Antecedentes de la denuncia

1. El 26 de julio de 2018, el denunciante solicitó a la Agencia Ejecutiva de Innovación y Redes (INEA) que le concediera acceso público a la documentación completa presentada por un organismo público (la autoridad nacional de ciberseguridad de un Estado miembro) que solicitaba financiación de la INEA ^[1].

2. El 1 de agosto de 2018, la INEA respondió al denunciante identificando los documentos solicitados como formularios de solicitud de subvención A a D. Le denegó el acceso público sobre la base de la excepción relativa a los intereses comerciales del artículo 4, apartado 2, primer guion, y la excepción relativa a los datos personales del artículo 4, apartado 1, letra b), del Reglamento 1049/2001 ^[2].

3. El mismo día, el denunciante presentó una solicitud de reconsideración (denominada «solicitud confirmatoria») en la que pedía a la INEA que revisara su anterior denegación y le concediera acceso público a los documentos solicitados.

4. El 7 de agosto de 2018, la Agencia consultó a la autoridad nacional de ciberseguridad de conformidad con el artículo 4, apartado 4, del Reglamento (CE) n.o 1049/2001.

5. El 21 de agosto de 2018, la INEA confirmó su decisión anterior de denegar el acceso público a los documentos solicitados.

6. El 7 de octubre de 2018, el demandante presentó una reclamación al Defensor del Pueblo. A continuación, el Defensor del Pueblo inició una investigación.

Propuesta de solución del Defensor del Pueblo

7. En el curso de la investigación, la Defensora del Pueblo señaló que la INEA consultó a la autoridad nacional de ciberseguridad de la que procedían los documentos sobre la posibilidad de divulgar los documentos solicitados. Al hacerlo, la INEA presentó una propuesta de divulgación parcial, indicando la información que consideraba que debía suprimirse (porque era sensible desde el punto de vista comercial o contenía datos personales), e invitó a la autoridad nacional de ciberseguridad a presentar sus puntos de vista sobre la divulgación sugerida. La autoridad nacional de ciberseguridad indicó que no estaba de acuerdo con la divulgación de los documentos.

8. La Defensora del Pueblo señaló que la INEA no estaba vinculada por el dictamen de la autoridad nacional de ciberseguridad, tal como se estableció en el asunto Terezakis/Comisión ^[3].

9. El Defensor del Pueblo constató que los documentos solicitados contenían cierta información de valor comercial y estuvo de acuerdo en que su divulgación podría crear una ventaja injusta en futuras licitaciones y propuestas. El denunciante no demostró un interés público superior en la divulgación que justificara negar la protección de estos intereses comerciales. Así pues, el Defensor del Pueblo consideró que esta información debía considerarse sensible desde el punto de vista comercial, de conformidad con el artículo 4, apartado 2, primera intención, del Reglamento (CE) n.o 1049/2001.

10. Sin embargo, los documentos también contenían cierta información que no parecía ser comercialmente confidencial. Se trataba de información general sobre el proyecto, en consonancia con la convocatoria de propuestas a disposición del público.^[4] El Defensor del Pueblo señaló que la convocatoria de propuestas no solo ya estaba a disposición del público, sino que también lo estaba la información sobre el proyecto, como confirmaron el reclamante ^[5] y la INEA ^[6]. La Defensora del Pueblo concluyó que esta información no era sensible y que su divulgación no socavaría los intereses comerciales de la empresa pública ni los derechos de propiedad intelectual.

11. Por lo que se refiere a los datos personales expurgados, el Defensor del Pueblo consideró que el reclamante no había establecido la necesidad de que se transfirieran datos personales ^[7] y acordó que los datos personales de los documentos solicitados debían expurgarse, de conformidad con el artículo 4, apartado 1, letra b), del Reglamento (CE) n.o 1049/2001 y el artículo 8, letra b), del Reglamento (CE) n.o 45/2001.

12. En consecuencia, el Defensor del Pueblo propuso que la INEA divulgara parcialmente los formularios de solicitud de subvención A y D pertinentes, expurgando únicamente la información que considerara genuinamente sensible desde el punto de vista comercial o datos personales. La Defensora del Pueblo sugirió que la propuesta inicial de divulgación parcial de la INEA (realizada durante las consultas con la empresa pública) era la base adecuada para proceder.

Recomendación del Defensor del Pueblo

13. La Agencia rechazó la propuesta de divulgación parcial del Defensor del Pueblo. La Agencia señaló que la información sobre el alcance y los objetivos del proyecto ya está a disposición del público y «básicamente coincide» con la información incluida en las partes de los documentos que el Defensor del Pueblo propuso que se divulgaran. Sostuvo que la carga administrativa de la aplicación de la propuesta del Defensor del Pueblo sería demasiado elevada y que el acceso parcial carecería de sentido, ya que la información que podría divulgarse ya era pública ^[8].

14. La INEA también destacó que el proyecto se refiere a la ciberseguridad, que es un área donde la confidencialidad es esencial. Sostuvo que, si se divulgaran los documentos solicitados, se infringiría la confianza entre la Comisión y los agentes de ejecución pertinentes y podría dar lugar a reticencias a solicitar las subvenciones en el futuro. Dijo que esos agentes proporcionaban, en sus propuestas de proyectos, detalles sobre su personal y sus operaciones que, si se revelaban, permitirían a las entidades externas comprender su funcionamiento. Además, señaló que algunos de los agentes encargados de la ejecución forman parte de la infraestructura de seguridad e inteligencia de los Estados miembros. En consecuencia, alegó que la divulgación también podría dañar la ciberseguridad de los Estados miembros a través de ciberataques específicos.

15. La Defensora del Pueblo consideró que la aplicación de su propuesta no impondría una carga administrativa adicional a la Agencia, ya que la Agencia ya había presentado una propuesta inicial de divulgación parcial al consultar a la autoridad nacional de ciberseguridad pertinente.

16. El Defensor del Pueblo también consideró que el hecho de que la información ya sea de dominio público no significa que el acceso público a los documentos solicitados sea inútil. Señaló que la divulgación solo podría considerarse sin sentido, o sin sentido, si las redacciones son tan extensas que hacen que un documento esté «totalmente privado de su contenido». [9] Esto no es así en el presente caso. Si ha de extraerse alguna conclusión del hecho de que determinada información contenida en los documentos ya es de dominio público, es que la divulgación de dicha información no puede menoscabar los intereses protegidos por el Reglamento 1049/2001. 

17. La Defensora del Pueblo señaló que su propuesta de divulgación pública se refería a información que no puede considerarse sensible, como el alcance y los objetivos del proyecto, su pertinencia y las descripciones de las actividades. La redacción de información que puede ser sensible desde el punto de vista comercial o contener datos personales está justificada.^[10] Por lo tanto, el Defensor del Pueblo consideró que la divulgación parcial de los documentos solicitados no socavaría la confianza entre la Comisión y la empresa pública.

18. El Defensor del Pueblo también constató que la ciberseguridad nacional no podía verse socavada por la divulgación parcial, ya que las partes de los documentos que deben divulgarse contienen información que ya es pública. En cualquier caso, dicha información no contiene información técnica detallada que permita a las entidades externas comprender el funcionamiento de las agencias nacionales de ciberseguridad y, en consecuencia, perjudique la ciberseguridad de los Estados miembros.

19. A la luz de lo anterior, la Defensora del Pueblo consideró que la negativa de la INEA a conceder acceso parcial a los documentos constituía una mala administración. Por consiguiente, formula la siguiente recomendación (de conformidad con el artículo 3, apartado 6, del Estatuto del Defensor del Pueblo Europeo):

«La Agencia Ejecutiva de Innovación y Redes debe divulgar parcialmente los formularios de solicitud de subvención A y D solicitados, expurgando únicamente la información que sea realmente sensible desde el punto de vista comercial o que sea datos personales que requieran protección».

Respuesta de la Agencia a la recomendación del Defensor del Pueblo

20. La Agencia rechazó la recomendación del Defensor del Pueblo. Sostuvo que los tribunales de la UE reconocen una presunción general de no divulgación de las ofertas ^[11], que por analogía también se aplica a los procedimientos de concesión de subvenciones. Dijo que la práctica propuesta por la Comisión Europea es denegar el acceso a las solicitudes de documentos relativas a solicitudes de subvención por motivos de protección del interés comercial y la privacidad.

21. La INEA afirmó que su sugerencia inicial de divulgación parcial era «simplemente una base para iniciar debates y no una posición final de la Agencia». Ahora considera que la supresión de la información sensible privaría de sentido a la parte divulgada del documento. También dijo que los documentos redactados no tendrían sentido para el reclamante, ya que la información ya está a disposición del público. La INEA declaró que los tribunales de la UE han juzgado que las instituciones están autorizadas a refutar el acceso parcial en tales casos ^[12].

22. La Agencia alegó que, dado que la información no sensible se distribuye en los documentos solicitados, «una supresión parcial entrañaría un grave riesgo de que la publicación puntual de elementos disponibles al público pudiera dar lugar a la divulgación de información sensible». También señaló que a la Comisión y a ella misma les preocupaba que una posible violación de la confidencialidad en materia de ciberseguridad pudiera socavar la confianza de la autoridad nacional de ciberseguridad en cuestión, así como de los futuros socios de colaboración.

23. La INEA alegó que la transparencia y la participación de los ciudadanos en el proceso de toma de decisiones no pueden utilizarse como argumento a favor de un interés público superior en la divulgación en este caso, ya que las solicitudes de subvención no forman parte del procedimiento legislativo.

Evaluación del Defensor del Pueblo tras la recomendación

24. La Defensora del Pueblo está decepcionada con la respuesta de la Agencia a su recomendación.

25. Considera que el nuevo argumento de la INEA para denegar el acceso parcial basado en una presunción general de no divulgación de las ofertas/subvenciones no es convincente. Sin aceptar necesariamente que se aplique tal presunción general, el Defensor del Pueblo señala que todas las presunciones generales relativas a las normas de acceso de la UE a los documentos están sujetas a refutación. El Defensor del Pueblo ha explicado claramente por qué determinada información contenida en los documentos no puede considerarse confidencial. Como tal, cualquier presunción general que pudiera ser aplicable en lo que respecta a las ofertas se refuta en este caso.  

26. También se desprende claramente de la decisión confirmatoria de la Agencia y de la correspondencia posterior con el Defensor del Pueblo que la Agencia ya ha llevado a cabo una evaluación individual de los documentos solicitados y ha identificado las partes del documento que están sujetas a excepciones en virtud del Reglamento (CE) n.o 1049/2001 y otras partes que ya son de dominio público. 

27. Además, la Defensora del Pueblo no está de acuerdo con la evaluación de la INEA de que publicar una versión expurgada de los documentos no tendría sentido en este caso. Si bien parte de la información no sensible de los documentos solicitados ya está a disposición del público, la publicación (parcial) del documento podría ayudar al reclamante a determinar si la solicitud de subvención contiene la misma información que ya está a disposición del público. Por lo tanto, incluso una versión expurgada de los documentos sería algo útil para el denunciante.

28. Sobre la base de lo anterior, la Defensora del Pueblo reafirma su conclusión de que la negativa de la INEA a conceder un acceso público parcial a los documentos en cuestión constituía una mala administración.

Conclusión

Sobre la base de la investigación, la Defensora del Pueblo archiva este asunto con la siguiente conclusión:

La Defensora del Pueblo no está satisfecha con la respuesta de la Agencia Ejecutiva de Innovación y Redes a su recomendación de que la Agencia Ejecutiva de Innovación y Redes divulgue parcialmente los formularios de solicitud de subvención A y D solicitados y confirma su conclusión de mala administración.

Se informará de esta decisión al denunciante y a la Agencia Ejecutiva de Innovación y Redes.

Emily O'Reilly

Defensor del Pueblo Europeo

Estrasburgo, 4.10.2019

[1] La financiación estaba relacionada con los servicios nacionales mejorados de ciberseguridad y las capacidades de interoperabilidad (eCSI), Acción 2016-RO-IA-0128, disponible en el sitio web de la INEA: https://ec.europa.eu/inea/es/connecting-europe-facility/cef-telecom/2016-ro-ia-0128; Convocatoria de propuestas sobre proyectos de interés común en el marco del Mecanismo «Conectar Europa» en el ámbito de las redes transeuropeas de telecomunicaciones, CEF-TC-2016-3: Ciberseguridad, disponible en: https://ec.europa.eu/inea/sites/inea/files/2016-3_ceftelecom_calltext_cybersecurity_200916_final.pdf, anexo, Programa de trabajo 2016, disponible en: https://ec.europa.eu/inea/sites/inea/files/wp2016_adopted_20160303.pdf.

[2] Reglamento 1049/2001 del Parlamento Europeo y del Consejo, de 30 de mayo de 2001, relativo al acceso del público a los documentos del Parlamento Europeo, del Consejo y de la Comisión, disponible en: https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32001R1049&rid=1.

[3] Sentencia del Tribunal de Primera Instancia de 30 de enero de 2008, Terezakis/Comisión, T-380/04.

[4] Convocatoria de propuestas sobre proyectos de interés común en el marco del Mecanismo «Conectar Europa» en el ámbito de las redes transeuropeas de telecomunicaciones, CEF-TC-2016-3: Ciberseguridad, disponible en: https://ec.europa.eu/inea/sites/inea/files/2016-3_ceftelecom_calltext_cybersecurity_200916_final.pdf, anexo, Programa de trabajo 2016, disponible en: https://ec.europa.eu/inea/sites/inea/files/wp2016_adopted_20160303.pdf.

[5] Anuncio de licitación, 2018/S 019-040409, disponible en: https://ted.europa.eu/udl?uri=TED:NOTICE:040409-2018:TEXT:RO:HTML.

[6] Sitio web de la INEA, disponible en: https://ec.europa.eu/inea/es/connecting-europe-facility/cef-telecom/2016-ro-ia-0128, https://ec.europa.eu/inea/en/connecting-europe-facility/cef-telecom/apply-funding/2016-cef-telecom-call-cyber-security-cef-tc-2016-3; el sitio web de la empresa pública, disponible en: https://www.cert.ro/pagini/ecsi-page; el sitio web específico del proyecto, disponible en: https://ecsi.cert.ro/; el Sistema/Plataforma de Contratación Pública de Rumanía, disponible en: www.e-licitatie.ro; y Licitaciones Electrónicas Diarias, disponible en: www.ted.europa.eu.

[7] De conformidad con el artículo 2, letra a), del Reglamento (CE) no 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos, disponible en: https://eur-lex.europa.eu/legal-content/es/TXT/?uri=CELEX:32001R0045.

[8] La INEA hace referencia a las sentencias del Tribunal de Primera Instancia de 12 de julio de 2001, Mattila/Consejo y Comisión, T-204/99, apartado 69, y de 20 de marzo de 2014; en la sentencia Reagens/Comisión, T-181/10, apartado 161-175; sentencias del Tribunal de Primera Instancia de 19 de julio de 1999, Hautala/Consejo, T-14/98, apartado 30, y de 7 de febrero de 2002, Kuijer/Consejo, T-211/00, apartado 57.

[9] Véase la sentencia Reagens/Comisión, T-181/10, apartados 172 y 175.

[10] De conformidad con el artículo 4, apartado 1, letra b), y apartado 2, primer guion, del Reglamento 1049/2001.

[11] Por ejemplo, sentencia del Tribunal General de 26 de mayo de 2016, International

Management Group/Comisión Europea, asunto T-110/15, apartado 30, y sentencia del Tribunal General de 13 de noviembre de 2015, ClientEarth/Comisión Europea, T-424/14 y T-425/14, apartado 65.

[12] Sentencia del Tribunal General de 12 de julio de 2001, Mattila/Consejo y Comisión, asunto T-204/99, apartado 69.