Urząd Zamówień Publicznych opublikował instrukcję w zakresie stosowania przepisów o ochronie danych osobowych wynikających z Rozporządzenia RODO. Przedstawiamy najważniejsze kwestie opisane w dokumencie.

Czyje dane osobowe Zamawiający ma obowiązek przetwarzać zgodnie z RODO?

Zamawiający jest zobowiązany przetwarzać dane osobowe podlegające ochronie zgodnie z RODO, jeśli dotyczą one m.in.:

1. Wykonawcy – osoby fizycznej,
2. Wykonawcy będącego osobą fizyczną prowadzącą działalność gospodarczą,
3. pełnomocnika Wykonawcy będącego osobą fizyczną,
4. osób, które Wykonawca wykazuje w ofercie, aby potwierdzić spełnianie warunków udziału w postępowaniu, brak podstaw wykluczenia i spełnianie wymogów dotyczących przedmiotu zamówienia,
5. członka organu zarządzającego Wykonawcy, będącego osobą fizyczną (np. dane osobowe zamieszczone w informacji z KRK),
6. osoby fizycznej skierowanej do przygotowania i przeprowadzenia postępowania o udzielenie zamówienia publicznego.

Jak Zamawiający ma stosować RODO wobec danych wrażliwych dotyczących karalności?

W rekomendacji Urzędu Zamówień Publicznych znajdujemy 3 wskazówki związane z ujawnianiem tego rodzaju informacji:

1. informacje z KRK a także związane z procedurą „self-cleaning” zaleca się udostępniać tylko tym podmiotom, którym przysługuje prawo do korzystania ze środków ochrony prawnej (np. odwołania do KIO),
2. należy zobowiązać osoby, które pozyskują te dane, do zachowania ich w poufności,
3. Zamawiający nie może zamieszczać na stronie WWW kopii otrzymanych ofert, wniosków o dopuszczenie do udziału w postępowaniu oraz dokumentów podmiotowych, które zawierają dane osobowe.

Obowiązki Zamawiającego wynikające z RODO

Zamawiający jako administrator danych osobowych w postępowaniu o udzielenie zamówienia publicznego, ma obowiązek informacyjny wobec osób fizycznych, których dane pozyskuje i przetwarza (zgodnie z art. 13 RODO). W związku z tym Zamawiający ma obowiązek:

1. umieścić odpowiednią klauzulę w specyfikacji istotnych warunków zamówienia, ogłoszeniu o zamówieniu lub konkursie, dokumentacji postępowania lub w regulaminie konkursu; jeśli procedura jest w toku, Zamawiający powinien zrealizować obowiązek informacyjny w korespondencji z Wykonawcami po otwarciu ofert lub niezwłocznie w inny sposób;
2. zaś w celu wypełnienia obowiązku informacyjnego wobec osób trzecich (których dane Zamawiający uzyskuje np. od Wykonawców) Zamawiający ma prawo żądać od Wykonawców wraz z ofertą określonego oświadczenia.

Informacje, o których mowa w art. 13 RODO, muszą być zamieszczone w łatwo dostępnej formie i opisane zwięzłym, przejrzystym, zrozumiałym, jasnym i prostym językiem.