Jak stosować RODO w zakresie zamówień publicznych – projekt ustawy wdrażającej RODO

W projekcie zmienia się kilkadziesiąt ustaw, w tym przepisy ZamPublU. Analiza treści projektu ustawy wskazuje, że zmiany będą w sposób istotny pomocne nie tylko w „przełożeniu” wymagań RODO na zamówienia publiczne oraz skutecznym stosowaniu RODO w odniesieniu do zamówień publicznych, ale także w zrozumieniu istoty i charakteru RODO. Warto więc zwrócić uwagę na zakres projektowanych zmian przepisów w ZamPublU.

Dane osobowe w KRK

W praktyce, zwłaszcza od wejścia w życie RODO, wiele wątpliwości pojawia się odnośnie do dostępności danych osobowych ujawnianych w informacjach z KRK, żądanych przez zamawiających na potwierdzenie braku podstaw wykluczenia na podstawie ZamPublU. Odpowiedzi na te wątpliwości można znaleźć m.in. w dodawanym do art. 8 ZamPublU przepisie ust. 5, który ogranicza zasadę jawności w zamówieniach publicznych w przypadku przetwarzania danych osobowych dotyczących wyroków skazujących i naruszeń prawa, o których mowa w art. 10 RODO, co do celu (korzystanie ze środków ochrony prawnej uregulowanych w Dziale VI ZamPublU) oraz do czasu przetwarzania (do upływu terminu na ich wniesienie).

Należy zauważyć, że w art. 10 RODO zezwala się na przetwarzanie danych osobowych dotyczących wyroków skazujących i naruszeń prawa, jeżeli to przetwarzanie jest dozwolone prawem państwa członkowskiego, które przewiduje odpowiednie zabezpieczenia praw i wolności osób, których dane dotyczą. Takie zabezpieczenie w odniesieniu do danych osobowych dotyczących wyroków i skazań w zamówieniach publicznych będzie polegało na ograniczeniu kręgu podmiotów, którym te dane będą udostępniane, poprzez cel, jakim jest przysługujące tym podmiotom prawo do korzystania ze środków ochrony prawnej, również na podstawie informacji dotyczących wyroków i skazań. Dodatkowo, zgodnie z projektowanym art. 8a ust. 7 ZamPublU, do przetwarzania danych osobowych, o których mowa w art. 10 RODO, mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie. Osoby dopuszczone do przetwarzania takich danych są obowiązane do zachowania ich w poufności.

Warto przypomnieć, że na gruncie zamówień publicznych i konkursów dane osobowe dotyczące wyroków i skazań mogą zawierać zarówno informacje z KRK, JEDZ (zwłaszcza rubryka dotycząca tzw. samooczyszczenia), jak i uzasadnienie wykluczenia wykonawcy z udziału w postępowaniu. Ograniczenie zasady jawności w odniesieniu do danych osobowych zawartych w informacji z KRK nie będzie miało jednak zastosowania w sytuacji, gdy dana osoba nie figuruje w rejestrze skazań za przestępstwa lub wykroczenia. Po upływie terminu na skorzystanie ze środków ochrony prawnej albo w przypadku, gdy o dostęp do dokumentów zawierających informacje o wyrokach skazujących i naruszeniach prawa ubiegają się podmioty, którym nie przysługuje prawo do korzystania ze środków ochrony prawnej, zamawiający będzie udostępniał dane osobowe zawarte w dokumentach po ich odpowiednim spseudonimizowaniu. Regulacja art. 8 ust. 5 ZamPublU nie będzie miała zastosowania do organów publicznych lub instytucji (kontroli czy ścigania), które są uprawnione na mocy innych regulacji szczegółowych do żądania od zamawiającego udostępnienia dokumentacji postępowania.

Informacja o ograniczeniach uprawnień osób, których dane dotyczą

Przewiduje się wprowadzenie nowego art. 8a ust. 5 ZamPublU, mającego zastosowanie we wszystkich postępowaniach o udzielenie zamówienia publicznego lub konkursach prowadzonych na podstawie ZamPublU. Zamawiający będzie miał możliwość wyboru jednego z wymienionych w art. 8a ust. 5 ZamPublU sposobów informowania o ograniczeniach uprawnień osób, których dane dotyczą. Uznano bowiem, że nałożenie na zamawiających obowiązku informowania o ograniczeniach stosowania art. 15 i art. 18 RODO zawsze na stronie internetowej prowadzonego postępowania oraz dodatkowo w ogłoszeniu o zamówieniu, ogłoszeniu o konkursie, w SIWZ lub w inny sposób dostępny dla osoby, której dane osobowe dotyczą, byłby nadmiernym obciążeniem zamawiających. Nowy art. 8a ust. 5 ZamPublU traktuje się więc jako dodatkowy sposób przekazywania informacji o ograniczeniach stosowania RODO, które zostaną określone w projektowanym art. 8a ust. 2 i 4 oraz art. 97 ust. 1a ZamPublU. Wskazuje się, że wystarczające będzie spełnienie obowiązku informowania o tych ograniczeniach tylko w jeden ze sposobów wymienionych w art. 8a ust. 5 ZamPublU. Zauważa się przy tym, że w przypadku trybów konkurencyjnych z zasady ogłoszenie o zamówieniu oraz SIWZ zamawiający każdorazowo zamieszcza na stronie internetowej i w związku z tym nie wydaje się uzasadnione, aby informacja o ograniczeniach stosowania RODO była oprócz tego zawsze zamieszczana na stronie internetowej prowadzonego postępowania o zamówienie publiczne.

Przetwarzanie (udostępnianie) danych osobowych

Kluczową zasadą dotyczącą postępowań o zamówienie publiczne jest zasada jawności. Powstają nierzadko pytania, jak ją realizować w zgodzie z RODO. W tym zakresie w ZamPublU wprowadza się kilka zmian. Zgodnie z nowym art. 8a ust. 6 ZamPublU zamawiający nie tylko na etapie postępowania o udzielenie zamówienia, ale również po jego zakończeniu, będą zobowiązani do przetwarzania danych osobowych (w tym ich udostępniania) w sposób gwarantujący zabezpieczenie przed ich bezprawnym rozpowszechnianiem. W art. 8a ust. 7 ZamPublU zobowiązuje się osoby upoważnione do przetwarzania danych osobowych, o których mowa w art. 10 RODO, do zachowania ich w poufności.

Ponadto, zgodnie z projektowanym art. 8a ust. 2 ZamPublU, w przypadku gdy wykonanie obowiązków, o których mowa w art. 15 ust. 1-3 RODO, wymagałoby niewspółmiernie dużego wysiłku, zamawiający może żądać od osoby, której dane dotyczą, wskazania dodatkowych informacji mających na celu sprecyzowanie żądania, w szczególności podania nazwy lub daty postępowania o udzielenie zamówienia publicznego lub konkursu. Podkreśla się też, że stosowanie w toku postępowania o udzielenie zamówienia publicznego lub konkursu art. 18 RODO stanowiącego o prawie osoby, której dane dotyczą, do żądania od administratora ograniczenia przetwarzania tych danych, mogłoby sparaliżować proces udzielania zamówienia publicznego z uwagi na powiązany z tym uprawnieniem obowiązek wstrzymania lub ograniczenia przetwarzania danych przez zamawiającego. Dlatego w art. 8a ust. 4 ZamPublU przewiduje się, że wystąpienie z żądaniem, o którym mowa w art. 18 ust. 1 RODO, nie ogranicza przetwarzania danych osobowych do czasu zakończenia postępowania o udzielenie zamówienia publicznego lub konkursu.

Zasadę jawności w zamówieniach publicznych w kontekście przetwarzania (a dokładnie udostępniania) danych osobowych zawartych w protokole lub załącznikach do protokołu doprecyzowuje się w projektowanym art. 96 ust. 3a ZamPublU, wskazując, że ma zastosowanie do wszystkich danych osobowych, z wyjątkiem danych, o których mowa w art. 9 ust. 1 RODO (tzw. danych wrażliwych), zebranych w toku postępowania o udzielenie zamówienia publicznego lub konkursu. Należy przy tym przypomnieć, że wykonawcy powinni przekazywać tylko te dane osobowe i tylko w takim zakresie, w jakim jest to potrzebne dla celów prowadzonego postępowania.

Ponadto zdanie drugie projektowanego przepisu wskazuje na inne możliwe ograniczenia zasady jawności, będą to odpowiednio:

1) art. 8 ust. 3 ZamPublU (tajemnica przedsiębiorstwa),

2) art. 8 ust. 4 ZamPublU (dane osobowe – w przypadku art. 67 ust. 1 pkt 1 lit. b ZamPublU; wysokość wynagrodzenia – w przypadku art. 67 ust. 1 pkt 1a ZamPublU), a także

3) projektowany art. 8 ust. 5 ZamPublU (dane osobowe dotyczące skazań i wyroków udostępnianych jedynie w celu skorzystania ze środków ochrony prawnej).

Z projektowanego art. 96 ust. 3b ZamPublU (w kontekście art. 18 ust. 2 RODO) wynika, że każde inne przetwarzanie, z wyjątkiem przechowywania protokołu i załączników, możliwe będzie wyłącznie za zgodą osoby, której dane dotyczą, lub w celu ustalenia, dochodzenia lub obrony roszczeń lub w celu ochrony praw innej osoby fizycznej lub prawnej (np. korzystanie ze środków ochrony prawnej) lub z uwagi na ważne względy interesu publicznego UE lub państwa członkowskiego (np. kontrola).

Dane osobowe w kontekście wymagania umów o pracę

W projektowanym art. 143e ZamPublU rozwiewa się wątpliwości wielu zamawiających odnośnie do tego, czy i w jakim zakresie mogą przetwarzać dane osobowe zawarte w przekazanych im przez wykonawcę np. kopiach umów o pracę w przypadku zastosowania art. 36 ust. 2 pkt 8a ZamPublU w związku z art. 29 ust. 3a ZamPublU. Przesądza się bowiem wprost w art. 143e ZamPublU, że zamawiający w ramach uprawnień w zakresie kontroli spełniania przez wykonawcę lub podwykonawcę wymagań, o których mowa w art. 29 ust. 3a ZamPublU, będzie miał prawo do żądania:

1) oświadczenia wykonawcy lub podwykonawcy o zatrudnieniu pracownika na podstawie umowy o pracę,

2) poświadczonej za zgodność z oryginałem kopii umowy o pracę zatrudnionego pracownika,

3) innych dokumentów

– zawierających informacje, w tym dane osobowe, niezbędne do weryfikacji zatrudnienia na podstawie umowy o pracę, w szczególności: imię i nazwisko zatrudnionego pracownika, datę zawarcia umowy o pracę, rodzaj umowy o pracę, zakres obowiązków pracownika.

Powyższe kwestie mają być regulowane w postanowieniach umowy o zamówienie publiczne, która jest zasadniczym źródłem zobowiązań wykonawcy na etapie realizacji zamówienia.