Pleno. Sentencia 20/2023, de 23 de marzo de 2023. Conflicto positivo de competencia 5253-2021. Planteado por el Consejo de Gobierno de la Comunidad Autónoma del País Vasco, en relación con diversos preceptos del Reglamento de actuación y funcionamiento del sector público por medios electrónicos, aprobado por el Real Decreto 203/2021, de 30 de marzo. Competencias sobre seguridad pública, autoorganización y régimen jurídico de las administraciones públicas: extinción del conflicto constitucional por pérdida sobrevenida de su objeto.
| Marginal | BOE-A-2023-10045 |
| Emisor | Tribunal Constitucional |
| Rango de Ley | Sentencia |
ECLI:ES:TC:2023:20
El Pleno del Tribunal Constitucional, compuesto por el magistrado don Cándido Conde-Pumpido Tourón, presidente, y las magistradas y magistrados doña Inmaculada Montalbán Huertas, don Ricardo Enríquez Sancho, doña María Luisa Balaguer Callejón, don Ramón Sáez Valcárcel, don Enrique Arnaldo Alcubilla, doña Concepción Espejel Jorquera, doña María Luisa Segoviano Astaburuaga, don César Tolosa Tribiño y doña Laura Díez Bueso, ha pronunciado
EN NOMBRE DEL REY
la siguiente
SENTENCIA
En el conflicto positivo de competencia núm. 5253-2021, promovido por el Consejo de Gobierno de la Comunidad Autónoma del País Vasco, en relación con los artículos 15.3 a), 26.2 c), 28.2 y 29.4, y la disposición adicional novena del Reglamento de actuación y funcionamiento del sector público por medios electrónicos, aprobado por Real Decreto 203/2021, de 30 de marzo. Ha sido parte el abogado del Estado, en la representación que ostenta. Ha sido ponente la magistrada doña María Luisa Segoviano Astaburuaga.
I. Antecedentes
-
Mediante escrito presentado en el registro general de este tribunal el 28 de julio de 2021, el Consejo de Gobierno de la Comunidad Autónoma del País Vasco promovió conflicto positivo de competencia en relación con los arts. 15.3 a), 26.2 c), 28.2 y 29.4, así como con la disposición adicional novena del Reglamento de actuación y funcionamiento del sector público por medios electrónicos, aprobado por Real Decreto 203/2021, de 30 de marzo.
Inicia su demanda mediante la exposición de los términos en los que se dio cumplimiento al trámite previo del requerimiento de incompetencia. Asimismo, da cuenta de que el Gobierno Vasco ha interpuesto el recurso de inconstitucionalidad núm. 1220-2021 contra, entre otros, los arts. 9 y 10 de la Ley 39/2015, de 1 de octubre, del procedimiento administrativo común de las administraciones públicas (LPACAP), en la redacción dada por el art. 3 del Real Decreto-ley 14/2019, de 31 de octubre. Añade que tales artículos modificados son reproducidos por los preceptos reglamentarios contra los que se reacciona en este conflicto, siendo coincidente su objeto, pues en ambos casos se discute la autorización, previo informe vinculante, que se ha reservado el Estado para la admisión de determinados sistemas de identificación y firma electrónica de los ciudadanos ante las administraciones públicas.
A continuación, la demanda justifica el cumplimiento de los requisitos temporales y formales exigidos en la Ley Orgánica del Tribunal Constitucional (LOTC), y, tras identificar los preceptos impugnados, solicita que se declare la incompetencia del Estado para adoptar las disposiciones impugnadas y su consiguiente inconstitucionalidad, así como la nulidad de los preceptos que contienen la autorización y el informe vinculante que dos órganos de la Administración General del Estado han de emitir de forma previa, necesaria –dada la previsión del silencio desestimatorio–, y favorable para la implantación por las administraciones públicas autonómicas de los sistemas de identificación y firma para los ciudadanos que se dirijan a ellas por vía electrónica, basados en sistemas de clave concertada y otros sistemas de identificación y firma distintos de los sistemas de certificados de firma electrónica y certificados de sellos electrónicos avanzados y cualificados expedidos por prestadores incluidos en la «lista de confianza de prestadores de servicios de certificación».
El Gobierno demandante considera que el conflicto afecta a dos ámbitos esenciales de la correcta prestación del servicio público por las administraciones públicas vascas en sede digital: la identificación de los ciudadanos ante estas administraciones y la firma de los ciudadanos en sus escritos a ellas dirigidos. De los tres sistemas de identificación, centran el conflicto positivo en el previsto en los arts. 9.2 c) y 10.2 c) LPACAP, sobre identificación y firma respectivamente. Es el conocido como «sistema de clave concertada», y es la forma en la que los ciudadanos pueden identificarse para realizar trámites administrativos y firmar sus escritos ante las administraciones públicas sin disponer de certificado electrónico cualificado. Tras describir su sistema de funcionamiento, más cómodo en su uso que los basados en certificados electrónicos cualificados, expone la necesidad de seguridad de estos sistemas frente a los ciberataques.
Destaca que el legislador ha regulado el esquema nacional de seguridad como el instrumento nuclear con el que establecer la política de seguridad en la utilización de medios electrónicos en el ámbito de las administraciones públicas, con naturaleza de norma básica, conforme al art. 149.1.18 CE (disposición final primera del Real Decreto 3/2010, de 8 de enero), y expone la finalidad y contenido del esquema nacional de seguridad (arts. 1.1, 31 y 33 del Real Decreto 3/2010), así como su complemento a través de las guías de seguridad e instrucciones técnicas de seguridad (art. 29 del Real Decreto 3/2010), de obligado cumplimiento. Añade a ello la cita de las medidas de organización en materia de seguridad adoptadas por el Gobierno Vasco: Orden de 26 de febrero de 2010, de la consejera de Justicia y Administración Pública; acuerdo del Consejo de Gobierno Vasco de 30 de junio de 2015, mediante el cual se aprobó la estructura organizativa y asignación de roles de seguridad para la administración electrónica del Gobierno Vasco; y los Decretos 21/2012, de 21 de febrero, de administración electrónica, y 36/2020, de 10 de marzo, que regula el modelo de gestión de las tecnologías de la información y la comunicación en el sector público de la Comunidad Autónoma de Euskadi.
Considera que el control estatal al que se someten los sistemas de identificación y firma basados en clave concertada, esto es, a una autorización otorgada por la Secretaría General de Administración Digital del Ministerio de Asuntos Económicos y Transformación Digital, que solo podrá ser denegada por motivos de seguridad pública, previo informe vinculante de la Secretaría de Estado de Seguridad del Ministerio de Interior, no aparece justificado, por lo que no es posible saber a qué obedecen estas medidas tan extraordinarias que afectan a un aspecto tan puntual de la administración electrónica, ya que no se han adoptado medidas similares en ninguna otra faceta de dicha administración. Indica que no se encuentra su justificación en brechas de seguridad específicas en estos sistemas que requieran de medidas tan excepcionales. Señala que tampoco se cumple en este sentido con el principio de proporcionalidad en su triple vertiente, ni obedecen estas medidas a un canon de justo equilibrio o razonabilidad con los objetivos perseguidos. Afirma el representante del Gobierno Vasco que nos encontramos ante una intervención de la Administración General del Estado absolutamente genérica e indeterminada y donde los preceptos cuestionados solo indican que cabe la denegación exclusivamente «por motivos de seguridad pública». Y entiende que la afirmación del título competencial tal y como se recoge en el art. 149.1.29 CE (disposición final primera del Real Decreto 203/2021), aboca a una absoluta falta de seguridad jurídica y, en su conjunto, supone la vulneración de la competencia autonómica vasca en su capacidad de autoorganización (art. 10.2 del Estatuto de Autonomía para el País Vasco: EAPV).
Se alega también que el marco competencial adecuado de los preceptos impugnados se corresponde con el del art. 149.1.18 CE, al encontrarnos ante una cuestión de organización y procedimiento de las administraciones públicas. Se trata de la regulación de los sistemas de identificación y firma de los ciudadanos ante aquellas, en donde la seguridad de estos sistemas se ve integrada como un aspecto más de su diseño y configuración (STC 100/2019). En tal sentido, tras referirse al fundamento jurídico 9 de la STC 55/2018, de 24 de mayo, sostiene que la STC 142/2018, de 20 de diciembre, encuadró las políticas de ciberseguridad de las redes y sistemas de información de la Generalitat de Cataluña en materia de administración electrónica en el ámbito de la competencia autonómica de los arts. 150 y 159 EAC, y en el marco del art. 149.1.18 CE.
Esa misma conclusión se alcanza, a juicio del Gobierno Vasco, a partir de la contestación del Consejo de Ministros al requerimiento efectuado por el Consejo de Gobierno demandante, donde se insiste en que esa autorización e informe tienen por objetivo «únicamente verificar si el sistema validado tecnológicamente por parte de la administración y organismo público del que se trate puede o no producir afecciones o riesgos a la seguridad pública»; y también se deduce de la intervención de la ministra de Economía y Empresa en funciones, señora Calviño Santamaría, en el debate de convalidación del Real Decreto-ley 14/2019. Por esta razón, esta autorización previa y este informe preceptivo constituyen controles de ciberseguridad del sistema de identificación y firma que han de situarse en la materia régimen jurídico de las administraciones públicas (art. 149.1.18 CE).
A continuación, se detiene en el análisis de la STC 142/2018, que definió la ciberseguridad, como el «conjunto de herramientas, políticas, conceptos de seguridad, salvaguardas de seguridad, directrices, métodos de gestión de riesgos, acciones, formación, prácticas idóneas, seguros y tecnologías que pueden utilizarse para proteger los activos de la organización y los usuarios en el ciberentorno» (FJ 4), por tanto, como una materia transversal, no reconducible a un único título, y que «afecta a cuestiones relacionadas con la seguridad pública y la defensa, las infraestructuras, redes y sistemas y el régimen general de telecomunicaciones». En relación con el pronunciamiento referido a la Agencia de Ciberseguridad de Cataluña, indica la demanda que, según el art. 2.2 de la Ley del Parlamento de Cataluña 15/2017, de 25 de julio, «tiene por objetivo la ejecución de las...
Para continuar leyendo
Solicita tu prueba