INCUMPLIMIENTO DEL ARTÍCULO 122 LCSP POR OMISIÓN DE LAS OBLIGACIONES MÍNIMAS EN MATERIA DE PROTECCIÓN DE DATOS PERSONALES

El Tribunal Administrativo Central de Recursos Contractuales, en su Resolución 631/2026, de 16 de abril, analiza y estima la alegación del recurrente sobre el incumplimiento del artículo 122 de la LCSP y del art. 28 RGPD en cuanto al contenido mínimo del PCAP en materia de protección de datos.

Afirma el recurso que en aquellos contratos que conlleven tratamiento de datos por el contratista – encargado de tratamiento- por cuenta del Ayuntamiento – responsable de tratamiento- el artículo 122 de la LCSP exige que se haga constar la información mínima (finalidad del tratamiento, sometimiento a normativa, ubicación de servidores, subcontratación de servidores) en materia de protección de datos personales, información que no consta en los pliegos que se impugnan. Y en coherencia con el artículo 28 RGPD en el pliego debería constar el objeto, duración, naturaleza, finalidad del tratamiento, tipo de datos, categorías de interesados y obligaciones y derechos del responsable, lo que no consta en los pliegos.

De igual manera, la actora señala el incumplimiento de la obligación de contar con una condición especial de ejecución en materia de protección de datos a los que estaría obligado el pliego al implicar cesión de datos.

Pues bien el artículo 122.2 de la LCSP señala:

“2. En los pliegos de cláusulas administrativas particulares se incluirán los criterios de solvencia y adjudicación del contrato; las consideraciones sociales, laborales y ambientales que como criterios de solvencia, de adjudicación o como condiciones especiales de ejecución se establezcan; los pactos y condiciones definidores de los derechos y obligaciones de las partes del contrato; la previsión de cesión del contrato salvo en los casos en que la misma no sea posible de acuerdo con lo establecido en el segundo párrafo del artículo 214.1; la obligación del adjudicatario de cumplir las condiciones salariales de los trabajadores conforme al Convenio Colectivo sectorial de aplicación; y las demás menciones requeridas por esta Ley y sus normas de desarrollo. En el caso de contratos mixtos, se detallará el régimen jurídico aplicable a sus efectos, cumplimiento y extinción, atendiendo a las normas aplicables a las diferentes prestaciones fusionadas en ellos.
Los pliegos podrán también especificar si va a exigirse la transferencia de derechos de propiedad intelectual o industrial, sin perjuicio de lo establecido en el artículo 308 respecto de los contratos de servicios.
Los pliegos deberán mencionar expresamente la obligación del futuro contratista de respetar la normativa vigente en materia de protección de datos.
Sin perjuicio de lo establecido en el artículo 28.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE, en aquellos contratos cuya ejecución requiera el tratamiento por el contratista de datos personales por cuenta del responsable del tratamiento, adicionalmente en el pliego se hará constar:
a) La finalidad para la cual se cederán dichos datos.
b) La obligación del futuro contratista de someterse en todo caso a la normativa nacional y de la Unión Europea en materia de protección de datos, sin perjuicio de lo establecido en el último párrafo del apartado 1 del artículo 202.
c) La obligación de la empresa adjudicataria de presentar antes de la formalización del contrato una declaración en la que ponga de manifiesto dónde van a estar ubicados los servidores y desde dónde se van a prestar los servicios asociados a los mismos.
d) La obligación de comunicar cualquier cambio que se produzca, a lo largo de la vida del contrato, de la información facilitada en la declaración a que se refiere la letra c) anterior.
e) La obligación de los licitadores de indicar en su oferta, si tienen previsto subcontratar los servidores o los servicios asociados a los mismos, el nombre o el perfil empresarial, definido por referencia a las condiciones de solvencia profesional o técnica, de los subcontratistas a los que se vaya a encomendar su realización.
En los pliegos correspondientes a los contratos a que se refiere el párrafo anterior las obligaciones recogidas en las letras a) a e) anteriores en todo caso deberán ser calificadas como esenciales a los efectos de lo previsto en la letra f) del apartado 1 del artículo 211.”

Y, por su parte, el art. 39.1.h de la LCSP:

“1. Son causas de nulidad de derecho administrativo las indicadas en el artículo 47 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.
h) La falta de mención en los pliegos de lo previsto en los párrafos tercero, cuarto y quinto del apartado 2 del artículo 122”.

Pues bien, el objeto específico del presente contrato de concesión de servicios se define en la cláusula 1ª del PPT, en los que se dispone que,

“Es objeto del contrato la prestación por gestión indirecta mediante concesión de los servicios asociados al servicio de abastecimiento domiciliario de Agua Potable y Alcantarillado en el Municipio de Peñíscola en los términos y con el alcance establecido en el Pliego de Cláusulas Administrativas Particulares y en el presente Pliego de Prescripciones Técnicas, así como en el resto de la documentación que tenga carácter contractual de acuerdo con las previsiones del presente Pliego.

En el presente Pliego de Prescripciones Técnicas los aspectos técnicos que regirán la explotación del Servicio de Abastecimiento de Agua Potable y Alcantarillado del municipio de Peñíscola (Castellón), que constituyen, junto con el Pliego de Cláusulas Administrativas Particulares, Reglamento municipal del Servicio y Ordenanzas, las disposiciones especiales que lo regularán.

La explotación de los Servicios incluye, asimismo, la gestión administrativa del mismo, con el alcance y funciones que se especifican en el presente Pliego y en el Pliego de Cláusulas Administrativas que rige este contrato”.

Aunque no resulta una cuestión controvertida, pues el propio órgano de contratación reconoce que hay tratamiento de tales datos, ya que afirma que el PPTP prevé la utilización del padrón de usuarios, base para facturación y cobro, con obligaciones típicas de gestión comercial y relación directa con abonados, a este respecto, el art. 4 del RGPD define al dato personal como “toda información sobre una persona física identificada o identificable; se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”.

Ello es así, pero sin referencia alguna en el PCAP a la obligación o sometimiento del contratista a la normativa en materia de protección de datos de carácter personal, extremo que niega el órgano de contratación en su informe de recurso especial, afirmando que no tiene la mencionada obligación, pues “el PPTP prevé expresamente que Ayuntamiento y concesionario darán cumplimiento a la normativa de protección de datos, firmando el contrato correspondiente antes de la cesión de los datos del padrón de abonados”, lo que viene a ser una remisión posterior al cumplimiento de la citada normativa aun reconociendo su ausencia en los pliegos.

Sin embargo, examinada la normativa en la materia, ha de concluirse que el pliego debió hacer mención a tal sujeción, de conformidad con lo establecido en el art. 122 de la LCSP. Efectivamente, los artículos 2.1 de la LOPD (Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales), y del RGPD disponen que “El presente Reglamento (o la presente LOPD) se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero”. En cuanto a qué ha de entenderse por “tratamiento de datos”, éste se encuentra definido legalmente en el artículo 4.2 RGPD de la siguiente forma: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”.

De lo anterior se deduce claramente que una concesión de servicio de abastecimiento de agua y saneamiento ha de tener la consideración de actividad en la que se involucra o requiere tratamiento de datos, pues esos datos están en el soporte físico, la documentación, a la que tiene que acceder el contratista en ejecución del contrato (art. 122 LCSP), y por ello, deberá ser de aplicación la normativa en materia de protección de datos de carácter personal.

Por lo expuesto, este motivo de impugnación debe ser acogido, debiendo el órgano de contratación incluir en los pliegos las obligaciones que respecto del tratamiento de datos de carácter personal exige el artículo 122 de la LCSP, ya que será la aplicación de tal normativa la que garantice el cumplimiento de las exigencias de protección, en los términos que la misma establezca. El artículo 39.2.h) de la LCSP establece como causa de nulidad radical “la falta de mención en los pliegos de lo previsto en los párrafos tercero, cuarto y quinto del apartado 2 del artículo 122”, por lo que ha de procederse a la retroacción del procedimiento hasta el momento anterior a la aprobación de los pliegos, y la de todos aquellos actos de trámite que vulneren el contenido de las cuestiones tratadas en el presente recurso.