RESOLUCIÓN JUS/767/2024, de 11 de marzo, por la que se encarga al Consorcio de Administración Abierta de Cataluña la emisión de los certificados digitales que requiera el Departamento de Justicia, Derechos y Memoria durante el ejercicio 2024.

El Departamento de Justicia, Derechos y Memoria tiene la necesidad de poner a disposición de sus empleados certificados personales de identificación y firma (reconocida o avanzada) del Consorcio de Administración Abierta de Cataluña (en adelante, Consorcio AOC).

Como entidad de certificación digital, de acuerdo con el Reglamento (UE) núm. 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, y la Ley 6/2020, de 11 de noviembre, de regulación de determinados aspectos de los servicios electrónicos de confianza, el Consorcio AOC expide los certificados digitales mediante la operación de entidades de certificación de su titularidad, que firman los certificados con la correspondiente autoridad de certificación diferenciada y vinculada a la jerarquía de entidades de certificación de las entidades públicas de Cataluña. El Consorcio AOC dispone de una autoridad de certificación principal, que tiene la consideración de raíz de la jerarquía pública de certificación de Cataluña, cuya finalidad es integrar otras entidades de certificación en el sistema público catalán de certificación, mediante la vinculación técnica de las autoridades de certificación correspondientes.

El Departamento de Justicia, Derechos y Memoria requirió el año 2005, para desarrollar sus funciones, la generación de certificados digitales a la Agencia Catalana de Certificación, y este servicio se ha prestado desde entonces de forma ininterrumpida. La Agencia Catalana de Certificación es una entidad que actualmente se encuentra dentro del Consorcio AOC. Durante el año 2016, el Departamento de Justicia decidió convertirse en ente suscriptor de los servicios del Consorcio AOC y reducir de forma progresiva sus actuaciones como entidad de registro hasta llegar a su conclusión. Eso implica dejar de fabricar los certificados en un formato propio y con autonomía, y pasar a utilizar el sistema corporativo gestionado por el Consorcio AOC, junto con los soportes físicos estándares.

El artículo 6.g de los estatutos del Consorcio AOC ‒aprobados mediante la Resolución PRE/606/2002, de 21 de febrero, y modificados por la Resolución GAP/1932/2004, de 6 de julio, y por el Acuerdo GOV/43/2015, de 24 de marzo‒ determina que corresponde al Consorcio AOC "Impulsar y promover mecanismos de identificación digital y de firma electrónica y prestar los servicios necesarios para su utilización en los procesos entre las entidades del sector público y entre estas y los ciudadanos y las empresas. A este efecto, si es el caso, ejercerá de entidad de certificación de acuerdo con la legislación aplicable".

Por su parte, el artículo 17.3 de los mencionados estatutos establece que "Las relaciones entre el Consorcio y las entidades consorciadas y los entes locales integrantes de cuyo Consorcio Localret es medio propio instrumental y servicio técnico no tienen naturaleza contractual y se articulan mediante los encargos correspondientes. En consecuencia, el Consorcio está obligado a realizar los encargos que le formulen los sujetos anteriormente mencionados, que tienen que incluir, como mínimo, el ámbito del encargo, la previsión de costes y el sistema de financiación del encargo".

La Intervención General de la Generalitat de Catalunya emitió, el 11 de diciembre de 2018, el documento "Criterios 4/2018 Relación de la Administración de la Generalitat de Catalunya y su sector público con las entidades del sector público que no son medio propio", que determina que la relación entre un departamento y el Consorcio AOC para implementar la generación de certificaciones digitales se tiene que establecer mediante un encargo de gestión (artículo 11 de la Ley 40/2015, de 1 de octubre, de régimen jurídico del sector público y artículo 10 de la Ley 26/2010, de 3 de agosto, de régimen jurídico y de procedimiento de las administraciones públicas de Cataluña) y recomienda como instrumento jurídico una resolución del departamento o ente que formula el encargo.

El 22 de diciembre de 2023, la jefa del Gabinete Técnico del Departamento de Justicia, Derechos y Memoria emitió un informe justificativo de la necesidad de formalizar un encargo de gestión al Consorcio AOC, por un gasto máximo de 141.913,16 euros, IVA (21 %) incluido, para la emisión de los certificados digitales necesarios durante el año 2024 para el personal del Departamento de Justicia, Derechos y Memoria, de acuerdo con la siguiente previsión: 480 T-CAT para tramitación urgente y 3.000 para tramitación ordinaria; 200 certificados T-CAT P no urgentes, y 50 renovaciones y altas de certificados de dispositivos, infraestructura, aplicaciones, componentes, sellos, servidores y sedes.

El 24 de enero de 2024, la Asesoría Jurídica del Departamento de Justicia, Derechos y Memoria informó favorablemente sobre dicha propuesta, i el 23 de febrero de 2024 la Intervención Delegada informó, asimismo, favorablemente.

Por todo ello,

Resuelvo:

-1 Encomendar al Consorcio de Administración Abierta de Cataluña la generación, la fabricación y la entrega de certificados digitales para el Departamento de Justicia, Derechos y Memoria, de acuerdo con las condiciones técnicas del anexo 1.

Este encargo de gestión no comporta la cesión de titularidad de la competencia ni de los elementos sustantivos de su ejercicio.

Dada la naturaleza administrativa del encargo, queda excluida la aplicación de la Ley 9/2017, de 8 de noviembre, de contratos del sector público y se rige por sus cláusulas; por la Ley 40/2015, de 1 de octubre, de régimen jurídico del sector público; por la Ley 26/2010, de 3 de agosto, de régimen jurídico y de procedimiento de las administraciones públicas de Cataluña; por la normativa sectorial correspondiente, así como por las normas generales del derecho administrativo, los principios de buena administración y el ordenamiento jurídico en general.

-2 Para la ejecución del encargo, el Departamento debe abonar el importe correspondiente a las actuaciones realizadas por el Consorcio AOC, de acuerdo con los precios aprobados y publicados. El abono de dichos importes debe hacerse efectivo de acuerdo con lo que establecen las condiciones técnicas que se anexan; en especial, el punto 5 del anexo 1, que detalla las obligaciones de las partes en materia de facturación.

El Departamento de Justicia, Derechos y Memoria debe abonar al Consorcio AOC el importe máximo de 141.913,16 euros, IVA incluido, a cargo de las partidas siguientes, con la distribución que recogen las condiciones técnicas que se anexan al presente acuerdo: 227008907/1210/JU01, 227008900/2110/JU05, 227008900/2120/JU04 i 227008900/2130/JU03.

Esta resolución autoriza las unidades correspondientes del Departamento de Justicia, Derechos y Memoria para que lleven a cabo la contabilización de la disposición de crédito a favor del Consorcio AOC en el sistema corporativo de la contabilidad GECAT, i la contabilización del reconocimiento de las obligaciones económicas derivadas.

-3 En relación a los datos personales a los que tenga acceso con ocasión del encargo de gestión, el Consorcio AOC se obliga al cumplimiento de todo lo que establece el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas con respecto al tratamiento de datos personales y a la libre circulación de estos datos(RGPD), y toda la normativa vigente en materia de protección de datos.

De acuerdo con el artículo 28 del RGPD, el Consorcio AOC tiene la consideración de encargado de tratamiento y actúa por cuenta del responsable del tratamiento, que es el Departamento de Justicia, Derechos y Memoria. A dichos efectos, se adjunta como anexo 2 el acuerdo de encargo de tratamiento correspondiente.

En este sentido, ambas partes se obligan a guardar estricto secreto de toda aquella información a la que tengan acceso y a dar cumplimiento de todas aquellas medidas técnicas y organizativas que se establezcan para garantizar la confidencialidad e integridad de la información, y deben velar porque sus trabajadores y los de las empresas subcontratadas, tengan conocimiento y cumplan con estas mismas obligaciones. Estas obligaciones subsisten incluso después de finalizar y extinguirse este encargo.

-4 Este encargo comienza a producir efectos en la fecha de su publicación y tiene vigencia durante el año 2024.

-5 Las causas de resolución anticipada se tienen que basar en el incumplimiento de cualquiera de las obligaciones por parte de los sujetos firmantes del encargo. Igualmente, es causa de resolución el transcurso del plazo de vigencia del encargo sin haber acordado su prórroga.

-6 Las incidencias que se puedan plantear, como consecuencia de la ejecución de este encargo y las cuestiones relativas a su interpretación, cumplimiento, modificación, resolución y efectos, las tienen que resolver el Departamento de Justicia, Derechos y Memoria y el Consorcio AOC, de mutuo acuerdo, bajo criterios de buena fe y de colaboración mutua.

-7 Comunicar esta resolución al Consorcio AOC.

-8 Disponer la publicación en el Diari Oficial de la Generalitat de Catalunya, de acuerdo con el artículo 11.3.a de la Ley 40/2015, de 1 de octubre, de régimen jurídico del sector público.

Igualmente, se dispone su publicación adicional en el portal de la Transparencia de la Generalitat de Catalunya, de conformidad con el artículo 14 de la Ley 19/2014, de 29 de diciembre, de transparencia, acceso a la información pública y buen gobierno.

Barcelona, 11 de marzo de 2024

Por delegación (Resolución JUS/1041/2021, de 30.3.2021, DOGC de 16.4.2021)

Raquel Sistaré Lanas

Directora de Servicios

Anexo 1

Condiciones técnicas para el encargo de gestión para la generación, la fabricación y la entrega de certificados digitales del Departamento de Justicia, Derechos y Memoria

1. Finalidad del encargo

El Departamento de Justicia, Derechos y Memoria necesita dotar a la mayor parte de su personal con certificados digitales para el desarrollo de sus tareas. Adicionalmente, también dota de certificados a los jueces, magistrados, fiscales y letrados de la Administración de justicia, cuando estos los necesitan para poder operar con los sistemas de información procesal y otros servicios de administración electrónica.

Dichos certificados se piden con las nuevas altas de personal del Departamento o de los órganos judiciales y las fiscalías, y también se renuevan de oficio cada cuatro años, cuando caducan los certificados y se mantiene la situación de necesidad del puesto de trabajo.

Adicionalmente, los servicios electrónicos de la Administración también necesitan estar dotados de certificados digitales a niveles de software y hardware para cumplir con los requisitos de seguridad e interoperabilidad determinados por la normativa.

El Consorcio de Administración Abierta de Cataluña (en adelante, Consorcio AOC) disfruta de la condición de entidad de certificación digital para las administraciones públicas catalanas, al amparo de la Ley 29/2010, de 3 de agosto, del uso de los medios electrónicos en el sector público de Cataluña, de acuerdo con los precios públicos publicados en su sede electrónica y, por lo tanto, sus servicios quedan excluidos del ámbito de aplicación de la Ley 9/2017, de 8 de noviembre, de contratos del sector público (artículo 11.2).

2. Objeto del encargo

Los tipos de elementos objeto del encargo son:

Certificados electrónicos calificados personales.

Certificados electrónicos calificados de sello electrónico de la Administración pública.

Certificados de aplicación.

En función de las necesidades de certificación, se prevé la tramitación de 3.480 certificados T-CAT, 200 T-CAT P y 50 certificados no personales. No obstante, la valoración es aproximada, dado que se desconoce el número total de certificados a fabricar en la parte de gestión que está sujeta a los movimientos que se puedan producir dentro de la organización y que habitualmente son altas, o colectivos que por las funciones que desarrollan entran a formar parte de los programas con requerimiento de firma electrónica.

3. Puesto de destino

Los certificados digitales se entregan a los responsables del servicio designados por el Departamento de Justicia, Derechos y Memoria en la solicitud de emisión correspondiente. Dichos responsables deben entregarlos a los destinatarios de su ámbito territorial y funcional.

4. Obligaciones de los sujetos intervinientes

4.1 Por una parte, el Departamento de Justicia, Derechos y Memoria se obliga a cumplir todas las funciones de un ente suscriptor, de acuerdo con los procedimientos operativos, de seguridad y de archivo establecidos por el Consorcio AOC; la política general de certificación y la declaración de prácticas de certificación, publicadas en la web, y la documentación de operaciones correspondiente. Por otra parte, el Consorcio AOC se obliga a cumplir la política de certificación por certificados personales del sector público y para dispositivos e infraestructuras, así como sus funciones como entidad de certificación.

4.2 Para la ejecución del encargo, el Departamento debe abonar el importe correspondiente a los servicios objeto de esta resolución, de acuerdo con los precios aprobados y publicados por el Consorcio AOC, consultables en su sede electrónica.

4.3 El Departamento de Justicia, Derechos y Memoria debe utilizar los modelos de tarjeta de certificación digital estándar corporativos que suministra el Consorcio AOC.

5. Facturación

La facturación debe realizarse mensualmente, sobre la base de los precios públicos vigentes, consultables en la sede electrónica del Consorcio AOC.

Las facturas se tienen que tramitar por la plataforma de facturación electrónica de la Generalitat de Catalunya.

El pago de las facturas debe realizarse por transferencia bancaria, según el mecanismo habitual de pago de la Tesorería de la Generalitat, mediante el Departamento de Economía y Hacienda.

Las partidas presupuestarias a cuyo cargo se imputa el gasto son:

JU01 d/227008907/1210

JU03 d/227008900/2131

JU04 d/227008900/2120

JU05 d/227008900/2110

6. Valoración económica

El coste de este encargo de gestión, al tratarse de un servicio bajo demanda variable que no se puede prever con total concreción de forma anticipada, tiene una previsión de 141.913,16 euros, IVA (21 %) incluido, a lo largo de 2024.

7. Operativa

Los pedidos de certificados deben realizarse de acuerdo con las peticiones de los responsables del Servicio de Certificación Digital del Departamento de Justicia, Derechos y Memoria, a través de la herramienta que pone a su disposición el Consorcio AOC.

Los plazos de entrega de los certificados son los previstos por las normas de servicio del Consorcio AOC.

Anexo 2

Encargo del tratamiento de los datos personales derivado del encargo de gestión para la generación, la fabricación y la entrega de certificados digitales del Departamento de Justicia, Derechos y Memoria.

Protección de datos

Este servicio implica un encargo del tratamiento entre el Consorcio de Administración Abierta de Cataluña (en adelante, Consorcio AOC) y el Departamento de Justicia, Derechos y Memoria.

Objeto del encargo del tratamiento

Responsable del tratamiento: Departamento de Justicia, Derechos y Memoria.

Encargado del tratamiento: Consorcio AOC.

Mediante este anexo se habilita el Consorcio AOC para tratar los datos de carácter personal necesarios para prestar los servicios de certificación digital para el personal del Departamento de Justicia, Derechos y Memoria y otros funcionarios públicos de la Administración de justicia en Cataluña.

El sistema de tratamiento de los datos es automatizado y no se prevén comunicaciones de datos a terceros.

Identificación de la información afectada

El tratamiento consiste en el acceso a los datos de nombre, apellidos, NIF, correo electrónico y unidad orgánica de los profesionales a los que se dota de certificado y de los profesionales que ejercen como responsables del servicio, certificadores de datos y operadores. Adicionalmente, para los responsables del servicio que entreguen los soportes físicos, se trata la dirección del puesto de trabajo. Estos datos están comprendidos en la actividad "Usuarios de sistemas de información" del Registro de actividades de tratamiento del Departamento de Justicia, Derechos y Memoria.

Duración

La vigencia de este encargo de tratamiento queda vinculada a la vigencia del encargo de gestión.

Una vez finalizado este acuerdo, ambas partes deben decidir de común acuerdo el destino de los datos objeto de tratamiento y resolver su retorno, custodia o destrucción, teniendo en cuenta la regulación específica en materia de certificación digital.

Obligaciones del encargado

El encargado y todo su personal se obligan a:

a) Utilizar los datos personales objeto de tratamiento, o los que recojan para su inclusión, solo para la finalidad objeto de este encargo. En ningún caso pueden utilizar los datos para finalidades propias.

b) No comunicar los datos a terceras personas, a no ser que tengan la autorización expresa del responsable del tratamiento, en los supuestos legalmente admisibles.

El encargado puede comunicar los datos a otros encargados del tratamiento del mismo responsable, de acuerdo con las instrucciones del responsable. En este caso, el responsable tiene que identificar, previamente y por escrito, la entidad a la que se tienen que comunicar los datos, los datos que se tienen que comunicar y las medidas de seguridad que hay que aplicar para comunicarlos.

No se prevén transferencias de datos personales a un tercer país o a una organización internacional.

c) No subcontratar ninguna de las prestaciones que formen parte del objeto de este contrato que comporten el tratamiento de datos personales, excepto los servicios auxiliares necesarios para el normal funcionamiento de los servicios del encargado.

El subcontratista, que también tiene la condición de encargado, está obligado igualmente a cumplir las obligaciones que este documento establece para el encargado y las instrucciones que dicte el responsable. Corresponde al encargado inicial regular la nueva relación, de manera que el nuevo encargado quede sujeto a las mismas condiciones (instrucciones, obligaciones, medidas de seguridad, etc.) y con los mismos requisitos formales que él, con respecto al tratamiento adecuado de los datos personales y a la garantía de los derechos de las personas afectadas. Si el subencargado lo incumple, el encargado inicial sigue siendo plenamente responsable ante el responsable con respecto al cumplimiento de las obligaciones.

d) Mantener el deber de secreto respecto de los datos de carácter personal a los que haya tenido acceso en virtud de este encargo, incluso después de que finalice el objeto.

e) Garantizar que las personas autorizadas para tratar los datos personales se comprometen, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes, de las que hay que infórmalas convenientemente. Mantener a disposición del responsable la documentación que acredita que se cumple la obligación.

f) Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas para tratar los datos personales.

g) Atender el ejercicio de los derechos de las personas interesadas.

h) Notificar las violaciones de la seguridad de los datos. El encargado tiene que informar al responsable del tratamiento (la Dirección de Servicios de Justicia, Derechos y Memoria), sin dilación indebida y en cualquier caso antes de 24 horas, de las violaciones de la seguridad de los datos personales a su cargo de los que tenga conocimiento, junto con toda la información relevante para documentar y comunicar la incidencia, por correo electrónico a la dirección protecciodades.justicia@gencat.cat.

Si se dispone de la información, hay que facilitar, como mínimo:

1. Descripción de la naturaleza de la violación de la seguridad de los datos personales, incluyendo, cuando sea posible, las categorías y el número aproximado de personas interesadas afectadas, y las categorías y el número aproximado de registros de datos personales afectados.

2. El nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto donde se pueda obtener más información.

3. Descripción de las posibles consecuencias de la violación de la seguridad de los datos personales.

4. Descripción de las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad de los datos personales, incluidas, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.

Si no es posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se tiene que facilitar de manera gradual, sin dilación indebida.

i) Efectuar un análisis de riesgos de sus tratamientos.

j) Implantar las medidas de seguridad necesarias para garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento. Poner a disposición del responsable toda la información necesaria para demostrar que cumple sus obligaciones, así como para realizar las auditorías o las inspecciones que efectúen el responsable u otro auditor autorizado por él.

Obligaciones del responsable del tratamiento

Corresponde al responsable del tratamiento:

a) Dar cumplimiento al derecho de información de las personas interesadas.

b) Entregar al encargado los datos necesarios para prestar el servicio.

c) Asegurar las medidas de seguridad técnicas en los tratamientos que impliquen interacción entre sistemas de información del responsable y el encargado.

d) Cumplir el Marco de ciberseguridad para la protección de datos de la Generalitat de Catalunya.

e) Velar, antes y durante todo el tratamiento, para que el encargado cumpla la normativa en materia de protección de datos.

f) Supervisar el tratamiento, incluida la ejecución de auditorías de seguridad de la información.