RODO a zamówienia publiczne do 30 000 euro

Z dniem 25 maja 2018 roku zaczęły obowiązywać nowe przepisy o ochronie danych osobowych - rozporządzenie Parlamentu Europejskiego i Rady [UE] nr 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych – dalej RODO).

Przez pewien czas po tym jakże niespodziewanym zdarzeniu...:)...słowo RODO było jednym z najczęściej powtarzanych "słów" kojarzących się z problemami.

Dziś już wiemy, a bynajmniej wiedzieć powinniśmy, jak stosować RODO w zamówieniach, do których mają zastosowanie przepisy ustawy Pzp. O tym napiszę dla przypomnienia, za jakiś niedługi czas...tak dla pewności, że temat nie budzi wątpliwości. 

Zastanawialiście się jednak nad tym, w jaki sposób stosować RODO do zamówień wyłączonych ze stosowania ustawy Pzp, w tym do tych o wartości podprogowej? Innymi słowy, w jaki sposób przetwarzać dane wykonawców ubiegających się o zamówienie małej wartości? Odpowiedź na to pytanie, albo choćby pomysł na odpowiedź to ważna sprawa....przecież musimy jakoś przekazać klauzulę informacyjną wykonawcom składającym oferty. 
Po pierwsze....klauzula o przetwarzaniu na podstawie zawartej umowy, przekazywana wykonawcy, któremu udzielono zamówienia, nie wystarczy.
Przecież przetwarzamy, zbieramy, archiwizujemy etc. również dane wykonawców, którzy bez powodzenia o udzielenie zamówienia się ubiegali. 

Mamy zatem taką sytuację. Prowadząc postępowanie o udzielenie zamówienia o małej wartości, tj. nieprzekraczającej równowartości 30 000 Euro, zamawiający nie jest co prawda  zobowiązany do stosowania ustawy Pzp – dane pozyskane w toku takiego „małego postępowania” nie są przetwarzane na podstawie ustawy Pzp, niemniej jednak, jest zobowiązany do „uzyskania” podstawy do przetwarzania danych wykonawców, którzy podejmują czynności (składają oferty, biorą udział w szacowaniu etc.), w toku takiego postępowania.

Zacznijmy zatem od podstaw:

Zgodnie z artykułem 6 RODO, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków:

  1. osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
  2. przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
  3. przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
  4. przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
  5. przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
  6. przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Na co się powołać?
Mamy dwie opcje:
1) Możemy uzyskać zgodę na przetwarzanie danych osobowych wykonawców, którzy złożyli ofertę w jednym lub większej liczbie określonych celów -> zgoda powinna być załączona do treści oferty lub innej czynności w postępowaniu (pierwszej czynności wykonawcy)– przetwarzanie na podstawie zgody. W takim wypadku przekazujemy wraz z zaproszeniem do dokonania czynności np. składania ofert, klauzulę informacyjną ze wskazaniem jako podstawę przetwarzania danych, zgodę wykonawcy. Pamiętaj, żę musisz zastrzec, że oferta, do której nie zostanie załączona zgoda, nie będzie rozpatrywana. Taką sytuację zamawiający zinterpretuje jako brak podstawy przetwarzania danych wykonawcy.

2) Możemy wskazać obowiązek prawny ciążący na administratorze, do wypełnienia którego, przetwarzanie jest niezbędne, wówczas przetwarzanie odbywa się tj. w zamówieniach realizowanych zgodnie z Pzp, na podstawie przepisów prawa, ale innego prawa, bo przecież nie ustawy Pzp:)

Ja idę w tym kierunku a jako podstawę wskazuję przepisy ustawy o finansach publicznych oraz ustawy o dostępie do informacji publicznej.

I tak:

a) art. 44 ust. 3 ustawy o finansach publicznych wydatki publiczne powinny być dokonywane w sposób:

  • ·       celowy (poniesienie wydatku jest niezbędne do wykonania zadania publicznego),
  • ·       oszczędny (obniżenie kosztów przy jednoczesnym zachowaniu pożądanej jakości),
  • ·       skuteczny (optymalny dobór środków i metod do realizacji konkretnego celu),
  • ·       efektywny (uzyskanie najlepszych wyników w związku z ponoszonymi nakładami),
  • ·       terminowy (ponoszenie wydatków w określonych terminach),

b) Realizacja ww. obowiązku podlega weryfikacji, w tym m.in. zgodnie z art. 6 ust. 1 pkt 3 ustawy z dnia 6 września 2001 roku o dostępie do informacji publicznej, udostępnieniu podlega informacja publiczna, o zasadach funkcjonowania podmiotów władzy publicznej oraz innych podmiotów wykonujących zadania publiczne, o których mowa w art. 4 ust. 1 tejże ustawy, w tym m.in. o  trybie działania władz publicznych i ich jednostek organizacyjnych oraz o trybie działania państwowych osób prawnych i osób prawnych samorządu terytorialnego w zakresie wykonywania zadań publicznych i ich działalności w ramach gospodarki budżetowej i pozabudżetowej,

Pamiętaj jednak, że regulacje te, nie upoważniają zamawiającego do podejmowania tychsamych czynności jak te podejmowane na podstawie ustawy Pzp, tj. np. publikowanie danych wykonawców na stronie internetowej zamawiającego czy przekazywania ich pozostałym wykonawcom bez stosownego wniosku. Zamawiający będzie jednak upoważniony do przekazania „protokołu z postępowania” zawierającego dane wykonawców w trybie przewidzianym ustawą o dostępie do informacji publicznej, czy do przechowywania danych pozyskanych w toku postępowania w celu np. udostępnienia ich do kontroli sposobu wydatkowania środków publicznych.

Jeżeli wybieramy tę opcję, również przekazujemy wykonawcom klauzulę informacyjną, z tym, że w jej treści wskazujemy jako podstawę przetwarzania danych wykonawcy, przepisy prawa.

Przykładowa klauzula zamieszczona na stronie UZP. Pamiętaj, że podlega ona modyfikacji w zakresie wskazania podstawy prawnej udostępniania danych osobowych.

Którą opcję na przetwarzanie wybierasz? A może masz inny pomysł?