El tratamiento de datos personales por el contratista
I.-Introducción
Hoy vamos a traer a colación, en este artículo, el importante tema del régimen jurídico del tratamiento de los datos personales en el seno de la contratación administrativa y más concretamente la interpretación exacta que ha de darse a la nueva redacción del artículo 122 de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público (en adelante LCSP), en virtud del Real Decreto Ley 14/2019, de 31 de octubre, por el que se adoptan medidas urgentes por razones de seguridad pública en materia de administración digital, contratación del sector público y telecomunicaciones.
El mencionado artículo en su apartado 2 señala, con cierta amplitud, lo siguiente:
“Los pliegos deberán mencionar expresamente la obligación del futuro contratista de respetar la normativa vigente en materia de protección de datos.
Sin perjuicio de lo establecido en el artículo 28.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE, en aquellos contratos cuya ejecución requiera el tratamiento por el contratista de datos personales por cuenta del responsable del tratamiento, adicionalmente en el pliego se hará constar:
-
La finalidad para la cual se cederán dichos datos.
-
La obligación del futuro contratista de someterse en todo caso a la normativa nacional y de la Unión Europea en materia de protección de datos, sin perjuicio de lo establecido en el último párrafo del apartado 1 del artículo 202.
-
La obligación de la empresa adjudicataria de presentar antes de la formalización del contrato una declaración en la que ponga de manifiesto dónde van a estar ubicados los servidores y desde dónde se van a prestar los servicios asociados a los mismos.
-
La obligación de comunicar cualquier cambio que se produzca, a lo largo de la vida del contrato, de la información facilitada en la declaración a que se refiere la letra c) anterior.
-
La obligación de los licitadores de indicar en su oferta, si tiene previsto subcontratar los servidores o los servicios asociados a los mismos, el nombre o el perfil empresarial, definido por referencia a las condiciones de solvencia profesional o técnica, de los subcontratistas a los que se vaya a encomendar su realización.
En los pliegos correspondientes a los contratos a que se refiere el párrafo anterior las obligaciones recogidas en las letras a) a e) anteriores en todo caso deberán ser calificadas como esenciales a los efectos previstos de la letra f) del apartado 1 del artículo 211”.
Vamos a ver como la Junta Consultiva de Contratación Pública del Estado (en lo sucesivo JCCPE) aborda la cuestión con base a una consulta que en su día le formuló la Diputación de Valencia.
Por lo pronto, y según siempre la JCCPE, la finalidad perseguida por el meritado Real Decreto Ley 14/2019 es coordinar la aplicación de la LCSP y la legislación especial en materia de protección de datos personales, evitando que datos especialmente sensibles y relevantes puedan ser objeto de una difusión indebida o, incluso, de una manipulación irregular por quienes tengan acceso a ellos. Esta finalidad resulta especialmente importante cuando son los propios órganos de la Administración los que, mediante un contrato público, permiten en determinados casos que el tratamiento de datos personales por cuenta del responsable del tratamiento corresponda a las empresas adjudicatarias de aquellos. Y es que resulta preciso que se garantice el cumplimiento de lo dispuesto en los artículos 27 y 28 del reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE, que aluden, entre otras cosas, a los responsable o encargados del tratamiento no establecidos en la Unión y a la sujeción al derecho de la UE del tratamiento de datos por el encargado de los mismos.
II.-Plazo de aportación de la declaración sobre ubicación de los servidores
La obligación de aportar una declaración sobre ubicación de los servidores debe cumplirse en el período que media entre la adjudicación del contrato y su formalización. Por consiguiente, el órgano de contratación no puede exigir dicha documentación al que todavía no ha llegado ser adjudicatario del contrato, ello sin perjuicio de que ad cautelam éste pueda aportarla antes de su adjudicación.
Hay que significar que dicha exigencia es una obligación esencial a los efectos de una posible resolución del contrato en el caso de incumplimiento.
Para los contratos no sujetos a recurso especial, el artículo 153.3, último párrafo, señala que:
“la formalización del contrato deberá efectuarse no más tarde de los quince días hábiles siguientes a aquel en que se realice la notificación de la adjudicación a los licitadores y candidatos”.
Por lógica congruencia hay que pensar que al notificar la adjudicación del contrato a quien haya sido seleccionado como contratista habrá de requerírsele también la aportación de la declaración sobre ubicación de los servidores y desde donde se van a prestar los servicios asociados a los mismos, concediéndole un plazo menor a esos quince días para que proceda a la aportación de aquella. Por analogía con lo establecido en el artículo 141.2 de la LCSP tal plazo puede ser perfectamente el de tres días naturales.
Si el adjudicatario no aportara en plazo la documentación requerida sobre ubicación de los servidores se procederá a aplicar el artículo 153.4 de la LCSP en el sentido de exigírsele el importe del 3% del presupuesto base de licitación, IVA excluido.
Si en cambio, una vez formalizado el contrato y en fase de ejecución, el adjudicatario contratista incumpliera lo declarado, bien por falsedad o por alguna otra circunstancia el incumplimiento en ese caso lleva aparejada la consecuencia de la resolución del contrato al tratarse, como dijimos, de una obligación esencial.
Desde el punto de vista sustantivo la obligación de cumplir esta normativa tiene el carácter de no subsanable y su incumplimiento en la fase de ejecución del contrato determina la resolución del mismo conforme a lo dispuesto en la letra f) del apartado 1 del artículo 211.
El mismo régimen de subsanación es aplicable cuando se presentan las proposiciones.
Al tratarse de una obligación exigida por el Pliego de Cláusulas Administrativas particulares, un error de carácter formal podrá ser subsanado, en cambio la plena omisión de la indicación o el incumplimiento material de la regla del citado pliego no será subsanable y supondrá la exclusión del licitador.
En este sentido, corresponderá a quien asuma la redacción de los pliegos el modo en que se reflejará las consecuencias derivadas de la inobservancia de no indicar en sus ofertas si tiene previsto subcontratar los servidores o los servidores asociados a los mismos.
III.-El Documento Europeo Único de Contratación (DEUC)
En la Letra D del apartado II del modelo de DEUC figura la información relativa a los subcontratistas a cuya capacidad no recurra el licitador del contrato.
El DEUC forma parte de la documentación que compone la proposición u oferta del licitador, razón por la cual si el DEUC incluye los datos mencionados en el artículo 122, de modo que el órgano de contratación puede comprobar el cumplimiento del requisito legal, no existe ningún inconveniente desde el punto de vista legal para su admisión. Tampoco parece que exista inconveniente para que tal información se proporcione de manera separada.
Desde INFOCONCURSO queremos informarles de la existencia de un servicio jurídico propio para aquellos lectores y clientes que quieren intervenir como licitadores.