Contract

Obligación del contratista de sometimiento a la normativa en materia de protección de datos. Condición especial de ejecución del contrato.

CONSULTA

“Buenos días,

Quería preguntar si siempre debe de establecerse como condición especial de ejecución la obligación de cumplir la normativa de protección de datos, en todos los contratos. O si se debe de establecer sólo cuando la ejecución del contrato requiera el tratamiento por la empresa contratista de datos personales.

Un saludo y gracias.”.

RESPUESTA

En relación con la citada consulta hemos de indicarle en primer lugar que el Real Decreto-ley 14/2019, de 31 de octubre, por el que se adoptan medidas urgentes por razones de seguridad pública en materia de administración digital, contratación del sector público y telecomunicaciones. En esta entrada detallaremos qué novedades introduce el capítulo III, dedicado en su integridad a medidas en materia de contratación pública, modifica la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público, por la que se transponen al ordenamiento jurídico español las Directivas del Parlamento Europeo y del Consejo 2014/23/UE y 2014/24/UE, de 26 de febrero de 2014 (en adelante LCSP) a fin de introducir medidas que hagan efectivo el cumplimiento de la legislación sobre protección de datos por parte de los contratistas y subcontratistas en todas las fases de la contratación, desde el expediente de licitación a la ejecución del contrato.

El artículo 35 de la LCSP regula el contenido mínimo del contrato previendo como uno de los supuestos la “Referencia a la legislación aplicable al contrato, con expresa mención al sometimiento a la normativa nacional y de la Unión Europea en materia de protección de datos” (artículo 35.1.d.).

1

Asimismo, el artículo 122.2 de la LCSP señala que “(..) Los pliegos deberán mencionar expresamente la obligación del futuro contratista de respetar la normativa vigente en materia de protección de datos.

Sin perjuicio de lo establecido en el artículo 28.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 xx xxxxx de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE, en aquellos contratos cuya ejecución requiera el tratamiento por el contratista de datos personales por cuenta del responsable del tratamiento, adicionalmente en el pliego se hará constar:

(…)

b) La obligación del futuro contratista de someterse en todo caso a la normativa nacional y de la Unión Europea en materia de protección de datos, sin perjuicio de lo establecido en el último párrafo del apartado 1 del artículo 202.

(…)”

Además, la omisión de estas menciones en los pliegos a que se refiere el artículo 122 de la LCSP, constituye causa de nulidad de pleno derecho del contrato (artículo 39.2.h. de la LCSP)

Por su parte, el artículo 202, que regula las condiciones especiales de ejecución del contrato, dispone:

“(…) Asimismo en los pliegos correspondientes a los contratos cuya ejecución implique la cesión de datos por las entidades del sector público al contratista será obligatorio el establecimiento de una condición especial de ejecución que haga referencia a la obligación del contratista de someterse a la normativa nacional y de la Unión Europea en materia de protección de datos, advirtiéndose además al contratista de que esta obligación tiene el carácter de obligación contractual esencial de conformidad con lo dispuesto en la letra f) del apartado 1 del artículo 211. (…)”

De acuerdo con lo anterior, y tal y como resulta del citado precepto, parece que sólo en aquellos contratos cuya ejecución implique la cesión de datos deberá establecerse como condición especial de ejecución la obligación del contratista de someterse a la normativa en materia de protección de datos; no obstante, puede suceder que, aun cuando la ejecución del contrato no requiera tratamiento de datos de carácter personal, los trabajadores de la contratista puedan acceder de manera ocasional a los mismos. Por lo que es conveniente que, en todo caso, y contemplando este hipotético supuesto, el pliego regule como condición especial de ejecución del contrato el

2

sometimiento del contratista a la normativa en materia de protección de datos, indicando lo que sucede en el caso de que el contrato no requiera el tratamiento de datos de carácter personal. En este sentido, la Junta Consultiva de Contratación Pública del Estado, en su Informe 4/2020 ha señalado: “(…) Parece claro que la finalidad perseguida por el Real Decreto Ley 14/2019 es coordinar la aplicación de la LCSP y la legislación especial en materia de protección de datos personales, evitando que datos especialmente sensibles y relevantes puedan

ser objeto de una difusión indebida o, incluso, de una manipulación irregular por quienes tengan acceso a ellos (…)”. Podemos considerar, tal y como ya hemos señalado, que ese acceso a datos especialmente sensibles se produzca no sólo porque sea consecuencia inmediata y directa del tratamiento de datos que conlleve la ejecución del contrato, sino que dicho acceso puede tener lugar de manera ocasional y, en ambos casos, dichos datos deben protegerse para que no sean objeto de una difusión indebida o de una manipulación irregular.

Esta previsión a que se ha hecho referencia es la que figura en todos los modelos de pliegos de cláusulas administrativas particulares aprobados por la Consejería de Hacienda y Administraciones Públicas, y que son de general aplicación para la Administración de la Junta de Comunidades xx Xxxxxxxx-La Mancha, organismos autónomos y entes del sector público regional que, a efectos de la legislación aplicable, tienen la consideración de Administraciones Públicas. De acuerdo con lo anterior, esa XX se encuentra sujeta a los mismos.

Estos modelos se encuentran disponibles, para su utilización, en el Portal de Contratación de la Junta de Comunidades xx Xxxxxxxx-La Mancha, a través del siguiente enlace:

xxxxx://xxxxxxxxxxxx.xxxxxxxxxxxxxxxx.xx/xxxxxxx-xx-xxxxxxx-xxxxxxxxx-xx-xxx-00000

En dichos modelos de pliegos se contiene una cláusula relativa a la Protección de Datos de carácter personal donde se establece como condición especial de ejecución de tales contratos la obligación de la empresa adjudicataria de cumplir la normativa nacional y de la Unión Europea en materia de protección de datos vigente en cada momento, distinguiendo según la ejecución del contrato requiera o no requiera el tratamiento por la empresa contratista de datos personales por cuenta de la Administración. A modo de ejemplo, en el modelo xx xxxxxx de cláusulas administrativas

3

particulares, correspondiente a la contratación de servicios, mediante procedimiento abierto, dicha cláusula establece:

“CLÁUSULA 43. PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL.

43.1. Se establece como condición especial de ejecución del presente contrato la obligación de la empresa adjudicataria de cumplir durante su vigencia la normativa nacional y de la Unión Europea en materia de protección de datos vigente en cada momento. A la fecha de elaboración del presente pliego dicha normativa está constituida fundamentalmente por las siguientes disposiciones:

− Reglamento (UE) nº 2016/679 del Parlamento Europeo y del Consejo, de 27 xx xxxxx de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos).

− Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

Esta obligación tiene la consideración de obligación contractual esencial a efectos de lo dispuesto en el artículo 211.1.f) de la LCSP, por lo que su incumplimiento constituirá causa de resolución del contrato.

43.2. Cuando la ejecución del contrato no requiera el tratamiento por la empresa contratista de datos personales por cuenta de la Administración.

43.2.1. La ejecución del contrato no requiere el tratamiento por la empresa contratista de datos personales por cuenta de la Administración. Por tanto, su personal no puede acceder a los datos de tal naturaleza que figuran en los archivos, documentos y sistemas informáticos de esta Administración. No obstante, en caso de hacerlo de forma casual, estará obligado a guardar secreto incluso después de la finalización de la relación contractual; sin que en ningún caso pueda utilizar los datos, ni revelarlos a terceros.

La empresa contratista debe poner en conocimiento de sus trabajadores lo dispuesto en la presente cláusula y conservar la acreditación del cumplimiento de este deber.

43.2.2. La empresa adjudicataria deberá poner inmediatamente en conocimiento del responsable del contrato, y en cualquier caso antes del plazo máximo de 24 horas, mediante el correo electrónico que

4

facilite el responsable del contrato, cualquier incidencia que se produzca durante la ejecución del contrato que conlleve un acceso accidental o incidental a datos de carácter personal.

43.3. Cuando la ejecución del contrato requiera el tratamiento por la empresa contratista de datos personales por cuenta de la Administración.

43.3.1. La empresa adjudicataria y su personal están obligados a guardar secreto profesional respecto a los datos de carácter personal de los que puedan tener conocimiento por razón de la prestación del contrato, obligación que subsistirá aún después de la finalización del mismo.

La empresa adjudicataria deberá formar e informar a su personal de las obligaciones que en materia de protección de datos y de seguridad de la información estén obligados a cumplir en el desarrollo de sus tareas para la prestación del contrato, en especial las derivadas del deber xx xxxxxxx, respondiendo la empresa adjudicataria personalmente de las infracciones legales en que por incumplimiento de sus empleados se pudiera incurrir.

A estos efectos, la empresa adjudicataria deberá remitir al responsable del contrato, en el plazo de 15 días a contar desde el inicio de su ejecución, un documento firmado por cada uno de los trabajadores adscritos a la misma en el que se les informa de las obligaciones que tienen como usuarios que acceden a nuestros sistemas. El modelo de documento informativo está recogido como Anexo VII.

43.3.2. La ejecución del contrato requiere la comunicación de datos personales a la contratista y su tratamiento por éste por cuenta del responsable del tratamiento. La finalidad de dicha comunicación se indica en el apartado 32 del Anexo I.

(…)”

Finalmente indicar que, sin perjuicio de lo señalado anteriormente, la presente respuesta a la consulta planteada tiene carácter meramente informativo y en ningún caso resulta vinculante.

SERVICIO DE ASESORAMIENTO Y NORMALIZACIÓN DE LOS PROCEDIMIENTOS DE CONTRATACIÓN

5