Contratación pública y RGPD: datos personales en pliegos y licitaciones

Los expedientes de contratación pública son uno de los vehículos más frecuentes de filtración de datos personales en España. La Ley de Contratos del Sector Público exige una amplia obligación de publicidad en el perfil del contratante y en la Plataforma de Contratación del Sector Público, y a la vez el RGPD impone proteger los datos de las personas físicas que aparecen en esos documentos. Esta guía explica cómo conciliar ambas obligaciones sin infracción.

El choque de principios: publicidad versus protección de datos

La LCSP (arts. 63 y 154) establece que el órgano de contratación debe publicar en el perfil del contratante:

• El anuncio de licitación y los pliegos
• El acto de adjudicación con identificación del adjudicatario y puntuación
• El contrato formalizado
• Las modificaciones contractuales
• Las penalidades impuestas, si las hay

A la vez, el RGPD y la LOPDGDD exigen que esa publicación no incluya más datos personales de los estrictamente necesarios para la finalidad perseguida (control ciudadano, transparencia, igualdad de oportunidades).

La AEPD ha aclarado reiteradamente que la obligación de transparencia no es un cheque en blanco: cada dato personal incluido en un documento publicado debe superar el test de proporcionalidad. Si no es imprescindible para los fines de transparencia, no debe publicarse.

Qué datos personales aparecen en un expediente de contratación típico

Un expediente completo puede contener decenas de datos personales distribuidos en:

Pliegos de prescripciones técnicas

• Firma y cargo del redactor (técnico del ayuntamiento, consejería, etc.)
• Teléfono directo de contacto
• En ocasiones, datos de la empresa redactora si fue externalizado

Memorias técnicas presentadas por licitadores

• Datos del personal técnico propuesto (CV, titulación, experiencia)
• Datos de referencias y clientes previos
• Firmas y cargos

Pliego de cláusulas administrativas particulares

• Firma de los redactores
• Datos del responsable del contrato

Actas de la mesa de contratación

• Nombres y cargos de los miembros de la mesa
• Identificación de los asistentes
• Firmas

Propuestas económicas y resoluciones de adjudicación

• Representante legal del licitador (persona física)
• DNI del firmante
• Importe ofertado (no es personal, pero permite reidentificar si se cruza)

Contrato formalizado

• Datos completos del representante legal
• Dirección de empresa individual (coincide con domicilio personal del autónomo)

Criterios de la AEPD sobre qué publicar y qué anonimizar

La doctrina consolidada de la AEPD y los tribunales distingue:

Lo que debe publicarse con identificación

• Órgano de contratación: institución, no personas físicas
• Identidad del adjudicatario: si es persona jurídica, razón social; si es persona física (autónomo), el nombre se publica porque la transparencia obliga a identificar a quien contrata con la administración
• Importe del contrato, plazos, objeto

Lo que debe anonimizarse o minimizarse

• DNI/NIE del representante — no es necesario para la transparencia; basta el nombre
• Teléfono personal, email personal, dirección personal del representante
• CV detallado del personal técnico propuesto — basta con los perfiles profesionales necesarios para la valoración
• Datos de familiares que aparezcan en informes de solvencia
• Firmas manuscritas — salvo en actos notariales, las firmas no aportan transparencia y permiten falsificación

Lo que exige evaluación caso por caso

• Nombres de miembros de la mesa de contratación — la AEPD ha aceptado su publicación cuando tienen cargo institucional, con matices si son personal eventual
• Puntuaciones detalladas por licitador — publicar la comparativa completa puede ser necesario para la transparencia, pero permite inferir información sobre terceros licitadores
• Recursos y alegaciones presentadas — suelen contener datos personales del recurrente que no son necesarios en la publicación

Riesgo real: el perfil del contratante como fuente de datos personales

Hemos analizado decenas de perfiles del contratante de ayuntamientos y consejerías. Los patrones problemáticos más habituales:

1. Memorias técnicas de los licitadores publicadas íntegras sin depurar CVs del personal.
2. Escaneos de contratos donde aparece el DNI completo del adjudicatario persona física.
3. Actas de mesa de contratación con firmas manuscritas de todos los asistentes.
4. Resoluciones sancionadoras donde se identifica al autónomo sancionado con todos sus datos.

Cualquier ciudadano con tiempo puede, a través de búsquedas automatizadas, construir un perfil detallado de licitadores habituales, técnicos municipales y representantes legales a partir de datos que deberían estar anonimizados.

Proceso recomendado antes de publicar

1. Diseñar una checklist específica para cada tipo de documento (pliego técnico, memoria, acta, contrato).
2. Designar un responsable de publicación que revise siempre antes de subir a la plataforma.
3. Anonimizar datos no imprescindibles — DNI salvo obligación legal, teléfono y email personal, firmas manuscritas, CVs detallados.
4. Conservar una copia completa del expediente en el archivo interno para uso administrativo; sólo la versión depurada se publica.
5. Documentar el criterio — por qué se publica X dato y por qué se elimina Y. Esta trazabilidad es fundamental si hay una reclamación posterior.
6. Revisar metadatos — los PDFs generados desde Word mantienen el autor y el historial de cambios.

Particularidades de la Plataforma de Contratación del Sector Público

La PLACSP es una plataforma estatal que agrega expedientes de todas las administraciones. Los documentos que se suben son indexados por Google y por buscadores especializados. Lo que publicas ahí es público mundial, indefinidamente, y prácticamente imposible de retirar por completo una vez indexado.

Consecuencias prácticas:

• Un error de no anonimizar en 2024 puede seguir apareciendo en Google en 2030.
• Los licitadores afectados tienen derecho a solicitar la supresión de sus datos personales de un expediente publicado (derecho al olvido), y la administración debe atenderlo.
• La supresión efectiva requiere retirar el documento original y coordinar con el buscador; no es un proceso inmediato.

Por eso la prevención —anonimizar antes de publicar— es infinitamente más eficiente que la corrección posterior.

Qué ha dicho la jurisprudencia

El Tribunal Supremo y la Audiencia Nacional han matizado en varias sentencias:

• La publicación de datos personales en el perfil del contratante tiene base legal en la LCSP solo para los datos imprescindibles para la transparencia.
• Los datos que exceden esa necesidad son tratamientos ilícitos y pueden dar lugar a sanción e indemnización.
• El DNI completo del representante legal no es imprescindible; basta nombre y apellidos para identificar a la persona física adjudicataria cuando es autónoma.
• Las firmas manuscritas en documentos publicados no aportan valor de transparencia y deben eliminarse.

Preguntas frecuentes

¿Puedo publicar la memoria técnica íntegra que presentó el licitador?

No sin revisión. Debe anonimizarse la parte de datos de personal (CV, certificados profesionales, referencias con datos de clientes). La parte puramente técnica y metodológica puede publicarse.

¿Los datos del autónomo adjudicatario son datos personales a pesar de su actividad empresarial?

Sí. Cuando el autónomo coincide con la persona física, sus datos son personales. La LCSP exige publicar la identidad del adjudicatario, lo que incluye el nombre; el resto de datos (DNI completo, dirección personal) debe minimizarse.

¿Debemos anonimizar los nombres de los miembros de la mesa de contratación?

La AEPD ha aceptado la publicación cuando son personal institucional con cargo representativo. Si son técnicos contratados al efecto o asesores externos, debe valorarse si su identificación individual aporta transparencia o si basta con el órgano.

¿Qué pasa si descubrimos que publicamos un expediente sin anonimizar?

Procede inmediata retirada o sustitución por versión depurada; notificación al DPO; evaluación si hubo ya indexación por terceros (Google, buscadores especializados); y valoración de si procede notificación a los afectados y a la AEPD en menos de 72 horas. Documentar todo el proceso.

Conclusión

La contratación pública exige transparencia radical y, a la vez, respeto escrupuloso a la protección de datos personales. La reconciliación pasa por depurar sistemáticamente los documentos antes de publicarlos, limitando los datos personales a los estrictamente imprescindibles para la finalidad de control ciudadano. No hacerlo tiene consecuencias cada vez más frecuentes en forma de sanciones de la AEPD.

Si gestionas expedientes de contratación en una administración o asesoras a entidades del sector público, prueba anonimiza.do para automatizar la depuración de pliegos, memorias y actas antes de publicación. Reconoce DNI, NIE, teléfonos y otros identificadores españoles.