Las relaciones electrónicas entre las Administraciones

• Tras adjudicar a una empresa el desarrollo de la aplicación
• Una vez desarrollada la aplicación, antes de ponerla en funcionamiento
• Antes de adquirir, desarrollar o mantener cualquier aplicación
• Al terminar el ciclo de vida de la aplicación, antes de darla de baja

El art. 157.3 sitúa la consulta antes de la adquisición, del desarrollo o del mantenimiento de una aplicación a lo largo de todo su ciclo de vida, y lo mismo si se hace con medios propios que contratando los servicios. Llega tarde si se hace con el desarrollo ya adjudicado o con la aplicación ya hecha, y el deber no espera al final de su vida útil: rige también para cada mantenimiento: la consulta sirve precisamente para no desarrollar lo que ya existe.

• Por razones de salud pública
• Por razones de seguridad nacional
• Por razones de orden público
• Por razones de interés económico

El art. 155.3 reserva a la Administración General del Estado, cuando es la cedente, una facultad que no tienen las demás: suspender la transmisión de datos de forma cautelar, excepcionalmente y de forma motivada, por razones de seguridad nacional y solo por el tiempo estrictamente indispensable para preservarla. La salud pública, el orden público o el interés económico son razones que el precepto no menciona.

• Usarlos ya para el nuevo fin, pues basta con haberlo comunicado
• Usarlos para el nuevo fin si cuenta con el consentimiento del interesado
• Usarlos para el nuevo fin si lo justifica en una resolución motivada
• Usarlos para el nuevo fin cuando la cedente le comunique que no se opone

El art. 155.3 obliga a la cesionaria a comunicar antes a la cedente la nueva finalidad, para que esta compruebe su compatibilidad y pueda oponerse motivadamente. Y añade que, mientras la cedente no comunique su decisión, la cesionaria no puede emplear los datos para ese fin. Comunicar no basta para empezar a usarlos, y ni el consentimiento del interesado ni una motivación de la propia cesionaria sustituyen la decisión de la cedente.

• Establecer la política de seguridad en la utilización de medios electrónicos
• Sancionar las infracciones de seguridad del personal de las Administraciones
• Certificar la seguridad de los productos que contrata cada Administración
• Coordinar la respuesta a los incidentes de seguridad que sufren los ciudadanos

El art. 156.2 define el Esquema Nacional de Seguridad por su objeto, establecer la política de seguridad en la utilización de medios electrónicos en el ámbito de la ley, y por su contenido: los principios básicos y requisitos mínimos que garanticen la seguridad de la información tratada. Hoy lo regula el Real Decreto 311/2022. La ley no le atribuye sancionar al personal, certificar productos ni atender incidentes de los ciudadanos: todas las opciones hablan de seguridad, pero solo una es su objeto.

• El Esquema Nacional de Seguridad
• La Estrategia Nacional de Ciberseguridad
• El Reglamento General de Protección de Datos
• El Esquema Nacional de Interoperabilidad

Es el Esquema Nacional de Interoperabilidad (art. 156.1): sus criterios y recomendaciones guían las decisiones tecnológicas de las Administraciones para que sus sistemas puedan trabajar entre sí. La palabra «seguridad» del enunciado empuja hacia el Esquema Nacional de Seguridad, pero este (art. 156.2) fija la política de seguridad en el uso de medios electrónicos y lo forman principios básicos y requisitos mínimos, no criterios y recomendaciones. La Estrategia Nacional de Ciberseguridad no aparece en la ley, y el Reglamento (UE) 2016/679 es el marco de protección de datos al que remite el art. 155.

• Cuando la aplicación se contrató fuera y no la desarrollaron sus servicios
• Cuando la solicitante no se compromete a pagarle su coste de fabricación
• Cuando la información asociada tiene especial protección por una norma
• Cuando la solicitante es de otro nivel territorial que la cedente

El art. 157.1 obliga a cada Administración a poner a disposición de cualquier otra que lo pida las aplicaciones de las que es titular, y la única salvedad es que la información asociada esté especialmente protegida por una norma. El deber alcanza tanto a las que desarrollaron sus servicios como a las contratadas, siempre que tenga los derechos de propiedad intelectual. Lo que cueste la aplicación no es condición de la cesión, y el precepto beneficia a «cualquiera» de las Administraciones, sea del nivel que sea.

• Remitírselos solo cuando el interesado lo consienta por escrito
• Cedérselos solo si han firmado con ella un convenio previo
• Facilitarles el acceso, con las condiciones técnicas para ello
• Ponerlos a su disposición previo pago de una tasa por consulta

El art. 155.1 impone a cada Administración un deber: facilitar el acceso de las restantes a los datos de los interesados que tiene, especificando las condiciones, protocolos y criterios funcionales o técnicos para acceder con las máximas garantías de seguridad, integridad y disponibilidad, siempre dentro del Reglamento (UE) 2016/679 y de la Ley Orgánica 3/2018. El precepto no condiciona ese acceso a un convenio previo ni a una contraprestación. El consentimiento escrito tampoco es requisito: la posibilidad de que el interesado se oponga a que se consulten sus datos la regula el art. 28 de la Ley 39/2015, no este artículo.

• Como prohibido, por apartarse del fin para el que se recogieron
• Como compatible con los fines iniciales con que se recogieron
• Como admisible solo con un nuevo consentimiento del interesado
• Como incompatible, salvo que lo autorice una norma con rango de ley

El art. 155.2 prohíbe en todo caso el tratamiento ulterior para fines incompatibles con el de la recogida, pero, de acuerdo con el art. 5.1.b) del Reglamento (UE) 2016/679, declara que no es incompatible el que se hace con fines de archivo en interés público, de investigación científica e histórica o estadísticos. No hace falta, por tanto, un consentimiento nuevo. La norma con rango de ley aparece en el párrafo final del art. 155.3, para otros fines distintos; los estadísticos no la necesitan, porque ya no son incompatibles.

• Que la cesión es gratuita y no se repercute coste alguno
• Que la cesionaria debe abonar a la cedente su coste íntegro
• Que la cedente puede exigirlo si lo fija por resolución
• Que cedente y cesionaria pueden acordar que se repercuta

El art. 157.1 no fija un régimen de coste: deja que las Administraciones cedente y cesionaria acuerden, si quieren, repercutir el coste de adquisición o fabricación de la aplicación cedida. No impone la gratuidad ni el pago íntegro, y tampoco deja que la cedente lo imponga por su cuenta mediante una resolución: es una posibilidad que se pacta entre las dos en cada cesión.