Solicitud de relación de correos corporativos del Ayuntamiento de Madrid y resultado de retrotraer actuaciones

Resolución: RDA284/2023 Nº Expediente de la Reclamación: RDACTPCM068/2023 Reclamante: Administración reclamada: Ayuntamiento de Madrid Información reclamada: Relación de correos corporativos. Sentido de la resolución: Estimación. Retroacción de actuaciones. ANTECEDENTES PRIMERO. El 7 de febrero de 2023, se recibe en este Consejo reclamación de ante la falta de respuesta a su solicitud de información formulada en fecha 31/01/2023 al Ayuntamiento de Madrid relativa relación de correos corporativos con dominio madrid.es. En concreto, el interesado señaló en su escrito de reclamación lo siguiente: “El Ayuntamiento de Madrid no ha remitido la información pública solicitada según adjunto. Una cuenta corporativa NO ES UNA CUENTA PERSONAL ni debiera de contener datos de carácter personal, de modo que el Ayuntamiento, si alegara que una cuenta tiene datos de carácter personal será porque esa cuenta se ha asignado sin adoptar las precauciones más elementales. Ejemplo de cuentas corporativas : [email protected], [email protected], [email protected]. Ejemplo de cuentas corporativas inadmisibles: [email protected] (es un ejemplo)” SEGUNDO. El 12 de mayo de 2023, este Consejo admitió a trámite la reclamación y dio traslado de la misma al Ayuntamiento de Madrid, solicitándole la remisión de las alegaciones que considere convenientes y, en general, toda la información o antecedentes que puedan ser relevantes para resolver la citada reclamación. TERCERO. El 9 de junio de 2023, se recibió por este Consejo el escrito de alegaciones presentado por la administración requerida. En dicho escrito, se indica lo siguiente: “4º En la resolución notificada de la Gerencia de Informática de fecha 17 de febrero de 2023 se estimó conceder parcialmente la información de la solicitud de acceso a la información pública formulada por , en base a las siguientes consideraciones: La información solicitada con los identificadores de todas las cuentas de correo electrónico del dominio @madrid.es pertenecientes al Ayuntamiento de Madrid, contiene las cuentas de correo de todos los empleados municipales; se trata de una información que contiene datos de carácter personal, quedando contemplado en el régimen legal de la cesión de datos y recogido en el artículo 11.1 de la Ley Orgánica 15/1999, al disponer que “los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado”. Estando los sistemas de Información del Ayuntamiento de Madrid incluidos en el ámbito de aplicación del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, se deben contemplar acciones relativas a los aspectos de prevención, detección y respuesta, con el objeto de minimizar sus vulnerabilidades y lograr que las amenazas sobre los mismos no se materialicen o que, en el caso de hacerlo, no afecten gravemente a la información que maneja o a los servicios que se prestan. En este sentido, el hacer público los identificadores de todas las cuentas de correo del Ayuntamiento implicaría, la facilidad para recepción de multitud de correos maliciosos (spam, malware, phishing), al aumentar la superficie de exposición con más de 35.000 registros de las cuentas de correo electrónico del dominio "@madrid.es", lo que puede afectar a la disponibilidad y seguridad de los sistemas de información y comunicaciones.” CUARTO. El 12 de junio de 2023, se remite al reclamante el escrito de la administración, concediéndole un plazo de 10 días para que formulase las alegaciones que considerase convenientes El mismo día, se recibió por este Consejo el escrito de alegaciones presentado por el reclamante. En dicho escrito, se indica lo siguiente: “REITERO: si una cuenta corporativa del dominio madrid.es contiene datos de carácter personal será por una mala gestión de las altas de dicho dominio y ello no puede impedir que como información elaborada y en posesión de la entidad pública sea facilitada, nominalmente o mediante enlace, a quien lo solicite.” FUNDAMENTOS JURÍDICOS PRIMERO. La Ley 10/2019, de 10 de abril, de Transparencia y Participación de la Comunidad de Madrid (en adelante LTPCM) reconoce en su artículo 30 que todas las personas tienen derecho a acceder a la información pública en los términos previstos en esta Ley y en el resto del ordenamiento jurídico. El artículo 5.b) de la misma entiende por información pública “los contenidos o documentos que obren en poder de alguno de los sujetos incluidos en el ámbito de aplicación de esta Ley y que hayan sido elaborados, adquiridos o conservados en el ejercicio de sus funciones”. El derecho de acceso, por tanto, se ejerce sobre una información existente y en posesión del organismo que recibe la solicitud, ya sea porque él mismo la ha elaborado o bien porque la ha obtenido en el ejercicio de las funciones que tiene encomendadas. SEGUNDO. El artículo 47 y siguientes y el 77 de la LTPCM, así como el artículo 6 del Reglamento de Organización y Funcionamiento del Consejo de Transparencia y Participación de la Comunidad de Madrid, reconocen la competencia de este Consejo para resolver las reclamaciones que se presenten en el ámbito del derecho de acceso a la información. TERCERO. El artículo 2.1 de la LTPCM establece que las disposiciones de esa ley se aplicarán a: “f) En los términos establecidos en la disposición adicional octava, las entidades que integran la Administración local” mientras que la Disposición Adicional Octava señala que “Corresponde al Consejo de Transparencia y Participación la resolución de las reclamaciones que se interpongan contra los actos expresos o presuntos resolutorios de las solicitudes de acceso a la información de los ayuntamientos de la Comunidad, de las universidades públicas de la Comunidad de Madrid, y de las entidades vinculadas o dependientes de los mismos. CUARTO. El derecho de acceso a la información pública se reconoce en el artículo 105 b) de la Constitución, con arreglo al cual: “la Ley regulará: el acceso de los ciudadanos a los archivos y registros administrativos, salvo en lo que afecte a la seguridad y defensa del Estado, la averiguación de los delitos y la intimidad de las personas.” El ámbito objetivo de la aplicación del derecho de acceso a la información se delimita de manera muy amplia en el artículo 5 de la LTPCM, de manera casi idéntica al artículo 13 de la LTAIBG: “Se entiende por información pública los contenidos o documentos que obren en poder de alguno de los sujetos incluidos en el ámbito de aplicación de la ley y que hayan sido elaborados, adquiridos o conservados en el ejercicio de sus funciones.” En función de lo anterior, el Tribunal Supremo recuerda que, “esta delimitación objetiva del derecho de acceso se entiende de forma amplia, más allá de los documentos y la forma escrita, a los contenidos en cualquier formato o soporte, cuando concurran los presupuestos de que dichos documentos o contenidos se encuentren en poder de las Administraciones y demás sujetos obligados por la LTAIBG por haber sido elaborados o adquiridos en el ejercicio de sus funciones.” (STS de 2 de junio de 2022, recurso de casación C-A núm. 4116/2020). Por lo tanto, ambas Leyes y la doctrina del Tribunal Supremo, definen el objeto de una solicitud de acceso a la información en relación con información que ya existe, por cuanto debe de estar en posesión del sujeto al momento de recibir la solicitud, bien porque el mismo la ha elaborado, bien porque la ha conservado o bien porque la ha obtenido en el ejercicio de sus funciones y competencias encomendadas. En el caso que nos ocupa, la información requerida debe considerarse información pública dado que estamos ante información sobre los correos corporativos del ayuntamiento, que son datos recogidos por una administración pública, que obran en su poder, y han sido obtenidos en el ejercicio de sus funciones y competencias. Una vez sentada la naturaleza de la información solicitada, corresponde analizar si se debe conceder acceso a la información solicitada, esto es, si se trata de información pública susceptible de ser concedida, o si, por el contrario, resulta de aplicación algún límite o causa de inadmisión que impida su acceso. QUINTO. En el caso que no ocupa, la administración deniega el acceso solicitado al considerar que el mismo podría poner en riesgo la privacidad de los empleados municipales, así como la ciberseguridad de estas direcciones de correo, al entregar al interesado el conjunto de correos corporativos identificados por el dominio madrid.es. Ante este planteamiento, el Consejo estima adecuada la fundamentación planteada por el ayuntamiento, ya que, en efecto, entregar los correos electrónicos de cada empelado municipal puede revelar datos personales de los mismos, haciendo peligrar su privacidad y poniendo en riesgo a su vez la seguridad de dichas cuentas de correo. No obstante, el interesado ha matizado en su escrito de alegaciones que esta no es la información que requiere. Al contrario, parece que la solicitud de acceso se limitaba a los correos corporativos generales de cada departamento o área de trabajo del ayuntamiento. Sin embargo, hay que destacar que este matiz no se introdujo en la solicitud inicial presentada ante el ayuntamiento, donde tan solo se manifestaba la pretensión de acceder a “Relación de emails corporativos, con dominio madrid.es”. Y por correo corporativo se entiende tanto aquellos correos o buzones generalistas que pone la administración a disposición del ciudadano como el resto de correos empelados por los trabajadores municipales, máxime si se tiene en cuenta que el único elemento que ayuda a precisar la solicitud es que estas direcciones compartan el dominio madrid.es, cuestión que no concreta la solicitud, sino que amplía el rango de alcance de la información solicitada. Por ello, este Consejo considera procedente retrotraer las actuaciones para que el ayuntamiento requiera al interesado para que concrete la información solicitada y, a su vez, asesore al interesado ofreciéndole las indicaciones y datos precisos para que el reclamante pueda concretar dicha solicitud, conforme a lo establecido en los artículos 33.1 c) y d) y 39.1 de la LTPCM. Una vez concretada el contenido de lo que se solicita, el ayuntamiento podrá facilitar al interesado la información de que disponga por partes, en varios momentos o incluso plazos y también puede ofrecer al reclamante la posibilidad de acudir a la sede del ayuntamiento para que acceda a la vista de los documentos en los que esté contenida la información solicitada. RESOLUCIÓN En atención de todos los antecedentes y fundamentos jurídicos expuestos, el Consejo de Transparencia y Participación de la Comunidad de Madrid ha decidido, PRIMERO. Estimar la reclamación con número de expediente RDACTPCM068/2023, presentada por , en fecha 7 de febrero de 2023. SEGUNDO. Retrotraer las actuaciones al momento posterior a la presentación de la solicitud y el Ayuntamiento de Madrid pueda solicitar al reclamante que concrete su solicitud de información conforme se ha señalado anteriormente y en los términos establecidos en los artículos 39.1 LTPCM y 19.2 LTAIBG, previa facilitación de las indicaciones precisas que el reclamante considere necesarias para que pueda concretar su solicitud, conforme a lo establecido en los artículos 33.1 c) y d) y 39.1 LTPCM. TERCERO. Instar al Ayuntamiento de Madrid a que, en el plazo de 20 días hábiles a contar desde el día siguiente a que el interesado haya concretado la información conforme al expositivo anterior, entregue al reclamante la información solicitada, remitiendo al Consejo testimonio de las actuaciones llevadas a cabo para la ejecución del contenido de la presente resolución. CUARTO. Recordar al Ayuntamiento de Madrid que si no se diera cumplimiento al contenido de la presente resolución o lo hiciera de forma parcial o defectuosa, el Área a la que corresponda la tramitación de la reclamación, o el Pleno en los casos que le corresponda, remitirán los correspondientes requerimientos instándole al cumplimiento íntegro de la misma y, de no atenderlos, se podrá remitir el expediente a la Presidencia del Consejo para que inicie el procedimiento sancionador regulado en el Título VI de la Ley 10/2019, de 10 de abril. Asimismo, de todo ello se dejará constancia en el informe que el Consejo remite anualmente a la Mesa de la Asamblea de la Comunidad de Mad De acuerdo con el artículo 48 del Reglamento de Organización y Funcionamiento del Consejo de Transparencia y Participación, esta resolución tiene carácter ejecutivo y será vinculante para los sujetos obligados por la Ley 10/2019, de 10 de abril. Asimismo, de conformidad con lo dispuesto en el artículo 112.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, el artículo 47 de la Ley 10/2019, de 10 de abril y el artículo 37 del Reglamento de Organización y Funcionamiento del Consejo, esta resolución pone fin a la vía administrativa. Madrid, en la fecha que figura en la firma. Rafael Rubio Núñez. Presidente. Responsable del Área de Publicidad Activa y Control. Ricardo Buenache Moratilla. Consejero. Responsable del Área de Participación y Colaboración Ciudadana. Antonio Rovira Viñas. Consejero. Responsable del Área de Acceso a la información.