Image
Diversos aspectos relacionados al tratamiento de datos personales por el contratista
01/09/2020
Informe JCCPE 4/2020, de 29 de julio, sobre la interpretación del artículo 122.2 de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público.

La consulta, planteada por la Diputación de Valencia, sobre la nueva redacción dada por el RD Ley 14/2019 al artículo 122.2, de la LCSP, que determina la obligación de recoger en los pliegos de aquellos contratos cuya ejecución requiera el tratamiento de datos personales por el contratista deben recogerse una serie de obligaciones esenciales en el contrato. En concreto, la cuestión planteada gira en torno a dos de ellas:

c) La obligación de la empresa adjudicataria de presentar antes de la formalización del contrato una declaración en la que ponga de manifiesto dónde van a estar ubicados los servidores y desde dónde se van a prestar los servicios asociados a los mismos.

e) La obligación de los licitadores de indicar en su oferta, si tienen previsto subcontratar los servidores o los servicios asociados a los mismos, el nombre o el perfil empresarial, definido por referencia a las condiciones de solvencia profesional o técnica, de los subcontratistas a los que se vaya a encomendar su realización.

En relación a la primera de ellas, se cuestiona si debe ser caracterizada como una obligación esencial, y por tanto si debe conllevar la resolución del contrato, o si, por el contrario, su configuración como elemento a requerir en el momento previo a la formalización, hace imposible tal previsión de resolución, y procedería, por el contrario, aplicar por analogía los efectos del artículo 153.4. Del mismo modo, se pide aclaración sobre los posibles efectos de la no aportación de la documentación, así como del carácter subsanable o no de un incumplimiento material, por ejemplo, un incumplimiento de la normativa de protección de datos por indicar el alojamiento de los mismos fuera del territorio de la UE o países con idéntica protección conforme a los listados publicados por la Agencia de Protección de Datos.

Sobre la segunda de las obligaciones, contenida en el apartado e), se plantean, en primer lugar, si la obligación de aportar dicha información es subsanable, y en su caso, qué consecuencias tendría (exclusión del licitador), y en segundo lugar, si sería aconsejable la previsión de la consecuencia de no determinación en los pliegos.

Pues bien, analizando la primera de las exigencias la JCCPE entiende que “la norma legal es clara al consignar que tal declaración habrá de presentarse antes de la formalización del contrato […] siendo clara y unívoca la voluntad del legislador de vincular la aportación de ese documento a un momento anterior a la formalización del contrato”. En base a ello, entiende la JCCPE que la configuración de la obligación como sustancial, y el posible efecto de resolución del contrato fruto de su incumplimiento –ambos conceptos claramente unidos a la fase de ejecución del contrato– se aplican fundamentalmente a incumplimientos de carácter sustantivos o materiales de las obligaciones relacionadas con la normativa de tratamiento de datos. Este incumplimiento sustantivo debe diferenciarse, así, de la obligación formal de aportación documental, que se enmarca siempre en el momento procedimental previo a la formalización o perfeccionamiento del contrato.

En consecuencia, la obligación de aportar una declaración sobre la ubicación de los servidores debe cumplirse en el periodo que media entre la adjudicación del contrato y su formalización:

“Ello excluye la posibilidad de que el órgano de contratación exija dicha documentación al que todavía no es adjudicatario del contrato, sin perjuicio de que éste pueda aportarla voluntariamente antes de resultar adjudicatario como mecanismo ad cautelam. Tampoco resulta posible retrasar su exigencia a un momento posterior a la formalización, pues ello contradiría claramente el tenor de la norma enjuiciada.”

De aquí se desprende, también, que la aportación documental es un requisito para la formalización, y por tanto el contrato no puede ponerse a disposición del adjudicatario para su firma antes de obtener esta documentación. En los contratos que no están sujetos a recurso especial, y que por tanto no tienen impuesto el periodo de 15 días hasta su formalización, “al notificar la adjudicación del contrato a quien haya sido seleccionado como contratista habrá de requerírsele también la aportación de la declaración sobre la ubicación de los servidores y desde dónde se van a prestar los servicios asociados a los mismos, concediéndole un plazo menor a esos quince días para que proceda a la aportación de aquella”.

En este punto, la JCCPE analiza si sería posible aplicar aplicar por analogía los efectos del artículo 153.4 en el caso de no presentación de la documentación, e exigir el importe del 3 por ciento del presupuesto base de licitación por no haberse formalizado el contrato en el plazo establecido por causa imputable al contratista.

De nuevo, la JCCPE diferencia dos tipos de incumplimiento: (1) incumplimiento formal, o no aportación documental; y (2) incumplimiento sustantivo de la normativa de protección de datos.

Así pues, “el primero de los dos incumplimientos deberá seguir los trámites que son habituales en la fase de selección del contratista, al configurarse el cumplimiento de la obligación en su aspecto formal como un requisito previo a la formalización del contrato, siendo ello así aunque la ley no lo diga expresamente”. Por tanto, si el adjudicatario no ha procedido a aportar la documentación requerida en el plazo indicado, procederá la aplicación de lo dispuesto en el artículo 153.4 de la LCSP, al tratarse claramente de un supuesto en que la formalización del contrato no se ha podido realizar por causas imputables al adjudicatario del mismo”.

El segundo de los supuestos, esto es, un incumplimiento material, tiene lugar o se detecta durante la fase de ejecución del contrato y se refiere a la realidad de lo declarado por el adjudicatario en una declaración formalmente correcta. Dado que se trata de una obligación sustancial, su infracción lleva aparejada la resolución del contrato. Este segundo tipo de incumplimiento, además, no es subsanable, ya que tal y como ha expuesto el TACRC en otras ocasiones, “puede subsanarse lo que existe, pero no se ha aportado; no se puede subsanar lo que en el momento citado, -se refiere al momento en que concluye el plazo de presentación de proposiciones- no existe de manera indudable” (Resolución 976/2017), y en este caso, difícilmente cabría calificar como puramente formal la infracción de los aspectos sustantivos de la legislación sobre protección de datos, incluido desde luego el Reglamento comunitario, o del propio artículo 46 bis de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, que exige que los sistemas de tratamiento de datos personales se ubiquen y presten dentro del territorio de la Unión Europea”.

Este mismo razonamiento es el utilizado para dar respuesta al segundo bloque de preguntas de la Diputación, relativo a lo lo dispuesto en la letra e) del artículo 122.2 de la LCSP, concluyendo que “la plena omisión de la indicación en la oferta o el incumplimiento material de la regla del pliego no será subsanable y supondrá la exclusión del licitador”. Por tanto, tiene carácter esencial, no siendo subsanable su omisión y debiendo procederse, en caso de inobservancia, a la exclusión del licitador.

Este informe viene, de esta forma, a clarificar las formas de aplicación y efectos de las disposiciones del artículo 122, relativas a aspectos relacionados con la protección de datos personales cuando la ejecución del contrato incluya una cesión de los mismos.