La importancia de los requisitos de cumplimiento en protección de datos para calificar una tecnología como cualificada para el uso por las administraciones públicas

La transformación digital de los servicios públicos exige unas tecnologías alineadas con los valores constitucionales y democráticos, especialmente en protección de datos. Este estudio busca traducir estas exigencias legales en requisitos técnicos que permitan indentificar una concreta tecnología como "cualificada" para su uso por las Administraciones Públicas, procurando una integración jurídico-técnica que facilite una gobernanza digital democrática, sencilla y eficiente. Para ello realiza un abordaje de todo el oprdenamiento jurídico, que da por último sentido a los mandatos del Estatuto de Autonomía de Canarias respecto a la AP canaria, aunque es extrapolable a otras Administraciones, incluso al ámbito comunitario. Del análisis resultan por un lado requisitos generales, exigibles por el mero funcionar de la Administración (transparencia, neutralidad, interoperabilidad, o seguridad) y otros que son del exclusivo ámbito de la protección de datos (prohibición de tratamientos públicos basado en el consentimiento, u obligaciones proactivas como la Evaluación de Impacto o la designación de un DPD). Se concluirá que deben evitarse las tecnologías vinculadas al capitalismo de vigilancia, por procudir una exposición de datos personales a actores externos con fines ajenos al servicio público, vulnerando el derecho a la protección de datos (art. 18.4 CE y RGPD), y se detallan abundantes ejemplos de desviaciones típicas respecto de esta regla: uso de analíticas externas (p. ej., Google Analytics, Microsoft Clarity); dependencia de nubes públicas; excesivo uso de software propietario con dependencia tecnológica; o comunicación institucional centrada en redes sociales que realizan otros tratamientos; además de la ausencia generalizada del reflejo de estas tecnologías en los Registro de Actividades de Tratamiento, pese a ser usadas, faltando a la exigible transparencia y responsabilidad proactiva (art. 30 RGPD).

The digital transformation of public services requires technologies aligned with constitutional and democratic values, especially in data protection. This study aims to translate these legal demands into technical requirements that allow identifying a specific technology as "qualified" for use by Public Administrations, seeking a legal-technical integration that facilitates democratic, simple, and efficient digital governance. To achieve this, it addresses the entire legal framework, which ultimately gives meaning to the mandates of the Statute of Autonomy of the Canary Islands regarding the Canarian Public Administration, although it is extrapolable to other administrations, even at the community level. The analysis results, on the one hand, in general requirements demanded by the mere functioning of the Administration (transparency, neutrality, interoperability, or security) and, on the other hand, in requirements exclusive to the field of data protection (prohibition of public treatments based on consent, or proactive obligations such as Impact Assessment or the designation of a DPO). It will be concluded that technologies linked to surveillance capitalism should be avoided, as they lead to the exposure of personal data to external actors for purposes unrelated to public service, violating the right to data protection (Art. 18.4 of the Spanish Constitution and GDPR). Numerous examples of typical deviations from this rule are detailed: use of external analytics (e.g., Google Analytics, Microsoft Clarity); reliance on public clouds; excessive use of proprietary software with technological dependency; or institutional communication focused on social networks that carry out other treatments; in addition to the widespread absence of these technologies in the Records of Processing Activities, despite being used, failing to meet the required transparency and proactive accountability (Art. 30 GDPR).