Planowane zmiany Pzp w związku z RODO – sprawdź, czego się spodziewać

W postępowaniu o udzielenie zamówienia publicznego zamawiający przetwarza dane osobowe na każdym jego etapie, podczas korzystania ze środków ochrony prawnej, przy zawieraniu i wykonywaniu umowy, w tym w czasie weryfikacji zatrudnienia osób skierowanych do realizacji zamówienia. Dzieje się to także podczas udostępniania przez zamawiających dokumentacji postępowania tj. protokołu z załącznikami oraz dokumentacji archiwalnej – po zakończeniu procedury.

Co do zasady postępowanie o udzielenie zamówienia publicznego jest jawne, a zamawiający może ograniczyć dostęp do związanych z nim informacji jedynie w przypadkach wskazanych w ustawie (art. 8 ust. 1 i 2 ustawy Pzp). Aktualnie ustawa Pzp tylko w jednym przepisie – art. 8 ust. 4 – przewiduje możliwość wyłączenia zasady jawności w odniesieniu do danych osobowych, z uwagi na ochronę prywatności lub interesu publicznego. Wszystkie inne dane osobowe zebrane (zgodnie z prawem) w toku postępowania lub konkursu są jawne, co oznacza praktycznie nieograniczony dostęp do danych osobowych osób fizycznych zawartych w dokumentacji postępowania.

Poniżej przedstawiamy 8 najważniejszych planowanych zmian w przepisach ustawy Pzp, które są przewidywane do wprowadzenia w związku z wejściem w życie RODO:

1)      zamawiający będzie udostępniał przetwarzane i pozyskane w postępowaniu dane osobowe dotyczące wyroków skazujących i naruszeń prawa tylko w celu skorzystania ze środków ochrony prawnej przez osoby, które uzyskują dostęp do takich danych (projektowany art. 8 ust. 5) – przepis będzie dotyczył udostępniania protokołu i załączników do niego (np. ofert, wniosków o dopuszczenie do udziału w postępowaniu); w praktyce regulacja oznacza, że dostęp do danych osobowych związanych z wyrokami skazującymi i naruszeniami prawa zawartych w dokumentacji będą mieć tylko podmioty, uprawnione do złożenia środków ochrony prawnej, które mają interes w złożeniu takiego środka i jeśli jeszcze nie upłynął czas na ich wniesienie; po upływie terminu na skorzystanie ze środków ochrony prawnej albo w przypadku, gdy o dostęp do dokumentów zawierających informacje o wyrokach skazujących i naruszeniach prawa będą ubiegać się podmioty, którym nie przysługuje prawo do korzystania ze środków ochrony prawnej, zamawiający będzie udostępniał dane osobowe zawarte w dokumentach po ich odpowiednim spseudonimizowaniu; ograniczenie zasady jawności w odniesieniu do danych osobowych zawartych w informacji z KRK nie będzie miało zastosowania, w sytuacji gdy dana osoba nie figuruje w rejestrze skazań za przestępstwa lub wykroczenia;

2)      zamawiający będzie musiał zadbać o ochronę danych nie tylko w trakcie trwania, ale też po zakończeniu postępowania o udzielenie zamówienia publicznego (projektowany art. 8a ust. 7);

3)      osoby zajmujące się przetwarzaniem i udostępnianiem danych osobowych związanych z wyrokami skazującymi i naruszeniami prawa zostaną zobowiązane do zachowania ich w poufności (projektowany art. 8a ust. 8),

4)      zamawiający będzie musiał zrealizować obowiązek informacyjny, o którym mowa w art. 13 RODO w przypadku zbierania danych od osoby, której dane dotyczą; zamawiający będzie mógł w tym celu opublikować jednorazowo w siwz lub ogłoszeniu określone formuły; warto przypomnieć, że zgodnie z art. 13 RODO jeżeli dane osobowe osoby, której one dotyczą, są zbierane od tej osoby, administrator (tu: zamawiający) podczas pozyskiwania tych danych podaje osobie określone w przepisie informacje. Chodzi przykładowo o:

• tożsamość i dane kontaktowe administratora (i ewentualnie swojego przedstawiciela);
• dane kontaktowe inspektora ochrony danych;
• cele przetwarzania danych osobowych, oraz podstawę prawną przetwarzania;
• informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją;
• okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu;
• informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych;
• informacje o prawie wniesienia skargi do organu nadzorczego;
• informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych.

Komunikat zawierający wszystkie niezbędne informacje będzie musiał mieć łatwo dostępną formę i być napisany przejrzystym, zrozumiałym jasnym i prostym językiem (art. 12 RODO).

5)      zgodnie z art. 15 RODO osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora (czyli np. zamawiającego) potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące i dostępu do nich; w przypadku, gdy wykonanie tego obowiązku wymagałoby od zamawiającego niewspółmiernie dużego wysiłku, zamawiający będzie mógł żądać od osoby, której dane dotyczą, wskazania dodatkowych informacji mających na celu sprecyzowanie żądania, w szczególności podania nazwy lub daty postępowania o udzielenie zamówienia bądź konkursu (projektowany art. 8a ust. 2);

6)      jeśli osoba, której dane dotyczą zażąda w postępowaniu o udzielenie zamówienia publicznego lub konkursie ograniczenia przetwarzania tych danych oraz zgłosi sprzeciw wobec przetwarzania danych, nie ograniczy to przetwarzania danych osobowych do czasu zakończenia tego postępowania lub konkursu (projektowany art. 8a ust. 4); regulacja ta ma zapobiec wydłużaniu czy nawet zahamowaniu procedur zamówieniowych w takich przypadkach;

7)      zamawiający będzie miał prawo i obowiązek ujawnienia wszystkich danych osobowych, które znajdują się w dokumentacji postępowania, w tym przekazanej przez wykonawcę; dotyczy to całości przekazanej przez wykonawcę dokumentacji, za wyjątkiem informacji zawierających tzw. dane wrażliwe (art. 9 RODO), do których przekazania, na gruncie ustawy Pzp, wykonawcy nie są co do zasady uprawnieni zgodnie z projektowanym art. 96 ust. 3a zdanie pierwsze; dane szczególnie wrażliwe to te ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz dane genetyczne, dane biometryczne przetwarzane w celu jednoznacznego zidentyfikowania osoby fizycznej lub dane dotyczące zdrowia, seksualności lub orientacji seksualnej tej osoby; zamawiający ograniczy też dostęp do danych obejmujących m.in. tajemnicę przedsiębiorstwa, wysokość wynagrodzenia – w przypadku art. 67 ust. 1 pkt 1a ustawy Pzp, wyroki skazujące i naruszenia prawa – poprzez ich udostępnienie jedynie w celu skorzystania ze środków ochrony prawnej;

8)      ustawa Pzp wprost będzie regulować kwestie żądania konkretnych danych w odniesieniu do osób zatrudnianych przez wykonawcę na podstawie umowy o pracę; zgodnie z projektowanymi przepisami zamawiający w ramach uprawnień w zakresie kontroli spełniania przez wykonawcę lub podwykonawcę wymagań, o których mowa w art. 29 ust. 3a ustawy Pzp, będzie miał prawo żądać dokumentów zawierających niezbędne dane osobowe, tj.:

• poświadczonej za zgodność z oryginałem kopii umowy o pracę potwierdzającej zatrudnienie na podstawie umowy o pracę, w których widnieje imię i nazwisko zatrudnionego pracownika, data zawarcia umowy, rodzaj umowy o pracę, wymiar etatu oraz zakres obowiązków pracownika;
• poświadczonej za zgodność z oryginałem kopii dowodu potwierdzającego zgłoszenie pracownika przez pracodawcę do ubezpieczenia społecznego oraz zdrowotnego, w którym widnieje imię i nazwisko pracownika;
• zaświadczenia właściwego oddziału ZUS, potwierdzającego opłacanie przez wykonawcę składek na ubezpieczenia społeczne i zdrowotne z tytułu zatrudnienia na podstawie umów o pracę.

Powyższe kwestie będą zawarte w postanowieniach umowy w sprawie zamówienia publicznego oraz w specyfikacji istotnych warunków zamówienia (art. 36 ust. 1 pkt 16 oraz art. 36 ust. 2 pkt 8a ustawy Pzp).