Quant de temps s’ha de mantenir publicada la informació als portals de transparència si conté dades personals?
La Llei 19/2014, del 29 de desembre, de transparència, accés a la informació pública i bon govern, obliga a mantenir publicades als portals de transparència algunes informacions que poden contenir dades personals durant un període de temps determinat.
D’una banda, en matèria de contractació pública, l’article 13.1.d de la Llei 19/2014 obliga a publicar la informació relativa a la identitat dels adjudicataris de contractes públics, que, en cas de ser persones físiques, s’han d’identificar amb el nom i cognoms, i s’ha de referir com a mínim als darrers cinc anys. A més, l’article 13.3 de la Llei 19/2014 determina fer públic el volum pressupostari contractat pels diversos adjudicataris en els darrers cinc anys, la qual cosa pot implicar difondre dades personals.
De l’altra, en matèria d’ajuts i subvencions, l’article 15.1.c de la Llei 19/2014 imposa el deure de mantenir la informació referent als darrers cinc anys, que ha d’incloure la identificació de les persones beneficiàries, les quals s’han d’identificar amb el nom i cognoms, en el cas de persones físiques, tret que s'atorguin per motius de vulnerabilitat social o estiguin relacionats amb categories especials de dades.
Pel que fa als convenis, l’article 14.2.a de la Llei 19/2014 obliga a mantenir publicada la informació relativa als “convenis vigents”, per mitjà del Registre de convenis de col·laboració i cooperació de la Generalitat, que s’ha d’integrar en el Portal de la Transparència (art. 14.3 de la Llei 19/2014). Referent a això, cal tenir en compte que l’article 110.3 de la Llei 26/2010, del 3 d'agost, de règim jurídic i de procediment de les administracions públiques de Catalunya, obliga a publicar els convenis en el Diari Oficial de la Generalitat de Catalunya (DOGC) i en el Registre de convenis esmentat. En conseqüència, en la mesura que l’obligació de publicar els convenis en el DOGC implica una publicitat indefinida, i que aquest deure deriva d’una determinació legal, estem davant d’una situació equivalent a la dels contractes i ajuts i subvencions.
L’article 13.5 del Decret 8/2021, de 9 de febrer, sobre la transparència i el dret d’accés a la informació pública, es refereix a aquestes tres matèries (contractes, convenis i ajuts i subvencions) quan disposa que la informació publicada als portals de transparència relativa a aquestes matèries, ha de fer referència, com a mínim, als darrers cinc anys.
Però en el paràgraf següent, l’article 13.6 del Decret 8/2021 també imposa, amb caràcter general, l'obligació de mantenir publicada la informació als portals un mínim de cinc anys. En efecte, l’article 13 del Decret porta per rúbrica “Obligacions generals i forma de publicació”, i és aquest el context general que determina l’apartat 6: “La informació s’ha de mantenir publicada un mínim de cinc anys des del moment de la seva difusió, llevat que s’estableixi un altre termini en aquest decret o en una altra norma aplicable.”
En aquest punt cal distingir entre aquesta obligació de mantenir durant cinc anys la informació publicada, d’una altra obligació de naturalesa diferent, que és el deure d’actualitzar la informació, com a mínim amb una periodicitat anual, tret que s’estableixin uns terminis diferents (art. 13.3 del Decret 8/2021).
En conseqüència, l’article 13.6 del Decret 8/2021 no es refereix a la periodicitat amb la qual s’ha d’actualitzar la informació, sinó al temps en què s’ha de mantenir la informació als portals després d’haver-la publicat, que ha de ser de cinc anys, com a mínim, amb caràcter general, tret que s’estableixi expressament un altre termini. En efecte, el mateix Decret estableix alguns supòsits d’informació que conté dades personals, per als quals es fixa un termini de publicitat específic. És el cas de les llistes d’activitats formatives de recepció no obligatòria i directament relacionades amb la promoció interna, econòmica o professional, que s’han de publicar al portal “en la data d’inici de l’activitat formativa, i ha de romandre-hi durant el termini de dos mesos des de la data de finalització de l’activitat formativa” (art. 22.3 del Decret 8/2021). Un altre cas és el de la publicació d’un extracte de les resolucions d’autoritzacions de compatibilitat d'empleats públics, en què només s’ha de publicar mentre l'autorització és vigent (art. 26 del Decret 8/2021).
Fora d’aquests casos en què s’estableix un termini de manteniment de la informació publicada específic, en la resta de casos sembla que, en principi, és aplicable el termini general de manteniment de la informació al portal durant cinc anys, des del moment en què s’ha publicat (art. 13.6 del Decret 8/2021).
Ara bé, en relació amb les informacions que contenen dades personals, aquesta regla general de mantenir la publicació durant un mínim de cinc anys només és exigible si supera el filtre derivat de l’aplicació dels principis i les garanties establerts en la normativa de protecció de dades personals i, en particular, del principi de limitació del termini de conservació recollit en l’article 5.1.e del Reglament general de protecció de dades (RGPD).
Des d’aquesta perspectiva del dret a la protecció de dades, cal partir de la premissa que publicar dades personals als portals de transparència implica un tractament de dades personals (art. 4.2 del RGPD), de manera que s’han de respectar els principis recollits en l’article 5 del RGPD. El primer principi que cal tenir en compte és el de licitud (art. 5.1.a del RGPD), que exigeix que concorri almenys una base jurídica que legitimi el tractament de dades personals. En el tractament consistent a divulgar les dades als portals de transparència concorren dues bases jurídiques: la relativa al fet que aquest tractament és necessari per complir una obligació legal aplicable al responsable del tractament (art. 6.1.c del RGPD), i la referent al fet que el tractament és necessari per complir una missió efectuada en interès públic o en l’exercici de poders públics conferits al responsable del tractament (art. 6.1.e del RGPD). Així ho indica l’Autoritat Catalana de Protecció de Dades (APDCAT) en l’informe de conclusions de l'Auditoria 1/2018, sobre els portals de transparència.
Però en relació amb aquestes bases jurídiques, l’article 8 de la Llei orgànica 3/2018, de 5 de desembre, de protecció de dades personals i garantia dels drets digitals (LOPDGDD), determina que el tractament s’ha de fonamentar en una norma de dret de la Unió Europea o en una norma amb rang de llei. Per tant, l’article 13.6 del Decret 8/2021, en el qual s’obliga a mantenir la informació publicada un mínim de cinc anys, no té prou rang normatiu per habilitar, per si mateix, el manteniment de la divulgació pel termini esmentat, si aquest manteniment durant almenys cinc anys pot entrar en conflicte amb un altre principi que regeixi qualsevol tractament de dades personals, com és el principi de limitació del termini de conservació de les dades. Aquest principi implica que les dades s’han de mantenir de manera que es permeti identificar les persones interessades només pel temps que sigui necessari d'acord amb la finalitat del tractament.
En l’informe de l’Auditoria 1/2018, l’APDCAT es refereix a la detecció d’algunes deficiències en la mostra de portals auditats, des de la perspectiva d’aquest principi de limitació del termini de conservació. Referent a això, en l'informe s’indica, respecte de l’exigència de l’article 2.a de la Llei 19/2014 de publicar la informació “amb caràcter permanent i actualitzat”, que el mot permanent no s’ha d’interpretar en el sentit que la informació s’ha de mantenir publicada de manera indefinida. I afegeix que no es pot considerar legitimat el tractament de dades obsoletes o no actualitzades, cosa que va en contra del principi d’exactitud de les dades (art. 5.1.d del RGPD).
En l'informe de l’Auditoria 1/2018 es mencionen alguns supòsits de publicació de dades personals en els quals s’ha de limitar el termini de la publicació, com és el cas de la publicació de dades personals en organigrames de versions antigues que no s’ajusten a la situació actual, o el de llistes de persones admeses en processos selectius, que no s’han de mantenir publicades més enllà del termini per formular al·legacions o impugnacions.
Precisament aquest supòsit de la llista de persones admeses en procediments selectius de les administracions està establert en l’article 21 del Decret 8/2021, segons el qual s’exigeix la publicació del nom i cognoms i quatre xifres del document d’identitat de les persones admeses en cada prova o exercici del procés i de la persona seleccionada finalment. En aquest precepte s'estableix una actualització contínua de la publicació de les dades, però sembla que aquesta determinació s’ha de posar en connexió amb l’exigència d’actualització de la informació (art. 13.3 del Decret 8/2021) i no amb l’exigència de manteniment de la publicació (art. 13.6 del Decret 8/2021), de manera que es pot entendre que és aplicable el deure de mantenir la informació durant un mínim de cinc anys.
Doncs bé, al meu entendre aquest és un exemple en què hauria de prevaler el principi de limitació del termini de conservació de les dades (art. 5.1.e del RGPD), en detriment de la determinació de mantenir la informació publicada durant un mínim de cinc anys de l’article 13.6 del Decret 8/2021.
Com aquest exemple, hi ha també altres informacions que contenen dades personals a les quals s'aplicaria la mateixa consideració, en el sentit que un manteniment eventual de la informació publicada durant cinc anys o més podria vulnerar el dret a la protecció de dades de les persones afectades. Aquest és el cas de la identificació de les persones titulars d’òrgans i del personal directiu, del seu perfil i de la seva trajectòria professional (art. 16.3 i 18 del Decret 8/2021). Aquesta informació només pertoca que estigui publicada mentre s’ocupa el lloc o càrrec. El mateix es podria dir respecte de les persones funcionàries que ocupen llocs de comandament o llocs singulars de lliure designació (art. 20.2.a del Decret 8/2021). En relació amb aquesta informació institucional i d’estructura administrativa, l’article 19 del Decret 8/2021 estableix l’actualització de la informació amb una periodicitat semestral/anual, determinació que també s’ha d’entendre connectada al requisit d’actualització establert en l’article 13.3 del Decret 8/2021 i no en l'article 13.6 del mateix Decret, de manera que no afecta la regla general de mantenir la publicació durant un mínim de cinc anys.
Un altre supòsit equivalent és el de la publicació de les agendes públiques i dels obsequis referents al personal al servei de l’Administració de la Generalitat amb rang de subdirecció general o assimilat, així com els alts càrrecs i el personal directiu de qualsevol administració (art. 27 i 33 del Decret 8/2021). Referent a això, cal tenir en compte que en la informació de les agendes pel que fa a les reunions amb els grups d’interès, no només hi ha de figurar la identificació del personal o del càrrec de l’Administració, sinó també la de les persones que actuen en representació del grup d’interès. Per a aquesta informació també s'estableix l’actualització amb una periodicitat mensual, de manera que cal anar-hi afegint cada mes la informació que es va generant. Aquesta determinació no afecta la regla general de mantenir la informació anterior fins que no hagin transcorregut, almenys, cinc anys (art. 13.6 del Decret 8/2021).
A mode de conclusió, és innegable la importància de la transparència, atès que l'objectiu de divulgar informació pública és arribar a la ciutadania, a fi que totes les persones puguem controlar l’activitat administrativa i formar-nos-en una opinió. Però quan aquesta informació conté dades personals, mantenir aquesta exposició durant un termini de cinc anys o fins i tot més (l’article 13.6 del Decret 8/2021 es refereix als cinc anys com a termini “mínim”), només sembla justificat en els casos en què la Llei 19/2014 ho estableix expressament (contractes, ajuts i subvencions, etc.). Per contra, en els casos en què el legislador no ha considerat pertinent habilitar-ne la divulgació per un termini tan ampli, sembla que l’aplicació eventual de la regla general introduïda per l’article 13.6 del Decret 8/2021 hauria de cedir davant la normativa de protecció de dades i, en particular, del principi de limitació del termini de conservació de les dades.
