Sentencia T-067 de 2025

T-067-25 TEMAS-SUBTEMAS Sentencia T-067/25 DERECHO DE ACCESO A LA INFORMACIÓN PÚBLICA-Transparencia mediante suministro de código fuente de aplicación informática (...) al no encontrarse acreditada la carga probatoria (artículo 28 de la Ley 1712 de 2014) respecto de la configuración del daño que justificaría las excepciones al acceso a la información pública solicitada por el actor, las autoridades accionadas violaron el derecho de acceso a la información pública. Adicionalmente, se afectó el ejercicio de otros derechos. En el caso específico, la falta de transparencia y acceso al código fuente de la aplicación CoronApp privó tanto al ciudadano accionante como a la sociedad en general de la posibilidad de ejercer un control adecuado y oportuno sobre esa herramienta. Esta deficiencia no solo disminuyó la extensión, obligatoriedad y funcionalidad del derecho fundamental al acceso a la información pública, sino que también impidió que los ciudadanos pudieran verificar la precisión, seguridad y uso correcto de sus datos personales, limitando así su capacidad para proteger sus derechos a la privacidad, a la protección de datos y a la participación informada en los procesos de toma de decisiones públicas. DERECHO DE ACCESO A LA INFORMACIÓN PÚBLICA-Contenido y alcance DERECHO DE ACCESO A LA INFORMACIÓN PÚBLICA-Instrumentos internacionales DERECHO DE ACCESO A LA INFORMACIÓN PÚBLICA-Jurisprudencia constitucional DERECHO DE ACCESO A LA INFORMACIÓN PÚBLICA-Reglas jurisprudenciales DERECHO DE ACCESO A LA INFORMACIÓN PÚBLICA-Regulación normativa DERECHO DE ACCESO A LA INFORMACIÓN-Test de daño al interés público/RESTRICCION DE ACCESO A LA INFORMACION-Motivación El artículo 28 desarrolla lo que se conoce como el test del daño, que busca equilibrar el derecho de acceso a la información pública y la protección de ciertos intereses que se pueden ver afectados por la publicación de determinada información. Para ello, la norma establece que el sujeto obligado que niegue el acceso a determinada información pública alegando un daño a un interés particular o público debe demostrar que: a) la información está relacionada con un objetivo constitucional y legalmente legítimo; b) se trata de una de las excepciones expresamente establecidas en los artículos 18 y 19 de la Ley 1712 de 2014; c) la información causaría un daño presente, probable y específico sobre un bien o interés constitucional; d) dicho daño excede el interés público que representa el acceso a la información. DERECHO AL HABEAS DATA-Alcance y contenido DATOS PERSONALES-Características DATOS SENSIBLES-Contenido TRATAMIENTO DE DATOS PERSONALES-Contenido y alcance DERECHO A LA INTIMIDAD-Alcance y contenido SISTEMAS DE TOMA DE DECISIONES AUTOMATIZADAS (SDA)-Concepto y aspectos básicos acerca de su funcionamiento DERECHO A LA INTIMIDAD EN SISTEMAS DE INTELIGENCIA ARTIFICIAL (IA)-Alcance de la privacidad en el manejo de información TRANSPARENCIA ALGORÍTMICA-Garantía fundamental (...) la transparencia en el uso de esta herramienta es una garantía fundamental para asegurar un empleo adecuado y razonable de los datos personales y evitar que el uso de sistemas algorítmicos para la toma de decisiones por parte de entidades públicas derive en decisiones arbitrarias o discriminatorias. TRANSPARENCIA ALGORÍTMICA-Finalidad Lo que se busca con la transparencia algorítmica es... que el público en general pueda comprender cómo los sistemas de toma de decisiones automatizadas (SDA) procesan los datos que capturan y cómo toman decisiones que afectan la vida de las personas. Se trata de un principio con un fin constitucional: democratizar el funcionamiento interno de un sistema de toma de decisión automatizado, para que sea entendible por quienes se ven afectados por su puesta en marcha y operación. TRANSPARENCIA ALGORÍTMICA-Importancia La transparencia algorítmica es particularmente relevante en el uso de SDA por parte de entidades públicas. Lo anterior, debido a que las decisiones que toma el Estado a través de estos sistemas tienen efectos importantes en materia de derechos. DERECHO DE ACCESO A LA INFORMACIÓN PÚBLICA-Protección constitucional en el contexto de la pandemia COVID-19 DERECHO AL HABEAS DATA-Protección de su núcleo esencial en el contexto de la pandemia COVID-19 TRANSPARENCIA ALGORÍTMICA-Concepto Se trata de una garantía fundamental en una sociedad democrática, pues si un sistema de toma de decisiones automatizadas (SDA) opera y toma decisiones de manera opaca, es imposible que la sociedad evalúe su capacidad de actuar con justicia y equidad, o su impacto en la autonomía y la dignidad de las personas. Como su propia definición lo revela, la transparencia algorítmica es un concepto que se deriva de un elemento que hace parte sustancial e inescindible de la naturaleza del derecho fundamental al acceso a la información pública: la disponibilidad de información. SISTEMAS DE TOMA DE DECISIONES AUTOMATIZADAS (SDA)-Riesgos de la transparencia del código fuente (...) aunque la publicación del código fuente es uno de los mecanismos a través de los cuales se puede garantizar la transparencia algorítmica, es claro que presenta complejidades. Habrá situaciones en que una explicación significativa sobre el funcionamiento del sistema sea más apropiada que la publicidad total del código fuente, ya que esta puede crear riesgos desproporcionados para la seguridad nacional, o desconocer secretos empresariales. No obstante, es fundamental tener en cuenta que cuando se trata de SDA a cargo de entidades públicas, la transparencia algorítmica activa y pasiva debe guiarse bajo un principio de divulgación máxima. Según este principio, es fundamental que la información revelada al público para vigilar la acción digital del Estado permita examinar el desempeño de la aplicación informática o herramienta tecnológica utilizada. Por ello, en cada caso, habrá que analizar cuál es la medida que maximiza el acceso a la información, sin afectar de manera desproporcionada otros derechos e intereses. JUEZ CONSTITUCIONAL-Deber de garantizar el respeto a los derechos fundamentales REPÚBLICA DE COLOMBIA CORTE CONSTITUCIONAL Sala Novena de Revisión SENTENCIA T-067 DE 2025 Ref.: Expediente No. T-8.202.533 Acción de tutela formulada por el ciudadano Juan Carlos Upegui Mejía contra de la Agencia Nacional Digital -AND, el Instituto Nacional de Salud -INS-[1] y el Ministerio de Salud y Protección Social[2]. Magistrada Ponente: Natalia Ángel Cabo Bogotá, D.C., 26 de febrero de 2025. La Sala Novena de Revisión de la Corte Constitucional, integrada por la magistrada Natalia Ángel Cabo, quien la preside, la magistrada Diana Fajardo Rivera y el magistrado Jorge Enrique Ibáñez Najar[3], en ejercicio de sus competencias constitucionales, legales y reglamentarias, profiere la siguiente: SENTENCIA. Esta decisión se emite en el proceso de revisión de los fallos de tutela dictados, en primera instancia, por el Juzgado 64 Administrativo de Oralidad del Distrito Judicial de Bogotá, el 18 de enero de 2021 y, en segunda instancia, por el Tribunal Administrativo de Cundinamarca, Sección Segunda, Subsección “A”, el 25 de febrero de 2021, dentro de la acción de tutela promovida por el ciudadano Juan Carlos Upegui Mejía en contra de la Agencia Nacional Digital. Síntesis de la decisión La Sala Novena de Revisión estudió la acción de tutela instaurada por el ciudadano Juan Carlos Upegui Mejía en contra de la Agencia Nacional Digital, el Instituto Nacional de Salud y el Ministerio de Salud y Protección Social por la vulneración de su derecho fundamental al acceso a la información pública. Esto debido a que las entidades accionadas negaron su solicitud de publicar el código fuente de la aplicación CoronApp. Las autoridades accionadas afirmaron que la información que solicitó el actor estaba amparada bajo reserva de confidencialidad, debido a que: (i) comprometía la intimidad de los datos personales que recopila la aplicación por la exposición a posibles riesgos frente a terceros malintencionados que podrían acceder a la información (artículo 18, Ley 1712 de 2014, excepción por daño a intereses de particulares); y (ii) esta era necesaria para salvaguardar la seguridad de las medidas de salud pública que se adoptaron para atender la pandemia por el Covid19 (artículo 19, Ley 1712 de 2014, excepción por daño a intereses de particulares). Adicionalmente, (iii) las autoridades accionadas alegaron que se podrían ver comprometidos sus derechos de autor, al ser quienes desarrollaron la aplicación. Al conocer la acción de tutela, los jueces de primera y segunda instancia negaron el amparo solicitado por el actor. En esencia, adujeron que si se accediera a la petición del demandante, se pondría en riesgo información sensible de los ciudadanos que tienen registrados sus datos personales en la aplicación. Además, consideraron que se trataba de aspectos meramente técnicos y especializados, razón por la que era preciso actuar con la mayor cautela posible. Al examinar las decisiones, tanto de las autoridades accionadas como de los jueces de tutela que conocieron del proceso, la Corte concluyó que se había vulnerado el derecho fundamental al acceso a la información pública del actor. Por un lado, la Sala constató que las autoridades administrativas accionadas no cumplieron con la carga de identificar el fundamento legal de la reserva de la información invocada. Tampoco cumplieron con la carga argumentativa y probatoria que acredite que revelar información genera un daño presente, real, probable y específico que excede el beneficio que representa publicar la información (artículo 28, Ley 1712 de 2014). En este punto del examen, la Sala evidenció que la justificación presentada por las entidades demandadas no era suficiente para negar la publicación del código fuente de la aplicación CoronApp. En concreto, la Corte constató que era posible tomar medidas de seguridad sobre las bases de datos en las que reposaba la información de los usuarios (p. e. separar la información, generar credenciales de acceso, contraseñas de seguridad, medios de autenticación, etc.), de tal forma que la publicación del código no comprometiera la información y los datos de las personas. Además, la Sala reiteró que, en todo caso, las entidades accionadas debían actuar con debida diligencia y cumplir con las obligaciones de custodia de la información. Por otro lado, la Corte recordó que los jueces constitucionales son garantes del derecho fundamental al acceso a la información pública en virtud de los mandatos constitucionales y estatutarios en la materia (artículo 27, Ley 1712 de 2014). Específicamente, señaló que los jueces tienen la obligación de pronunciarse sobre los requisitos que debe cumplir una decisión que invoca la reserva sobre información pública para establecer si se acreditan las exigencias previstas por la jurisprudencia constitucional y las normas estatutarias (test de admisibilidad de la reserva). Así, la Sala llamó la atención de los jueces de instancia porque aceptaron, sin la debida ponderación, que frente a aspectos técnicos o especializados y en circunstancias de duda o vacío legal, proceda la negación del derecho al acceso a la información, en contravía del principio de maximización de la publicidad y de la buena fe. Finalmente, en esta providencia la Sala adoptó algunas medidas dirigidas a que se materialice el principio de transparencia algorítmica como parte del derecho de acceso a la información pública. Estas medidas están encaminadas a que el Estado desarrolle estrategias para incrementar la disponibilidad de la información sobre los sistemas de algoritmo en los que se sustentan las herramientas tecnológicas para la actuación estatal, como aplicaciones o sistemas de decisión automatizada. Lo anterior, en aras de que la sociedad pueda tener suficientes elementos para valorar su uso y rendimiento. I. ANTECEDENTES 1. Hechos 1. El 6 de agosto de 2020, el ciudadano Juan Carlos Upegui Mejía presentó una petición ante la Agencia Nacional Digital (AND), con el fin de obtener una información que considera de carácter público respecto a la aplicación electrónica CoronaApp.[4] Dentro de la información requerida, el actor solicitó lo siguiente: (i) Copia del código fuente de la aplicación CoronApp en su versión actual, con el registro de cambios en el sistema de control de versiones -VCS- que utilicen (GIT, SVN o análogos); (ii) Subsidiariamente, en caso de que no se utilice sistema de control de versiones, copia del código fuente de la aplicación en su primera versión con el nombre de CoronApp y de todas las versiones posteriores hasta la actual (…).[5] 2. El 14 de octubre de 2020, la AND negó la solicitud de información. La entidad señaló que el acceso a la copia del código fuente de la aplicación CoronApp, así como a sus modificaciones y actualizaciones, podría comprometer la privacidad de la información personal de los usuarios de la aplicación. Por tanto, consideró que se trataba de información con carácter reservado. Adicionalmente, indicó que la aplicación CoronApp era un programa en desarrollo y constantemente recibía actualizaciones y modificaciones. Según la AND, por esta razón, la aplicación no podía ser considerada como un producto terminado y, por ende, la información solicitada no podía ser publicada. 3. El 19 de octubre de 2020, el actor presentó un recurso de reposición en contra de la decisión de la AND que negó el acceso a la información solicitada[6]. El actor sostuvo que se debían seguir los lineamientos de la Ley 1712 de 2014[7], en particular los principios de máxima publicidad y transparencia respecto al derecho al acceso a la información pública. También señaló que la AND no indicó las disposiciones constitucionales y legales que sustentan la supuesta reserva y tampoco cumplió con la carga argumentativa para justificar por qué la información solicitada es de acceso restringido. Por último, el demandante indicó que en su petición no solicitó los datos personales de los usuarios y que, incluso si así hubiera sido, la entidad podría haber brindado una información parcial excluyéndolos. 4. El 6 de noviembre de 2020, la AND confirmó la decisión de negar el acceso a información solicitada. La agencia reiteró que si accediera a la petición se pondrían en riesgo la información sensible de los usuarios de la aplicación. Asimismo, justificó la negativa de compartir el código fuente de la aplicación CoronApp, en la necesidad de proteger los derechos de autor sobre el software, de los cuales es titular el Instituto Nacional de Salud. 5. Por estos hechos, el 11 de diciembre de 2020, el señor Upegui Mejía presentó una acción de tutela para obtener la protección de su derecho fundamental al acceso a la información pública. En su solicitud de amparo, el actor insistió en que la negativa de la AND de entregar la información solicitada no cumplió con la carga argumentativa que se exige para justificar dicha decisión. Para explicar la forma en que la entidad accionada vulneró sus derechos, planteó en su escrito de tutela los argumentos que se describen a continuación. 6. Primero, hizo algunas precisiones sobre la aplicación CoronApp y la definición técnica del código fuente. Así, comenzó por explicar que dicha aplicación fue desarrollada por el Gobierno Nacional como un instrumento de política epidemiológica para el control de la pandemia Covid19. Con ese fin, mediante la aplicación se registraron datos sensibles de millones de colombianos. Por ello, dice el demandante, además de ser funcional y segura en términos operativos, es necesario que el registro y archivo de esos datos esté acorde con la normatividad y la garantía de la protección de datos personales. 7. Segundo, el demandante explicó que por “código fuente” se entiende “el conjunto de instrucciones que se escriben en un lenguaje de programación para que los dispositivos o computadores puedan ejecutar un programa o presentar al usuario una página web”[8].De manera que el código de fuente no incluye información personal de los usuarios y, por ende, no puede constituir información de carácter reservado. 8. Tercero, el actor presentó varias razones por las cuales considera que tanto la aplicación CoronApp como su código fuente deben considerarse información pública. Para empezar, señaló que dicho código es público cuando se trata de una herramienta que materializa una política pública. En ese sentido, el actor sostuvo que la información solicitada se enmarca dentro de la información mínima obligatoria que deben publicar las entidades del Estado, según el literal a) del artículo 11 de la Ley 1712 de 2014. Dicha norma señala que los sujetos obligados deben publicar de manera proactiva, entre otras cosas, los “detalles pertinentes sobre todo servicio que brinde directamente al público, incluyendo normas, formularios y protocolos de atención”[9]. 9. Cuarto, el accionante indicó que el código fuente puede ser entendido como análogo a un protocolo de atención de la administración pública, esto es, un conjunto de pasos para ejecutar una función. La diferencia radica en que el código fuente está escrito en lenguaje de programación, razón por la que es un protocolo digital unívoco que no está sometido a interpretación, pues es leído por las máquinas en un solo sentido. Incluso, el accionante advirtió que la propia AND reconoció el carácter de información pública del código fuente al señalar que sería revelado cuando no se realicen más modificaciones. De manera que, la entidad, en su opinión, simplemente opone la existencia de un término de reserva que es inexistente. 10. Sobre este punto, el actor alegó que negar la publicación inmediata del código fuente es inadmisible por dos motivos. Por un lado, porque la aplicación ya estaba en funcionamiento desde hacía varios meses, razón por la que no se trata de información en preparación, sino en uso (activa y desplegada). Por el otro, porque la idea de una “versión final” que opone la AND constituye un plazo indeterminado y arbitrario, y no una excepción clara, delimitada y precisa sustentada en una norma con fuerza de ley, como lo exigen los lineamientos normativos del derecho de acceso a la información pública. 11. Quinto, el actor señaló que el acceso al código fuente cumple los objetivos que persigue el principio de transparencia de la información. Esto, debido a que ese acceso permitiría que la ciudadanía tenga mayor control y conocimiento sobre la forma en que se toman las decisiones, se administran los datos personales y las medidas de seguridad que tiene la aplicación para garantizar el respeto por la intimidad en el manejo de esos datos, de acuerdo con lo previsto en los principios generales de la Ley estatutaria de habeas data (Ley 1581 de 2012). 12. Finalmente, el demandante precisó que el derecho fundamental al acceso a la información pública ha sido reconocido por la jurisprudencia de la Corte Constitucional, en las sentencias C-491 de 2007 y C-274 de 2013, y por la legislación en la materia, particularmente por la Ley 1712 de 2014. Sobre esta última norma, el actor hizo referencia a los artículos 4 (concepto del derecho), 24 (titular del derecho), 2 (principios de máxima publicidad), 3 (principio de transparencia), 28 (carga de la prueba para las autoridades públicas cuando alegan la existencia de las reservas previstas en los artículos 18 y 19), y 21 (posibilidad de divulgación parcial de la información). 13. Por todo lo anterior, el actor solicitó al juez constitucional ordenar a la AND que le suministre la información requerida, en específico, el código fuente de la aplicación CoronApp, así como el registro de versiones o cambios que ha tenido desde su creación. Para el demandante, la entidad no podía oponer el carácter reservado de la información sin cumplir la carga argumentativa y probatoria para negar el acceso a una información pública. 2. Trámite procesal de la acción de tutela en sede de instancias y contestación de las entidades accionadas 14. Mediante el auto del 14 de diciembre de 2020[10], el Juzgado 64 Administrativo de Oralidad del Distrito Judicial de Bogotá admitió la demanda y ordenó notificar al director de AND para que ejerciera su derecho de defensa. Adicionalmente, a través del auto del 12 de enero de 2021, dicho juzgado vinculó al trámite al Instituto Nacional de Salud (INS). 2.1. Agencia Nacional Digital –AND– 15. El 16 de diciembre de 2020[11], la AND manifestó que le informó al accionante que la aplicación CoronApp cuenta con una versión iOS y una versión Android. Respecto de la versión iOS, la entidad señaló que la desarrolló integralmente sin implementar la licencia GNU-GPL 3.0[12], en virtud del memorando de entendimiento suscrito con el Instituto Nacional de Salud (INS). Indicó, además, que los derechos de autor sobre el software están en cabeza de esta última entidad y, por ello, optó por no publicar el código fuente. 16. En relación con la versión Android, advirtió que esta es producto de una modificación al software original que se realizó bajo la licencia internacional GNU y el código fuente fue entregado por el INS a la AND. La entidad agregó que, para el momento de la contestación, del código original quedaba menos del 6%, debido a las modificaciones y ajustes que se adelantaron durante la pandemia para responder a las necesidades que se presentaron. 17. Por otro lado, la agencia resaltó que el código en cuestión se mantenía en constante actualización para cumplir con las necesidades cambiantes y proteger la información recolectada de los usuarios. Además, la AND destacó que, en consideración a la sensibilidad de los datos personales que maneja la aplicación, tomó las medidas que consideró necesarias para garantizar el cumplimiento de los principios señalados en las leyes 1712 de 2014 (artículo 24, numeral 3) y 1581 de 2012[13], sobre tratamiento de datos personales. 18. En ese sentido, la entidad indicó que las modificaciones que se hacen a la aplicación implican que, a la fecha, no exista una versión completamente segura que mitigue todas las amenazas a la información personal de los usuarios. Por este motivo, la AND insistió en que la publicación del código fuente “permitiría la explotación de las vulnerabilidades que aún existen” y habilitaría a personas sin autorización para acceder a la información personal registrada por los ciudadanos o entorpecer la prestación del servicio para el que fue diseñada la aplicación. 19. Por ello, la AND afirmó que, independientemente de que se hayan respetado todos los protocolos de protección de datos personales, actualmente la versión del código fuente tiene vulnerabilidades que ponen en peligro la información personal recolectada y se incrementa el riesgo de que esa información se use de forma maliciosa. Por lo anterior, la entidad accionada consideró impertinente la solicitud de publicación del código fuente y manifestó que evaluaría la posibilidad de publicarlo únicamente cuando se encuentre terminado y no implique un riesgo para los usuarios. Adicionalmente, la agencia explicó que trabajaba en mejoras a la seguridad de la aplicación con el objetivo de materializar su deber de custodia y protección de los datos personales de los usuarios registrados. 20. En su escrito, la AND también precisó que si bien los desarrollos de la aplicación corresponden a bienes de naturaleza pública esto no equivale a decir que ostentan el carácter de bienes de uso público. En consecuencia, según lo dicho por la AND, es deber de la entidad proteger los derechos de propiedad intelectual y de autor que surgen de su desarrollo, así como la privacidad y seguridad de los datos registrados por los usuarios de la aplicación. La agencia destacó que era imprudente e inoportuno publicar el código fuente de la aplicación, dado que a la fecha de la contestación se tenían 13’497.917 descargas y se contaba con 3’812.995 usuarios activos. De manera que constituiría un riesgo la posibilidad de una clonación (fishing) de la aplicación, que permitiera modificar funcionalidades para obtener los datos personales de los ciudadanos de forma inescrupulosa. 21. En suma, la AND consideró que, en atención al tipo de información recolectada a través de CoronApp, era necesario mantener el código fuente temporalmente en reserva, pues la aplicación administra información sensible y su publicación constituye un grave riesgo. Por lo tanto, decidió que negar su publicación, al ser una decisión que está debidamente sustentada y que no vulnera el derecho de acceso a la información pública del accionante. 2.2. Instituto Nacional de Salud –INS– 22. El 13 de enero de 2021[14], el INS contestó la solicitud de amparo constitucional. Señaló que, por su función misional, adelantaba el tratamiento de datos sensibles de los ciudadanos con estricto apego a los principios y reglas establecidos en la Ley 1581 de 2012 sobre tratamiento de datos personales. 23. El INS indicó que, a través de la Resolución 1607 de 2014, adoptó el reglamento de propiedad intelectual y la política para la protección de datos personales establecida en la ley antes mencionada. Adicionalmente, señaló que en la Resolución 457 de 2020 estableció los lineamientos y objetivos de la política de protección de datos personales de la entidad. 24. En cuanto a la solicitud de entrega del código fuente de la aplicación CoronApp, el INS manifestó que, tal como lo señaló la AND, la publicación de esta información puede suponer graves riesgos. En particular, puede hacerla susceptible a ataques, razón por la que consideró prudente que dicha publicación se efectuara únicamente en el momento en el que la aplicación se encontrara terminada. En relación con las amenazas, la entidad destacó el riesgo ante potenciales hackers quienes podrían realizar ingeniería inversa de la aplicación para descifrar el algoritmo, abusar del sistema y acceder a la información personal de los ciudadanos. 25. En línea con lo anterior, el INS precisó que cuando un código es de interés nacional, como en el caso de CoronApp, se deben tomar todas las medidas suficientes para evitar la afectación de la seguridad nacional y la vulneración de la confidencialidad de la información gubernamental. Por ello, el instituto explicó que CoronApp es la única aplicación del gobierno nacional que permite a los ciudadanos acceder a la información actualizada y veraz sobre la emergencia sanitaria por la pandemia de la Covid 19, de manera que esta información se puede ver comprometida al publicar su código fuente y, si esto sucede, afectar directamente la salud y la seguridad nacional. 26. Así las cosas, el INS concluyó que, de acuerdo con lo expuesto, era prudente y oportuno mantener el código temporalmente en reserva y reiteró que, una vez se lograra la versión definitiva, el código sería publicado. 3. Sentencia de tutela de primera instancia 27. Mediante el fallo del 18 de enero de 2021[15], el Juzgado 64 Administrativo de Oralidad del Distrito Judicial de Bogotá negó el amparo solicitado. El juzgado consideró que las respuestas de las entidades demandadas cumplían las exigencias legales en relación con un posible daño a los derechos de las personas, según lo dispuesto en el artículo 18 a) de la Ley 1712 de 2014. 28. Además, el juez de primera instancia señaló que, dada la sensibilidad de la información que se gestionaba a través de la aplicación CoronApp, la publicación del código de fuente podía generar un eventual daño al derecho a la intimidad de los ciudadanos. Por lo anterior, la decisión de no publicar el código fuente obedecía a un criterio de responsabilidad y cautela en la gestión pública. 29. En su sentencia, el juez administrativo indicó que la aplicación debía ser entendida como una herramienta de política pública con la que el Estado gestiona y toma decisiones de cara a la mitigación de la pandemia Covid 19. De igual modo, señaló que se trataba de un asunto relacionado directamente con decisiones en materia de salud pública, circunstancia que quedaba cobijada por lo dispuesto en el literal i) del artículo 19 de la Ley 1712 de 2014 para denegar la publicación de la información. 30. De la misma manera, el juez consideró que la AND había sido clara en advertir que, si bien implementó políticas de tratamiento de datos personales en cumplimiento de los mandatos legales vigentes, la publicación del código fuente de la aplicación podría acarrear, entre otras consecuencias, que los datos sensibles de los ciudadanos resulten expuestos a eventuales riesgos. 31. Finalmente, el juez de tutela agregó que, desde el punto de vista técnico, no era claro si la publicación del código fuente generaría eventuales riesgos para la información sensible de los ciudadanos que registran allí sus datos personales. De manera que, al tratarse de aspectos meramente técnicos y especializados, según lo expuesto por la entidad accionada, era preciso actuar con la mayor cautela posible. 32. Por lo anterior, el juzgador de primera instancia concluyó que la AND no vulneró los derechos del accionante, pues contestó de fondo sus solicitudes y decidió no publicar la información requerida, bajo el amparo de las excepciones legalmente establecidas para el efecto. 4. Impugnación 33. El accionante impugnó en tiempo el fallo de primera instancia[16], por considerar que el juez no analizó la totalidad el derecho de acceso a la información pública de forma integral. En particular, el demandante sostuvo que no se efectuó el test de daño procedente para, eventualmente, negar el acceso a la información. 34. Adicionalmente, el actor afirmó que en su petición no solicitó información personal, razón por la que no se compromete el derecho a la intimidad ni tampoco solicitó que se revelara información que pudiera afectar la salud pública. Por ello, el accionante reiteró que, según lo dispuesto en la Ley 1712 de 2014, toda restricción al derecho al acceso a la información pública es excepcional, pues debe estar contenida en una ley o en la Constitución, y debe responder al cumplimiento de finalidades legítimas y a la debida carga argumentativa. 35. En este sentido, en opinión del demandante, cualquier entidad pública, al oponer alguna excepción contenida en los artículos 18 y 19 de la precitada ley, debe indicar con claridad la norma que establece la reserva y cómo con esta se protege algún interés legítimo. En este caso en particular, las entidades demandadas debían aportar la prueba que justificara y demostrara la presencia de un daño probable, específico y significativo que excediera el interés público que subyace al acceso a la información pública. 36. El actor alegó que en ninguna de las respuestas a sus peticiones la AND probó que al revelar el código fuente de la aplicación CoronApp se generara algún riesgo inminente a la intimidad de terceros. Adicionalmente, la entidad accionada no se pronunció sobre la posibilidad de permitir el acceso a la información de forma parcial, esto es, la posibilidad de excluir aquella información que no fuera objeto de reserva. 37. Por esta razón, el accionante cuestionó el fallo de primera instancia y consideró que el juez no garantizó el derecho al acceso a la información pública, debido a que se limitó a avalar las contestaciones de la AND y del INS que mencionaban superficialmente una posible afectación a la salud pública y a la seguridad nacional. En este sentido, enfatizó en que la accionada no probó los posibles riesgos de seguridad por la publicación del código fuente de la aplicación, pues únicamente se limitó a enunciarlos. 38. El señor Upegui Mejía reiteró que al entregar el código fuente de la aplicación no se ponían en riesgo los datos personales de los usuarios, debido a que el código es anterior a la entrada en operación de la aplicación y los datos de los usuarios están ubicados en bases de datos que no se solicitaron. De manera que, si existen datos personales en el código, los mismos pueden ser editados. 39. En lo que respecta a los alegados riesgos asociados a la publicación del código fuente, el accionante señaló que son infundados, pues para duplicar la aplicación con fines ilegales, como capturar información personal con fines de lucro o de suplantación personal, no se requiere el código fuente, pues la clonación consiste en simular una aplicación para que parezca real. Así, indicó que, si bien las aplicaciones pueden tener vulnerabilidades debido a la publicación del código fuente, las mismas son conocidas por la AND y el INS, quienes estaban obligadas a corregirlas. 40. Finalmente, el actor argumentó que el código fuente de aplicaciones similares a CoronApp ya había sido publicado en otros países, sin necesidad de mayores requerimientos y por mandato del principio de transparencia en la actuación administrativa. Por lo anterior, insistió en que no existe razón para que Colombia no adopte la misma determinación. 41. En consecuencia, el señor Upegui Mejía solicitó que se revocara el fallo de primera instancia y se accediera a las pretensiones del amparo. 5. Sentencia de tutela de segunda instancia 42. Mediante fallo del 25 de febrero de 2021[17], el Tribunal Administrativo de Cundinamarca, Sección Segunda, Subsección A, confirmó la decisión de primera instancia. 43. El Tribunal consideró que la decisión de las entidades accionadas se sustentó en dos argumentos. Primero, la normatividad sobre protección de datos personales y el derecho de petición, en particular el numeral 3 del artículo 24 de la Ley 1437 de 2011 que señala que está sometida a reserva toda información “que involucre derecho a la privacidad e intimidad de las personas”[18]. Segundo, la existencia de derechos de autor que se verían irrespetados con la publicación del código fuente. 44. Con base en los anteriores argumentos, el Tribunal concluyó que la publicación del código fuente de la aplicación pondría en riesgo la seguridad de la información que al menos 13 millones de ciudadanos han depositado en ella, de los cuales 3 millones eran usuarios activos. Así, destacó que entre la AND y el INS existía un acuerdo de confidencialidad y transmisión de la información que obligaba a las entidades a guardar la información que administraban, particularmente, la información de terceros. En consecuencia, era razonable la negativa de esas entidades de publicar el código fuente, pues esto podría conllevar a fallos de seguridad que permitieran el acceso a datos de los ciudadanos. 45. Para explicar este último punto, el Tribunal citó un informe que solicitó al equipo técnico de sistemas de esa corporación judicial, en el que preguntó por posibles efectos y riesgos de la publicación del código fuente y de los cambios en sus versiones. Con base en este informe, concluyó que el código fuente no contiene datos personales de los usuarios de la aplicación, pero que sí existía un riesgo de seguridad para la aplicación y los datos, pues podía conllevar a que se encontraran fallos de seguridad desconocidos o no solucionados: “y con ello tal vez a acceder a la información personal objeto de reserva y protección.”[19] 46. Por otra parte, el juez de segunda instancia señaló que la información solicitada no corresponde a cualquier tipo de información, pues se trata también de “una obra inventiva y producción intelectual de las personas, que tanto naturales como jurídicas son sujetos activos de derechos de autor sobre sus obras.”[20] Lo anterior, debido a que las diferentes versiones de la aplicación (Android y iOs) eran desarrollos tecnológicos de software protegidos por la normatividad de derechos de autor. Por todo lo anterior, el Tribunal concluyó que “las respuestas ofrecidas por la accionada para negar el acceso al código fuente de la CoronApp son suficientes para no vulnerar el núcleo básico del derecho de petición ni del acceso a información pública.”[21] 6. Trámite en sede de revisión 47. El expediente de referencia fue escogido para revisión mediante auto del 29 de junio de 2021 por la Sala de Selección Número Seis[22], al considerar que se trata de un asunto novedoso y, por tanto, exige la necesidad de aclarar el contenido y alcance de un derecho fundamental (criterio objetivo). 48. El 5 de octubre de 2021[23], la Sala suspendió los términos del proceso para realizar una adecuada valoración del material probatorio allegado al proceso. Posteriormente, mediante un auto del 31 de enero de 2022[24], la Sala: (i) vinculó al Ministerio Nacional de Salud y de la Protección Social; (ii) ordenó a las entidades accionadas pronunciarse sobre aspectos de carácter técnico y científico pertinentes para resolver el objeto de debate; y (iii) requirió a la Defensoría del Pueblo y a algunas universidades para que emitieran concepto dentro del presente proceso. 49. El 23 de febrero de 2022, en cumplimiento de lo ordenado, la Dirección Jurídica del Ministerio de Salud y Protección Social presentó un escrito en el que se refirió al marco jurídico sobre la protección del código fuente de CoronApp, e indicó que es una obra sujeta a derechos de patrimoniales de autor.[25] 50. Por otra parte, y en relación con el uso que se le ha brindado a la aplicación desde octubre de 2021, la Dirección indicó que “el Ministerio [de salud] dio continuidad a las funcionalidades que soportaban la aplicación”, así: “(i) caracterizar a las personas contagiadas con el virus SARS CoV2 (Covid-10) y el reporte de síntomas y (ii) descargar códigos QR para observar el resultado de las pruebas de antígenos y PCR con vigencia de 3 días”.[26] Asimismo, la Dirección precisó que dichas funcionalidades estuvieron en el sistema operativo Android hasta noviembre de 2021 y en iOS (sic) hasta diciembre del mismo año, y que después de esas fechas “evolucionó a la aplicación MinsaludDigital”. 51. Asimismo, la Dirección aseguró que la aplicación de CoronApp ya había cumplido su funcionalidad y que, por ello, la titularidad de los derechos patrimoniales del autor fue cedida al Ministerio de Salud y Seguridad Social. En virtud de lo anterior, ese Ministerio decidió darle un nuevo alcance y uso a la aplicación, acorde con la evolución de la pandemia y la vacunación. La entidad indicó que para ello era necesario modificar constantemente el código fuente. 52. Así, el Ministerio indicó que esta evolución permitió unas funcionalidades distintas en la aplicación, cuya nueva versión se denomina “Minsalud Digital”, entre las que se encuentra la posibilidad de descargar el certificado de vacunación. En consecuencia, el Ministerio de Salud y Seguridad Social aclaró que la aplicación no es un producto terminado, ya que se han realizado actualizaciones para que se ajuste a los cambios de la pandemia. 53. El Ministerio también explicó que Minsalud Digital es una evolución de CoronApp. En ese sentido mencionó que algunos de los cambios que diferencian a Minsalud Digital de CoronApp son los siguientes: descargar el certificado de vacunación, descargar los resultados de pruebas de antígenos y PCR, acceder a la ruta de promoción y prevención en salud, acceder a información estadística del coronavirus, realizar trámites y PQRS ante el Ministerio de Salud, y la apropiación de la imagen institucional del Ministerio. 54. Finalmente, el Ministerio aseguró que no pretendía publicar el código de fuente de los aplicativos CoronApp, hoy Minsalud Digital, debido a que estos códigos de las aplicaciones: “(…) desde el análisis de seguridad de la información/digital se encuentran caracterizados como activos críticos, según los lineamientos y políticas internas, por lo cual cualquier exposición pública podría afectar la confidencialidad e integridad del Ministerio”. 55. En auto del 13 de mayo de 2022[27], la magistrada ponente invitó a una serie de organizaciones y universidades para que se pronunciaran sobre los riesgos asociados a la publicación del código fuente de una aplicación pública, el momento en el que se puede considerar que dicho código está en su versión final y las medidas de seguridad que pueden implementarse para garantizar la protección de la seguridad informática y los datos personales de los ciudadanos registrados en dichas aplicaciones, entre otros asuntos. 56. Las pruebas recaudadas, los pronunciamientos de las partes y las intervenciones realizadas por algunos ciudadanos, organizaciones y universidades reposan en los anexos de la presente decisión, los cuales hacen parte integral de la misma. II. CONSIDERACIONES Y FUNDAMENTOS DE LA DECISIÓN 1. Competencia 1. La Corte Constitucional es competente para revisar los fallos proferidos en virtud del trámite de acciones de tutela (arts. 86 y 241.9 C.P., 33 y 34 del Decreto 2591). 2. Planteamiento del caso, formulación del problema jurídico y estructura de la decisión 2. En el presente asunto, la Sala estudia en sede de revisión la tutela presentada por el ciudadano Juan Carlos Upegui Mejía, quien alegó que la Agencia Nacional Digital -AND- vulneró su derecho fundamental al acceso a la información pública, al negarle el acceso al código fuente de la aplicación CoronApp. 3. La entidad accionada, el Instituto Nacional de Salud y el Ministerio de Salud y Protección Social, vinculados durante trámite de la tutela, argumentaron que la información solicitada tiene el carácter de reservada, por hacer referencia a asuntos de seguridad y salud pública, y por contener datos sensibles de los usuarios. Además, adujeron que la aplicación se encontraba en continua actualización y que hasta tanto no se terminara su desarrollo no se podría revelar la información solicitada pues, de lo contrario, se podría poner en riesgo los datos sensibles de los usuarios. Finalmente, insistieron que la información solicitada también estaba protegida por tratarse de desarrollos de software amparados bajo propiedad intelectual. 4. Los jueces de primera y segunda instancia negaron el amparo al considerar que, efectivamente, se trataba de información reservada según lo dispuesto en la Ley 1712 de 2014 y consideraron suficientes los argumentos de las autoridades accionadas. 5. La Sala debe iniciar con el estudio de procedencia de la acción de tutela. En caso de que se cumplan los requisitos de aptitud, el problema jurídico que deberá resolver es el siguiente: ¿vulneraron la Agencia Nacional Digital, el Instituto Nacional de Salud y el Ministerio de Salud y Protección Social el derecho fundamental al acceso a la información pública de un ciudadano al negarle el acceso al código fuente de la aplicación digital CoronApp, la cual incluye información de los ciudadanos en el marco de la contención del virus Covid 19, bajo el argumento de que dicho código es de carácter reservado y que su publicación puede poner en riesgo la integridad y reserva de los datos personales administrados en dicha plataforma? 3. Procedibilidad formal de la acción de tutela 6. Con base en lo dispuesto en el artículo 86 de la Constitución y las normas que lo desarrollan en el Decreto 2591 de 1991 (arts. 1°, 5°, 6º y 10), la jurisprudencia de esta Corte ha sostenido que para que proceda la acción de tutela se deben acreditar los requisitos de: (i) legitimación en la causa por activa[28] y por pasiva[29], (ii) la inmediatez[30] y (iv) la subsidiariedad[31]. 7. En este caso, en primer lugar, se acredita la legitimación por activa, pues la acción de tutela se presentó por el titular de los derechos fundamentales cuya protección se invoca. En particular, la acción se formuló por un ciudadano que, al igual que otros, es titular del derecho al acceso a la información pública previsto en el artículo 74 de la Constitución. Esta norma establece que: “todas las personas tienen derecho a acceder a los documentos públicos salvo los casos que establezca la ley”. En un sentido similar, el artículo 4 de la Ley 1712 de 2014 dispone que: “en ejercicio del derecho fundamental de acceso a la información, toda persona puede conocer sobre la existencia y acceder a la información pública en posesión o bajo control de los sujetos obligados”[32]. 8. En segundo lugar, también se acredita la legitimación por pasiva. En el asunto bajo revisión, la acción de tutela se instauró en contra de la Agencia Nacional Digital -AND- y se vinculó al Instituto Nacional de Salud -INS-, que son las autoridades que presuntamente habrían vulnerado el derecho fundamental al acceso a la información pública del actor. Estas autoridades son sujetos obligados a garantizar el derecho fundamental al acceso a la información pública, según lo dispuesto por el artículo 5 de la Ley 1712 de 2014. En particular esta norma establece que las disposiciones de la mencionada ley son aplicables a: “[t]oda entidad pública, incluyendo las pertenecientes a todas las Ramas del Poder Público, en todos los niveles de la estructura estatal”[33]. 9. Por otra parte, es preciso advertir que, en ejercicio de sus competencias, la Corte Constitucional vinculó a este proceso al Ministerio de Salud y Protección Social, autoridad pública que también es sujeto obligado en relación con la garantía de acceso a la información pública. En consecuencia, se encuentra acreditado el presupuesto de legitimación por pasiva. 10. En tercer lugar, también se cumple con el requisito de inmediatez. En el asunto que ahora se analiza, la presunta vulneración surgió cuando la AND negó el acceso a la información solicitada por el demandante. Al actor se le dio respuesta definitiva a su petición el día 6 de noviembre de 2020[34], fecha en la que se notificó el recurso de reposición en contra de la contestación inicial de la AND. Por su parte, la acción de tutela fue presentada el 11 de diciembre de 2020, esto es, alrededor de 1 mes y 5 días después de la presunta vulneración de derechos, lo cual constituye un plazo razonable. 11. Finalmente, en el presente caso se cumple con el requisito de subsidiariedad. Sobre este requisito, en materia de solicitudes de amparo del derecho al acceso a la información pública, la jurisprudencia constitucional[35] y la normatividad vigente han dispuesto algunas consideraciones especiales. Así, el artículo 27 de la Ley 1712 de 2014 establece que, cuando la solicitud de información o de documentos es negada bajo el argumento de la reserva documental o de información por las causales de “seguridad y defensa nacional o relaciones internacionales”, se puede insistir ante la jurisdicción contencioso administrativa. El parágrafo de dicho artículo aclara que, en los casos no contemplados en ese artículo -es decir, diferentes a temas de seguridad o defensa nacional o relaciones internacionales-, procederá la acción de tutela una vez se agote el recurso de reposición. 12. Al analizar el caso concreto a la luz de las anteriores reglas, se observa que la parte accionada no formuló argumentos relacionados con la seguridad, la defensa nacional o las relaciones internacionales para justificar la reserva de la información. Esta reserva la fundamentó la AND en: (i) la protección de los datos personales de los usuarios de la aplicación, (ii) el posible de riesgo de salud pública ante un uso indebido del código, y (iii) los derechos de autor y propiedad intelectual que se derivaban de su utilización. En esa medida, y a la luz del parágrafo del artículo 27 ya citado, la acción de tutela es procedente, pues el accionante agotó el recurso de reposición. 13. En consecuencia, al encontrar acreditados los requisitos de procedencia de la acción de tutela, la Sala procede a abordar el problema jurídico arriba indicado que, en esencia, implica determinar si se vulneró el derecho fundamental de acceso a la información pública del accionante. Para hacerlo, la Corte, primero, se referirá a la jurisprudencia constitucional en materia del derecho fundamental al acceso a la información pública y la protección de datos personales. Luego, la Sala hará unas breves consideraciones sobre el principio de transparencia algorítmica como elemento esencial del derecho de acceso a la información pública. Con base en esos elementos de juicio la Sala, finalmente, procederá al análisis del caso concreto. 4. El derecho fundamental al acceso a la información pública 14. Como bien lo ha señalado esta Corte[36] uno de los rasgos fundamentales de una democracia es el de velar por que la información que es relevante para la sociedad esté disponible para la ciudadanía. Es contrario a un régimen democrático una cultura del secreto en la que no exista publicidad de los actos de las autoridades y en la que toda información del Estado sea reservada.[37] Como se expresó en la sentencia C-491 de 2007: “ (…) la garantía más importante del adecuado funcionamiento del régimen constitucional está en la plena publicidad y transparencia de la gestión pública. Las decisiones o actuaciones de los servidores públicos que no se quieren mostrar son usualmente aquellas que no se pueden justificar. Y el uso secreto e injustificado del poder del Estado repugna al Estado de Derecho y al adecuado funcionamiento de una sociedad democrática”.[38] 15. Precisamente, al reconocer que somos un Estado social de Derecho, democrático y participativo el Constituyente consagró en el artículo 74 de la Constitución Política el derecho de toda persona “a acceder a los documentos públicos, salvo los casos que establezca la ley”. Se trata de un derecho autónomo e independiente cuyo alcance ha sido objeto de precisiones por parte de la jurisprudencia constitucional y por organismos internacionales. Para tener un panorama adecuado del alcance, los límites y los mandatos de aplicación que corresponden al derecho fundamental al acceso a la información pública, a continuación, se recogerán los estándares internacionales y nacionales sobre la materia, que servirán en la resolución del caso concreto. 4.1. Estándares internacionales en materia del derecho al acceso a la información pública 16. La doctrina internacional de los derechos humanos ha reconocido que el derecho fundamental al acceso a la información pública está íntimamente relacionado con varios derechos humanos como la libertad de expresión, de pensamiento y de opinión, y que su garantía es esencial para el ejercicio de otros derechos. 17. El artículo 18 de la Declaración Universal de Derechos Humanos señala que: “todo individuo tiene derecho a la libertad de opinión y de expresión; este derecho incluye el de no ser molestado a causa de sus opiniones, el de investigar y recibir informaciones y opiniones, y el de difundirlas, sin limitaciones de fronteras, por cualquier medio de expresión”. En el mismo sentido, el Pacto Internacional de Derechos Civiles y Políticos[39] (PIDCP) establece en su artículo 19 que la libertad de expresión incluye “la libertad de buscar, recibir y difundir informaciones e ideas de toda índole.”[40] 18. En esta misma línea, la Organización de las Naciones Unidas para la Educación, la Ciencia y la Cultura (UNESCO), en julio del año 2002[41], promulgó la Carta de Santo Domingo por el Libre Acceso a la Información Pública[42]. En este instrumento se desarrollaron distintas consideraciones entre las cuales se destaca que: (i) el acceso a la información pública es un derecho humano universal y (ii) un principio democrático que tiene relación con el derecho a la información, a la libertad de expresión y a la libertad de prensa. Asimismo, expuso la necesidad de que todos los países resuelvan los vacíos legislativos existentes en la materia a través de la aprobación de leyes que garanticen el acceso a la información pública. 19. Por otra parte, el artículo 13 de la Convención Americana de Derechos Humanos -CADH reconoce el derecho de acceso a la información pública[43]. Este artículo consagra el derecho a la libertad de pensamiento, de expresión y a la información, entendido como el derecho de “buscar, recibir y difundir informaciones e ideas de toda índole, por cualquier medio.”[44] De manera que es obligación de los Estados americanos adoptar las medidas para que los ciudadanos puedan acceder a la información que las autoridades públicas tienen bajo su poder (obligación de respeto y garantía), así como remover las barreras administrativas y legislativas que impiden la exigibilidad y garantía de dicho derecho (deber de adecuación de las medidas internas)[45]. 20. Dentro de los parámetros del sistema regional, un instrumento referente en la materia es la Declaración de Principios sobre Libertad de Expresión[46]. En ella se consagra el derecho de toda persona a acceder a la información en poder del Estado[47]. Según la Declaración, este derecho sólo puede ser limitado por mandato previamente establecido en la ley, cuando exista un peligro real e inminente para la seguridad nacional. 21. En desarrollo de los mandatos convencionales, la jurisprudencia de la Corte Interamericana de Derechos Humanos (CorteIDH), los pronunciamientos de la Comisión Interamericana de Derechos Humanos (CIDH) y los informes de la Relatoría Especial de la OEA para la Libertad de Expresión han definido aspectos fundamentales del contenido del derecho a acceder a la información y sobre las condiciones que deben cumplirse para que una limitación a tal derecho resulte legítima. Así, por ejemplo, en el caso López Álvarez vs. Honduras (2006) la CorteIDH estableció[48] tres requisitos para que una limitación al derecho de acceso a la información fuera válida: (i) que esté definida en la ley; (ii) que esté destinada a proteger los derechos o la reputación de los demás, o la seguridad nacional, el orden público, la salud o la moral pública; y (iii) que sea necesaria y proporcionada para una sociedad democrática[49]. 22. Así mismo, en desarrollo de los mandatos de la Declaración de Principios sobre Libertad de Expresión, la Relatoría Especial para la Libertad de Expresión publicó en el año 2010 un manual sobre el derecho de acceso a la información en el marco jurídico interamericano[50]. Este manual resume la jurisprudencia del sistema interamericano en torno al contenido y el alcance del derecho al acceso a la información y sobre los límites que deben respetarse cuando se restringe dicho derecho. Entre otras cosas, en ese documento se advierte que toda persona es titular del derecho de acceso a la información y que de él se derivan obligaciones para las autoridades de las distintas ramas del poder y de los órganos autónomos de todos los niveles de gobierno. A su vez, se indica que el Estado está obligado a: (i) responder de manera oportuna, completa y accesible solicitudes de acceso a la información; (ii) contar con un recurso que satisfaga el derecho de acceso a la información; y (iii) disponer de un medio judicial idóneo y efectivo para la revisión de las negativas de entrega de información[51]. 23. Como se explica en este documento, a la luz de la Convención Interamericana, las limitaciones al derecho fundamental al acceso a la información pública solo pueden tener un carácter excepcional, estar consagradas expresamente en la ley y perseguir un objetivo legítimo (como por ejemplo la protección de la seguridad nacional[52]). Es por ello que cualquier restricción debe cumplir con los estándares de necesidad y proporcionalidad, estar debidamente motivada, ajustada a una temporalidad definida y condicionada a la desaparición de la causal que justifica la limitación. Finalmente, los Estados deben actuar bajo dos principios centrales: el de máxima divulgación y el de buena fe. El primero ordena que la transparencia y el derecho de acceso a la información sean la regla general y que las reservas estén sometidas a estrictas y limitadas excepciones[53]. A su vez, el principio de buena fe estipula que los sujetos obligados por el derecho al acceso a la información pública deben actuar conforme al mismo. 24. Por otra parte, la Asamblea de la Organización de los Estados Americanos (OEA) promulgó la Ley Modelo Interamericana 2.0 sobre acceso a la información pública que fue aprobada en el mes de octubre de 2020[54]. Este compendio de normas busca fomentar mejores prácticas en la promoción del derecho al acceso a la información. En esa vía, señala los derechos que tiene toda persona en relación con la solicitud de información ante cualquier autoridad pública[55], propende por la difusión proactiva de información a cargo de los sujetos obligados[56] y señala la clase de información clave sujeta a difusión[57]. Adicionalmente, establece una serie de excepciones en las cuales se puede negar el acceso a la información pública[58]. Sobre este último punto, el modelo propone dos categorías de excepciones a la divulgación: (i) información reservada, que comprende aquella que se excluye temporalmente del conocimiento del público por existir un riesgo claro de daño; y (ii) confidencial, que cobija datos de carácter privado en poder de sujetos obligados cuyo acceso público se prohíbe por expreso mandato constitucional o legal. 25. Por otra parte, en el derecho comparado, varios tribunales constitucionales latinoamericanos también han coincidido en la importancia del acceso a la información pública como eje del Estado de Derecho y de la democracia constitucional[59]. Así, se ha consolidado un estándar de transparencia activa según el cual las acciones del Estado y de los funcionarios públicos deben estar sometidas a un intenso escrutinio público con dos propósitos de relevancia democrática. Primero, una sociedad democrática permite y anhela que los ciudadanos puedan conocer cómo se toman las decisiones de política pública que los afectan. Segundo, este escrutinio tiene la bondad de abonar el terreno para el ejercicio adecuado de otros derechos fundamentales tales como la libertad de expresión, pensamiento y opinión. De esta manera, los jueces de la región han concluido que el acceso a la información pública permite el control de la actividad pública y fortalece el ejercicio de la democracia, siempre que ello no atente contra la seguridad del Estado y sus fines propios y legítimos. 26. Finalmente, cabe destacar lo dicho por el Tribunal Europeo de Derechos Humanos[60] en materia de restricciones a las libertades informativas, asunto relacionado con la presente controversia. Sobre ellas, dicho tribunal ha indicado que no pueden establecerse ni aplicarse restricciones de una forma que termine siendo contraproducente para el fin de proteger derechos como el acceso a la información. En esa misma línea, en relación con la información sobre programas digitales, el Comité Europeo de Protección de Datos ha dicho que: “[p]ara asegurar su equidad, la rendición de cuentas y, más en general, su consonancia con la ley, los algoritmos deben ser auditables y han de ser revisados periódicamente por expertos independientes. El código fuente de la aplicación debe hacerse público con miras a un control lo más amplio posible”[61]. 4.2. Marco normativo y jurisprudencial del derecho al acceso a la información pública en Colombia 27. El acceso a la información pública constituye un aspecto cardinal dentro de una democracia constitucional, p...