Na każdym etapie postępowania

Uczestnicy rynku zamówień publicznych mają wprawdzie świadomość, że trzeba na zmienionych, bardziej rygorystycznych zasadach chronić dane osobowe, ale co do tego, kiedy i jak to zrobić, wiedza jest już znacznie mniejsza. 
Przetwarzanie danych osobowych występuje praktycznie na każdym etapie procesu udzielania zamówienia publicznego (konkursu), korzystania ze środków ochrony prawnej, zawarcia oraz wykonywania umowy, w tym weryfikacji zatrudnienia osób skierowanych do realizacji zamówienia, podczas udostępniania przez zamawiających dokumentacji postępowania (jak również po zakończeniu postępowania w związku z przetwarzaniem i udostępnianiem dokumentacji archiwalnej). Z uwagi na to, że jest to ściśle powiązane z wymaganiami określonymi w przepisach Prawa zamówień publicznych, zamawiający nie tylko w trakcie postępowania o udzielenie zamówienia, ale również po jego zakończeniu, są zobowiązani do przetwarzania danych osobowych, w tym ich udostępniania, w sposób gwarantujący zabezpieczenie przed ich bezprawnym rozpowszechnianiem.
W celu „przełożenia” przepisów RODO na uprawnienia i obowiązki w zamówieniach publicznych pomocne powinny być udostępnione na stronie internetowej UZP wskazówki i przykładowe klauzule do stosowania w postępowaniu o udzielenie zamówienia publicznego związane z RODO. 

Zakres zastosowania RODO 

Przepisy RODO mają zastosowanie – w świetle komunikatu UZP – zarówno do postępowań o udzielenie zamówienia publicznego wszczętych po 25 maja 2018 r., jak i do postępowań, które zostały wszczęte przed tą datą i pozostają nadal w toku, do każdego postępowania o udzielenie zamówienia publicznego, niezależnie od zastosowanego trybu udzielania zamówienia, a także do innych, szczególnych procedur przewidzianych w ustawie Pzp, jak np. procedura udzielania zamówienia na usługi społeczne i inne szczególne usługi. 

Obowiązki zamawiającego związane z RODO

Z uwagi na to, że przekazywanie ofert lub wniosków o dopuszczenie do udziału w postępowaniu przez wykonawców będących osobami fizycznym łączy się z udostępnianiem danych osobowych, po stronie zamawiającego powstaje obowiązek informacyjny wobec tych wykonawców. Aby uniknąć konieczności kierowania informacji związanych z ochroną danych osobowych do poszczególnych wykonawców, obowiązek indywidualnego informowania wykonawców może być zapewniony przez zamieszczenie stosownych informacji w ogłoszeniu o zamówieniu albo ogłoszeniu o konkursie, w specyfikacji istotnych warunków zamówienia, dokumentacji postępowania albo w regulaminie konkursu.
Alternatywnie, zwłaszcza w przypadku postępowań lub konkursów będących w toku, informacja ta powinna być podana w korespondencji kierowanej bezpośrednio do takich wykonawców po otwarciu ofert albo wniosków o dopuszczenie do udziału w postępowaniu, ewentualnie w przypadku postępowań lub konkursów w toku – niezwłocznie. 
Dla zamawiających jedną z kluczowych klauzul informacyjnych jest przygotowana przez UZP przykładowa klauzula związana z art. 13 RODO, do zamieszczenia zwłaszcza w SIWZ (źródło www.uzp.gov.pl)

Obowiązki dotyczące danych osób trzecich 

Podobnie jak w przypadku pozyskiwania danych osobowych bezpośrednio od wykonawców obowiązek informacyjny powstaje, gdy zamawiający uzyska od wykonawcy dane oso-
bowe dotyczące innych osób (np. osób, których dane służą do wykazania spełniania przez wykonawcę warunków udziału w postępowaniu, osób kierowanych do realizacji zamówienia, osób fizycznych prowadzących działalność gospodarczą, które zostaną wskazane jako podwykonawcy). 

Obowiązki wykonawcy – oświadczenie

Należy pamiętać, że obowiązek informacyjny określony przepisami RODO spoczywa także – o czym UZP przypomina w ww. komunikacie – na wykonawcach, którzy pozyskują pośrednio dane osobowe osób trzecich w celu przekazania ich zamawiającym w ofertach. Zaleca się więc zobowiązanie wykonawcy do złożenia w postępowaniu o udzielenie zamówienia publicznego oświadczenia o wypełnieniu przez niego obowiązków informacyjnych przewidzianych w art. 13 lub art. 14 RODO. Oświadczenie takie, wymagane przez zamawiającego w SIWZ, ma być składane w ofercie, a konkretnie UZP proponuje, aby jego treść została zamieszczona przez zamawiającego we wzorze formularza ofertowego. 

RODO a zasada jawności 

Zgodnie z art. 8 Pzp postępowanie o zamówienie publiczne jest jawne, a zamawiający może ograniczyć dostęp do informacji z nim związanych tylko w przypadkach określonych w ustawie. Nasuwa się więc pytanie, jak pogodzić tę zasadę jawności z przepisami RODO. Nowe przepisy Pzp, w tym art. 8 ust. 5 Pzp, wprowadzają regulacje ograniczające zasadę jawności w zamówieniach publicznych w przypadku przetwarzania danych osobowych dotyczących wyroków skazujących i naruszeń prawa, o których mowa w art. 10 RODO. Kwestie te pojawiają się przede wszystkim przy oświadczeniach lub dokumentach składanych przez wykonawców ubiegających się o zamówienie publiczne w celu wykazania braku podstaw wykluczenia (np. informacji z KRK).
Istotne jest to, że RODO zezwala na przetwarzanie danych we wskazanym zakresie, jeżeli przetwarzanie to jest dozwolone prawem państwa członkowskiego, które przewiduje odpowiednie zabezpieczenia praw i wolności osób, których dane dotyczą. Dotychczas przepisy Pzp nie wyznaczały wprost, jaki jest dopuszczalny zakres przetwarzania danych dotyczących karalności (a więc szczególnej kategorii danych), kto ma do nich dostęp, na jakich zasadach i jak długo są one przechowywane. Zmieni się to na skutek przewidzianych, w przywołanym na wstępie projekcie ustawy, zmian.
Kwestie powyższe ma regulować art. 8 ust. 5 Pzp, zgodnie z którym zamawiający udostępnia dokumentację postępowania zawierającą dane osobowe dotyczącą wyroków skazujących i naruszeń prawa, wyłącznie w celu korzystania ze środków ochrony prawnej, a więc tylko podmiotom uprawnionym (zgodnie z art. 179 Pzp) oraz tylko w terminie na wniesienie środków ochrony prawnej.
 Po upływie terminu na skorzystanie ze środków ochrony prawnej albo w przypadku, gdy o dostęp do dokumentów zawierających informacje o wyrokach skazujących i naruszeniach prawa ubiegają się podmioty, którym nie przysługuje prawo do korzystania ze środków ochrony prawnej, zamawiający będzie udostępniał dane osobowe zawarte w tych dokumentach po ich odpowiednim spseudonimizowaniu. 
Przepis art. 8 ust. 5 Pzp nie będzie miał zastosowania do organów publicznych lub instytucji (kontroli czy ścigania), które są uprawnione na mocy innych regulacji szczegółowych do żądania od zamawiającego udostępnienia dokumentacji postępowania.

Dane osobowe w ogłoszeniach

Należy zauważyć, że dane osobowe pojawiają się także w ogłoszeniach publikowanych zgodnie z przepisami Pzp. Zamieszczają je w BZP zamawiający, a Prezes UZP „tylko” wydaje w formie elektronicznej. Dlatego zostaje do Pzp wprowadzona regulacja, z której wynika, że: 

Udostępnianie protokołu i załączników a RODO

Prawie zawsze dane osobowe zawiera dokumentacja zebrana w toku postępowania o zamówienie publiczne lub konkursu, w tym załączniki do protokołu. Nowy przepis art. 96 ust. 3a Pzp (według projektu ustawy) przesądza, że w postępowaniu o udzielenie zamówienia publicznego lub w konkursie oraz przez okres czterech lat od dnia zakończenia postępowania lub konkursu, zamawiający ma prawo i obowiązek udostępniania wszystkich danych osobowych zawartych w protokole oraz w zgromadzonych załącznikach do protokołu, z wyjątkiem szczególnych kategorii danych osobowych (tzw. danych wrażliwych), o których mowa w art. 9 RODO. Regulacja ta nie będzie miała jednakże zastosowania do umów o zamówienie publiczne, które podlegają udostępnianiu na zasadach określonych w przepisach o dostępie do informacji publicznej. 
Dokumentacja postępowania (tj. protokół oraz załączniki) przechowywana jest przede wszystkim w interesie publicznym, np. do celów kontroli, a więc nie jest możliwa jakakolwiek bezpośrednia ingerencja w treść przechowywanej dokumentacji postępowania. Wszelkie sprostowania lub uzupełnienia będą możliwe wyłącznie w postaci nowych dokumentów składanych jako załączniki do dokumentów, w których dane osobowe będą prostowane lub uzupełniane.

Wymóg dokumentacyjny zatrudnienia na umowę o pracę a RODO

Kluczowe jest powiązanie z wymaganiami RODO obowiązku wynikającego z art. 29 ust. 3a Pzp w zw. z art. 36 ust. 2 pkt 8a lit. a Pzp. W świetle bowiem art. 29 ust. 3a Pzp zamawiający określa w opisie przedmiotu zamówienia na usługi lub roboty budowlane wymagania zatrudnienia przez wykonawcę lub podwykonawcę na podstawie umowy o pracę osób wykonujących wskazane przez zamawiającego czynności w zakresie realizacji zamówienia, jeżeli wykonanie tych czynności polega na wykonywaniu pracy w rozumieniu Kodeksu pracy. Jednocześnie na mocy art. 36 ust. 2 pkt 8a lit. a Pzp powinien w SIWZ wskazać sposób dokumentowania zatrudnienia takich osób, a z tym wiąże się przetwarzanie danych osobowych. 
W dodawanym do Pzp art. 143e wskazuje się wprost (co dotychczas wynikało ze stanowiska UZP i GIODO),że w przypadku zastosowania art. 29 ust. 3a Pzp umowa o zamówienie publiczne powinna zawierać postanowienia dotyczące sposobu dokumentowania zatrudnienia oraz kontroli z tym związanej. W konsekwencji na gruncie przywołanego nowego przepisu możliwe jest zawarcie w umowie żądania przez zamawiającego kopii umowy o pracę zawierającej imię i nazwisko pracownika, datę zawarcia umowy, rodzaj umowy o pracę, wymiar etatu oraz zakres obowiązków pracownika. Pozostałe dane osobowe objęte są ochroną. 
Ponadto zamawiający może żądać przedłożenia zaświadczenia właściwego oddziału ZUS potwierdzającego opłacanie składek na ubezpieczenia społeczne i zdrowotne z tytułu zatrudnienia na podstawie umów o pracę czy też kopii dowodu potwierdzającego zgłoszenie pracownika przez pracodawcę do ubezpieczeń, na której widnieje imię i nazwisko.

Umowy o zamówienie publiczne

Podstawowe zasady i obowiązki w zakresie przetwarzania danych osobowych nałożone przez RODO powinny być, o ile ma to zastosowanie w danym zamówieniu, zapewnione też przez postanowienia umowy o zamówienie publiczne. Nie zawsze jednak zamawiający jest w stanie od razu przewidzieć, że będzie potrzebne powierzenie danych osobowych. Dlatego zasadne wydaje się (być może na wszelki wypadek) zamieszczanie w SIWZ postanowienia określającego, że jeżeli na etapie realizacji umowy nastąpi taka konieczność, zamawiający będzie wymagał podpisania umowy powierzenia przetwarzania danych osobowych.
Powyższe jest wynikiem uwzględnienia art. 28 RODO, który dopuszcza powierzenie przez administratora przetwarzania danych osobowych innemu podmiotowi (wykonawcy) i określa minimalne standardy powierzenia tych danych.