Hecho de conformidad con el artículo 4, apartado 1, del Estatuto del Defensor del Pueblo Europeo ^[1]

Antecedentes de la denuncia

1. En diciembre de 2021, el reclamante solicitó al CEPD que le diera acceso público a los documentos preparatorios de su declaración sobre acuerdos internacionales, incluidas las transferencias de datos personales a terceros países u organizaciones internacionales. Esto incluyó intercambios entre el CEPD y la Comisión Europea, los Estados miembros y las autoridades de protección de datos, así como versiones preliminares de su declaración sobre acuerdos internacionales, incluidas las transferencias.

2. El CEPD identificó 26 [2] documentos que entraban en el ámbito de aplicación de la primera solicitud del denunciante ´. Concedió acceso parcial a tres documentos que entraban totalmente en el ámbito de aplicación de la solicitud, acceso parcial a once documentos y denegó el acceso total a los doce documentos restantes. 3 Al ^denegar el acceso a los documentos, el CEPD se basó en la necesidad de proteger su proceso de toma de decisiones y sus datos personales. El CEPD consideró que no existía un interés público superior en la divulgación de los documentos.

3. El demandante se dirigió al Defensor del Pueblo. Refutó la posición del CEPD de que la divulgación de los documentos socavaría su proceso de toma de decisiones y alegó que, independientemente, existe un interés público superior en divulgar los documentos.

4. El Defensor del Pueblo inició una investigación. Inspeccionó los documentos que no habían sido revelados al autor, parcial o totalmente. El equipo de investigación del Defensor del Pueblo también celebró una reunión con representantes del CEPD [4].

5. El CEPD alegó que una mayor divulgación de los documentos solicitados socavaría gravemente su proceso de toma de decisiones, ya que los documentos contienen debates, opiniones y puntos de vista de los miembros del CEPD o de su Secretaría que forman parte de sus deliberaciones y posiciones internas. Así pues, la divulgación de dichos documentos crearía incertidumbre o confusión para el público, reduciría el «espacio de reflexión» de los miembros y socavaría la misión del CEPD de hablar con una sola voz. En particular, algunas observaciones podrían malinterpretarse, de modo que afectarían a la claridad del documento aprobado y crearían ambigüedad. Además, la divulgación de estas opiniones perjudicaría la calidad del proceso de toma de decisiones, ya que algunos miembros de la Junta se mostrarían reacios a expresar sus opiniones sin censura a sabiendas de que se publicarían. En consecuencia, el CEPD alegó que el acceso a estos documentos socavaría su misión de garantizar una interpretación coherente de las normas de protección de datos.

6. Además, el CEPD alegó que la divulgación de los debates internos es contraria al Reglamento General de Protección de Datos (RGPD), ya que el legislador, al adoptar el RGPD, le brindó la posibilidad de mantener intercambios confidenciales cuando lo considerara necesario.[5] El CEPD consideró que esto reflejaba la voluntad del legislador de proteger al CEPD de la presión externa, ya que la divulgación de estos documentos preparatorios interferiría con el papel independiente del CEPD.[6] También alegó que la divulgación afectaría a la autoridad del CEPD en su conjunto y alentaría a las partes interesadas a no seguir la posición adoptada por el CEPD. El CEPD alegó además que la divulgación restaría atención a la versión publicada y alentaría a las partes interesadas a no seguir esa posición final. Por último, el CEPD alegó que su posición futura, también en lo que respecta a las negociaciones sobre la Ley de Cumplimiento Tributario de Cuentas Extranjeras de los Estados Unidos (FATCA), se vería socavada por la divulgación de uno de los documentos solicitados.

Propuesta de solución del Defensor del Pueblo

7. Sobre la base de su evaluación de los documentos en cuestión, la Defensora del Pueblo constató que el CEPD no había dado al reclamante un acceso suficientemente amplio.

8. Más concretamente, el Defensor del Pueblo consideró que no estaba claro cómo el proceso de toma de decisiones del CEPD podría verse gravemente socavado por la divulgación de estos documentos preparatorios dada su naturaleza y contenido, y que el CEPD no había demostrado, en términos reales y específicos, los riesgos que se derivarían de conceder un acceso más amplio a estos documentos.

9. La Defensora del Pueblo propuso que el CEPD llevara a cabo una nueva evaluación de la solicitud de acceso del reclamante y concediera el acceso más amplio posible a dichos documentos [7], también mediante un formato anonimizado, sin atribuir las opiniones expresadas a partes específicas.

10. El CEPD, en respuesta a la propuesta de solución del Defensor del Pueblo, mantuvo su posición y denegó una nueva divulgación. Reiteró los argumentos anteriormente mencionados y, además, alegó que la divulgación de las versiones preliminares de los documentos solicitados perjudicaría la protección efectiva de los datos personales. El CEPD también se basó en la necesidad de proteger las relaciones internacionales como una razón para justificar la no divulgación de los documentos en cuestión.[8] En concreto, el CEPD explicó que la declaración internacional en cuestión se adoptó para invitar a los Estados miembros a evaluar y revisar sus acuerdos internacionales que implican transferencias de datos personales, incluidos los relacionados con la fiscalidad. El CEPD declaró que, sobre la base de su experiencia anterior, la divulgación de versiones anonimizadas de documentos no impediría la atribución de puntos de vista a partes específicas y, por lo tanto, la divulgación no solo perjudicaría su proceso de toma de decisiones. 

Evaluación del Defensor del Pueblo tras la propuesta de solución

11. El CEPD es un organismo independiente de la UE, compuesto por representantes de las autoridades nacionales de protección de datos de la UE y del Supervisor Europeo de Protección de Datos (SEPD), junto con las autoridades de control de los Estados del EEE de la AELC en lo que respecta a las cuestiones relacionadas con el RGPD. La Comisión Europea y, en lo que respecta a los asuntos relacionados con el RGPD, el Órgano de Vigilancia de la AELC, tienen derecho a participar en las actividades y reuniones del Comité sin derecho de voto.

12. El papel del CEPD es contribuir a la aplicación coherente de las normas de protección de datos en toda la UE y promover la cooperación entre las autoridades de protección de datos de la UE. A tal fin, el CEPD proporciona orientaciones generales (incluidas directrices, recomendaciones y mejores prácticas) para aclarar la legislación y promover una interpretación común de la legislación de la UE en materia de protección de datos. El CEPD también adopta dictámenes dirigidos a la Comisión o a las autoridades nacionales de supervisión. Por último, el CEPD puede adoptar decisiones vinculantes dirigidas a las autoridades nacionales de control, destinadas a resolver los litigios que surjan entre ellas cuando cooperen para hacer cumplir el RGPD. Por lo tanto, el CEPD desempeña un papel clave en lo que respecta a la aplicación e interpretación coherentes de las normas de protección de datos de la UE en toda la UE, un ámbito de gran importancia pública que afecta a un derecho fundamental.

13. Los documentos en juego en esta investigación se refieren a material preparatorio para la adopción de la declaración del CEPD sobre los acuerdos internacionales, incluidas las transferencias [9]. Pueden dividirse en tres categorías, a saber: i) proyectos de versión de la declaración del CEPD, ii) actas y proyectos de actas de las reuniones de los subgrupos de expertos y iii) intercambios por correo electrónico entre la Comisión Europea y el CEPD, así como entre los miembros del CEPD y la Secretaría del CEPD.[10] En su respuesta al Defensor del Pueblo, el CEPD explicó que algunos de los documentos preparatorios son proyectos de versión limpios, lo que significa que no contienen cambios de seguimiento ni comentarios, algunos son proyectos de versión que contienen cambios de seguimiento sin comentarios y otros contienen comentarios.

14. La declaración del CEPD, en su forma final, incluye una invitación y una recomendación a los Estados miembros para que revisen sus acuerdos internacionales vigentes a fin de garantizar que cumplen la legislación y la jurisprudencia de la Unión en materia de protección de datos. La declaración se elaboró en respuesta a una Resolución del Parlamento Europeo, de 5 de julio de 2018, sobre los efectos adversos de la FATCA en los ciudadanos de la UE [11] y a las solicitudes formuladas por los denunciantes al Grupo del Artículo 29 [12] a este respecto.

15. Es importante aclarar que la declaración del CEPD no es una interpretación de las disposiciones del RGPD. Se trata de una respuesta formal del Comité a las preguntas que recibió en las que reitera los requisitos establecidos en el RGPD y en la Directiva sobre protección de datos en el ámbito penal a la luz de la jurisprudencia reciente. Como tales, los documentos controvertidos en la presente investigación y los del asunto anterior 386/2021/AMF del Defensor del Pueblo, que se referían a documentos elaborados en la elaboración de una directriz del CEPD que contenía una interpretación autorizada del RGPD, no son de la misma naturaleza. 

16. Dicho esto, el Defensor del Pueblo desea hacer hincapié en que el Reglamento 1049/2001 se aplica a todos los documentos en poder de las instituciones [13] y se basa en el supuesto de que «la apertura permite a los ciudadanos participar más estrechamente en el proceso de toma de decisiones y garantiza que la administración goce de una mayor legitimidad y sea más eficaz y responsable ante los ciudadanos en un sistema democrático».[14] Este principio de transparencia se aplica independientemente de si los documentos forman parte o no del proceso legislativo de la Unión. El acceso a los documentos solo puede restringirse si se aplica una (o más) de un número limitado de excepciones del Reglamento (CE) no 1049/2001 [15].

17. En este caso, el CEPD invocó varias excepciones en el Reglamento 1049/2001 para denegar el acceso (pleno) a los documentos preparatorios solicitados, a saber, la necesidad de proteger su proceso de toma de decisiones, los datos personales y el interés público en lo que respecta a las relaciones internacionales.

18. En su reclamación al Defensor del Pueblo, el demandante no impugna la supresión de datos personales en los documentos que solicitó. Por lo tanto, no es necesario que el Defensor del Pueblo evalúe si la invocación de esta excepción por parte del CEPD estaba justificada.

19. La principal razón invocada por el CEPD para denegar el acceso a los documentos solicitados es proteger su proceso de toma de decisiones, protegiendo a los miembros de su Consejo de la presión externa, con el fin de crear un «espacio para pensar» que permita un debate franco y el intercambio de «dictámenes sin censura» dentro del Consejo. Al CEPD también le preocupa que los documentos preparatorios puedan malinterpretarse, lo que afectaría a la claridad del documento adoptado y crearía confusión y ambigüedad. Además, al CEPD le preocupa que la divulgación de los documentos preparatorios que muestren las opiniones de los miembros constituyentes socave la autoridad o la independencia del Comité.

20. Los argumentos esgrimidos por el CEPD sobre la existencia de presiones externas en relación con los documentos preparatorios siguen siendo vagos y de carácter general. El Tribunal de Justicia ha reconocido que la protección del proceso de toma de decisiones frente a presiones externas específicas puede constituir un motivo legítimo para restringir el acceso a los documentos. Sin embargo, también ha subrayado que la realidad de tal presión externa «debe demostrarse con certeza» y que «deben aportarse pruebas que demuestren que existía un riesgo razonablemente previsible» para que la decisión en cuestión se viera sustancialmente afectada por dicha presión externa ^[16].

21. En cualquier caso, aun suponiendo que se demostrara la existencia de tal presión externa, no está claro cómo la capacidad del CEPD para intercambiar libremente se vería gravemente menoscabada por dicha presión, en particular dado que el proceso de toma de decisiones que condujo a la adopción de la declaración había finalizado en el momento en que se adoptaron las decisiones confirmatorias. La inspección de las tres categorías de documentos preparatorios puso de manifiesto que estos contienen principalmente cambios de redacción, así como aclaraciones o simplificación de determinadas partes del texto, que no parecen especialmente sensibles. El Defensor del Pueblo señala además que, en general, no incluyen ninguna interpretación de las normas de protección de datos ni ilustran opiniones divergentes dentro de la Junta.

22. En vista del análisis anterior, la Defensora del Pueblo considera que el CEPD no aportó argumentos suficientemente convincentes para establecer un «riesgo específico y real» para su proceso de toma de decisiones. Sobre esta base, no es necesario que el Defensor del Pueblo revise si surge o no un interés público superior.

23. Por lo que se refiere al argumento del CEPD en su respuesta a la propuesta de solución del Defensor del Pueblo de que la divulgación de los documentos en cuestión perjudicaría las relaciones internacionales, el CEPD no ha aportado ninguna justificación para invocar esta excepción. El CEPD se limita a señalar que, en su declaración, invitó a los Estados miembros a evaluar y revisar sus acuerdos internacionales que implican transferencias de datos personales, incluidos los relativos a la fiscalidad.

24. Si bien las instituciones de la Unión disponen de un amplio margen de apreciación a la hora de decidir qué exige la protección de las relaciones internacionales en términos de divulgación de documentos, siguen estando obligadas a demostrar un «riesgo específico y real». El mero hecho de que el CEPD haya invitado a los Estados miembros a evaluar y revisar sus relaciones internacionales no ilustra en sí mismo cómo, en términos específicos y reales, las relaciones internacionales se verían afectadas negativamente si se divulgaran los documentos.

25. El Defensor del Pueblo ha compartido una nota confidencial separada con el CEPD, adjunta a la presente Recomendación, que incluye una evaluación más detallada de la naturaleza y el contenido de los documentos preparatorios a la luz de las excepciones invocadas por el CEPD para denegar el acceso.

26. El CEPD alegó además que el RGPD crea una excepción adicional al derecho de acceso del público a sus documentos basada en el hecho de que es un organismo independiente. El Defensor del Pueblo considera que esta interpretación no está respaldada por los términos del RGPD en su conjunto ni por la jurisprudencia de los tribunales de la UE ^[17]. El RGPD establece expresamente que los documentos del CEPD están sujetos a los términos del Reglamento 1049/2001.

27. El CEPD también ha hecho referencia a su Reglamento interno, que establece que los debates del Comité pueden considerarse confidenciales. En este contexto, el Defensor del Pueblo señala que el reglamento interno no puede prevalecer jurídicamente sobre un reglamento. Todo reglamento interno debe cumplir lo dispuesto en el Reglamento 1049/2001 [18]. Por lo tanto, el CEPD no puede acogerse al Reglamento interno de su Junta para denegar el acceso público a los documentos si el Derecho primario o derivado de la Unión exige su divulgación.

28. A la luz de lo anterior, la Defensora del Pueblo considera que la aplicación por parte del CEPD de las excepciones para la protección de sus procesos de toma de decisiones y de las relaciones internacionales constituye una mala administración. Por consiguiente, formula la recomendación correspondiente a continuación.

Recomendación

Sobre la base de la investigación de esta reclamación, el Defensor del Pueblo formula la siguiente recomendación al CEPD:

El CEPD debe conceder al reclamante el acceso más amplio posible a los documentos solicitados.

Se informará de esta recomendación al CEPD y al reclamante. De conformidad con el artículo 4, apartado 2, del Estatuto del Defensor del Pueblo Europeo, el CEPD enviará un dictamen detallado a más tardar el 28 de junio de 2023.

Emily O'Reilly Defensora del Pueblo
Europeo

Estrasburgo, 29.3.2023

[1] Disponible en: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv%3AOJ.L_.2021.253.01.0001.01.ENG&toc=OJ%3AL%3A2021%3A253%3ATOC

[2] El CEPD no incluyó seis documentos que ya habían sido plenamente divulgados en anteriores solicitudes de acceso público del denunciante.

[3] Durante la investigación sobre el asunto 509/2022/JK (primera solicitud), se puso de manifiesto que no todas las versiones preliminares de la declaración 01/2019 del CEPD sobre la «Ley de Cumplimiento Tributario de Cuentas Extranjeras de los Estados Unidos» (FATCA) se evaluaron en las fases inicial y confirmatoria. En consonancia con la sugerencia del Defensor del Pueblo, estos documentos se tramitaron como una solicitud de acceso público independiente, lo que dio lugar a la posterior reclamación ante el Defensor del Pueblo (reclamación 1698/2022/FA) (segunda solicitud) y a la acumulación de estas investigaciones.

[4] https://www.ombudsman.europa.eu/es/doc/inspection-report/es/156601.

[5] Artículo 76, apartado 1, del RGPD y artículo 33, letra c), del Reglamento interno del CEPD.

[6] Artículos 52 y 69 del RGPD y artículo 8, apartado 3, de la Carta

[7] Para más información sobre los antecedentes de la reclamación, los argumentos de las partes y la investigación del Defensor del Pueblo, véase el texto completo de la propuesta de solución del Defensor del Pueblo.

[8] Artículo 4, apartado 1, letra a), tercer guion, del Reglamento 1049/2001.

[9] Declaración 04/2021 del CEPD sobre «Acuerdos internacionales, incluidas las transferencias».

[10] Respuesta oficial del CEPD de 3 de junio de 2022, que se compartió con el denunciante.

[11] http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//TEXT+TA+P8-TA-2018-0316+0+DOC+XML+V0//EN&language=EN

[12] El Grupo de Trabajo del Artículo 29 fue un grupo de trabajo europeo independiente que se ocupó de cuestiones relacionadas con la protección de la privacidad y los datos personales hasta el 25 de mayo de 2018 (entrada en vigor del RGPD)

[13] Considerando 11 del Reglamento 1049/2001 relativo al acceso del público a los documentos del Parlamento Europeo, del Consejo y de la Comisión: https://eur-lex.europa.eu/legal-content/es/TXT/?uri=CELEX%3A32001R1049

[14] Considerando 2 del Reglamento 1049/2001.

[15] Artículo 1 del Reglamento 1049/2001.

[16] Sentencia del Tribunal de Primera Instancia (Sala Séptima) de 18 de diciembre de 2008, Pablo Muñiz/Comisión de las Comunidades Europeas, asunto T‑144/05, apartado 86; Sentencia del Tribunal General (Sala Séptima ampliada) de 22 de marzo de 2018, Emilio de Capitani/Parlamento Europeo, asunto T‑540/15, apartado 99.

[17] Véase el artículo 76 del RGPD; Sentencia del Tribunal de Justicia (Gran Sala) de 19 de junio de 2018 en el asunto Baumeister, C‑15/16, apartado 46.

[18] Sentencia del Tribunal General de 14 de septiembre de 2022, Pollinis France/Comisión, asuntos acumulados T‑371/20 y T‑554/20, apartado 96 (recurrido en casación)