Z pierwszych obserwacji poczynań zamawiających można wysnuć wniosek, że ich działanie – zakładamy, że podejmowane z daleko idącej ostrożności w zakresie ochrony danych osobowych – prowadzi jednak do ograniczenia fundamentalnych praw wynikających z ustawy z dnia 29 stycznia 2004 r. Prawo zamówień publicznych (tekst jednolity Dz. U. z 2017 r. poz. 1579 z późn. zm., dalej jako „ustawa Pzp”) jak i ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (tekst jednolity Dz. U. z 2016 r. poz. 1764 z późn. zm., dalej jako „ustawa o dostępie do informacji publicznej”).
Wobec tego należy się zastanowić czy zachowania zamawiających są prawidłowe oraz czy ochrona danych osobowych przewidziana przez RODO nie narusza innych fundamentalnych praw i jak obie ww. sfery (ochrony danych osobowych jak również dostępu do informacji o przetargu/informacji publicznych) pogodzić.
Na dzień dzisiejszy w ustawie Pzp mamy następujące podstawowe przepisy mające walor powszechnie obowiązujących ugruntowanych zasad, tj. art. 8 ust. 1 ustawy Pzp, który stanowi, że postępowanie o udzielenie zamówienia jest jawne. Zamawiający może ograniczyć dostęp do informacji związanych z postępowaniem o udzielenie zamówienia tylko w przypadkach określonych w ustawie (art. 8 ust. 2 ustawy Pzp).
Dalej w art. 96 ust. 3 ustawy Pzp jest mowa o tym, że protokół wraz z załącznikami jest jawny. Załączniki do protokołu udostępnia się po dokonaniu wyboru najkorzystniejszej oferty lub unieważnieniu postępowania, z tym że oferty udostępnia się od chwili ich otwarcia, oferty wstępne od dnia zaproszenia do składania ofert, a wnioski o dopuszczenie do udziału w postępowaniu od dnia poinformowania o wynikach oceny spełniania warunków udziału w postępowaniu. Jednocześnie art. 96 ust. 2 ustawy Pzp definiuje co wchodzi w skład załączników do protokołu i są to: oferty, opinie biegłych, oświadczenia, informacja z zebrania, o którym mowa w art. 38 ust. 3, zawiadomienia, wnioski, inne dokumenty i informacje składane przez zamawiającego i wykonawców oraz umowa w sprawie zamówienia publicznego.
Ponadto, w art. 139 ust. 3 ustawy Pzp jest mowa o tym, że umowy w sprawie zamówienia publicznego są jawne i podlegają udostępnianiu na zasadach określonych w przepisach o dostępie do informacji publicznej.
Natomiast przepis art. 2 ustawy o dostępie do informacji publicznej stanowi, że:
1. Każdemu przysługuje, z zastrzeżeniem art. 5, prawo dostępu do informacji publicznej, zwane dalej ,,prawem do informacji publicznej”.
2. Od osoby wykonującej prawo do informacji publicznej nie wolno żądać wykazania interesu prawnego lub faktycznego.
Przywołany zaś art. 5 ww. ustawy wskazuje, iż:
1. Prawo do informacji publicznej podlega ograniczeniu w zakresie i na zasadach określonych w przepisach o ochronie informacji niejawnych oraz o ochronie innych tajemnic ustawowo chronionych.
1a. (utracił moc)
2. Prawo do informacji publicznej podlega ograniczeniu ze względu na prywatność osoby fizycznej lub tajemnicę przedsiębiorcy. Ograniczenie to nie dotyczy informacji o osobach pełniących funkcje publiczne, mających związek z pełnieniem tych funkcji, w tym o warunkach powierzenia i wykonywania funkcji, oraz przypadku, gdy osoba fizyczna lub przedsiębiorca rezygnują z przysługującego im prawa.
2a. Prawo do informacji publicznej podlega ograniczeniu w zakresie i na zasadach określonych w przepisach o przymusowej restrukturyzacji.
3. Nie można, z zastrzeżeniem ust. 1, 2 i 2a, ograniczać dostępu do informacji o sprawach rozstrzyganych w postępowaniu przed organami państwa, w szczególności w postępowaniu administracyjnym, karnym lub cywilnym, ze względu na ochronę interesu strony, jeżeli postępowanie dotyczy władz publicznych lub innych podmiotów wykonujących zadania publiczne albo osób pełniących funkcje publiczne – w zakresie tych zadań lub funkcji.
4. Ograniczenia dostępu do informacji w sprawach, o których mowa w ust. 3, nie naruszają prawa do informacji o organizacji i pracy organów prowadzących postępowania, w szczególności o czasie, trybie i miejscu oraz kolejności rozpatrywania spraw.
Mając na uwadze powyższe regulacje, pojawia się więc pytanie jakie dane, po wejściu w życie RODO, mogą zostać udostępnione w odniesieniu do przetargów publicznych a jakie nie, aby nie naruszyć żadnych regulacji, tj. ani RODO i wynikającego z niego prawa do ochrony danych osobowych osób fizycznych, jak i prawa dostępu do informacji o przetargach publicznych w szczególności przez wykonawców ubiegających się o udzielenie zamówienia w celu kontroli ich legalności, poprawności i transparentności.
Odnosząc się do postanowień RODO w zakresie zamówień publicznych, to należy zauważyć, że ma to miejsce wyłącznie w motywach ww. rozporządzenia, w których nadmieniono, że „zasadę uwzględniania ochrony danych osobowych w fazie projektowania i zasadę domyślnej ochrony danych należy brać pod uwagę w przetargach publicznych.” (motyw 78 RODO).
W szczegółowych postanowieniach RODO określa m.in. co należy rozumieć przez dane osobowe (art. 4 pkt 1) RODO – wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej), przetwarzanie (art. 4 pkt 2) RODO), jak również określa zasady dotyczące przetwarzania danych osobowych (art. 5 RODO).
Zamawiający jest administratorem przetwarzającym dane osobowe zawarte w ofertach/wnioskach składanych w postępowaniach publicznych zobowiązanym do stosowania powyższych regulacji wynikających z RODO.
Jednocześnie na dzień wejścia w życie RODO ustawodawca krajowy nie wprowadził żadnych przepisów szczegółowych, wykonawczych, które wyznaczyłyby zamawiającym jednoznaczne wskazówki w zakresie prawidłowego postępowania z danymi osobowymi zawartymi w ofertach/wnioskach.
Pewne kadłubowe – nie rozwiązujące istotnych problemów związanych z postępowaniem zamawiających w zakresie udostępniania danych osobowych w przetargach publicznych – wskazówki zostały opublikowane przez Urząd Zamówień Publicznych (UZP) na jego stronie internetowej. Na stronie www.uzp.gov.pl zostały zamieszczone:
1. Wskazówki dotyczące prowadzenia postępowania o udzielenie zamówienia publicznego z uwzględnieniem regulacji RODO.
2. Przykładowa klauzula informacyjna z art. 13 RODO do zastosowania przez zamawiających w celu związanym z postępowaniem o udzielenie zamówienia publicznego.
3. Wzór oświadczenia wymaganego od wykonawcy w zakresie wypełnienia obowiązków informacyjnych przewidzianych w art. 13 lub art. 14 RODO.
Stosownie do ww. publikacji zamawiający powinien zachować szczególną ostrożność przy udostępnianiu danych dotyczących wyroków skazujących i naruszeń prawa. Urząd Zamówień Publicznych podnosi jednak, że informacje te powinny zostać udostępnione podmiotom, którym przysługuje prawo do korzystania ze środków ochrony prawnej. Dodatkowo UZP zaleca, aby osoby, które przetwarzają powyższe dane wrażliwe zostały zobowiązanie do zachowania poufności w zakresie uzyskanych informacji (niniejsze dotyczy zarówno osób występujących po stronie zamawiającego jak i wykonawców ubiegających się o udzielenie danego zamówienia, którym te dane zostały przekazane). Są to jedyne obostrzenia w zakresie zakresu udostępnianych danych osobowych zawartych w ofertach/wnioskach, na które wskazuje Urząd Zamówień Publicznych, z czym w zasadzie należy się zgodzić.
Zamawiający w swojej praktyce w zakresie udostępniania danych osobowych zdają się jednak nadinterpretować postanowienia RODO oraz wskazówki wydane przez UZP. Na skutek tego dochodzić do takich sytuacji, w których zamawiający powołując się na RODO – w sposób zupełnie nieuprawniony nie udostępniają np.:
* danych o pełnomocnikach wykonawcy,
* karalności osób wchodzących w skład organów zarządzających, nadzorczych czy też prokurentów, także wykonawcom ubiegającym się o dane zamówienie,
* informacji o kadrze dedykowanej do wykazania spełniania warunków udziału w postępowaniu
* informacji o kadrze dzięki, której wykonawca uzyskuje dodatkowe punkty w ramach pozacenowych kryteriów oceny ofert
* w ramach dostępu do informacji publicznej przekazania danych o zrealizowanych kontraktach i występującym na nich potencjale kadrowym wykonawcy.
Powyższe przykładowe zachowania zamawiających wypaczają już prawidłowe stosowanie postanowień RODO. Zamawiający przygotowując i prowadząc postępowanie o udzielenie zamówienia publicznego powinien zadbać o spełnienie obowiązku informacyjnego wobec wykonawców w związku z koniecznością przetwarzania danych osobowych osób fizycznych/osób fizycznych prowadzących działalność gospodarczą, jak również (wobec braku stosownych regulacji na dzień dzisiejszy) przy udostępnianiu danych osobowych zawartych w ofercie/wniosku powinien kierować się wskazówkami wynikającymi z publikacji przygotowanych przez UZP, jak i projektowanej ustawy o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679 w zakresie w jakim projekt ustawy dotyczy ustawy Pzp. Zamawiający nie są zaś uprawnieni do odmawiania dostępu do danych osobowych zawartych w ofertach/wnioskach podając jako podstawę swojego działania „tajemnicze” RODO.
Obowiązek informacyjny został opisany w art. 13 RODO i dotyczy danych jakie musi podać administrator podczas pozyskiwania danych osobowych. Obowiązek informacyjny może zostać spełniony przez zamawiającego wobec wszystkich potencjalnych wykonawców ubiegających się o dane zamówienie przez zamieszczenie odpowiednich postanowień w tym zakresie w dokumentacji postępowania (SIWZ, ogłoszenie, zaproszenie do udziału w przetargu). Przykładowe brzmienie takiej klauzuli zostało przygotowane przez UZP i opublikowane na jego stronie internetowej.
Zamawiający powinien także zadbać o to, aby wykonawca, który przekazuje w swojej ofercie dane osób trzecich spełnił wobec nich obowiązek informacyjny. W tym celu zamawiający może żądać stosownego oświadczenia od wykonawcy dzięki, któremu zamawiający będzie mógł przetwarzać dane osobowe także podmiotów trzecich wskazanych w ofercie wykonawcy (przykładowe brzmienie klauzuli także zostało przygotowane przez UZP).
Przetwarzanie danych osobowych będzie zgodne z prawem jeżeli zostanie spełniony co najmniej jeden z warunków opisanych w art. 6 ust. 1 RODO. Wśród tych warunków można przykładowo wymienić: zgodę osoby na przetwarzanie danych osobowych, przetwarzanie danych na podstawie umowy, interes publiczny. W przypadku zamówień publicznych zgodna na przetwarzanie danych osobowych osób fizycznych ujawnionych w ofertach/wnioskach będzie czerpała swoje ustawowe źródło w art. 6 ust. 1 lit. c) RODO, tj. „przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze”.
W opublikowanej przez UZP przykładowej klauzuli informacyjnej podnosi się, że: „Pani/Pana dane osobowe przetwarzane będą na podstawie art. 6 ust. 1 lit. c RODO w celu związanym z postępowaniem o udzielenie zamówienia publicznego /dane identyfikujące postępowanie, np. nazwa, numer/ prowadzonym w trybie ………………….;”.
Tak więc obowiązek prawny jaki ciąży na administratorze – zamawiającym, na podstawie którego jest on upoważniony do przetwarzania danych osobowych osób fizycznych ujawnionych w ofertach/wnioskach, to przeprowadzenie postępowania o udzielenie zamówienia publicznego.
Na podstawie przepisów zawartych w RODO można więc uznać, że zamawiający mają ustawowe – wynikające bezpośrednio z RODO – prawo do przetwarzania danych osobowych osób fizycznych ujawnionych w ofertach/wnioskach. Dziwi więc i zaskakuje strach czy też obawa zamawiających przed udostępnianiem tych danych konkurencji ubiegającej się o udzielenie danego zamówienia co bezpośrednio prowadzi do ograniczenia prawa do korzystania ze środków ochrony prawnej.
Kolejne argumenty przemawiające za tym, że zamawiający powinni przekazywać dane osobowe zawarte w ofertach/wnioskach bez obaw, że naruszą RODO wynikają z przygotowanej przez UZP przykładowej klauzuli informacyjne. W przywołanym dokumencie jest mowa o tym, że: „odbiorcami Pani/Pana danych osobowych będą osoby lub podmioty, którym udostępniona zostanie dokumentacja postępowania w oparciu o art. 8 oraz art. 96 ust. 3 ustawy z dnia 29 stycznia 2004 r. – Prawo zamówień publicznych (Dz. U. z 2017 r. poz. 1579 i 2018), dalej „ustawa Pzp”;”. Następnie w treści omawianej klauzuli zostało podniesione, że: „obowiązek podania przez Panią/Pana danych osobowych bezpośrednio Pani/Pana dotyczących jest wymogiem ustawowym określonym w przepisach ustawy Pzp, związanym z udziałem w postępowaniu o udzielenie zamówienia publicznego; konsekwencje niepodania określonych danych wynikają z ustawy Pzp;”.
Należy także zauważyć, że przysługujące co do zasady osobie fizycznej prawo do ograniczenia przetwarzania jej danych osobowych, w ramach reżimu zamówień publicznych doznaje pewnych ustawowych ograniczeń. Wobec tego wskazane powyżej prawo w odniesieniu do udostępnionych w ramach przetargu publicznego danych osobowych nie ma zastosowania w odniesieniu do ich przechowywania, w celu zapewnienia korzystania ze środków ochrony prawnej lub w celu ochrony praw innej osoby fizycznej lub prawnej, lub z uwagi na ważne względy interesu publicznego Unii Europejskiej lub państwa członkowskiego.
Ponadto w reżimie udzielania zamówień publicznych – tak jak zostało to wskazane w przykładowej klauzuli informacyjnej jaką zamawiający powinien zawrzeć we wzorze dokumentacji – obowiązują zasady pozwalające na udostępnienie danych osobowych innym podmiotom, a osoby, które decydują się na udział w przetargach publicznych muszą mieć tego świadomość i godzić się na pewne ograniczenia. W przeciwnym wypadku nie powinny ubiegać się o udzielenie zamówienia publicznego. W związku z tym, osoby, których dane osobowe są udostępnianie w ramach postępowania o udzielenie zamówienia publicznego powinny zostać poinformowane przez zamawiającego, o tym, że nie przysługuje im:
* w związku z art. 17 ust. 3 lit. b, d lub e RODO prawo do usunięcia danych osobowych, tj. nie mogą żądać niezwłocznego usunięcia danych w zakresie w jakim jest to niezbędne z uwagi na wywiązanie się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega administrator, lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (lit. b); cele archiwalne w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych zgodnie z art. 89 ust. 1, o ile prawdopodobne jest, że prawo, o którym mowa w ust. 1, uniemożliwi lub poważnie utrudni realizację celów takiego przetwarzania (lit. d); lub do ustalenia, dochodzenia lub obrony roszczeń (lit. e).
* prawo do przenoszenia danych osobowych, o którym mowa w art. 20 RODO;
* na podstawie art. 21 RODO prawo sprzeciwu, wobec przetwarzania danych osobowych, gdyż podstawą prawną przetwarzania ich danych osobowych jest art. 6 ust. 1 lit. c RODO.
W związku z powyższym, wszelkie twierdzenia zamawiającego, że nie może on udostępnić danych osobowych występujących w ofercie/wniosku np. pełnomocników podpisujących ofertę, potencjału kadrowego ujawnionego na potwierdzenie spełnia warunków udziału w postępowaniu itp. z uwagi na RODO są w większości przypadków bezpodstawne.
Dodatkowo, wypada nadmienić, że w odniesieniu do toczących się postępowań wszczętych przed dniem 25 maja 2018 r. (wejście w życie RODO) bądź też postępowań o udzielenie zamówienia publicznego już zakończonych, w których są realizowane umowy w sprawie zamówienia publicznego, zamawiający powinien w stosunku do wykonawców zrealizować opisany powyżej obowiązek informacyjny, a następnie udostępniać dane osób fizycznych w trybie odpowiednio ustawy Pzp lub ustawy o dostępie do informacji publicznej.
Niezależnie od powyższego, należy wspomnieć, że w projektowanej ustawie o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679 jest mowa o tym, że zamawiający udostępnia dane osobowe w celu umożliwienia skorzystania ze środków ochrony prawnej. Ponadto w omawianym projekcie ustawy jest mowa również m.in. o tym, że:
* skorzystanie przez osobę, której dane osobowe dotyczą, z uprawnienia do sprostowania lub uzupełnienia, o którym mowa w art. 16 RODO, nie może skutkować zmianą wyniku postępowania o udzielenie zamówienia publicznego lub konkursu ani zmianą postanowień umowy w zakresie niezgodnym z ustawą;
* planuje się dodanie do art. 96 ust. 3a, który stanowi, iż: „Zasada jawności, o której mowa w ust. 3, ma zastosowanie do wszystkich danych osobowych, z wyjątkiem danych, o których mowa w art. 9 rozporządzenia 2016/679, zebranych w toku postępowania o udzielenie zamówienia publicznego lub konkursu. Ograniczenia zasady jawności, o których mowa w art. 8 ust. 3-5, stosuje się odpowiednio.”; Artykuł 9 rozporządzenia 2016/679 (RODO) odnosi się do przetwarzania szczególnych kategorii danych takich jak pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, przetwarzania danych genetycznych, danych biometrycznych, dane dotyczące zdrowia, seksualności lub orientacji seksualnej danej osoby;
* skorzystanie przez osobę, której dane osobowe dotyczą z uprawnienia do sprostowania lub uzupełnienia, o którym mowa w art. 16 rozporządzenia RODO, nie może naruszać integralności protokołu oraz jego załączników.
Podsumowując, należy stwierdzić, że po wejściu w życie RODO zamawiający prowadzący postępowanie o udzielenie zamówienia publicznego w zbyt wielu przypadkach w sposób bezpodstawny odmawiają dostępu do danych osobowych przekazywanych w ofertach/wnioskach, co prowadzi do bezzasadnego ograniczenia prawa do korzystania ze środków ochrony prawnej czy też prawa dostępu do informacji publicznej. Zamawiający w świetle RODO mają podstawy do przetwarzania, w tym przechowywania i udostępnia danych innym podmiotom ubiegającym się o udzielenie zamówienia publicznego tychże danych i nie powinni się obawiać ww. czynności, a wykonawcy mają podstawy prawne żądania przekazania im wskazanych danych przez zamawiających. Obserwacja praktyki pokazuje także, że do Krajowej Izby Odwoławczej wpłynęły już pierwsze odwołania na zaniechanie udostępnienia przez zamawiających danych niezbędnych do zweryfikowania ofert/wniosków konkurencji i skuteczne skorzystanie z środków ochrony prawnej wobec czego w niedługim odstępie czasu należy zakładać, że wykształci się odpowiednie stanowisko orzecznicze Krajowej Izby Odwoławczej, a zapewne i sądów powszechnych czy też administracyjnych.