Desde la entrada en vigor de la Ley de Administración Electrónica¹, una de las cuestiones que me han preocupado como jurista es conocer cuál es el organismo que controla su cumplimiento. En toda la normativa reguladora del acceso electrónico de los ciudadanos a los Servicios Públicos no existe, específicamente, un organismo con las funciones de control sobre la misma, pero ¿sería necesario crearlo ad novo? Particularmente considero que esos órganos ya existen: Las Agencias de Protección de datos.

En definitiva, considero que las tres Agencias autonómicas² existentes en la actualidad, así como la Agencia Española de Protección de datos poseen la habilitación suficiente, a través de la Ley de Administración Electrónica, para velar por el cumplimiento de dicha normativa en función de sus competencias.

2. Las relaciones entre los ciudadanos y las Administraciones Públicas: Utilización de datos de carácter personal.

El objeto de la ley 11/2007, se encuentra regulado en su artículo 1, que otorga el derecho a todos los ciudadanos a la utilización de medios electrónicos en sus relaciones con las Administraciones Públicas y, éstas, a su vez deberán utilizar las tecnologías de la información según los diferentes principios recogidos en la propia Ley 11/2007.

En este punto encuentro necesario preguntarse ¿cómo se relaciona un ciudadano con una Administración Pública? Para ello, se debe acudir a la Ley 30/1992, de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en adelante, Ley 30/1992).

En concreto, se acudirá a un Título completo en dicha Ley, que es el que se encarga de regular la actividad administrativa: el Título IV. Este Título cuenta con una serie de artículos que regulan la actividad de la Administración con los ciudadanos y recoge los derechos que poseen los ciudadanos, la lengua de los procedimientos, el Derecho de Acceso a Archivos y Registros, los Registros Generales, las obligaciones de colaboración de los ciudadanos, los principios de intervención de las Administraciones Públicas para el desarrollo de una actividad, la comparecencia de los ciudadanos, la responsabilidad de la tramitación, la obligación de resolver, el silencio administrativo en procedimientos iniciados a solicitud de interesado, la falta de resolución expresa en procedimientos iniciados de oficio, la incorporación de medios técnicos (que se puede considerar el “gérmen de la Ley 11/2007)y los términos y plazos.

En toda esta actividad administrativa, no cabe duda que se utilizan datos de carácter personal y basta poner de ejemplo el artículo 38 de la Ley 30/1992, en el que se establece la obligación, de los órganos administrativos de disponer un registro general, en el que se refleje todas las comunicaciones que se dirijan o se envíen desde o para el órgano en cuestión. Dicho registro, entre otra serie de cuestiones, debe contar con la identificación del interesado (que se comunica o al que se le envía una comunicación).

Por tanto, no resulta difícil llegar a la siguiente conclusión: En las relaciones entre Administraciones Públicas y ciudadanos se utilizan datos de carácter personal. El ciudadano, en estas relaciones, tiene el derecho a utilizar medios electrónicos.

3. La estrecha relación entre la normativa de protección de datos y la normativa sobre Administración Electrónica

Un gran punto de conexión entre estas dos normativas se encuentra en el artículo 4.a de la propia Ley 11/2007:

“La utilización de las tecnologías de la información tendrá las limitaciones establecidas por la Constitución y el resto del ordenamiento jurídico, respetando el pleno ejercicio por los ciudadanos de los derechos que tienen reconocidos, y ajustándose a los siguientes principios:

1. El respeto al derecho a la protección de datos de carácter personal en los términos establecidos por la Ley Orgánica 15/1999, de Protección de los Datos de Carácter Personal, en las demás leyes específicas que regulan el tratamiento de la información y en sus normas de desarrollo, así como a los derechos al honor y a la intimidad personal y familiar.

[…]”

Este artículo viene a mencionar que en el uso de las nuevas tecnologías de la información y comunicación, deben ser respetados varios principios, entre ellos el derecho a la protección de datos de los administrados.

Pero también, a lo largo del artículo de la Ley 11/2007 existen otros puntos de conexión, como por ejemplo, el artículo 1.2 de la Ley 11/2007 (objeto) que obliga a las Administraciones Públicas a utilizar las tecnologías de la información, garantizando “la disponibilidad, el acceso, la integridad, la autenticidad, la confidencialidad y la conservación de los datos, informaciones y servicios que gestionen en el ejercicio de sus competencias”. Precisamente estas características son propias también del tratamiento de datos de carácter personal de acuerdo con el principio de seguridad del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y ampliamente desarrollados por el Título VIII del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal

Por tanto, cabe concluir que en la utilización de medios electrónicos por parte de la Administración, se debe respetar la normativa de protección de datos de carácter personal.

4. ¿Control de las Agencias de Protección de Datos sobre los requerimientos de la legislación de Administración Electrónica?

A) Competencias de las Agencias de Protección de Datos

La LOPD, en su artículo 37, recoge las competencias de la Agencia Española de Protección de Datos. Me quiero centrar en una de ellas:

“a. Velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, en especial en lo relativo a los derechos de información, acceso, rectificación, oposición y cancelación de datos.”

La normativa autonómica, también otorga estas competencias a sus respectivos órganos de control. Así,

• La Ley 8/2001, de 13 de julio, de Protección de Datos de Carácter Personal en la Comunidad de Madrid, en su artículo 15, recoge:
  • “a) Velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, en especial en lo relativo a los derechos de información, acceso, oposición, rectificación y cancelación de datos, así como en lo relativo a la comunicación de datos personales entre las Administraciones Públicas a las que se refiere el artículo 2 de la presente Ley.”
• Ley 32/2010, de 1 de octubre, de la Autoridad Catalana de Protección de Datos, en su artículo 5, establece:
  • a) Velar por el cumplimiento de la legislación vigente sobre protección de datos de carácter personal
• La Ley 2/2004, de 25 de febrero, de Ficheros de Datos de Carácter Personal de Titularidad Pública y de Creación de la Agencia Vasca de Protección de Datos, en su artículo 17 refleja, en relación a las funciones:
  • “a) Velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, en especial en lo relativo a los derechos de información, acceso, rectificación, oposición y cancelación de datos.”

B) Competencias de las Agencias de Protección de Datos y Ley 11/2007

Como he mencionado, al inicio de este artículo-reflexión, los ciudadanos que elijan relacionarse con la Administración Pública mediante medios electrónicos, van a utilizar datos de carácter personal.

Las Administraciones Públicas, a la hora de implantar los requisitos que exige la Ley 11/2007, deben respetar la normativa de protección de datos, cuyo cumplimiento es controlado por las diferentes Agencias de Protección de Datos.

Por lo tanto, en la implantación de esos requisitos, así como en el control de los mismos, las Agencias de Protección de Datos deben adoptar, en mi opinión, posturas “in vigilando”, ya que estos requisitos están directamente relacionados con la normativa de protección de datos en dos aspectos:

• Son obligatorios en las relaciones electrónicas entre ciudadano y Administración Pública (en las que se van a tratar datos de carácter personal).
• Deben respetarse y, así, por ejemplo, no pueden servir de excusa para el “no cumplimiento” de la LOPD³

5. Conclusiones

Las relaciones entre las Administraciones Públicas y los ciudadanos en el “mundo electrónico”, son reguladas por la Ley 11/2007 y obligan a dichas Administraciones a la implantación de una serie de requerimientos, que se encuentran regulados en el Título II de la mencionada Ley 11/2007. De manera muy genérica estas nuevas obligaciones son:

• Implantación de una Sede Electrónica, en la que, entre otras cuestiones deberán publicarse los Boletines Oficiales correspondientes, así como, disponer de un Tablón electrónico de anuncios y edictos.
• Admisión de sistemas de identificación y autenticación de los ciudadanos, basados en sistemas de firma electrónica (obviamente incluyendo el DNI electrónico), pero sin excluir otros sistemas, como pudieran ser claves concertadas.
• Utilización de sistemas de identificación y autenticación de la propia Administración Pública (tanto en su sede electrónica, como por parte del personal a su cargo).
• Instauración de Sistemas de Registros y sistemas de comunicaciones y notificaciones electrónicas.
• Creación de sistemas de documentos y archivos electrónicos.

Dado que estas obligaciones van a suponer en todos los casos, tratamiento de datos de carácter personal, en mi opinión, el control de estas obligaciones debe ser llevado a cabo por las Agencias de Protección de Datos, en función de sus respectivas competencias.

¹ Nombre a la que comúnmente se conoce a la Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicios Públicos

² Agencia de Protección de Datos de la Comunidad de Madrid http://www.madrid.org/cs/Satellite?language=es&pagename=PortalAPDCM%2FPage%2FPAPD_home, Autoritat Catalana de Protecció de Dades/Autoridad Catalana de Protección de Datos http://www.apd.cat y Datuak Babesteko Euskal Bulegoa/Agencia Vasca de Protección de Datos http://www.avpd.euskadi.net/s04-5213/es

³ Imaginemos el caso, de una Administración que implante un Registro Electrónico, sin cumplir con el principio de información de la LOPD, con la excusa de que ella está “obligada” a implantar ese Registro y, por tanto, la información de la LOPD “se sobrentiende”. Esa medida (Registro Electrónico), debe respetar la LOPD y, si ésta exige en la recogida de datos una serie de informaciones, éstas no se pueden obviar.