Zgodnie z RODO, prawo do ochrony danych osobowych osób fizycznych nie ma charakteru absolutnego i ulega ograniczeniu ze względu na interes publiczny lub usprawiedliwiony interes osób trzecich.
Zgodnie z artykułem 6 RODO, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach i w takim zakresie, w jakim spełniony jest co najmniej jeden z poniższych warunków:
1) osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
2) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
3) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
4) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
5) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
6) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
Na zamawiającym, który prowadzi postępowanie o udzielenie zamówienia w sposób opisany w ustawie Pzp, z całą pewnością ciąży szereg prawnych obowiązków, do których realizacji niezbędne jest przetwarzanie danych osobowych przekazanych w ofertach.
Pod pojęciem przetwarzania należy rozumieć nie tylko udostępnianie danych, ale również wszelkie tak prozaiczne czynności, jak zbieranie, utrwalanie, przeglądanie czy przechowywanie danych (art. 4 RODO).
Zamawiający jest upoważniony do przetwarzania danych osobowych zawartych w treści oferty, w sposób, w zakresie i w celu opisanym w ustawie Pzp, bez względu na to, czy uzyskał na to bezpośrednią zgodę osoby, której dane te dotyczą. Innymi słowy, wykonawca, który bierze udział w postępowaniu o udzielenie zamówienia, musi się liczyć z tym, że jego dane będą przetwarzane. Przetwarzanie danych osobowych odbywa się wówczas na podstawie przepisów prawa, a podstawą przetwarzania jest przesłanka niezbędności wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO).
Podstawa prawna i sposób przetwarzania danych są tożsame dla wszystkichkategorii wykonawców wymienionych w art. 2 pkt 11 ustawy Pzp, tj. zarówno osób fizycznych, osób prawnych, jak i jednostek organizacyjnych nieposiadających osobowości prawnej, które ubiegają się o udzielenie zamówienia publicznego, złożyły ofertę lub zawarły umowę w sprawie zamówienia publicznego.
Ustawodawca nie wprowadził zatem wymogu, by każdy wykonawca był jednocześnie przedsiębiorcą, a osoba fizyczna może ubiegać się o udzielenie zamówienia zarówno w ramach prowadzonej przez nią działalności gospodarczej, jak i jako osoba fizyczna takiej działalności nieprowadząca. Miarkowanie ochrony danych osobowych, w zależności od kręgu wykonawców, stałoby bowiem w oczywistej sprzeczności z zasadą równego traktowania wykonawców, wyrażoną w art. 7 ust. 1 ustawy Pzp.
