La protección de datos personales en contratos públicos es el conjunto de obligaciones que incumben tanto al órgano de contratación (responsable del tratamiento) como al contratista (encargado del tratamiento) cuando la ejecución del contrato implica el acceso, tratamiento o cesión de datos personales. El Reglamento General de Protección de Datos (RGPD, Reglamento UE 2016/679) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) establecen el marco normativo aplicable.
- Contrato de encargo de tratamiento: Cuando el contratista accede a datos personales para prestar el servicio contratado, debe suscribirse un contrato de encargo de tratamiento (art. 28 RGPD) que regule las condiciones del acceso, las medidas de seguridad aplicables y las obligaciones del encargado.
- Cláusulas en el PCAP: Los pliegos de los contratos que impliquen tratamiento de datos personales deben incluir cláusulas específicas sobre protección de datos: finalidad del tratamiento, categorías de datos, medidas de seguridad exigidas y obligación de confidencialidad.
- Evaluación de impacto (EIPD): Para contratos que impliquen tratamientos de alto riesgo (videovigilancia masiva, datos de salud, perfilado de ciudadanos), puede ser obligatorio realizar una Evaluación de Impacto en la Protección de Datos antes de iniciar el tratamiento.
- Incidencias de seguridad: El contratista está obligado a notificar al órgano de contratación cualquier violación de seguridad que afecte a los datos personales tratados en el marco del contrato, en el plazo más breve posible.
Marco normativo: RGPD en EUR-Lex.