Zakres przetwarzanych danych osobowych
W postępowaniu zamówieniowym przetwarzany jest co do zasady szeroki zakres danych osobowych. Oprócz podstawowych danych w postaci danych kontaktowych, stanowiska służbowego, danych identyfikacyjnych, informacji w zakresie doświadczenia zawodowego, przetwarzane są m.in. dane dotyczące niekaralności np. w przypadku członków zarządów spółek składających oferty. Ponadto, w celu potwierdzenia możliwości wykonywania określonych prac przez personel oferenta, składane są zaświadczenia dotyczące stanu zdrowia poszczególnych osób, które mają być zaangażowane w prace po udzieleniu zamówienia. Dane te mogą dotyczyć tak samego wykonawcy, jego pełnomocnika oraz informacji o osobach, które w swojej ofercie/wniosku o dopuszczenie do udziału w postępowaniu przedkłada wykonawca.
Podstawy prawne przetwarzania danych osobowych
Przetwarzanie danych osobowych zawsze musi odbywać się w oparciu o jedną z podstaw wskazanych w art. 6 ust. 1 RODO. W przypadku postępowań o udzielenie zamówienia publicznego obowiązek podania danych jest wymogiem ustawowym związanym z udziałem w postępowaniu o udzielenie zamówienia publicznego, który określony został w ustawie Prawo zamówień publicznych. Podstawą prawną przetwarzania danych osobowych co do zasady będzie więc art. 6 ust. 1 lit. c RODO tj. przepis prawa.
Powyższe nie oznacza, iż w postępowaniu zamówieniowym nie mogą znaleźć zastosowania inne podstawy prawne. Przetwarzanie danych może odbywać się również w związku z wykonywaniem przez administratora będącego jednostką sektora finansów publicznych, zadań realizowanych w interesie publicznym lub sprawowania powierzonej mu władzy publicznej tj. w oparciu o art. 6 ust. 1 lit. e RODO. Dodatkowo dane osobowe mogą być przetwarzane w związku z wykonywaniem umowy, której stroną jest osoba fizyczna lub w celu podjęcia działań na żądanie, przed zawarciem umowy tj. w oparciu o art. 6 ust. 1 lit. b RODO. W pozostałym zakresie podstawę prawną przetwarzania danych może stanowić również zgoda osoby fizycznej tj. art. 6 ust. 1 lit. a RODO. W oparciu o zgodę przetwarzane będą np. dane zawarte w protokole i załącznikach, w stosunku do których istnieje możliwość ograniczenia zasady jawności w postępowaniu zamówieniowym.
Obowiązek informacyjny
Jednym z podstawowych obowiązków jaki nakładają na uczestników postępowania o udzielenie zamówienia przepisy RODO jest przekazanie osobom fizycznym, których dane przetwarzane są w toku postępowania zamówieniowego informacji, o których mowa w art. 13 RODO. Osoba fizyczna powinna więc w szczególności otrzymać informacje o tożsamości administratora danych, celach przetwarzania danych, przysługujących osobom fizycznym prawach, planowanym okresie ich przechowywania, czy też odbiorcach danych.
Należy również mieć na uwadze, że zamawiający bardzo często nie pozyskuje danych bezpośrednio od osoby, której dane dotyczą, otrzymując je np. od wykonawcy. Nie zwalnia go to co do zasady z obowiązku przekazania osobie fizycznej wymaganych przez RODO informacji. Z tą różnicą jednak, że w przypadku danych pozyskanych w sposób pośredni, zastosowanie znajdzie art. 14 RODO, który zawiera dodatkowe informacje w stosunku do tych wskazanych w art. 13 RODO np. źródło pochodzenia danych osobowych.
Wskazówki Urzędu Zamówień Publicznych
Urząd Zamówień Publicznych, aby usprawnić postępowanie zamówieniowe i wesprzeć jego uczestników w wykonywaniu ich obowiązków wynikających z RODO, opracował i opublikował na swojej stronie internetowej komplet dokumentów mających charakter informacyjny i stanowiących wskazówki w zakresie zmian i wymogów jakie przyniosło ze sobą RODO. Opublikowane na stronie internetowej Urzędu dokumenty to:
- wskazówki dotyczące prowadzenia postępowania o udzielenie zamówienia publicznego z uwzględnieniem regulacji RODO;
- wzór oświadczenia wymaganego od wykonawcy w zakresie wypełnienia obowiązków informacyjnych przewidzianych w art. 13 lub art. 14 RODO;
- przykładowa klauzula informacyjna z art. 13 RODO do zastosowania przez zamawiających.
Powyższe dokumenty powstały jeszcze przed nowelizacją ustawy Prawo zamówień publicznych. Można więc powiedzieć, że wypracowane przez Urząd zasady były punktem wyjściowym do przepisów przyjętych nowelizacją z lutego 2019 r.
Dotychczasowe oraz przyszłe zmiany w prawie zamówień publicznych
Zmiany, które miały miejsce przy okazji ostatniej nowelizacji ustawy Prawo zamówień publicznych dotyczą w szczególności:
- ograniczenia zasady jawności w przypadku przetwarzania danych osobowych dotyczących wyroków skazujących i naruszeń prawa, o których mowa w art. 10 RODO poprzez sprecyzowanie ram czasowych udostępniania tych danych;
- określenia sposobu wykonywania przez zamawiającego obowiązków informacyjnych, o których mowa w art. 13 RODO, a także sposobu korzystania przez osoby, których dane dotyczą z uprawnień przysługujących im na mocy art. 12-23 RODO;
- wyłączenia zasady jawności w kontekście przetwarzania danych osobowych, o których mowa w art. 9 RODO (tzw. danych wrażliwych), zebranych w toku postępowania o udzielenie zamówienia publicznego lub konkursu, zawartych w protokole lub załącznikach do protokołu.
Nowa ustawa zamówieniowa, której wejście w życie planowane jest na rok 2021 r. nie niesie ze sobą znaczących zmian w zakresie ochrony danych osobowych. Przepisy projektowanej Ustawy w dużej mierze powtarzają aktualnie obowiązujące regulacje.
Praktyka równie ważna jak przepisy
Podsumowując powyższe rozważania warto wskazać, że równie ważna jak przepisy jest też sama praktyka przetargowa, która tak naprawdę wciąż jest kształtowana. Istotne jest bowiem, aby przez cały czas trwania postępowania mieć na uwadze konieczność ochrony danych osobowych, które są w jego trakcie ujawniane. Nie wystarczą więc dokumenty zawierające poprawnie skonstruowane treści obowiązków informacyjnych, ale konieczne jest również ciągłe podnoszenie świadomości zamawiających i wykonawców jako podmiotów biorących udział w postępowaniu zamówieniowym. Jest to szczególnie ważne, gdyż obszar ten z uwagi na ilość i zakres przetwarzanych danych osobowych, w dużym stopniu narażony jest na występowanie naruszeń ochrony danych, które mogą mieć negatywny skutek dla osoby fizycznej.
Co w związku z COVID-19?
Warto również wspomnieć, że w Ustawie z dnia 2 marca 2020r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych tzw. Ustawa antykryzysowa, można znaleźć wyłączenie od stosowania przepisów ustawy Prawo zamówień publicznych. Przedmiotowe wyłączenie ma zastosowanie wówczas, gdy towar lub usługa jest niezbędna do przeciwdziałania COVID-19.
Zgodnie z wyjaśnieniami zamieszczonymi na stronie internetowej Urzędu decyzja o zastosowaniu wyłączenia, o którym mowa w Ustawie antykryzysowej powinna być każdorazowo poprzedzona dokonaniem przez zamawiającego analizy konkretnego stanu faktycznego.