El Real Decreto-ley 14/2019, de 31 de octubre, establece una serie de medidas urgentes relativas a la documentación nacional de identidad, a la identificación electrónica ante las Administraciones Públicas, a los datos que obran en poder de las Administraciones Públicas, a la contratación pública y al sector de las telecomunicaciones, mediante la modificación de leyes preexistentes, con el objetivo de reforzar el cumplimiento de la normativa en materia de protección de datos.

Medidas en materia de documentación nacional de identidad

Se configura el Documento Nacional de Identidad, con carácter exclusivo y excluyente, como el único documento con suficiente valor por sí solo para la acreditación, a todos los efectos, de la identidad y los datos personales de su titular.

Con esta finalidad se modifica la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana, y la regulación del Documento Nacional de Identidad electrónico recogida en el artículo 15.1 de la Ley 59/2003, de 19 de diciembre, de firma electrónica.

Identificación electrónica ante las Administraciones Públicas, ubicación de determinadas bases de datos y datos cedidos a otras Administraciones Públicas

El objeto de estas medidas es garantizar la seguridad pública, tanto en las relaciones entre las distintas Administraciones Públicas cuando traten datos personales, como entre ciudadanos y Administraciones Públicas, cuando las últimas proceden a la recopilación, tratamiento y almacenamiento de datos personales en ejercicio de una función pública.

Con las modificaciones que la norma introduce en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se adaptan sus contenidos al Reglamento (UE) 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior. Así, se establece lo siguiente:

- se garantiza la seguridad pública en relación con el empleo de sistemas de identificación y firma electrónicas de los interesados cuando se realizan con clave concertada o mediante cualquier otro sistema que cuente con un registro previo como usuario que permita garantizar su identidad y que las Administraciones Públicas consideren válido, para lo cual somete a un régimen de autorización previa por parte de la Administración General del Estado a los sistemas que sean distintos a aquellos del certificado y sello electrónico, que verificará si el sistema validado tecnológicamente por parte de la Administración u Organismo Público de que se trate puede o no producir afecciones o riesgos a la seguridad pública

- se establece la obligatoriedad de que los recursos técnicos necesarios para la recogida, almacenamiento, tratamiento y gestión de los sistemas previstos en la letra c) del apartado 2 de los arts. 9 y 10 de la Ley se encuentren situados en territorio de la Unión Europea, y en territorio español en caso de que se trate de categorías especiales de datos, los cuales no podrán ser objeto de transferencia a un tercer país u organización internacional y se encontrarán disponibles para su acceso por parte de las autoridades judiciales y administrativas competentes

- se prevé que en las relaciones de los interesados con las Administraciones Públicas no serán admisibles y no podrán autorizarse sistemas de identificaciones basados en tecnologías de registro distribuido y sistemas de firma basados en los anteriores que no sean objeto de regulación específica por el Estado en el marco del Derecho de la Unión Europea.

La modificación de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, obliga a ubicar y prestar dentro del territorio de la Unión Europea los sistemas de información y comunicaciones para la recogida, almacenamiento, procesamiento y gestión del censo electoral, los padrones municipales de habitantes y otros registros de población, datos fiscales relacionados con tributos propios o cedidos y datos de los usuarios del sistema nacional de salud, así como los correspondientes tratamientos de datos personales. Asimismo, permite excepcionalmente que la Administración General del Estado pueda adoptar la medida de suspender la transmisión de datos por razones de seguridad nacional de forma cautelar por el tiempo estrictamente indispensable para su preservación.

Medidas en materia de contratación pública

El real decreto-ley modifica la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público, con la finalidad de introducir medidas que garanticen en todas las fases de la contratación (expediente de contratación, licitación y ejecución del contrato) el respeto por parte de contratistas y subcontratistas de la legislación de la Unión Europea en materia de protección de datos.

Así, incluye como contenido mínimo de los contratos la referencia expresa al sometimiento a la normativa nacional y de la Unión Europea en materia de protección de datos. Respecto a la invalidez de los contratos incorpora como causa de nulidad de pleno derecho la celebración de contratos por parte de poderes adjudicadores que omitan mencionar en los pliegos las obligaciones del futuro contratista en materia de protección de datos.

Además el texto incluye como circunstancia que impedirá a los empresarios contratar con las entidades comprendidas en el artículo 3 de dicha Ley el haber dado lugar a la resolución firme de cualquier contrato celebrado con una de tales entidades por incumplimiento culpable de las obligaciones que los pliegos hubieren calificado como esenciales de acuerdo con lo previsto en el art. 211.1.f) de la propia LCSP, así como la obligación del órgano de contratación de especificar en el expediente cuál será la finalidad de los datos que vayan a ser cedidos.

Por otra parte señala que los pliegos de cláusulas administrativas particulares deben mencionar expresamente la obligación del futuro contratista de respetar la normativa vigente en materia de protección de datos y que en los contratos que exijan el tratamiento por el contratista de datos personales por parte del responsable del tratamiento será obligatorio que en el pliego conste tanto la finalidad de la cesión de datos como la obligación de la empresa adjudicataria de mantener al contratante al corriente de la ubicación de los correspondientes servidores.

Respecto a los pliegos correspondientes a contratos cuya ejecución implique la cesión de datos por las entidades del sector público al contratista, la norma impone la exigencia de que los mismos incluyan, como condición especial de ejecución, la obligación del contratista de someterse a la normativa nacional y de la Unión Europea en materia de protección de datos.

En los pliegos debe advertirse al contratista que estas obligaciones contractuales tienen el carácter de esencial, a los efectos del régimen de resolución del contrato.

Por último el texto incorpora la obligación del contratista principal de asumir la total responsabilidad de la ejecución del contrato frente a la Administración también por lo que respecta a la obligación de sometimiento a la normativa nacional y de la Unión Europea en materia de protección de datos.

Seguridad en materia de telecomunicaciones

El texto introduce determinadas modificaciones en la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones, con el objetivo de reforzar las potestades del Ministerio de Economía y Empresa para llevar a cabo un mayor control y para mejorar sus posibilidades de actuación cuando la comisión de una presunta actuación infractora a través del uso de las redes y servicios de comunicaciones electrónicas pueda suponer una amenaza grave e inmediata para el orden público, la seguridad pública o la seguridad nacional o cuando en determinados supuestos excepcionales que también puedan comprometer el orden público, la seguridad pública y la seguridad nacional sea necesaria la asunción de la gestión directa o la intervención de las redes y servicios de comunicaciones electrónicas. Esta potestad abarca a todos aquellos elementos que necesariamente acompañan a la instalación o despliegue de una red o la prestación de un servicio de comunicaciones electrónicas.

Con esta finalidad se potencia también la potestad sancionadora del Ministerio de Economía y Empresa, ampliando los supuestos en los que puede adoptar medidas cautelares en casos de razones de imperiosa urgencia sin audiencia previa del presunto infractor, que puede incluir el cese de la actividad o la prestación de servicios, tales como los relativos a la existencia de una amenaza inmediata y grave para el orden público, la seguridad pública o la seguridad nacional.

Coordinación en materia de seguridad de las redes y sistemas de información

La norma modifica el Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información, en virtud de la cual el Centro Criptológico Nacional (CCN) ejercerá la coordinación nacional de la respuesta técnica de los equipos de respuesta a incidentes de seguridad informática (CSIRT) en materia de seguridad de las redes y sistemas de información del sector público. Adicionalmente se prevé que el CCN ejercerá la función de enlace para garantizar la cooperación transfronteriza de los CSIRT de las Administraciones Públicas con los CSIRT internacionales en la respuesta a los incidentes y gestión de riesgos de seguridad.

Modificaciones legislativas

- Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana: se modifica el apartado 1 del artículo 8.
- Ley 59/2003, de 19 de diciembre, de firma electrónica: se modifica el apartado 1 del artículo 15.
- Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas: se modifica el apartado 2 del artículo 9, al cual se añade un nuevo apartado 3, que pasa a ser el apartado 4, así como el apartado 2 del artículo 10, al cual se añade un nuevo apartado 3, renumerando los apartados 3 y 4, que pasan a ser 4 y 5, y se añade una nueva disposición adicional sexta.
- Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público: se introduce un nuevo artículo 46 bis y se modifica el artículo 155.
- Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público: se modifica la letra d) del apartado 1 del artículo 35, la letra d) del apartado 2 del artículo 71, el apartado 1 del artículo 116, el apartado 2 del artículo 122, el apartado 1 del artículo 202 y el apartado 4 del artículo 215 y se introduce una nueva letra h) en el apartado 2 del artículo 39.
- Ley 9/2014, de 9 de mayo, General de Telecomunicaciones: se modifica el apartado 6 del artículo 4, el apartado 15 del artículo 76, el apartado 28 del artículo 77 y el apartado 1 del artículo 81 y se introduce un nuevo apartado 3 en el artículo 6.
- Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información: se introduce un apartado 3 en el artículo 11.

Entrada en vigor

El real decreto-ley 14/2019, de 31 de octubre, entra en vigor el 6 de noviembre de 2019, al día siguiente de su publicación en el Boletín Oficial del Estado.