Biorąc pod uwagę konieczność wsparcia zamawiających i wykonawców w procedurze udzielenia zamówienia publicznego, Prezes Urzędu Zamówień Publicznych powołał Zespół zadaniowy do spraw związanych z nowymi regulacjami dotyczącymi ochrony danych osobowych. Celem prac Zespołu było nie tylko odpowiednie przygotowanie Urzędu Zamówień Publicznych i Krajowej Izby Odwoławczej do właściwego wdrożenia nowych regulacji – tak na poziomie unijnym, jak i krajowym -  dotyczących ochrony danych osobowych, ale również opracowanie praktycznych wytycznych dla zamawiających i wykonawców, istotnych z punktu widzenia zachowania się w postępowaniu o udzielenie zamówienia publicznego, w taki sposób, aby chronić dane osobowe zgodnie z nowymi regulacjami  RODO. Efektem prac Zespołu będą zatem m.in. zalecenia dla zamawiających i wykonawców dotyczące stosowania przepisów ustawy Prawo zamówień publicznych (ustawa Pzp) w aspekcie ochrony danych osobowych. Założeniem Urzędu Zamówień Publicznych było, aby owe zalecenia zostały uzgodnione z właściwym w tym zakresie organem, tj. do dnia 24 maja br. - Generalnym Inspektorem Ochrony Danych Osobowych, a od 25 maja br. - z Prezesem Urzędu Ochrony Danych Osobowych. 

Prezes Urzędu Zamówień Publicznych podjął również inicjatywę legislacyjną w zakresie dostosowania przepisów ustawy Pzp i ustawy o umowie koncesji na roboty budowlane lub usługi do wymagań RODO. Propozycje legislacyjne Prezesa UZP znajdują swoje odzwierciedlenie w projekcie ustawy o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679, dla którego  organem wnioskującym jest Minister Cyfryzacji. Wskazany projekt ustawy jest obecnie procedowany. Konkretne propozycje w zakresie zmiany ustawy Pzp dotyczą przede wszystkim realizacji zasady jawności postępowania o udzielenie zamówienia publicznego (art. 8 ustawy Pzp) oraz dokumentowania postępowania o udzielenie zamówienia publicznego (art. 96 ustawy Pzp), a także przechowywania dokumentacji z postępowania (art. 97 ustawy Pzp). W ustawie o umowie koncesji na roboty budowlane lub usługi, zmiany są analogiczne i dotyczą: udostępniania informacji związanych z postępowaniem o zawarcie umowy koncesji (art. 13 ust. 2a), okresu przechowywania dokumentacji postępowania (art. 13a) oraz sposobu realizacji obowiązków wynikających z RODO (art. 16a i art. 18a).

Mając na uwadze okoliczność, iż prace legislacyjne nad projektem ustawy o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679, pozostają w toku, ostateczna wersja zaleceń Prezesa Urzędu Zamówień Publicznych zostanie Państwu udostępniona po zakończeniu procesu legislacyjnego i po uzgodnieniu treści zaleceń z Urzędem Ochrony Danych Osobowych.

Aktualnie jednak, uznając potrzebę wyjścia naprzeciw potrzebom w pierwszej kolejności zamawiających, Urząd Zamówień Publicznych opracował Wskazówki dotyczące prowadzenia postępowania o udzielenie zamówienia publicznego z uwzględnieniem regulacji RODO, przygotowując w tym zakresie także konkretne wzorcowe klauzule, które mogą okazać się pomocne począwszy od dnia 25 maja br. zamawiającym w postępowaniu o udzielenie zamówienia publicznego.
Mamy nadzieję, że przedstawiony materiał będzie Państwu pomocny w praktyce prowadzenia postępowań o udzielenie zamówienia publicznego w początkowym okresie obowiązywania  RODO, jeszcze przed wejściem w życie regulacji krajowych, które mają zapewnić właściwe stosowanie RODO w oparciu o przepisy samej ustawy Pzp.

Wskazówki dotyczące prowadzenia postępowania o udzielenie zamówienia publicznego z uwzględnieniem regulacji RODO

1. Regulacje prawne

Z dniem 25 maja 2018 r. przepisy RODO mają bezpośrednie zastosowanie w państwach członkowskich, w tym także do udzielania zamówień publicznych, konkursów i do zawierania umów koncesji na roboty budowlane i usługi.

Z dniem 25 maja 2018 r. obowiązująca dotychczas ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych^[1], została uchylona. W jej miejsce weszły w życie przepisy nowej ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych^[2], uchylającej przepisy ustawy z 1997 r.

Równolegle też toczy się proces legislacyjny dotyczący projektu ustawy o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679^[3], przewidującego również zmiany w zakresie ustawy Pzp oraz ustawy o umowie koncesji na roboty budowlane lub usługi.

[1] Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity: Dz.U. z 2016 r. poz. 922, z późn. zm.)

[2] Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. poz. 1000)

[3] Projekt ustawy o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679 (źródło: 
   legislacja.rcl.gov.pl/projekt/12302951)

2. Zastosowanie RODO do postępowania o udzielenie zamówienia publicznego

W postępowaniu o udzielenie zamówienia publicznego są przetwarzane dane osobowe podlegające ochronie zgodnie z przepisami RODO. Dane te mogą dotyczyć tak samego wykonawcy (osoby fizycznej prowadzącej działalność gospodarczą), jego pełnomocnika (osoby fizycznej), jak też informacji o osobach, które w swojej ofercie/wniosku o dopuszczenie do udziału w postępowaniu wykonawca przedkłada celem wykazania spełniania warunków udziału  w postępowaniu, braku podstaw do wykluczenia z postępowania, jak i potwierdzenia wymogów zamawiającego dotyczących wykonania przedmiotu zamówienia.

RODO ma zastosowanie zarówno do postępowań o udzielenie zamówienia publicznego wszczętych od dnia 25 maja br., jak i do postępowań, które zostały wszczęte przed tą datą i pozostają nadal w toku. RODO ma zastosowanie do każdego postępowania o udzielenie zamówienia publicznego, niezależnie od zastosowanego trybu udzielania zamówienia. Podobnie regulacje RODO mają zastosowanie do innych, szczególnych procedur przewidzianych  w ustawie Pzp, jak np. procedura udzielania zamówienia na usługi społeczne i inne szczególne usługi.

Nowe regulacje związane z ochroną danych osobowych powinny być zatem uwzględnione zarówno w aktualnie prowadzonych, jak i planowanych postępowaniach o udzielenie zamówienia publicznego, konkursach, a także mają zastosowanie do umów zawartych w wyniku przeprowadzenia postępowań i konkursów oraz do dokumentacji zgromadzonej w związku z przeprowadzeniem postępowań i konkursów.

Obowiązki wynikające z RODO, do których wypełnienia zobowiązany jest zamawiający, powinny być zrealizowane również w odniesieniu do postępowań o udzielenie zamówienia publicznego wszczętych przed dniem 25 maja 2018 r., niezwłocznie po wejściu w życie RODO, przy pierwszej podejmowanej czynności w postępowaniu o udzielenie zamówienia publicznego związanej z przetwarzaniem danych osobowych.

3. Szczególnie chronione dane osobowe w postępowaniu o udzielenie zamówienia publicznego

Szczególne zasady RODO dotyczące ograniczeń w przetwarzaniu danych osobowych odnoszące się do wyroków skazujących i naruszeń prawa (informacje o skazaniach konkretnych osób i o innych naruszeniach prawa przez konkretne osoby) wymagają wprowadzenia ograniczeń w przetwarzaniu tych danych, zwłaszcza w ich udostępnianiu.

Kierując się treścią procedowanych obecnie przepisów ustawy o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679 oraz w nawiązaniu do przewidzianego przepisami ustawy Pzp uprawnienia zamawiających do pozyskiwania takich informacji od wykonawców, zarówno w ramach przedstawianych przez nich informacji z KRK, jak również w ramach instytucji tzw. self-cleaningu, zalecamy udostępnianie przez zamawiających takich danych tylko tym podmiotom, którym przysługuje prawo do korzystania ze środków ochrony prawnej, a także zobowiązanie osób, które są uprawnione do przetwarzania takich danych (również po stronie zamawiającego), do zachowania poufności w zakresie uzyskanej w ten sposób wiedzy.

Jednocześnie przypominamy o braku podstaw prawnych do zamieszczania na stronie internetowej prowadzonego postępowania kopii ofert, wniosków o dopuszczenie do udziału w postępowaniu, a także wszelkich dokumentów podmiotowych uzyskanych w toku postępowań o udzielenie zamówienia publicznego lub w konkursach, zawierających dane osobowe.

4. Obowiązki informacyjne po stronie zamawiającego dotyczące danych osobowych wykonawców

Zamawiający są zobowiązani do wypełniania obowiązków informacyjnych, jak również do wypełniania obowiązków związanych z realizacją praw osób fizycznych w związku z przetwarzaniem danych osobowych.

W związku z przepisami RODO na zamawiającym jako na administratorze danych osobowych spoczywa szereg obowiązków informacyjnych względem osób, których dane pozyskuje on w toku prowadzonego postępowania. Obowiązki te uregulowane są w art. 13 RODO. Ponieważ przekazywanie ofert czy wniosków o dopuszczenie do udziału w postępowaniu przez wykonawców będących osobami fizycznym łączy się z udostępnianiem danych osobowych, po stronie zamawiającego powstaje obowiązek informacyjny wobec takich wykonawców. Aby uniknąć konieczności kierowania informacji związanych z ochroną danych osobowych do poszczególnych wykonawców, obowiązek indywidualnego informowania wykonawców może być zapewniony przez zamieszczenie stosownych informacji w ogłoszeniu o zamówieniu albo ogłoszeniu o konkursie, w specyfikacji istotnych warunków zamówienia (SIWZ), dokumentacji postępowania albo w regulaminie konkursu. Alternatywnie, zwłaszcza w przypadku postępowań lub konkursów będących w toku, informacja ta powinna być podana w korespondencji kierowanej bezpośrednio do takich wykonawców po otwarciu ofert albo wniosków o dopuszczenie do udziału w postępowaniu, ewentualnie w przypadku postępowań lub konkursów w toku – niezwłocznie.

Przedstawiamy przykładową klauzulę, którą zamawiający może wykorzystać w postępowaniu o udzielenie zamówienia publicznego, wypełniając obowiązek informacyjny wobec wykonawcy, którego dane osobowe w danym postępowaniu będzie przetwarzał. Klauzula ta zawiera również stosowne objaśnienia, które mogą okazać się pomocne w zrozumieniu przez zamawiającego spoczywającego na nim obowiązku, stosownie do regulacji z art. 13 RODO.

Treść powyższej klauzuli informacyjnej w nowo wszczynanych postępowaniach o udzielenie zamówienia publicznego (począwszy od dnia 25 maja 2018 r.) zamawiający powinien zamieszczać w  SIWZ. W tych trybach udzielenia zamówienia publicznego, w których w momencie wszczęcia postępowania SIWZ nie jest jeszcze udostępniana wykonawcom, powyższą klauzulę zamawiający powinien zamieścić w treści ogłoszenia o zamówieniu. Proponuje się, aby tym miejscem we wzorze ogłoszenia o zamówieniu:

• w przypadku ogłoszenia o zamówieniu publikowanego w BZP była sekcja IV.6) Informacje administracyjne, pkt IV.6.6) Informacje dodatkowe;
• w przypadku ogłoszenia o zamówieniu w dziedzinach obronności i bezpieczeństwa publikowanego w BZP była sekcja IV.7) Informacje administracyjne, pkt IV.7.3) Informacje dodatkowe;
• w przypadku ogłoszenia o konkursie publikowanego w BZP była sekcja IV.2) Informacje administracyjne, pkt IV.2.2) Informacje dodatkowe
• w przypadku ogłoszenia o zamówieniu publikowanego w Dz.U. UE była sekcja VI. Informacje uzupełniające w pkt VI.3) Informacje dodatkowe;
• w przypadku ogłoszenia o zamówieniu w dziedzinach obronności i bezpieczeństwa publikowanego w Dz.U. UE była sekcja VI. Informacje uzupełniające w pkt VI.3) lub VI.2 Informacje dodatkowe.
• w przypadku ogłoszenia o konkursie publikowanego w Dz. Urz. UE była sekcja VI. Informacje uzupełniające, pkt VI.3) Informacje dodatkowe.

W trybach, w których zamawiający wszczyna postępowanie o udzielenie zamówienia publicznego poprzez skierowanie zaproszenia do negocjacji, treść klauzuli może być umieszczona w tym zaproszeniu. We wskazanych wyżej sytuacjach obowiązek informacyjny wynikający z art. 13 RODO, spoczywający na zamawiającym, indywidualizowany jest poprzez zamieszczenie właściwego pouczenia, dostępnego bezpośrednio wykonawcom będącym osobami fizycznymi, którzy zainteresowani są uzyskaniem zamówienia publicznego i których dane potencjalnie – w przypadku podjęcia przez nich decyzji o ubieganie się o zamówienie - mogą być przetwarzane przez zamawiającego. 

5. Obowiązek informacyjny po stronie zamawiającego dotyczący danych osób trzecich (pozyskanych przez wykonawców i przekazanych zamawiającemu)

Analogiczny obowiązek informacyjny jak w przypadku pozyskiwania danych osobowych bezpośrednio od wykonawców powstanie, gdy zamawiający uzyska od wykonawcy dane osobowe dotyczące innych osób (np. osób, których dane służą do wykazania spełniania przez wykonawcę warunków udziału w postępowaniu, osób kierowanych do realizacji zamówienia, osób fizycznych prowadzących działalność gospodarczą, które zostaną wskazane jako podwykonawca). Obowiązek ten jest uregulowany w art. 14 RODO.

Zamawiający może odstąpić od obowiązku indywidualnego informowania każdej z takich osób, w przypadkach, o których mowa w art. 14 ust. 5 RODO, np. w sytuacji, gdy osoba ta dysponuje już tymi informacjami, albo gdy wymagałoby to ze strony zamawiającego niewspółmiernie dużego wysiłku.
W związku z powyższym przypominamy, że obowiązek informacyjny określony przepisami RODO spoczywa także na wykonawcach, którzy pozyskują dane osobowe osób trzecich w celu przekazania ich zamawiającym w ofertach.

Dla uzyskania przez zamawiającego potwierdzenia, że osoby, których dane osobowe są przekazywane zamawiającemu, dysponują już wskazanymi informacjami, jak również w celu właściwego zabezpieczenia i ochrony danych tych osób, z których wykonawca będzie korzystał, przekazanych przez wykonawcę w ofercie celem uzyskania danego zamówienia publicznego, przedstawiamy przykładowy wzór oświadczenia wymaganego przez zamawiającego od wykonawcy, a dotyczącego pozyskania przez wykonawcę danych osobowych od osób trzecich dla konkretnego postępowania o udzielenie zamówienia publicznego.

Poniżej wzory klauzul zaproponowane przez Urząd Zamówień Publicznych

Klauzula nr 1 (ob. inf. dla zamawiającego art. 13) wer. 25.05.2018

Klauzula nr 2 (oświadczenie od wykonawcy) wer. 25.05.2018