Reclamación por denegación de acceso a información pública sobre protección de datos y seguridad de la información en Onda Cádiz

RESOLUCIÓN 398/2023,de 9 de junio Artículos: 24 LTPA; 12 LTAIBG. Asunto: Reclamación interpuesta por XXX (en adelante, la persona reclamante) contra la Sociedad "Información y Comunicación Municipal de Cádiz, S.A. (Onda Cádiz)" (en adelante, la entidad reclamada) por denegación de información pública. Reclamación: 100/2023 Normativa y abreviaturas: Ley 1/2014, de 24 de junio, de Transparencia Pública de Andalucía (LTPA); Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (LTAIBG); Reglamento General de Protección de Datos (RGPD). ANTECEDENTES Primero. Presentación de la reclamación. Mediante escrito presentado el 7 de febrero de 2023 la persona reclamante, interpone ante este CONSEJO DE TRANSPARENCIA Y PROTECCIÓN DE DATOS DE ANDALUCÍA (en adelante Consejo) Reclamación en materia de acceso a la información pública contra la entidad reclamada, al amparo del artículo 24 de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (en adelante LTAIBG) y del artículo 33 de la Ley 1/2014, de 24 de junio, de Transparencia Pública de Andalucía (en adelante LTPA). Segundo. Antecedentes a la reclamación. 1. La persona reclamante presentó el 29 de noviembre de 2022, ante el Ayuntamiento de Cádiz, solicitud de acceso a información en los siguientes términos: “1.- Informe interno sobre el carácter obligatorio o voluntario que, como sociedad mercantil local e integrante del sector público institucional local, tiene para ONDA CADIZ la designación de un Delegado de Protección de Datos. En su caso, Copia del Acta de la reunión del Consejo de Administración donde se haya acordado su designación (con carácter Obligatorio o Voluntario) o no designación. Informe sobre las funciones que ha de desempeñar y recursos asignados. "2.- Copia del Inventario de Actividades de Tratamiento de Datos Personales de la Organización. "3.- Copia de las Políticas informativas que, a los efectos del tratamiento de datos personales en el seno de la organización, hayan sido elaboradas y comunicadas a su personal. "4.- En cuanto sujeto incluido en el ámbito de aplicación del art. 2.1 del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, documento formal conteniendo la política de Seguridad de la Información (PSI). En su caso, evidencia de su publicación, o de su difusión interna, en la organización. En su caso, Copia del Acta donde conste el acuerdo del Órgano de dirección de la organización en el que se fundamenta la decisión de quedar incluidos en el ámbito subjetivo de la política de seguridad aprobada por la Administración con la que guarden relación de vinculación, dependencia o adscripción. "5.- Acta o documento en el que conste el acuerdo de constitución del Comité de Seguridad y designación inicial de sus miembros y aceptación de las responsabilidades". 2. El Ayuntamiento contestó la petición el día 15 de diciembre de 2022, informando de su remisión a la entidad reclamada. La persona solicitante reclamó ante este Consejo la respuesta ofrecida por la entidad (núm. 12/2023), reclamación que fue desestimada por Resolución 44/2023. 3. En la reclamación, la persona reclamante manifiesta que no ha obtenido respuesta de la entidad reclamada. Tercero. Sobre la reclamación presentada 1. Tramitación de la reclamación. 1. El 17 de febrero de 2023 el Consejo dirige a la persona reclamante comunicación de inicio del procedimiento para la resolución de la reclamación. El 24 de febrero de 2023 la entidad reclamada recibe la solicitud de copia del expediente derivado de la solicitud de información, informe y alegaciones que tuviera por conveniente plantear en orden a resolver la reclamación. Dicha solicitud es comunicada asimismo por correo electrónico de 17 de febrero de 2023 a la Unidad de Transparencia respectiva. 2. El 13 de marzo de 2023 la entidad reclamada presenta escrito de respuesta a este Consejo, en el que se incluye cierta documentación relacionada con la petición de información. En concreto, se ponen de manifiesto las siguientes alegaciones: " (…) SEGUNDA.- Que conforme a las funciones atribuidas y en contestación a lo solicitado por el Consejo de Transparencia y Protección de Datos de Andalucía, se informa que ya en el año 2018, con el nuevo panorama jurídico Europeo en materia de protección de datos, la mercantil ONDA CÁDIZ, S.A.U., adapto sus conocimientos en la materia por medio del Centro de Estudios Forgades, S.L., formando a sus trabajadores sobre los cambios surgidos a raíz del Reglamento Europeo de Protección de Datos, así como auditando sus datos para la elaboración de la documentación exigible por la nueva normativa. "Se adjunta como documento número (...), informe de adaptación al nuevo Reglamento de Protección de Datos certificado por el Centro de Estudios Forgades, S.L. "De igual forma, se adjunta como documento número 1(...), factura emitida por el Centro de Estudios Forgades, S.L., donde se identifica al personal formado conforme a la nueva Reglamentación General de protección de datos. "En materia de asesoramiento laboral, informar que la adjudicataria del servicio de asesoría laboral y gestión de nóminas de los trabajadores de ONDA CÁDIZ, S.A.U., es la mercantil AGARIS RAPOSO&MOSTEIRO, la cual tiene contratados sus servicios en protección de datos con la mercantil DATA FIDEM, PROTECCIÓN DE DATOS. "Y en materia de control horario de los trabajadores, manifestar que el mismo es llevado a cabo por la empresa SYSTEMPIN CONTROL DE PRESENCIA, S.L., cuya certificación adjuntamos como documentos números (...) y (...). "TERCERA.- Que con fecha 16 de enero de 2023, se celebró reunión del Consejo de Administración de la entidad ONDA CÁDIZ, S.A.U., donde se planteaba como punto número Tercero del orden del día, la propuesta de nombramiento del delegado de protección de datos. "Dicho nombramiento no se hizo efectivo ya que se planteaban dudas sobre la idoneidad del candidato, suspendiéndose la reunión del Consejo de la mercantil a la espera de obtener informe del asesor jurídico de la mercantil para conocer los requisitos que debe tener un Delegado de Protección de Datos. "Manifestar que por motivos de Protección de datos, Derecho al honor y a la propia imagen, no se adjunta acta completa de la citada reunión por lo que se opta por aportar como documento número (...), certificación del acta del Consejo con el punto concerniente a la presente reclamación. "Con fecha 20 de enero de 2023, se obtuvo informe del asesor jurídico de la mercantil ONDA CÁDIZ, S.A.U., donde se analizaba la figura y requisitos del Delegado de Protección de Datos en la empresa. "Se adjunta como documento número (...), informe emitido por el asesor jurídico de la mercantil ONDA CÁDIZ, S.A.U. "Que debido a la retransmisión del Concurso oficial de agrupaciones del carnaval de Cádiz 2023 (COAC), llevado a cabo por la mercantil ONDA CÁDIZ, S.A.U., y ante la necesidad de optimizar las fuerzas en una retransmisión con garantías, no se pudo celebrar junta del Consejo hasta pasado un mes desde la primera reunión. "Tal es así que con fecha 15 de febrero de 2023, una vez recibido el informe jurídico por parte de la asesoría, se celebró reunión del Consejo de Administración de la entidad ONDA CÁDIZ, S.A.U., donde se acordaba como punto número cuatro del orden del día, el nombramiento como Delegado de Protección de Datos a D. [nombre y apellidos de tercera persona]. "De igual forma que el anterior acta, se adjunta como documento número (...), certificación del acta del Consejo con el punto concerniente a la presente reclamación. (...) "Por lo expuesto, "SOLICITA A ESE CONSEJO DE TRANSPARENCIA Y PROTECCIÓN DE DATOS DE ANDALUCÍA, que tenga por presentado este escrito, lo admita junto con la prueba y documentos que lo acompañan, tenga por contestado en tiempo y forma la reclamación efectuada por el Sr. [apellidos de la persona reclamante], y, en su virtud acuerde inadmitir la citada reclamación". FUNDAMENTOS DE DERECHO Primero. Sobre la competencia para la resolución de la reclamación. 1. De conformidad con lo previsto en los artículos 24 LTAIBG y 33 LTPA, en relación con lo dispuesto en el artículo 3.1.i) LTPA, al ser la entidad reclamada una entidad mercantil de una entidad local de Andalucía, el conocimiento de la presente reclamación está atribuido a la competencia de este Consejo. 2. La competencia para la resolución reside en el Director de acuerdo con lo previsto en el artículo 48.1. b) LTPA. 3. Debe destacarse a su vez que, en virtud del artículo 16.5 del Decreto 434/2015, de 29 de septiembre, por el que se aprueban los Estatutos del Consejo de Transparencia y Protección de Datos de Andalucía, “[e]l personal funcionario del Consejo, cuando realice funciones de investigación en materias propias de la competencia del Consejo, tendrá el carácter de agente de la autoridad”, con las consecuencias que de aquí se derivan para los sujetos obligados en relación con la puesta a disposición de la información que les sea requerida en el curso de tales funciones investigadoras. Segundo. Sobre el cumplimiento del plazo en la presentación de la reclamación. 1. De conformidad con lo dispuesto en el artículo en el artículo 24.2 LTAIBG la reclamación se interpondrá en el plazo de un mes a contar desde el día siguiente al de la notificación del acto impugnado o desde el día siguiente a aquel en que se produzcan los efectos del silencio administrativo, sin perjuicio de lo dispuesto en el artículo 124 de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común (LPAC). Sobre el plazo máximo de resolución, el artículo 32 LTPA establece que las solicitudes deberán resolverse y notificarse en el menor plazo posible. En el ámbito de la entidad reclamada, el plazo máximo para dictar y notificar la resolución será de un mes desde la recepción de la solicitud por el órgano competente para resolver, salvo que la entidad hubiera establecido uno menor. Sobre el silencio administrativo, establece el artículo 20.4 LTAIBG que transcurrido del plazo máximo de resolución sin que se haya dictado y notificado resolución expresa se entenderá que la solicitud ha sido desestimada. A su vez, los artículos 20.1 LTAIBG y artículo 32 LTPA establecen que el plazo máximo de resolución podrá ampliarse por el mismo plazo, respectivamente, en el caso de que el volumen o la complejidad de la información que se solicita así lo hagan necesario y previa notificación al solicitante. 2. En el presente supuesto la solicitud fue presentada el 29 de noviembre de 2022, y la reclamación fue presentada 7 de febrero de 2023. Así, considerando producido el silencio administrativo transcurrido el plazo máximo para resolver desde la solicitud, la reclamación ha sido presentada en plazo, conforme a lo previsto en el artículo 24.2 LTAIBG y el artículo 124 LPAC. Tercero. Consideraciones generales sobre el derecho de acceso a la información pública 1. Constituye “información pública” a los efectos de la legislación reguladora de la transparencia, “los contenidos o documentos, cualquiera que sea su formato o soporte, que obren en poder de alguna de las personas y entidades incluidas en el presente título y que hayan sido elaborados o adquiridos en el ejercicio de sus funciones” [art. 2 a) LTPA]. Según establece el artículo 24 LTPA, “[t]odas las personas tienen derecho de acceder a la información pública veraz […] sin más limitaciones que las contempladas en la Ley”. Y el artículo 6 a) LTPA obliga a que su interpretación y aplicación se efectúe tomando en consideración el “principio de transparencia, en cuya virtud toda la información pública es en principio accesible y sólo puede ser retenida para proteger otros derechos e intereses legítimos de acuerdo con la Ley”. La legislación reguladora de la transparencia, pues, se fundamenta y estructura en torno a una regla general de acceso a la información pública, que únicamente puede ser modulada o limitada si se aplican, motivadamente y de forma restrictiva, alguno de los supuestos legales que permiten su restricción o denegación. 2. Las causas de inadmisión se encuentran enumeradas en el artículo 18 («Causas de inadmisión») LTAIBG, y su aplicación debe ser objeto de una interpretación restrictiva y el supuesto de hecho de su concurrencia debe ser acreditado por el órgano reclamado (Resolución CTPDA 451/2018, FJ 5º). Sobre ello nos dice el Tribunal Supremo en la Sentencia n.º 1547/2017, de 16 de octubre (Sala de lo Contencioso-Administrativo, Sección Tercera): “La formulación amplia en el reconocimiento y en la regulación legal del derecho de acceso a la información obliga a interpretar de forma estricta, cuando no restrictiva, tanto las limitaciones a ese derecho que se contemplan en el artículo 14.1 de la Ley 19/2013 como las causas de inadmisión de solicitudes de información que aparecen enumeradas en el artículo 18.1, sin que quepa aceptar limitaciones que supongan un menoscabo injustificado y desproporcionado del derecho de acceso a la información. [...] Asimismo, la posibilidad de limitar el derecho de acceso a la información no constituye una potestad discrecional de la Administración o entidad a la que se solicita información, pues aquél es un derecho reconocido de forma amplia y que sólo puede ser limitado en los casos y en los términos previstos en la Ley...” (Fundamento de Derecho Sexto). 3. Los límites al derecho de acceso están contenidos en el artículo 14 LTAIBG, y al igual que las causas de inadmisión, deben ser interpretados restrictivamente y el supuesto de hecho de su concurrencia debe ser acreditado por el órgano reclamado en cada caso concreto. Cuarto. Consideraciones de este Consejo sobre el objeto de la reclamación: 1. El objeto de la solicitud de información fue el siguiente: “1.- Informe interno sobre el carácter obligatorio o voluntario que, como sociedad mercantil local e integrante del sector público institucional local, tiene para ONDA CADIZ la designación de un Delegado de Protección de Datos. En su caso, Copia del Acta de la reunión del Consejo de Administración donde se haya acordado su designación (con carácter Obligatorio o Voluntario) o no designación. Informe sobre las funciones que ha de desempeñar y recursos asignados. "2.- Copia del Inventario de Actividades de Tratamiento de Datos Personales de la Organización. "3.- Copia de las Políticas informativas que, a los efectos del tratamiento de datos personales en el seno de la organización, hayan sido elaboradas y comunicadas a su personal. "4.- En cuanto sujeto incluido en el ámbito de aplicación del art. 2.1 del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, documento formal conteniendo la política de Seguridad de la Información (PSI). En su caso, evidencia de su publicación, o de su difusión interna, en la organización. En su caso, Copia del Acta donde conste el acuerdo del Órgano de dirección de la organización en el que se fundamenta la decisión de quedar incluidos en el ámbito subjetivo de la política de seguridad aprobada por la Administración con la que guarden relación de vinculación, dependencia o adscripción. "5.- Acta o documento en el que conste el acuerdo de constitución del Comité de Seguridad y designación inicial de sus miembros y aceptación de las responsabilidades". Este Consejo debe aclarar que esta resolución analiza el ejercicio del derecho de acceso reconocido en la normativa de transparencia, ya que viene a finalizar una reclamación interpuesta por denegación de dicho derecho. No se analiza por tanto el cumplimiento de las obligaciones derivadas de la normativa de protección de datos, que no fueron objeto de la reclamación. Lo solicitado es “información Pública”, al tratarse de documentos, o contenido, que obran en poder de la entidad reclamada, y han sido elaborados o adquiridos por ella en el ejercicio de sus funciones, todo ello de conformidad con el artículo 2.a) LTPA. En el escrito de alegaciones formulado la entidad reclamada expone las actuaciones que ha llevado a cabo para adaptarse a la normativa de protección de datos, y aporta diversa documentación que, parcialmente, podría responder a la información solicitada en este caso. En concreto, entre la documentación remitida se encuentra copia del certificado elaborado por el Secretario no consejero del Consejo de Administración de la entidad reclamada, referido a la reunión celebrada el 15 de febrero de 2023 en la que se somete a votación, se aprueba por mayoría y se nombra al delegado de protección de datos de la entidad reclamada. Igualmente se adjunta copia del Informe Jurídico tomado en consideración en dicha reunión del Consejo de Administración. Este informe, que analiza la la figura y requisitos del Delegado de Protección de Datos, trata sobre las funciones que ha de desempeñar dicha figura y los recursos de los que debe disponer. A este respecto, se ha de indicar que con tales documentos (certificado e informe jurídico) se vendría a dar respuesta al primer apartado de la solicitud de información en los que se refiere a la solicitud del acta de la reunión del consejo de administración en donde se ha acordado la designación del delegado de protección de datos, y del informe sobre las funciones que ha de desempeñar y recursos asignados. Sucede, sin embargo, que es a la propia persona solicitante a quien se debe ofrecer la información, pues, como hemos tenido ya ocasión de señalar en anteriores decisiones, son los poderes públicos a los que se pide la información los “obligados a remitirla directamente a la persona que por vía del ejercicio de derecho de acceso haya manifestado su interés en conocerla”, toda vez que no es finalidad de este Consejo, “ciertamente, convertirse en receptor o transmisor de esta información pública, sino velar por el cumplimiento del ejercicio de este derecho de acceso a la misma en los términos previstos en la LTPA y que la información llegue al ciudadano solicitante por parte del órgano reclamado” (por todas, las Resoluciones 59/2016, de 20 de julio, FJ 5º; 106/2016, de 16 de noviembre, FJ 4º; 111/2016, de 30 de noviembre, FJ 3º; 122/2016, de 14 de diciembre, FJ 5º; 55/2017, de 12 de abril, FJ 3º). Por consiguiente, en esta ocasión, al igual que hacíamos en todas las resoluciones citadas, debemos concluir que es la entidad reclamada, y no a este órgano de control, quien debe poner directamente a disposición de la persona interesada la información que atañe a la solicitud en cuestión. De ahí que la ausencia de respuesta alguna por parte del órgano o entidad reclamada a la persona interesada determine, a efectos formales, la estimación de la reclamación, en lo que a este apartado se refiere. 2. Respecto al resto de peticiones de información transcritas en el apartado anterior, considerando que la información solicitada se incardina claramente en el concepto de información pública, que no consta que la persona reclamante haya recibido la información solicitada y que no ha sido alegada por la entidad reclamada ninguna causa de inadmisión ni ningún límite que permita restringir el acceso a la misma, este Consejo debe estimar la presente reclamación en virtud de la regla general de acceso a la información que referíamos en el fundamento jurídico anterior. Y en el caso de que la información solicitada no exista, la entidad deberá informar expresamente de esta circunstancia. Quinto. Cuestiones generales sobre la formalización del acceso. La entidad reclamada, por tanto, ha de ofrecer a la persona reclamante la información objeto de su solicitud, ocultando los datos personales que eventualmente pudieran aparecer en la misma y que excedan de la información solicitada, como pudieran ser datos sobre domicilios o teléfonos particulares, números de identificación, estado civil, etc.; todo ello en aplicación del principio de minimización establecido en el artículo 5.1c) RGPD (datos adecuados, pertinentes y limitados a lo necesario) . La entidad reclamada deberá tener en cuenta que la disociación de datos personales implica no solo la supresión de la identificación concreta de las personas físicas o aquellos otros datos que pudieran permitir la misma (DNI, dirección, número de teléfono…), sino también de otra información que permitiera igualmente la identificación de alguna persona física. En este sentido, el artículo 4.1 del Reglamento General de Protección de Datos define dato personal como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. Igualmente, el Considerando 26 afirma: “(...). Para determinar si una persona física es identificable, deben tenerse en cuenta todos los medios, como la singularización, que razonablemente pueda utilizar el responsable del tratamiento o cualquier otra persona para identificar directa o indirectamente a la persona física. Para determinar si existe una probabilidad razonable de que se utilicen medios para identificar a una persona física, deben tenerse en cuenta todos los factores objetivos, como los costes y el tiempo necesarios para la identificación, teniendo en cuenta tanto la tecnología disponible en el momento del tratamiento como los avances tecnológicos. (...)” En el caso de que en algunos de los documentos solicitados ni siquiera la supresión u ocultación de información llegara a impedir la identificación de la persona, la entidad reclamada no pondrá a disposición de la persona reclamante aquellos documentos afectados por dicha circunstancia. A los efectos de la adecuada disociación u ocultación de los datos que puedan aparecer en los documentos, es preciso reseñar que la firma manual también se considera un dato personal y está sujeta a lo expresado anteriormente. Por otra parte, el código seguro de verificación (CSV) de los documentos firmados electrónicamente deberá ser ocultado en caso de que se haya suprimido algún dato del documento en cuestión cuya copia se facilite como respuesta a la solicitud de acceso a la información, o bien cuando el acceso a la correspondiente verificación pueda permitir la consulta de algún dato personal, no revelado en el documento, de la persona firmante, como puede ser, por ejemplo, el DNI. Y en la hipótesis de que no exista alguna de la información solicitada, la entidad reclamada deberá transmitir expresamente esta circunstancia a la persona reclamante. La información obtenida podrá usarse sin necesidad de autorización previa, con las únicas limitaciones de las que se deriven de la LTPA y otras leyes, según lo previsto en el artículo 7 d) LTPA. Asimismo, según el artículo 8 a) LTPA, las personas que accedan a información pública en aplicación de la normativa de transparencia deberán ejercer su derecho con respeto a los principios de buena fe e interdicción del abuso del derecho. En el caso de que la información a la que se concede el acceso contuviera datos personales, el artículo 15.5 LTAIBG establece que la normativa de protección de datos será de aplicación al tratamiento posterior de los obtenidos a través del ejercicio del derecho de acceso. En virtud de los Antecedentes y Fundamentos Jurídicos citados se dicta la siguiente RESOLUCIÓN Primero. Estimar la Reclamación presentada. La entidad reclamada deberá facilitar a la persona reclamante la información solicitada teniendo en cuenta lo indicado en los Fundamentos Jurídicos Cuarto, apartados primero y segundo, y Quinto, todo ello en el plazo de diez días a contar desde el día siguiente al que se le notifique esta Resolución. La información se entregará previa disociación de los datos personales que pudiera contener. Segundo. Instar a la entidad reclamada a que remita a este Consejo en el plazo de diez días a contar desde el día siguiente al que se le notifique esta Resolución, las actuaciones realizadas, incluyendo la acreditación del resultado de las notificaciones practicadas.