Contractació pública i RGPD: dades personals en plecs i licitacions

Els expedients de contractació pública són un dels vehicles més freqüents de filtració de dades personals a Espanya. La Llei de Contractes del Sector Públic exigeix una àmplia obligació de publicitat al perfil del contractant i a la Plataforma de Contractació del Sector Públic, i alhora el RGPD imposa protegir les dades de les persones físiques que apareixen en aquests documents. Aquesta guia explica com conciliar totes dues obligacions sense infracció.

El xoc de principis: publicitat versus protecció de dades

La LCSP (arts. 63 i 154) estableix que l’òrgan de contractació ha de publicar al perfil del contractant:

• L’anunci de licitació i els plecs
• L’acte d’adjudicació amb identificació de l’adjudicatari i puntuació
• El contracte formalitzat
• Les modificacions contractuals
• Les penalitats imposades, si n’hi ha

Alhora, el RGPD i la LOPDGDD exigeixen que aquesta publicació no inclogui més dades personals de les estrictament necessàries per a la finalitat perseguida (control ciutadà, transparència, igualtat d’oportunitats).

L’AEPD ha aclarit reiteradament que l’obligació de transparència no és un xec en blanc: cada dada personal inclosa en un document publicat ha de superar el test de proporcionalitat. Si no és imprescindible per als fins de transparència, no s’ha de publicar.

Quines dades personals apareixen en un expedient de contractació típic

Un expedient complet pot contenir desenes de dades personals distribuïdes en:

Plecs de prescripcions tècniques

• Signatura i càrrec del redactor (tècnic de l’ajuntament, conselleria, etc.)
• Telèfon directe de contacte
• En ocasions, dades de l’empresa redactora si es va externalitzar

Memòries tècniques presentades pels licitadors

• Dades del personal tècnic proposat (CV, titulació, experiència)
• Dades de referències i clients previs
• Signatures i càrrecs

Plec de clàusules administratives particulars

• Signatura dels redactors
• Dades del responsable del contracte

Actes de la mesa de contractació

• Noms i càrrecs dels membres de la mesa
• Identificació dels assistents
• Signatures

Propostes econòmiques i resolucions d’adjudicació

• Representant legal del licitador (persona física)
• DNI del signant
• Import ofert (no és personal, però permet reidentificar si es creua)

Contracte formalitzat

• Dades completes del representant legal
• Adreça d’empresa individual (coincideix amb domicili personal de l’autònom)

Criteris de l’AEPD sobre què publicar i què anonimitzar

La doctrina consolidada de l’AEPD i els tribunals distingeix:

El que s’ha de publicar amb identificació

• Òrgan de contractació: institució, no persones físiques
• Identitat de l’adjudicatari: si és persona jurídica, raó social; si és persona física (autònom), el nom es publica perquè la transparència obliga a identificar qui contracta amb l’administració
• Import del contracte, terminis, objecte

El que s’ha d’anonimitzar o minimitzar

• DNI/NIE del representant — no és necessari per a la transparència; n’hi ha prou amb el nom
• Telèfon personal, email personal, adreça personal del representant
• CV detallat del personal tècnic proposat — n’hi ha prou amb els perfils professionals necessaris per a la valoració
• Dades de familiars que apareguin en informes de solvència
• Signatures manuscrites — excepte en actes notarials, les signatures no aporten transparència i permeten falsificació

El que exigeix avaluació cas per cas

• Noms de membres de la mesa de contractació — l’AEPD ha acceptat la seva publicació quan tenen càrrec institucional, amb matisos si són personal eventual
• Puntuacions detallades per licitador — publicar la comparativa completa pot ser necessari per a la transparència, però permet inferir informació sobre tercers licitadors
• Recursos i al·legacions presentades — solen contenir dades personals del recurrent que no són necessàries en la publicació

Risc real: el perfil del contractant com a font de dades personals

Hem analitzat desenes de perfils del contractant d’ajuntaments i conselleries. Els patrons problemàtics més habituals:

1. Memòries tècniques dels licitadors publicades íntegres sense depurar CVs del personal.
2. Escanejos de contractes on apareix el DNI complet de l’adjudicatari persona física.
3. Actes de mesa de contractació amb signatures manuscrites de tots els assistents.
4. Resolucions sancionadores on s’identifica l’autònom sancionat amb totes les seves dades.

Qualsevol ciutadà amb temps pot, a través de cerques automatitzades, construir un perfil detallat de licitadors habituals, tècnics municipals i representants legals a partir de dades que haurien d’estar anonimitzades.

Procés recomanat abans de publicar

1. Dissenyar una checklist específica per a cada tipus de document (plec tècnic, memòria, acta, contracte).
2. Designar un responsable de publicació que revisi sempre abans de pujar a la plataforma.
3. Anonimitzar dades no imprescindibles — DNI excepte obligació legal, telèfon i email personal, signatures manuscrites, CVs detallats.
4. Conservar una còpia completa de l’expedient a l’arxiu intern per a ús administratiu; només la versió depurada es publica.
5. Documentar el criteri — per què es publica X dada i per què s’elimina Y. Aquesta traçabilitat és fonamental si hi ha una reclamació posterior.
6. Revisar metadades — els PDFs generats des de Word mantenen l’autor i l’historial de canvis.

Particularitats de la Plataforma de Contractació del Sector Públic

La PLACSP és una plataforma estatal que agrega expedients de totes les administracions. Els documents que es pugen són indexats per Google i per cercadors especialitzats. El que publiques allà és públic mundial, indefinidament, i pràcticament impossible de retirar per complet una vegada indexat.

Conseqüències pràctiques:

• Un error de no anonimitzar el 2024 pot continuar apareixent a Google el 2030.
• Els licitadors afectats tenen dret a sol·licitar la supressió de les seves dades personals d’un expedient publicat (dret a l’oblit), i l’administració ho ha d’atendre.
• La supressió efectiva requereix retirar el document original i coordinar amb el cercador; no és un procés immediat.

Per això la prevenció —anonimitzar abans de publicar— és infinitament més eficient que la correcció posterior.

Què ha dit la jurisprudència

El Tribunal Suprem i l’Audiència Nacional han matisat en diverses sentències:

• La publicació de dades personals al perfil del contractant té base legal en la LCSP només per a les dades imprescindibles per a la transparència.
• Les dades que excedeixen aquesta necessitat són tractaments il·lícits i poden donar lloc a sanció i indemnització.
• El DNI complet del representant legal no és imprescindible; n’hi ha prou amb nom i cognoms per identificar la persona física adjudicatària quan és autònoma.
• Les signatures manuscrites en documents publicats no aporten valor de transparència i s’han d’eliminar.

Preguntes freqüents

Puc publicar la memòria tècnica íntegra que va presentar el licitador?

No sense revisió. S’ha d’anonimitzar la part de dades de personal (CV, certificats professionals, referències amb dades de clients). La part purament tècnica i metodològica es pot publicar.

Les dades de l’autònom adjudicatari són dades personals malgrat la seva activitat empresarial?

Sí. Quan l’autònom coincideix amb la persona física, les seves dades són personals. La LCSP exigeix publicar la identitat de l’adjudicatari, cosa que inclou el nom; la resta de dades (DNI complet, adreça personal) s’ha de minimitzar.

Hem d’anonimitzar els noms dels membres de la mesa de contractació?

L’AEPD ha acceptat la publicació quan són personal institucional amb càrrec representatiu. Si són tècnics contractats a l’efecte o assessors externs, s’ha de valorar si la seva identificació individual aporta transparència o si n’hi ha prou amb l’òrgan.

Què passa si descobrim que vam publicar un expedient sense anonimitzar?

Procedeix immediata retirada o substitució per versió depurada; notificació al DPO; avaluació si ja hi va haver indexació per tercers (Google, cercadors especialitzats); i valoració de si procedeix notificació als afectats i a l’AEPD en menys de 72 hores. Documentar tot el procés.

Conclusió

La contractació pública exigeix transparència radical i, alhora, respecte escrupolós a la protecció de dades personals. La reconciliació passa per depurar sistemàticament els documents abans de publicar-los, limitant les dades personals a les estrictament imprescindibles per a la finalitat de control ciutadà. No fer-ho té conseqüències cada vegada més freqüents en forma de sancions de l’AEPD.

Si gestiones expedients de contractació en una administració o assessores entitats del sector públic, prova anonimiza.do per automatitzar la depuració de plecs, memòries i actes abans de publicació. Reconeix DNI, NIE, telèfons i altres identificadors espanyols.