Nowelizacja Prawa zamówień publicznych w związku z RODO - część I

• Dane szczególnie chronione
• Miejsce zamieszczania informacji wymaganych przez RODO
• Prawo dostępu przysługujące osobie, której dane dotyczą
• Żądanie sprostowania i uzupełnienie danych osobowych
• Żądanie ograniczenia przetwarzania danych osobowych
• Obowiązek zabezpieczenia danych

Podczas postępowania o udzielenie zamówienia publicznego, korzystania ze środków ochrony prawnej, a także zawarcia i wykonywania umowy, zamawiający przetwarza dane osobowe, które są chronione na podstawie RODO[1]. Przepisy tego unijnego rozporządzenia nie są jednak w pełni spójne z polskimi regulacjami. W celu dostosowania specyfiki polskiego porządku prawnego do wymagań RODO, ustawodawca znowelizował przepisy 167 ustaw, w tym między innymi ustawy Prawo zamówień publicznych (dalej jako „p.z.p.”)[2]. Ustawa nowelizująca z dnia 21 lutego 2019 r. (dalej jako „Nowelizacja”)[3], która weszła w życie w dniu 4 maja 2019 r., modyfikuje ogólne zasady ochrony danych osobowych przewidziane w RODO, wprowadzając jednocześnie jasne i klarowne zasady w zakresie ochrony danych osobowych na gruncie zamówień publicznych. W niniejszym artykule omówione zostaną zmiany wprowadzone w ramach ww. Nowelizacji między innymi w zakresie danych szczególnie chronionych i kwestii związanych z wypełnianiem przez zamawiającego obowiązków wynikających z RODO.

Polecamy: RODO

Dane szczególnie chronione

Nowelizacja wprowadza art. 8 ust. 5 p.z.p., który ogranicza zasadę jawności w zamówieniach publicznych w przypadku przetwarzania danych osobowych dotyczących wyroków skazujących i naruszeń prawa. Dane takie zawarte są zwłaszcza w przekazywanych zamawiającemu zaświadczeniach z Krajowego Rejestru Karnego. Sprecyzowano, że zamawiający udostępnia dane osobowe dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa – wyłącznie w celu umożliwienia korzystania ze środków ochrony prawnej. Należy jednocześnie zaznaczyć, że zamawiający ma możliwość udostępniania tych informacji jedynie do czasu upływu terminu do wniesienia środków ochrony prawnej, a więc w praktyce do upływu terminu wniesienia odwołania.

Nowelizacja wprowadziła również wymóg, zgodnie z którym do przetwarzania danych osobowych, o których mowa powyżej, mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie. Jednocześnie wprost wskazano, że osoby dopuszczone do przetwarzania takich danych są obowiązane do zachowania ich w poufności.

Miejsce zamieszczania informacji wymaganych przez RODO

Zamawiający, w związku z regulacjami zawartymi w RODO, są zobowiązani do wypełniania szeregu obowiązków informacyjnych, a także obowiązków związanych z realizacją praw osób fizycznych w związku z przetwarzaniem danych osobowych względem osób fizycznych, od których dane osobowe bezpośrednio pozyskał. Obowiązki te zostały uregulowane w art. 13 RODO. Nowelizacja sprecyzowała, że obowiązki te powinny być realizowane przez zamieszczenie wymaganych informacji w ogłoszeniu o zamówieniu, ogłoszeniu o konkursie, specyfikacji istotnych warunków zamówienia, regulaminie konkursu lub przy pierwszej czynności skierowanej do wykonawcy.

Prawo dostępu przysługujące osobie, której dane dotyczą

Wśród wielu obowiązków nałożonych na zamawiającego w ramach ochrony danych osobowych są również obowiązki związane z dostępem do informacji przez osoby, których dane dotyczą. Osoba, której dane dotyczą, jest bowiem uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz odpowiednich informacji. Nowelizacja, w celu zapobiegania nadmiernego obciążenia zamawiającego, wprowadza zasadę, iż – w przypadku gdy wykonanie obowiązków zamawiającego w zakresie prawo dostępu do danych przysługującego osobie, której te dane dotyczą (o których mowa w art. 15 ust. 1-3 RODO), wymagałoby niewspółmiernie dużego wysiłku – to zamawiający może żądać od osoby, której dane dotyczą, wskazania dodatkowych informacji mających na celu sprecyzowanie żądania. W szczególności zamawiający może żądać podania nazwy lub daty postępowania o udzielenie zamówienia publicznego lub konkursu.

Należy dodać, że w myśl nowelizacji, informacja o omawianych ograniczeniach powinna znaleźć się na stronie internetowej prowadzonego postępowania lub konkursu, w ogłoszeniu o zamówieniu, ogłoszeniu o konkursie, specyfikacji istotnych warunków zamówienia, regulaminie konkursu lub w inny sposób dostępny dla osoby, której dane dotyczą.

Żądanie sprostowania i uzupełnienie danych osobowych

Osoba, której dane dotyczą, na podstawie RODO ma prawo żądania od administratora niezwłocznego sprostowania dotyczących jej danych osobowych, które są nieprawidłowe. Taka osoba ma również prawo żądania uzupełnienia niekompletnych danych osobowych, w tym poprzez przedstawienie dodatkowego oświadczenia. Nowelizacja doprecyzowuje, że skorzystanie z wyżej określonego uprawnienia do sprostowania lub uzupełnienia danych osobowych, nie może skutkować zmianą wyniku postępowania o udzielenie zamówienia publicznego lub konkursu ani zmianą postanowień umowy w zakresie niezgodnym z ustawą. Wyklucza to ryzyko niezgodnej z prawem zamówień publicznych zmiany reguł toczącego się postępowania o udzielenie zamówienia publicznego lub konkursu czy postanowień umowy, w oparciu o ww. uprawnienia przewidziane w RODO.

Żądanie ograniczenia przetwarzania danych osobowych

Osoba, której dane dotyczą, ma prawo żądania od administratora ograniczenia przetwarzania w przypadkach określonych w art. 18 ust. 1 RODO (np. w przypadku kwestionowania prawidłowości danych osobowych lub przetwarzania danych osobowych niezgodnie z prawem). Nowelizacja wprowadza zasadę, że wystąpienie z ww. żądaniem, nie ogranicza przetwarzania danych osobowych do czasu zakończenia postępowania o udzielenie zamówienia publicznego lub konkursu. Przepis ten ma na celu zapobieżenie - w interesie publicznym - nadmiernemu wydłużaniu, a czasem zahamowaniu, procesu udzielania zamówienia publicznego z uwagi na ewentualne żądanie ograniczenia przetwarzania danych osobowych.

Należy zaznaczyć, że informacja o ograniczeniu żądania przetwarzania danych osobowych w powyższym zakresie, powinna znaleźć się zgodnie z nowelizacją na stronie internetowej prowadzonego postępowania lub konkursu, w ogłoszeniu o zamówieniu, ogłoszeniu o konkursie, specyfikacji istotnych warunków zamówienia, regulaminie konkursu lub w inny sposób dostępny dla osoby, której dane dotyczą.

Obowiązek zabezpieczenia danych

Nowelizacja wprowadziła również zasadę, że zamawiający jest zobowiązany przetwarzać dane osobowe zebrane w postępowaniu o udzielenie zamówienia publicznego lub konkursie w sposób gwarantujący zabezpieczenie przed ich bezprawnym rozpowszechnianiem. Należy przy tym zauważyć, ze naruszenie przepisów RODO może wiązać się z obowiązkiem poddania się procedurom naprawczym, odpowiedzialnością odszkodowawczą oraz może spowodować nałożenie pieniężnych kar administracyjnych na zamawiającego.

W kolejnym artykule zostaną omówione dalsze zmiany wprowadzone przez Nowelizację, w tym m.in. dot. danych osobowych zawartych w protokole postępowania oraz danych osobowych przekazywane zamawiającemu w związku z obowiązkiem zatrudnienia przez wykonawcę lub podwykonawcę na podstawie umowy o pracę osób wykonujących wskazane przez zamawiającego czynności w zakresie realizacji zamówienia.

[1] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.)

[2] Ustawa z dnia 29 stycznia 2004 r. Prawo zamówień publicznych (tekst jednolity Dz.U. z 2018 r. poz. 1986 z późn. zm.)

[3] Ustawa z dnia 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. z 2019 r. poz. 730)

Maciej Wruk

radca prawny w Kancelarii Prawnej Dr Krystian Ziemski & Partners w Poznaniu,

specjalizuje się w zakresie prawa cywilnego i gospodarczego ze szczególnym uwzględnieniem prawa zamówień publicznych

Dr Krystian Ziemski & Partners Kancelaria Prawna spółka komandytowa w Poznaniu

www.ziemski.com.pl

Artykuł pochodzi z Portalu: www.prawodlasamorzadu.pl