Source: https://www.monitor-zamowien.pl/artykul/kwestie-najwazniejsze
Timestamp: 2020-01-17 19:01:09
Legal References Found: art. 4
 art. 6
 art. 5
 art. 4
 art. 13
 art. 13

Document Content:
Kwestie najważniejsze… - Zamówienia publiczne i wszystkie niezbędne informacje - Monitor Zamówień Publicznych
Związane z wejściem w życie przepisów o RODO, z obowiązkami zamawiających i wykonawców, dotyczącymi ochrony danych osobowych w postępowaniach o udzielenie zamówienia publicznego.
Zdniem 25 maja 2018 r. przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) z dnia 27 kwietnia 2016 r. (Dz. Urz. UE L. 119/1 z 2016 r.) mają bezpośrednie zastosowanie w państwach członkowskich, zatem trzeba je również uwzględnić do udzielania zamówień publicznych, konkursów i do zawierania umów koncesji na roboty budowlane i usługi.
Definicje związane z tym, czym są dane osobowe i co stanowi przetwarzanie danych osobowych są bardzo pojemne. Zgodnie bowiem z art. 4 rozporządzenia dane osobowe oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”), natomiast możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora, takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
W odniesieniu do wykonawców ubiegających się o zamówienie publiczne będą to zatem dane wszystkich tych wykonawców, którzy prowadzą działalność gospodarczą, pełnomocników wykonawców, również dane osób wchodzących w skład organów osób prawnych i prokurentów, a także podmiotów trzecich i podwykonawców (osób fizycznych, także w ramach organów tych osób prawnych) oraz osób fizycznych skierowanych przez wykonawcę do realizacji zamówienia publicznego i wskazanych w umowie o zamówienie publiczne do kontaktu z zamawiającym.
W każdym przypadku, gdy dojdzie do przetwarzania tego typu danych, konieczna jest zgoda takiej osoby.
Zasada ta doznaje ograniczenia w stosunku do osób prowadzących działalność gospodarczą, których wybrane dane są jawne i znajdują się w ogólnodostępnych bazach danych (np. CEiDG) – takie dane, jak np. PESEL osoby prowadzącej działalność gospodarczą, może być przetwarzany bez jej zgody.
W tym zakresie można powołać się na wyrok Naczelnego Sądu Administracyjnego z dnia 28 listopada 2002 r. (sygn. akt: II SA 3389/01). NSA w odniesieniu do ochrony danych osobowych stwierdził: Nie odnosi się ona do danych indywidualnych, dających się powiązać z podmiotem gospodarczym albo inną osobą prawną lub jednostką organizacyjną niemającą osobowości prawnej, mimo że dane te tworzą wspólnie z danymi osobowymi jedną kategorię danych jednostkowych. W podobnym tonie wypowiedział się NSA w wyroku z dnia 15 marca 2010 r.,
sygn. akt: I OSK 756/09.
Jeśli chodzi o wykonawców, to przetwarzanie ich danych w celu udzielenia zamówienia publicznego jest zgodne z prawem, co wynika z art. 6 ust. 1 lit. e rozporządzenia, gdyż przetwarzanie to jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, którym jest zamawiający. Nie ma więc konieczności uzyskiwania odrębnej zgody samych wykonawców na przetwarzanie ich danych.
Artykuł 4 rozporządzenia wskazuje, że „przetwarzanie” oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.
Zgodnie z art. 5 ust. 1 lit. c rozporządzenia obowiązuje zasada minimalizacji danych. Oznacza to, że przetwarzane dane muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane.
Administratorem jest osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Jeżeli cele i sposoby takiego przetwarzania są określone w prawie UE lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania.
Z powyższego jasno wynika, że administratorem danych w ramach prowadzonego postępowania o udzielenie zamówienia publicznego jest zamawiający i to on jest zobowiązany do określenia celów i sposobów przetwarzania danych osobowych, stąd wadliwe jest przyjęcie możliwości, by dokonać nałożenia obowiązku w postępowaniu o udzielenie zamówienia publicznego w tym zakresie na wykonawcę, aby ten zobowiązał się do pozyskania zgody osób fizycznych występujących po jego stronie w zastępstwie zamawiającego.
Wykonawca nie jest ani uprawniony, ani świadomy tego, w jakim celu i w jaki sposób zamawiający będzie przetwarzał dane osobowe. Wykonawca musi zrealizować swoje obowiązki wynikające z faktu złożenia przez niego oferty w postępowaniu i w tym zakresie zadbać o stosowne zgody osób, których dane będą znajdować się w jego ofercie. Dalsze kwestie, gdy dane te będzie przetwarzał zamawiający, dotyczą zamawiającego i to on musi je samodzielnie uregulować.
Dla jasności należy dodać, że dane zanonimizowane też są danymi osobowymi, a więc także wymagana jest zgoda osoby fizycznej na ich udostępnianie zamawiającemu, a wykonawca musi poinformować o tym fakcie te osoby. Aby wyłączyć ryzyko związane z rozporządzeniem w odniesieniu do danych osobowych osób fizycznych, zawsze trzeba ocenić, czy na podstawie tych zanonimizowanych danych można ustalić, których osób dotyczą, czy ktokolwiek byłby to w stanie zrobić.
Według art. 4 pkt 11 rozporządzenia zgoda osoby, której dane dotyczą, oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie przyzwolenia, w formie oświadczenia lub wyraźnego działania potwierdzającego, na przetwarzanie dotyczących jej danych osobowych.
Obowiązek indywidualnego informowania wykonawców, określony w art. 13–14 rozporządzenia, może być zrealizowany przez zamawiającego w ogłoszeniu o zamówieniu albo ogłoszeniu o konkursie, w specyfikacji istotnych warunków zamówienia, dokumentacji postępowania lub w regulaminie konkursu.
Postępowania wszczęte przed 25 maja 2018 r.
Jeśli chodzi o postępowania wszczęte przed 25 maja 2018 r., należy postulować o stosowną zmianę zapisów SIWZ lub ogłoszeń o zamówieniu czy konkursie, która musi być dokonana niezwłocznie. Zgodnie z komentarzem UZP treść klauzuli informacyjnej odnoszącej się do art. 13 i 14 roz-
porządzenia w nowo wszczynanych postępowaniach o udzielenie zamówienia publicznego (począwszy od 25 maja 2018 r.) zamawiający powinien zamieszczać w SIWZ. Natomiast w trybach udzielenia zamówienia publicznego, w których w momencie wszczęcia postępowania SIWZ nie jest jeszcze udostępniana wykonawcom, klauzulę taką zamawiający powinien zamieścić w treści ogłoszenia o zamówieniu.
UZP zaproponował, w którym miejscu ogłoszenia o zamówieniu winna być umieszczona informacja, i tak:
w przypadku ogłoszenia o zamówieniu publikowanego w BZP jest to sekcja IV.6. Informacje administracyjne, pkt IV.6.6. Informacje dodatkowe;
w przypadku ogłoszenia o zamówieniu w dziedzinach obronności i bezpieczeństwa publikowanego w BZP jest to sekcja IV.7. Informacje administracyjne, pkt IV.7.3. Informacje dodatkowe;
w przypadku ogłoszenia o konkursie publikowanego w BZP jest to sekcja IV.2. Informacje administracyjne, pkt IV.2.2. Informacje dodatkowe;
w przypadku ogłoszenia o zamówieniu publikowanego w Dz. U. UE jest to sekcja VI. Informacje uzupełniające w pkt VI.3. Informacje dodatkowe;
w przypadku ogłoszenia o zamówieniu w dziedzinach obronności i bezpieczeństwa publikowanego w Dz. U. UE jest to sekcja VI. Informacje uzupełniające w pkt VI.3. lub VI.2. Informacje dodatkowe;
w przypadku ogłoszenia o konkursie publikowanego w Dz. Urz. UE jest to sekcja VI. Informacje uzupełniające, pkt VI.3. Informacje dodatkowe1.
Tym samym zamawiający, realizując swoje obowiązki wobec wykonawców ubiegających się o zamówienie publiczne, jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, dba o to, by podczas pozyskiwania tych danych podać jej wszystkie informacje, a zatem swoją tożsamość i dane kontaktowe oraz – gdy ma to zastosowanie – tożsamość i dane kontaktowe swojego przedstawiciela, a także – gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych.
Obowiązki wynikające ze ww. uregulowań w odniesieniu do prowadzonego postępowania o udzielenie zamówienia publicznego sugerują, że można w dokumentacji postępowania także wskazać cel przetwarzania danych osobowych oraz podstawę prawną przetwarzania, czyli w przypadku prowadzonego postępowania warto zaznaczyć, że celem przetwarzania danych osobowych jest wyłonienie wykonawców i zawarcie z nimi umów.
Należy także wskazać informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją, nie zapominając o innych wykonawcach uczestniczących w postępowaniu o udzielenie zamówienia publicznego, doradcach i pozostałych podmiotach zewnętrznych, którym dane może zamawiający udostępniać, w tym organach kontroli.
Obowiązki administratora danych osobowych dotyczą także wskazania okresu, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe – kryteria ustalania tego okresu, co w przypadku zamówień publiczny...