Ochrona danych osobowych w zamówieniach publicznych

Ustawa z 21.2.2019 r. wprowadza zmiany w polskim porządku prawnym, dostosowując przepisy RODO do zamówień publicznych. Nowe regulacje nakładają obowiązek zabezpieczenia danych osobowych przed nielegalnym rozpowszechnianiem oraz elastyczne podejście do informowania osób o przetwarzaniu danych. Ograniczono też uprawnienia osób, których dane są przetwarzane, zgodnie z RODO.

Tematyka: ochrona danych osobowych, zamówienia publiczne, RODO, przetwarzanie danych osobowych, zabezpieczenia danych, informacje publiczne, prawa osobiste, ograniczenia przetwarzania danych, dokumentacja zatrudnienia, umowa o pracę

Ustawa z 21.2.2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia
Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku
z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia
dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), Dz.U. z 2019 r. poz. 730, ma na celu
dostosowanie przepisów RODO do specyfiki polskiego porządku prawnego i tym samym zapewnienie
właściwej ochrony danych osobowych przetwarzanych w związku z udzielaniem zamówień publicznych.
Nowelizacja ustawy z 29.1.2004 r. – Prawo zamówień publicznych (t.j. Dz.U. z 2018 r. poz. 1986 ze zm., dalej jako:
ZamPublU) stanowi efekt koniecznego znalezienia odpowiedniej proporcji pomiędzy poszanowaniem prawa do
prywatności osób fizycznych a naczelną zasadą jawności, wpisaną w cały proces udzielania zamówień, włącznie
z zawartą umową, udostępnianą na podstawie przepisów o dostępie do informacji publicznej. Zarówno zasada
jawności oraz prawo dostępu do informacji publicznej, jak i prawo do prywatności mają swoje źródła w przepisach
Konstytucji RP, a ich ograniczenie może wynikać jedynie z przepisów ustawy (zob. art. 47, 51 i 61 Konstytucji RP).
Znowelizowane przepisy wprost nakładają na zamawiającego obowiązek przetwarzania zebranych danych
osobowych w sposób gwarantujący zabezpieczenie przed ich bezprawnym rozpowszechnianiem. Wyrazem
szczególnej ochrony danych osobowych, o których mowa w art. 10 RODO, tj. dotyczących wyroków skazujących
i naruszeń prawa jest zobowiązanie, by osoby przetwarzające takie dane działały wyłącznie na podstawie
stosownego upoważnienia oraz zostały zobowiązane do zachowania tych danych w poufności. Dane te mogą być
udostępniane jedynie w celu umożliwienia korzystania ze środków ochrony prawnej (a zatem jedynie podmiotom
uprawnionym do ich wniesienia) i do upływu terminu na ich wniesienie.
Dopuszczono realizowanie przez zamawiającego obowiązków informacyjnych, wynikających z art. 13 ust. 1–3 RODO
w sposób elastyczny: przez zamieszczenie odpowiednich klauzul informacyjnych w ogłoszeniu o zamówieniu,
ogłoszeniu o konkursie, SIWZ, regulaminie konkursu lub przy pierwszej czynności skierowanej do wykonawcy.
Jednocześnie wprowadzone zostały ograniczenie uprawnień, przysługujących osobom, których dane są
przetwarzane, określonych w art. 15 ust. 1–3 i art. 18 ust. 1 RODO.
W zakresie stosowania art. 15 ust. 1–3 RODO (czyli prawa osoby, której dane dotyczą do uzyskania od
zamawiającego potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, dostępu do nich i otrzymania kopii,
a także odpowiednich informacji dotyczących przetwarzania tych danych) zamawiający, w sytuacji gdy wykonanie
ciążących na nim obowiązków związanych z tym prawem wymagałoby niewspółmiernie dużego wysiłku, może żądać
od osoby, której dane dotyczą, wskazania dodatkowych informacji mających na celu sprecyzowanie żądania,
w szczególności podania nazwy lub daty postępowania o udzielenie zamówienia publicznego lub konkursu,
ułatwiających zidentyfikowanie postępowania, w ramach którego dane zostały przekazane. Analogiczne zastrzeżenie
znalazło się również w stosunku do danych zawartych w przechowywanych przez okres 4 lat protokołach
i załącznikach. W przepisie tym również przewidziana została w takiej sytuacji (nadmiernej uciążliwości
w zrealizowaniu obowiązków wynikających z żądania określonego w art. 15 ust. 1–3 RODO) możliwość żądania
przez zamawiającego od osoby, realizującej uprawnienia określone w art. 15 ust. 1–3 RODO, wskazania
dodatkowych informacji tym razem odnoszących się do sprecyzowania nazwy lub daty zakończonego postępowania.
Zamawiający o przewidzianych ograniczeniach w realizacji uprawnień osób, których dane osobowe są przetwarzane
na etapie prowadzonego postępowania, jak i po jego zakończeniu, wynikających z art. 15 ust. 1–3 i art. 18 ust. 1
RODO, zobowiązany jest poinformować na stronie internetowej prowadzonego postępowania lub konkursu,
w ogłoszeniu o zamówieniu, ogłoszeniu o konkursie, SIWZ, regulaminie konkursu lub w inny sposób dostępny dla
osoby, której dane dotyczą.
W znowelizowanych przepisach zastrzeżono również, że wystąpienie przez uprawnioną osobę z żądaniem, o którym
mowa w art. 18 ust. 1 RODO (czyli żądaniem ograniczenia przetwarzania danych osobowych), nie ogranicza ich
przetwarzania do czasu zakończenia postępowania lub konkursu. Zadośćuczynienie takiemu żądaniu mogłoby
bowiem prowadzić do przewlekłości postępowania o udzielenie zamówienia, a nawet całkowicie je sparaliżować.
Wyrazem dostosowania uprawnień wynikających z przepisów RODO do specyfiki zamówień publicznych jest również
zastrzeżenie, że prawo do sprostowania lub uzupełnienia danych osobowych, o którym mowa w art. 16 RODO, nie
może skutkować zmianą wyniku postępowania lub konkursu ani zmianą postanowień umowy w zakresie niezgodnym
z ustawą (czyli poza przypadkami przewidzianymi w art. 144 ZamPublU).

W przepisach dotyczących udostępniania protokołu wskazano, że zasada jawności protokołu, ma zastosowanie do
wszystkich danych osobowych zebranych w toku postępowania lub konkursu. Wyjątkiem są dane, o których mowa
w art. 9 ust. 1 RODO, tj. tzw. dane wrażliwe. Sformułowany też został wprost obowiązek odpowiedniego stosowania
podczas udostępniania protokołu ograniczeń jawności postępowania, wyrażonych w art. 8 ust. 3–5 ZamPublU.
Zamawiający od dnia zakończenia postępowania nie będzie mógł udostępnić danych zawartych w protokole, jeśli
osoba, której dane dotyczą, wniosła żądanie ograniczenia przetwarzania tych danych, tj. żądanie, o którym mowa
w art. 18 ust. 1 RODO. Jeżeli w konsekwencji takiego żądania przetwarzanie danych osobowych zostanie
ograniczone, zamawiający będzie mógł je przetwarzać, z wyjątkiem przechowywania, wyłącznie za zgodą osoby,
której dane dotyczą, lub w celu ustalenia, dochodzenia lub obrony roszczeń, lub w celu ochrony praw innej osoby
fizycznej lub prawnej, lub z uwagi na ważne względy interesu publicznego Unii lub państwa członkowskiego.
W zakresie przechowywania protokołu doprecyzowano, że skorzystanie przez osobę, której dane osobowe dotyczą,
z uprawnienia do sprostowania lub uzupełnienia, o którym mowa w art. 16 RODO, nie może skutkować ingerencją
w treść przechowywanego protokołu oraz jego załączników.
Dodanym art. 143e wskazany został wprost obowiązek określania w umowie postanowień dotyczących sposobu
dokumentowania zatrudnienia oraz kontroli spełniania przez wykonawcę lub podwykonawcę wymagań dotyczących
zatrudnienia na podstawie umowy o pracę, a także sankcji z tytułu niespełnienia tych wymagań. Wskazano
przykładowe oświadczenia i dokumenty, których zamawiający może żądać w celu weryfikacji spełniania obowiązku
zatrudnienia osób wykonujących czynności wskazane w opisie przedmiotu. Zamawiający może żądać oświadczenia
wykonawcy lub podwykonawcy o zatrudnieniu pracownika na podstawie umowy o pracę, poświadczonej za zgodność
z oryginałem kopii umowy o pracę zatrudnionego pracownika, a także innych dokumentów niezbędnych do
weryfikacji zatrudnienia na podstawie umowy o pracę. Zamawiający może również żądać, by wymagane w umowie
oświadczenia lub dokumenty zawierały dane osobowe w zakresie niezbędnym do weryfikacji zatrudnienia na
podstawie umowy o pracę, w szczególności imię i nazwisko zatrudnionego pracownika, datę zawarcia umowy
o pracę, rodzaj umowy o pracę oraz zakres obowiązków pracownika. Zgodnie z przepisami przejściowymi obowiązek
określony w art. 143e dotyczy postępowań wszczynanych od dnia wejścia w życie tej ustawy, tj. od dnia 4.5.2019 r.

Nowelizacja ustawy o zamówieniach publicznych wprowadza szczególne zabezpieczenia dotyczące przetwarzania danych osobowych, uwzględniając wymogi RODO. Dodatkowo określa obowiązki dotyczące dokumentowania zatrudnienia oraz kontrolowania spełnienia wymagań dotyczących zatrudnienia na podstawie umowy o pracę.