Grupo II
Revisa tus subrayados. Algunos no se han podido localizar en el texto actual.
La transparencia administrativa, legislación y especial referencia a su aplicación en el Ayuntamiento de Burgos. La protección de datos de carácter personal.
Consulta rápida
Lectura ágil
II.5: estudiar el tema por bloques claros, separando conceptos, órganos, plazos y efectos.
ubicación normativa, órgano competente y dato de examen
Memorización útil
Regla mnemotécnica: Norma -> órgano -> requisito -> efecto. Si el test cambia una pieza, la respuesta suele cambiar.
Normativa de referencia:
- Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (LTAIBG)
- Reglamento (UE) 2016/679, de 27 de abril, General de Protección de Datos (RGPD)
- Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD)
Durante décadas, la relación entre la Administración y los ciudadanos se articuló sobre un modelo de opacidad por defecto: la información pública era patrimonio de la burocracia, y el ciudadano solo accedía a ella en la medida en que la ley expresamente se lo permitía. La transparencia era la excepción; el secreto, la norma.
La inversión de este modelo —hacer de la transparencia la norma y del secreto la excepción justificada— responde a razones de profundo calado democrático. Una Administración que actúa bajo la luz pública es más difícil de corromper, más respetuosa con los derechos individuales, más eficiente y más legitimada ante los ciudadanos. La transparencia es, en este sentido, un instrumento al servicio de la democracia y del control del poder.
La crisis financiera y los escándalos de corrupción que sacudieron España entre 2008 y 2013 aceleraron la aprobación de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (LTAIBG), que por primera vez en nuestro país reguló de forma sistemática las obligaciones de publicidad activa de las Administraciones, el derecho de los ciudadanos a acceder a la información pública y las reglas de buen gobierno para los altos cargos.
La Ley 19/2013 se estructura en tres títulos:
La ley tiene por objeto ampliar y reforzar la transparencia de la actividad pública, regular y garantizar el derecho de acceso a la información relativa a esa actividad y establecer las obligaciones de buen gobierno que deben cumplir los responsables públicos, así como las consecuencias derivadas de su incumplimiento.
La LTAIBG se aplica a un amplio elenco de sujetos, que el artículo 2 organiza en tres grupos con intensidad decreciente de obligaciones:
Grupo 1 — Obligaciones plenas (publicidad activa + derecho de acceso):
Grupo 2 — Obligaciones de publicidad activa reducidas: Los partidos políticos, organizaciones sindicales y organizaciones empresariales, así como las entidades privadas que perciban subvenciones públicas superiores a 100.000 euros anuales o cuando al menos el 40% del total de sus ingresos sean subvenciones o ayudas públicas, siempre que esta cantidad sea superior a 5.000 euros.
La publicidad activa consiste en la obligación de las Administraciones y demás entidades sujetas a la ley de difundir proactivamente la información que se considera de mayor relevancia para garantizar la transparencia de su actividad, sin esperar a que ningún ciudadano lo solicite. Es la transparencia «de oficio», frente al derecho de acceso que es la transparencia «a petición».
La información debe publicarse en las sedes electrónicas o páginas web de las entidades sujetas, de forma periódicamente actualizada, accesible (también a personas con discapacidad) y comprensible. La falta de publicación de la información exigida puede ser objeto de reclamación ante el Consejo de Transparencia y Buen Gobierno.
Las Administraciones deben publicar:
Deben publicarse:
Es la que más interesa a los ciudadanos para controlar el uso de los fondos públicos:
El derecho de acceso a la información pública es el derecho de cualquier persona a solicitar y obtener información en poder de las Administraciones Públicas y demás entidades sujetas a la LTAIBG. Es un derecho de configuración legal (no fundamental en sentido estricto en la Constitución española, aunque el Tribunal Europeo de Derechos Humanos lo considera implícito en la libertad de expresión del art. 10 CEDH), ejercitable por cualquier persona, física o jurídica, nacional o extranjera, sin necesidad de acreditar un interés concreto.
A diferencia de la publicidad activa (que es una obligación espontánea de la Administración), el derecho de acceso se ejerce mediante solicitud del interesado.
La LTAIBG define la información pública como los contenidos o documentos, cualquiera que sea su formato o soporte, que obren en poder de alguno de los sujetos incluidos en el ámbito de la ley y que hayan sido elaborados o adquiridos en el ejercicio de sus funciones. El concepto es muy amplio: no se limita a documentos formales, sino a cualquier tipo de información (datos, estudios, registros, bases de datos, fotografías, grabaciones, etc.).
El derecho de acceso no es absoluto. La LTAIBG prevé límites que pueden justificar la denegación total o parcial de una solicitud, cuando el acceso suponga un perjuicio para:
| Límite | Ejemplos |
|---|---|
| La seguridad nacional | Información clasificada, instalaciones estratégicas |
| La defensa | Información sobre Fuerzas Armadas, operaciones militares |
| Las relaciones exteriores | Negociaciones diplomáticas |
| La seguridad pública | Datos sobre delincuentes, técnicas policiales |
| La prevención, investigación y sanción de infracciones penales o administrativas | Expedientes sancionadores en curso |
| La igualdad de las partes en los procesos judiciales y la tutela judicial efectiva | Expedientes en litigio |
| Las funciones administrativas de vigilancia, inspección y control | Datos de inspecciones en curso |
| Los intereses económicos y comerciales | Secretos empresariales, información comercial confidencial |
| La política económica y monetaria | Información de política fiscal o presupuestaria en elaboración |
| El secreto profesional y la propiedad intelectual | Datos cubiertos por secreto profesional |
| La garantía de la confidencialidad o el secreto requerido en procesos de toma de decisión | Deliberaciones internas previas a la decisión |
| La protección de datos personales | Datos de personas físicas identificadas o identificables |
Los límites deben aplicarse de forma proporcionada a la finalidad perseguida, dando preferencia al acceso cuando el perjuicio sea mínimo o cuando el interés público en la divulgación sea superior al daño previsible. La LTAIBG impone el principio de proporcionalidad en la aplicación de los límites y obliga a motivar la denegación.
El límite más frecuente en la práctica es la protección de datos personales. La LTAIBG establece una regla de ponderación:
La solicitud puede presentarse por cualquier medio que permita tener constancia de la identidad del solicitante, la información solicitada, una dirección de contacto y, en su caso, el formato preferido de respuesta (en papel o electrónico). No es necesario motivar la solicitud, aunque la motivación puede facilitar la ponderación en los casos límite.
El plazo máximo para resolver y notificar es de un mes desde la recepción de la solicitud, prorrogable por otro mes cuando el volumen o la complejidad de la información lo justifique. El silencio tiene carácter negativo (equivale a denegación), lo que ha sido criticado por la doctrina por resultar contrario al espíritu de la ley.
La respuesta puede consistir en:
El Consejo de Transparencia y Buen Gobierno es el organismo independiente creado por la LTAIBG para velar por el cumplimiento de las obligaciones de transparencia y resolver las reclamaciones en materia de acceso a la información. Está adscrito al Ministerio de Hacienda pero actúa con independencia funcional.
El ciudadano que ha visto denegada su solicitud de acceso (expresa o por silencio negativo) puede presentar una reclamación potestativa ante el CTBG en el plazo de un mes, de forma gratuita y sin necesidad de abogado ni procurador. La resolución del CTBG sustituye a la reclamación en vía administrativa y pone fin a ella: contra la resolución del CTBG cabe recurso contencioso-administrativo.
Este sistema de reclamación ante el CTBG es la principal innovación del sistema español de garantías en materia de transparencia y resulta más ágil y accesible que el recurso directo a la vía judicial.
El Portal de Transparencia (www.transparencia.gob.es) es el punto de acceso centralizado de la Administración General del Estado donde se publica la información de publicidad activa y a través del cual los ciudadanos pueden ejercer el derecho de acceso. Las Comunidades Autónomas y las Entidades Locales tienen sus propios portales o secciones de transparencia, que deben cumplir los mismos requisitos.
El Título II de la LTAIBG regula el buen gobierno, estableciendo los principios de actuación de los altos cargos de la Administración General del Estado (Presidente del Gobierno, Ministros, Secretarios de Estado y demás altos cargos) y de los directivos del sector público estatal. Muchas Comunidades Autónomas han extendido estas normas a sus propios cargos.
El fundamento del buen gobierno es doble: por un lado, la exigencia de comportamiento ético de quienes ejercen el poder público; por otro, la rendición de cuentas, es decir, que el incumplimiento de esos estándares tenga consecuencias jurídicas efectivas.
La LTAIBG distingue:
Principios generales (de orientación ética):
Principios de actuación (con valor normativo vinculante):
El incumplimiento de las obligaciones de buen gobierno da lugar a responsabilidad y puede ser calificado como:
La protección de datos personales es un derecho fundamental autónomo reconocido en el art. 18.4 de la Constitución Española («La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos»), desarrollado ampliamente por la jurisprudencia del Tribunal Constitucional y del Tribunal de Justicia de la UE.
El derecho a la protección de datos no es simplemente un derecho defensivo (que prohíbe el tratamiento no autorizado), sino un derecho activo que otorga a los ciudadanos el control sobre sus propios datos: el derecho a saber qué datos tienen sobre ellos, quién los tiene, para qué los usan, y el derecho a rectificarlos, cancelarlos u oponerse a su tratamiento.
El marco normativo actual de la protección de datos en España se compone de dos normas que actúan de forma complementaria:
1. Reglamento (UE) 2016/679, de 27 de abril, General de Protección de Datos (RGPD): Adoptado por el Parlamento Europeo y el Consejo de la UE, es directamente aplicable en todos los Estados miembros desde el 25 de mayo de 2018 sin necesidad de transposición. Al ser un Reglamento (no una Directiva), crea un marco normativo uniforme en toda la UE y tiene primacía sobre las leyes nacionales. Sustituyó a la Directiva 95/46/CE, que había sido la norma marco hasta entonces.
2. Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD): Adapta el ordenamiento español al RGPD, ejerciendo las habilitaciones que el Reglamento concede a los Estados miembros para regular determinadas materias. Derogó la anterior Ley Orgánica 15/1999 (LOPD). Cómo ley orgánica, su aprobación requirió mayoría absoluta del Congreso.
El RGPD y la LOPDGDD definen los conceptos básicos que estructuran todo el sistema:
| Concepto | Definición |
|---|---|
| Datos personales | Toda información sobre una persona física identificada o identificable. Una persona es identificable cuando puede determinarse su identidad directa o indirectamente (nombre, DNI, localización, correo electrónico, matrícula del coche, cookie de navegación, voz, imagen, etc.) |
| Tratamiento | Cualquier operación realizada con datos personales: recogida, registro, organización, almacenamiento, conservación, adaptación, modificación, extracción, consulta, comunicación por transmisión, difusión, supresión o destrucción |
| Responsable del tratamiento | La persona física o jurídica, autoridad pública, servicio u otro organismo que determina los fines y medios del tratamiento. En el ámbito de las AAPP, el responsable suele ser el propio órgano administrativo |
| Encargado del tratamiento | La persona física o jurídica que trata los datos por cuenta del responsable (por ejemplo, una empresa de informática que presta servicios a la Administración y accede a los datos de los ciudadanos) |
| Interesado | La persona física cuyos datos son objeto del tratamiento |
| Consentimiento | Toda manifestación de voluntad libre, específica, informada e inequívoca del interesado por la que acepta el tratamiento de sus datos |
| Violación de seguridad | Toda brecha que dé lugar a la destrucción, pérdida, alteración, divulgación no autorizada o acceso no autorizado a datos personales |
| Seudonimización | Tratamiento de los datos de tal forma que ya no puedan atribuirse a un interesado sin utilizar información adicional que se mantiene por separado |
| Anonimización | Proceso irreversible mediante el cual los datos dejan de ser datos personales porque es imposible identificar al interesado |
El RGPD establece en su art. 5 los principios que deben regir todo tratamiento de datos personales. El responsable del tratamiento debe ser capaz de demostrar que los cumple (principio de responsabilidad proactiva o accountability):
El tratamiento debe ser lícito (basarse en una de las bases jurídicas previstas en el RGPD), leal (no engañar al interesado sobre el uso de sus datos) y transparente (el interesado debe ser informado de forma clara sobre el tratamiento).
Los datos deben recogerse con fines determinados, explícitos y legítimos, y no ser tratados posteriormente de forma incompatible con dichos fines. No se pueden usar los datos para un propósito distinto del que se indicó al recabarlos.
Los datos recogidos deben ser adecuados, pertinentes y limitados a lo estrictamente necesario en relación con los fines para los que son tratados. No se pueden recoger más datos de los imprescindibles.
Los datos deben ser exactos y, si fuera necesario, actualizados. Se deben adoptar todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos inexactos.
Los datos no pueden conservarse de forma que permita la identificación del interesado durante más tiempo del necesario para los fines del tratamiento. Una vez cumplida la finalidad, los datos deben suprimirse o anonimizarse. La conservación durante períodos más prolongados puede justificarse para fines de archivo en interés público, investigación científica o histórica o fines estadísticos.
Los datos deben tratarse de forma que se garantice su seguridad: protección mediante medidas técnicas y organizativas adecuadas frente a tratamientos no autorizados o ilícitos, pérdida, destrucción o daño accidental.
El responsable del tratamiento es responsable del cumplimiento de todos los principios anteriores y debe ser capaz de demostrarlo. Esto implica llevar un registro de actividades de tratamiento, realizar evaluaciones de impacto, designar un delegado de protección de datos cuando proceda, etc.
Para que un tratamiento de datos sea lícito, debe basarse en al menos una de las siguientes bases jurídicas del art. 6 RGPD:
| Base jurídica | Descripción | Contexto típico en las AAPP |
|---|---|---|
| Consentimiento | El interesado ha dado su consentimiento para el tratamiento de sus datos para uno o varios fines específicos | Suscripción a boletines informativos, uso de cookies no esenciales |
| Ejecución de un contrato | El tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte | Gestión de contratos laborales o de suministro |
| Obligación legal | El tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable | Gestión tributaria, padrón municipal, gestión de personal |
| Intereses vitales | El tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física | Emergencias sanitarias |
| Misión en interés público o ejercicio de poderes públicos | El tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable | La mayor parte de los tratamientos de las AAPP: gestión de servicios públicos, ejercicio de potestades administrativas |
| Interés legítimo | El tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable o un tercero, siempre que no prevalezcan los intereses o derechos del interesado | Solo aplicable a empresas y particulares, no a las AAPP en el ejercicio de sus funciones |
En el ámbito de las Administraciones Públicas, la base jurídica predominante es el cumplimiento de una misión de interés público o el ejercicio de poderes públicos (art. 6.1.e RGPD), lo que significa que las AAPP no necesitan el consentimiento de los ciudadanos para tratar los datos que son necesarios para la prestación de los servicios públicos o el ejercicio de sus potestades. El consentimiento solo es la base apropiada en los casos en que la relación con el ciudadano sea voluntaria y no obligatoria.
El RGPD establece una protección reforzada para determinadas categorías de datos que por su naturaleza son especialmente sensibles y cuyo tratamiento puede implicar riesgos especiales para los derechos y libertades:
El tratamiento de estas categorías especiales está prohibido con carácter general, salvo que concurra alguna de las excepciones tasadas del art. 9.2 RGPD (consentimiento explícito, obligación laboral, interés vital, fundación o asociación sin ánimo de lucro, datos manifiestamente públicos, defensa jurídica, interés público esencial, medicina preventiva, archivo, investigación científica…).
El RGPD reconoce a los interesados un catálogo de derechos ejercitables ante el responsable del tratamiento:
El responsable debe facilitar al interesado, en el momento de recoger los datos, información clara y accesible sobre: la identidad del responsable, los fines y la base jurídica del tratamiento, los destinatarios, el plazo de conservación, y los derechos que le asisten. Esta información se proporciona habitualmente mediante la política de privacidad o cláusula informativa que acompaña a cualquier formulario de recogida de datos.
El interesado tiene derecho a obtener confirmación de si sus datos están siendo objeto de tratamiento y, en ese caso, a acceder a esos datos y a la información sobre el tratamiento: finalidades, categorías de datos, destinatarios, plazo de conservación, etc. Este derecho permite al ciudadano saber exactamente qué información tiene la Administración sobre él.
El interesado tiene derecho a obtener la rectificación de los datos inexactos que le conciernan. También puede completar los datos incompletos, aportando una declaración adicional.
El interesado tiene derecho a obtener la supresión de sus datos cuando: los datos ya no son necesarios para la finalidad para la que se recogieron; se retira el consentimiento; los datos se han tratado ilícitamente; existe una obligación legal de suprimirlos; o cuando el interesado se opone al tratamiento y no prevalecen otros motivos legítimos.
Este derecho tiene límites importantes: no procede cuando el tratamiento es necesario para el ejercicio de la libertad de expresión, para el cumplimiento de una obligación legal, para el cumplimiento de una misión en interés público, o para la formulación, el ejercicio o la defensa de reclamaciones.
El interesado puede solicitar que se limite el tratamiento de sus datos (es decir, que se mantengan pero no se usen activamente) en determinadas circunstancias: mientras se verifica la exactitud de los datos impugnados; cuando el tratamiento es ilícito pero el interesado prefiere la limitación a la supresión; cuando el responsable ya no necesita los datos pero el interesado los requiere para reclamaciones; o cuando se ha ejercitado el derecho de oposición y está pendiente de resolución.
El interesado tiene derecho a recibir sus datos en un formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otro responsable, cuando el tratamiento se base en el consentimiento o en un contrato y se lleve a cabo por medios automatizados. Este derecho es especialmente relevante en el ámbito de los servicios digitales (redes sociales, servicios de salud digital, banca electrónica).
El interesado tiene derecho a oponerse en cualquier momento al tratamiento de sus datos cuando esté basado en el interés público o en el interés legítimo, incluida la elaboración de perfiles. Cuándo se ejerce este derecho, el responsable debe cesar el tratamiento salvo que acredite motivos legítimos imperiosos que prevalezcan sobre los intereses del interesado.
El interesado tiene derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado de sus datos (incluida la elaboración de perfiles) que produzca efectos jurídicos significativos o le afecte de forma análogamente significativa, salvo que sea necesario para la celebración o ejecución de un contrato, esté autorizado por el Derecho de la UE o de los Estados miembros, o se base en el consentimiento explícito.
Los derechos deben ejercerse directamente ante el responsable del tratamiento, que dispone de un plazo de un mes (prorrogable a tres en casos complejos) para responder. La respuesta es gratuita. Si el responsable no responde o la respuesta es insatisfactoria, el interesado puede reclamar ante la Agencia Española de Protección de Datos (AEPD).
El privacy by design (privacidad desde el diseño) obliga a tener en cuenta la protección de datos desde el momento mismo de concebir y diseñar cualquier sistema, proceso o producto que vaya a tratar datos personales, no como un añadido posterior. El privacy by default (privacidad por defecto) exige que la configuración predeterminada de cualquier sistema garantice el máximo nivel de protección de la privacidad, de forma que el usuario no tenga que adoptar medidas adicionales para proteger sus datos.
El responsable y el encargado deben llevar un Registro de Actividades de Tratamiento (RAT) en el que se documenten todos los tratamientos de datos que realizan: nombre del responsable, finalidades, descripción de los interesados y de los datos, destinatarios, plazos de conservación y medidas de seguridad. El RAT no tiene que publicarse, pero debe estar disponible para la autoridad de control si lo solicita.
Cuándo un tratamiento sea susceptible de entrañar un alto riesgo para los derechos y libertades de las personas (tratamientos a gran escala, datos sensibles, perfilado, vigilancia sistemática de áreas públicas, etc.), el responsable debe realizar previamente una Evaluación de Impacto sobre la Protección de Datos (EIPD). La EIPD analiza la necesidad y proporcionalidad del tratamiento, evalúa los riesgos y determina las medidas para mitigarlos.
En caso de violación de seguridad de los datos, el responsable debe:
El Delegado de Protección de Datos (DPD) —en inglés, Data Protection Officer (DPO)— es la figura creada por el RGPD para supervisar el cumplimiento de la normativa de protección de datos dentro de la organización y servir de punto de contacto con la autoridad de control y con los interesados.
La designación de DPD es obligatoria en tres supuestos:
El DPD debe tener conocimientos especializados en Derecho y práctica de protección de datos. Puede ser un empleado de la organización o un consultor externo. Su posición debe ser independiente: no puede recibir instrucciones sobre el ejercicio de sus funciones y no puede ser sancionado por ejercerlas.
Las funciones del DPD son:
La Agencia Española de Protección de Datos (AEPD) es la autoridad de control independiente encargada de velar por el cumplimiento de la normativa de protección de datos en España. Fue creada por la LOPD de 1992 y su régimen actual está regulado en la LOPDGDD. Es una entidad de Derecho público con plena capacidad jurídica, independiente de la Administración General del Estado en el ejercicio de sus funciones.
Sus funciones principales son:
El RGPD establece un régimen sancionador de escala sin precedentes en la historia del Derecho de la protección de datos:
| Categoría | Infracciones típicas | Sanción máxima |
|---|---|---|
| Infracciones muy graves | Vulneración de los principios básicos del tratamiento (finalidad, minimización, exactitud), tratamiento sin base jurídica, vulneración de las condiciones del consentimiento, vulneración de las condiciones para el tratamiento de datos especialmente protegidos, transferencias internacionales ilícitas, desobediencia a la autoridad de control | 20.000.000 € o el 4% del volumen de negocio anual global del ejercicio anterior (la mayor de las dos) |
| Infracciones graves | Incumplimiento de las obligaciones de los encargados del tratamiento, incumplimiento de las condiciones de licitud del tratamiento en casos no incluidos en los muy graves, vulneraciones relacionadas con la designación del DPD, incumplimiento de la obligación de notificar brechas | 10.000.000 € o el 2% del volumen de negocio anual global (la mayor de las dos) |
Para las Administraciones Públicas, el RGPD no prevé multas (las multas van al erario público y carecen de efecto disuasorio real sobre el infractor). La LOPDGDD establece un régimen específico: las AAPP que incumplan la normativa son amonestadas públicamente, y la AEPD puede notificar la infracción al órgano competente para exigir responsabilidad disciplinaria.
Junto a la AEPD, existen autoridades autonómicas de protección de datos que ejercen sus funciones respecto a los tratamientos realizados por las Comunidades Autónomas y sus entidades dependientes:
En el caso de Castilla y León, no existe agencia autonómica propia: la autoridad de control competente para los tratamientos realizados por la Administración de la Junta de Castilla y León y sus entidades es la AEPD.
Una de las novedades más destacadas de la LOPDGDD es la incorporación de un catálogo de derechos digitales (Título X), que van más allá de la mera protección de datos:
Fin del Tema 43 — Administrativo C1 | Preparación OEP 2026 — JCyL / Diputación de Burgos