La AEAT trata de limitar el uso del sistema cl@ve

Ahora que, desde la toalla en la playa o el mirador de una cumbre, tenemos más tiempo para repensar con algo más de distancia algunos mensajes recibidos en este curso, merece la pena volver sobre la comunicación «Uso personal de Cl@ve y prevención de prácticas de intermediación no autorizadas», que publicó la Agencia Tributaria (AEAT) el pasado abril para advertir al ciudadano de que no puede aceptar la ayuda de otras personas para identificarse en el sistema Cl@ve y descargar datos.

El sistema Cl@ve es la principal puerta de acceso de los ciudadanos a las plataformas de prestación de los servicios públicos, de modo que esta advertencia es un impedimento para reutilizar los datos públicos con fines legítimos decididos por el propio ciudadano.

Las oficinas virtuales de la Administración permiten realizar los trámites administrativos online y obtener también los datos relacionados que los ciudadanos necesitan para acreditar ante otras personas o entidades el estado de la tramitación o el resultado de sus gestiones. Por eso han surgido interfaces que integran Cl@ve en los sistemas de entidades privadas para identificar al interesado y descargar automáticamente los datos disponibles en las sedes electrónicas.

Sin embargo, esta comunicación de la AEAT parece ignorar que estos procesos de asistencia para descargar datos los regula el Reglamento 2022/868 del Parlamento Europeo y del Consejo, sobre  gobernanza de datos, de 30 de mayo de 2022 (conocido como DGA, por sus siglas en inglés), que se fundamenta en «la idea de que los datos que hayan sido generados o recogidos por organismos del sector público u otras entidades con cargo a los presupuestos públicos deban beneficiar a la sociedad» (considerando 6), que también afirma que esta idea ha formado parte de las estrategias de la Unión Europea (UE) durante mucho tiempo. Efectivamente, la UE ha regulado desde 2003 la «reutilización de la información del sector público», que priva a la Administración de cualquier pretensión de propiedad de los datos de su propia actividad y establece el deber de facilitar el acceso a los datos personales para su reutilización.

Es cierto que el considerando 11 de la DGA pone de manifiesto que «el presente Reglamento no debe crear la obligación de permitir la reutilización de los datos que obren en poder de organismos del sector público. En concreto, cada Estado miembro debe poder decidir, por lo tanto, si se proporciona acceso a los datos para su reutilización, así como sobre los fines y el alcance de dicho acceso».

Pero el considerando 15 añade que «en su caso, los organismos del sector público deben facilitar, a través de los medios técnicos adecuados, la reutilización de datos sobre la base del consentimiento de los interesados o del permiso de los titulares de esos datos para que se reutilicen sus datos».

En definitiva, la Administración tiene el deber, aunque no la obligación, de facilitar los datos cuando el interesado así lo consiente.

En relación con el acceso, el artículo 5.1 de la DGA prevé que «Los organismos del sector público (…) competentes para conceder o denegar acceso para la reutilización (…) publicarán las condiciones en las que se permite tal reutilización y el procedimiento para solicitarla por medio del punto único de información a que se refiere el artículo 8».

Por tanto, si la Administración quiere limitar o condicionar la reutilización de los datos, debe precisarlo en el «punto único de información». En ausencia de límites o condiciones, como es el caso, no puede impedir al ciudadano que utilice los sistemas legítimos de acceso a los datos para reutilizarlos, sirviéndose incluso de los servicios de otras entidades que le faciliten herramientas y procesos de acceso más eficientes a los datos.

Sobre la asistencia de otros para la reutilización, la DGA regula los «servicios de intermediación de datos», que permiten el intercambio de datos a través de medios técnicos, jurídicos o de otro tipo y que, conforme al considerando 30, facilitan a los interesados el control sobre sus datos mediante la asistencia en el ejercicio de sus derechos de protección de datos y, entre ellos, «la portabilidad de los datos, que permite a los interesados trasladar sus datos personales de un responsable del tratamiento a otro».

En resumen, la Administración ha desarrollado el sistema Cl@ve que facilita a los ciudadanos el acceso a los servicios públicos y la descarga de los datos que le afectan. Este sistema atiende el deber de facilitar la reutilización que establece la DGA, para la que no ha establecido condición alguna.

La comunicación de la AEAT contradice ahora este sistema al expresar indicaciones de uso difíciles de conciliar con este reglamento y que, además, carecen de fuerza normativa.

Hay que reconocer que existen sistemas de acceso a los datos más transparentes y controlados, como es el acceso mediante API (application programming interface), que funcionan como ventanillas exclusivas para que los intermediadores accedan a los datos de sus usuarios de forma ordenada. Sin embargo, las plataformas públicas no han implantado en general estas API, tampoco la AEAT, de modo que los intermediadores solo pueden acceder a los datos utilizando los sistemas de acceso habilitados para los usuarios.

Esta situación no es del todo nueva. Hace quince años, se produjo en el sector privado una situación similar con el acceso a los datos bancarios por entidades de servicios de pago. A pesar de las manifestaciones claramente opuestas, no ha habido ningún precedente en el que la Agencia Española de Protección de Datos ni otro regulador hayan actuado contra quien utilizaba los servicios de intermediadores para descargar y reutilizar los datos ni frente a los intermediadores que lo asistían.

Es relevante resaltar que, en este ámbito específico, la segunda directiva de servicios de pago (PSD 2, en siglas inglesas) ha obligado a las entidades de pago a habilitar canales API para la descarga de datos y ha prohibido a los intermediadores utilizar los canales de acceso y las claves personales para prestar sus servicios.

Este modelo de la PSD 2 demuestra que hay alternativas más seguras y transparentes para conciliar la protección de las credenciales con la reutilización de los datos. Lo llamativo es que sea la excepción y no lo habitual.