¿Puede publicarse el documento de garantía con datos bancarios en la plataforma de contratación del sector público sin incumplir el RGPD?

Planteamiento

Estamos elaborando el documento administrativo correspondiente a un contrato de servicios, procedimiento abierto, que ha sido licitado por medio de la plataforma de contratación del sector público. Llegado el momento de la formalización del contrato, tanto en documento como la fase en la plataforma, debemos publicarlo en la plataforma, documento que sólo podrán ver los licitadores que se han presentado al concurso. Bien, en el mencionado contrato adjuntamos, normalmente, los pliegos administrativos, los pliegos técnicos, la oferta final del adjudicatario y la garantía presentada, ya sea aval bancario o ingreso en cuenta.

Nuestra duda viene a la hora de adjuntar la garantía presentada al contrato administrativo, ya que tiene datos bancarios del adjudicatario, aunque al publicarlo en la plataforma de contratación solo lo vean los licitadores que hayan formado parte del proceso, ¿debemos adjuntar o no dicha garantía? ¿Incumplimos la normativa de protección de datos al publicar el contrato con la garantía presentada, ya sea aval bancario o ingreso en cuenta?

Respuesta

La garantía presentada (aval bancario o ingreso en cuenta) contiene datos bancarios que, efectivamente, son datos personales protegidos por el Reglamento General de Protección de Datos (RGPD) y la LO 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. La publicación de tales datos puede suponer una vulneración de esta normativa si no se adopta una medida adecuada para su anonimización o eliminación.

Aun cuando se limite al acceso a la documentación a los licitadores participantes, debe minimizarse al máximo la divulgación de datos personales no esenciales. Por lo tanto, lo recomendable desde un punto de vista legal y de buenas prácticas sería no publicar íntegramente documentos que contengan datos sensibles o bancarios, salvo que dichos datos se anonimicen previamente.

En nuestra opinión, la solución más correcta desde un punto de vista práctico sería:

- Adjuntar al contrato administrativo publicado en la plataforma únicamente el justificante o certificado que acredite la constitución efectiva de la garantía, eliminando o anonimizando datos sensibles (números de cuenta, IBAN, etc.).

- Conservar el original íntegro del documento, no anonimizado, en el expediente administrativo interno del contrato, asegurando su accesibilidad únicamente a los órganos competentes o legitimados para ello.

En definitiva, para cumplir con la normativa de protección de datos, no es recomendable adjuntar públicamente en la Plataforma documentos que contengan datos bancarios del adjudicatario sin previa anonimización. La garantía puede publicarse en su modalidad anonimizada o bien con una mera referencia al hecho de su constitución.

Conclusiones

1ª. Debe evitarse la publicación de documentos con datos personales sensibles, como los bancarios del adjudicatario, incluso aunque el acceso esté restringido a los licitadores, salvo que dichos datos sean previamente anonimizados.

2ª. La garantía puede acreditarse mediante un documento simplificado o anonimizado, limitándose a justificar la constitución efectiva de la misma, sin incluir información como números de cuenta o IBAN.

3ª. El documento completo con datos personales debe conservarse exclusivamente en el expediente administrativo interno, garantizando su acceso únicamente a los órganos legitimados, conforme al principio de minimización de datos del RGPD.