Texto completo
Resolución reclamación art. 24 LTAIBG
HASH: 91d6017b1911f5ef302a0da1cbe3a58c
Número y fecha de resolución: indicados al margen.
Número de expediente: 912/2025.
Fecha Firma: 27/05/2026
Reclamante:
Presidenta
Organismo: MINISTERIO DEL INTERIOR.
Sentido de la resolución: Desestimatoria.
Número: 2026-0568 Fecha: 27/05/2026
Palabras clave: código fuente, arts. 14.1.d), h) y j) LTAIBG.
I. ANTECEDENTES
R CTBG
1. Según se desprende de la documentación obrante en el expediente, el 4 de abril de
2025 el reclamante solicitó, al amparo de la Ley 19/2013, de 9 de diciembre, de
transparencia, acceso a la información pública y buen gobierno 1 (en adelante,
LTAIBG), la siguiente información:
«Exponiendo:
- Que existe una gran cantidad de herramientas de código fuente abierto
- Que la mayoría de herramientas de código abierto, y su código fuente, se ofrecen
bajo licencias copyleft como la AGPL, la GPL, la MPL, etc., que permiten reutilizarlas
en desarrollos para facilitar y agilizar la programación, siempre que se cumpla con
la licencia con la que se distribuye
- Que muchas de estas licencia incluyen cláusulas de redistribución, que dicen, por
ejemplo en el caso de GPL V2: “cualquier persona que distribuya software que
utilice GPLv2 está obligada a ofrecer una copia de su código fuente, en el mismo
https://www.boe.es/buscar/doc.php?id=BOE-A-2013-12887
Página 1 de 17 Consejo de Transparencia y Buen Gobierno AAI
www.consejodetransparencia.es
formato y con las mismas libertades que la versión original, e incluyendo cualquier
modificación que se le haya hecho, a quien lo solicite”.
- Que en el caso de algunas licencias como la GPLv2, si se imponen restricciones o
se prohíbe el acceso al código fuente del código bajo esta licencia utilizado por una
persona, entidad o empresa, esta no podrá distribuir software al público que
contenga código bajo esta licencia: “si alguien impone restricciones que le prohíben
distribuir código GPL de tal forma que influya en las libertades de los usuarios (por
ejemplo, si una ley impone que esa persona únicamente pueda distribuir el software
en binario), esa persona no puede distribuir software GPL”
- Y por último, que recientemente, la Dirección General de la Policía ha lanzado a la
ciudadanía la aplicación móvil MiDNI
Número: 2026-0568 Fecha: 27/05/2026
Solicito, a la Dirección General de la Policía, y a quien corresponda, acceso a la
siguiente información:
Siguiendo las directrices y cláusulas que imponga cada licencia, y habiendo
instalado la app MiDNI en mi teléfono móvil Android, teniendo por tanto, el binario
en este, solicito una copia de todo el código fuente incluido en el binario compilado
de Android de la aplicación MiDNI en su versión 1.0.0 (es.gob.interior.policia.midni),
R CTBG
que se encuentre licenciado bajo las licencias: AGPL, GPL, EUPL, EPL, LGPL,
ODCODL y Mozilla, en todas sus versiones (por ejemplo, GPL v2 y GPL v3). En los
casos en los que las licencias ofrezcan libertad sobre el soporte sobre el que
entregar la copia del código fuente, está se dejará a elección de La Administración,
preferiblemente digital.»
2. Mediante resolución de 28 de abril se contestó lo siguiente:
«(…) Una vez analizada la petición, este Centro Directivo señala que si bien todas
las personas tienen el derecho de acceso a la información pública, en los términos
previstos en el art. 105.b) de la Constitución Española, este derecho no es ilimitado
pues la propia LTAIBG establece tasados los limites e inadmisiones que imperan
sobre el derecho de acceso.
Por tal motivo, este Centro Directivo ha resuelto denegar el acceso a la información
solicitada, de acuerdo con el artículo 14 de la Ley 19/2023, de 9 de diciembre, de
transparencia, acceso a la información pública y buen gobierno, según el cual el
derecho de acceso podrá ser limitado cuando acceder a la información suponga un
perjuicio estipulado en los siguientes apartados:
d) perjuicio para la seguridad pública.
Página 2 de 17 Consejo de Transparencia y Buen Gobierno AAI
www.consejodetransparencia.es
h) los intereses económicos y comerciales.
j) secreto profesional y la propiedad intelectual e industrial.
Los motivos de dicha denegación se fundamentan en que la aplicación MiDNI, es
una aplicación que permite utilizar un soporte virtual para proporcionar un nivel de
seguridad adicional al que proporciona el actual soporte físico del Documento
Nacional de Identidad, de forma que no sólo permite que sea el titular del
documento quien comparta los datos de identidad que considere adecuados y no
otros, sino que, además, incorpora un mecanismo de verificación de autenticidad
de dichos datos que puede ser comprobado a través de la firma cualificada de la
DGP de un código QR generado con las máximas medidas de seguridad
actualmente disponibles.
Número: 2026-0568 Fecha: 27/05/2026
Por tanto al ser un software de alta seguridad que cumple con normas técnicas de
seguridad estrictas, no es posible compartir el código fuente ni las opciones de
compilación del producto, pues al estar vinculado a la identificación personal digital,
puede contener mecanismos de seguridad (algoritmos criptográficos autenticación,
validaciones, etc.) que, si se divulgaran, pondrían en riesgo la integridad del sistema
de identificación digital, afectando tanto a la seguridad pública como a la seguridad
R CTBG
de los sistemas, incluyendo la grave afectación de la protección de datos
personales.
Así mismo, el acceso al código fuente podría permitir la identificación de
vulnerabilidades técnicas o posibles exploits, dando lugar a tener accesos no
autorizados o ejecutar algún tipo de código malicioso, lo cual afectaría a la
ciberseguridad del sistema y comprometería los fines legítimos del servicio público.
De la misma manera, se incide en que estamos ante un instrumento de alta
tecnología que utiliza múltiples librerías y componentes que cumplen en todo
momento las garantías de propiedad intelectual establecidas en el Real Decreto
Legislativo 1/1996, de 12 de abril, por el que se aprueba el texto refundido de la Ley
de Propiedad Intelectual, regularizando, aclarando y armonizando las disposiciones
legales vigentes sobre la materia y aunque el solicitante mencione licencias de
software libre (AGPL, GPL, LGPL, etc.), el hecho de que un código fuente contenga
componentes bajo licencias libres no implica que todo el código sea libre ni que el
código completo pueda ser divulgado sin restricciones, pues podría vulnerar los
derechos de propiedad intelectual de terceros o revelar elementos protegidos no
amparados por licencias libres.»
Página 3 de 17 Consejo de Transparencia y Buen Gobierno AAI
www.consejodetransparencia.es
3. Mediante escrito registrado el 30 de abril de 2025, el solicitante interpuso una
reclamación ante el Consejo de Transparencia y Buen Gobierno (en adelante, el
Consejo) en aplicación del artículo 24 2 LTAIBG en la que pone de manifiesto lo
siguiente:
«Esta solicitud fue denegada por interpretar erróneamente la DGP que se solicita
acceso a todo el código fuente de la app MiDNI, cuando no es así. Solo se solicitó
acceso al código fuente de esta app que se encontrase bajo una de las licencias
indicadas en la solicitud.
Al ser un concepto bastante técnico, pondré un ejemplo: si yo desarrollo una app de
clima para Windows, y en el código fuente incluyo un fragmento de código hecho y
compartido por otra persona (para, por ejemplo, convertir de °C a °F), si ese
Número: 2026-0568 Fecha: 27/05/2026
fragmento de código se distribuye al público bajo una licencia como por ejemplo la
GPL V2, yo como desarrollador estoy obligado a redistribuir ese fragmento de
código ajeno que he utilizado al público, incluyendo las modificaciones que haya
hecho sobre este y bajo la misma licencia que el original, sin compartir el código
fuente entero de mi aplicación.
El caso exacto es diferente dependiendo de cada licencia (este ejemplo aplica a la
R CTBG
GPL V2), pero en ningún caso se solicita acceso al código fuente completo de la app
MiDNI, sino de fragmentos o librerías utilizadas cuyo código fuente ya era público
anteriormente y cuya licencia obliga a su redistribución a quien lo solicite, y que en
algunos casos prohíben su uso en desarrollos si existen leyes que prohíban está
redistribución a quien la solicite.»
4. Con fecha 5 de mayo de 2025, el Consejo trasladó la reclamación al Ministerio
requerido solicitando la remisión de la copia completa del expediente derivado de la
solicitud de acceso a la información y el informe con las alegaciones que considerase
pertinentes. El 8 de mayo de 2025 tuvo entrada en este Consejo, junto al expediente,
escrito en el que se señala lo siguiente:
«(…) Se quiere de nuevo hacer constar que estamos ante un instrumento de alta
tecnología que utiliza múltiples librerías y componentes que cumplen en todo
momento las garantías de propiedad intelectual establecidas en el Real Decreto
Legislativo 1/1996, de 12 de abril, por el que se aprueba el texto refundido de la Ley
de Propiedad Intelectual, regularizando, aclarando y armonizando las disposiciones
legales vigentes sobre la materia y aunque el solicitante mencione licencias de
https://www.boe.es/buscar/act.php?id=BOE-A-2013-12887&tn=1&p=20181206#a24
Página 4 de 17 Consejo de Transparencia y Buen Gobierno AAI
www.consejodetransparencia.es
software libre (AGPL, GPL, LGPL, etc.), el hecho de que un código fuente contenga
componentes bajo licencias libres no implica que todo el código sea libre ni que el
código completo pueda ser divulgado sin restricciones, pues podría vulnerar los
derechos de propiedad intelectual de terceros o revelar elementos protegidos no
amparados por licencias libres.
Sin entrar en un debate jurídico en relación con las características del licenciamiento
de software de código abierto que establece el ciudadano, sólo sería posible
estudiar la obligatoriedad de compartir el código fuente en el caso de que se
hubiesen modificado librerías, cuestión ésta que no forma parte de un código de
buenas prácticas de programación. Las librerías que se utilizan no se modifican.
Así mismo, la Ley 37/2007 de 16 de noviembre, sobre reutilización de la información
Número: 2026-0568 Fecha: 27/05/2026
del sector público indica que sólo se debe permitir el acceso y reutilización de
información cuando sea verdaderamente pública y reusable. En este caso, el código
fuente que se solicita, no se ha publicado oficialmente como reutilizable, por lo que
no se puede considerar información pública disponible por defecto.
Siguiendo lo anterior, en la propia página web de Policía Nacional,
https://www.dnielectronico.es/portaldnie/PRF1_Cons02.action?pag=REF_2152, se
R CTBG
publican las Condiciones de Uso de la App MiDNI y Licencia de Uso, en donde pone
en concreto en su punto 3 lo siguiente:
“3. Propiedad intelectual e industrial de la App.
La titularidad de la App y el software y/o cualquier tecnología que deba
aplicarse para que se puedan prestar sus servicios a través de la App,
corresponde a la Policía Nacional o a terceras empresas otorgantes de
licencias. La Policía Nacional otorga una licencia de uso gratuito de la App,
personal e intransferible, limitada, no exclusiva y disponible, tras la
aceptación de las presentes Condiciones Generales de Uso.
Asimismo, todos los contenidos incluidos en la App, incluyendo, sin carácter
limitativo, cualquier Copyright, derechos de diseño, logotipos, nombre
comercial, marcas, nombres de dominio de Internet, derechos morales,
códigos fuente, informes, dibujos, y cualquier otro derecho de propiedad
intelectual y formas de protección equivalentes o similares existentes en
cualquier lugar del mundo están protegidos por los derechos de propiedad
industrial e intelectual de la Policía Nacional o de terceros titulares de los
mismos que han autorizado su inclusión en la App. En consecuencia, queda
expresamente prohibida cualquier utilización o reproducción de tales
Página 5 de 17 Consejo de Transparencia y Buen Gobierno AAI
www.consejodetransparencia.es
marcas, nombres comerciales, diseños, textos, fotografías, logotipos, iconos
y demás signos o elementos susceptibles de utilización industrial o
comercial, sin el consentimiento expreso y por escrito de la Policía Nacional.
La Policía Nacional se reserva el derecho a ejercer cuantas acciones legales
le correspondan, así como reclamar los daños y perjuicios ocasionados por
el incumplimiento de lo recogido en este apartado.”
Sin perjuicio de lo anterior, y a mayor abundamiento, identificar qué parte del código
es libre y cual no, implicaría el tratamiento previo de la información al objeto de
poder proporcionársela al ciudadano en los términos que ha interesado,
produciendo información que antes no se tenía en los términos solicitados. Esto
requeriría un esfuerzo desproporcionado de adaptación técnica y legal y una
elaboración y tarea de confección, comprobando cada línea de código para obtener
Número: 2026-0568 Fecha: 27/05/2026
la información, siendo por consiguiente inadmitida tal solicitud en base al Artículo
18.1.c) de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la
información pública y buen Gobierno que dice textualmente: “1. Se inadmitirán a
trámite, mediante resolución motivada, las solicitudes: (…) c) Relativas a
información para cuya divulgación sea necesaria una acción previa de
reelaboración”.»
R CTBG
5. El 8 de mayo de 2025, se concedió audiencia al reclamante para que presentase las
alegaciones que estimara pertinentes; recibiéndose escrito el 18 de mayo de 2025 en
el que señala:
«(…) El código fuente de librerías, dependencias, etc. de código abierto que estén
incluidas en el código fuente del archivo binario de la app MiDNI, que es distribuida
a los usuarios a través de la Play Store, en Android, es ya público de por sí a menos
que se haya modificado, encontrándose habitualmente en plataformas dedicadas
al alojamiento y distribución de código fuente como GitHub, GitLab, etc.
En su contestación, indica que no se ha modificado el código fuente de ninguna
dependencia o librería de código abierto utilizada. Es justamente por este motivo
que no es necesario, como indica, realizar ninguna reedición ni un análisis
exhaustivo del código fuente de la app MiDNI, ya que si no se ha modificado el
código fuente de ninguna librería o dependencia, un simple enlace a su código
fuente original, que es ya público, contaría como dar acceso al código fuente como
fue solicitado en la petición inicial. Por tanto, una lista de las librerías de código
abierto utilizadas, con un enlace al repositorio donde su código fuente original se
encuentre alojado, sería suficiente para cumplir la petición de transparencia sobre
la que esta reclamación se encuentra relacionada. Para este fin, además, existen
Página 6 de 17 Consejo de Transparencia y Buen Gobierno AAI
www.consejodetransparencia.es
multitud de herramientas que pueden analizar un proyecto de desarrollo y listar
todos las librerías y dependencias utilizadas y enlazar a su repositorio, de manera
completamente automática, confidencial y segura, sin tener que realizar ningún tipo
de cambio o análisis del código fuente del aplicativo móvil MiDNI por un humano.
Por estos motivos me opongo a las alegaciones presentadas, y ruego sea concedido
el acceso a la información solicitada.»
II. FUNDAMENTOS JURÍDICOS
1. De conformidad con lo dispuesto en el artículo 38.2.c) de la LTAIBG3 y en el artículo
13.2.d) del Real Decreto 615/2024, de 2 de julio, por el que se aprueba el Estatuto del
Número: 2026-0568 Fecha: 27/05/2026
Consejo de Transparencia y Buen Gobierno, A.A.I.4, el presidente de esta Autoridad
Administrativa Independiente es competente para conocer de las reclamaciones que,
en aplicación del artículo 24 de la LTAIBG5, se presenten frente a las resoluciones
expresas o presuntas recaídas en materia de acceso a la información.
2. La LTAIBG reconoce en su artículo 126 el derecho de todas las personas a acceder a
la información pública, entendiendo por tal, según dispone en el artículo 13, «los
R CTBG
contenidos o documentos, cualquiera que sea su formato o soporte, que obren en
poder de alguno de los sujetos incluidos en el ámbito de aplicación de este título y
que hayan sido elaborados o adquiridos en el ejercicio de sus funciones».
De este modo, la LTAIBG delimita el ámbito material del derecho a partir de un
concepto amplio de información, que abarca tanto documentos como contenidos
específicos y se extiende a todo tipo de formato o soporte, incluidos aquéllos
derivados del entorno tecnológico. Criterio éste que ha sido refrendado por la STS de
11 de septiembre de 2025, cuando señala que «no cabe duda de que las aplicaciones
o programas informáticos -software- se encuentran bajo el ámbito material de
aplicación de la LTAIBG pues constituyen información pública a tal efecto, resultando
irrelevante cuáles sean sus características técnicas (formato) o el material en el que
se registre (soporte), (…)». Alcance que se ve acotado con la exigencia de la
concurrencia de dos requisitos que determinan la naturaleza “pública” de las
https://www.boe.es/buscar/act.php?id=BOE-A-2013-12887&p=20181206&tn=1#a38
https://www.boe.es/eli/es/rd/2024/07/02/615
https://www.boe.es/buscar/act.php?id=BOE-A-2013-12887&p=20181206&tn=1#a24
https://www.boe.es/buscar/act.php?id=BOE-A-2013-12887&tn=1&p=20181206#a12
Página 7 de 17 Consejo de Transparencia y Buen Gobierno AAI
www.consejodetransparencia.es
informaciones: (a) que se encuentren “en poder” de alguno de los sujetos obligados,
y (b) que hayan sido elaboradas u obtenidas “en el ejercicio de sus funciones”.
Cuando se dan estos presupuestos, el órgano competente debe conceder el acceso
a la información solicitada, salvo que justifique de manera clara y suficiente la
concurrencia de una causa de inadmisión o la aplicación de un límite legal.
3. La presente reclamación trae causa de una solicitud de acceso a información referida
al código fuente de la aplicación MiDNI formulada en los términos que figuran en el
antecedente primero de esta resolución.
El Ministerio requerido dictó resolución acordando la denegación del acceso al
considerar de aplicación los límites contemplados en las letras d), h) y j) del artículo
Número: 2026-0568 Fecha: 27/05/2026
14.1 LTAIBG, alegando, en resumen, la imposibilidad de compartir el código fuente o
las opciones de compilación de la app por el riesgo que ello supondría para la
integridad del sistema de identificación digital.
A la vista de la reclamación, en la que el interesado aclara el objeto de su pretensión,
señalando que no solicita la totalidad del código fuente de la app MiDNI, sino a «una
lista de las librerías de código abierto utilizadas, con un enlace al repositorio donde
R CTBG
su código fuente original se encuentre alojada», el Ministerio añade, a los límites ya
alegados, la aplicabilidad de la causa de inadmisión prevista en el artículo 18.1.c)
LTAIBG, al entender que la identificación de aquella parte del código fuente que es
software libre (librerías, componentes, etc.) implica una tarea previa de
reelaboración.
4. Centrado el objeto de esta resolución en los términos señalados debe remarcarse,
con carácter previo, la improcedencia de la invocación de la causa de inadmisión
prevista en el artículo 18.1.c) LTAIBG. En efecto, las circunstancias previstas en el
mencionado precepto permiten, en caso de justificarse, la inadmisión a trámite de
una solicitud de acceso a la información pública —en el caso del supuesto alegado,
por implicar la divulgación de la información pretendida una tarea previa de
reelaboración)—. En este caso, resulta evidente que la invocación tardía de una
causa de inadmisión durante la sustanciación de la reclamación ante esta autoridad
garante no tiene ya razón de ser, en la medida en que la solicitud fue tramitada y se
dictó resolución denegatoria (al entender aplicables determinados límites previstos
en el artículo 14.1 LTAIBG), cuyo contenido es, precisamente, el objeto de esta
reclamación.
Página 8 de 17 Consejo de Transparencia y Buen Gobierno AAI
www.consejodetransparencia.es
5. Sentado lo anterior, resulta relevante a efectos de la resolución de la presente
reclamación contextualizar adecuadamente el objeto de la solicitud de acceso, en
particular, la aplicación MiDNI.
Tal y como describe la propia página de la Policía Nacional, se trata de la única
aplicación oficial de la Policía que cuenta con el respaldo legal para la realización
de todos sus trámites. Sobre su funcionamiento se indica que, en el momento de
usarla, realiza una conexión a los servidores de la Policía Nacional para solicitar, al
instante, los datos del DNI del ciudadano. Datos que son devueltos firmados por la
Policía, con una validez limitada en el tiempo, lo que proporciona información en
tiempo real e imposibilita la falsificación y manipulación de estos datos, sin que los
datos queden almacenados en el móvil. En los términos expresados «es la única que
proporciona los mismos usos que el DNI físico en España».
Número: 2026-0568 Fecha: 27/05/2026
La mencionada aplicación, por tanto, permite llevar en el móvil el DNI en un contexto
en el que la seguridad juega un papel fundamental. Y esto es así porque permite la
acreditación, indubitada, de la identidad de la persona, en los términos reconocidos
por la legislación española, permitiendo a la persona usuaria, en función del
contexto, determinar qué tipo de datos elige (DNI edad, DNI simple y/o DNI
R CTBG
completo).
El reclamante, como ya se ha señalado, solicita acceso a una parte de ese código
fuente: a las librerías o fragmentos basados en código abierto y de acuerdo, en todo
caso, con las licencias de uso que resulten de aplicación.
6. El punto de partida del análisis sobre la conformidad a derecho de la denegación de
acceso que se reclama, es el carácter de información pública de lo solicitado, tal
como ya se ha adelantado en el fundamento jurídico segundo de esta resolución.
Además, no puede desconocerse que existe una doctrina consolidada de este
Consejo sobre el acceso al código fuente y/o algoritmos utilizados por las
Administraciones públicas en el ejercicio de sus funciones; doctrina que ha sido
confirmada por la Sentencia (STS) de 11 de septiembre de 2025 del Tribunal
Supremo (en adelante, STS BOSCO).
La mencionada doctrina establece que la transparencia de las aplicaciones
informáticas que utiliza una Administración en sus procedimientos de toma de
decisiones resulta esencial «en la medida que permite disponer de la información
necesaria para saber cómo funcionan aquéllas en un caso concreto de ejercicio de
potestades públicas, permitiendo, en su caso, exigir la oportuna rendición de cuentas
Página 9 de 17 Consejo de Transparencia y Buen Gobierno AAI
www.consejodetransparencia.es
si esas decisiones no tienen la calidad esperada, tienen un impacto desfavorable
para otras personas físicas o jurídicas, pueden suponer la vulneración de la
normativa vigente o conculcar derechos de los ciudadanos, incluso derechos
fundamentales.» En este sentido se señala que este tipo de aplicaciones pueden
sustentar o, directamente ser fuente, de decisiones automatizadas con
consecuencias muy relevantes para las personas, lo que genera «una creciente
demanda ciudadana de la explicabilidad de las aplicaciones informáticas, así como
de los algoritmos que las sustentan, utilizadas por las Administraciones públicas
como condición inexcusable para preservar la rendición de cuentas y la fiscalización
de las decisiones de los poderes públicos y, en último término, como garantía efectiva
frente a la arbitrariedad o los sesgos discriminatorios en la toma de decisiones total
o parcialmente automatizadas.» 1así en las resoluciones R/58/2021, de 20 de mayo;
RT 253/2021, de 19 de noviembre; RT/748/2021, de 10 de enero de 2022, R CTBG
Número: 2026-0568 Fecha: 27/05/2026
955/2023, de 11 de noviembre y R CTBG 1071/20241.
En esa línea, la mencionada STS BOSCO, señala que «cuando las Administraciones
Públicas hacen uso de sistemas informáticos de toma de decisiones automatizadas
en el ejercicio de las potestades públicas, con afectación de los derechos de los
ciudadanos, el acceso a su código fuente es uno de los mecanismos a través de los
R CTBG
cuales se garantiza la transparencia algorítmica que demanda el pleno ejercicio del
derecho a la información pública.»
En este sentido, la STS BOSCO viene a cristalizar el principio de transparencia
algorítmica al que ya se había referido este Consejo, definiéndolo como aquél que
«impone a las Administraciones públicas obligaciones de información pública para
facilitar el acceso de los ciudadanos, en mayor o menor medida, a las características
fundamentales de los algoritmos empleados en la toma de decisiones o su código
fuente, como una manifestación del principio de transparencia, consagrado
constitucionalmente ( artículo 105.b) de la CE).»
En efecto, en estos casos, la toma de decisiones con algún grado de automatización,
«debe conllevar exigencias de transparencia de los procesos informáticos seguidos
en dichas actuaciones, con el objeto de proporcionar a los ciudadanos la información
necesaria para su comprensión y el conocimiento de su funcionamiento, lo que puede
requerir, en ocasiones, el acceso a su código fuente, a fin de posibilitar la
comprobación de la conformidad del sistema algorítmico con las previsiones
normativas que debe aplicar.»
7. Sentado, por tanto, el carácter de información pública de lo solicitado y la vigencia
del principio de transparencia algorítmica, procede verificar, desde ese prisma, la
Página 10 de 17 Consejo de Transparencia y Buen Gobierno AAI
www.consejodetransparencia.es
concurrencia de los límites previstos denle el artículo 14.1.d), h) y j) LTAIBG que alega
el Ministerio del Interior para desestimar el acceso a lo solicitado. Este análisis ha de
realizarse partiendo de la formulación amplia en el reconocimiento y en la
configuración legal del derecho de acceso a la información pública, que exige, en
consecuencia, una interpretación estricta, cuando no restrictiva, de las causas de
inadmisión y los límites legales; lo que no permite aceptar limitaciones que supongan
un menoscabo injustificado y desproporcionado del mismo [Sentencia del Tribunal
Supremo (STS) de 16 de octubre de 2017 (ECLI:ES:TS:2017:3530)].
De ahí que «solo son aceptables las limitaciones que resulten justificadas y
proporcionadas, así lo dispone el artículo 14.2 de la Ley 19/2013: “[...] 2. La aplicación
de los límites será justificada y proporcionada a su objeto y finalidad de protección y
atenderá a las circunstancias del caso concreto, especialmente a la concurrencia de
Número: 2026-0568 Fecha: 27/05/2026
un interés público o privado superior que justifique el acceso”. Por tanto, la posibilidad
de limitar el derecho de acceso a la información no constituye una potestad
discrecional de la Administración y solo resulta posible cuando concurra uno de los
supuestos legalmente establecido, que aparezca debidamente acreditado por quien
lo invoca y resulte proporcionado y limitado por su objeto y finalidad.” (….) “la
aplicación de los límites al acceso a la información requiere su justificación expresa
R CTBG
y detallada que permita controlar la veracidad y proporcionalidad de la restricción
establecida.» — STS de 11 de junio de 2020 (ECLI: ES:TS:2020:1558)—.
De manera que, como sostiene la STS de 11 de septiembre de 2025
(ECLI:ES:TS:2025:3826), «la concurrencia de un derecho subjetivo o interés legítimo
para la invocación de un límite de los previstos en la LTAIBG no equivale
mecánicamente a la denegación del acceso a la información pública, debiendo
considerarse el perjuicio concreto al mismo y llevarse a cabo la debida ponderación
de intereses en liza, bajo el presupuesto de que las limitaciones contempladas en la
LTAIBG deben ser interpretadas de forma restrictiva y partiendo de la premisa de
que el derecho de acceso a la información aparece configurado en nuestro
ordenamiento con una formulación amplia, de manera que sólo son aceptables las
limitaciones que resulten justificadas y proporcionadas».
Y en esta misma línea, en el Criterio Interpretativo CI/002/2015, de 24 de junio, este
Consejo ha señalado que la aplicación de las restricciones al acceso previstas en el
artículo 14 LTAIBG no supondrá, en ningún caso, una exclusión automática del
derecho a la información, debiéndose justificar el test del daño y su ponderación con
el interés público para ser aplicado, lo que exige, por tanto, la motivación expresa de
la denegación del acceso, debiéndose, además, tomar en consideración lo dispuesto
Página 11 de 17 Consejo de Transparencia y Buen Gobierno AAI
www.consejodetransparencia.es
en el segundo apartado del precepto. En consecuencia, la eventual aplicación de
determinados límites legales a la información pública solicitada sólo se podrá
considerar conforme a derecho si se cumplen los requisitos de proporcionalidad y
justificación expresa exigidos por nuestro ordenamiento y precisados por la doctrina
del Tribunal Supremo en los términos que se acaban de exponer.
8. La aplicación de la doctrina y la jurisprudencia expuestas a este caso conduce a
descartar, en primer lugar, la aplicación del límite del artículo 14.1.h) LTAIBG
(perjuicio a los intereses económicos y comerciales); pues el Ministerio se ha limitado
a parafrasear el precepto sin añadir justificación alguna o razonamiento que permita
comprobar su veracidad.
9. Por lo que concierne al límite previsto en el artículo 14.1.d) LTAIBG, que permite
Número: 2026-0568 Fecha: 27/05/2026
restringir el acceso cuando ello suponga un perjuicio a la seguridad pública, no puede
hacerse abstracción del hecho de que el Ministerio, en su resolución, entiende que se
está solicitando el acceso al código fuente de la aplicación MiDNI en su totalidad y
argumenta la concurrencia del límite sin percibir que ese acceso al código fuente ha
sido acotado o delimitado por el propio reclamante.
Sin embargo, como ya se ha señalado, el interesado no pretende el acceso al código
R CTBG
fuente completo de la app MiDNI, sino exclusivamente a aquellos «fragmentos o
librerías utilizadas cuyo código fuente ya era público anteriormente y cuya licencia
obliga a su redistribución a quien lo solicite, y que en algunos casos prohíben su uso
en desarrollos si existen leyes que prohíban está redistribución a quien la solicite».
Esto es, señala que se solicita el acceso a fragmentos del código fuente de la
aplicación MiDNI, a esa parte que ya era pública y que constituye ahora un
componente de ese código.
En consecuencia, la invocación del límite previsto en el artículo 14.1.d) LTAIBG, que
se justifica por el Ministerio en la identificación de vulnerabilidades técnicas o de
riesgos para la integridad del sistema digital, debe examinarse en relación a ese
concreto objeto de la solicitud.
Este examen no puede prescindir de lo declarado por el Tribunal Supremo en la STS
BOSCO frente a la aplicación del límite del artículo 14.1.d) LTAIBG en aquel caso. La
sentencia, cristalizando su jurisprudencia sobre del derecho de acceso y la
interpretación y aplicación de límites al caso concreto, subraya la imposibilidad de
considerar «que el riesgo de vulnerabilidad inherente al acceso al código fuente
pueda oponerse, sin más, al derecho de acceso a la información pública que entraña
el algoritmo. Entender otra cosa, vaciaría de contenido el derecho de acceso en
Página 12 de 17 Consejo de Transparencia y Buen Gobierno AAI
www.consejodetransparencia.es
relación con las aplicaciones telemáticas cuando tuviera por objeto el código fuente,
e implicaría la atribución de un carácter absoluto a la limitación de “seguridad
pública” que prevé el artículo 14.1.d) de la LTAIBG, sin duda, no previsto por el
legislador. Por lo demás, la apreciación del mencionado riesgo de vulnerabilidad
informática como obstáculo al acceso al código fuente, con carácter general,
resultaría contrario a la propia exigencia de juicio de proporcionalidad y ponderación
de intereses en juego que la LTAIBG exige, así, es, el límite de seguridad pública solo
puede impedir el acceso a la información pública cuando se encuentre justificado y
resulte proporcionado a su objeto y finalidad, previa ponderación de los intereses en
conflicto, ex art. 14.2 de la LTAIBG».
Este pronunciamiento no es sino la concreción o confirmación del ya mencionado
CI/002/2015 de este Consejo en el que se señala que la aplicación de un límite no
Número: 2026-0568 Fecha: 27/05/2026
será en ningún caso automática: antes al contrario deberá analizarse si la estimación
de la petición de información supone un perjuicio (test del daño) concreto, definido y
evaluable. Este, además no podrá afectar o ser relevante para un determinado
ámbito material, porque de lo contrario se estaría excluyendo un bloque completo de
información. Del mismo modo, es necesaria una aplicación justificada y
proporcionada atendiendo a la circunstancia del caso concreto y siempre que no
exista un interés que justifique la publicidad o el acceso (test del interés público).
R CTBG
10. Como ha quedado reflejado en los antecedentes de esa resolución, en este caso el
Ministerio justifica la denegación de acceso desde una doble perspectiva: por un
lado, (i) que la divulgación de la información pondría en riesgo la integridad del
sistema de identificación digital, afectando tanto a la seguridad pública como a la
seguridad de los sistemas, incluyendo la grave afectación de la protección de datos
personales; y, por otro lado, (ii) que «el acceso al código fuente podría permitir la
identificación de vulnerabilidades técnicas o posibles exploits, dando lugar a tener
accesos no autorizados o ejecutar algún tipo de código malicioso, lo cual afectaría a
la ciberseguridad del sistema», añadiendo que «al ser un software de alta seguridad
que cumple con normas técnicas de seguridad estrictas, no es posible compartir el
código fuente ni las opciones de compilación del producto, pues al estar vinculado a
la identificación personal digital, puede contener mecanismos de seguridad
(algoritmos criptográficos autenticación, validaciones, etc.)»
Y, en ese punto, debe volverse a objeto de la solicitud del reclamante: librerías o
fragmento de código abierto. A diferencia del código propio, las librerías de código
abierto son, por definición, información públicamente disponible: su código está
publicado en repositorios de acceso libre, su documentación es accesible para
cualquier persona y su existencia no constituye secreto en sentido técnico ni jurídico.
Página 13 de 17 Consejo de Transparencia y Buen Gobierno AAI
www.consejodetransparencia.es
Pues bien, en este caso, aunque la argumentación sobre el riesgo de vulnerabilidades
pueda considerarse parca, lo cierto es que existen diversos elementos que permiten
entender que, en la ponderación del interés que se salvaguarda con el límite (test del
daño) y del interés público en la divulgación de la información, ha de prevalecer el
primero.
Así, en primer lugar, si bien es cierto que el contenido de las librerías cuyo acceso
pretende el reclamante no es secreto, y por tanto no puede sostenerse la restricción
al acceso sobre dicha base argumental, sí ha de mantenerse la confidencialidad del
inventario de dependencias de la aplicación concreta: qué librerías usa, en qué
versiones, y cómo se combinan entre sí en ese sistema específico; esto es, la
compilación a la que hace referencia el Ministerio.
Número: 2026-0568 Fecha: 27/05/2026
La distinción es técnicamente precisa y jurídicamente determinante: lo que se protege
no es la librería en sí misma —que es pública— sino la información de configuración
del sistema, esto es, el mapa de sus dependencias externas tal y como están
desplegadas en la aplicación de producción.
La conclusión técnica es inequívoca: conocer las librerías y sus versiones exactas
equivale funcionalmente, desde la perspectiva de un potencial atacante, a conocer el
R CTBG
mapa de vulnerabilidades explotables del sistema, con independencia de que el
contenido de dichas librerías sea públicamente accesible.
Este Consejo considera necesario subrayar con precisión la distinción jurídica que
subyace al argumento anterior, pues es el eje sobre el que pivota la procedencia de
la restricción:
- Lo que es público es el código fuente de cada librería individualmente
considerada, su documentación, sus versiones publicadas en repositorios y las
vulnerabilidades conocidas (y desconocidas hasta el momento) asociadas a cada
versión. Todo ello está disponible para cualquier persona con acceso a internet,
con independencia de la solicitud.
- Lo que no es público —y lo que la solicitud pretende obtener— es la combinación
específica de librerías y versiones que el sistema concreto de la Administración
utiliza en producción: su DEPENDENCY GRAPH, su LOCK FILE, su SBOM
(Software Bill of Materials). Esta información es la que transforma el conocimiento
genérico de las vulnerabilidades de cada librería en conocimiento específico y
operacionalmente útil sobre las vulnerabilidades de este sistema concreto.
Página 14 de 17 Consejo de Transparencia y Buen Gobierno AAI
www.consejodetransparencia.es
Es esa diferencia entre información genérica y configuración específica es la que
determina la relevancia del riesgo. La restricción del acceso al inventario de
dependencias es idónea para proteger la seguridad del sistema, porque elimina la
posibilidad de que un atacante obtenga, sin esfuerzo adicional, el mapa de
vulnerabilidades (presentes o futuras) explotables específicas de la aplicación. La
medida restrictiva guarda relación directa con el bien jurídico que se pretende
proteger.
La publicidad de las librerías en repositorios abiertos significa que el contenido de
cada librería es accesible. No significa que la Administración esté obligada a
confirmar cuál de las múltiples versiones disponibles de cada librería utiliza en cada
uno de sus sistemas en producción, ni qué combinación de librerías integra cada
aplicación concreta.
Número: 2026-0568 Fecha: 27/05/2026
El principio jurídico aplicable es el de confirmación selectiva: la Administración no
está obligada a confirmar o desmentir información específica sobre la configuración
de sus sistemas informáticos, aunque esa información pueda ser técnicamente
deducible o parcialmente inferible por terceros.
11. A lo anterior se añade que, tal como se desprende la jurisprudencia sentada en la
R CTBG
STS BOSCO, en la ponderación habrá de tomarse en consideración qué potestades
públicas se están ejerciendo a través del uso de esas nuevas tecnologías y cuál es
su alcance. Se trata de atender a las concretas circunstancias del caso enjuiciado; y
aquí adquiere especial relevancia la naturaleza y la finalidad de la aplicación.
En este sentido debe recordarse que, a diferencia de lo que ocurría en el caso Bosco,
en el que la aplicación utilizada era determinante en la concesión de una
determinada prestación social, en este caso, la aplicación MiDNI es un soporte virtual
para proporcionar un nivel de seguridad adicional al que proporciona el soporte físico
del DNI —incorporando un mecanismo de verificación de autenticidad de los datos
de identidad que puede comprobarse mediante firma cualificada de la DGP de un
código QR generado con las máximas medidas de seguridad actualmente
disponibles—.
El objeto de la solicitud formulada, se proyecta sobre parte de la aplicación MiDNI,
ajena a procesos de toma de decisiones automatizadas con proyección en los
derechos de la ciudadanía. No se trata de un uso por parte de las Administraciones
Públicas de «sistemas informáticos de toma de decisiones automatizadas en el
ejercicio de las potestades públicas, con afectación de los derechos de los
Página 15 de 17 Consejo de Transparencia y Buen Gobierno AAI
www.consejodetransparencia.es
ciudadanos». Además, la solicitud de fragmentos de código abierto de esa aplicación
no redunda en una mayor transparencia del sistema de identificación virtual, cuyo
funcionamiento, por otra parte, se encuentra explicado en la propia web de la Policía
Nacional.
Tomando en consideración lo hasta ahora expuesto, ha de partirse de la premisa de
que una solicitud está justificada con la finalidad de la ley cuando se fundamenta en
el interés legítimo de someter a escrutinio la acción de los responsables públicos y
conocer cómo se toman las decisiones públicas, cómo se manejan los fondos públicos
y bajo qué criterios actúan las instituciones. Desde esa visión en conjunto no se
aprecia ese interés legítimo en conocer cómo actúan los poderes públicos y cómo se
manejan los fondos públicos, sino, al contrario, una ausencia de interés legítimo.
Número: 2026-0568 Fecha: 27/05/2026
12. En conclusión, de acuerdo con lo razonado, considera este Consejo que el límite del
artículo 14.1.d) LTAIBG resulta plenamente aplicable a este caso, con la precisión ya
apuntada de que lo que se protege no es el secreto de las librerías en sí mismas [que
no existe], sino la confidencialidad de la configuración de dependencias del sistema
en producción [que constituye información de carácter técnico-operacional cuya
divulgación incrementa de forma concreta y previsible la vulnerabilidad del sistema
y el riesgo para los bienes jurídicos que protege]; por lo que procede desestimar la
R CTBG
reclamación planteada, sin que resulte necesario analizar la eventual concurrencia
del límite del artículo 14.1.j) LTAIBG.
III. RESOLUCIÓN
En atención a los antecedentes y fundamentos jurídicos descritos, procede DESESTIMAR
la reclamación presentada frente al MINISTERIO DEL INTERIOR.
De acuerdo con el artículo 23.17, de la Ley 19/2013, de 9 de diciembre, de transparencia,
acceso a la información pública y buen gobierno, la reclamación prevista en el artículo 24
de la misma tiene la consideración de sustitutiva de los recursos administrativos, de
conformidad con lo dispuesto en el artículo 112.2 de la Ley 39/2015, de 1 de octubre8, de
Procedimiento Administrativo Común de las Administraciones Públicas.
7 https://www.boe.es/buscar/act.php?id=BOE-A-2013-12887&tn=1&p=20181206#a23
8 https://www.boe.es/buscar/act.php?id=BOE-A-2015-10565&p=20151002&tn=1#a112
Página 16 de 17 Consejo de Transparencia y Buen Gobierno AAI
www.consejodetransparencia.es
Contra la presente resolución, que pone fin a la vía administrativa, se podrá interponer
recurso contencioso-administrativo, en el plazo de dos meses, directamente ante la Sala
de lo Contencioso-administrativo de la Audiencia Nacional, de conformidad con lo previsto
en el apartado quinto de la Disposición adicional cuarta de la Ley 29/1998, de 13 de julio,
Reguladora de la Jurisdicción Contencioso-administrativa9.
LA PRESIDENTA DEL CTBG
Fdo.: María de la Concepción Campos Acuña
Número: 2026-0568 Fecha: 27/05/2026
R CTBG
https://www.boe.es/buscar/act.php?id=BOE-A-1998-16718&p=20230301&tn=1#dacuarta
Página 17 de 17 Consejo de Transparencia y Buen Gobierno AAI
www.consejodetransparencia.es