Acceso al análisis de riesgos de tratamiento de datos del convenio Comunidad de Madrid-Microsoft (Office 365)

ANTECEDENTES

Resolución RT 0743/2021

Información solicitada: Análisis de riesgos del tratamiento de datos personales contemplado en la cláusula Tercera del CONVENIO de colaboración de 8 de marzo de 2021, entre la Comunidad de Madrid (Consejería de Educación y Juventud) y Microsoft Ibérica, S. R. L., para mejorar la competencia digital en el ámbito educativo con el entorno Office 365 (B.O.C.M. Núm. 75).

1. Según se desprende de la documentación que obra en el expediente, en fecha 25 de junio de 2021 el reclamante solicitó, al amparo de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (en adelante, LTAIBG), la siguiente información:

   «Solicito enlace la publicación en EducaMadrid de la siguiente información, que es citada en el CONVENIO de colaboración de 8 de marzo de 2021, entre la Comunidad de Madrid Consejería de Educación y Juventud y Microsoft Ibérica, S. R. L., para mejorar la competencia digital en el ámbito educativo con el entorno Office 365, publicado en BOCM 30 marzo 2021. 1. Limitaciones a los servicios ofrecidos por Office 365 junto con las pautas o instrucciones aplicables, así como la política de privacidad correspondiente. citado en TERCERA.- ACTUACIONES DE LAS PARTES, 1. Impulsar la transformación digital en los centros educativos de la Comunidad de Madrid y en DÉCIMA Protección de datos de carácter personal. 2. Relación de servicios habilitados citado en ANEXO I OFFICE 365 PLAN A1 Solicito copia o enlace a análisis de riesgos realizado por el responsable del tratamiento citado en TERCERA.- ACTUACIONES DE LAS PARTES, 1. Impulsar la transformación digital en los centros educativos de la Comunidad de Madrid.»

2. Disconforme con la resolución recaída el 1 de septiembre de 2021, mediante la que se concedía el acceso parcial a la información solicitada —denegando el correspondiente al análisis de riesgos, «por considerarse un documento interno de trabajo entre la Dirección General y la Delegación de Protección de Datos de la Consejería»— el solicitante presentó, al amparo de lo dispuesto en el artículo 24 de la LTAIBG, una reclamación ante el Consejo de Transparencia y Buen Gobierno (en adelante, CTBG).
3. En fecha 2 de septiembre de 2021 el CTBG remitió el expediente completo al Director General de Transparencia y de Atención al Ciudadano, así como a la Secretaria General de la Consejería de Educación, Universidades, Ciencia y Portavocía del Gobierno, ambos de la Comunidad de Madrid, al objeto de que se pudieran presentar las alegaciones que se considerasen oportunas. El día 29 de septiembre se reciben las alegaciones de la Directora General de Bilingüismo y Calidad de la Enseñanza de la Consejería de Educación, Universidades, Ciencia y Portavocía, que indican lo siguiente:

   PRIMERA. Que el Convenio de colaboración de 8 de marzo de 2021, entre la Comunidad de Madrid, Consejería de Educación y Juventud y Microsoft Ibérica SRL, para mejorar la competencia digital en el ámbito educativo en el entorno Office 365, publicado en el BOCM de 30 de marzo, establece en el último párrafo del punto 1 de su cláusula TERCERA:
   “Corresponderá a la Consejería establecer las limitaciones a los servicios ofrecidos por Office 365 que se infieran del análisis de riesgos del tratamiento de datos personales y las publicará con carácter previo al inicio de la ejecución del presente Convenio en el portal EducaMadrid para conocimiento de la comunidad educativa y del encargado del tratamiento, junto con las pautas o instrucciones aplicables al respecto y la política de privacidad correspondiente.”
   
   SEGUNDA. Que el análisis de riesgos es un proceso dinámico, cambiante, por lo que no se trata de un documento estático. Asimismo, se trata de un análisis de carácter interno, necesario para establecer las limitaciones a los servicios ofrecidos por Office 365. Dichas limitaciones han sido publicadas para el conocimiento de la comunidad educativa.
   
   TERCERA. Que por lo expuesto, esta Dirección General considera que el derecho de acceso puede ser limitado en este caso, ya que el acceso a la información solicitada supondría un perjuicio para la garantía de la confidencialidad o el secreto requerido en procesos de toma de decisión (art. 14 k) Ley 19/2013, de 9 de diciembre.

FUNDAMENTOS JURÍDICOS

1.

De conformidad con lo dispuesto en el artículo 24 de la LTAIBG, en relación con el artículo 8 del Real Decreto 919/2014, de 31 de octubre, por el que se aprueba el Estatuto del Consejo de Transparencia y Buen Gobierno, la Presidencia de este Organismo es competente para resolver las reclamaciones que, con carácter previo a un eventual y potestativo Recurso Contencioso-Administrativo, se presenten en el marco de un procedimiento de acceso a la información.

2.

En virtud del apartado 2 de la disposición adicional cuarta de la LTAIBG, las Comunidades Autónomas pueden atribuir la competencia para la resolución de las reclamaciones al Consejo de Transparencia y Buen Gobierno mediante la celebración del correspondiente convenio con la Administración General del Estado. En desarrollo de esta previsión, han suscrito convenio con este Organismo las Comunidades Autónomas de Asturias, Cantabria, La Rioja, Extremadura, Comunidad de Madrid y Castilla-La Mancha, así como las Ciudades Autónomas de Ceuta y Melilla.

3.

Precisadas las reglas generales sobre competencia orgánica para dictar la presente resolución, se debe partir de la base que la LTAIBG tiene por objeto "ampliar y reforzar la transparencia de la actividad pública, regular y garantizar el derecho de acceso a la información relativa a aquella actividad y establecer las obligaciones de buen gobierno que deben cumplir los responsables públicos así como las consecuencias derivadas de su incumplimiento." A estos efectos, su artículo 12 reconoce el derecho de todas las personas a acceder a la "información pública", en los términos previstos en el artículo 105.b) de la Constitución y desarrollados por dicha norma legal. Por su parte, en el artículo 13 de la LTAIBG se define la "información pública" como

"los contenidos o documentos, cualquiera que sea su formato o soporte, que obren en poder de alguno de los sujetos incluidos en el ámbito de aplicación de este título y que hayan sido elaborados o adquiridos en el ejercicio de sus funciones."

En función de los preceptos mencionados, la LTAIBG reconoce y regula el derecho a acceder a información pública que esté en posesión del organismo al que se dirige, bien porque él mismo la ha elaborado, bien porque la ha obtenido en el ejercicio de las funciones que tiene encomendadas, con el requisito de que se trate de un sujeto incluido en el ámbito de aplicación de la propia Ley.

4.

La información solicitada por el reclamante se refiere al acceso al análisis de riesgos del tratamiento de datos personales contemplado en la cláusula Tercera del CONVENIO de colaboración de 8 de marzo de 2021, entre la Comunidad de Madrid (Consejería de Educación y Juventud) y Microsoft Ibérica, S. R. L., para mejorar la competencia digital en el ámbito educativo con el entorno Office 365 (B.O.C.M. Núm. 75).

Como se indicó en los antecedentes de la presente resolución, la Comunidad de Madrid ha denegado el acceso a dicho análisis por considerar que de trata de "un proceso dinámico, cambiante, por lo que no se trata de un documento estático", así como de "un análisis de carácter interno, necesario para establecer las limitaciones a los servicios ofrecidos por Office 365" —limitaciones que, recordamos, sí han sido objeto de publicación, concretamente en el documento Directrices de uso de los servicios de Office365 en centros públicos de la Comunidad de Madrid—.

Llegados a este punto, procede analizar los dos argumentos esgrimidos por la Comunidad de Madrid para sustentar la denegación de acceso al análisis de riesgos que sirvió de base para establecer las limitaciones a los servicios ofrecidos por Office 365.

Por lo que respecta a su "carácter dinámico", éste es incuestionable, habida cuenta de que toda evaluación de riesgos —sea de la naturaleza que sea— deberá ser actualizada cuando se alteren las condiciones que se tuvieron en cuenta para la evaluación inicial y, en todo caso, revisada cuando se produzcan los daños que se pretendían evitar.

Sin embargo, ello no obsta a que el análisis de riesgos deba documentarse, tal y como lo establece la Agencia Española de Protección de Datos en su guía "Gestión del riesgo y evaluación de impacto en tratamientos de datos personales", de junio de 2021, en la que incorpora, entre el contenido mínimo de la documentación de gestión del riesgo, la "identificación y análisis de riesgos para los derechos y libertades".

Es más, el artículo 35.1 del REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante, RGPD) perfila el concepto de "evaluación de impacto relativa a la protección de datos" como un documento acabado y preceptivo para el ulterior tratamiento de los datos personales, ello con independencia de que resulte necesaria su actualización.

Así, en su apartado 1 establece que:

"[c]uando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento realizará, antes del tratamiento, una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales. Una única evaluación podrá abordar una serie de operaciones de tratamiento similares que entrañen altos riesgos similares."

Y entre el contenido mínimo que tiene que incorporar la evaluación de impacto, el apartado 27.c) contempla la "evaluación de los riesgos para los derechos y libertades de los interesados a que se refiere el apartado 1".

Por evidente analogía con el supuesto que nos ocupa, procede recordar el criterio adoptado por este Consejo en relación con el acceso a la evaluación de impacto en protección de datos de la aplicación Radar Covid, en el marco de la resolución R/09901/2020:

"Acotado en estos términos el objeto de la reclamación, procede examinar si la causa de inadmisión del artículo 18.1.a) LTAIBG, según el cual, "Se inadmitirán a trámite, mediante resolución motivada, las solicitudes que se refieran a información que esté en curso de elaboración o de publicación general", resultaba aplicable para denegar el acceso a la EIPD inicial en el momento en que se dictó la resolución administrativa, tal como argumentó el Departamento ministerial.

A estos efectos, es necesario tener presente que la obligación de realizar una EIPD con carácter previo a la realización de determinados tratamientos de datos de carácter personal viene impuesta expresamente por artículo 35.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), (...).

De todo ello resulta que, tanto en el momento de presentarse la solicitud como en el de dictar la resolución sobre la que versa la presente reclamación, la Administración debía tener en su poder el documento en el que se recogía la EIPD inicial, previa a la puesta en funcionamiento o de la aplicación. De hecho, el propio Ministerio no sólo no niega su existencia sino que la reconoce al indicar que "se halla en proceso de modificación".

Tratándose de un documento existente, no cabe en modo alguno considerar que se encuentra "en curso de elaboración", por más que se haya iniciado un proceso de revisión o de modificación del mismo para cumplir con la exigencia de evaluación periódica requerida por la normativa de protección de datos. En consecuencia, se ha de concluir que no se da el presupuesto para la aplicación de la primera causa de inadmisión recogida en la letra a) del artículo 18.1 LTAIBG consistente en que la información o el documento se encuentre "en curso de elaboración".

(...).

Así pues, siendo el documento que contiene la EIPD inicial, previa a la puesta en funcionamiento de la aplicación Radar Covid, información pública en el sentido del artículo 13 LTAIBG, por cuanto, como consecuencia de la obligación establecida en el RGPD ha de encontrarse en poder de un sujeto obligado que la ha elaborado o adquirido en el ejercicio de sus funciones, y no concurriendo ningún límite o causa de inadmisión legalmente prevista, a juicio de este Consejo, no está justificada la denegación de acceso al mismo."

A la misma conclusión se ha de llegar en el presente caso, puesto que la denegación del acceso al análisis de riesgos con base en su carácter dinámico –o, lo que es lo mismo, en curso de elaboración– carece de fundamento, toda vez que las "limitaciones a los servicios ofrecidos por Office 365", objeto de publicación, partieron de los riesgos detectados en una evaluación de riesgos inicial que hubo de plasmarse en un documento determinado que obra en poder de un sujeto obligado, que la ha elaborado o adquirido en el ejercicio de sus funciones, y es a este documento inicial al que se ciñe la solicitud.

Por otro lado, respecto al "carácter interno" del análisis de riesgos aducido por la Comunidad de Madrid —tanto en la resolución que denegaba su acceso como en sus alegaciones—, es preciso examinar si dicha información podría incardinarse en los supuestos contemplados en el artículo 18.1.b) de la LTAIBG —que prescribe la inadmisión a trámite, mediante resolución motivada, de las solicitudes "[r]eferidas a información que tenga carácter auxiliar o de apoyo como la contenida en notas, borradores, opiniones, resúmenes, comunicaciones e informes internos o entre órganos o entidades administrativas"—; es decir, habrá que determinar si el análisis de riesgos constituye información "de carácter auxiliar" o "de apoyo".

En relación con lo que antecede, el CTBBG, en el ejercicio de las funciones que tiene atribuidas legalmente por las letras a)) y e) del artículo 38.1 de la LTAIBG, ha elaborado el criterio interpretativo CI/006/2015, de 12 de noviembre, en el que se delimita el alcance de la noción de información que tenga carácter auxiliar o de apoyo como causa de inadmisión de solicitudes de acceso a la información en el artículo 18.1.b) de la LTAIBG. En dicho documento se fijan las siguientes cuestiones:

• "En primer lugar, es preciso señalar que la redacción del artículo 18 de la Ley 19/2013, establece una serie de causas que permiten declarar la inadmisión de una solicitud de información que, al tener como consecuencia inmediata la finalización del procedimiento, habrán de operar, en todo caso, mediante resolución motivada. Por tanto, será requisito que la resolución por la que se inadmita la solicitud especifique las causas que la motivan y la justificación, legal o material aplicable al caso concreto."
• "En segundo lugar, y teniendo en cuenta la redacción del artículo 18.1.b), cabe concluir que es la condición de información auxiliar o de apoyo la que permitirá, de forma motivada y concreta invocar una aplicación de la causa de exclusión, siendo la enumeración referida a "notas, borradores, opiniones, resúmenes, comunicaciones e informes internos o entre órganos administrativos" una mera ejemplificación que, en ningún caso, afecta a todos los conceptos enumerados sino a aquellos que tenga la condición principal de auxiliar o de apoyo. Así pues, concluimos que es el carácter auxiliar o de apoyo de este tipo de información y no el hecho de que se denomine como una nota, borrador, resumen o informe interno lo que conlleva la posibilidad de aplicar la causa de inadmisión prevista en el artículo 18.1.b) de la Ley 19/2013."
• "En tercer lugar, este Consejo de Transparencia entiende que una solicitud de información auxiliar o de apoyo, como la contenida en notas, borradores, opiniones, resúmenes, comunicaciones e informes internos o entre órganos o entidades administrativas, podrá ser declarada inadmitida a trámite cuando se den, entre otras, alguna de las siguientes circunstancias:
  • 1. Cuando contenga opiniones o valoraciones personales del autor que no manifiesten la posición de un órgano o entidad.
  • 2. Cuando lo solicitado sea un texto preliminar o borrador sin la consideración de final.
  • 3. Cuando se trate de información preparatoria de la actividad del órgano o entidad que recibe la solicitud.
  • 4. Cuando la solicitud se refiera a comunicaciones internas que no constituyan trámites del procedimiento.
  • 5. Cuando se trate de informes no preceptivos y que no sean incorporados como motivación de una decisión final.
  Por último, debe tenerse en cuenta que la motivación que exige la Ley 19/2013, para que operen las causas de inadmisión tiene la finalidad de evitar que se deniegue la información que tenga relevancia en la tramitación del expediente o en la conformación de la voluntad pública del órgano, es decir, que sea relevante para la rendición de cuentas, el conocimiento de la toma de decisiones públicas, y su aplicación. Éstas en ningún caso tendrán la condición de informaciones de carácter auxiliar o de apoyo."

Como puede apreciarse, el artículo 18.1 de la LTAIBG enumera una serie de causas de inadmisión de solicitudes de acceso a la información configuradas como reglas, en el sentido de que se trata de normas que sólo pueden ser cumplidas o incumplidas. Partiendo de esta premisa, la interpretación de las causas de inadmisión al caso concreto ha de llevarse a cabo a través de la técnica tradicional de la subsunción, de acuerdo con la cual a un "supuesto de hecho" le corresponde una "consecuencia jurídica". De acuerdo con ello, la forma de proceder en el presente caso consistirá, precisamente, en esclarecer si la información objeto de esta reclamación se trata de una "información auxiliar" o "de apoyo" –supuesto de hecho– a fin de determinar si resulta de aplicación la causa de inadmisión prevista en el artículo 18.1.b) de la LTAIBG –consecuencia jurídica–.

A este respecto, el artículo 32 del RGPD, impone al responsable y al encargado del tratamiento de datos personales la obligación de determinar y establecer las medidas de seguridad, técnicas y organizativas, apropiadas para garantizar el nivel de seguridad adecuado al riesgo. Y, al objeto de mantener la seguridad de los tratamientos, el RGPD exige a dicho responsable o encargado "evaluar los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos". Es decir, el RGPD contempla el análisis de riesgos y las consiguientes medidas de él derivadas como dos pasos consecutivos —y preceptivos— para la consecución de un mismo fin, siendo el primero, por consiguiente, indispensable para la existencia del segundo.

A tenor de lo expuesto, y retomando el criterio interpretativo CI/006/2015, cabe concluir que el análisis de riesgos no constituye información "de carácter auxiliar" o "de apoyo", por cuanto no contiene opiniones o valoraciones personales del autor que no manifiesten la posición de un órgano o entidad, ni se trata de un texto preliminar o borrador sin la consideración de final o de información preparatoria de la actividad del órgano o entidad que recibe la solicitud, ni es un informe no preceptivo y no incorporado como motivación de una decisión final, ni, por último, puede considerarse como una mera comunicación interna que no constituya un trámite del procedimiento.

Por todo lo que antecede, este Consejo no aprecia la existencia de límites o causas de inadmisibilidad aplicables y considera que la solicitud está amparada por la LTAIBG, por lo que procede estimar la reclamación planteada. No obstante, en el caso de que existan aspectos en el análisis de datos que resulten afectados por cláusulas de confidencialidad, la Administración podrá, de manera debidamente explicada y justificada, suprimir aquellos de la información que ponga a disposición del reclamante.

RESOLUCIÓN

En atención a los antecedentes y fundamentos jurídicos descritos, procede:

PRIMERO:

ESTIMAR la reclamación presentada, por constituir su objeto información pública en virtud de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno.

SEGUNDO:

INSTAR a la Consejería de Educación, Universidades, Ciencia y Portavocía de la Comunidad de Madrid a que, en el plazo máximo de veinte días hábiles, facilite al reclamante la siguiente información:

• Copia del análisis de riesgos del tratamiento de datos personales contemplado en la cláusula Tercera del CONVENIO de colaboración de 8 de marzo de 2021, entre la Comunidad de Madrid (Consejería de Educación y Juventud) y Microsoft Ibérica, S.R.L., para mejorar la competencia digital en el ámbito educativo con el entorno Office 365 (B.O.C.M. Núm. 75).

TERCERO:

INSTAR a la Consejería de Educación, Universidades, Ciencia y Portavocía de la Comunidad de Madrid a que, en el mismo plazo máximo de veinte días hábiles, remita a este Consejo de Transparencia y Buen Gobierno copia de la información enviada al reclamante.

De acuerdo con el artículo 23, número 1, de la Ley 19/2013, de 9 de diciembre, de Transparencia, Acceso a la Información Pública y Buen Gobierno, la reclamación prevista en el artículo 24 de la misma tiene la consideración de sustitutiva de los recursos administrativos, de conformidad con lo dispuesto en el artículo 112.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.

Contra la presente Resolución, que pone fin a la vía administrativa, se podrá interponer Recurso Contencioso-Administrativo, en el plazo de dos meses, ante los Juzgados Centrales de lo Contencioso-Administrativo de Madrid, de conformidad con lo previsto en el artículo 9.1 c) de la Ley 29/1998, de 13 de julio, Reguladora de la Jurisdicción Contencioso-Administrativa.