El tratamiento de datos personales en contratos públicos hace referencia al conjunto de obligaciones que deben incluirse en los pliegos y contratos cuando la prestación implica que el contratista accede, procesa o gestiona datos de carácter personal de los que la administración contratante es responsable del tratamiento. El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos (LOPDGDD) imponen la formalización de un contrato de encargado del tratamiento (DPA) como requisito previo e ineludible a cualquier subcontratación de servicios que implique acceso a datos personales.
- Encargo de tratamiento: El pliego de prescripciones técnicas debe identificar las categorías de datos tratados, las finalidades, las medidas de seguridad exigidas y las condiciones de subcontratación.
- Evaluación de impacto (EIPD): Para tratamientos de alto riesgo, puede ser obligatoria la realización de una evaluación de impacto relativa a la protección de datos antes de adjudicar el contrato.
- Destrucción de datos: Al finalizar el contrato, el contratista debe devolver o destruir los datos personales tratados según lo pactado, con evidencia documental de la destrucción.
Consulta la normativa en BOE – LOPDGDD y la guía del RGPD en EUR-Lex.