Acceso a la información en poder de la Administración y protección de datos personales

ACCESO A LA INFORMACIÓN EN PODER DE LA ADMINISTRACIÓN Y PROTECCIÓN DE DATOS PERSONALES 1 E MILIO G UICHOT Profesor Titular de Derecho Administrativo Universidad de Sevilla I NTRODUCCIÓN .—I. D ERECHO EUROPEO : 1. Derecho del Consejo de Europa. 2. Derecho comunitario.—II. D ERECHO COMPARADO : 1. Derecho francés. 2. Derecho italiano.—III. D ERECHO ESPA - ÑOL .—C ONCLUSIÓN . RESUMEN Este trabajo aborda la tensión entre publicidad y reserva en relación con el acceso a información personal en poder de la Administración pública. Se trata de un tema clave del Derecho público de la información en pleno proceso de elaboración dogmática. Se analiza la cuestión en el Derecho europeo, comparado y español. El estudio no limita su atención a la normativa, la jurisprudencia, las posiciones de las Agencias de protección de datos y la doctrina, sino que apunta además directrices que deberían regir dichas relaciones. Se aportan, pues, materiales para un necesario debate jurídico que pueda dar lugar a una norma integral que regule el acceso a la información en poder de la Administración y su reutilización, el régimen de los archivos administrativos y la tuela de los derechos a la intimidad y a la protección de datos. Palabras clave: transparencia; publicidad; derecho de acceso a la información pública; intimidad; protección de datos; privacidad. ABSTRACT This article deals with the dilemmas as to what information government administrations should make public and what information they should limit access to. Information is a key issue in public law and its legal dogma is currently being laid down. The question is analysed with reference to European law, comparative law and Spanish law. The study is not limited to normative regulations, jurisprudence, the positions of the data protection agencies and doctrine. It also looks into the guidelines that should govern access. It provides raw material for a legal debate that could establish an integrated standard to regulate access to information held by the public sector, how it may be re-used, how administrative archives should be run and privacy and data protected. Key words: transparency; public access; access to public information; data protection; privacy. Revista de Administración Pública ISSN: 0034-7639, núm. 173, Madrid, mayo-agosto (2007), págs. 407-445 407 1 Este trabajo se inscribe en el proyecto de investigación, financiado por el MEC, Derecho de las tecnologías de la información y las comunicaciones, SEC2001-3696, cuyo responsable es el profesor Javier B ARNÉS V ÁZQUEZ . Asimismo, para la realización de este estudio he disfrutado de una ayuda a estancias de investigación en el extranjero del MEC en la Universidad París VIII y he participado en el Seminario internacional Una Nueva Europa Abierta: acceso público a documentos y protección de datos, organizado por el Instituto Europeo de Administración Pública. Quiero expresar mi agradecimiento a ambas instituciones por su acogida. I NTRODUCCIÓN Este trabajo centra su atención en una cuestión jurídica, a nuestro juicio, crucial y necesitada de estudio cual es el encaje entre el derecho de acceso a la información en poder de la Administración y el derecho a la protección de datos. El tema ha sido obviado desde el punto de vista legislativo y, en buena medida, doctrinal. La legislación sobre acceso y la que regula el derecho a la protección de datos se han venido desconociendo mutuamente, o, a lo sumo, se han limitado a meros reenvíos que encubrían la más absoluta oscuridad jurídica, lesionando la seguridad y la certeza que deben imperar en todos los ámbitos regidos por el Derecho. Ello ha llevado a posicionamientos doctrinales e incluso jurisdiccionales que frecuentemente «optan» por la prevalencia de un derecho o de otro, muy a menudo en función de la «normativa de referencia» de la que se partiera. Sin embargo, en los sistemas iusfundamentales no caben, desde luego, maximizaciones de un derecho que lleve al sacrificio de su opuesto, como las que se sostienen cuando, desde la óptica de la protección de datos, se llega a una lectura de la normativa reguladora excluyente de cualquier posibilidad de acceso por los ciudadanos a toda información nominal en posesión de la Administración. Una óptica tal reduciría a la nada, en la práctica, el derecho de acceso, y, con él, el nutriente democrático que alimenta, teniendo en cuenta que el grueso de la información en poder de la Administración es, precisamente, información nominal. Y, en sentido inverso, tampoco cabe concluir que el principio de transparencia, participación y control democrático imponga la publicidad de toda información en poder de la Administración, pues, por esa vía, se expondría al ciudadano a un indeseable «Gran Hermano», si tenemos en cuenta que casi todos los datos sobre el mismo, incluso los más íntimos (sus orígenes familiares, su salud y posibles minusvalías, su itinerario educativo, sus antecedentes penales, sus ingresos, sus propiedades, etc.), obran en poder de la Administración. Es necesaria, pues, una lectura conjunta, complementaria, sistemática e integrada de ambos bloques normativos. Una lectura difícil, cierto es, pero posible. Por ello, en este epígrafe se aportan claves generales que entendemos deben presidir las relaciones entre ambos derechos y, por ende, trasladarse a nuestro ordenamiento. Hemos estructurado el estudio de este punto del siguiente modo. Exponemos en primer lugar el estado de la cuestión en el Derecho europeo, en el Derecho comparado y en el Derecho español, incluyendo en este último epígrafe una serie de directrices, a modo de decálogo, que, a nuestro juicio, deben guiar las relaciones entre publicidad y privacidad. ACCESO A LA INFORMACIÓN EN PODER DE LA ADMINISTRACIÓN Y PROTECCIÓN... EMILIO GUICHOT Revista de Administración Pública 408 ISSN: 0034-7639, núm. 173, Madrid, mayo-agosto (2007), págs. 407-445 I. D ERECHO EUROPEO 2 El Derecho europeo constituye en la actualidad un marco de referencia obligada. Por una parte, en la medida en que los ciudadanos europeos, y por ende también los españoles, entablan relaciones directas con la Administración comunitaria, entre ellas lo que pudiéramos denominar «relaciones informativas» (acceso a la información en poder de las Instituciones y manejo por parte de éstas de datos personales), regidas por el Derecho comunitario. Por otra, por cuanto la propia normativa nacional sobre ambas materias tiene, en buena medida, origen comunitario, en la medida en que es transposición de Directivas comunitarias (parcialmente, en materia de acceso a la información —así, destacadamente, en materia ambiental— o, con carácter integral, en el caso de la normativa sobre protección de datos). Además, como ha destacado la doctrina, la construcción jurídica comunitario describe una suerte de efecto boomerang, de tal modo que, precedida siempre de estudios de Derecho comparado, viene a ser un reflejo —adaptado a la realidad comunitaria— de los principios generales comunes a los Derechos de los Estados miembros, bebe de estas fuentes para después, en un movimiento de retroceso, irradiar a menudo un efecto inspirador a las propias regulaciones nacionales dictadas en sectores aún no plenamente comunitarizados. Lo mismo puede decirse de los trabajos del Consejo de Europa, que se presentan como el intento de síntesis de los principios jurídicos comunes a los Derechos europeos 3 . 1. Derecho del Consejo de Europa En el seno del Consejo de Europa se han venido adoptando desde hace décadas iniciativas tanto en materia de acceso a la información pública como de protección de datos 4 . En síntesis, del bloque normativo pueden exACCESO A LA INFORMACIÓN EN PODER DE LA ADMINISTRACIÓN Y PROTECCIÓN... EMILIO GUICHOT Revista de Administración Pública ISSN: 0034-7639, núm. 173, Madrid, mayo-agosto (2007), págs. 407-445 409 2 Sobre el derecho de acceso, en general, permítasenos remitirnos a nuestro artículo «El nuevo Derecho europeo de acceso a la información pública», núm. 160 de esta R EVISTA , 2003, págs. 283-315. 3 Sobre el proceso de construcción de un Derecho público común europeo nos remitimos a nuestra monografía La responsabilidad extracontractual de los poderes públicos según el Derecho comunitario, Tirant lo Blanch, Valencia, 2001, en especial págs. 669-672 y la bibliografía allí citada. 4 Entre las encaminadas al establecimiento de un estándar mínimo en relación al derecho de acceso a la información en poder de la Administración. Junto a este desarrollo de la normativa en materia de información «pasiva», los últimos años contemplan, tanto a nivel general como sectorial, la adición de la perspectiva de la «información activa», esto es, del deber de la Administración de difundir motu proprio ciertas informaciones relevantes. La serie de disposiciones que han ido marcando la evolución de la política del Consejo de Europa sobre la materia no dejan resquicio a la duda sobre cuáles son los fundamentos o las premisas que la guían: el acceso y la difusión de la información administrativa son condiciones para una profundización en la democracia efectiva, esto es, presupuestos necesarios para garantizar la participación de los ciudadanos en los asuntos públicos y la transparencia en el ejercicio del poder público. El texto más actual es la Recomendación del Comité de Ministros de 21 de febrero de 2002 sobre acceso a la información oficial, que ha sustituido traerse importantes conclusiones. La normativa sobre acceso a la información pública es la determinante de la legalidad o no de la comunicación de información por parte de la Administración a los ciudadanos, también cuando incluya datos personales, salvo cuando se trata del propio afectado, en cuyo caso es de aplicación la normativa sobre protección de datos, que ACCESO A LA INFORMACIÓN EN PODER DE LA ADMINISTRACIÓN Y PROTECCIÓN... EMILIO GUICHOT Revista de Administración Pública 410 ISSN: 0034-7639, núm. 173, Madrid, mayo-agosto (2007), págs. 407-445 a la anterior de 1981, y que, pese a carecer de efecto vinculante, participa del importante papel de referencia común a los trabajos de este órgano. Entre los motivos que permiten limitar el acceso se encuentra la salvaguarda de una serie de intereses, tanto públicos como privados, entre los que se encuentran la intimidad y otros intereses privados legítimos. Dichas excepciones, que debieran ser en todo caso temporales, han de preverse de forma precisa en la ley, y ser necesarias en una sociedad democrática; han de ser proporcionadas al objetivo a proteger, y, en todo caso, sólo entrarán en juego cuando la revelación sea susceptible de menoscabar efectivamente algunos de estos intereses y no haya un interés público prevalente en la difusión de la información. Por lo demás, la norma aclara que el derecho de acceso del interesado a sus propios datos se rige por las normas sobre protección de datos. Por otra parte, en materia de protección de datos, el texto de referencia lo constituye el Convenio núm. 108, de 28 de enero de 1981, para la protección de los individuos respecto al procesamiento automático de datos personales, que se encaminó a garantizar un estándar mínimo de protección, ampliable por las legislaciones nacionales, ante el incremento del flujo de datos personales sujetos a procesamiento automático, que ya se dejaba sentir a principios de los ochenta, y que ha inspirado las regulaciones nacionales posteriores, así como la comunitaria. El Convenio reafirma en su Preámbulo la necesidad de compatibilizar la protección de datos y el libre flujo informativo, logrando una conciliación entre ambos. Incluye en la definición de «tratamiento automatizado» las operaciones de difusión de datos, de modo que la difusión (a solicitud de un ciudadano o motu proprio) está sometida, con carácter general, a los principios generales de tratamiento leal y legítimo, finalidad, adecuación y calidad. En el caso de los datos sensibles, se supedita a que el Derecho interno prevea garantías adecuadas. Como puede verse, no se prohíbe respecto de ningún dato, ni siquiera a los especialmente protegidos, su difusión. En ambos casos, será la normativa nacional la que establezca cuándo ésta puede llevarse a cabo. En definitiva, de esta norma de mínimos tan sólo cabe extraer, como directriz, la necesidad de las normas nacionales de compatibilizar derecho a la información y protección de datos, de modo que ésta no aparece como un límite absoluto de aquél. Posteriormente se aprobó la Recomendación núm. R (91) 10, de 9 de septiembre, sobre la comunicación a terceros de datos de carácter personal en poder de organismos públicos, que de nuevo proclama la necesidad de conciliar la protección de la intimidad con la necesaria circulación de información en poder de la Administración. Por ello, la normativa parte de la posibilidad de comunicar datos personales a terceros, pero acompañándola de garantías para el sujeto afectado. De esta forma, la Recomendación (que se aplica sólo a la comunicación de datos objeto de tratamiento automatizado o de los propios ficheros automatizados, pero puede ampliarse a todos ellos) prevé entre los supuestos que legitiman la comunicación a terceros de datos personales o de ficheros que los contengan por una Administración «que los terceros tengan derecho según la normativa de acceso a la información pública». Si se trata de datos sensibles, cualquier excepción debe estar prevista estrictamente por ley y acompañada de garantías adecuadas, salvo cuando se trata de datos relativos a la vida pública de personas con una actividad con relevancia pública que hace que sus datos sean accesibles por terceros, y se prevé que no se comuniquen datos que afecten a sujetos cuya seguridad e intimidad estén particularmente amenazadas. Las legislaciones nacionales deben establecer garantías si la comunicación tiene lugar para fines incompatibles con aquel para el que los datos fueron recabados y tratados por la Administración, y, en todo caso, a los terceros cesionarios se les aplicará, a su vez, la normativa nacional sobre protección de datos. Asimismo, esta Recomendación establece que cuando la Administración recoge y trata datos que pueden ser comunicados a terceros, las finalidades de dicha recogida y el interés público que justifica el acceso deben estar indicados de conformidad con el Derecho y la práctica del Estado parte, y el sujeto debe ser informado antes o en el momento de la recogida del carácter obligatorio o facultativo de la misma, las bases jurídicas y la finalidad de la recogida y del regula el también denominado derecho de acceso. No obstante, uno de los límites del derecho de acceso es «la intimidad y otros intereses legítimos privados», si bien no se trata de un límite absoluto, sino que cualquier restricción al derecho a acceder a la información debe ser necesaria y proporcionada, sin que quepa descartar siquiera la prevalencia final del derecho de acceso y el sacrificio del derecho a la intimidad (o de otros intereses legítimos, en especial la seguridad o integridad del propio sujeto), cuando haya un interés público prevalente en la difusión de la información a la vista. Esto es, que es necesaria una ponderación entre derechos, en función, ha de entenderse, de la relevancia de la injerencia en el ámbito de reserva del afectado, de una parte; y del interés que para el conocimiento y control de la actividad administrativa tenga la divulgación de la información, de otra (con un papel especialmente destacado de la publicidad solicitada por los medios de comunicación social). El posterior tratamiento de dichos datos se rige por la normativa sobre protección de datos. En lo que hace al sistema del Convenio Europeo de Derechos Humanos, a falta de la consagración expresa del derecho de acceso a la información en poder de la Administración en el articulado del Convenio, se ha planteado si el derecho a acceder a la información en poder de la Administración, y la obligación consiguiente de ésta de facilitarla, deben considerarse incluidos en su artículo 10, que consagra las libertades de expresión e información. La cuestión no puede considerarse resuelta 5 . En todos los casos, el Tribunal ha preferido enfocar la demanda por la posible vulneración del artículo 8, que garantiza el respeto a la vida privada y familiar, al domicilio y a la correspondencia 6 . Esta solución se explica porque en los asuntos de que ha conocido hasta el momento los reclamantes solicitaban información concerniente a su propia vida personal o familiar, de modo que el Tribunal ha preferido optar por encajar la obligación de facilitarla dentro del contenido ACCESO A LA INFORMACIÓN EN PODER DE LA ADMINISTRACIÓN Y PROTECCIÓN... EMILIO GUICHOT Revista de Administración Pública ISSN: 0034-7639, núm. 173, Madrid, mayo-agosto (2007), págs. 407-445 411 tratamiento, así como del interés público que justifica su accesibilidad. Por lo demás, hay que notar que la Recomendación 1/1997, de 25 de febrero, del Consejo de Europa, referente a la normativa sobre protección de datos y los medios de comunicación, viene a excepcionar, concurriendo determinadas circunstancias, el principio del consentimiento y los derechos del afectado. 5 Abordan directamente el tema las Sentencias Leander, de 26 de marzo de 1987 (acceso por una persona a su expediente policial); Gaskin, de 7 de julio de 1989 (acceso por una persona a su expediente en poder de los servicios de asistencia social); y Guerra y otros, de 19 de febrero de 1998 (acceso por los vecinos de una industria contaminante a la difusión por la Administración de información en materia medioambiental). Junto a estas Sentencias, las Decisiones de la Comisión de 31 de mayo de 1974 (acceso por concejales a información), de 3 de octubre de 1979 (acceso por el interesado a documentos que le afectan), de 14 de diciembre de 1979 (acceso a información sobre comisión de régimen penitenciario) o de 14 de octubre de 1991 (acceso por las esposas de presos políticos de ciudadanos europeos en un país africano a información sobre el paradero y estado de sus esposos). 6 «1. Toda persona tiene derecho al respeto de su vida privada y familiar, de su domicilio y de su correspondencia. 2. No podrá haber injerencia de la autoridad pública en el ejercicio de este derecho, sino en tanto en cuanto esta injerencia esté prevista por la ley y constituya una medida que, en una sociedad democrática, sea necesaria para la seguridad nacional, la seguridad pública, el bienestar económico del país, la defensa del orden y la prevención del delito, la protección de la salud o de la moral, o la protección de los derechos y las libertades de los demás». activo del derecho al respeto a la vida privada, en línea con las facultades positivas que se integran actualmente en el derecho a la privacidad o a la «autodeterminación informativa» en los ordenamientos nacionales 7 . En todo caso, el Tribunal no ha descartado que la libertad de información (y el derecho a obtenerla) pueda hacerse valer frente a la Administración, en función de las circunstancias del caso. En efecto, se ha limitado a subrayar que la libertad de recibir información se caracteriza, al menos de forma principal, como un derecho a obtenerla de los sujetos privados sin injerencia del poder público, y que no era de aplicación en las circunstancias de autos. En todo caso, no parece que haya de descartarse, principalmente en aquellos supuestos en que es la Administración la única detentadora de la información. Lo cierto es que los documentos emanados del Consejo de Europa parecen acoger esta perspectiva 8 . En todo caso, quizá fuera más clarificador su reconocimiento autónomo. En lo que respecta al derecho a la protección de datos, se ha planteado si las facultades del interesado de acceso, rectificación y cancelación de dicha información se incluyen en el derecho al respeto a la vida privada y familiar consagrado en su artículo 8. La respuesta ha sido positiva 9 . El Tribunal Europeo de Derechos Humanos ha entendido que dicho artículo impone obligaciones negativas de no injerencia (p. ej., no recabar ni almacenar datos personales sin consentimiento del interesado) 10 , y también positivas (así, a la Administración, el facilitar información sobre los datos personales del afectado que se hallen en su poder) 11 . En algún caso, incluso, ha maximizado el alcance de qué deba entenderse por vida familiar y personal, incluyendo la información sobre las condiciones del entorno del domicilio de la persona 12 o el ámbito profesional 13 , ya que la noción de vida privada no debe interpretarse de forma restrictiva, de forma que para determinar si ha existido una injerencia no es preciso que se haya producido un uso posterior al almacenamiento o se haya derivado un perjuicio, ni que se trate de informaciones «sensibles» 14 . ACCESO A LA INFORMACIÓN EN PODER DE LA ADMINISTRACIÓN Y PROTECCIÓN... EMILIO GUICHOT Revista de Administración Pública 412 ISSN: 0034-7639, núm. 173, Madrid, mayo-agosto (2007), págs. 407-445 7 No obstante, en algún caso este enfoque ha resultado un tanto forzado, a nuestro juicio. Así, en el asunto Guerra la información solicitada no era información personal (en el sentido de la legislación de protección de datos personales, esto es, referida a sujetos identificados o identificables), sino información a los vecinos sobre los riesgos para la población derivados del funcionamiento de una industria, que detentaba con exclusividad la Administración. 8 La propia Recomendación del Comité de Ministros de 21 de febrero de 2002, sobre acceso a la información oficial, y la de 13 de julio de 2000, sobre política europea en materia de acceso a archivos, invocan como normativa de referencia, entre otros, a los artículos 8 y 10 del CEDH. 9 Como pronunciamientos señeros pueden citarse las SSTEDH Leander, de 26 de marzo de 1987; Gaskin, de 7 de julio de 1989; Guerra y otros, de 19 de febrero de 1998; Kopp, de 25 de marzo de 1998; Fressoz y Roire, de 21 de enero de 1999; Amann, de 16 de febrero de 2000; Rotaru, de 4 de mayo de 2000; o Odievre, de 13 de febrero de 2003. 10 Así, en la Sentencia Leander. 11 En este sentido, en la Sentencia Gaskin. 12 Así, en el asunto Guerra. 13 Vid., por todas, la Sentencia Kopp. 14 Así, Sentencias Amann, Rotaru y Fressoz y Roire. Por lo demás, tanto la libertad de información como el respeto a la vida privada y familiar están supeditados, en el sistema del Convenio, a posibles restricciones. Si limitamos ahora nuestra atención a las referencias cruzadas, comprobamos cómo el derecho al respeto de la vida privada tiene como límite «la protección de los derechos y libertades de los demás», entre los cuales hemos de incluir el derecho a obtener información, derecho autónomo relacionado con el principio democrático, y en muchos casos presupuesto para el ejercicio de otros derechos, notablemente el de tutela judicial. Por su parte, el derecho a recibir información está limitado por «la protección de la reputación o de los derechos ajenos», y por la necesidad de «impedir la divulgación de informaciones confidenciales». En síntesis, el derecho a la privacidad y el derecho al acceso a la información son dos derechos «nuevos», propios de una nueva etapa social, la caracterizada por la relevancia de la información, lo que explica que queden aún en el sistema jurídico del Consejo de Europa muchas sombras por despejar y considerables indeterminaciones normativas, que se manifiestan en un cruce de reenvíos. En todo caso, creemos que el sistema del Consejo de Europa llama a ponderar ambos derechos fundamentales en juego. En el caso del derecho a la vida privada y familiar, se trata de un presupuesto para el ejercicio de los demás derechos fundamentales y el libre desarrollo de la personalidad; en el de la libertad de información, de una necesidad para la articulación del Estado democrático. En los supuestos de colisión habrá que ponderar ambos derechos, tratando de maximizarlos, y analizando caso por caso la relevancia del sacrificio del bien jurídico protegido. 2. Derecho comunitario El derecho de acceso a la información en poder de las Instituciones y Agencias comunitarias, vinculado expresamente con el principio de democracia y transparencia y con la libertad de información, tiene hoy en el Derecho comunitario reconocimiento en los Tratados 15 , está consagrado de forma autónoma en la Carta de Derechos Fundamentales, independiente de la libertad de expresión y del derecho general a recibir información 16 , y tiene desarrollo legal en el Reglamento (CE) núm. 1049/2001, de ACCESO A LA INFORMACIÓN EN PODER DE LA ADMINISTRACIÓN Y PROTECCIÓN... EMILIO GUICHOT Revista de Administración Pública ISSN: 0034-7639, núm. 173, Madrid, mayo-agosto (2007), págs. 407-445 413 15 En el actual artículo 255, conforme al cual: «1. Todo ciudadano de la Unión, así como toda persona física o jurídica que resida o tenga su domicilio social en un Estado miembro, tendrá derecho a acceder a los documentos del Parlamento Europeo, del Consejo y de la Comisión, con arreglo a los principios y las condiciones que se establecerán de conformidad con los apartados 2 y 3. 2. El Consejo, con arreglo al procedimiento previsto en el artículo 251, determinará los principios generales y los límites, por motivos de interés público o privado, que regulan el ejercicio de este derecho de acceso a los documentos, en el plazo de dos años a partir de la entrada en vigor del Tratado de Amsterdam. 3. Cada una de las instituciones mencionadas elaborará en su reglamento interno disposiciones específicas sobre el acceso a sus documentos». 16 Según su artículo 42: «Todo ciudadano de la Unión o toda persona física o jurídica 30 de mayo, del Parlamento Europeo y del Consejo, relativo al acceso del público a los documentos del Parlamento Europeo, del Consejo y de la Comisión. En su Exposición de Motivos se afirma que «en principio, todos los documentos de las instituciones deben ser accesibles al público. No obstante, deben ser protegidos determinados intereses públicos y privados a través de excepciones [...] Al evaluar las excepciones, las instituciones deben tener en cuenta los principios vigentes en la legislación comunitaria relativos a la protección de los datos personales, en todos los ámbitos de actividad de la Unión». Dispone que el acceso habrá de denegarse en todo caso cuando la divulgación del documento afecte a «la protección de la intimidad y la integridad de la persona, en particular de conformidad con la legislación comunitaria sobre protección de los datos personales» y pueda perjudicar al sujeto 17 . Por lo demás, toda limitación ha de interpretarse restrictivamente, a la luz del derecho a la información y del principio de proporcionalidad, de modo que no se frustre la aplicación del principio general de libre acceso 18 . Esta línea directriz se manifiesta, en primer lugar, en la exigencia de apreciación singularizada y motivación para cada documento, en que se argumente por qué su comunicación puede efectivamente menoscabar uno de los intereses protegidos, sin que baste la mera referencia a las características generales de las categorías de documentos 19 o al sector al que pertenezca 20 , dando respuesta en su caso a la contraargumentación que haya expuesto el demandante de acceso en la solicitud confirmatoria que hace las veces de recurso 21 . Y, en segundo lugar, en la obligación de conceder el acceso parcial cuando sea posible limitado a los datos no amparados por las excepciones, siempre que el acceso a la información siga teniendo sentido 22 . Este principio, inicialmente de elaboración jurisprudencial, se recoge actualmente normativamente, al precisar el Reglamento que estas excepciones sólo se aplicarán a las partes del documento afectadas. Todos estos principios son de plena aplicación a la excepción por motivos de protección de la intimidad y la integridad de la persona 23 . ACCESO A LA INFORMACIÓN EN PODER DE LA ADMINISTRACIÓN Y PROTECCIÓN... EMILIO GUICHOT Revista de Administración Pública 414 ISSN: 0034-7639, núm. 173, Madrid, mayo-agosto (2007), págs. 407-445 que resida o tenga su domicilio social en un Estado miembro tiene derecho a acceder a los documentos del Parlamento Europeo, del Consejo y de la Comisión». Por lo tanto, para que estas excepciones sean aplicables, el riesgo de perjuicio debe ser razonablemente previsible y no puramente hipotético. Por todas, STPI de 13 de septiembre de 2000, asunto T-20/99, Denkavit Nederland BV contra Comisión. 17 Como la jurisprudencia se ha encargado de señalar de forma reiterada, la Institución debe examinar, para cada documento, si, vistas las informaciones de las que dispone, la divulgación es efectivamente susceptible de afectar a uno de los intereses protegidos (STPI de 7 de febrero de 2002, asunto T-211/00, Aldo Kuijer contra Consejo de la Unión Europea). 18 Como resume, por todas, la STPI de 7 de febrero de 2002, asunto T-211/00, Aldo Kuijer contra Consejo de la Unión Europea, apartado 54. 19 Así, por ejemplo, en la STPI de 6 de abril de 2000, asunto T-188/98, Aldo Kuijer contra Consejo. 20 Por todas, STPI de 6 de febrero de 1998, asunto T-124/96, Interporc Imund Export GmbH contra Comisión. 21 STPI de 6 de abril de 2000, asunto T-188/98, Aldo Kuijer contra Consejo.. 22 Por todas, STPI de 19 de julio de 1999, asunto T-14/98, Hautala contra Consejo, apartado 87. 23 Lo dicho hasta ahora se refiere al derecho de acceso a ejercitar frente a las Institu- El derecho a la protección de datos ha sido objeto, también él, de reconocimiento autónomo en la Carta de los Derechos Fundamentales de la Unión Europea 24 . En el plano legal, la normativa comunitaria está integrada, de una parte, por la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre, que regula los tratamientos de datos efectuados en los Estados miembros; y por el Reglamento (CE) núm. 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, que regula los tratamientos efectuados por dichos sujetos en los ámbitos regidos por el TCE. El régimen que diseñan tiene grandes similitudes. Ambas Exposiciones de Motivos parecen partir del principio de que el acceso a los documentos en poder de las Administraciones comunitarias y nacionales que contengan datos ACCESO A LA INFORMACIÓN EN PODER DE LA ADMINISTRACIÓN Y PROTECCIÓN... EMILIO GUICHOT Revista de Administración Pública ISSN: 0034-7639, núm. 173, Madrid, mayo-agosto (2007), págs. 407-445 415 ciones u órganos comunitarios. Por su parte, el derecho de acceso a la información en poder de las Administraciones nacionales, con la salvedad de la de carácter medioambiental, no se encuentra regulado por el Derecho comunitario, ni tan siquiera, como ocurre con el derecho a la protección de datos, por relación con la construcción de un mercado único de la información. La excepción se da en materia medioambiental, donde el texto de referencia es, hoy, la Directiva 2003/4/CE del Parlamento y del Consejo, de 28 de enero de 2003, relativa al acceso del público a la información medioambiental, que deroga la Directiva 90/313/CEE del Consejo. Ésta, entre las excepciones al acceso previa solicitud, sitúa la confidencialidad de «los datos y los expedientes personales respecto de una persona física si esta persona no ha consentido en la revelación de esa información al público, cuando dicho carácter confidencial está previsto en el Derecho nacional o comunitario», añadiendo que ello no permite denegar una solicitud relativa a información sobre emisiones en el medio ambiente, y que los Estados miembros velarán porque se cumplan los requisitos de la Directiva 1995 —art. 4.2.f)—. Al regular la difusión de la información medioambiental establece, asimismo, la posibilidad de aplicar las mismas excepciones. Por tanto, una remisión a la normativa nacional reguladora de la publicidad y la reserva, constituida fundamentalmente por la normativa de acceso y de protección de datos. En ocasiones, la solicitud de acceso tiene como finalidad la reutilización con fines comerciales de información en poder de la Administración difundida por ésta en soporte digital, supuesto regulado en la Directiva 2003/98/CE del Parlamento Europeo y del Consejo, de 17 de noviembre, relativa a la reutilización de la información del sector público. Dicha Directiva dispone que su regulación no afecta a los actuales regímenes de acceso de los Derechos nacionales, ni es aplicable a aquellos casos en que ciudadanos o empresas deban demostrar, en virtud del régimen de acceso, un interés particular para poder acceder a los documentos, ni a la normativa sobre protección de datos; y contempla entre los documentos excluidos aquellos que estén cubiertos por alguna excepción relativa a la protección de la intimidad de las personas. 24 Conforme a su artículo 8: «1. Toda persona tiene derecho a la protección de los datos de carácter personal que la conciernan. 2. Estos datos se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley. Toda persona tiene derecho a acceder a los datos recogidos que la conciernan y a su rectificación. 3. El respeto de estas normas quedará sujeto al control de una autoridad independiente». Como aclara la nota explicativa al texto de la Carta, dicho artículo se basa en el artículo 286 TCE («1. A partir del 1 de enero de 1999, los actos comunitarios relativos a la protección de las personas respecto del tratamiento de datos personales y a la libre circulación de dichos datos serán de aplicación a las instituciones y organismos establecidos por el presente Tratado o sobre la base del mismo. 2. Con anterioridad a la fecha indicada en el apartado 1, el Consejo establecerá, con arreglo al procedimiento previsto en el artículo 251, un organismo de vigilancia independiente, responsable de controlar la aplicación de dichos actos comunitarios a las instituciones y organismos de la Comunidad y adoptará, en su caso, cualesquiera otras disposiciones pertinentes») y en la Directiva 95/46/CE, así como en el artículo 8 del CEDH y en el Convenio del Consejo de Europa de 28 de enero de 1981. cular, sobre derecho de acceso y protección de datos, en el que se viene a concluir que no puede hablarse de la prevalencia de uno o de otro, sino que ha de estarse a un análisis ponderado caso por caso, sin posibles automatismos 38 ; y otro sobre comercialización de información del sector público y protección de datos, que analiza las particularidades que plantea la comerACCESO A LA INFORMACIÓN EN PODER DE LA ADMINISTRACIÓN Y PROTECCIÓN... EMILIO GUICHOT Revista de Administración Pública 422 ISSN: 0034-7639, núm. 173, Madrid, mayo-agosto (2007), págs. 407-445 o no, difusión en Internet o no); han de respetarse los principios de finalidad y legitimidad; informarse a la persona en cuestión; garantizar su derecho de oposición y utilizar las nuevas tecnologías para contribuir al respeto del derecho a la intimidad. 38 En su Dictamen 5/2001, de 17 de mayo, estima que el derecho de acceso y el derecho a la protección de datos son de la misma naturaleza, importancia y grado, y deben aplicarse conjuntamente, buscando un equilibrio. La comunicación a terceros de datos personales es un tratamiento protegido por la Directiva sobre protección de datos y, en los casos en que ésta no se aplique, por el artículo 8 CEDH. Por tanto, tiene que respetar la normativa sobre protección de datos. Conforme al artículo 6 de la Directiva: a) los datos han de ser tratados de manera leal y lícita, lo primero teniendo en cuenta cada situación y lo segundo, por ejemplo, analizando si hay un deber de confidencialidad que derive de la naturaleza de los datos o de las circunstancias de la recogida; b) han de ser recogidos con fines determinados, explícitos y legítimos, y no ser tratados posteriormente de manera incompatible con dichos fines. La concurrencia de dichos requisitos ha de analizarse caso por caso, teniendo en cuenta el carácter obligatorio o voluntario de la recogida (el primero permitirá otorgar un mayor peso a la reserva que el segundo), el tipo de datos personales tratados, la situación del interesado y las posibles consecuencias para el mismo de la divulgación de los datos, sin que se pueda decir de forma absoluta y automática que la difusión es compatible con los fines siempre por el hecho de que sea una Administración pública sometida al principio de transparencia. Conforme al artículo 7, el tratamiento, si es inconsentido, debe estar legitimado por alguna de las siguientes circunstancias: a) Que sea necesario para la ejecución de un contrato en el que el interesado sea parte o para la aplicación de medidas precontractuales adoptadas a petición del interesado (p. ej., comunicación de datos de personal al servicio de la Administración a un banco para la gestión de nominas), excepción que no parece jugar en el derecho de acceso. b) Que sea necesario para el cumplimiento de una obligación jurídica a la que esté sujeto el responsable del tratamiento (así, en el caso de los registros públicos). Hay que tener en cuenta que la legislación comparada sobre acceso permite tener en cuenta la protección de la vida privada cuando puede perjudicar en un caso particular, o somete las posibilidades de acceso a interés legítimo en otros, o distingue tipos de datos o categorías de interesados (p. ej., permite acceder a datos de funcionarios y de sus actividades con más facilidad que a los de ciudadanos ordinarios). En definitiva, el cumplimiento de una obligación legal no puede servir de motivo válido para legitimar la difusión automática y sin restricciones de datos, sino que es necesario encontrar un equilibrio, con análisis de las circunstancias de cada caso. c) Que sea necesario para proteger el interés vital del interesado (p. ej, difusión de datos en casos de desapariciones, o comunicación de datos de salud para asistencia médica), que no parece comprender el derecho de acceso. d) Que sea necesario para el cumplimiento de una misión de interés público o inherente al ejercicio del poder público conferido al responsable del tratamiento o a un tercero a quien se comuniquen los datos. El supuesto, como reconoce el propio Grupo de Trabajo, es difícil de distinguir del que responde al cumplimiento de una obligación jurídica, aunque ciertamente a veces puede precisarse instrumentalmente una comunicación sin que exista una obligación legal en este sentido. e) Que sea necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezcan el interés o los derechos y libertades fundamentales del interesado. Se trata de una cláusula general. El Grupo de Trabajo considera que entre los intereses legítimos se encuentra el derecho del público a acceder a los documentos administrativos (obsérvese como tal, no como instrumento de garantía de otros derechos). La normativa sobre protección de datos no establece, pues, prioridades, por lo que el balance habrá de llevarse a cabo caso por caso, tras un análisis exhaustivo de cada situación, teniendo en cuenta que existe una regulación específica sobre comunicación de datos sensibles. Sobre ellos, el Grupo de Trabajo, sin embargo, no profundiza en el análisis. cialización de información a la luz de los principios sentados en los dos anteriores 39 . Por su parte, el Supervisor Europeo de Protección de Datos elaboró en julio de 2005 un documento fundamental a nuestros efectos, titulado Public access to documents and data protection 40 , en que se aborda monográfica y detalladamente esta cuestión. Se trata del texto más completo y ACCESO A LA INFORMACIÓN EN PODER DE LA ADMINISTRACIÓN Y PROTECCIÓN... EMILIO GUICHOT Revista de Administración Pública ISSN: 0034-7639, núm. 173, Madrid, mayo-agosto (2007), págs. 407-445 423 39 En el Dictamen 3/1999, el Grupo de protección considera que han de respetarse todos los principios establecidos en la normativa sobre protección de datos y, muy en especial, hay que considerar si la finalidad para la que se comercializan los datos es o no compatible con la finalidad para la que los datos fueron puestos a disposición de la Administración, informando previamente a los ciudadanos de esta posibilidad, dándoles derecho a oponerse a dicho uso o recabando su consentimiento, en su caso. Los argumentos han sido desarrollados en su Dictamen 7/2003. Se parte de la necesidad de compatibilizar los tres grupos normativos. Pese a que en principio el objeto de la información susceptible de comercialización no es información personal (sino geográfica, meteorológica, de empresas, etc.), ante la interpretación amplia del concepto de datos personales, es posible que aquélla pueda incluir datos que se consideren personales, por lo que es necesario sentar algunos principios, el primero de los cuales es que no deben utilizarse datos personales cuando la finalidad comercial pueda alcanzarse con datos anónimos. En todo caso, habrán de respetarse los principios generales (de finalidad, adecuación y calidad) que integran el derecho a la protección de datos definidos en los artículos 6, 7 y 8 de la Directiva sobre protección de datos. Sus peculiaridades cuando la solicitud tiene como finalidad la comercialización son las siguientes, aplicadas a los requisitos del artículo 7. Sobre el consentimiento, convendría solicitarlo para la reutilización desde la primera recogida de datos (en caso de que se prevean solicitudes en este sentido). La Directiva no genera la obligación de los poderes públicos nacionales de facilitar datos personales para su reutilización, decisión que la misma deja a los legisladores nacionales. No obstante, la cláusula del interés legítimo llama a un equilibrio entre el derecho a la intimidad y el interés del responsable o de los interesados en la reutilización. Cuando se trate de datos sensibles, sólo será posible con el consentimiento explícito o cuando se hayan hecho manifiestamente públicos. Un aspecto fundamental específico es si ha de considerarse que la finalidad de comercialización se adecua al principio de finalidad. El Grupo de Trabajo considera que la Directiva no prohíbe la reutilización con fines diferentes, sino con fines incompatibles, lo que en todo caso excluye una utilización que pueda perjudicar al sujeto. En todo caso, hay que tener en cuenta que el que recibe la información (previa solicitud o porque ya se haya hecho pública) actuará como responsable del tratamiento en el sentido de la normativa sobre protección de datos y deberá, asimismo, evaluar la compatibilidad del uso que pretende con el fin para el que se facilitaron los datos. Pese a que, con carácter general, la Directiva de 2003 no exige que el solicitante declare los fines para los que solicita la información (como tampoco lo hace, nótese, la normativa comunitaria sobre acceso a la información pública, ni la mayoría de las regulaciones nacionales), sí es preciso conforme a la Directiva sobre protección de datos, a fin de que la autoridad pueda determinar si la reutilización es compatible con el fin original y, de manera más general, si es lícita. Con carácter general, han de tenerse en cuenta criterios como el carácter obligatorio o no de la aportación de datos personales a la autoridad (en el primer caso, con efectos excluyentes); la finalidad del destinatario (así, el ejercicio de la libertad de prensa, por ejemplo, puede jugar a favor de la compatibilidad, a diferencia de la comercialización); la naturaleza de los datos (los sensibles pueden excluirse de raíz de los fines de comercialización); o, en el caso de los registros, cuál sea su finalidad específica (con medidas técnicas que impidan otros usos). Asimismo, deben tenerse en cuenta las consecuencias para el interesado de la difusión o de la reutilización, o garantías como la información al interesado o su posibilidad de exclusión voluntaria. En todo caso, en principio y si se aplica el criterio de las expectativas razonables, utilizado por diversos Derechos nacionales, los ciudadanos que comunican sus datos a la Administración normalmente no esperan que se comuniquen, menos aún para fines comerciales. En definitiva, si una clave se desprende de este complejo sistema es la necesidad de ponderación individualizada y exhaustiva, y de arbitrar soluciones no sólo jurídicas, sino también técnicas, que impidan un acceso que menoscabe desproporcionadamente el derecho a la protección de datos. En palabras del Grupo de Trabajo, extenso sobre el particular emanado de una autoridad pública del que tenemos conocimiento, en el que se aportan claves para resolver el potencial conflicto entre el derecho de acceso y el derecho a la protección de datos, partiendo del principio de que ambos son derechos fundamentales que han de tratar de maximizarse. Considera que ante una solicitud de acceso a documentos que contengan datos personales, la normativa a aplicar es la que regula el derecho de acceso (salvo que sea el propio afectado), máxime en la medida en que contempla expresamente excepciones relacionadas con la intimidad e incluso, en el caso del Reglamento 1049/2001, hace una referencia expresa a su aplicación, de conformidad con la normativa sobre protección de datos, en su artículo 4.1.b). Lo primero que habrá que analizar es si el documento contiene datos personales y, además, si están en juego la privacidad y la integridad (concepto éste que, en el contexto de la normativa sobre acceso público, se considera que no aporta nada al de intimidad, salvo en los casos en que la revelación puede poner en peligro la integridad física del sujeto). Y ello por cuanto el hecho de que un documento contenga datos personales no implica la aplicación automática de la excepción basada en la protección de la intimidad, pues no todo dato personal puede considerarse íntimo. Por el contrario, la noción de intimidad (a la que se reconoce de difícil delimitación) hace referencia, en la jurisprudencia del CEDH y en la comunitaria, que en ella se inspira, a la vida privada y familiar y al domicilio, a la integridad física y moral, al honor y la reputación, a la garantía frente a la imputación de hechos inciertos, a la prohibición de revelación de hechos irrelevantes o comprometedores, a la publicación no autorizada de fotos privadas, a la protección contra el mal uso de las comunicaciones privadas, a la protección frente a la revelación de información dada o recibida por un sujeto confidencialmente. Ello no quiere decir que la noción de intimidad excluya per se las actividades de carácter profesional o comercial. No obstante, y en lo que hace a las actividades de los agentes públicos en el ejercicio de sus funciones (que son, con diferencia, las que han planteado más polémica a nivel comunitario, como vimos en algunos de sus ejemplos), éstos deben ser conscientes de que sus datos personales pueden ser de interés público por razones legítimas vinculadas al valor de la transparencia, y que mientras más relevante sea la función del agente, más poderoso puede ser el interés legítimo del público a ser informado sobre sus actividades. Una vez determinado, en su caso, que la información a la que se pretende acceder dice relación con la intimidad, hay que preguntarse si la revelación de la misma es susceptible de afectar sustancialmente al sujeto al que se refiere, como exige expresamente el Reglamento 1049/2001. Para deACCESO A LA INFORMACIÓN EN PODER DE LA ADMINISTRACIÓN Y PROTECCIÓN... EMILIO GUICHOT Revista de Administración Pública 424 ISSN: 0034-7639, núm. 173, Madrid, mayo-agosto (2007), págs. 407-445 «la evaluación deberá llevarse a cabo caso por caso, el resultado de lo cual no será normalmente un simple “sí” o “no”, sino más bien una diferenciación en el sentido de que puede prohibirse el acceso a determinados datos, pueden prohibirse determinados usos, se puede permitir el acceso a un grupo reducido de personas, se pueden imponer condiciones para el acceso (por ejemplo, la necesidad de justificar una petición) o permitir únicamente el acceso no informatizado (por ejemplo, un ejemplar de un documento en papel)». 40 Publicaciones de la Comisión, Background Paper Series, julio 2005, núm. 1. terminar la «medida» de la afectación, un criterio orientador es que dicha condición es más susceptible de darse cuando el acceso revela datos sensibles, en el sentido de la legislación sobre protección de datos. No obstante lo cual, es tan sólo una directriz, puesto que la revelación, incluso de datos personales «inocentes», como la dirección o el nombre del sujeto, puede, en ciertos casos, afectarle seriamente. Al efecto, considera que en casos particulares está justificado contactar, antes de conceder o no el acceso, con el sujeto afectado para recabar su opinión sobre los efectos que tendría la revelación, y tomarla en consideración (sin que, no obstante, sea sustitutiva o vinculante respecto de la decisión a adoptar por la Institución). Establecido que se trata de datos relacionados con la intimidad de la persona cuya revelación puede afectar sustancialmente a la misma, hay que comprobar si la revelación está permitida conforme a la legislación sobre protección de datos; en este caso, el Reglamento 45/2001. El Supervisor considera que dicho Reglamento permite la transmisión cuando regula la licitud del tratamiento y de la transmisión de datos, al establecer entre las causas que lo legitiman la necesidad para el cumplimiento de una misión de interés público o el ejercicio del poder público, o de una obligación jurídica, entre las que se encontraría precisamente el deber de facilitar el acceso a la información pública derivado del principio de transparencia. Ahora bien, otros preceptos de la normativa sobre protección de datos son también relevantes y llaman a los denominados proactive approach y reactive approach. Desde un punto de vista proactivo, se trata de intentar atenuar el conflicto potencial mediante la regulación particularizada para cada situación potencialmente conflictiva y la información al sujeto, coetánea a la recogida de datos, acerca de en qué casos sus datos podrán hacerse públicos. Esta aproximación se conecta con el principio establecido en la normativa sobre protección de datos conforme al cual no caben posteriores tratamientos (en este caso, consistente en la comunicación de datos) para una finalidad incompatible con aquella que motivó la recogida de los datos, lo que lleva a analizar cuál fue ésta y cómo pudo el sujeto entender razonablemente dicha finalidad. Resulta relevante a este respecto conocer si el sujeto fue informado en el momento de la recogida sobre la posibilidad de revelación posterior, que puede hacerse por referencia a los textos normativos que lo permiten, en cuyo caso lo normal será que se conceda el acceso. Por el contrario, si el sujeto fue informado de que los datos se mantendrían en la confidencialidad, lo normal será la denegación del acceso. Ha de analizarse también, en estrecha relación, si el sujeto ha dado su consentimiento inequívoco para la revelación, teniendo en cuenta si fue obtenido voluntariamente y previa una información adecuada; y evaluando su valor y grado sobre la base del modo en que fue obtenido, de modo que si el sujeto dio su consentimiento inequívoco el acceso debe concederse, sin que juegue la excepción de la intimidad. El enfoque reactivo surge una vez producida una solicitud de acceso, o cuando una Institución se plantea si procede o no publicar información que contiene datos personales, o bien cuando éstos han sido revelados y se produce una queja del sujeto afectado. En los dos primeros casos, ha de analiACCESO A LA INFORMACIÓN EN PODER DE LA ADMINISTRACIÓN Y PROTECCIÓN... EMILIO GUICHOT Revista de Administración Pública ISSN: 0034-7639, núm. 173, Madrid, mayo-agosto (2007), págs. 407-445 425 zarse si la revelación puede afectar negativamente al sujeto y si éste puede tener razones de peso relacionadas con su situación particular para oponerse a la revelación, en cuyo caso puede ser necesario consultarle para tener en cuenta su argumentación. El paso final es el test de proporcionalidad, que implica un acercamiento necesariamente casuístico, en que hay que analizar qué tipo de daño provocaría (o ha provocado, si se actúa ex post facto) en la práctica la revelación, daño que debe ser sustancial para que aquélla pueda considerarse desproporcionada, sin que en ningún caso la revelación pueda tener como resultado que una persona se vea privada o indebidamente restringida en su derecho fundamental a la protección de datos. Si (y sólo si) se considera que se produciría esta situación, hay que plantearse si el acceso parcial (borrando únicamente los elementos del texto que causan un daño sustancial) o la anonimización serían una solución, ya que se trata de una excepción a la regla general de la plenitud del derecho de acceso. Puede ser, por tanto, una solución práctica si el daño a la intimidad del sujeto es sustancial y si el sujeto en cuestión no es la fuente primaria de interés para el público. Si el trabajo administrativo que ocasiona el acceso parcial fuera irrazonable, se debe contactar con el solicitante del documento para encontrar una solución, ampliando en su caso, y tal y como permite la normativa, el breve plazo general de quince días para otorgar el acceso. En el caso de los datos sensibles, en principio el acceso debe denegarse en base a la excepción por razones de intimidad e integridad, salvo que el sujeto haya dado su consentimiento o los haya hecho públicos de forma manifiesta, o bien por motivos de interés público importantes, con las garantías adecuadas y requiriéndose su previsión en los Tratados, en otros actos legislativos adoptados en virtud de los mismos o, si fuera necesario, por decisión del Supervisor Europeo de Protección de Datos 41 . En conclusión, frente a la primera jurisprudencia, que habrá de ser cuanto menos matizada, parece ir imponiéndose un acercamiento a la cuestión a partir de la normativa sobre acceso y, por tanto, en el que la ponderaACCESO A LA INFORMACIÓN EN PODER DE LA ADMINISTRACIÓN Y PROTECCIÓN... EMILIO GUICHOT Revista de Administración Pública 426 ISSN: 0034-7639, núm. 173, Madrid, mayo-agosto (2007), págs. 407-445 41 Es éste, a nuestro juicio, el aspecto más descuidado del análisis, porque nos parece que el propio artículo 10 del Reglamento 45/2001 ofrece elementos muy válidos para la profundización, en la medida que él mismo establece las excepciones a la prohibición de tratamiento, entre las que figuran el consentimiento del interesado (salvo cuando las normas internas de la institución o del organismo comunitario dispongan que la prohibición no puede quedar sin efecto por el consentimiento del interesado, como podría ser la revelación de información que contuviera datos personales pero estuviera afectada por cualquiera de las excepciones al derecho de acceso); cuando el tratamiento es necesario para cumplir las obligaciones y derechos específicos del responsable del tratamiento en materia de Derecho laboral, en la medida en que esté autorizado por el Tratado de la Unión Europea u otros instrumentos jurídicos adoptados sobre la base del mismo o, si fuera necesario, en la medida en que lo haya aprobado el Supervisor Europeo de Protección de Datos, con la aportación de garantías suficientes; cuando el tratamiento es necesario para salvaguardar los intereses esenciales del interesado o de otra persona, cuando el interesado está física o jurídicamente incapacitado para dar su consentimiento (así, en especial, datos sanitarios); o cuando el tratamiento se refiere a datos que el interesado ha hecho manifiestamente públicos o es necesario para el reconocimiento, el ejercicio o la defensa de un derecho en un procedimiento judicial (excepción ésta que puede resultar clave a nuestros efectos). ción es necesaria tan sólo cuando el mismo puede menoscabar el derecho a la intimidad o a la integridad, en sentido amplio, no reducido a lo estrictamente personal o familiar, pero que no llega a cubrir, con carácter general, las actividades llevadas a cabo por cuenta o en relación con la Administración pública. Al respecto, y junto a los posicionamientos que se han puesto de relieve, una de las últimas iniciativas sobre transparencia es el Libro Verde de la Comisión, Iniciativa europea a favor de la transparencia, publicado el 3 de mayo de 2006, y que afecta a la publicidad de datos personales, ya que plantea la necesidad de regular la publicidad de las relaciones entre las Instituciones y los grupos de presión (lobbies), así como el nombre de los beneficiarios de fondos comunitarios. II. D ERECHO COMPARADO Dentro del Derecho comparado, hemos focalizado nuestra atención sobre los Derechos francés e italiano, por su mayor proximidad y porque son, a nuestro juicio, los más elaborados en el tema que nos ocupa. Además, en el caso francés, la redacción del artículo 37 de la Ley 30/1992 se inspiró principalmente en la regulación del derecho de acceso en aquel ordenamiento. 1. Derecho francés Al igual que ocurriera en España, el legislador francés dirigió su atención al derecho de acceso a la información en poder de la Administración y al derecho a la protección de datos de forma coetánea. Eso sí, bastante antes, entre 1978 y 1979, y con la creación simultánea de sendas Comisiones encargadas de velar por el respeto a ambos derechos, la Commission d’accès aux documents administratifs (CADA) y la Commission nationale de l’informatique et des libertés (CNIL). En su versión inicial, la Ley 78-17, de 6 de enero, relativa a la informática, a los ficheros y a las libertades, no hacía ninguna referencia expresa a las relaciones entre el derecho a la protección de datos y el derecho de acceso a la información pública. La Ley definía el concepto de «informaciones nominativas» como aquellas que permiten, en la forma que sea, directamente o no, la identificación de las personas físicas a las que se refieren; incluía en el concepto de tratamiento las comunicaciones de dichas informaciones, y establecía el deber de toda persona que llevara a cabo un tratamiento de tomar todas las medidas necesarias para evitar, entre otros, que las informaciones fueran comunicadas a terceros no autorizados. Por su parte, la Ley 78-753, de 17 de julio, por la que se establecen diversas medidas de mejora de las relaciones entre la Administración y el público y diversas disposiciones de orden administrativo, social y fiscal, reguló el derecho de acceso. Limitó su ámbito de aplicación al derecho de acceso a los documentos administrativos de carácter no nominativo y precisó el concepto de ACCESO A LA INFORMACIÓN EN PODER DE LA ADMINISTRACIÓN Y PROTECCIÓN... EMILIO GUICHOT Revista de Administración Pública ISSN: 0034-7639, núm. 173, Madrid, mayo-agosto (2007), págs. 407-445 427 documento administrativo, incluyendo los escritos, las grabaciones sonoras y visuales y los tratamientos automatizados de informaciones no nominativas. De este modo, reconoció el derecho de toda persona a conocer las informaciones contenidas en un documento administrativo que pretenda hacerse valer frente a la misma, con reserva de las disposiciones de la Ley 78-17, en relación con las informaciones nominativas que figuran en los ficheros informatizados. Entre las excepciones del derecho de acceso, se sentó que éste había de denegarse cuando pudiera afectar «al secreto de la vida privada, de los expedientes personales y médicos». Se preveía para todos los casos, incluidos éstos, la fijación por arreté ministériel adoptado previo avis de la CADA de las categorías de documentos que entran en algunas de las excepciones 42 . Finalmente, la Ley 79-18, de 3 de enero, de archivos, permitía el acceso a documentos obrantes en los mismos por razones de interés público, tanto por necesidad de la gestión y la justificación de derechos de las personas físicas o jurídicas, públicas o privadas, como por razones de documentación histórica de la investigación, y preveía, respecto a los documentos que contuvieran informaciones personales, los plazos a partir de los cuales se transformarían en accesibles, más o menos amplios en función de la potencialidad lesiva de la publicidad de las mismas 43 . No se preveía la extensión de las competencias de la CADA para este tipo de solicitudes de acceso. Pese al esfuerzo realizado por las respectivas Comisiones y por la jurisprudencia, la ausencia de coordinación legislativa provocaba dificultades de coordinación entre las legislaciones de acceso, de archivos y de protección de datos, que fueron puestas de relieve por la doctrina 44 y por las propias Instituciones concernidas: el CNIL, la CADA y el propio Conseil d’État 45 , a resultas de lo cual se formó un grupo de trabajo en el seno del ACCESO A LA INFORMACIÓN EN PODER DE LA ADMINISTRACIÓN Y PROTECCIÓN... EMILIO GUICHOT Revista de Administración Pública 428 ISSN: 0034-7639, núm. 173, Madrid, mayo-agosto (2007), págs. 407-445 42 La Ley 79-587, de 11 de julio, relativa a la motivación de los actos administrativos y a la mejora de las relaciones entre la Administración y el público —aparte cambios de redacción para desterrar el término «administrado» de la redacción de la Ley y sustituirlo por «persona» o «solicitante»—, introdujo un artículo 6 bis para precisar que la excepción para la protección de la vida privada y de los expedientes personales y médicos no era de aplicación al propio afectado, con la peculiaridad de que en el caso de los datos sanitarios el acceso había de llevarse a cabo con la intermediación de un médico elegido por el solicitante. Sobre el derecho de acceso en Francia, nos remitimos a la bibliografía exhaustiva sobre derecho de acceso citada por F. M ODERNE , en «Conception et élaboration de la loi du 17 juillet 1978», en Actas del Coloquio Transparence et Secret, organizado por el XXV aniversario de la Ley de 17 de julio de 1978 sobre acceso a los documentos administrativos, y editadas por La Documentation Française, Coloquio que, por su parte, constituye la referencia más importante sobre la dialéctica transparencia versus protección de datos en Francia. 43 Artículo 7: ciento cincuenta años, a contar desde el nacimiento, los que contienen datos sanitarios; ciento veinte, desde la misma fecha, los expedientes de personal; cien, para los relativos a asuntos judiciales, minutas notariales o registros de estado civil; cien, desde su elaboración, para los documentos que contienen información individualizada relativa a la vida personal y familiar y, de manera general, a hechos y comportamientos de orden privado, recogidos en el marco de encuestas estadísticas de los servicios públicos; sesenta, para los que contienen informaciones que afectan a la vida privada. 44 Como certifica F. M ODERNE ,«Conception et élaboration de la loi du 17 juillet 1978», en Actas del Coloquio citado. 45 Importantes estudios pusieron de relieve esta contradicción; entre otros, el Informe público del Conseil d’État de 1991 y de 1995; el octavo Informe de actividad de la CADA; el Conseil d’État, en el que se integraron representantes de la CADA y de la CNIL, con la intención de coordinar las tres Leyes. Sus conclusiones fueron acogidas, in integrum, en el proyecto de Ley y en la Ley posterior, núm. 2000-321, de 12 de abril, relativa a los derechos de los ciudadanos en sus relaciones con las Administraciones, que supuso un notable y modélico esfuerzo de aclaración y mejora, a través de una reforma simultánea de las tres Leyes citadas. Veamos en qué sentido: — Se consagró el principio según el cual las disposiciones de la Ley sobre protección de datos no impiden la comunicación a terceros de informaciones nominativas en las condiciones y con los límites previstos en las Leyes que regulan el acceso a la información pública y el acceso a los archivos, cualquiera que sea el soporte, informático o no, en que consten, de tal forma que no puede ser considerado tercero no autorizado en el sentido de dicho artículo el titular de un derecho de acceso a los documentos administrativos o a los archivos públicos ejercido conforme a las leyes citadas. En coherencia, se suprimió en la Ley sobre acceso la noción de documento nominativo 46 . ACCESO A LA INFORMACIÓN EN PODER DE LA ADMINISTRACIÓN Y PROTECCIÓN... EMILIO GUICHOT Revista de Administración Pública ISSN: 0034-7639, núm. 173, Madrid, mayo-agosto (2007), págs. 407-445 429 décimo sexto Informe de la CNIL; el informe de G. B RAIBANT al Primer Ministro, titulado Los archivos en Francia, de 1996, y Datos personales y sociedad de la información, de 1998, y, sobre todo, el estudio llevado a cabo por el Conseil d’État, entre mayo y julio de 1997, titulado Para una mejor transparencia de la Administración. Estudio sobre la armonización de los textos y la mejora de los derechos del ciudadano en materia de acceso de los ciudadanos a los datos públicos, La Documentation Française, 1998, págs. 11 y ss. 46 El concepto de «carácter nominativo» era objeto de interpretaciones dispares por la CNIL y por la CADA. Para la primera, desde la perspectiva de la Ley de protección de datos, constituían informaciones nominativas todas aquellas que contuvieran el nombre de en una persona, cualquiera que fuera la información asociada al mismo (llevada por la consideración, fuertemente asentada desde las primeras formulaciones doctrinales del derecho a la protección de datos, de que incluso las informaciones aparentemente más inicuas, cruzadas, pueden resultar potencialmente lesivas para los ciudadanos y sus posibilidades de libre desenvolvimiento en la sociedad). Desde la perspectiva de la Ley de acceso, era necesario determinar el encaje entre la propia exclusión ad initio de los documentos nominativos del campo de aplicación de la Ley, ex artículo 1; y la mención, en su artículo 6, a la protección del secreto de la vida privada, de los expedientes personales y del secreto médico, entre las excepciones al derecho a la información, que parece presuponer que se trata de documentos no excluidos ex radice por la exclusión de los nominativos del artículo 1. Tras algunas vacilaciones, pronto se impuso en la doctrina de la CADA un concepto que podemos calificar como «moderado» de «documento nominativo». Esto es, ni siquiera en los casos en que no es posible la «anonimizacion» de un documento cuyo acceso ha sido solicitado por un ciudadano, porque le haría perder su sentido, había de denegarse necesariamente el acceso, por entender que se trata de un documento nominativo en el sentido del artículo 1 y, con ello, excluido del campo de aplicación de la Ley, ya que no todo documento que contuviera el nombre de una persona era nominativo, a los efectos de excluir el derecho de acceso por terceros, sino tan sólo aquellos que dijeran relación con la vida privada de las personas, esto es, sólo los que comportan una apreciación personal o incluyen la descripción del comportamiento de una persona, de tal forma que la exclusiva mención al nombre de una persona en un documento no basta para conferirle carácter nominativo. La consecuencia disfuncional era que dependiendo de algo tan instrumental y mutable como el soporte, informático o no, en que constaran las informaciones, éstas eran comunicables o no, puesto que se consideraba que el acceso a toda información nominativa obrante en un fichero informático se regía por la Ley 78-17, de 6 de enero, caía bajo la competencia de la CNIL y el principio era el de reserva, cualquiera que fuese su contenido (por todas, CE de 19 de mayo — Para paliar una segunda dificultad de coordinación representada por la no previsión, en la Ley de acceso, de la posibilidad por los propios interesados de acceder a información sobre su vida privada en poder de la Administración, prevista, sin embargo, en la Ley sobre protección de datos, se precisó que los documentos afectados por la excepción basada en el derecho a la intimidad sólo pueden ser comunicados al interesado. — En tercer lugar, en el caso de informaciones nominativas, se daba una potencial colisión entre dos principios contenidos, respectivamente, en la Ley de protección de datos y en la de archivos: el «derecho al olvido», que obliga a la cancelación de los datos una vez han cumplido con la finalidad para la que fueron recabados; y la finalidad de servicio a la documentación histórica de la investigación a la que sirve el sistema archivístico, por lo que se hacía necesario regular qué ocurre con los ficheros que contienen datos personales y que son destruidos antes de que sean accesibles según la Ley de archivos. Para solventar esta contradicción se modificó la Ley sobre protección de datos, acogiendo una distinción entre la finalidad «administrativa» inicial del tratamiento y la finalidad de investigación histórica, estadística o científica, con la consiguiente necesidad de seleccionar los datos nominativos que presentan un interés para la investigación en las condiciones previstas en el artículo 4.1 de la Ley 79-18, de 3 de enero. Dichas informaciones sólo podrían ser objeto de tratamiento para dichos fines salvo autorización de los interesados o autorización por la CADA en el interés de las ACCESO A LA INFORMACIÓN EN PODER DE LA ADMINISTRACIÓN Y PROTECCIÓN... EMILIO GUICHOT Revista de Administración Pública 430 ISSN: 0034-7639, núm. 173, Madrid, mayo-agosto (2007), págs. 407-445 de 1983), mientras que, de hallarse en soporte papel, la solicitud de acceso entraba en el campo de aplicación de la 78-753, de 17 de julio, se encontraba bajo la competencia de la CADA y procedía distinguir si la información comportaba una apreciación sobre una persona (en sentido amplio, incluyendo, p. ej., los datos sanitarios, CE de 30 de marzo de 1990). Habida cuenta la informatización progresiva de la Administración, la lógica se orientaba, pues, a la restricción del acceso. El Conseil d’État acabó acogiendo la interpretación de la CADA, y considerando, pues, que en las demandas de acceso por terceros a información en que figuraran datos personales de un sujeto, cualquiera que fuera el soporte en que lo hicieran, era de aplicación la Ley de acceso y que, a estos efectos, sólo pueden ser considerados documentos nominativos, en el sentido de dicho artículo, los documentos que permiten una apreciación o un juicio de valor sobre una persona física designada por su nombre o fácilmente identificable, como se deduce de los propios trabajos preparatorios de dicha Ley (por todas, CE de 3 de julio de 2002). De esta forma, aquellos que dan cuenta del nombre, cargo u otras circunstancias que no se relacionan con la vida privada, sino con una actividad relacionada con el ejercicio de competencias administrativas, no son considerados documentos nominativos a estos efectos. En todos estos casos, eso sí, siempre ha precisado que habrán de omitirse, en su caso, las circunstancias que afecten a la vida privada, como la fecha de nacimiento o el domicilio. Ha denegado, por contra, el acceso a datos personales relativos a la salud, a circunstancias familiares o relacionales o a sanciones disciplinarias. Así, se ha denegado el acceso a un listado de las personas afectadas por una intoxicación y de su estado de salud (si bien se concede el acceso a los informes o atestados, omitiendo en su caso los nombres de los implicados, CE de 31 de enero de 1996); a la baremación de cada uno de los candidatos en un concurso de méritos, alegando en este caso que, habida cuenta la naturaleza de éstos, afectaría al secreto de los expedientes personales (CE de 21 de diciembre de 1994); al dictamen de una Comisión que resuelve un procedimiento de mutación de plaza entre dos funcionarios, teniendo en cuenta que se concede a la vista del conjunto de situaciones individuales de los agentes en cuestión, porque afectaría al secreto de los expedientes personales; al expediente disciplinario incoado a un colegiado por parte de otro (CE de 18 de febrero de 1994). personas afectadas, autorización que, tratándose de datos sensibles, debía fundarse en motivos de interés público y en el interés de las personas afectadas mediante Decreto en Conseil d’État a propuesta o avis conforme de la CADA. De esta forma, se distinguían tres fases en el ciclo de vida de una información nominativa: la fase de tratamiento administrativo de la información; a la expiración del plazo necesario para la realización de los fines para los que esta información fue recogida o tratada, una fase durante la cual se prohíbe todo tratamiento de información, salvo en el interés de las personas concernidas, lo que no impide su conservación para un tratamiento ulterior con fines de investigación; a la expiración de los plazos fijados por la Ley sobre los archivos, una fase de tratamiento para fines de investigación histórica, estadística o científica. — Finalmente, tampoco se hallaba bien coordinada la relación entre la Ley sobre acceso y la Ley de archivos, y la interpretación de los criterios para conceder el acceso a datos nominativos en aplicación de una y otra, fundamentalmente por no extenderse la competencia de la CADA a la aplicación de la segunda, lo que sí se previó en la reforma. Estas reformas legales no hicieron sino plasmar los principios que habían ido elaborando las respectivas Comisiones, y en especial la CNIL, así como el Consejo de Estado, que, además, establecieron otras reglas interpretativas adicionales de gran interés. Por una parte, en cuanto a la previsión, en el artículo 6 bis, de que la excepción relativa a la protección del secreto de la vida privada, de los expedientes personales y del secreto médico no es aplicable al propio interesado, la CADA y el Conseil d’État precisaron que sí puede denegársele el acceso cuando la comunicación pueda comportar revelación de datos de terceros potencialmente perjudiciales para éstos, muy en especial para su seguridad personal. Es el caso, especialmente, de la comunicación de informes valorativos en el seno de procedimientos de actuación de los servicios sociales 47 o policiales 48 , salvo que sea posible eliminar los nombres de los declarantes y ello haga imposible reconstruir su identidad, aplicando la excepción de seguridad pública contenida en el propio artículo 6 49 . Pero también hay otras excepciones que pueden jugar frente al propio interesado, como la necesidad de reserva en las inspecciones laborales o fiscales 50 . En definitiva, incluso en estos casos, es necesario huir de todo automatismo y ponderar cabalmente los intereses en presencia. Por ACCESO A LA INFORMACIÓN EN PODER DE LA ADMINISTRACIÓN Y PROTECCIÓN... EMILIO GUICHOT Revista de Administración Pública ISSN: 0034-7639, núm. 173, Madrid, mayo-agosto (2007), págs. 407-445 431 47 Por todas, CE de 12 de julio de 1995. 48 Por todas, CE de 16 de marzo de 1998. 49 Por la misma línea discursiva, se ha denegado a un profesor el acceso a los informes remitidos por padres de alumnos denunciando su conducta, salvo que la omisión de los nombres haga imposible la identificación del alumno del que son progenitores (CE de 14 de octubre de 1992). Incluso, el secreto de la vida privada de terceros que convivan con el solicitante es un límite al acceso por parte de éstos a información que le concierne, y, de este modo, se ha denegado el acceso por el titular de la línea telefónica a datos sobre los números a los que se ha telefoneado desde su línea, ya que desvelaría información sobre la vida privada de las demás personas que la utilizan (CE de 6 de febrero de 1991). 50 CE de 12 de octubre de 1990. municación a terceros de ningún dato personal en poder de la Administración 63 , lo que nos parece que, amén de no tener encaje en ninguno de los modelos que aporta el Derecho europeo o comparado, resulta absolutamente irreconciliable con el carácter no absoluto de los derechos fundamentales y su necesaria compatibilidad con el resto de derechos, bienes y principios constitucionales. Es por ello que se precisa, a nuestro juicio, de un replanteamiento serio de la cuestión, que tenga en cuenta todos los derechos, principios y bienes en cuestión, y huya de planteamientos absolutos 64 . Creemos que es posible formular una serie de directrices acerca de cómo habría de interpretarse la relación entre el derecho de acceso y el derecho a la protección de datos, la mayoría de las cuales, como veremos, se encuentran ya apuntadas o consolidadas en el Derecho europeo y el comparado, pero no así en el español: 1.ª Las relaciones entre publicidad y reserva de la información en poder de la Administración vinculada a personas determinadas han de ser resueltas, como todo conflicto entre valores, bienes, derechos y libertades constitucionales, mediante una delimitación del alcance y contenido de cada uno de ellos y una ponderación que permita compatibilizarlos en caso de conflicto, alcanzando la solución que en cada caso entrañe el menor sacrificio posible de cada uno de ellos. 2.ª Para la delimitación del alcance y contenido debe tenerse en cuenta que la publicidad que se pretende al ejercitar el llamado «derecho de acceso» puede dar cobertura a finalidades diversas. El solicitante de acceso lo puede hacer como puro ejercicio de participación y control democrático (que es propiamente el fundamento del reconocimiento constitucional de este derecho) o bien como medio para la defensa de otros derechos o intereses. Por su parte, una información asociada al nombre de una persona puede afectar a ésta en su propia integridad física en determinados supuestos (p. ej., información sobre funcionarios de prisiones), en su intimidad, o en su derecho a la protección de datos, en casos en que se trata de información personal no íntima o en que pueden quedar afectados otros derechos dignos de protección que pueden conectar, en último extremo, con sus posibilidades de libre desarrollo de la personalidad, y que instrumentalmente obtienen protección mediante el derecho a la protección de datos. Ahora bien, ACCESO A LA INFORMACIÓN EN PODER DE LA ADMINISTRACIÓN Y PROTECCIÓN... EMILIO GUICHOT Revista de Administración Pública 438 ISSN: 0034-7639, núm. 173, Madrid, mayo-agosto (2007), págs. 407-445 63 Así, P. L UCAS M URILLO DE LA C UEVA , Informática y protección de datos personales (Estudio sobre la Ley Orgánica 5/1992, de regulación del tratamiento automatizado de los datos de carácter personal), Centro de Estudios Constitucionales, Madrid, 1993, pág. 96, estima que la comunicación de datos desde ficheros públicos requiere, en todo caso, consentimiento del interesado, lo que equivale a negar el derecho de acceso a la información pública e incluso el derecho a la tutela judicial efectiva en el caso de documentos que incorporen información personal. 64 Sobre la dialéctica entre publicidad y reserva en el ámbito de los Registros públicos, y en concreto del Registro de la Propiedad, remitimos a nuestra monografía Publicidad registral y derecho a la privacidad. Una necesaria conciliación, Centro de Estudios Registrales, Madrid, 2006, y al artículo «La publicidad registral a la luz de la normativa sobre protección de datos. En especial, las cuestiones jurídicas que plantea el acceso telemático al contenido de los libros del Registro», Revista Crítica de Derecho Inmobiliario, núm. 697, 2006. no toda información que contiene el nombre de una persona es un dato personal. El concepto de dato personal se ha extendido a toda información nominativa de cualquier género. Esta concepción onnicomprensiva, justificada por la potencialidad lesiva del cruce de información nominativa, que puede resultar «inofensiva» aisladamente considerada, comienza a ponerse en tela de juicio, y se apunta a los criterios del contenido, la finalidad y el resultado como guías para decidir cuándo una información asociada a una persona identificada o identificable es o no un dato personal. Hay que partir, pues, de que no toda información que contiene el nombre de una persona es ipso facto información sobre dicha persona, y por ello dato personal, y, por ende, que en muchos casos no se hallará en juego este derecho (ni, menos aún, el derecho a la intimidad). Dentro de los datos que sí dicen relación con una persona determinada, la normativa que regula el derecho de acceso presta una ayuda incuestionable para distinguir entre dato íntimo y dato nominativo. En especial, esta última, con su diferenciación de un régimen más garantista respecto a los datos denominados «especialmente protegidos» o «sensibles» (relativos a ideología, creencia, religión, raza, vida sexual, salud, a los que se une un régimen también diferenciado de los datos sobre condenas penales o administrativas). Ciertamente, ni los datos íntimos —cuya definición no puede hacerse a priori, dada la congénita indefinición del concepto de intimidad 65 — se reducen a los especialmente protegidos, ni los datos especialmente protegidos tienen una conexión exclusiva con el ámbito de la intimidad (ya que se conectan a su vez con otros derechos, muy en especial con el principio de no discriminación). Pero, en todo caso, la categoría de los datos especialmente protegidos supone una importante directriz para dilucidar cuándo una publicidad inconsentida por la vía del otorgamiento del acceso puede implicar una mayor injerencia en los derechos constitucionales de los afectados y, por ende, debe ser excepcional, sólo justificada por la prevalencia de otro derecho fundamental. Por el contrario, otro tipo de datos, como los «relacionales», fuera del ámbito familiar (laborales, económicos y, sobre todo, muchos de los referidos a relaciones con la propia Administración pública), caen fuera de esta protección reforzada pero pueden entrar en el concepto de dato personal. La ponderación, pues, entre publicidad y reserva ha de tener en cuenta, en consecuencia, cuál es el valor constitucional en juego en cada caso. 3.ª La normativa reguladora del derecho de acceso a la información pública es la determinante de la legalidad o no de la comunicación de información que incluya datos personales desde la Administración a los ciudadanos, salvo cuando se trata del propio afectado, en cuyo caso es de aplicación la normativa sobre protección de datos, que regula el también denominado derecho de acceso, y que bien pudiera calificarse, de forma probablemente más expresiva, derecho de información individualizada ACCESO A LA INFORMACIÓN EN PODER DE LA ADMINISTRACIÓN Y PROTECCIÓN... EMILIO GUICHOT Revista de Administración Pública ISSN: 0034-7639, núm. 173, Madrid, mayo-agosto (2007), págs. 407-445 439 65 Sobre el particular, véanse el análisis de la jurisprudencia constitucional y las reflexiones que le dediqué en el capítulo segundo de la monografía Datos personales y Administración Pública, op. cit., y la bibliografía allí citada. (que, a su vez, ha de compatibilizarse en algunos casos con la protección del anonimato de terceros cuyos datos puedan figurar en dicha información). Esta regla debería tener consagración legislativa expresa, coordinando así bloques normativos en aras de la seguridad jurídica. 4.ª Tal y como apunta la normativa de acceso, los datos íntimos, en principio, deben ser los más resistentes a una publicidad inconsentida. No obstante, no puede excluirse tampoco de forma absoluta la publicidad de estos datos, cuando haya motivos de interés público o derechos individuales prevalentes, por lo que siempre es necesario un juicio ad casum (piénsese en la lucha contra los delitos, la protección de la integridad de las personas, la tutela de la salud, etc.). Por tanto, no cabe una exclusión in genere y a priori absoluta de la publicidad de este género de datos. Puede pensarse que, en estos casos, cobre una importancia decisiva cuál sea la finalidad de la pretensión de acceso: si está vinculada al control general de la actuación administrativa, con base en un principio de transparencia, o si está asociada a la necesidad de tutelar un bien o derecho constitucional diferente. Como apuntamos, en no pocas ocasiones, la demanda de acceso no tiene por objeto el mero control de la actividad pública, sino que conecta con la efectividad de otro derecho fundamental del demandante (p. ej., información sobre ingresos de una persona a la Administración tributaria por su ex cónyuge o por sus hijos; demandas de datos sanitarios por personas que han sido contagiadas por el afectado; derecho a la igualdad en el acceso a la función pública, etc.). En estos casos, en realidad, el acceso es presupuesto para el ejercicio por el demandante de sus derechos constitucionales, y la ponderación ha de ser realizada, en realidad, entre el derecho en cuestión y el derecho a la protección de datos o, en su caso, a la intimidad (p. ej., dando en todo caso prevalencia al derecho a la vida y a la integridad física, en el supuesto de datos sanitarios). Es planteable si la normativa no debiera prever en estos casos que la revelación debiera someterse en todo caso, o salvo excepciones extremas en que esté en juego la integridad o seguridad de las personas, a autorización judicial, como ocurre con las manifestaciones «geográficas» de la intimidad (domicilio, comunicaciones). 5.ª En el caso de solicitudes de acceso a datos no íntimos pero sí personales —categoría que debiera tender a la identificación con los «datos nominativos» de la actual normativa sobre acceso, hasta tanto no desaparezca esta categoría equívoca que ya ha sido suprimida en el Derecho francés, del que se importó— ha de valorarse, por una parte, la importancia que para la transparencia administrativa tiene en el caso concreto la concesión o denegación del acceso, sin olvidar lo dicho sobre que no todo dato que contiene el nombre de una persona es un dato personal. Para este juicio habrá de tenerse en cuenta el tipo de información al que pretende accederse (p. ej., la información sobre actos emanados de la propia Administración, como licencias, ayudas o subvenciones concedidas, contribuye de forma clave e indiscutible a la transparencia administrativa, así como la relacionada con la identidad y actividades de agentes o contratistas de la Administración; no así, por ejemplo, el acceso al expediente disciplinario o a la declaración de ACCESO A LA INFORMACIÓN EN PODER DE LA ADMINISTRACIÓN Y PROTECCIÓN... EMILIO GUICHOT Revista de Administración Pública 440 ISSN: 0034-7639, núm. 173, Madrid, mayo-agosto (2007), págs. 407-445 la renta de un ciudadano cualquiera). En la medida en que la información sea más reveladora del modo de administrar el bien común, mayor valor habrá de darse al interés por obtenerla. También conviene atender al sujeto que la reclama, en conexión con la finalidad de la demanda. Así, cuando son los profesionales de los medios los que tratan de obtener información respecto de la cual resulta clave el conocimiento de la identidad de una persona (p. ej., subvenciones recibidas por actividades empresariales desarrolladas por un alto cargo), en conexión con el papel estelar del derecho a la libertad de información como garantía del Estado democrático. Como directriz puede apuntarse que cuando la información tenga directa conexión con la fiscalización pública de la actividad administrativa debe prevalecer, en principio, el derecho de acceso sobre el derecho a la reserva de los datos nominativos no íntimos. Por otra, habrá de medirse el perjuicio que pudiera causar al sujeto de los datos la revelación (para lo que habrán de ponderarse todas las circunstancias concurrentes, como el que hayan sido ya puestos de manifiesto previamente por el propio sujeto, los antecedentes —piénsese en revelar la dirección de correo electrónico de un funcionario que ha sufrido previas amenazas por este medio—, la actividad del sujeto —piénsese, p. ej., en desvelar la propia identidad de funcionarios de prisiones, asistentes sociales, etc., en determinados casos—). 6.ª El juicio de proporcionalidad deberá llevarse a cabo conforme a las técnicas habituales en dicho género de razonamientos, elaboradas en especial en el juicio constitucional. Toda una serie de directrices procedimentales han de ponerse a su servicio. Las normas sectoriales pueden contribuir a aclarar la cuestión, determinando cuándo un dato personal recabado es susceptible a priori de ser objeto de posterior publicidad, informando al sujeto de ello, siempre que responda en efecto a una finalidad de transparencia que justifique, en abstracto, la restricción del derecho. En todo caso, debe tenerse en cuenta que el sujeto puede también en estos casos ejercitar el derecho de oponerse a dicha comunicación (que es una modalidad de tratamiento), que le garantiza la normativa sobre protección de datos cuando existan motivos fundados y legítimos relativos a una concreta situación personal. El juicio abstracto debe también realizarse a la hora de decidir, respecto a aquellos datos cuya publicidad se prevé, el medio y el soporte, a la luz de los potenciales riesgos para los derechos e intereses de los afectados. Aunque la no necesidad de motivar las solicitudes de acceso sea actualmente el principio general hoy vigente en nuestro Derecho —aunque, como hemos visto, otros Derechos, como el italiano, sí lo exijan—, cabe plantearse si debe motivarse la solicitud de acceso, bien desde un inicio, bien a requerimiento de la Administración, si comprueba que la información solicitada incluye datos personales, para permitir una ponderación más afinada. Por la misma razón, habría de darse traslado de la solicitud de acceso al afectado (regulando los plazos), de manera que pudiera alegar lo que estimare oportuno acerca de la gravedad de la afectación a sus derechos que puede suponer la revelación de datos personales, o sobre la posibilidad de proceder a una previa anonimización. ACCESO A LA INFORMACIÓN EN PODER DE LA ADMINISTRACIÓN Y PROTECCIÓN... EMILIO GUICHOT Revista de Administración Pública ISSN: 0034-7639, núm. 173, Madrid, mayo-agosto (2007), págs. 407-445 441 7.ª Al estar en juego valores, bienes y derechos constitucionales, ha de intentarse su maximización. Por ello, habrá de procederse siempre al otorgamiento del acceso cuando mediante la anonimización de la información solicitada pueda alcanzarse dicha finalidad de conocimiento y control, ya que, como establece la normativa sobre protección de datos, la información una vez despersonalizada cae fuera del ámbito de protección del derecho. No obstante, habrá de tenerse en cuenta que se considera dato personal, conforme a la citada normativa, toda información concerniente a personas físicas identificadas o identificables, de modo que la Administración habrá de cerciorarse que la información despersonalizada que facilita no es susceptible de asociación. Asimismo, hay que considerar la posibilidad de conceder el acceso parcial cuando determinadas partes de la información deban quedar reservadas, a la vista del juicio de proporcionalidad emitido. 8.ª La decisión denegatoria habrá de ser, en todo caso, motivada cuando restrinja derechos, sea el de acceso (y los derechos que se pretendan tutelar con la obtención de información, cuando el acceso es instrumental, como hemos expuesto), sea el derecho a la intimidad o a la protección de datos (o los derechos a los que instrumentalmente éstos contribuyen a tutelar). Así lo impone el artículo 54.1.a) de la Ley 30/1992. Asimismo, debe ser notificada a los interesados, incluidos los sujetos afectados por la revelación de sus datos que supone la concesión del acceso a un tercero, como impone el artículo 58.1 de la citada Ley. 9.ª La institución de un organismo de control del funcionamiento del sistema de acceso a la información (bien burocrático en cada Administración, bien con la naturaleza de una Administración independiente) que pudiera pronunciarse sobre las decisiones administrativas, dando una respuesta rápida y gratuita (lo que resulta clave en materia informativa) y sentando gradualmente los criterios generales de ponderación, resulta clave en una materia como ésta en que la Ley carece del mínimo grado de concreción. A falta de la misma, las Agencias de Protección de Datos están llamadas a jugar un papel clave en el establecimiento de los criterios. Evidentemente, como todos los actos administrativos, las decisiones sobre acceso son susceptibles de control por los tribunales contencioso-administrativos, como establece el artículo 1.1 de la Ley 29/1998. 10.ª El tratamiento posterior de los datos personales queda sometido a la normativa sobre protección de datos. A la luz de las directrices que expusimos al comienzo de este trabajo y de la comparación con los principios que se extraen del Derecho europeo y comparado, puede valorarse la regulación contenida en el artículo 37 LRJAP-PAC. — En cuanto al régimen del acceso a los datos íntimos, se echa de menos una flexibilización de lo que aparece en la Ley como un límite absoluto, ya que en ocasiones puede haber un interés público superior en la transparencia de actividades públicas relevantes, amén de que, como dijimos, en ACCESO A LA INFORMACIÓN EN PODER DE LA ADMINISTRACIÓN Y PROTECCIÓN... EMILIO GUICHOT Revista de Administración Pública 442 ISSN: 0034-7639, núm. 173, Madrid, mayo-agosto (2007), págs. 407-445 determinados casos la prohibición al acceso por terceros puede pugnar con la necesaria garantía de otros derechos fundamentales, muy en especial con el derecho a la tutela judicial efectiva, pero no sólo (piénsese, p. ej., en la necesidad imperiosa que puede haber de conocer datos de salud de una persona para proceder al tratamiento médico de otra, en un supuesto de contagio), por lo que una exclusión radical, creemos, se enfrenta a la necesaria vigencia y ponderación de todos los derechos y bienes constitucionales en conflicto. — Respecto a la exigencia de acreditación de un interés para acceder a datos nominativos, que, como dijimos, ha sido objeto de durísimas críticas por parte de la doctrina que se ha acercado al tema desde el estudio del derecho de acceso, hay que señalar que una comprensión acorde con la dogmática del derecho a la protección de datos debiera llevar a suprimir el concepto de documento nominativo o reconducirlo, como en Francia, a aquellos que digan relación con el sujeto, por su contenido, finalidad o efectos, acompasándolo, de este modo, con la noción de dato personal que comienza a hacerse paso en el Derecho europeo. De este modo, no sería necesaria la ponderación en todos los casos por el mero hecho de que incluyan la mención al nombre de una persona entre su contenido. Cuando sí se trate de un documento nominativo en este sentido (léase, contenga auténticos datos personales) habrá que proceder a la ponderación, con los criterios apuntados. — En cuanto al acceso a datos obrantes en expedientes sancionadores o disciplinarios, lo cierto es que la normativa europea, la comparada y la española sobre protección de datos otorgan a los mismos una especial protección, consistente en que sólo pueden ser incorporados a ficheros públicos en los términos que establezcan las leyes, por lo que también a la luz de dicho bloque normativo parece justificarse una especial cautela en el acceso a datos que incorporan una valoración negativa y tienen, pues, un potencial lesivo para el sujeto. Ello no quiere decir que haya de denegarse el acceso en cualquier caso, pero sí que en estos supuestos debería ponderarse teniendo en cuenta esta consideración, de forma que sólo en casos en que su conocimiento sea esencial para el fin de transparencia y control, o bien exista otro derecho o valor constitucional en juego en la demanda de acceso, debería prevalecer la publicidad sobre la reserva. Una reforma de la normativa sobre acceso debería, a nuestro juicio (y limitándonos al aspecto estudiado en este trabajo), tener en cuenta estos principios 66 . Además, debería comenzar por incorporar una referencia clara al encaje entre la dicha normativa y la reguladora del derecho a la protección de datos, en los términos expuestos, y en aras del principio de seguridad jurídica. Sería necesario regular el procedimiento, incorporando también las diACCESO A LA INFORMACIÓN EN PODER DE LA ADMINISTRACIÓN Y PROTECCIÓN... EMILIO GUICHOT Revista de Administración Pública ISSN: 0034-7639, núm. 173, Madrid, mayo-agosto (2007), págs. 407-445 443 66 Reforma que podría haberse llevado a cabo al calor de la tardía transposición de la Directiva 2003/98/CE del Parlamento Europeo y del Consejo, de 17 de noviembre, relativa a la reutilización de la información del sector público, ahora en trámite parlamentario, cuya ubicación natural sería inserta en una norma general que regulara el derecho de acceso, como ocurre en el Derecho francés rectrices antes mencionadas, por no hablar de la deseable creación de una Autoridad en materia de acceso, cuya labor podría ser crucial, en general, y en todo caso a la hora de marcar pautas en la dialéctica publicidad-protección de datos. A ello se le suman los problemas de armonización de la regulación general del derecho de acceso establecida en el artículo 37 LRJAP-PAC con el régimen, extremadamente deficiente, diseñado en la Ley 16/1985, de 25 de junio, de Patrimonio Histórico. Creemos que estos mismos principios han de ser de aplicación a los documentos obrantes en archivos históricos 67 . Finalmente, hay que señalar que, en múltiples ocasiones, la demanda de acceso dice relación con procedimientos en tramitación. En estos casos no es de aplicación el artículo 37 de la Ley 30/1992, que limita su ámbito a los «procedimientos terminados en la fecha de la solicitud». Se plantea entonces cuáles son los principios aplicables a estas solicitudes y su compatibilidad con el derecho a la intimidad y a la protección de datos. La respuesta hay que empezar a buscarla en el artículo 35, que en su letra a) reconoce entre los derechos de los ciudadanos, en sus relaciones con las Administraciones públicas, el de «conocer, en cualquier momento, el estado de la tramitación de los procedimientos en los que tengan la condición de interesaACCESO A LA INFORMACIÓN EN PODER DE LA ADMINISTRACIÓN Y PROTECCIÓN... EMILIO GUICHOT Revista de Administración Pública 444 ISSN: 0034-7639, núm. 173, Madrid, mayo-agosto (2007), págs. 407-445 67 De acuerdo con el artículo 37.6.g) LRJAP-PAC, se regulará por sus disposiciones específicas la consulta de fondos documentales existentes en los Archivos Históricos. Por su parte, el artículo 57 LPH regula el acceso a los documentos concluida la tramitación de un documento, y tras el depósito y registro en los Archivos Centrales de cada entidad. Reconociendo que existe en este caso un defecto de técnica legislativa, creemos que la regulación más acorde con el sentido de la exclusión del artículo 37.6.g) LRJAP-PAC es reservar la aplicación del régimen de la LPH al acceso a documentos obrantes en Archivos Históricos. El artículo 57 LPH dispone que si los documentos contienen datos personales de carácter policial, procesal, clínico o de cualquier otra índole que puedan afectar a la seguridad de las personas, a su honor, a la intimidad de su vida privada y familiar y a su propia imagen, no podrán ser públicamente consultados sin que medie consentimiento expreso de los afectados o hasta que haya transcurrido un plazo de veinticinco años desde su muerte, si su fecha es conocida, o, en otro caso, de cincuenta años a partir de la fecha de los documentos. Como puede comprobarse, de una parte, una vez el documento forma parte de un Archivo Histórico, sólo se protege cuando afecte a su intimidad y en tanto no haya transcurrido un lapso temporal prolongado. Ahora bien, puede pensarse que tampoco en estos casos la prevalencia puede ser absoluta, sino que, cuando lo exija la efectividad de otro derecho o bien constitucional, habrá en su caso de procederse a la ponderación, en los términos y con las garantías antes indicados. Lo que cabe plantearse es si la Ley de 1985, anterior por tanto a la normativa sobre protección de datos, ha de entenderse como que cubre también los datos no íntimos pero sí personales (o «nominativos», en los términos de la LRJAP-PAC). A nuestro juicio, ha de responderse en armonía con los principios generales antes vistos. Parece evidente que la LPH, con su referencia a «la intimidad de la vida familiar y personal», permaneció sencillamente ignorante de lo que sería el posterior «nacimiento» del derecho a la protección de datos, y que, por tanto, es precisa una interpretación armónica con las exigencias de él emanadas, en los términos expuestos. Además, como muestra el Derecho francés, es preciso coordinar la normativa sobre archivos con la normativa sobre protección de datos, en particular en lo que hace a la contraposición entre la finalidad de servicio a la documentación histórica de la investigación a la que sirve el sistema archivístico, de una parte, y la previsión en la segunda obligación de cancelación de los datos una vez han cumplido con la finalidad para la que fueron recabados, unida a la previsión de que no son finalidades incompatibles a los efectos de la normativa sobre protección de datos los tratamientos posteriores para fines históricos, estadísticos o científicos. En fin, esta necesidad particular se une a la más general de ordenación de la regulación general del sistema archivístico, una gran falla de nuestro Derecho. dos, y obtener copias de documentos contenidos en ellos». Ello plantea varias cuestiones. La primera se refiere a quién tiene la condición de interesado en un procedimiento, y su resolución ha de remitirse al concepto de interesado del artículo 31 de la Ley 30/1992 y la jurisprudencia que lo interpreta. El problema se plantea, en especial, respecto de los procedimientos concurrenciales o triangulares. En los procedimientos concurrenciales, los juicios emitidos por la Administración respecto de una persona pueden tener repercusión directa en la situación jurídica de otra que forma parte del mismo procedimiento (p. ej., en un procedimiento de selección de personal, la puntuación de los exámenes de cada candidato). En otros casos no se da esta situación concurrencial, pero hay una «unidad procedimental» que hace que el conocimiento de los juicios emitidos sobre un sujeto por la Administración sea necesario para poder valorar la actuación discriminatoria o no de la misma (p. ej., en un procedimiento de evaluación de conocimientos de alumnos en una Universidad). En otros casos se trata de conocer decisiones adoptadas en procedimientos individuales que pueden dar origen a actos favorables para un interesado y generar efectos desfavorables para otros (p. ej., otorgamientos de licencias de actividades que suponen molestias para los vecinos). En todos estos casos se plantea si debe prevalecer el derecho contenido en el artículo 35.a) de la Ley 30/1992 o el derecho a la intimidad o a la protección de datos. En definitiva, se trata de supuestos en que no se busca, por lo general —aunque así puede ocurrir—, una finalidad de mero conocimiento o transparencia. Téngase en cuenta, además, que en este caso, a diferencia de lo que ocurre con el derecho de acceso del artículo 37 de la Ley 30/1992, la titularidad del derecho exige, precisamente, tener la condición de interesado. Se trata, por tanto, de ponderar entre este derecho del artículo 35.a), que podemos calificar como integrante de los derechos de defensa procedimentales, y los derechos a la intimidad y a la protección de datos. A nuestro juicio, estos supuestos deben resolverse conforme a las directrices antes apuntadas. C ONCLUSIÓN Hemos comprobado que las relaciones publicidad-reserva en relación con la información personal en poder de la Administración constituyen un tema clave del Derecho público de la información en pleno proceso de elaboración dogmática. Con estas páginas hemos tratado de aportar algunos materiales para el debate jurídico, no limitándonos al estudio del Derecho positivo europeo, comparado y español, sino registrando además sus más actuales tendencias e incluso apuntando directrices que, entendemos, deberían regir dichas relaciones. Se hace necesario un debate jurídico que pueda dar lugar a una norma integral reguladora del tratamiento administrativo de la información que abarque el acceso a la información y su reutilización, el régimen de los archivos y el derecho a la intimidad y a la protección de datos. ACCESO A LA INFORMACIÓN EN PODER DE LA ADMINISTRACIÓN Y PROTECCIÓN... EMILIO GUICHOT Revista de Administración Pública ISSN: 0034-7639, núm. 173, Madrid, mayo-agosto (2007), págs. 407-445 445