RESOLUCIÓN IFE/743/2024, de 5 de marzo, por la que se encarga al Consorcio Administración Abierta de Cataluña la emisión de los certificados digitales que requiera el Departamento de Igualdad y Feminismos durante el año 2024.

El Departamento de Igualdad y Feminismos tiene la necesidad de poner a disposición de sus empleados certificados personales de identificación y firma (reconocida o avanzada) del Consorcio Administración Abierta de Cataluña (de ahora en adelante, Consorcio AOC).

Como entidad de certificación digital, de acuerdo con la Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza, el Consorcio AOC genera los certificados digitales mediante la operación de entidades de certificación de su titularidad, que firman los certificados con la correspondiente autoridad de certificación diferenciada y vinculada a la jerarquía de entidades de certificación de las entidades públicas de Cataluña. El Consorcio AOC dispone de una autoridad de certificación principal, que tiene la consideración de raíz de la jerarquía pública de certificación de Cataluña, cuya finalidad es integrar otras entidades de certificación en el sistema público catalán de certificación mediante la vinculación técnica de las autoridades de certificación correspondientes.

El artículo 6.g) de los estatutos del Consorcio AOC, aprobados mediante la Resolución PRE/606/2002, de 21 de febrero, y modificados por la Resolución GAP/1932/2004, de 6 de julio, y por el Acuerdo GOV/43/2015, de 24 de marzo, determinan que le corresponde impulsar y promover mecanismos de identificación digital y de firma electrónica y prestar los servicios necesarios para utilizarlos en los procesos entre las entidades del sector público y entre estas y los ciudadanos y las empresas. A este efecto, si es el caso, ejerce de entidad de certificación de acuerdo con la legislación aplicable.

El artículo 17.3 de los estatutos mencionados dispone que «las relaciones entre el Consorcio y las entidades consorciadas y los entes locales integrantes del Consorcio Localret de los que es medio propio instrumental y servicio técnico no tienen naturaleza contractual y se articulan mediante los encargos correspondientes. En consecuencia, el Consorcio está obligado a realizar los encargos que le formulen los sujetos anteriormente mencionados, los cuales deben incluir, como mínimo, el ámbito del encargo, la previsión de costes y el sistema de financiación del encargo».

La interventora general de la Generalitat de Catalunya emitió, en fecha 11 de diciembre de 2018, el documento Criterios 04/2018 Relación de la Administración de la Generalitat de Catalunya y su sector público con las entidades del sector público que no son medio propio, de acuerdo con el cual la relación entre un departamento y el Consorcio AOC para implementar servicios de certificación digital se debe establecer mediante encargos de gestión (artículo 11 de la Ley 40/2015, de 1 de octubre, de régimen jurídico del sector público) y recomienda, como instrumento jurídico, una resolución.

En fecha 18 de enero de 2024, la subdirectora general de Recursos Humanos, Prevención de Riesgos y Servicios Generales, ha emitido un informe en el que justifica la necesidad de formalizar un encargo al Consorcio AOC, para la emisión de un máximo de 120 certificados (117 T-CAT, 1 certificado de aplicación y 2 sellos electrónicos de nivel medio), para el año 2024, por un importe total máximo de 2.710,34 euros, sin el IVA, y de 3.279,51 euros, con el 21% de IVA incluido.

En fecha 27 de febrero de 2024, la Asesoría Jurídica del Departamento ha emitido un informe favorable de la propuesta de resolución por la que se encarga al Consorcio AOC la emisión de los certificados digitales mencionados.

En fecha 1 de marzo de 2024, el interventor delegado del Departamento ha emitido un informe favorable de la fiscalización del documento contable RC.

Por todo ello, Resuelvo:

Primero. Encargar al Consorcio AOC la gestión de la emisión de los certificados digitales necesarios durante el año 2024, para el personal del Departamento de Igualdad y Feminismos, de acuerdo con la previsión de un máximo de 120 certificados (117 T-CAT, 1 certificado de aplicación y 2 sellos electrónicos de nivel medio). El encargo se debe ejecutar de acuerdo con las condiciones técnicas del anexo 1 y no comporta la cesión de la titularidad de la competencia ni de los elementos substantivos de su ejercicio.

Este encargo de gestión tiene naturaleza administrativa y, por lo tanto, queda excluido de la aplicación de la Ley 9/2017, de 8 de noviembre, de contratos del sector público, y se rige por sus cláusulas, por la Ley 40/2015, de 1 de octubre, de régimen jurídico del sector público, por la Ley 26/2010, de 3 de agosto, de régimen jurídico y de procedimiento de las administraciones públicas de Cataluña, por la normativa sectorial correspondiente, así como por las normas generales del derecho administrativo, los principios de buena administración y el ordenamiento jurídico en general.

Segundo. El Departamento de Igualdad y Feminismos debe abonar el importe correspondiente a las actuaciones realizadas por el Consorcio AOC de acuerdo con los precios públicos del Servicio de Certificación Digital vigentes para el año 2024, aprobados por la Comisión Ejecutiva del Consorcio AOC y publicados en el DOGC núm. 8659, de 3 de mayo de 2022.

Tercero. El importe máximo de este encargo es de 2.710,34 euros, sin el IVA, y de 3.279,51 euros, con el 21% de IVA incluido. Se trata de un importe total máximo que se agotará o no en función de los diferentes tipos de certificados (ordinarios o urgentes) emitidos por el Consorcio AOC. El abono de este importe se debe hacer efectivo de acuerdo con las condiciones técnicas del anexo 1.

El Departamento de Igualdad y Feminismos abonará al Consorcio AOC el importe máximo de 3.279,51 euros, con el 21% de IVA incluido, a cargo de la partida presupuestaria IF01/227008900/1210/0000 del presupuesto prorrogado de 2023.

La aprobación de este acto implica la autorización a la unidad administrativa competente para contabilizar la disposición de crédito a favor de los creditores en el sistema corporativo de contabilidad GECAT y la autorización para contabilizar el reconocimiento de las obligaciones económicas derivadas.

Cuarto. En relación con los datos personales a los que tenga acceso con ocasión del encargo de gestión, el Consorcio AOC se obliga al cumplimiento de todo aquello que dispone el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas con respecto al tratamiento de datos personales y la libre circulación de estos datos, y a toda la normativa vigente en materia de protección de datos.

De acuerdo con el artículo 28 del Reglamento general de protección de datos, el Consorcio AOC tiene la consideración de encargado de tratamiento y actúa por cuenta del responsable del tratamiento, que es el Departamento de Igualdad y Feminismos. A estos efectos, se adjunta como anexo 2 el acuerdo de encargo de tratamiento correspondiente. En este sentido, ambas partes se obligan a guardar secreto, de manera estricta, de toda la información a la que tengan acceso y a dar cumplimiento a todas las medidas técnicas y organizativas que se establezcan para garantizar la confidencialidad y la integridad de la información. Ambas partes velarán también para que sus trabajadores y los de las empresas subcontratadas tengan conocimiento y cumplan estas mismas obligaciones, que subsistirán incluso después de finalizar y de extinguirse este encargo.

Quinto. Este encargo es vigente desde la fecha en la que se firme hasta el 31 de diciembre de 2024.

Sexto. Las causas de resolución se basan en el incumplimiento, por parte de los sujetos firmantes del encargo, de cualquiera de las obligaciones que se fijen.

Igualmente, es causa de resolución el transcurso del plazo de vigencia del encargo sin que se haya acordado la prórroga.

Séptimo. Las incidencias que se puedan plantear como consecuencia de la ejecución y las cuestiones relativas a la interpretación, cumplimiento, modificación, resolución y efectos de este encargo las tienen que resolver el Departamento de Igualdad y Feminismos y el Consorcio AOC, de mutuo acuerdo, con criterios de buena fe y colaboración.

Octavo. Comunicar esta Resolución al Consorcio AOC.

Noveno. Disponer que se publique en el Diari Oficial de la Generalitat de Catalunya, de acuerdo con el artículo 11.3.a) de la Ley 40/2015, de 1 de octubre, de régimen jurídico del sector público, y de manera adicional en el portal de la transparencia de la Generalitat de Catalunya, de conformidad con el artículo 14 de la Ley 19/2014, de 29 de diciembre, de transparencia, acceso a la información pública y buen gobierno.

Barcelona, 5 de marzo de 2024

P. d. (Resolución IFE/4348/2023, de 19.12.2023, DOGC núm. 9067, de 27.12.2023)

Josep Maria Palau i Arnau

Director de Servicios

Anexo 1

Condiciones técnicas

La Subdirección General de Recursos Humanos, Prevención de Riesgos y Servicios Generales del Departamento de Igualdad y Feminismos solicita los certificados digitales al Consorcio AOC mediante la plataforma EACAT.

El usuario solicita la T-CAT a través de la parte privada de la intranet del Departamento y especifica que su responsable autoriza la gestión.

El responsable del servicio de certificación del ente hace la petición de las T-CAT al Consorcio AOC mediante la plataforma EACAT, en el apartado de trámites con el Consorcio AOC.

El Consorcio AOC entrega los certificados a la Subdirección General de Recursos Humanos, Prevención de Riesgos y Servicios Generales del Departamento, en un plazo no superior a 16 días laborables, a contar desde la fecha de la solicitud, si se trata de tramitación ordinaria, o en un plazo no superior a 4 días laborables, a contar desde la fecha de la solicitud, si se trata de tramitación urgente.

La Subdirección General de Recursos Humanos, Prevención de Riesgos y Servicios Generales del Departamento de Igualdad y Feminismos, una vez reciba las tarjetas, comprueba que sean correctas, de acuerdo con la solicitud realizada. Si no lo son las devuelve al Consorcio AOC para que las corrija. Esta corrección no tiene ningún coste adicional para el Departamento.

Los precios públicos del servicio de certificación digital para el año 2024 mantienen la vigencia de los precios públicos del 2022, que han sido aprobados por la Comisión Ejecutiva del Consorcio Administración Abierta de Cataluña y se han publicado en el Diari Oficial de la Generalitat de Catalunya núm. 8659, de 3 de mayo de 2022.

El abono al Consorcio AOC se producirá como contraprestación económica por los certificados emitidos, y se emitirán varias facturas durante el año, en función de los certificados entregados al Departamento de Igualdad y Feminismos. Estas facturas se abonarán después de que la Subdirección General de Recursos Humanos, Prevención de Riesgos y Servicios Generales las haya conformado.

Anexo 2

Encargo de tratamiento de datos personales derivado del encargo de gestión para la generación, fabricación y entrega de certificados digitales T-CAT del Departamento de Igualdad y Feminismos

Protección de datos

Este servicio implica un encargo del tratamiento entre el Consorcio AOC y el Departamento de Igualdad y Feminismos.

Objeto del encargo de tratamiento

Responsable del tratamiento: Departamento de Igualdad y Feminismos. Encargado del tratamiento: Consorcio AOC.

Mediante este anexo se habilita al Consorcio AOC a tratar los datos de carácter personal necesarios para prestar los servicios de certificación digital al personal del Departamento de Igualdad y Feminismos.

El sistema de tratamiento de los datos es automatizado y no se prevén comunicaciones de datos a terceros.

Identificación de la información afectada

El tratamiento consiste en el acceso a los datos siguientes: nombre, apellidos, NIF, correo electrónico y unidad orgánica de los profesionales a los que se dota de certificado y de los profesionales que ejercen como responsables del servicio, certificadores de datos y operadores. En el caso de los responsables del servicio que entreguen los soportes físicos, adicionalmente se trata la dirección del puesto de trabajo.

Duración

La vigencia de este encargo de tratamiento queda vinculada a la vigencia del encargo de gestión.

Una vez finalizado este encargo, ambas partes decidirán de común acuerdo sobre el destino de los datos objeto de tratamiento y resolverán el retorno, la custodia o la destrucción, teniendo en cuenta la regulación específica en materia de certificación digital.

Obligaciones del encargado

El encargado y todo su personal se obligan a:

   a) Utilizar los datos personales objeto de tratamiento solo para la finalidad objeto de este encargo. En ningún caso puede utilizar los datos para finalidades propias.

   b) No comunicar los datos a terceras personas, a no ser que tenga la autorización expresa del responsable del tratamiento, en los supuestos legalmente admisibles.

El encargado puede comunicar los datos a otros encargados del tratamiento del mismo responsable, de acuerdo con las instrucciones del responsable. En este caso, el responsable tiene que identificar, previamente y por escrito, la entidad a la que se deben comunicar los datos, los datos a comunicar y las medidas de seguridad que hay que aplicar en la comunicación.

No se prevén transferencias de datos personales a un tercer país o a una organización internacional.

   c) No subcontratar ninguna de las prestaciones que formen parte del objeto de este contrato y comporten el tratamiento de datos personales, excepto los servicios auxiliares necesarios para el funcionamiento normal de los servicios del encargado.

El subcontratista, que también tiene la condición de encargado, debe cumplir las obligaciones que este documento establece para el encargado y las instrucciones que dicte el responsable. Corresponde al encargado inicial regular la nueva relación, de manera que el nuevo encargado quede sujeto a las mismas condiciones (instrucciones, obligaciones, medidas de seguridad, etc.) y con los mismos requisitos formales que él, con respecto al tratamiento adecuado de los datos personales y a la garantía de los derechos de las personas afectadas. Si el subencargado las incumple, el encargado inicial sigue siendo plenamente responsable ante el responsable con respecto al cumplimiento de sus deberes.

   d) Mantener el deber de secreto respecto de los datos de carácter personal a los que haya tenido acceso en virtud de este encargo, incluso después de que finalice el objeto.

   e) Garantizar que las personas autorizadas para tratar datos personales se comprometen, de manera expresa y por escrito, a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes, de las que deben ser informadas convenientemente, y mantener, a disposición del responsable, la documentación que acredita que se cumple la obligación.

   f) Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas para tratar datos personales.

   g) Atender el ejercicio de derechos de las personas interesadas.

   h) Notificar las violaciones de la seguridad de los datos. El encargado tiene que informar al responsable del tratamiento (la Dirección de Servicios del Departamento de Igualdad y Feminismos), sin dilación indebida y en cualquier caso antes de 48 horas, de las violaciones de la seguridad de los datos personales a su cargo de los que tenga conocimiento, junto con toda la información relevante para documentar y comunicar la incidencia.

Si el encargado dispone de la información, debe facilitar, como mínimo:

1º. La descripción de la naturaleza de la violación de la seguridad de los datos personales, incluidos, cuando sea posible, las categorías y el número aproximado de personas interesadas afectadas y las categorías y el número aproximado de registros de datos personales afectados.

2º. El nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto del que se pueda obtener más información.

3º. La descripción de las posibles consecuencias de la violación de la seguridad de los datos personales.

4º. La descripción de las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad de los datos personales, incluidas, en su caso, las medidas adoptadas para mitigar los posibles efectos negativos.

Si no es posible facilitar la información precedente al responsable del tratamiento simultáneamente a la notificación de la violación de la seguridad de los datos personales, se debe facilitar de manera gradual sin dilación indebida, en la medida en que esta esté disponible.

   i) Hacer un análisis de riesgos de sus tratamientos.

   j) Implantar las medidas de seguridad necesarias para garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.

   k) Poner a disposición del responsable toda la información necesaria para demostrar que cumple sus obligaciones y para acreditar el cumplimiento normativo y técnico ante las auditorías o las inspecciones que efectúe el responsable u otro auditor autorizado por él.

Obligaciones del responsable del tratamiento Corresponde al responsable del tratamiento:

   a) Dar cumplimiento al derecho de información de las personas interesadas.

   b) Entregar al encargado los datos necesarios para prestar el servicio.

   c) Asegurar las medidas de seguridad técnicas en los tratamientos que impliquen interacción entre sistemas de información del responsable y el encargado.

   d) Cumplir el Marco de ciberseguridad para la protección de datos de la Generalitat de Catalunya.

   e) Velar, antes y durante todo el tratamiento, para que el encargado cumpla la normativa en materia de protección de datos.

   f) Supervisar el tratamiento, incluida la ejecución de auditorías de seguridad de la información.