Niewątpliwie na wszystkich etapach postępowania o udzielenie zamówienia publicznego nieuchronnie dochodzi do przetwarzania danych osobowych. Są one przetwarzane na etapie poprzedzającym wybór oferty, w ramach korzystania ze środków ochrony prawnej, zawierania i wykonywania umowy, a także podczas udostępniania przez zamawiających dokumentacji postępowania.

Tymczasem pomimo wejścia w życie 25 maja 2018 r. przepisów RODO [1] ustawa – Prawo zamówień publicznych („PZP”) nie ulegała zmianie. Dopiero 4 maja 2019 r. w życie weszły przepisy dostosowujące PZP do wymagań RODO [2], wprowadzając w PZP istotne wyjątki od ogólnych zasad ochrony danych osobowych. Wcześniej zaś dokumentami, które miały na celu pomoc zamawiającym i wykonawcom w przystosowaniu się do nowej rzeczywistości były jedynie – formalnie niewiążące – zalecenia i wzorcowe klauzule w zakresie ochrony danych osobowych opublikowane przez Urząd Zamówień Publicznych.

Zasada jawności a stosowanie RODO

Dostosowanie PZP do wymagań RODO spowodowało konieczność ingerencji w zasadę jawności, tj. jedną z naczelnych zasad obowiązujących w systemie zamówień publicznych. Zgodnie z art. 8 ust. 1 i 2 PZP postępowanie o udzielenie zamówienia jest jawne, a ograniczenie przez zamawiającego dostępu do informacji z nim związanych może nastąpić tylko w przypadkach określonych w ustawie.

Z tego względu, w celu określenia dopuszczalnych ograniczeń jawności postępowania z uwagi na ochronę danych osobowych przewidzianą RODO znowelizowano przepisy PZP, eliminując dotychczas nierozstrzygnięty na poziomie legislacyjnym konflikt między tymi zasadami.

Przetwarzanie danych osobowych a zaświadczenia o niekaralności

Nowelizacja PZP określiła m.in. zasady dostępu do danych dotyczących wyroków skazujących. Zgodnie z art. 8 ust. 5 PZP zamawiający udostępnia tego rodzaju dane osobowe, lecz jedynie w celu korzystania ze środków ochrony prawnej do upływu terminu do ich wniesienia.

Realizacja uprawnień podmiotu, którego dane osobowe dotyczą

W PZP dodano również art. 8a, w którym zmodyfikowano sposób realizacji niektórych praw uprawnionego podmiotu tak, aby dostosować je do realiów postępowania zamówieniowego. W tym zakresie w szczególności:

  1. uregulowano zasady realizacji obowiązku informacyjnego w postępowaniu o udzielenie zamówienia publicznego przez umożliwienie zamieszczenia wymaganych informacji m.in. w ogłoszeniu o zamówieniu, czy też SIWZ, przy czym katalog sposobów przekazania tej informacji uczyniono otwartym,
  2. w przypadku realizacji prawa do żądania informacji o przetwarzaniu danych osobowych zamawiający uzyskał uprawnienie do żądania  od osoby zgłaszającej takie roszczenie dodatkowych informacji mających na celu sprecyzowanie jej żądania, w tym wskazania postępowania w którym dane osobowe były przetwarzane,
  3. przesądzono, że skorzystanie przez osobę, której dane dotyczą, z uprawnienia do sprostowania lub uzupełnienia danych osobowych nie może skutkować zmianą wyniku postępowania o udzielenie zamówienia, ani zmianą postanowień umowy w zakresie niezgodnym z ustawą. Przy czym analogiczna regulacja została dodana w art. 97 ust. 1b PZP stanowiącym, że skorzystanie przez osobę, której dane osobowe dotyczą, z uprawnienia do sprostowania lub uzupełnienia danych nie może skutkować ingerencją w treść przechowywanego protokołu oraz jego załączników,
  4. uregulowano, że zgłoszenie żądania ograniczenia przetwarzania danych nie ogranicza przetwarzania danych osobowych do czasu zakończenia postępowania o udzielenie zamówienia publicznego.

Udostępnianie protokołu postępowania

Z kolei w zakresie udostępniania protokołu postępowania, który również zawiera dane osobowe, ustawodawca zdecydował o dodaniu do art. 96 PZP ust. 3a oraz 3b. Na podstawie tych przepisów zamawiający ujawnia wszystkie danych osobowe, które znajdują się w dokumentacji postępowania z wyjątkiem informacji zawierających tzw. dane wrażliwe, o których mowa w art. 9 RODO.

Niemniej jednak, zgodnie z art. 96 ust. 3b PZP zasada jawności protokołu postępowania i załączników do protokołu doznaje istotnych ograniczeń od chwili zakończenia postępowania o udzielenie zamówienia. Jeśli bowiem osoba, której dane dotyczą, po zakończeniu postępowania zażąda od zamawiającego jako administratora ograniczenia przetwarzania jej danych na podstawie art. 18 RODO, ich przetwarzanie jest wówczas możliwe wyłącznie za zgodą tej osoby, w celu dochodzenia roszczeń, ochrony praw lub z uwagi na ważne względy interesu publicznego UE lub państwa członkowskiego.

Znowelizowane przepisy art. 97 ust. 1a i 1b PZP odnoszą się także do kwestii związanych z przetwarzaniem danych osobowych na etapie przechowywania protokołu wraz z załącznikami.

Umowa w sprawie zamówienia publicznego a RODO

Ponadto, w nowo dodanym art. 143e PZP przesądzono wprost, że zamawiający w ramach uprawnień w zakresie kontroli spełniania przez wykonawcę lub podwykonawcę wymagań, o których mowa w art. 29 ust. 3a PZP, ma prawo do żądania dokumentów zawierających m.in. dane osobowe niezbędne do weryfikacji zatrudnienia na podstawie umowy o pracę. Przetwarzanie danych w tym zakresie uzyskało zatem wprost podstawę w ustawie.

Ustawa nowelizująca PZP określa w art. 174, że przepis art. 143e PZP stosuje się do postępowań o udzielenie zamówienia publicznego wszczętych po wejściu w życie niniejszej ustawy. Co istotne, ustawodawca zaniechał uregulowania kwestii intertemporalnych w odniesieniu do pozostałych obowiązków wprowadzonych ustawą nowelizującą PZP.

Podsumowanie

Brak przepisów przejściowych co do nowych zasad ochrony danych osobowych należy niewątpliwie uznać za mankament nowelizacji. W chwili obecnej uczestnicy postępowań o udzielenie zamówienia publicznego nie mają bowiem pewności, czy nowe obowiązki dotyczą  wyłącznie postępowań wszczętych od 4 maja br., czy również do postępowań, które w tym dniu były już w toku.

Niezależnie od powyższego, zakres zmian wprowadzonych ustawą nowelizującą PZP wskazuje, że ustawodawca dążył do zapewnienia równowagi między skutecznym stosowaniem przepisów RODO, zasadą jawności a obowiązkiem zapewnienia efektywnego udzielania zamówień publicznych. Wydaje się, że nowe regulacje porządkują dotychczas wątpliwe praktyczne kwestie związane ze stosowaniem RODO w procedurze zakupowej. Czas jednak pokaże, czy cel ten zostanie w pełni osiągnięty.

***

Kompletna treść ustawy nowelizującej PZP w związku z RODO dostępna jest pod linkiem:

http://prawo.sejm.gov.pl/isap.nsf/DocDetails.xsp?id=WDU20190000730


[1] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 z późn. zm.).

[2] Ustawa z dnia 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. poz. 730).