Protección de datos en contratos públicos: guía de ejecución
Para Proveedores tecnológicos, servicios profesionales y responsables de privacidad que ejecutan contratos con acceso potencial a datos.
Qué necesitas saber
La protección de datos en contratos públicos exige determinar si el contratista trata datos personales y con qué rol. Cuando actúa por cuenta de la entidad, deben regularse instrucciones, finalidad, seguridad, subencargados, incidentes, transferencias y devolución o supresión. El contratista no es siempre encargado: los roles dependen de quién decide fines y medios del tratamiento.
Datos, tratamientos y roles
El análisis inventaría categorías de datos, personas, operaciones, sistemas, ubicaciones y flujos. Después determina quién decide fines y medios y si el proveedor actúa como encargado, responsable independiente u otra posición. El acceso ocasional no se etiqueta sin revisar contexto, y una cláusula genérica no corrige un reparto incoherente con la realidad. Se identifica base jurídica de la entidad y se evita reutilizar datos para fines propios incompatibles. RGPD, LOPDGDD, LCSP y pliegos se leen conjuntamente. Cuando existan dudas sobre roles conjuntos o servicios mixtos, se separan tratamientos y se solicita criterio antes del acceso.
Contrato de encargo
Si existe encargo, el acuerdo debe concretar objeto, duración, naturaleza, finalidad, tipos de datos, interesados y obligaciones. También regula instrucciones documentadas, confidencialidad, asistencia, seguridad, auditoría y destino final. El proveedor compara el anexo con su arquitectura real y no firma declaraciones imposibles. Cualquier servicio opcional, telemetría o soporte remoto se incluye en el mapa. Las instrucciones posteriores se conservan y se revisan si parecen infringir la normativa. El contrato de encargo no convierte automáticamente a todos los empleados o proveedores en autorizados: se limitan accesos por función y se mantiene evidencia de formación y compromisos.
Subencargados y transferencias
La cadena tecnológica identifica cada subencargado, servicio, país y acceso. Se obtiene autorización específica o general según el contrato y se informa de cambios con el procedimiento acordado. Las obligaciones pertinentes se trasladan y se verifica su cumplimiento. Una ubicación europea del centro principal no excluye accesos desde terceros países; las transferencias se analizan con su mecanismo y garantías. El proveedor no cambia infraestructura crítica sin evaluar el pliego y la autorización. Compras, seguridad y privacidad mantienen un registro común. Las restricciones concretas de localización o subcontratación deben ser las publicadas y aplicables al contrato, no supuestos comerciales.
Seguridad, incidentes y salida
Las medidas se eligen según riesgo y requisitos contractuales, con control de acceso, registros, copias, cifrado y continuidad cuando proceda. El protocolo de incidentes define detección, preservación, información mínima y comunicación al responsable sin esperar a completar toda la investigación. No se notifica directamente a autoridades o interesados salvo que corresponda al rol y decisión aplicables. Al terminar, se devuelven o suprimen datos según instrucciones, conservando solo lo permitido, y se revocan accesos. La evidencia de borrado, exportación y cierre se integra en recepción. Esta guía no sustituye una evaluación de impacto o análisis de seguridad cuando sean exigibles.
Lista de comprobación
- Inventariar datos, tratamientos, sistemas, países y roles.
- Alinear el acuerdo de encargo con el servicio real.
- Autorizar y controlar subencargados y transferencias internacionales.
- Implantar seguridad, registro de accesos y respuesta a incidentes.
- Planificar devolución, supresión y revocación al cerrar.
Preguntas frecuentes
¿El contratista siempre es encargado?
No. El rol depende de las decisiones reales sobre fines y medios de cada tratamiento.
¿Puedo usar los datos para mejorar mi producto?
Solo si existe base y compatibilidad; el encargado no puede apartarse de las instrucciones por iniciativa propia.
¿Hace falta autorizar subencargados?
Sí, conforme al mecanismo específico o general previsto en el acuerdo y al RGPD.
¿Debo borrar todo al terminar?
Debe seguirse la instrucción de devolución o supresión y conservar únicamente lo jurídicamente permitido.
Evidencia y vigencia
El contenido resume un marco general. La publicación y el trámite aplicables prevalecen.
- BOE — Ley 9/2017, de Contratos del Sector PúblicoCláusulas y obligaciones de protección de datos en la contratación pública. · Consultada el
- EUR-Lex — Reglamento General de Protección de DatosRoles, encargo, seguridad, incidentes, subencargados y transferencias. · Consultada el
- BOE — Ley Orgánica 3/2018 de protección de datosMarco español complementario de protección de datos y derechos digitales. · Consultada el
Pasa de la duda a una revisión trazable.
Descubre oportunidades y abre siempre la publicación oficial antes de actuar.