per fer efectiu el lliurament de la informació. Aquesta sol·licitud només pot ser admesa a consideració si és notificada a la GAIP abans que fineixi el termini fixat a la Resolució, i s’ha de fonamentar en circumstàncies que no hagin pogut ser tingudes en compte per la Comissió abans de dictar la seva Resolució. La GAIP únicament atorgarà l’ampliació sol·licitada, després d’informar-ne a la persona reclamant, si l’Administració obligada ha justificat de forma precisa i consistent la seva necessitat. Si l’Administració obligada no lliura la informació dins del termini establert per aquesta Resolució, la persona reclamant pot posar-ho en coneixement de la GAIP per tal que la Comissió en requereixi el compliment. Mentre no s’acompleixi plenament la Resolució, la Comissió difondrà al seu web www.gaip.cat l’incompliment de l’Administració obligada, d’acord amb l’article 25.2.k RGAIP. Tot això sens perjudici que la persona reclamant pugui, considerant que aquesta Resolució és un acte administratiu declaratiu de drets que vincula l’Administració, requerir la seva execució davant dels Tribunals, a l’empara de l’article 29.1 de la Llei 29/1998, de 13 de juliol, reguladora de la jurisdicció contenciosa administrativa. Aquesta acció es pot interposar després que hagin transcorregut tres mesos des que la persona afectada ha reclamat formalment i directament a l’Administració el compliment d’aquesta Resolució.