Reclamación de acceso a información sobre ciberataques y bajas laborales en el Ayuntamiento de Barcelona con resultado de pérdida parcial del objeto y desestimación parcial

Resolució 311/2025 , de 6 de març Número d’expedient de la Reclamació: 1593/2024 Administració reclamada: Ajuntament de Barcelona. Informació reclamada: Diversa en relació amb ciberatacs. Sentit de la resolució: Pèrdua parcial i desestimació parcial. Resum: Els antecedents posen de manifest que l’Administració reclamada ha facilitat a la persona reclamant la informació de la que disposa, en el marc d’aquest procediment. Malgrat tot, sorprèn a aquesta Comissió que l’Ajuntament no disposi del nombre dels ciberatacs desglossats per mesos tenint en compte el que estableix l’article 24 i 25 del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (ENS) i la Instrucció tècnica de seguretat de notificació d’incidents de seguretat aprovada per Resolució de 13 d’abril de 2018, per la Secretaria d’Estat de Funció Pública. Tot i això, la resposta lliurada suposa la satisfacció parcial extemporània de la sol·licitud d’informació pel que fa als punts 1, 2 i 3 de la qual deriva la Reclamació i comporta la pèrdua parcial d’objecte d’aquesta, ja que s’han esvaït els motius de discrepància jurídica que la justificaven. Pel que fa al punt 4 de la petició és procedent desestimar parcialment la Reclamació per considerar que l’Administració havia donat resposta malgrat no fer-ho tenint el compte el que estableix l’article 34.1 LTAIPBG i l’article 41.1 de la Llei 39/2015, d’1 d’octubre, del procediment administratiu comú de les administracions públiques. Paraules clau: Ajuntaments. Sindicats. Delegats. Sistemes informàtics. Ciberatacs. Dades. Registres. Incidències. Correus electrònics. Notificacions. Veracitat. Reclamació contra comunicació. Formalismes. Sense límits. Pèrdua parcial. Desestimació parcial. Ponent: Mercè Aymerich i Boltà Antecedents 1. El 9 de desembre de 2024 e ntra a la GAIP la Reclamació 1593/2024 presentada per una persona física en qualitat de delegat sindical del CSIF contra l’Ajuntament de Barcelona, en relació amb la sol·licitud indicada a l’antecedent següent d’acord amb la Llei 19/2014, del 29 de desembre, de transparència, accés a la informació pública i bon govern (LTAIPBG) i el Reglament de la GAIP, aprovat pel Decret 111/2017, de 18 de juliol (RGAIP). La persona reclamant sol·licita el procediment de mediació i m anifesta haver rebut resposta de l’Administració, però no se li ha lliurat la informació. 2. El 18 de novembre de 2023 un delegat de la Junta de Personal va presentar un escrit en el que sol·licitava: “que se nos facilite la información siguiente, sobre el estado de empleados públicos del Ayuntamiento de Barcelona afectados por ciberataques, en cifras absolutas y desglosado en: [1] Número total de ciberataques detectados en los últimos 4 años, desglosado por meses; [2] Número de empleados públicos afectados por ciberataques ; [3] Número desglosado por gerencias, Institutos, organismos autónomos, etc.; [4] Número de empleados públicos afectados, por ciberataques, que han causa (IT) incapacidad temporal”. 3. En la Reclamació la persona reclamant acredita ser delegat LOLS mitjançant certificat del Secretari general de la Secció Sindical CISF a l’Ajuntament de Barcelona que l’habilita per exercir la representació del CSIF i argumenta que necessiten la informació per poder desenvolupar la tasca sindical. 4. El 23 d’octubre de 2023 el Departament de Prevenció de Riscos Laborals de l’Ajuntament de Barcelona respon, mitjançant un correu electrònic, en els següents termes: “(.../...) us informem que al DPRL no disposem de dades sobre ciberatacs. Entenem que la competència en aquesta matèria correspon a l'lnstitut Municipal d’ Informàtica (IMI). Tampoc no tenim constància de cap incapacitat temporal (IT) per aquesta circumstància” 5. El 9 de gener de 2025 la persona reclamant desisteix del procediment de mediació i demana prosseguir amb la tramitació ordinària. 6. El 24 de gener de 2025 la GAIP admet provisionalment la Reclamació, informa la persona reclamant sobre els aspectes més rellevants de la seva tramitació i de la posició jurídica que ostenta com a persona interessada, de conformitat amb la legislació de procediment administratiu i la de transparència i accés a la informació pública. Li demana especialment que informi la GAIP immediatament de les comunicacions que rebi de l’Administració reclamada relatives a la informació pública sol·licitada, mentre duri la Reclamació. 7. En la mateixa data, la GAIP comunica la Reclamació a l’Ajuntament de Barcelona i li requereix que, dins del termini de quinze dies establert per l’article 33.4 RGAIP, li trameti informe així com còpia de l’expedient de la sol·licitud d’informació de la qual deriva i, en general, dels antecedents que puguin ser rellevants per resoldre- la. 8. El 19 de febrer l’Ajuntament tramet l’informe en el que es dona resposta a diferents resolucions, informa que el 18 de febrer s’ha enviat escrit a la persona reclamant i sol·licita a la GAIP que es tingui per contestat en temps i forma el requeriment i es procedeixi, previs els tràmits oportuns, a desestimar la reclamació per satisfacció extemporània. Respecte a la Reclamació 1593/2024, l’Ajuntament informa, pel que fa al punt 1, dels ciberincidents del període 2020- 2024 agrupats per any i que no disposa de la informació per mesos. I pel que fa als punts 2- 3 diu que “els ciberincidents es dirigeixen a un número indeterminat de llocs de treball i servidors de tota l’organització. En tos els casos han estat neutralitzats. I en darrer terme, pel que fa al punt 4 diu “No en tenim constància de cap incapacitat temporal (IT) per aquesta circumstància”. 9. El 21 de febrer la GAIP trasllada aquesta informació a la persona reclamant i se li comunica que disposa d’un termini de 5 dies hàbils per a formular les al·legacions que consideri escaients. 10. El 27 de febrer la persona reclamant presenta un escrit a la GAIP per fer-nos coneixedors de la conformitat o no amb la informació rebuda. Respecte a la Reclamació que ens ocupa diu: “En aquest punt, I‘Ajuntament comunica que els ciberincidents es dirigeixen en nombre indeterminat i a tota la organització, però segur que en disposen de la informació que es demana del nombre d'empleats públics afectats i desglossats per gerències, instituts, organismes autònoms, etc, ja que com ells també diuen, tots han estat neutralitzats. Pel que respecta al punt 4 sobre empleats que hagin pogut causar incapacitat temporal per aquest motiu, en som coneixedors d'algun cas, i per aquest motiu es demana la informació, per saber si n'hi ha més que hagin pogut ésser afectats”. Fonaments jurídics 1. Competència de la GAIP i contingut i abast general del dret d’accés a la informació pública D’acord amb l’article 39.1 de la Llei 19/2014, del 29 de desembre, de transparència, accés a la informació pública i bon govern (LTAIPBG) i 29 del Decret 111/2017, de 18 de juliol, pel qual s'aprova el Reglament de la Comissió de Garantia del Dret d'Accés a la Informació Pública (RGAIP) aquesta Comissió és competent per tramitar i resoldre aquesta Reclamació. L’article 2.b i c LTAIPBG defineixen la informació pública i preveuen el dret d’accés a les persones per a sol·licitar i obtenir-la que d’acord amb l’article 18.1 LTAIPBG, tant a títol individual o en nom i representació de qualsevol persona jurídica legalment constituïda. L’article 20 LTAIPBG preveu els requisits i criteris per a l’aplicació dels límits legals al dret d’accés a la informació pública, que l’Administració no disposa de potestat discrecional i ha d’indicar en cada cas els motius que ho justifiquen. Els articles 21 i 22 LTAIPBG estableixen que aquests límits no són d’aplicació automàtica i absoluta i han de ser aplicats d’acord amb criteris de proporcionalitat i temporalitat i han d’atendre les circumstàncies de cada cas concret, especialment la concurrència d’un interès públic o privat superior que justifiqui l’accés a la informació. 2. Sobre la condició de la persona reclamant La persona reclamant presenta la reclamació com a representant del CSIF Secció Ajuntament de Barcelona i acredita, mitjançant certificat emès pel secretari general d’aquesta secció sindical, que és delegat sindical i que exerceix les funcions en la secretaria del serveis jurídics del CSIF i que aquestes l’habiliten per exercir la representació d’aquest sindicat davant les AAPP i organismes autònoms. Malgrat hi hagi aquesta discordança entre les persona que signen la sol·licitud i la persona que fa la reclamació, tenint en compte que per la documentació aportada la persona reclamant ostenta càrrec per exercir aquesta representació, s’ha d’entendre formulada per la persona física reclamant actuant en qualitat de delegat sindical CSIF. 3. Sobre la pèrdua parcial sobrevinguda de l’objecte de la reclamació i la veracitat de la informació Els antecedents posen de manifest que l’Administració reclamada ha facilitat parcialment a la persona reclamant la informació de la que disposa, en el marc d’aquest procediment. Malgrat tot, sorprèn a aquesta Comissió que l’Ajuntament no disposi del nombre dels ciberatacs desglossats per mesos tenint en compte que el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (ENS) estableix en el seu article 25 que “1. La entidad titular de los sistemas de información del ámbito de este real decreto dispondrá de procedimientos de gestión de incidentes de seguridad de acuerdo con lo previsto en el artículo 33, la Instrucción Técnica de Seguridad correspondiente y, en caso de tratarse de un operador de servicios esenciales o de un proveedor de servicios digitales, de acuerdo con lo previsto en el anexo del Real Decreto 43/2021, de 26 de enero, por el que se desarrolla el Real Decreto- ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información. 2. Asimismo, se dispondrá de mecanismos de detección, criterios de clasificación, procedimientos de análisis y resolución, así como de los cauces de comunicación a las partes interesadas y el registro de las actuaciones. Este registro se empleará para la mejora continua de la seguridad del sistema”. El registre al que es fa referència, regulat a l’article 24 diu “1. Con el propósito de satisfacer el objeto de este real decreto, con plenas garantías del derecho al honor, a la intimidad personal y familiar y a la propia imagen de los afectados, y de acuerdo con la normativa sobre protección de datos personales, de función pública o laboral, y demás disposiciones que resulten de aplicación, se registrarán las actividades de los usuarios, reteniendo la información estrictamente necesaria para monitorizar, analizar, investigar y documentar actividades indebidas o no autorizadas, permitiendo identificar en cada momento a la persona que actúa” I la Instrucció tècnica de seguretat de notificació d’incidents de seguretat aprovada per Resolució de 13 d’abril de 2018, per la Secretaria d’Estat de Funció Pública diu en l’apartat IV relatiu a la notificació obligatòria dels incidents amb nivell d’impacte Alt, Molt Alt i Crític “IV.1 Las notificaciones efectuadas por las entidades del ámbito de aplicación de la presente Instrucción Técnica de Seguridad al Centro Criptológico Nacional (CCN), en el marco de la articulación de respuesta a los incidentes de seguridad y la prestación de servicios de respuesta por parte del Equipo de Respuesta a Incidentes de Seguridad del CCN-CERT, (Centro Criptológico Nacional - Computer Emergency Response Team) se realizará en los términos indicados en los artículos 36 y 37 del Real Decreto 3/2010, de 8 de enero” . Tot i així i amb caràcter general, convé recordar la doctrina de la GAIP pel que fa a la veracitat de la informació (per totes, la Resolució 86/2023, de 2 de febrer). Segons aquesta Comissió, la veracitat és requerida per l’article 6.1.a LTAIPBG, als efectes de garantir la qualitat d’allò que es divulga en exercici de les obligacions de transparència o publicitat activa, ja que la veracitat és necessària per oferir la imatge real de l’organització i el funcionament de l’Administració. En canvi, als efectes del dret d’accés a la informació pública (articles 2.a i b i 18 LTAIPBG), aquesta és essencialment definida a partir del fet de trobar-se en poder de o a disposició de l’Administració, sense cap requisit explícit de veracitat. Cal recordar també, que la GAIP no té atribuïda cap potestat d’inspecció, ni cap competència que li permeti fiscalitzar la informació que les Administracions forneixen a les persones interessades en els procediments d’accés a la informació pública, d’acord amb allò que disposen els articles 39 i 41 de la LTAIPB, així com l’article 7 del RGAIP. Dit tot això, i malgrat la resposta lliurada no satisfà a la persona reclamant perquè considera que “segur que en disposen de la informació que es demana del nombre d'empleats públics afectats i desglossats per gerències, instituts, organismes autònoms, etc., ja que com ells també diuen, tots han estat neutralitzats”, aquesta Comissió no pot més que declarar la pèrdua parcial de l’objecte de la sol·licitud d’informació pel que fa als punts 1, 2 i 3 de la qual deriva la Reclamació, ja que s’han esvaït els motius de discrepància jurídica que la justificaven. En aquestes circumstàncies, és procedent finalitzar la Reclamació, sense necessitat de fer cap declaració sobre l’abast del dret d’accés exercit. 4. Sobre la desestimació parcial de la Reclamació L’article 44 RGAIP estableix que la resolució de la Reclamació pot inadmetre, estimar o desestimar, totalment o parcial, la sol·licitud de reclamació i que ha de ser motivada i s'ha de basar en l'aplicació de l’LTAIPBG i en la resta de l'ordenament jurídic. Pel que fa al punt 4 de la sol·licitud, “Número de empleados públicos afectados, por ciberataques, que han causa (IT) incapacidad temporal”, l’Ajuntament ja havia donat resposta en el sentit que “no tenim constància de cap incapacitat temporal (IT) per aquesta circumstància”. Resposta que es repeteix novament en l’informe emès en el marc d’aquesta Reclamació. Per tant, novament ens remetem a la doctrina de la GAIP pel que fa a la veracitat de la informació explicada en el fonament jurídic anterior. Tot i així, és convenient advertir a l’Ajuntament que l’article 34.1 LTAIPBG diu “1. La resolució s’ha de formalitzar per escrit i s’ha de notificar al sol·licitant i, si escau, als tercers afectats que hagin comparegut en l’expedient. Si la sol·licitud d’informació s’ha fet per via electrònica, la notificació de la resolució també es pot fer per mitjans electrònics”. Un correu electrònic no es pot considerar en cap cas una notificació. L’article 41.1 de la Llei 39/2015, d’1 d’octubre, del procediment administratiu comú de les administracions públiques estableix que “Les notificacions s’han de practicar preferentment per mitjans electrònics i, en tot cas, quan l’interessat estigui obligat a rebre- les per aquesta via” i segueix “Independentment del mitjà utilitzat, les notificacions són vàlides sempre que permetin tenir constància del seu enviament o posada a disposició, de la recepció o l’accés per part de l’interessat o el seu representant, de les seves dates i hores, del contingut íntegre, i de la identitat fidedigna del remitent i destinatari. L’acreditació de la notificació efectuada s’incorpora a l’expedient”. Dit això, aquesta Comissió no pot més que desestimar parcialment el dret d’accés a aquesta informació donat que aquesta informació ja havia estat facilitada i la persona reclamant acredita, adjuntant el correu electrònic, que l’havia rebut. 5. Publicitat de les resolucions de la GAIP L’article 44 LTAIPBG preveu que les resolucions de la GAIP s’han de publicar en el portal de la Comissió previst a l’article 25 RGAIP, amb la dissociació prèvia de les dades personals. Resolució Sobre la base dels antecedents i fonaments jurídics exposats, el Ple de la GAIP, en la sessió de 6 de març de 2025, resol per unanimitat: 1. Declarar la pèrdua parcial de l’objecte de la reclamació 1593/2024 conforme al que s’exposa al fonament jurídic 3. 2. Desestimar parcialment la Reclamació 1593/2024 pel que fa al punt 4 atenent les consideracions fetes al fonament jurídic 4. 3. Declarar finalitzat el procediment relatiu a la Reclamació 1593/2024. i donar publicitat d’aquesta resolució al web de la GAIP. Iolanda Pineda Balló Presidenta Contra aquesta resolució, que posa fi a la via administrativa, es pot interposar recurs contenciós administratiu davant el Tribunal Superior de Justícia de Catalunya en un termini de dos mesos, a comptar de l’endemà de la notificació de la resolució, d’acord amb la Llei 29/1998, de 13 de juliol, reguladora de la jurisdicció contenciosa administrativa.