El Centro de Telecomunicaciones y Tecnologías de la Comunicación (CTTI), que depende del departamento de Políticas Digitales y Administración Pública, adjudicó, el 22 de julio de 2019, «el servicio de aprovisionamiento y administración de infraestructuras del Centro de Procesamiento de datos Cloud ( ‘nube’) de la Generalitat «a la unión temporal de empresas formada por Mediapro y COM 2002. Estos servicios son los de» cloud computing, hosting, contenedores, housing y proyectos y soporte a aplicaciones «; es decir, aprovisionamiento, almacenamiento y alojamiento de datos. El plazo de ejecución del contrato es de 3 años, prorrogables hasta un máximo de 24 meses adicionales. La formalización del contrato se hizo el 1 de agosto de 2019 por un valor de 10.277.982,26 euros, que con el IVA subió hasta los 12.436.358,50 euros.
La propuesta de Mediapro Cloud y COM 2002, empresa extinguida y ha pasado a denominarse Econocom Nexica, derrotó al resto de candidaturas que optaban a este contrato. La presidenta de la Mesa de Contratación, María Dolores Salgado, directora de Servicios Corporativos del departamento que dirige Jordi Puigneró, anunció en la sesión celebrada el 1 de julio que habían quedado descartadas de la licitación las empresas IBM Global Services España SA, Connectis Managed Cloud España SLU y la UTE DXC-eNUVE. La candidatura de Mediapro Cloud SL se acabó imponiendo a las tres competidoras que quedaron en liza: BT España, Compañía de Servicios Globales de Telecomunicaciones SAU, T-Systems ITC Iberia SAU y la UTE NexTReT. Obtuvo 93,61 puntos, 1,41 más que su principal rival, T-Systems ITC Iberia SAU.
Las razones aducidas por la Mesa de contratación para decantarse por la UTE entre la empresa dirigida por Jaume Roures y Tatxo Benet y Econocom Nexica fueron que ofrecía: «solución técnica adecuada, modelo de organización con unos órganos de gestión más ajustado a las necesidades del CTTI, propuesta de evolución de servicio detallada y con aportación de valor añadido, plan de transición con una reducción de la duración de tiempo máximo establecido y un alto grado de detalle en el plan de traslado, aumento del tiempo propuesto por la devolución de los servicios, con una mínima afectación de los mismos, así como el apoyo posterior al nuevo adjudicatario y ofrecer unos precios más bajos «.
El anexo 3 del contrato está dedicado al uso de los datos afectados por este acuerdo. «Los datos de carácter personal a los que accede y trata -o sean susceptibles de tratamiento del ADJUDICATARIO, en el ejercicio de la prestación de sus servicios profesionales derivados de la formalización de este contrato- son responsabilidad del/s (todos) Departamento/s de la Generalidad de Catalunya, y/o el/los organismo/s autónomo/os y/o entidades de derecho público, y/o otro/s entidad/es del sector público, de la Generalitat de Catalunya, como órgano/s responsable/s de las actividades de tratamiento «, señala este anexo, que explicita que» el CTTI ostenta la posición de Encargado del tratamiento y el AJUDICATARIO la posición de subencargado del tratamiento».
El contrato determina que «el ADJUDICATARIO y todo su personal se obligan a utilizar los datos personales objeto de tratamiento, o los que recoge para su inclusión, sólo para la finalidad objeto de este Acuerdo. En ningún caso pueden utilizar los datos para fines propios». Mediapro Cloud y su socio deberán llevar por escrito «un registro de todas las categorías de actividades de tratamiento efectuadas» y «en su caso, de las transferencias de datos personales a un tercer país u organización internacional». Por otra parte, tienen prohibido «comunicar los datos a terceras personas, a menos que tengan la autorización expresa del CTTI» y «subcontratar con terceros prestaciones que comporten el tratamiento de datos personales».
Además, deben «mantener el deber de confidencialidad respecto de los datos de carácter personal a los que hayan tenido acceso en virtud del presente Acuerdo, incluso después de que finalicen los servicios» y «garantizar que las personas autorizadas para tratar datos personales se comprometen a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes, de las que hay que informarles convenientemente».
No tranquiliza leer el apartado k de este anexo: «El ADJUDICATARIO deberá informar al CTTI, sin dilación indebida y en un plazo máximo de 72 horas de las violaciones de la seguridad de los datos personales a su cargo de las que tenga conocimiento, junto con toda la información relevante para documentar y comunicar la incidencia».
Entre las responsabilidades de Mediapro Cloud y Econocom Nexica en el control de los datos tienen las de «garantizar la confidencialidad, integridad y disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento», «restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico» y «seudoanonimizar y cifrar los datos personales, en su caso». Una vez finalizado el contrato, deberán devolver al CCTI los datos de carácter personal que han utilizado y los soportes donde consten y comprometerse a borrarlos de los equipos informáticos que hayan utilizado. Con todo, pueden conservar una copia» con los datos debidamente bloqueados, mientras se puedan derivar responsabilidades de la ejecución de la prestación».
Los datos de los catalanes estarán muchos años en manos de Mediapro Cloud y su socio.
