El Centre de Telecomunicacions i Tecnologies de la Comunicació (CTTI), que depèn del departament de Polítiques Digitals i Administració Pública, va adjudicar, el 22 de juliol de 2019, “el servei d’aprovisionament i administració d’infrastructures del Centre de Processament de Dades Cloud (‘núvol’) de la Generalitat” a la unió temporal d’empreses formada per Mediapro i COM 2002. Aquests serveis són els de “cloud computing, hosting, contenidors, housing i projectes i suport a aplicacions”; és a dir, provisionament, emmagatzement i allotjament de dades. El termini d’execució del contracte és de 3 anys, prorrogables fins a un màxim de 24 mesos addicionals. La formalització del contracte es va fer l’1 d’agost de 2019 per un valor de 10.277.982,26 euros, que afegint-hi l’IVA va pujar fins als 12.436.358,50 euros.
La proposta de Mediapro Cloud i COM 2002, empresa que es va extingir i ha passat a dir-se Econocom Nexica, va derrotar la resta de candidatures que optaven a aquest contracte. La presidenta de la Mesa de Contractació, Maria Dolores Salgado, directora de Serveis Corporatius del departament que dirigeix Jordi Puigneró, va anunciar a la sessió celebrada l’1 de juliol que havien quedat descartades de la licitació les empreses IBM Global Services España SA, Connectis Managed Cloud España SLU i la UTE DXC-eNUVE. La candidatura de Mediapro Cloud SL es va acabar imposant a les tres competidores que van quedar en dansa: BT España, Compañía de Servicios Globales de Telecomunicaciones SAU, T-Systems ITC Iberia SAU i la UTE NexTReT. Va obtenir 93,61 punts, 1,41 més que la seva principal rival, T-Systems ITC Iberia SAU.
Les raons adduïdes per la Mesa de contractació per decantar-se per la UTE entre l’empresa dirigida per Jaume Roures i Tatxo Benet i Econocom Nexica van ser que oferia: “solució tècnica adequada, model d’organització amb uns òrgans de gestió més ajustat a les necessitats del CTTI, proposta d’evolució de servei detallada i amb aportació de valor afegit, pla de transició amb una reducció de la durada de temps màxim establert i un alt grau de detall en el pla de trasllat, augment del temps proposat per la devolució dels serveis, amb una mínima afectació als mateixos, així com el suport posterior al nou adjudicatari i oferir uns preus més baixos”.
L’annex 3 del contracte està dedicat a l’ús de les dades afectades per aquest acord. “Les dades de caràcter personal a les quals accedeix i tracta – o siguin susceptibles de tractament l’ADJUDICATARI, en l’exercici de la prestació dels seus serveis professionals derivats de la formalització d’aquest contracte- són responsabilitat del/s (tots) Departament/s de la Generalitat de Catalunya, i/o el/s organisme/s autònom/s i/o entitats de dret públic, i/o altre/s entitat/s del sector públic, de la Generalitat de Catalunya, com a òrgan/s Responsable/s de les activitats de tractament”, assenyala aquest annex, que explicita que “el CTTI ostenta la posició d’Encarregat del tractament i l’AJUDICATARI la posició de Subencarregat del tractament”.
El contracte determina que “l’ADJUDICATARI i tot el seu personal s’obliguen a utilitzar les dades personals objecte de tractament, o les que recull per a la seva inclusió, només per a la finalitat objecte d’aquest Acord Encàrrec. En cap cas poden utilitzar les dades per a finalitats pròpies”. Mediapro Cloud i el seu soci hauran de portar per escrit “un registre de totes les categories d’activitats de tractament efectuades” i “si s’escau, de les transferències de dades personals a un tercer país o organització internacional”. D’altra banda, tenen prohibit “comunicar les dades a terceres persones, tret que tinguin l’autorització expressa del CTTI” i “subcontractar amb tercers prestacions que comportin el tractament de dades personals”.
A més, han de “mantenir el deure de confidencialitat respecte de les dades de caràcter personal a les quals hagin tingut accés en virtut d’aquest Acord d’Encàrrec, fins i tot després que finalitzin els serveis” i “garantir que les persones autoritzades per tractar dades personals es comprometen a respectar la confidencialitat i a complir les mesures de seguretat corresponents, de les quals cal informar-los convenientment”.
No convida a la tranquil·litat llegir l’apartat k d’aquest annex: “L’ADJUDICATARI ha d’informar al CTTI, sense dilació indeguda i en un termini màxim de 72 hores de les violacions de la seguretat de les dades personals al seu càrrec de les quals tingui coneixement, juntament amb tota la informació rellevant per documentar i comunicar la incidència”.
Entre les responsabilitats de Mediapro Cloud i Econocom Nexica en el control de les dades tenen les de “garantir la confidencialitat, integritat i disponibilitat i resiliència permanents dels sistemes i serveis de tractament”, “restaurar la disponibilitat i l’accés a les dades personals de forma ràpida en cas d’incident físic o tècnic” i “pseudoanonimitzar i xifrar les dades personals, si s’escau”. Un cop finalitzat el contracte, hauran de retornar al CCTI les dades de caràcter personal que han fet servir i els suports on constin i comprometre’s a esborrar-les dels equips informàtics que hagin utilitzat. Amb tot, poden conservar una còpia “amb les dades degudament bloquejades, mentre es puguin derivar responsabilitats de l’execució de la prestació”.
Les dades dels catalans estaran molts anys en mans de Mediapro Cloud i el seu soci.
