RODO w zamówieniach publicznych: Przetwarzanie danych osobowych wykonawców

Jeżeli jako zamawiający jesteś objęty reżimem ustawy Prawo Zamówień Publicznych* (PZP), powinieneś wiedzieć o kilku ważnych aspektach związanych z przetwarzaniem danych wykonawców biorących udział w postępowaniach. 

Z artykułu dowiesz się o:

• standardowych kategoriach danych przetwarzanych podczas postępowania o udzielenie zamówienia publicznego,
• czynnościach przetwarzania danych w kontekście zamówień publicznych,
• podstawach przetwarzania danych dla zamówień podlegających pod reżim ustawy PZP, a także dla zamówień poniżej progu 130 tys. zł.

Dane osobowe przetwarzane przez zamawiającego podczas postępowania

W ramach postępowania mogą być przetwarzane m.in. następujące kategorie danych:

• Dane identyfikacyjne i teleadresowe wykonawcy,
• Dane osób reprezentujących wykonawcę (w tym pełnomocników),
• Dane osób wyznaczonych do kontaktu,
• Profil zawodowy wykonawcy i jego doświadczenie,
• Zaświadczenie z Krajowego Rejestru Karnego.

Obowiązek przedstawienia zaświadczeń dotyczy wykonawców będących osobami fizycznymi, a także członków organu zarządzającego lub nadzorczego wykonawcy oraz wspólników spółki, komplementariuszy lub prokurentów.

Rejestr Czynności Przetwarzania Danych Osobowych

Zamawiający (Administrator danych osobowych) zgodnie z art. 30 RODO powinien prowadzić rejestr czynności przetwarzania danych osobowych. W zakresie czynności dotyczących zamówień publicznych, w rejestrze powinny być ujęte:

• Czynności związane z prowadzeniem postępowań,
• Czynności związane z wykonywaniem umowy z wybranym wykonawcą.

Informacje wskazane co do obu czynności nie będą się znacząco od siebie różnić, jednak warto rozważyć rozbieżności w szczególności w zakresie kategorii danych, okresu retencji, celów, a także podstawy przetwarzania.

Co powinno się znaleźć w rejestrze?

• Dane administratora - imię i nazwisko lub nazwa oraz dane kontaktowe administratora oraz wszelkich współadministratorów, a także gdy ma to zastosowanie - przedstawiciela administratora oraz inspektora ochrony danych.
• Cele przetwarzania - szczegółowy opis celów.
• Kategorie danych - opis kategorii osób, których dane dotyczą, oraz kategorii danych osobowych.
• Odbiorcy danych - kategorie odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w tym odbiorców w państwach trzecich lub w organizacjach międzynarodowych.
• Przekazywanie danych - gdy ma to zastosowanie, informacja o przekazaniu danych osobowych do państwa trzeciego lub organizacji międzynarodowej.
• Terminy usunięcia - jeżeli jest to możliwe, planowane terminy usunięcia poszczególnych kategorii danych.
• Środki bezpieczeństwa - jeżeli jest to możliwe, ogólny opis technicznych i organizacyjnych środków bezpieczeństwa, o których mowa w art. 32 ust. 1 RODO.

Co z podstawą prawną przetwarzania danych?

Celem przetwarzania danych wykonawców w postępowaniu jest wypełnienie obowiązku prawnego ciążącego na administratorze - zamawiającym (art. 6 ust. 1 lit. c RODO**). Obowiązek ten wynika z przepisów PZP.

Ta podstawa jest najczęściej wskazywaną w klauzulach informacyjnych RODO podstawą przetwarzania. Czasami w klauzulach informacyjnych można znaleźć również inne podstawy, takie jak niezbędność wykonania umowy (art. 6 ust. 1 lit. b RODO) lub prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO).

W przeważającej większości przypadków wskazuje się jednak na samodzielną podstawę - obowiązek prawny ciążący na administratorze. Takie podejście jest też uzasadnione przyjętą koncepcją pierwszeństwa obowiązku prawnego jako podstawy przetwarzania danych (art. 6 ust. 1 lit. c RODO) przed innymi podstawami wynikającymi z art. 6 ust. 1 RODO.

Zamówienia regulaminowe - poniżej progu PZP

Co będzie podstawą przetwarzania danych w przypadku zamówień o wartości, która nie osiąga progu 130 tys. zł, czyli poniżej progu do stosowania reżimu PZP?

Zasadne jest przyjęcie, że podstawą przetwarzania danych będzie nadal konieczność wypełnienia obowiązku prawnego ciążącego na administratorze. Obowiązek ten wynika z art. 44 ust. 3 Ustawy o finansach publicznych***, zgodnie z którym wydatki publiczne powinny być dokonywane:

• W sposób celowy i oszczędny, z zachowaniem zasad:
  • Uzyskiwania najlepszych efektów z danych nakładów
  • Optymalnego doboru metod i środków służących osiągnięciu założonych celów
• W sposób umożliwiający terminową realizację zadań
• W wysokości i terminach wynikających z wcześniej zaciągniętych zobowiązań

Zgodnie z motywem 45 preambuły do RODO: "rozporządzenie nie wymaga, aby dla każdego indywidualnego przetwarzania istniało szczegółowe uregulowanie prawne. Wystarczyć może to, że dane uregulowanie prawne stanowi podstawę różnych operacji przetwarzania wynikających z obowiązku prawnego (...) lub, że przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym (...)."

Można dyskutować, czy zasady wydatkowania środków publicznych wynikające z art. 44 ust. 3 Ustawy o finansach publicznych mogą stanowić na tyle skonkretyzowany obowiązek, aby uznać ten przepis za podstawę przetwarzania danych.

Ograniczenia w publikowaniu danych

Przyjmując jednak zasadność tej koncepcji, warto zaznaczyć, że przepis ten umożliwiłby przetwarzanie danych wykonawcy w postępowaniu zamówieniowym, ale nie stanowi podstawy do publicznego udostępniania tych danych np. w informacjach o wynikach postępowania na stronie internetowej zamawiającego. Do takiego działania potrzebna byłaby już zgoda podmiotu.

Brak standardu

Zagadnienie to wydaje się być różnie interpretowane, co dobrze widać na przykładach treści klauzul informacyjnych podmiotów publicznych dla zamówień o wartości poniżej 130 tys. zł, w których pojawiają się różne konfiguracje podstaw przetwarzania danych:

• Przykład nr 1: art. 6 ust. 1 lit. b i c RODO (wykonanie umowy, spełnienie obowiązku prawnego),
• Przykład nr 2: art. 6 ust. 1 lit. f RODO (uzasadniony interes administratora),
• Przykład nr 3: art. 6 ust. 1 lit. a, b i c RODO (zgoda, wykonanie umowy i spełnienie obowiązku prawnego).

Podsumowanie

RODO w postępowaniach o udzielenie zamówień publicznych wymaga od zamawiających przestrzegania jasnych zasad - m.in. określenia właściwej podstawy prawnej przetwarzania, prowadzenia rejestru czynności przetwarzania i ochrony danych wykonawców. Pamiętaj, że zasady różnią się dla zamówień powyżej i poniżej progu 130 tys. zł.

Podstawy prawne:

* Prawo Zamówień Publicznych (PZP) - Ustawa z 11 września 2019 r. – Prawo zamówień publicznych (Dz.U. z 2024 r. poz. 1320),

** RODO - Rozporządzenie Parlamentu Europejskiego i Rady [UE] nr 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych),

***Ustawa o finansach publicznych - Ustawa z 27 sierpnia 2009 r. o finansach publicznych (Dz.U. z 2024 r. poz. 1530 ze zm.).