RODO oferty: zakres odpowiedzialności strony w praktyce prawnej

W dobie cyfryzacji i dynamicznego rozwoju rynku usług B2B, proces składania ofert handlowych stał się nieodłącznym elementem codziennej działalności każdego przedsiębiorstwa. Choć przygotowanie oferty kojarzy się przede wszystkim z kalkulacją kosztów, opisem technicznym i negocjacjami biznesowymi, kryje ono w sobie istotny aspekt prawny – ochronę danych osobowych. Każda oferta, niezależnie od tego, czy dotyczy prostych usług serwisowych, czy skomplikowanych projektów technologicznych, zawiera dane osobowe. Mogą to być dane osób do kontaktu, reprezentantów prawnych, a także szczegółowe profile zawodowe (CV) ekspertów i podwykonawców, którzy mają realizować zamówienie. W tym kontekście kluczowe staje się zrozumienie, jak przepisy Ogólnego Rozporządzenia o Ochronie Danych (RODO) wpływają na proces ofertowania oraz gdzie leży granica odpowiedzialności prawnej stron zaangażowanych w ten proces.

Przetwarzanie danych osobowych w procesie ofertowania – podstawy prawne

Przetwarzanie danych osobowych na etapie przedkontraktowym musi opierać się na jednej z przesłanek wymienionych w art. 6 ust. 1 RODO. W praktyce gospodarczej najczęściej mamy do czynienia z trzema podstawami prawnymi. Pierwszą z nich jest art. 6 ust. 1 lit. b RODO, który zezwala na przetwarzanie danych, gdy jest to niezbędne do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Ta podstawa ma zastosowanie głównie w relacjach B2C lub w sytuacjach, gdy ofertę składa osoba fizyczna prowadząca jednoosobową działalność gospodarczą. W przypadku relacji B2B, gdzie stronami są spółki kapitałowe, dane pracowników i reprezentantów stron są najczęściej przetwarzane na podstawie art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadnionego interesu administratora. Uzasadnionym interesem jest w tym przypadku dążenie do nawiązania współpracy handlowej oraz sprawna komunikacja biznesowa. Rzadziej stosowaną, lecz również występującą podstawą, jest zgoda (art. 6 ust. 1 lit. a RODO), która może być wymagana w specyficznych procesach rekrutacyjnych powiązanych z ofertą przetargową.

Obowiązek informacyjny a składanie ofert

Jednym z fundamentalnych obowiązków wynikających z RODO jest obowiązek informacyjny. Zgodnie z art. 13 i 14 RODO, każda osoba, której dane są przetwarzane, musi zostać poinformowana o tożsamości administratora, celach i podstawach prawnych przetwarzania, okresie przechowywania danych oraz przysługujących jej prawach. W kontekście ofertowym pojawia się jednak istotny problem praktyczny: kto i kiedy powinien ten obowiązek spełnić? Jeśli firma A wysyła ofertę do firmy B, zawierającą dane swoich pracowników, firma B staje się administratorem tych danych z chwilą ich otrzymania i zapoznania się z ofertą. Oznacza to, że firma B ma teoretyczny obowiązek poinformowania pracowników firmy A o przetwarzaniu ich danych w terminie określonym w art. 14 RODO (zasadniczo w ciągu miesiąca). Aby uniknąć paraliżu organizacyjnego, w praktyce stosuje się klauzule kaskadowe, w których firma A zobowiązuje się do przekazania informacji RODO w imieniu firmy B swoim pracownikom, lub też konstrukcja uzasadnionego interesu pozwala na ograniczenie tego obowiązku w granicach rozsądku, choć organ nadzorczy (PUODO) podchodzi do tego rygorystycznie.

Dane osób trzecich w ofertach (podwykonawcy i specjaliści)

Szczególnym wyzwaniem jest sytuacja, gdy oferta zawiera szczegółowe dane osób trzecich, np. życiorysy zawodowe kluczowych specjalistów lub podwykonawców, mające dowieść potencjału kadrowego oferenta. Przekazanie takich danych bez wiedzy i zgody tych osób stanowi rażące naruszenie przepisów. Podmiot składający ofertę musi upewnić się, że posiada odpowiednią podstawę prawną do udostępnienia tych danych (np. umowę o współpracy lub stosowną zgodę) oraz że osoby te zostały poinformowane, iż ich dane zostaną przekazane potencjalnemu kontrahentowi w celu oceny oferty. Brak dopełnienia tych formalności naraża oferenta na zarzut bezprawnego przetwarzania danych osobowych.

Zakres odpowiedzialności stron: Administrator vs. Procesor

W praktyce prawnej kluczowe jest prawidłowe zakwalifikowanie ról, jakie strony odgrywają na gruncie RODO. Co do zasady, zarówno podmiot składający ofertę, jak i podmiot ją odbierający, działają jako niezależni administratorzy danych osobowych. Każdy z nich określa własne cele i sposoby przetwarzania danych – oferent przetwarza dane w celu pozyskania kontraktu, a odbiorca w celu wyboru najkorzystniejszego dostawcy. Istnieją jednak sytuacje, w których granica ta może się zacierać. Jeśli w ramach przygotowania oferty jedna ze stron uzyskuje dostęp do baz danych drugiej strony (np. w celu przeprowadzenia audytu przedwdrożeniowego), niezbędne może okazać się zawarcie umowy powierzenia przetwarzania danych (DPA) zgodnie z art. 28 RODO. Błędna kwalifikacja roli i brak umowy powierzenia w sytuacji, gdy jest ona wymagana, stanowi bezpośrednie naruszenie przepisów i rodzi ryzyko nałożenia kar przez organ nadzorczy.

Odpowiedzialność solidarna a regres w umowach konsorcjum

W przypadku ubiegania się o zamówienia przez konsorcja firm, kwestia odpowiedzialności za ochronę danych staje się jeszcze bardziej skomplikowana. Członkowie konsorcjum zazwyczaj wspólnie decydują o celach i sposobach przetwarzania danych w ramach składanej oferty, co czyni ich współadministratorami w rozumieniu art. 26 RODO. Wymaga to zawarcia formalnego porozumienia określającego zakresy odpowiedzialności każdego z konsorcjantów. Brak takiego podziału ról powoduje, że w przypadku naruszenia (np. wycieku danych z winy jednego z partnerów), organ nadzorczy może pociągnąć do odpowiedzialności całe konsorcjum, a poszkodowani mogą żądać odszkodowania od dowolnego z jego członków. Dopiero na etapie regresu wewnętrznego możliwe jest dochodzenie roszczeń od podmiotu rzeczywiście winnego zaniedbaniu.

Ryzyka prawne i finansowe przy naruszeniu RODO w ofertach

Naruszenie przepisów RODO w procesie ofertowania niesie za sobą wieloaspektowe ryzyka. Po pierwsze, organ nadzorczy (Prezes Urzędu Ochrony Danych Osobowych) posiada uprawnienia do nakładania administracyjnych kar pieniężnych, które mogą sięgać milionów euro lub określonego procentu globalnego obrotu przedsiębiorstwa. Po drugie, na mocy art. 82 RODO, każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia rozporządzenia, ma prawo do uzyskania od administratora lub podmiotu przetwarzającego odszkodowania. W kontekście biznesowym oznacza to ryzyko procesów cywilnych wytaczanych przez niezadowolonych pracowników lub podwykonawców, których dane zostały bezprawnie ujawnione w ofercie. Dodatkowo, w sektorze zamówień publicznych, naruszenie zasad ochrony danych może prowadzić do odrzucenia oferty lub wykluczenia wykonawcy z postępowania, co generuje ogromne straty finansowe.

Termin przechowywania danych ofertowych (retencja)

Jednym z najczęstszych uchybień jest bezterminowe przechowywanie odrzuconych ofert. Zgodnie z zasadą ograniczenia przechowywania (art. 5 ust. 1 lit. e RODO), dane muszą być przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane. W przypadku ofert, które zostały odrzucone, cel przetwarzania (zawarcie umowy) odpada z chwilą zakończenia procesu wyboru wykonawcy. Istnieje jednak uzasadniony interes administratora w przechowywaniu tych danych przez okres przedawnienia ewentualnych roszczeń (np. z tytułu czynów nieuczciwej konkurencji lub sporów przedkontraktowych). Zazwyczaj termin ten wynosi od 3 do 6 lat, w zależności od charakteru sprawy. Po upływie tego terminu dane powinny zostać trwale usunięte lub zanonimizowane. Przechowywanie ich „na zapas” w celach marketingowych bez wyraźnej zgody jest niedozwolone.

Procedura postępowania z danymi z ofert krok po kroku

Aby zminimalizować ryzyko prawne związane z procesem ofertowania, przedsiębiorstwa powinny wdrożyć jasną procedurę postępowania z danymi osobowymi. Poniżej przedstawiamy rekomendowany schemat działania:

Audyt przesyłanych danych: Przed wysłaniem oferty należy zweryfikować, czy zawiera ona tylko te dane osobowe, które są absolutnie niezbędne do oceny oferty (zasada minimalizacji danych).
Wdrożenie klauzul informacyjnych: Do każdej wysyłanej oferty należy dołączyć stosowną klauzulę informacyjną RODO lub odesłanie do polityki prywatności, informującą odbiorcę o zasadach przetwarzania danych osób kontaktowych.
Weryfikacja zgód podwykonawców: W przypadku korzystania z zasobów osób trzecich, należy uzyskać ich pisemne oświadczenie o zapoznaniu się z informacją o przetwarzaniu danych w celu złożenia oferty.
Określenie polityki retencji: Odbiorca ofert powinien wdrożyć automatyczne procedury usuwania ofert odrzuconych po upływie terminu przedawnienia roszczeń.
Obsługa wniosków osób trzecich: Należy przygotować procedurę szybkiego reagowania na wniosek o usunięcie danych lub sprzeciw wobec przetwarzania wniesiony przez osobę, której dane znalazły się w bazie ofertowej.

Najczęstsze błędy popełniane przez przedsiębiorców

W praktyce audytorskiej najczęściej identyfikuje się następujące błędy w obszarze RODO i ofertowania:

Brak klauzul informacyjnych: Całkowite ignorowanie obowiązku informacyjnego wobec osób wskazanych w ofertach jako osoby kontaktowe lub merytoryczne.
Przechowywanie CV bez podstawy prawnej: Gromadzenie życiorysów specjalistów w wewnętrznych bazach „na przyszłość” bez uzyskania ich zgody na kolejne procesy ofertowe.
Udostępnianie danych wrażliwych: Zamieszczanie w ofertach informacji dotyczących np. stanu zdrowia pracowników (częste w branży medycznej lub budowlanej przy badaniach wysokościowych) bez szczególnej podstawy prawnej.
Niewłaściwe zabezpieczenie korespondencji: Wysyłanie ofert zawierających dane osobowe niezabezpieczonymi kanałami e-mail (np. bez szyfrowania załączników).

Praktyczny przykład (Case Study)

Spółka X (oferent) wzięła udział w niepublicznym przetargu na wdrożenie systemu IT organizowanym przez Spółkę Y (organizator). W ofercie Spółka X przedstawiła profile zawodowe pięciu programistów, w tym ich imiona, nazwiska, szczegółowe doświadczenie oraz certyfikaty. Po zakończeniu przetargu Spółka Y wybrała innego oferenta, jednak zachowała ofertę Spółki X w swoim archiwum cyfrowym. Po dwóch latach jeden z programistów, którego dane były w ofercie, dowiedział się, że Spółka Y nadal przechowuje jego CV i wysłał wniosek o usunięcie danych. Spółka Y zignorowała wniosek, twierdząc, że ma prawo przechowywać dokumentację przetargową. Programista skierował skargę do organu nadzorczego (PUODO). W wyniku kontroli organ uznał, że Spółka Y nie miała uzasadnionego interesu w dalszym przechowywaniu szczegółowych danych osobowych programisty po zakończeniu przetargu i nałożył na spółkę karę administracyjną za naruszenie zasady ograniczenia przechowywania oraz nieobsłużenie wniosku o usunięcie danych. Ten przykład pokazuje, jak ważne jest precyzyjne zarządzanie cyklem życia oferty.

Podsumowanie i rekomendacje dla biznesu

Proces ofertowania nie może być traktowany jako strefa wolna od RODO. Każda strona transakcji handlowej ponosi odpowiedzialność za legalność, transparentność i bezpieczeństwo przetwarzanych danych osobowych. Aby uniknąć dotkliwych sankcji finansowych oraz utraty reputacji, przedsiębiorcy muszą wdrożyć odpowiednie procedury prawne, dbać o rzetelne realizowanie obowiązków informacyjnych oraz kontrolować czas przechowywania dokumentacji ofertowej. Zapewnienie zgodności z RODO na tym etapie to nie tylko wymóg formalny, ale również element budowania przewagi konkurencyjnej i wizerunku profesjonalnego partnera w biznesie.