Projekt zmiany przepisów ustawy – Prawo zamówień publicznych w związku z RODO

Czego dotyczy zmiana w ZamPublU

Projektowane brzmienie przepisu ZamPublU

Uzasadnienie

art. 8 ust. 5 (dane dotyczące wyroków skazujących)

5. Zamawiający udostępnia dane osobowe, o których mowa w art. 10 RODO w celu umożliwienia korzystania ze środków ochrony prawnej, o których mowa w dziale VI ZamPublU, do upływu terminu na ich wniesienie

Przepis ogranicza zasadę jawności w zamówieniach publicznych w przypadku przetwarzania danych osobowych dotyczących wyroków skazujących i naruszeń prawa, o których mowa w art. 10 RODO.

RODO zezwala na przetwarzanie danych w tym zakresie, jeżeli to przetwarzanie jest dozwolone prawem państwa członkowskiego, które przewiduje odpowiednie zabezpieczenia praw i wolności osób, których dane dotyczą. W przepisach ZamPublU takie zabezpieczenie w odniesieniu do danych osobowych dotyczących wyroków i skazań będzie polegało na ograniczeniu kręgu podmiotów, którym te dane będą udostępniane poprzez cel, jakim jest przysługujące tym podmiotom na gruncie ZamPublU prawo do korzystania ze środków ochrony prawnej, również w oparciu o informacje dotyczące wyroków i skazań.

Ogólna zasada wyrażona w projektowanym art. 8 ust. 5 ZamPublU, będzie miała zastosowanie do udostępniania protokołów i załączników do protokołu.

Ograniczenie zasady jawności w odniesieniu do danych osobowych zawartych w informacji z KRK nie będzie miało zastosowania w sytuacji, gdy dana osoba nie figuruje w rejestrze skazań za przestępstwa lub wykroczenia.

Adresatem normy wyrażonej w projektowanym art. 8 ust. 5 będzie zamawiający udostępniający dokumentację postępowania (wnioski o dopuszczenie do udziału w postępowaniu czy oferty lub konkretne dokumenty zawierające dane osobowe dotyczące wyroków lub skazań) podmiotom, które mają interes do wniesienia środków ochrony prawnej i wyłącznie do upływu terminu na ich wniesienie.

Po upływie terminu na skorzystanie ze środków ochrony prawnej albo w przypadku, gdy o dostęp do dokumentów zawierających informacje o wyrokach skazujących i naruszeniach prawa ubiegają się podmioty, którym nie przysługuje prawo do korzystania ze środków ochrony prawnej, zamawiający będzie udostępniał dane osobowe zawarte w dokumentach po ich odpowiednim spseudonimizowaniu.

Projektowana regulacja nie będzie miała zastosowania do organów publicznych lub instytucji (kontroli czy ścigania), które są uprawnione na mocy innych regulacji szczegółowych do żądania od zamawiającego udostępnienia dokumentacji postępowania

art. 8a (sposób przetwarzania danych osobowych)

1. Zamawiający może realizować obowiązek informacyjny, o którym mowa w art. 13 ust. 1-3 RODO, poprzez zamieszczenie wymaganych informacji w ogłoszeniu o zamówieniu, ogłoszeniu o konkursie, w SIWZ lub w regulaminie konkursu.

2. W przypadku, gdy wykonanie obowiązku, o którym mowa w art. 15 ust. 1-3 RODO, wymagałoby niewspółmiernie dużego wysiłku, zamawiający może żądać od osoby, której dane dotyczą, wskazania dodatkowych informacji mających na celu sprecyzowanie żądania, w szczególności podania nazwy lub daty postępowania o udzielenie zamówienia publicznego lub konkursu.

3. Skorzystanie przez osobę, której dane osobowe dotyczą, z uprawnienia do sprostowania lub uzupełnienia, o którym mowa w art. 16 RODO, nie może skutkować zmianą wyniku postępowania o udzielenie zamówienia publicznego lub konkursu ani zmianą postanowień umowy w zakresie niezgodnym z ustawą.

4. W postępowaniu o udzielenie zamówienia publicznego lub konkursie zgłoszenie żądania ograniczenia przetwarzania, o którym mowa w art. 18 ust. 1 RODO, nie ogranicza przetwarzania danych osobowych do czasu zakończenia tego postępowania lub konkursu.

5. W postępowaniu o udzielenie zamówienia publicznego lub konkursie wniesienie sprzeciwu wobec przetwarzania, o którym mowa w art. 21 RODO, nie wstrzymuje przetwarzania danych osobowych do czasu zakończenia tego postępowania lub konkursu.

6. Zamawiający informuje o ograniczeniach stosowania przepisów RODO, o których mowa w ust. 2, ust. 4, ust. 5 i art. 97 ust. 1a ZamPublU, na stronie internetowej prowadzonego postępowania lub konkursu oraz w ogłoszeniu o zamówieniu, ogłoszeniu o konkursie, w SIWZ, regulaminie konkursu lub w inny sposób dostępny dla osoby, której dane osobowe dotyczą.

7. Zamawiający przetwarza dane osobowe zebrane w postępowaniu o udzielenie zamówienia publicznego lub w konkursie w sposób gwarantujący zabezpieczenie przed ich bezprawnym rozpowszechnianiem.

8. Osoby upoważnione do przetwarzania danych osobowych, o których mowa w art. 10 RODO, zobowiązane są do zachowania poufności w zakresie udostępnionych im informacji i danych

Zamawiający nie tylko na etapie postępowania o udzielenie zamówienia, ale również po jego zakończeniu, będą zobowiązani do przetwarzania danych osobowych (w tym udostępniania) w sposób gwarantujący zabezpieczenie przed ich bezprawnym rozpowszechnianiem.

Wstrzymanie procedury udzielania zamówienia w związku z koniecznością wstrzymania lub ograniczenia przetwarzania danych osobowych stałoby zatem w sprzeczności z celami postępowania o udzielenie zamówienia publicznego, a szerzej dyrektywami z zakresu zamówień publicznych.

Projektowana regulacja umożliwia nieprzekazywanie informacji, każdorazowo osobie, której dane dotyczą, ale przekazanie ich w formie komunikatu poprzez zawarcie wszystkich niezbędnych informacji przez zamawiającego w ogłoszeniu o zamówieniu (czy w ogłoszeniu o konkursie) lub w SIWZ albo regulaminie konkursu.

Ze względu na zasadę jawności w zamówieniach publicznych osoba, której danej dotyczą, będzie miała dostęp do przechowywanej dokumentacji postępowania, w oparciu o przepisy prawa zamówień publicznych, a więc będzie mogła bezpośrednio realizować prawo dostępu do danych osobowych jej dotyczących.

Art. 11 ust. 6a-6c (dane osobowe w ogłoszeniach)

6a. W przypadku danych osobowych zamieszczonych przez zamawiającego w BZP, prawo do uzyskania informacji, o których mowa w art. 15 RODO, jest wykonywane w drodze żądania skierowanego do zamawiającego.

6b. W przypadku danych osobowych zamieszczonych przez zamawiającego w BZP, prawo do sprostowania danych oraz uzupełnienia niekompletnych danych, o których mowa w art. 16 RODO, jest wykonywane w drodze żądania skierowanego do zamawiającego.

6c. Prezes UZP zapewnia techniczne utrzymanie systemu informatycznego i portalu internetowego, na którym udostępniany jest Biuletyn Zamówień Publicznych oraz określa okres przechowywania danych osobowych zamieszczanych w BZP

W związku z tym, że Prezes UZP wydaje w formie elektronicznej BZP, a zamawiający zamieszczają w BZP ogłoszenia, doprecyzowuje się wprost w ZamPublU podział zakresu obowiązków realizowanych przez tych administratorów danych osobowych.

Zasadne jest wprowadzenie regulacji, zgodnie z którą osoby, których dane osobowe dotyczą, chcąc korzystać z prawa do uzyskania informacji, o których mowa w art. 15 RODO, będą zwracać się do zamawiającego, który zamieścił dane osobowe, a nie do Prezesa UZP zapewniającego obsługę techniczną BZP.

Zadaniem Prezesa UZP będzie zapewnienie technicznego utrzymania systemu i portalu internetowego, na którym udostępniony jest BZP, oraz określenie w wewnętrznych regulacjach okresów przechowywania danych osobowych zamieszczonych w BZP

art. 96 ust. 3a-3c (dane osobowe w protokole i załącznikach do niego)

3a. Zasada jawności, o której mowa w ust. 3, ma zastosowanie do wszystkich danych osobowych, z wyjątkiem danych, o których mowa w art. 9 RODO, zebranych w toku postępowania o udzielenie zamówienia publicznego lub konkursu. Ograniczenia zasady jawności, o których mowa w art. 8 ust. 3-5 ZamPublU, stosuje się odpowiednio.

3b. Od dnia zakończenia postępowania o udzielenie zamówienia, w przypadku skutecznego skorzystania przez osobę, której dane dotyczą, z uprawnienia do ograniczenia przetwarzania, o którym mowa w art. 18 ust. 1 RODO, zamawiający udostępnia protokół wraz załącznikami na zasadach określonych w art. 18 ust. 2 RODO.

3c. Od dnia zakończenia postępowania o udzielenie zamówienia, w przypadku skutecznego skorzystania przez osobę, której dane dotyczą, z uprawnienia do sprzeciwu wobec przetwarzania, o którym mowa w art. 21 RODO, zamawiający udostępnia protokół wraz załącznikami na zasadach określonych w tym przepisie

Załączniki do protokołu tworzą dokumentację zebraną w toku postępowania o zamówienie publiczne lub konkursu, która prawie zawsze zawiera dane osobowe.

Przepis projektowanego ust. 3a wprost przesądza, że w postępowaniu o udzielenie zamówienia publicznego lub w konkursie (oraz przez okres 4 lat od dnia zakończenia postępowania lub konkursu) zamawiający ma prawo i obowiązek udostępniania wszystkich danych osobowych zawartych w protokole oraz w zgromadzonych załącznikach do protokołu, z wyjątkiem szczególnych kategorii danych osobowych (tzw. danych wrażliwych), o których mowa w art. 9 RODO.

Ta regulacja nie będzie miała zastosowania do umów w sprawach zamówień publicznych, które podlegają udostępnianiu na zasadach określonych w przepisach o dostępie do informacji publicznej.

Przypomina się, że wykonawcy powinni przekazywać tylko te dane osobowe i tylko w takim zakresie, w jakim jest to potrzebne dla celów prowadzonego postępowania o zamówienie publiczne.

Z przepisu ust. 3b wynika, że każde inne przetwarzanie, z wyjątkiem przechowywania, możliwe będzie wyłącznie za zgodą osoby, której dane dotyczą, lub w celu ustalenia, dochodzenia lub obrony roszczeń lub w celu ochrony praw innej osoby fizycznej lub prawnej (np. korzystanie ze środków ochrony prawnej) lub z uwagi na ważne względy interesu publicznego UE lub państwa członkowskiego (np. kontrola)

art. 97 ust. 1a i 1b (przetwarzanie danych na etapie przechowywania protokołu wraz z załącznikami)

1a. W przypadku gdy wykonanie obowiązku, o którym mowa w art. 15 ust. 1-3 RODO, wymaga niewspółmiernie dużego wysiłku, zamawiający może żądać od osoby, której dane dotyczą, wskazania dodatkowych informacji mających w szczególności na celu sprecyzowanie nazwy lub daty zakończonego postępowania o udzielenie zamówienia.

1b. Skorzystanie przez osobę, której dane osobowe dotyczą, z uprawnienia do sprostowania lub uzupełnienia, o którym mowa w art. 16 RODO, nie może naruszać integralności protokołu oraz jego załączników

Przepis ma na celu zapobieżenie – w interesie publicznym – nadmiernemu obciążaniu zamawiających, którzy musieliby przeszukiwać niezliczone ilości dokumentacji w celu ustalenia, czy konkretne dane osobowe były przetwarzane.

Ze względu na zasadę jawności w zamówieniach publicznych osoba, której danej dotyczą, będzie miała dostęp do przechowywanej dokumentacji postępowania, w oparciu o przepisy ZamPublU, a więc będzie mogła bezpośrednio realizować prawo dostępu do danych osobowych jej dotyczących.

Dokumentacja postępowania (tj. protokół oraz załączniki) przechowywana jest przede wszystkim w interesie publicznym, np. do celów kontroli, a więc nie jest możliwa jakakolwiek bezpośrednia ingerencja w treść przechowywanej dokumentacji postępowania.

Wszelkie sprostowania lub uzupełnienia będą możliwe wyłącznie w postaci nowych dokumentów składanych jako załączniki do dokumentów, w których dane osobowe będą prostowane lub uzupełniane.

art. 143e (zawarcie w umowie o zamówienie publiczne uprawnień kontrolnych odnośnie zatrudniania na podstawie umów o pracę)

W przypadku, o którym mowa w art. 29 ust. 3a ZamPublU, umowa zawiera postanowienia dotyczące:

1) sposobu dokumentowania zatrudnienia oraz kontroli spełniania przez wykonawcę lub podwykonawcę wymagań dotyczących zatrudnienia na podstawie umowy o pracę, w tym możliwości żądania:

a) poświadczonej za zgodność z oryginałem kopii umowy o pracę potwierdzającej zatrudnienie na podstawie umowy o pracę, na której widnieje: imię i nazwisko zatrudnionego pracownika, data zawarcia umowy, rodzaj umowy o pracę, wymiar etatu oraz zakres obowiązków pracownika,

b) poświadczonej za zgodność z oryginałem kopii dowodu potwierdzającego zgłoszenie pracownika przez pracodawcę do ubezpieczenia społecznego oraz zdrowotnego, na której widnieje imię i nazwisko pracownika,

c) zaświadczenia właściwego oddziału ZUS, potwierdzającego opłacanie przez wykonawcę lub podwykonawcę składek na ubezpieczenia społeczne i zdrowotne z tytułu zatrudnienia na podstawie umów o pracę;

2) sankcji z tytułu niespełnienia wymagań, o których mowa w art. 29 ust. 3a ZamPublU

Przesądza się wprost w przepisach ZamPublU, że zamawiający w ramach uprawnień w zakresie kontroli spełniania przez wykonawcę lub podwykonawcę wymagań, o których mowa w art. 29 ust. 3a ZamPublU, będzie miał prawo do żądania dokumentów zawierających niezbędne dane osobowe.