Contratación pública e RXPD: datos persoais en pregos e licitacións

Os expedientes de contratación pública son un dos vehículos máis frecuentes de filtración de datos persoais en España. A Lei de contratos do sector público esixe unha ampla obriga de publicidade no perfil do contratante e na Plataforma de Contratación do Sector Público e, á vez, o RXPD impón protexer os datos das persoas físicas que aparecen neses documentos. Esta guía explica como conciliar ambas as obrigas sen cometer ningunha infracción.

O choque de principios: publicidade fronte a protección de datos

A LCSP (arts. 63 e 154) establece que o órgano de contratación debe publicar no perfil do contratante:

• O anuncio de licitación e os pregos
• O acto de adxudicación coa identificación do adxudicatario e a puntuación
• O contrato formalizado
• As modificacións contractuais
• As penalidades impostas, se as hai

Á vez, o RXPD e a LOPDGDD esixen que esa publicación non inclúa máis datos persoais dos estritamente necesarios para a finalidade perseguida (control cidadán, transparencia, igualdade de oportunidades).

A AEPD aclarou reiteradamente que a obriga de transparencia non é un cheque en branco: cada dato persoal incluído nun documento publicado debe superar o test de proporcionalidade. Se non é imprescindible para os fins de transparencia, non debe publicarse.

Que datos persoais aparecen nun expediente de contratación típico

Un expediente completo pode conter decenas de datos persoais distribuídos en:

Pregos de prescricións técnicas

• Sinatura e cargo do redactor (técnico do concello, da consellaría, etc.)
• Teléfono directo de contacto
• En ocasións, datos da empresa redactora se se externalizou

Memorias técnicas presentadas polos licitadores

• Datos do persoal técnico proposto (CV, titulación, experiencia)
• Datos de referencias e clientes previos
• Sinaturas e cargos

Prego de cláusulas administrativas particulares

• Sinatura dos redactores
• Datos do responsable do contrato

Actas da mesa de contratación

• Nomes e cargos dos membros da mesa
• Identificación dos asistentes
• Sinaturas

Propostas económicas e resolucións de adxudicación

• Representante legal do licitador (persoa física)
• DNI do asinante
• Importe ofertado (non é persoal, pero permite reidentificar se se cruza)

Contrato formalizado

• Datos completos do representante legal
• Enderezo da empresa individual (coincide co domicilio persoal do autónomo)

Criterios da AEPD sobre que publicar e que anonimizar

A doutrina consolidada da AEPD e dos tribunais distingue:

O que debe publicarse con identificación

• Órgano de contratación: institución, non persoas físicas
• Identidade do adxudicatario: se é persoa xurídica, a razón social; se é persoa física (autónomo), o nome publícase porque a transparencia obriga a identificar quen contrata coa administración
• Importe do contrato, prazos, obxecto

O que debe anonimizarse ou minimizarse

• DNI/NIE do representante — non é necesario para a transparencia; abonda co nome
• Teléfono persoal, email persoal, enderezo persoal do representante
• CV detallado do persoal técnico proposto — abonda cos perfís profesionais necesarios para a valoración
• Datos de familiares que aparezan en informes de solvencia
• Sinaturas manuscritas — agás en actos notariais, as sinaturas non achegan transparencia e permiten a falsificación

O que esixe unha avaliación caso por caso

• Nomes dos membros da mesa de contratación — a AEPD aceptou a súa publicación cando teñen cargo institucional, con matices se son persoal eventual
• Puntuacións detalladas por licitador — publicar a comparativa completa pode ser necesario para a transparencia, pero permite inferir información sobre terceiros licitadores
• Recursos e alegacións presentados — adoitan conter datos persoais do recorrente que non son necesarios na publicación

Risco real: o perfil do contratante como fonte de datos persoais

Analizamos decenas de perfís do contratante de concellos e consellarías. Os patróns problemáticos máis habituais:

1. Memorias técnicas dos licitadores publicadas íntegras sen depurar os CV do persoal.
2. Escaneos de contratos nos que aparece o DNI completo do adxudicatario persoa física.
3. Actas da mesa de contratación coas sinaturas manuscritas de todos os asistentes.
4. Resolucións sancionadoras nas que se identifica o autónomo sancionado con todos os seus datos.

Calquera cidadán con tempo pode, a través de buscas automatizadas, construír un perfil detallado de licitadores habituais, técnicos municipais e representantes legais a partir de datos que deberían estar anonimizados.

Proceso recomendado antes de publicar

1. Deseñar unha checklist específica para cada tipo de documento (prego técnico, memoria, acta, contrato).
2. Designar un responsable de publicación que revise sempre antes de subir á plataforma.
3. Anonimizar os datos non imprescindibles — DNI agás obriga legal, teléfono e email persoal, sinaturas manuscritas, CV detallados.
4. Conservar unha copia completa do expediente no arquivo interno para uso administrativo; só se publica a versión depurada.
5. Documentar o criterio — por que se publica o dato X e por que se elimina o Y. Esta trazabilidade é fundamental se hai unha reclamación posterior.
6. Revisar os metadatos — os PDFs xerados desde Word manteñen o autor e o historial de cambios.

Particularidades da Plataforma de Contratación do Sector Público

A PLACSP é unha plataforma estatal que agrega expedientes de todas as administracións. Os documentos que se soben son indexados por Google e por buscadores especializados. O que publicas aí é público a nivel mundial, indefinidamente, e practicamente imposible de retirar por completo unha vez indexado.

Consecuencias prácticas:

• Un erro de non anonimizar en 2024 pode seguir aparecendo en Google en 2030.
• Os licitadores afectados teñen dereito a solicitar a supresión dos seus datos persoais dun expediente publicado (dereito ao esquecemento), e a administración debe atendelo.
• A supresión efectiva require retirar o documento orixinal e coordinarse co buscador; non é un proceso inmediato.

Por iso a prevención —anonimizar antes de publicar— é infinitamente máis eficiente que a corrección posterior.

Que dixo a xurisprudencia

O Tribunal Supremo e a Audiencia Nacional matizaron en varias sentenzas:

• A publicación de datos persoais no perfil do contratante ten base legal na LCSP só para os datos imprescindibles para a transparencia.
• Os datos que exceden esa necesidade son tratamentos ilícitos e poden dar lugar a sanción e indemnización.
• O DNI completo do representante legal non é imprescindible; abonda co nome e os apelidos para identificar a persoa física adxudicataria cando é autónoma.
• As sinaturas manuscritas en documentos publicados non achegan valor de transparencia e deben eliminarse.

Preguntas frecuentes

Podo publicar íntegra a memoria técnica que presentou o licitador?

Non sen revisala. Debe anonimizarse a parte de datos de persoal (CV, certificados profesionais, referencias con datos de clientes). A parte puramente técnica e metodolóxica pode publicarse.

Os datos do autónomo adxudicatario son datos persoais a pesar da súa actividade empresarial?

Si. Cando o autónomo coincide coa persoa física, os seus datos son persoais. A LCSP esixe publicar a identidade do adxudicatario, o que inclúe o nome; o resto dos datos (DNI completo, enderezo persoal) debe minimizarse.

Debemos anonimizar os nomes dos membros da mesa de contratación?

A AEPD aceptou a publicación cando son persoal institucional con cargo representativo. Se son técnicos contratados para o efecto ou asesores externos, debe valorarse se a súa identificación individual achega transparencia ou se abonda co órgano.

Que pasa se descubrimos que publicamos un expediente sen anonimizar?

Procede a retirada inmediata ou a substitución pola versión depurada; a notificación ao DPO; avaliar se xa houbo indexación por terceiros (Google, buscadores especializados); e valorar se procede a notificación aos afectados e á AEPD en menos de 72 horas. Hai que documentar todo o proceso.

Conclusión

A contratación pública esixe unha transparencia radical e, á vez, un respecto escrupuloso á protección de datos persoais. A reconciliación pasa por depurar sistematicamente os documentos antes de publicalos, limitando os datos persoais aos estritamente imprescindibles para a finalidade de control cidadán. Non facelo ten consecuencias cada vez máis frecuentes en forma de sancións da AEPD.

Se xestionas expedientes de contratación nunha administración ou asesoras entidades do sector público, proba anonimiza.do para automatizar a depuración de pregos, memorias e actas antes da súa publicación. Recoñece DNI, NIE, teléfonos e outros identificadores españois.

Que suprimir antes de publicar no perfil do contratante, xunto co resto das obrigas do organismo, na páxina anonimización de documentos para administracións públicas.