En l’apunt precedent vaig iniciar l’anàlisi de les novetats més destacables del Decret 8/2021, que desenvolupa la Llei 19/2014, de transparència, accés a la informació pública i bon govern (LTAIPBG), des de la perspectiva de l’impacte en la protecció de dades personals. En aquell primer apunt em vaig centrar en les qüestions relatives a la transparència o la publicitat activa, i vaig deixar per a més endavant l’afectació de la protecció de dades en la regulació del dret d’accés a la informació pública, cosa que faré en aquest apunt i en el tercer, amb el qual tancaré aquesta sèrie.
Abans d’entrar en l’anàlisi anunciada, vull recordar una qüestió del Decret 8/2021 que afecta la protecció de dades tant pel que fa a la publicitat activa com al dret d’accés. Es tracta de l’article 70.3 del Decret 8/2021, en el qual s’imposa el deure d’eliminar sempre el número de DNI i la signatura manuscrita de les persones empleades, alts càrrecs o personal directiu de les entitats del sector públic. En el cas de signatura electrònica cal evitar que es pugui accedir a les propietats del certificat electrònic, per tal d’impedir que es pugui accedir al número de DNI.
En efecte, la divulgació d’aquestes dades seria contrària al principi de minimització de les dades (art. 5.1.c del RGPD), en ser clarament excessives si es té en compte la finalitat de transparència perseguida. Per contra, generalment cal mantenir el nom i cognoms de les persones que intervenen en representació de l’entitat pública, així com altres dades merament identificatives a què es refereix l’article 70.2 del Decret 8/2021: càrrec o lloc ocupat, cos i escala, funcions desenvolupades i telèfon i adreces de contacte professional, postal i electrònica.
Com a excepció, no s’ha de divulgar el nom i cognoms dels membres de les forces i cossos de seguretat o d’altres col·lectius (com podria ser el personal inspector en determinats àmbits) que, per motius de seguretat, requereixin una protecció especial. En aquest cas, en lloc d’identificar-los amb el nom i cognoms, cal fer-ho amb un codi o número identificatiu professional.
Un cop efectuades aquestes consideracions preliminars, abordo ja els aspectes destacables del Decret 8/2021 en relació amb el dret d’accés a la informació pública, sempre des de l’òptica de la protecció de dades. En aquest apunt em referiré a la identificació de la persona sol·licitant i a l’audiència a les terceres persones afectades, incloent-hi les que pertanyen a l’Administració pública. En un tercer i darrer apunt em referiré a la resta de qüestions sobre aquest àmbit.
1. Identificació de la persona sol·licitant (art. 54.1.a i art. 55)
El Decret 8/2021 reitera la necessitat que la sol·licitud d’accés contingui la identitat de la persona sol·licitant, i afegeix que “les sol·licituds anònimes no compleixen aquest requisit”. Als efectes de la identificació de la persona sol·licitant, el Decret 8/2021 disposa que cal fer-ho de conformitat amb la normativa de procediment administratiu o per qualsevol altre mitjà acceptat per l’Administració pública; és a dir, s’apliquen les regles generals respecte de l’exigència d’identificació de tota persona que inicia un procediment administratiu.
En relació amb les sol·licituds formulades per mitjans electrònics, el Decret 8/2021 ha volgut facilitar l’exercici del dret per aquest canal, amb l’admissió de la identificació a través d’un registre ordinari d’usuaris, en la línia del que disposa l’article 57 del Decret 76/2020, d’Administració digital.
2. Audiència a terceres persones (art. 62)
Tal com determina l’article 31.1 de la LTAIPBG, si la sol·licitud d’accés pot afectar drets o interessos de terceres persones –com ara el seu dret a la protecció de dades– que estiguin identificades o siguin fàcilment identificables, se’ls ha de donar trasllat de la sol·licitud per tal que puguin formular per escrit les al·legacions que considerin. Convé aclarir en aquest punt que la finalitat del trasllat no és obtenir el consentiment de les terceres persones afectades, sinó només permetre que puguin manifestar allò que considerin convenient.
El Decret 8/2021 precisa que es consideren persones identificades o fàcilment identificables les persones de qui la unitat d’informació coneix la identitat i disposa o pot disposar d’un canal o via de contacte, incloent-hi una adreça electrònica. Si el nombre de terceres persones afectades és elevat i pot resultar desproporcionat efectuar la notificació individual, el Decret 8/2021 permet substituir-la per una notificació als representants dels col·lectius, sectors o àmbits afectats, si n'hi ha.
En aquest punt, el Decret 8/2021 recull el criteri que ja s'aplicava: en el trasllat a les terceres persones, amb caràcter general, no s’ha d’incloure la identitat de la persona sol·licitant, tret que excepcionalment l’Administració consideri motivadament que resulta essencial per a la defensa de drets i interessos de les terceres persones afectades que aquestes coneguin la identitat de la persona sol·licitant. En tal cas, el Decret 8/2021 obliga a fer una consulta prèvia amb la persona sol·licitant en un termini mínim de cinc dies, a fi d’informar-la de la intenció inicial de revelar la seva identitat a les terceres persones afectades, per tal que es pugui oposar justificadament a tal revelació. Si s’oposa i l’Administració considera que no està prou justificada, cal efectuar una ponderació i decidir si cal identificar-la en l’audiència a les terceres persones afectades.
3. Audiència a terceres persones empleades o càrrecs (art. 70.4)
En relació amb el tràmit d’audiència a les terceres persones afectades establert en l’article 31 de la LTAIPBG, sovint sorgia el dubte sobre si també calia efectuar-lo quan en la informació hi havia dades merament identificatives de personal de l’Administració. Quant a aquestes dades personals, cal recordar que l’article 24.1 de la LTAIPBG estableix com a regla general que s’ha de facilitar l’accés, però el mateix precepte en disposa l’excepció per al cas concret en què hagi de prevaler la protecció de dades o altres drets protegits constitucionalment.
El problema és que potser l’Administració desconeixia la concurrència d’aquesta excepció. Per això sempre he considerat necessari informar aquestes persones, les dades identificatives de les quals consten en documentació administrativa, sobre la possibilitat de divulgar-les per tal de donar compliment a les obligacions de transparència, a fi que s’hi puguin oposar de manera justificada. No caldria donar audiència amb motiu de cada sol·licitud d’accés, sinó que n'hi hauria prou de divulgar en cada organització un avís en aquest sentit.
Doncs bé, aquesta idea s’ha recollit en l’article 70.4 del Decret 8/2021, que obliga a informar el personal, alts càrrecs i personal directiu del fet que les seves dades personals merament identificatives que s’incloguin a la documentació poden ser difoses o cedides per donar compliment a les obligacions de transparència, amb l’advertència del dret a oposar-s’hi de forma motivada basant-se en el perjudici singular que podria causar als seus drets la divulgació.
El precepte esmentat obliga a informar amb caràcter previ a l'inici de la prestació de serveis o ocupació del càrrec, cosa que es pot fer amb facilitat en el moment inicial de la formalització del servei o relació. Ara bé, què succeeix amb el personal i càrrecs que ja estaven prestant servei? No cal informar-los? Doncs sembla clar que sí, ja que no existeix cap raó que justifiqui una diferència de tracte entre uns i altres. També en aquest cas seria relativament senzill dur a terme aquest tràmit d'audiència general, ja sigui a través d'una comunicació electrònica a tot el personal de l'organització, o bé a través d'un avís a la intranet de l'organització o en un lloc equivalent.
Aquests són alguns dels aspectes més destacats del Decret 8/2021, en la part del dret d'accés a la informació pública, des d’una òptica de l’impacte en la protecció de dades personals. En el tercer i últim apunt d'aquesta sèrie em referiré a la resta d'aspectes del dret d'accés que impacten en la protecció de dades.
