Podkreślić należy, że równolegle toczy się też proces legislacyjny dotyczący projektu ustawy o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679, przewidującego zmiany w zakresie ZamPublU. Zakres tych zmiany przybliżamy o odrębnym tekście.
Zastosowanie RODO w zamówieniach publicznych
W komunikacie UZP zwraca się uwagę, że RODO ma zastosowanie:
1) zarówno do postępowań o udzielenie zamówienia publicznego wszczętych od 25.5.2018 r., jak i do postępowań, które zostały wszczęte przed tą datą i pozostają nadal w toku,
2) do każdego postępowania o udzielenie zamówienia publicznego, niezależnie od zastosowanego trybu udzielania zamówienia,
3) także do innych, szczególnych procedur przewidzianych w ZamPublU, jak np. procedura udzielania zamówienia na usługi społeczne i inne szczególne usługi.
Obowiązki zamawiającego związane z RODO
Z uwagi na to, że przekazywanie ofert czy wniosków o dopuszczenie do udziału w postępowaniu przez wykonawców będących osobami fizycznym łączy się z udostępnianiem danych osobowych, po stronie zamawiającego powstaje obowiązek informacyjny wobec takich wykonawców. Aby uniknąć konieczności kierowania informacji związanych z ochroną danych osobowych do poszczególnych wykonawców, obowiązek indywidualnego informowania wykonawców może być zapewniony przez zamieszczenie stosownych informacji w ogłoszeniu o zamówieniu albo ogłoszeniu o konkursie, w SIWZ, dokumentacji postępowania albo w regulaminie konkursu. Alternatywnie, zwłaszcza w przypadku postępowań lub konkursów będących w toku, ta informacja powinna być podana w korespondencji kierowanej bezpośrednio do takich wykonawców po otwarciu ofert albo wniosków o dopuszczenie do udziału w postępowaniu, ewentualnie w przypadku postępowań lub konkursów w toku – niezwłocznie.
Dla zamawiających jedną z kluczowych klauzul informacyjnych jest przygotowana przez UZP przykładowa klauzula związana z art. 13 RODO, do zamieszczenia zwłaszcza w SIWZ.
[Przykład]
(źródło www.uzp.gov.pl)
Zgodnie z art. 13 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L 119 z 4.5.2016 r., str. 1), dalej „RODO”, informuję, że:
1) administratorem Pani/Pana danych osobowych jest ……… (nazwa i adres oraz dane kontaktowe zamawiającego);
2) inspektorem ochrony danych osobowych w …………………..(nazwa zamawiającego) jest Pani/Pani ……….. (imię i nazwisko, kontakt: adres e-mail, telefon)
Uwaga: informacja w tym zakresie jest wymagana, jeżeli w odniesieniu do danego administratora lub podmiotu przetwarzającego istnieje obowiązek wyznaczenia inspektora ochrony danych osobowych ;
3) Pani/Pana dane osobowe przetwarzane będą na podstawie art. 6 ust. 1 lit. c RODO w celu związanym z postępowaniem o udzielenie zamówienia publicznego ………. (dane identyfikujące postępowanie, np. nazwa, numer) prowadzonym w trybie ………………….;
4) odbiorcami Pani/Pana danych osobowych będą osoby lub podmioty, którym udostępniona zostanie dokumentacja postępowania na podstawie art. 8 oraz art. 96 ust. 3 ZamPublU;
5) Pani/Pana dane osobowe będą przechowywane, zgodnie z art. 97 ust. 1 ZamPublU, przez okres 4 lat od dnia zakończenia postępowania o udzielenie zamówienia, a jeżeli czas trwania umowy przekracza 4 lata, okres przechowywania obejmuje cały czas trwania umowy;
6) obowiązek podania przez Panią/Pana danych osobowych bezpośrednio Pani/Pana dotyczących jest wymogiem ustawowym określonym w przepisach ZamPublU, związanym z udziałem w postępowaniu o udzielenie zamówienia publicznego; konsekwencje niepodania określonych danych wynikają z ZamPublU;
7) w odniesieniu do Pani/Pana danych osobowych decyzje nie będą podejmowane w sposób zautomatyzowany, stosowanie do art. 22 RODO;
8) posiada Pani/Pan:
na podstawie art. 15 RODO prawo dostępu do danych osobowych Pani/Pana dotyczących;
na podstawie art. 16 RODO prawo do sprostowania Pani/Pana danych osobowych (skorzystanie z prawa do sprostowania nie może skutkować zmianą wyniku postępowania o udzielenie zamówienia publicznego ani zmianą postanowień umowy w zakresie niezgodnym z ZamPublU oraz nie może naruszać integralności protokołu oraz jego załączników) ;
na podstawie art. 18 RODO prawo żądania od administratora ograniczenia przetwarzania danych osobowych z zastrzeżeniem przypadków, o których mowa w art. 18 ust. 2 RODO ( prawo do ograniczenia przetwarzania nie ma zastosowania w odniesieniu do przechowywania, w celu zapewnienia korzystania ze środków ochrony prawnej lub w celu ochrony praw innej osoby fizycznej lub prawnej, lub z uwagi na ważne względy interesu publicznego Unii Europejskiej lub państwa członkowskiego) ;
prawo do wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, gdy uzna Pani/Pan, że przetwarzanie danych osobowych Pani/Pana dotyczących narusza przepisy RODO;
nie przysługuje Pani/Panu:
w związku z art. 17 ust. 3 lit. b, d lub e RODO prawo do usunięcia danych osobowych;
prawo do przenoszenia danych osobowych, o którym mowa w art. 20 RODO;
na podstawie art. 21 RODO prawo sprzeciwu, wobec przetwarzania danych osobowych, gdyż podstawą prawną przetwarzania Pani/Pana danych osobowych jest art. 6 ust. 1 lit. c RODO.
Obowiązki zamawiającego dotyczące danych osób trzecich (pozyskanych przez wykonawców i przekazanych zamawiającemu)
Podobnie jak w przypadku pozyskiwania danych osobowych bezpośrednio od wykonawców obowiązek informacyjny powstaje, gdy zamawiający uzyska od wykonawcy dane osobowe dotyczące innych osób (np. osób, których dane służą do wykazania spełniania przez wykonawcę warunków udziału w postępowaniu, osób kierowanych do realizacji zamówienia, osób fizycznych prowadzących działalność gospodarczą, które zostaną wskazane jako podwykonawca). Zamawiający może odstąpić od obowiązku indywidualnego informowania każdej z takich osób w przypadkach, o których mowa w art. 14 ust. 5 RODO, np. w sytuacji, gdy ta osoba dysponuje już tymi informacjami albo gdy wymagałoby to ze strony zamawiającego niewspółmiernie dużego wysiłku.
Obowiązki wykonawcy
Należy pamiętać, że obowiązek informacyjny określony przepisami RODO spoczywa także – o czym UZP przypomina w komunikacie – na wykonawcach, którzy pozyskują pośrednio dane osobowe osób trzecich w celu przekazania ich zamawiającym w ofertach. Zaleca się więc zobowiązanie wykonawcy do złożenia w postępowaniu o udzielenie zamówienia publicznego oświadczenia o wypełnieniu przez niego obowiązków informacyjnych przewidzianych w art. 13 lub art. 14 RODO. Takie oświadczenie, wymagane przez zamawiającego w SIWZ, ma być składane w ofercie, a konkretnie UZP proponuje, aby jego treść została zamieszczona przez zamawiającego we wzorze formularza ofertowego.
Oświadczenie
Oświadczam, że wypełniłem obowiązki informacyjne przewidziane w art. 13 lub art. 14 RODO wobec osób fizycznych, od których dane osobowe bezpośrednio lub pośrednio pozyskałem w celu ubiegania się o udzielenie zamówienia publicznego w niniejszym postępowaniu.
Uwaga: w przypadku gdy wykonawca nie przekazuje danych osobowych innych niż bezpośrednio jego dotyczących lub zachodzi wyłączenie stosowania obowiązku informacyjnego, stosownie do art. 13 ust. 4 lub art. 14 ust. 5 RODO, wykonawca nie składa oświadczenia (należy wtedy usunąć treść oświadczenia np. przez jego wykreślenie) .
