Volver a página de inicio

El Real Decreto-Ley 14/2019, de 31 de octubre (LA LEY 16703/2019), por el que se adoptan medidas urgentes por razones de seguridad pública en materia de administración digital, contratación del sector público y telecomunicaciones, ha generado una polvareda de comentarios de todo tipo. Y al mismo tiempo, una significativa preocupación entre los operadores. Tal vez la que como investigador más sorprendente resulta es la relativa a ¿y ahora donde pongo los servidores?

Tanta complejidad conduce de hecho a ciertas conclusiones aparentemente sencillas:

• 1.- Hay que modular el cumplimiento del Reglamento General de Protección de Datos (LA LEY 6637/2016) incluyendo un conjunto de cláusulas específicas en las cláusulas administrativas o en el pliego de prescripciones técnicas. Ello implica una estrategia doble de diligencia que obligue al proveedor a aportar documentación que asegure el cumplimiento, y de la Administración definiendo de modo preciso las referidas cláusulas.
• 2.- Que no pueden usarse un servidor fuera de España debería incorporarse a la lista de bulos que circulan por internet. La norma persigue dos objetivos menos ambiciosos y comprensibles:
  • ▪ La capacidad de control del responsable del tratamiento y el aseguramiento del cumplimiento del RGPD y la ley nacional. Y en esto no difiere un ápice de los problemas que planteó en su día la subcontratación de servicios en la nube con condiciones generales de contratación.
  • ▪ Asegurar la posibilidad de acción de la autoridad judicial y/o bajo las debidas condiciones de las Fuerzas y Cuerpos de Seguridad del Estado.
• 3.- Dónde mayores problemas existen es en la contratación de sistemas de información vinculados a la validación de identidad y la firma electrónica cuando se base en claves concertadas o sistemas propios de la Administración. En ambos casos se generan reglas idénticas respecto de la ubicación territorial de estos sistemas según las claves concertadas o los sistemas de firma admitidos, según se vinculen o no al tratamiento de categorías especiales de datos.

  Sistema de información sin categorías especiales de datos.	Sistemas de información con categorías especiales de datos.
  ▪ España. ▪ Territorio de la Unión Europea. ▪ Países con decisión de adecuación. ▪ Obligaciones internacionales asumidas por el Reino de España	▪ España. ▪ Países con decisión de adecuación. ▪ Obligaciones internacionales asumidas por el Reino de España

• 4.- En los tratamientos que afectan a la Administración Electoral, la Administración Local, Administración Tributaria en todos sus niveles, y al sistema nacional de salud, cabe entender que, tanto en el nivel del Ministerio de Sanidad, como en el autonómico, así como en aquellos hospitales públicos dependientes de administraciones locales, el sistema de información podría estar en cuatro posibles ubicaciones:
  • ▪ España.
  • ▪ Territorio de la Unión Europea.
  • ▪ Países con decisión de adecuación.
  • ▪ Ubicaciones derivadas del cumplimiento de obligaciones internacionales asumidas por el Reino de España.
• 5.- El real Decreto-Ley lamina toda posibilidad a las Administraciones de experimentar con blockchain.

I. CAMINANDO POR EL LABERINTO

Vistas las conclusiones, y si el lector desea tratar de entender el laberinto en el que nos introduce la norma es fundamental situar su naturaleza estructural. Uno de los problemas que plantean las normas ómnibus que modifican distintos sectores del ordenamiento reside precisamente en el despliegue de una adecuada interpretación sistemática de las mismas. Y esta norma resulta particularmente complicada porque como mínimo afecta a tres bloques muy definidos:

• — La contratación del sector público.
• — Los procedimientos de validación y certificación vinculados a la administración electrónica.
• — Las redes de telecomunicaciones.

En este trabajo, nos centraremos en las dos primeras y, de alguna manera en su intersección.

II. MODULAR EL CUMPLIMIENTO DEL REGLAMENTO GENERAL DE PROTECCIÓN DE DATOS

El conjunto de las recomendaciones persigue el cumplimiento del deber de diligencia que impone el artículo 28 del Reglamento (UE) 2016/679 (LA LEY 6637/2016) impone al responsable del tratamiento, el deber de elegir «únicamente» un encargado que ofrezca «garantías suficientes para aplicar medidas técnicas y organizativas apropiados», de manera que el tratamiento sea conforme con los requisitos del Reglamento y garantice la protección de los derechos de la persona interesada.

La nueva redacción que el Real Decreto ha dado a la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público (LA LEY 17734/2017), únicamente puede ser leído en términos de garantía del derecho fundamental a la protección de datos y de puesta en valor del deber de diligencia de la administración. Sin perjuicio, de que no se comparta el grado de complejidad de la reforma, no está de más realizar un análisis crítico de la realidad. Y ésta es ciertamente tozuda. No es extraño toparse con modelos de contratación pública muy lejanos a los estándares de diligencia exigibles, no ya por el RGPD, incluso desde el punto de vista de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LA LEY 4633/1999).

La reforma incorpora un conjunto de estrategias que no son novedosas, que se podrían considerar implícitas en la regulación preexistente, pero que no siempre han sido debidamente atendidas. Y, la inveterada costumbre de nuestra Administración de responder al decretazo no es una cuestión cultural desdeñable. ¿O es que acaso alguien recuerda que la Administración manifestase el menor interés por la seguridad hasta el Real Decreto 1720/2007, de 21 de diciembre (LA LEY 13934/2007), por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos (LA LEY 4633/1999) de carácter personal? Es más, ¿en qué mejora a MAGERIT el Real Decreto 3/2010, de 8 de enero (LA LEY 630/2010), por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica? O, ¿por qué consejerías, universidades o ayuntamientos publican las obligaciones de seguridad de su personal mediante normas reglamentarias? Seamos críticos, pero también honestos, la garantía del derecho fundamental a la protección de datos y de la seguridad por la administración española se consigue a golpe de decreto a falta de un incentivo mejor.

Y esta reforma, positiva lo obvio. A saber:

• A.- La necesaria consideración de los aspectos de protección de datos en el procedimiento de preparación del pliego. Y, por tanto, la necesaria implementación de protocolos o procesos específicos en esta materia.
• B.- Que hay que incluir una referencia a la legislación aplicable al contrato, con expresa mención al sometimiento a la normativa nacional y de la Unión Europea en materia de protección de datos. Y que esta referencia no es meramente declarativa, sino que implica un deber imperativo de cumplimiento.

  Este deber alcanza por tanto a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LA LEY 19303/2018) y en su caso a la legislación sectorial aplicable. Por ejemplo, la contratación de tratamientos relacionados con la investigación biomédica obligará a considerar la disposición adicional decimoséptima sobre tratamientos de datos de salud de la LOPDGDD (LA LEY 19303/2018) y si procediera la legislación sectorial sobre ensayos clínicos etc.

• C.- Que la aportación de elementos que permitan una cierta demostración de las capacidades del encargado opera como criterio de solvencia y adjudicación del contrato.

  Por ejemplo, y en una lista no excluyente ni limitada:

  • a) Certificado de adhesión a un Código de Conducta conforme al artículo 40 RGPD (LA LEY 6637/2016).
  • b) Acreditación de la implementación de un estándar de cumplimiento normativo certificable, así como la correspondiente certificación conforme al artículo 42 RGPD (LA LEY 6637/2016).
  • c) Acreditación de la implementación de un estándar de seguridad certificable, así como la correspondiente certificación conforme al artículo 42 RGPD (LA LEY 6637/2016).
  • d) Informe favorable de auditoría de cumplimiento normativo con identificación de la entidad que lo expide.
  • e) Informe favorable de auditoría de seguridad con identificación de la entidad que lo expide.
  • f) Certificación o acreditación de la formación de su personal en materia de protección de datos personales, confidencialidad y seguridad.
  • g) Datos de contacto del delegado de protección de datos designado con las garantías y para las funciones previstas por los artículos 37 a (LA LEY 6637/2016)39 RGPD (LA LEY 6637/2016) o justificación de la no obligatoriedad de su designación.
  • h) Cualquier otro documento que acredite la capacidad de disponer de las adecuadas medidas técnicas y organizativas, de manera que el tratamiento sea conforme con los requisitos del Reglamento General de Protección de Datos (LA LEY 6637/2016).

  En cualquier caso, se considera esencial desde nuestro punto de vista, para el encargado:

  • a) Acreditar la formación del personal.
  • b) Descripción genérica de las medidas de seguridad que aplica en los sistemas de información relacionados con el tratamiento o referir el estándar aplicable o una acreditación de un auditor independiente.
  • c) Garantías de cumplimiento normativo y en particular la existencia de un registro de actividades de tratamiento en calidad de encargado salvo excepción legal.

  La falsedad o inexactitud en estas declaraciones debería ser condición resolutoria del contrato

• D.- Que el conjunto de previsiones, o instrucciones que conforme a lo dispuesto por el artículo 28 RGPD (LA LEY 6637/2016) corresponde establecer al responsable poseen un contenido material relevante.
• E.- Asegurar la responsabilidad en los supuestos de subcontratación.
• F.- Que la confiabilidad del proveedor es relevante. Por tanto, si tenemos constancia de que ha incumplido el RGPD en sus prestaciones no seremos muy diligentes en la contratación.

  Sin embargo, esta es una de las cláusulas criticables por diversas razones:

  • — No existe información registral confiable en esta materia más allá de la propia experiencia de la administración o la publicación de resoluciones sancionadoras por la Agencia Española de Protección de Datos.
  • — No ofrece una guía segura de interpretación. La función del aparato sancionador en protección de datos personales debería respetar los principios del artículo 25 de la Constitución Española (LA LEY 2500/1978). En ese sentido, ¿posee derecho a la reinserción una empresa que cometió un error en el pasado? ¿Cuál será el plazo de la prohibición de contratar?

  Por ello parece razonable:

  • — Incluir una declaración de exclusión de la contratación de empresas que hubieran incumplido anteriormente sus obligaciones con la propia administración.
  • — Solicitar una declaración responsable de no haber sido resuelto un contrato por causa basada en los incumplimientos en materia de protección de datos.
  • — Declaración responsable de no haber sido sancionada por la Agencia Española de Protección de Datos u otra autoridad de protección de datos en cualquier país de la Unión, así como copia de las sanciones eventualmente impuestas.
  • — Tener en cuenta al efecto de la aplicación de este criterio los plazos de prescripción de la responsabilidad en protección datos.
• G.- La inclusión de penalidades en relación con las obligaciones del encargado del tratamiento.

III.- EL PROBLEMA DE LOS SERVIDORES

El nuevo artículo 122.2 de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público (LA LEY 17734/2017), introduce tres obligaciones relacionadas con los servidores.

c) La obligación de la empresa adjudicataria de presentar antes de la formalización del contrato una declaración en la que ponga de manifiesto dónde van a estar ubicados los servidores y desde dónde se van a prestar los servicios asociados a los mismos.

d) La obligación de comunicar cualquier cambio que se produzca, a lo largo de la vida del contrato, de la información facilitada en la declaración a que se refiere la letra c) anterior.

e) La obligación de los licitadores de indicar en su oferta, si tienen previsto subcontratar los servidores o los servicios asociados a los mismos, el nombre o el perfil empresarial, definido por referencia a las condiciones de solvencia profesional o técnica, de los subcontratistas a los que se vaya a encomendar su realización.

Estas obligaciones se consideran como esenciales. Para una primera interpretación de esta norma, puede ser interesante rescatar un precepto del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (LA LEY 13934/2007). Este establecía en su artículo 82:

• 1. Cuando el responsable del fichero o tratamiento facilite el acceso a los datos, a los soportes que los contengan o a los recursos del sistema de información que los trate, a un encargado de tratamiento que preste sus servicios en los locales del primero deberá hacerse constar esta circunstancia en el documento de seguridad de dicho responsable, comprometiéndose el personal del encargado al cumplimiento de las medidas de seguridad previstas en el citado documento.

  Cuando dicho acceso sea remoto habiéndose prohibido al encargado incorporar tales datos a sistemas o soportes distintos de los del responsable, este último deberá hacer constar esta circunstancia en el documento de seguridad del responsable, comprometiéndose el personal del encargado al cumplimiento de las medidas de seguridad previstas en el citado documento.

• 2. Si el servicio fuera prestado por el encargado del tratamiento en sus propios locales, ajenos a los del responsable del fichero, deberá elaborar un documento de seguridad en los términos exigidos por el artículo 88 de este reglamento o completar el que ya hubiera elaborado, en su caso, identificando el fichero o tratamiento y el responsable del mismo e incorporando las medidas de seguridad a implantar en relación con dicho tratamiento.
• 3. En todo caso, el acceso a los datos por el encargado del tratamiento estará sometido a las medidas de seguridad contempladas en este reglamento.

Es decir, para el regulador, históricamente «dónde se tratan los datos» es relevante desde el punto de vista de la seguridad. En este plano, la declaración respecto de «dónde» se encuentran los servidores puede presentar cierta lógica, aunque la dicción del legislador sea nefasta.

Si lo que se persigue es establecer en qué país se encuentran los servidores puede entenderse que nos enfrentamos a un problema que ya vivimos con el nacimiento del Cloud y que puede resolverse mediante prácticas de transparencia. Recuérdese que las autoridades de protección de datos acabaron por considerar adecuado a la normativa mantener una página web actualizada en la que el proveedor informase en tiempo real sobre sus subcontrataciones. En este plano, la nueva legislación no prohíbe ubicar servidores en otros países, se limita a documentar su ubicación, cabe entender que para garantizar dos valores:

• ▪ La capacidad de control del responsable del tratamiento y el aseguramiento del cumplimiento del RGPD y la ley nacional.
• ▪ La posibilidad de acción de la autoridad judicial y/o bajo las debidas condiciones de las Fuerzas y Cuerpos de Seguridad del Estado.

Este, y no otro sentido que le da la norma cuando en su exposición de motivos afirma:

dada la importancia que en determinados casos puede presentar para los intereses de la seguridad nacional conocer la ubicación de los servidores en los que se alojarán los datos que ceda la Administración con motivo de la ejecución de un contrato público, desde dónde se van a prestar los servicios asociados a los mismos y asegurar el sometimiento de la ejecución de ese contrato a la normativa nacional y de la Unión Europea en materia de protección de datos

IV. CONTRATACIÓN DE TERCEROS PARA EL ALOJAMIENTO O GESTIÓN DE LOS SISTEMAS DE INFORMACIÓN UTILIZADOS PARA VALIDACIONES MEDIANTE SISTEMAS DE CLAVE CONCERTADA

El Real Decreto Ley modifica el artículo 9 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LA LEY 15010/2015) en relación con los sistemas de clave concertada. Para ellos:

• 3. (…) se establece la obligatoriedad de que los recursos técnicos necesarios para la recogida, almacenamiento, tratamiento y gestión de dichos sistemas se encuentren situados en territorio de la Unión Europea, y en caso de tratarse de categorías especiales de datos a los que se refiere el artículo 9 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (LA LEY 6637/2016), relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (LA LEY 5793/1995), en territorio español. En cualquier caso, los datos se encontrarán disponibles para su acceso por parte de las autoridades judiciales y administrativas competentes.

  Los datos a que se refiere el párrafo anterior no podrán ser objeto de transferencia a un tercer país u organización internacional, con excepción de los que hayan sido objeto de una decisión de adecuación de la Comisión Europea o cuando así lo exija el cumplimiento de las obligaciones internacionales asumidas por el Reino de España.

• 4. En todo caso, la aceptación de alguno de estos sistemas por la Administración General del Estado servirá para acreditar frente a todas las Administraciones Públicas, salvo prueba en contrario, la identificación electrónica de los interesados en el procedimiento administrativo.

Ello obliga a una lectura muy precisa. Debe subrayarse cómo la rúbrica del artículo 9 se refiere a los sistemas de identificación de los interesados en el procedimiento, no se refieren al conjunto de los sistemas de información en los que se concrete el tratamiento. Esto plantea una cierta complejidad interpretativa, ya que el resultado práctico podría ser el siguiente, que podemos ver a través de dos ejemplos:

Ejemplo 1.- Acceso a sede electrónica de una universidad mediante el usuario y contraseña facilitados por a la universidad.

Estos sistemas de validación de identidad con claves concertadas, suelen usar validaciones LDAP, únicamente pueden ubicarse en países de la Unión Europea o en aquellos países que cuenten con decisión de adecuación para las transferencias internacionales de datos.

Idéntica previsión se ha incluido en los apartados 3 y 4 del artículo 10.2 de la Ley 39/2015 (LA LEY 15010/2015) respecto de los sistemas de firma admitidos por las Administraciones Públicas. De nuevo, si se admite «otro sistema que las Administraciones Públicas consideren válido en los términos y condiciones que se establezca, siempre que cuenten con un registro previo como usuario que permita garantizar su identidad, previa autorización» se aplica idéntica obligación. En consecuencia:

— Los sistemas de firma reconocidos por la universidad distintos de los sistemas de firma electrónica cualificada y avanzada y de los sistemas de sello electrónico cualificado y de sello electrónico avanzado regulados por el artículo 10.2ª (LA LEY 15010/2015) y 10.2.b) de la Ley 39/2015 (LA LEY 15010/2015),, únicamente pueden ubicarse en países de la Unión Europea o en aquellos países que cuenten con decisión de adecuación para las transferencias internacionales de datos. En caso de licitar o contratar este tipo de servicios deberá incluirse una cláusula al respecto.

Ejemplo 2.- Acceso a un sistema que permita consultar la historia clínica de paciente en el sistema de prevención de riesgos de la Universidad o firmar electrónicamente documentos como por ejemplo informes médicos descargables por los empleados.

En ambos casos si los sistemas tratan las categorías especiales de datos regulados en el artículo 9 RGPD (LA LEY 6637/2016) se situarán en territorio español. Esto afectará a tratamientos de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientación sexuales de una persona física.

La cuestión más relevante es la interpretación contextual de dos aspectos cuya regulación es deficiente:

• A.- El ámbito de aplicación, que en una interpretación literal se ceñiría a sistemas de validación y firma, y no necesariamente a los sistemas de información respecto de los que proveen el acceso.
• B.- El sentido que cabe atribuir al inciso final de los artículos. 9.3 y 10.3 citados. En ambos casos se dispone:

  Los datos a que se refiere el párrafo anterior no podrán ser objeto de transferencia a un tercer país u organización internacional, con excepción de los que hayan sido objeto de una decisión de adecuación de la Comisión Europea o cuando así lo exija el cumplimiento de las obligaciones internacionales asumidas por el Reino de España.

Ubi lex non distinguit, nec nos distinguere debemus. Una interpretación literal de la norma significa que todos estos sistemas pueden ser objeto de tratamiento en:

Resulta sin duda un efecto particular, y digno de estudio que, aparentemente, los países de la Unión Europea no resulten confiables, o al menos no tanto como Uruguay.

Las consideraciones anteriores deben completarse con las previsiones relacionadas con la contratación de terceros para el alojamiento o gestión de determinados sistemas de información que traten determinadas categorías de datos. El Real Decreto Ley modifica la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LA LEY 15011/2015) en los siguientes términos:

«Artículo 46 bis. Ubicación de los sistemas de información y comunicaciones para el registro de datos.

Los sistemas de información y comunicaciones para la recogida, almacenamiento, procesamiento y gestión del censo electoral, los padrones municipales de habitantes y otros registros de población, datos fiscales relacionados con tributos propios o cedidos y datos de los usuarios del sistema nacional de salud, así como los correspondientes tratamientos de datos personales, deberán ubicarse y prestarse dentro del territorio de la Unión Europea. Los datos a que se refiere el apartado anterior no podrán ser objeto de transferencia a un tercer país u organización internacional, con excepción de los que hayan sido objeto de una decisión de adecuación de la Comisión Europea o cuando así lo exija el cumplimiento de las obligaciones internacionales asumidas por el Reino de España.»

Estas obligaciones afectan a la Administración Electoral, la Administración Local, Administración Tributaria en todos sus niveles, y sistema nacional de salud, cabe entender que, tanto en el nivel del Ministerio de Sanidad, como en el autonómico, así como en aquellos hospitales públicos dependientes de administraciones locales, que los hay, e integrados en el sistema. Aquí la afección ya no se refiere a los sistemas de validación y firma, sino al entero sistema de información. Con cuatro posibles ubicaciones:

• ▪ España.
• ▪ Territorio de la Unión Europea.
• ▪ Países con decisión de adecuación.
• ▪ Obligaciones internacionales asumidas por el Reino de España.

Con lo que podría producirse el siguiente efecto, tomando un ejemplo de referencia. Si la Generalitat Valenciana decidiera alojar en cloud su sistema de gestión de la atención primaria, Abucasis, y no diferenciase o segmentase el proceso de validación, o la firma electrónica de determinados trámites, del sistema principal, podría alojar el sistema en Andorra o Uruguay, pero no en Alemania.

Y ello, como delegado de protección de datos en proyectos de investigación en salud plantea serias preguntas respecto de los procesos de investigación liderados por universidades Españolas. Aviso para navegantes, si participa el sistema nacional de salud, igual sólo puede tratar sus datos en España, —y explíqueselo a su socio alemán—, o como alguien se le ocurra que como Vd. es un hospital o una universidad pública le aplican las leyes 39 y 40/2015, quien sabe si su mejor opción es Andorra.

V. PROHIBICIÓN DEL USO DE BLOCKCHAIN O TECNOLOGÍAS SIMILARES

Finalmente el Real Decreto Ley incluye una nueva disposición adicional en la Ley 39/2015 (LA LEY 15010/2015):

«Disposición adicional sexta. Sistemas de identificación y firma previstos en los artículos 9.2 c) y 10.2 c).

1. No obstante lo dispuesto en los artículos 9.2 c) y 10.2 c) de la presente Ley, en las relaciones de los interesados con los sujetos sometidos al ámbito de aplicación de esta Ley, no serán admisibles en ningún caso y, por lo tanto, no podrán ser autorizados, los sistemas de identificación basados en tecnologías de registro distribuido y los sistemas de firma basados en los anteriores, en tanto que no sean objeto de regulación específica por el Estado en el marco del Derecho de la Unión Europea.

2. En todo caso, cualquier sistema de identificación basado en tecnología de registro distribuido que prevea la legislación estatal a que hace referencia el apartado anterior deberá contemplar asimismo que la Administración General del Estado actuará como autoridad intermedia que ejercerá las funciones que corresponda para garantizar la seguridad pública».

En consecuencia, se prohíben los sistemas de identificación basados en tecnologías de registro distribuido y los sistemas de firma basados en los anteriores. Por tanto, hasta la existencia de una regulación europea específica no se admite el uso por ejemplo de blockchain privado en entornos colaborativos de universidades públicas, o de una diputación con sus ayuntamientos.

Urge, disponer de una interpretación auténtica y precisa del significado de estas normas. Porque, de lo contrario, estamos abocados a ejercicios tan especulativos y peligrosos como el de este propio artículo cuyo contenido, sin duda, es discutible de principio a fin.