Administracions que decideixen mitjançant algoritmes: quina transparència exigeix el cas BOSCO
La progressiva automatització de l'actuació administrativa ha situat en primer pla la qüestió de com s'han d'explicar i controlar les decisions adoptades mitjançant algoritmes. La Sentència de la Sala Tercera del Tribunal Suprem 1119/2025, d'11 de setembre, coneguda com a cas BOSCO i destacada en la crònica oficial de la Sala Tercera 2025–2026, fixa una fita en aquesta matèria en reconèixer que, quan les Administracions utilitzen sistemes automatitzats per concedir drets o prestacions socials, el dret d'accés a la informació pública pot exigir, en determinades circumstàncies, conèixer fins i tot el codi font del programa. La decisió es fonamenta en l'article 105 b) de la Constitució, en la Llei 19/2013, de transparència, accés a la informació pública i bon govern, en la regulació de l'actuació administrativa automatitzada de la Llei 40/2015 i en el marc europeu de protecció de dades del Reglament (UE) 2016/679. La transparència algorítmica deixa de ser una qüestió tècnica per convertir-se en una exigència estructural de l'Estat de Dret digital.
1.Actuació administrativa automatitzada i responsabilitat de l'òrgan competent
La Llei 40/2015, d'1 d'octubre, de Règim Jurídic del Sector Públic, defineix en l'article 41 l'actuació administrativa automatitzada com qualsevol acte o actuació realitzada íntegrament a través de mitjans electrònics per una Administració Pública en el marc d'un procediment administratiu i en la qual no hagi intervingut de manera directa un empleat públic. L'apartat 2 exigeix que, en cas d'actuació administrativa automatitzada, s'estableixi prèviament l'òrgan o òrgans competents per a la definició de les especificacions, la programació, el manteniment, la supervisió i el control de qualitat i, si escau, l'auditoria del sistema d'informació i del seu codi font, així com l'òrgan que ha de ser considerat responsable als efectes d'impugnació. Aquesta previsió és clau: encara que la decisió es produeixi mitjançant un algoritme, la responsabilitat jurídica recau en un òrgan identificable, que ha de poder explicar i defensar la lògica del sistema.
L'article 42 de la mateixa llei regula els sistemes de signatura per a l'actuació administrativa automatitzada, i permet l'ús de segells electrònics d'Administració, òrgan, organisme públic o entitat de dret públic, basats en certificats reconeguts o qualificats, i de codis segurs de verificació vinculats a l'Administració o òrgan corresponent, que permeten comprovar la integritat del document mitjançant l'accés a la seu electrònica. L'article 40 estableix els sistemes d'identificació de les Administracions Públiques, inclosos l'ús de segells electrònics i la identificació de la informació publicada com a pròpia en el portal d'internet. Tot plegat configura un marc en què la decisió automatitzada ha de ser atribuïble, verificable i auditable.
2.Transparència i dret d'accés a la informació pública
El dret d'accés a la informació pública es reconeix en l'article 105 b) de la Constitució, que ordena que la llei reguli l'accés dels ciutadans als arxius i registres administratius, llevat del que afecti la seguretat i defensa de l'Estat, l'esbrinament dels delictes i la intimitat de les persones. La Llei 19/2013, de 9 de desembre, de transparència, accés a la informació pública i bon govern, desplega aquest dret. L'article 5 estableix els principis generals de publicitat activa, i imposa als subjectes inclosos en el seu àmbit l'obligació de publicar de manera periòdica i actualitzada la informació rellevant per garantir la transparència de la seva activitat, amb una referència especial a la informació econòmica, pressupostària i estadística de l'article 8, que inclou contractes, convenis, subvencions, pressupostos i comptes anuals.
El dret d'accés s'articula en els articles 17 a 22. L'article 18 recull les causes d'inadmissió, entre elles les sol·licituds referides a informació en curs d'elaboració, a informació auxiliar o de suport, a informació que requereixi una reelaboració prèvia, dirigides a un òrgan incompetent o manifestament repetitives o abusives. L'article 20 regula la resolució, i exigeix que es dicti i es notifiqui en el termini màxim d'un mes, ampliable un mes més per volum o complexitat, i que les resolucions denegatòries, d'accés parcial o mitjançant una modalitat diferent de la sol·licitada siguin motivades, amb indicació dels recursos procedents. L'article 14 estableix els límits al dret d'accés, inclosos la seguretat nacional, la defensa, les relacions exteriors, la seguretat pública, la prevenció i investigació d'il·lícits, la igualtat de les parts en processos judicials, les funcions de vigilància i inspecció, els interessos econòmics i comercials, la política econòmica i monetària, el secret professional i la propietat intel·lectual i industrial, la confidencialitat en processos de presa de decisió i la protecció del medi ambient. L'apartat 2 exigeix que l'aplicació dels límits sigui justificada i proporcionada, atenent les circumstàncies del cas i la concurrència d'un interès públic o privat superior que justifiqui l'accés. L'article 16 preveu l'accés parcial quan l'aplicació d'un límit no afecti tota la informació, i permet ometre'n la part afectada, sempre que no se'n distorsioni el sentit.
L'article 15 regula específicament la protecció de dades personals, i distingeix entre dades especialment protegides, que requereixen consentiment exprés o cobertura legal, i dades merament identificatives relacionades amb l'organització, el funcionament o l'activitat pública de l'òrgan, respecte de les quals, amb caràcter general, es concedeix l'accés llevat que prevalgui la protecció de dades o altres drets constitucionals. L'apartat 3 exigeix una ponderació raonada entre l'interès públic en la divulgació i els drets dels afectats, prenent en consideració criteris com ara el menor perjudici derivat del transcurs del temps, la condició d'investigadors dels sol·licitants, el caràcter merament identificatiu de les dades o l'afectació a la intimitat o a la seguretat, especialment de menors.
3.El cas BOSCO: accés al codi font i transparència algorítmica
En el cas BOSCO, la Fundación Ciudadana Civio va sol·licitar al Ministeri per a la Transició Ecològica informació sobre l'aplicació informàtica utilitzada per verificar si els sol·licitants del bo social elèctric complien els requisits per ser considerats consumidors vulnerables. Entre la informació sol·licitada hi havia el codi font del programa. El Consell de Transparència i Bon Govern va estimar parcialment la reclamació, i va ordenar el lliurament d'especificacions tècniques i de resultats de proves, però va denegar l'accés al codi font emparant-se en el límit de propietat intel·lectual de l'article 14.1 j) de la Llei 19/2013. El Jutjat Central Contenciós‑Administratiu i l'Audiència Nacional van confirmar la denegació, i hi van afegir arguments de seguretat pública i de protecció de dades.
La Sentència 1119/2025 del Tribunal Suprem cassa aquestes decisions i reconeix el dret de Civio a accedir al codi font. La Sala subratlla que el dret d'accés a la informació pública, en el context de decisions administratives automatitzades que afecten drets socials, adquireix una rellevància especial. La utilització d'algoritmes per concedir prestacions com el bo social elèctric exigeix una transparència reforçada, que permeti verificar que el sistema aplica correctament la normativa i que no introdueix biaixos o errors que afectin els drets dels ciutadans.
El Tribunal analitza els límits invocats. En relació amb la propietat intel·lectual, recorda que els programes d'ordinador estan protegits pel Text Refós de la Llei de Propietat Intel·lectual, l'article 96 del qual defineix l'objecte de protecció i exigeix originalitat, però insisteix que l'aplicació del límit de l'article 14.1 j) de la Llei 19/2013 no és automàtica: requereix una ponderació d'acord amb l'article 14.2. En el cas BOSCO, l'interès públic a verificar la correcta aplicació de la llei per al reconeixement d'un dret social preval sobre l'interès patrimonial de l'Administració a protegir el codi, sobretot quan la finalitat del programa no és comercial, sinó la gestió d'una prestació pública.
En relació amb la seguretat pública, la Sala rebutja que els riscos de vulnerabilitats del codi justifiquin una denegació absoluta. Argumenta que el risc que la revelació del codi faciliti atacs és inherent a qualsevol sistema, i que acceptar-lo amb caràcter general buidaria de contingut el dret d'accés als algoritmes. A més, assenyala que la transparència pot millorar la seguretat en permetre un escrutini més ampli que identifiqui i corregeixi errors. L'opacitat del programa, que emet decisions sense motivació comprensible, dificulta el control i la detecció d'errors, cosa que justifica la prevalença de l'interès públic en l'accés.
Quant a la protecció de dades, el Tribunal aclareix que el codi font, en si mateix, no conté dades personals dels sol·licitants, per la qual cosa el límit de l'article 15 no resulta aplicable. La informació sobre la lògica de l'algoritme i la seva implementació no afecta directament la intimitat de les persones, encara que sí que pot requerir cauteles per evitar que, a través del codi, s'infereixin dades sensibles.
4.Què poden sol·licitar ciutadans i entitats: més enllà del codi font
El cas BOSCO no es limita a l'accés al codi font; obre la porta a un concepte més ampli de transparència algorítmica. Els ciutadans i les entitats poden sol·licitar, a l'empara de la Llei 19/2013 i de l'article 105 b) CE, informació sobre els sistemes automatitzats utilitzats per les Administracions, incloses les especificacions funcionals, els criteris de decisió, les variables utilitzades, les ponderacions, les proves de funcionament, les auditories i les avaluacions d'impacte. La doctrina i la mateixa sentència subratllen que la transparència no s'esgota en el codi: també és rellevant conèixer qui ha dissenyat el sistema, quin òrgan és responsable de la seva supervisió, quins controls de qualitat s'hi han aplicat i com s'integra l'algoritme en el procediment administratiu.
La Llei 40/2015, en l'article 41, exigeix identificar l'òrgan responsable de la definició, la programació, el manteniment, la supervisió i l'auditoria del sistema i del seu codi font. Aquesta identificació és informació pública susceptible d'accés. La Llei 39/2015, en l'article 88, regula el contingut de les resolucions administratives, i exigeix que decideixin totes les qüestions plantejades i que siguin motivades en els casos previstos en l'article 35, amb expressió dels recursos procedents. La motivació d'una decisió automatitzada ha d'incloure, com a mínim, una explicació comprensible de la lògica aplicada, en línia amb l'article 22 del Reglament (UE) 2016/679, que reconeix el dret de l'interessat a no ser objecte d'una decisió basada únicament en el tractament automatitzat que produeixi efectes jurídics o que l'afecti significativament, llevat d'excepcions, i exigeix que, en aquests casos, s'adoptin mesures per salvaguardar els seus drets, inclosos el dret a obtenir intervenció humana, a expressar el seu punt de vista i a impugnar la decisió.
5.Com s'han de motivar les negatives d'accés
Les negatives d'accés a informació sobre algoritmes s'han de motivar d'acord amb l'article 20 de la Llei 19/2013, amb indicació del límit aplicat, de la ponderació realitzada i, si escau, de la possibilitat d'accés parcial. L'article 20.2 exigeix que siguin motivades les resolucions que deneguin l'accés, les que concedeixin accés parcial o mitjançant una modalitat diferent de la sol·licitada i les que permetin l'accés malgrat l'oposició de tercers. L'article 14.2 obliga a justificar i proporcionar l'aplicació dels límits, atenent les circumstàncies del cas i la concurrència d'un interès públic o privat superior.
En el context dels algoritmes, una negativa basada en la propietat intel·lectual ha d'explicar per què la protecció del codi preval sobre l'interès en la transparència, quins perjudicis concrets es derivarien de la divulgació i si és possible oferir informació alternativa que permeti comprendre la lògica del sistema sense revelar detalls que comprometin la protecció. Una negativa basada en la seguretat pública ha d'identificar riscos específics, no merament genèrics, i justificar per què la divulgació del codi o de determinades especificacions incrementaria de manera rellevant la vulnerabilitat del sistema, sense que es puguin mitigar mitjançant mesures tècniques o d'accés restringit.
L'article 16 de la Llei 19/2013 ofereix l'eina de l'accés parcial: quan l'aplicació d'un límit no afecti tota la informació, es pot concedir l'accés a la part no afectada, i ometre la informació protegida, sempre que no se'n distorsioni el sentit. En el cas dels algoritmes, això pot traduir-se a facilitar documentació funcional, criteris de decisió, proves i auditories, encara que es reservi part del codi o de la configuració per raons de seguretat o de propietat intel·lectual, sempre que la reserva estigui justificada i no buidi de contingut el dret d'accés.
6.Garanties d'una decisió administrativa basada en algoritmes
Una decisió administrativa basada en algoritmes necessita garanties específiques per ser compatible amb els principis de legalitat, interdicció de l'arbitrarietat i tutela judicial efectiva de l'article 106 de la Constitució, que atribueix als tribunals el control de la potestat reglamentària i de la legalitat de l'actuació administrativa, així com el sotmetiment d'aquesta als fins que la justifiquen. La Llei 40/2015, en l'article 3, recorda que les Administracions serveixen amb objectivitat els interessos generals i actuen d'acord amb els principis d'eficàcia, transparència, bona fe, confiança legítima i responsabilitat per la gestió pública. L'automatització no eximeix del compliment d'aquests principis.
En termes concrets, una decisió algorítmica s'ha de fonamentar en una base jurídica clara, que determini els fins i els mitjans del tractament de dades, d'acord amb l'article 6 del Reglament (UE) 2016/679, i ha de respectar els drets dels interessats, inclosos el dret d'accés a les seves dades i a la informació sobre el tractament, regulat en els articles 13, 14 i 15 del Reglament. L'article 22 del Reglament exigeix que, quan s'adoptin decisions basades únicament en el tractament automatitzat, es reconegui a l'interessat el dret a obtenir intervenció humana, a expressar el seu punt de vista i a impugnar la decisió, i prohibeix que aquestes decisions es basin en categories especials de dades llevat d'excepcions.
Des de la perspectiva del procediment administratiu, la decisió ha de ser motivada de manera comprensible, i ha de permetre a l'interessat entendre per què se li concedeix o se li denega un dret o una prestació. La motivació es pot fonamentar en informes o dictàmens tècnics que, d'acord amb l'article 88.6 de la Llei 39/2015, serveixen de motivació quan s'incorporen al text de la resolució. En el cas dels algoritmes, aquests informes poden descriure la lògica del sistema, les variables utilitzades i les proves realitzades.
A més, hi ha d'haver la possibilitat d'impugnar la decisió davant la jurisdicció contenciosa‑administrativa, que, d'acord amb l'article 106 CE, controla la legalitat de l'actuació administrativa. La transparència algorítmica és condició de possibilitat d'aquest control: sense accés a la lògica del sistema, el jutge no pot verificar si la decisió s'ajusta a la llei i als fins que la justifiquen.
7.Conclusió: del codi font al constitucionalisme digital
El cas BOSCO marca un punt d'inflexió en la construcció d'un constitucionalisme digital en què la transparència algorítmica s'integra en el nucli de les garanties de l'Estat de Dret. La Sentència 1119/2025 reconeix que, quan les Administracions utilitzen sistemes automatitzats per concedir drets o prestacions socials, el dret d'accés a la informació pública pot exigir conèixer fins i tot el codi font, ponderant de manera concreta la propietat intel·lectual i la seguretat. Els ciutadans i les entitats poden sol·licitar informació sobre la lògica dels algoritmes, les especificacions tècniques, les proves i auditories, i els òrgans responsables del seu disseny i supervisió. Les negatives d'accés s'han de motivar amb rigor, aplicant els límits de la Llei 19/2013 de manera justificada i proporcionada, i oferint accés parcial quan sigui possible.
Les decisions administratives basades en algoritmes necessiten garanties addicionals: identificació de l'òrgan responsable d'acord amb la Llei 40/2015, motivació comprensible d'acord amb la Llei 39/2015, respecte dels drets dels interessats d'acord amb el Reglament (UE) 2016/679 i possibilitat de control judicial d'acord amb l'article 106 CE. La transparència algorítmica no és un luxe tècnic, sinó una exigència jurídica que permet que l'automatització s'insereixi en el marc de legalitat, responsabilitat i tutela judicial efectiva. En un context en què l'Administració automatitzada s'estén a àmbits sensibles com les prestacions socials, les sancions o les autoritzacions, el cas BOSCO ofereix una guia clara sobre quina transparència exigeix el Dret i com s'ha d'articular perquè els algoritmes serveixin els ciutadans i no a l'inrevés.
