RESOLUCIÓN SLT/1057/2024, de 15 de marzo, por la que se da publicidad a la Resolución de 8 de noviembre de 2023, mediante la que se encomienda al Consorcio de Administración Abierta de Cataluña la emisión de los certificados digitales que requiera el Instituto Catalán de la Salud durante el ejercicio 2023.

Debido a que, en fecha 8 de noviembre, el Instituto Catalán de la Salud ha firmado la resolución que encomienda al Consorcio de Administración Abierta de Cataluña la emisión de los certificados digitales que requiera durante el ejercicio 2023.

En uso de las atribuciones que me confiere el artículo 10.a de la Ley 8/2007, de 30 de julio, del Instituto Catalán de la Salud,

Resuelvo:

Disponer que la resolución que encomienda al Consorcio de Administración Abierta de Cataluña la emisión de los certificados digitales que requiera el Instituto Catalán de la Salud durante el ejercicio 2023 que se adjunta como anexo de esta Resolución, se publique en el DOGC.

Barcelona, 15 de marzo de 2024

Xavier Pérez i Berruezo

Director gerente

Anexo

El Instituto Catalán de la Salud tiene la necesidad de poner a disposición de sus empleados certificados personales de identificación y firma (reconocida o avanzada) del Consorcio Administración Abierta de Cataluña (Consorcio AOC), como entidad de certificación digital, de acuerdo con el Reglamento (UE) núm. 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, y la Ley 6/2020, de 11 de noviembre, de regulación de determinados aspectos de los servicios electrónicos de confianza, el Consorcio AOC expide los certificados digitales mediante operación de entidades de certificación de su titularidad, que firman los certificados con la correspondiente autoridad de certificación diferenciada y vinculada a la jerarquía de entidades de certificación de las entidades públicas de Cataluña. El Consorcio AOC dispone de una autoridad de certificación principal, que tiene la consideración de raíz de la jerarquía pública de certificación de Cataluña, cuya finalidad es integrar otras entidades de certificación en el sistema público catalán de certificación, mediante la vinculación técnica de las autoridades de certificación correspondientes.

Los estatutos del Consorcio AOC, aprobados mediante la Resolución PRE/606/2002, de 21 de febrero, y modificados por la Resolución GAP/1932/2004, de 6 de julio, y por el Acuerdo GOV/43/2015, de 24 de marzo, determinan, en el artículo 6. g, que corresponde al Consorcio AOC "Impulsar y promover mecanismos de identificación digital y de firma electrónica y prestar los servicios necesarios para su utilización en los procesos entre las entidades del sector público y entre éstas y los ciudadanos y las empresas. A tal efecto, en su caso, ejercerá de entidad de certificación con arreglo a la legislación aplicable".

Por su parte, el artículo 17.3 de los citados estatutos establece que "Las relaciones entre el Consorcio y las entidades consorciadas y los entes locales integrantes del Consorcio Localret, de los cuales es medio propio instrumental y servicio técnico, no tienen naturaleza contractual y se articulan mediante los encargos correspondientes. En consecuencia, el Consorcio está obligado a realizar los encargos que le formulen los sujetos anteriormente mencionados, los cuales deben incluir, como mínimo, el ámbito del encargo, la previsión de costes y el sistema de financiación del encargo".

La interventora general de la Generalitat de Catalunya emitió, en fecha 11 de diciembre de 2018, el documento "Criterios 4/2018 Relación de la Administración de la Generalitat de Catalunya y su sector público con las entidades del sector público que no son medio propio", en el que se determina que la relación entre un departamento y el Consorcio AOC para implementar la generación de certificaciones digitales debe establecerse mediante encargo de gestión (artículo 11 de la Ley 40/2015, de 1 de octubre, de régimen jurídico del sector público, y artículo 10 de la Ley 26/2010) y recomienda como instrumento jurídico una resolución.

El Instituto Catalán de la Salud tiene la necesidad de formalizar un encargo de gestión en el Consorcio AOC, por un gasto máximo de 36.000 € euros, IVA (21%) incluido, para la emisión de los certificados digitales necesarios durante el año 2023 para su personal de acuerdo con la previsión de renovaciones por caducidad, nuevos certificados por tramitación urgente y nuevos certificados por tramitación ordinaria.

Por todo ello,

Resuelvo:

1. Encomendar al Consorcio AOC la generación, fabricación y entrega de certificados digitales para el Instituto Catalán de la Salud. El encargo debe ejecutarse de acuerdo con las condiciones técnicas del anexo 1. El encargo de gestión no comporta cesión de titularidad de la competencia ni de los elementos sustantivos de su ejercicio.

Este encargo de gestión tiene naturaleza administrativa y, por tanto, queda excluida la aplicación de la Ley 9/2017, de 8 de noviembre, de contratos del sector público. Sin embargo, el encargo de gestión se rige por sus cláusulas; por la Ley 40/2015, de 1 de octubre, de régimen jurídico del sector público; por la Ley 26/2010, de 3 de agosto, de régimen jurídico y de procedimiento de las administraciones públicas de Cataluña; por la normativa sectorial correspondiente, así como por las normas generales del derecho administrativo, los principios de buena administración y el ordenamiento jurídico en general.

2. Para la ejecución del encargo, el Instituto Catalán de la Salud abonará el importe correspondiente a las actuaciones realizadas por el Consorcio de acuerdo con los precios aprobados y publicados. El abono de estos importes se hará efectivo de acuerdo con lo que establecen las condiciones técnicas que se anexan, en especial el punto 5 del anexo 1, que detalla las obligaciones de las partes en materia de facturación.

El Instituto Catalán de la Salud abonará al Consorcio AOC el importe máximo de 36.000 euros, IVA incluido, con cargo a la partida presupuestaria siguiente 227008909, con la distribución recogida en las condiciones técnicas que se anexan al presente acuerdo.

La aprobación de este acto implica la autorización a la unidad administrativa competente para la contabilización de la disposición de crédito a favor de los acreedores en el sistema corporativo de la contabilidad GECAT y la autorización para la contabilización del reconocimiento de las obligaciones económicas derivadas.

3. En relación con los datos personales a los que tenga acceso con ocasión del encargo de gestión, el Consorcio AOC se obliga al cumplimiento de todo lo que establece el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que se refiere al tratamiento de datos personales y a la libre circulación de estos datos, y a toda la normativa vigente en materia de protección de datos.

De acuerdo con el artículo 28 del Reglamento general de protección de datos (RGPD), el Consorcio AOC tiene la consideración de encargado del tratamiento y actúa por cuenta del responsable del tratamiento, que es el Departamento de Justicia, Derechos y Memoria. A estos efectos, se adjunta como anexo 2 el correspondiente acuerdo de encargo de tratamiento.

En este sentido, ambas partes se obligan a guardar estricto secreto de toda aquella información a la que tengan acceso y a dar cumplimiento de todas aquellas medidas técnicas y organizativas que se establezcan para garantizar la confidencialidad y la integridad de la información, y velarán porque sus trabajadores y los de las empresas subcontratadas tengan conocimiento y cumplan estas mismas obligaciones. Estas obligaciones subsistirán incluso después de finalizar y extinguirse este encargo.

4. Este encargo estará vigente desde la fecha de firma hasta el 31 de diciembre de 2023. El encargo empezará a producir efectos en la fecha de su publicación y tendrá vigencia en el año 2023.

5. Las causas de resolución deben basarse en el incumplimiento de cualquiera de las obligaciones que se establezcan por parte de uno de los sujetos firmantes del encargo. Igualmente, será causa de resolución el transcurso del plazo de vigencia del encargo sin haber acordado su prórroga.

6. Las incidencias que se puedan plantear a consecuencia de la ejecución de este encargo y las cuestiones relativas a su "interpretación, cumplimiento, modificación, resolución y efectos", deben resolverlas el Instituto Catalán de la Salud y el Consorcio AOC, de mutuo acuerdo, bajo criterios de buena fe y de colaboración mutua.

7. Comunicar esta resolución al Consorcio AOC.

8. Disponer su publicación en el Diario Oficial de la Generalitat de Catalunya, de acuerdo con el artículo 11.3. a de la Ley 40/2015, de 1 de octubre, de régimen jurídico del sector público.

Igualmente, se dispone la publicación adicional en el portal de la Transparencia de la Generalitat de Catalunya, de conformidad con el artículo 14 de la Ley 19/2014, de 29 de diciembre, de transparencia, acceso a la información pública y buen gobierno.

Anexo 1

Condiciones técnicas para el encargo de gestión para la generación, fabricación y entrega de certificados digitales del Instituto Catalán de la Salud.

1. Finalidad del encargo

El Instituto Catalán de la Salud necesita dotar a la mayor parte de su personal con tarjetas de firma electrónica para el desarrollo de sus tareas.

Estos certificados se solicitan con las nuevas altas de personal en el ICS y también se renuevan de oficio cada cuatro años cuando caducan los certificados y se mantiene la situación de necesidad del puesto de trabajo.

Adicionalmente, los servicios electrónicos de la Administración también necesitan ser dotados de certificados digitales a niveles de software y hardware para cumplir con los requisitos de seguridad e interoperabilidad determinados en la normativa.

El Consorcio AOC goza de la condición de entidad de certificación digital para las administraciones públicas catalanas al amparo de la Ley 29/2010, de 3 de agosto, del uso de los medios electrónicos en el sector público de Cataluña, de acuerdo con los precios públicos publicados en su sede electrónica y, por tanto, quedan excluidos del ámbito de aplicación de la Ley 9/2017, de 8 de noviembre, de contratos del sector público (artículo 11.2 de la misma LCSP).

2. Objeto del encargo

Los tipos de elementos objeto del encargo son:

Certificados electrónicos calificados personales.

Certificados electrónicos calificados de sello electrónico de la administración pública.

Certificados de aplicación.

El número de certificados digitales personales se distribuye únicamente entre el personal que presta servicios en el Instituto Catalán de la Salud.

3. Lugar de destino

Los certificados digitales se entregan a los responsables del servicio designados por el Instituto Catalán de la Salud en la correspondiente solicitud de emisión. Este responsable realizará personalmente la entrega entre los destinatarios de su ámbito territorial y funcional.

4.Obligaciones de los sujetos intervinientes

4.1 Por un lado, el Instituto Catalán de la Salud se obliga a cumplir todas las funciones de un ente suscriptor de acuerdo con los procedimientos operativos, de seguridad y de archivo establecidos por el Consorcio AOC, y de acuerdo con la política general de certificación, la declaración de prácticas de certificación, publicadas en la web, y la documentación de operaciones correspondiente; y, por otra parte, el Consorcio AOC se obliga a cumplir la política de certificación para certificados personales del sector público y para dispositivos e infraestructuras, así como sus funciones como entidad de certificación.

4.2 Para la ejecución del encargo, el Instituto Catalán de la Salud abonará el importe correspondiente a los servicios objeto de esta resolución de acuerdo con los precios aprobados y publicados en el Consorcio AOC, consultables en la sede electrónica del Consorcio AOC.

4.3 El Instituto Catalán de la Salud utilizará los modelos de tarjeta de certificación digital estándar corporativos que suministra el Consorcio AOC.

5. Facturación

La facturación se realizará mensualmente en base a los precios públicos vigentes, consultables en la sede electrónica del Consorcio AOC.

Las facturas se tendrán que tramitar por la plataforma de facturación electrónica de la Generalitat de Catalunya.

El pago de las facturas se realizará por transferencia bancaria, según el mecanismo habitual de pago de la Tesorería de la Generalitat, mediante el Departamento de Economía y Hacienda.

La partida presupuestaria a cuyo cargo se imputará el gasto es:

227008909 aplicación presupuestaria y sociedad 5220.

6. Valoración económica

El coste de este encargo de gestión, al tratarse de un servicio bajo demanda variable que no puede preverse con total concreción de forma anticipada, tiene una previsión de 36.000 euros, IVA (21 %) incluido, a lo largo de 2023.

7. Operativa

Los pedidos de certificados se harán de acuerdo con las peticiones realizadas por los responsables del servicio de certificación digital del Instituto Catalán de la Salud por la herramienta puesta a disposición por el Consorcio AOC.

Los plazos de entrega de los certificados serán los previstos en las normas de servicio del Consorcio AOC.

Anexo 2

Encargo de tratamiento de datos personales derivado del encargo de gestión para la generación, fabricación y entrega de certificados digitales del Instituto Catalán de Salud

Protección de datos

Este servicio implicará un encargo del tratamiento entre el Consorcio AOC y el Instituto Catalán de la Salud

Objeto del encargo de tratamiento

Responsable del tratamiento: Instituto Catalán de la Salud.

Encargado del tratamiento: Consorcio AOC.

Mediante este anexo se habilita al Consorcio AOC para tratar los datos de carácter personal necesarios para la prestación de los servicios de certificación digital para el personal del Instituto Catalán de Salud.

El sistema de tratamiento de los datos está automatizado y no se prevén comunicaciones de datos a terceros.

Identificación de la información afectada

El tratamiento consistirá en el acceso a los datos de nombre, apellidos, NIF, correo electrónico y unidad orgánica de los profesionales a los que se les dota de certificado y de los profesionales que ejercen como responsables del servicio, certificadores de datos y operadores. Adicionalmente, para los responsables del servicio que entreguen los soportes físicos, se tratará la dirección del puesto de trabajo.

Duración

La vigencia de ese encargo de tratamiento queda vinculada a la vigencia del encargo de gestión.

Una vez finalizado este acuerdo, ambas partes decidirán de común acuerdo sobre el destino de los datos objeto de tratamiento y resolverán su retorno, custodia o destrucción, teniendo en cuenta la regulación específica en materia de certificación digital.

Obligaciones del encargado

El encargado y todo su personal se obligan a:

a) Utilizar los datos personales objeto de tratamiento, o los que recoja para su inclusión, solo para la finalidad objeto de este encargo. En ningún caso podrá utilizar los datos para fines propios.

b) No comunicar los datos a terceras personas, salvo que tenga la autorización expresa del responsable del tratamiento, en los supuestos legalmente admisibles.

El encargado puede comunicar los datos a otros encargados del tratamiento del propio responsable, de acuerdo con las instrucciones del responsable. En este caso, el responsable debe identificar, previamente y por escrito, la entidad a la que deben comunicarse los datos, los datos a comunicar y las medidas de seguridad a aplicar para proceder a la comunicación.

No se contemplan transferencias de datos personales a un tercer país o a una organización internacional.

c) Subcontratación.

No subcontratar ninguna de las prestaciones que formen parte del objeto de este contrato que comporten el tratamiento de datos personales, salvo los servicios auxiliares necesarios para el normal funcionamiento de los servicios del encargado.

El subcontratista, que también tiene la condición de encargado, está igualmente obligado a cumplir las obligaciones que este documento establece para el encargado y las instrucciones que dicte el responsable. Corresponde al encargado inicial regular la nueva relación, de forma que el nuevo encargado quede sujeto a las mismas condiciones (instrucciones, obligaciones, medidas de seguridad, etc.) y con los mismos requisitos formales que él, en lo que se refiere al tratamiento adecuado de los datos personales y en la garantía de los derechos de las personas afectadas. Si el subencargado lo incumple, el encargado inicial sigue siendo plenamente responsable ante el responsable en cuanto al cumplimiento de las obligaciones.

d) Mantener el deber de secreto respecto de los datos de carácter personal a los que haya tenido acceso en virtud de este encargo, incluso después de que finalice el objeto.

e) Garantizar que las personas autorizadas para tratar datos personales se comprometen, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes, de las que es necesario informarles convenientemente. Mantener a disposición del responsable la documentación que acredite que se cumple la obligación.

f) Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas para tratar datos personales.

g) Atender el ejercicio de derechos de las personas interesadas.

h) Notificación de violaciones de la seguridad de los datos.

El encargado debe informar al responsable del tratamiento (osi.ics@gencat.cat del Instituto Catalán de Salud), sin dilación indebida y en cualquier caso antes de 48 horas, de las violaciones de la seguridad de los datos personales a cuyo cargo tenga conocimiento, junto con toda la información relevante para documentar y comunicar la incidencia, por correo electrónico a la dirección dpd.justicia@gencat.cat.

Si se dispone de la información, debe facilitarse, como mínimo:

1. Descripción de la naturaleza de la violación de la seguridad de los datos personales, incluyendo, cuando sea posible, las categorías y número aproximado de personas interesadas afectadas, y las categorías y número aproximado de registros de datos personales afectados.

2. Nombre y datos de contacto del delegado de protección de datos o de otro punto de contacto donde pueda obtenerse más información.

3. Descripción de las posibles consecuencias de la violación de la seguridad de sus datos personales.

4. Descripción de las medidas adoptadas o propuestas para remediar la violación de la seguridad de los datos personales, incluidas, en su caso, las medidas adoptadas para mitigar los posibles efectos negativos.

Si no fuera posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información deberá facilitarse de forma gradual sin dilación indebida.

i) Efectuar un análisis de riesgos de sus tratamientos.

j) Implantar las medidas de seguridad necesarias para garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento. Poner a disposición del responsable toda la información necesaria para demostrar que cumple con sus obligaciones, así como para realizar las auditorías o inspecciones que efectúen el responsable u otro auditor autorizado por él.

Obligaciones del responsable del tratamiento

Corresponde al responsable del tratamiento:

a) Dar cumplimiento al derecho de información de las personas interesadas.

b) Entregar al Encargado los datos necesarios para prestar el servicio.

c) Asegurar las medidas de seguridad técnicas en los tratamientos que impliquen interacción entre sistemas de información del responsable y el encargado.

d) Cumplir el Marco de ciberseguridad para la protección de datos de la Generalitat de Catalunya.

e) Velar, antes y durante todo el tratamiento, para que el encargado cumpla la normativa en materia de protección de datos.

f) Supervisar el tratamiento, incluida la ejecución de auditorías de seguridad de la información.