Już za kilka dni (25 maja 2018 r.) zacznie obowiązywać nowe rozporządzenie unijne o ochronie danych osobowych (RODO), które nakłada na administratorów oraz podmioty przetwarzające dane osobowe osób fizycznych szereg nowych obowiązków. Pojawia się więc pytanie, na ile nowe obowiązki przewidziane w RODO mogą mieć wpływ na postępowania o udzielenie zamówienia publicznego.
Zgodnie z definicją zawartą w RODO już samo posiadanie albo przeglądanie danych jest ich przetwarzaniem, a zatem zamawiający działający jako administratorzy danych osobowych, będą w trakcie prowadzenia postępowania o udzielenie zamówienia publicznego, z jednej strony przetwarzać dane osobowe wykonawców, a z drugiej udostępniać wykonawcom do przetwarzania dane osobowe własnych pracowników czy przedstawicieli (np. członków komisji przetargowej czy osób wyznaczonych do kontaktu w sprawie zamówienia). Należy bowiem mieć na uwadze, że nawet jeśli wykonawca czy zamawiający są osobami prawnymi, to w imieniu tych podmiotów w ramach postępowania kontaktują się ze sobą i przekazują swoje dane osoby fizyczne zatrudnione lub zaangażowane przez dany podmiot. Dane osobowe tych osób powinny być zatem przetwarzane zgodnie z wymogami RODO.
Art. 28 RODO dopuszcza możliwość powierzenia przez administratora przetwarzania danych osobowych innemu podmiotowi i jednocześnie określa minimalne wymogi, jakie należy spełniać, aby móc przetwarzać tego typu dane.
Przetwarzanie danych osób fizycznych może być powierzane tylko takim podmiotom (wykonawcom), które zagwarantują przetwarzanie danych zgodnie z wymogami RODO i tym samym odpowiedni poziom ochrony danych osobowych osób, których dane dotyczą.
Przepis art. 28 RODO powinien więc dać do myślenia zamawiającym i skłonić ich do tego, aby już na etapie organizowania postępowania o udzielenie zamówienia publicznego, zadbali o należytą ochronę prywatności osób fizycznych i odpowiednie zabezpieczenie ich danych osobowych, w szczególności zgodne z RODO wykorzystanie tych danych. W tym celu zamawiający powinien już w SIWZ albo w zapytaniu ofertowym zamieścić takie wymogi, które pozwolą mu się zorientować, czy przyszły wykonawca wdrożył odpowiednie środki techniczne i organizacyjne, a co za tym idzie zapewni odpowiedni poziom ochrony danych osobowych w trakcie realizacji zamówienia.
Wpływ RODO na kontrakty już zawarte
RODO zostało uchwalone 27 kwietnia 2016 r. i na mocy art. 99 ust. 1 RODO weszło w życie 24 maja 2016 roku. Stosownie do treści art. 99 ust. 1 RODO ma ono zastosowanie od dnia 25 maja 2018 r. Z kolei zgodnie z Motywem 171 do RODO „przetwarzanie, które w dniu rozpoczęcia stosowania niniejszego rozporządzenia już się toczy, powinno w terminie dwóch lat od wejścia niniejszego rozporządzenia w życie zostać dostosowane do jego przepisów”. Z powyższego wynika zatem, że okres przejściowy kończy się z dniem 24 maja 2018 r., a więc od następnego dnia wszelkie procesy przetwarzania danych osobowych powinny być zgodne z RODO, co oznacza, że RODO znajdzie także zastosowanie do umów o udzielenie zamówienia publicznego zawartych przed 25 maja 2018 r. w zakresie, w jakim dotyczą one przetwarzania danych osobowych.
W związku z powyższym wszelkie umowy na realizację zamówień publicznych zawarte przed wejściem w życie RODO powinny zostać poddane analizie pod kątem zapewnienia zgodności przetwarzania danych osobowych z Rozporządzeniem. Jeżeli okaże się, że podstawowe warunki przetwarzania nie zostały zachowane, niezbędna może się okazać zmiana umów już zawartych i dostosowanie ich do nowych przepisów. Wprawdzie zmiana umowy o udzielenie zamówienia publicznego jest co do zasady niedopuszczalna, jednak art. 144 prawa zamówień publicznych określa przypadki, w których takiej zmiany można dokonać. Należy zatem indywidulanie badać każdą umowę o zamówienie publiczne i ocenić potrzebę jej ewentualnego dostosowania do zasad powierzania przetwarzania danych osobowych wskazanych w RODO.
Zarówno przy analizie zapisów zawartych umów na realizację zamówienia publicznego jak i na etapie przygotowania nowych postępowań o udzielenie zamówienia pomocne może okazać się skorzystanie z porady profesjonalnego prawnika. Na rynku już od kilku miesięcy ogłasza się wiele kancelarii prawnych oferujących szkolenia z zakresu RODO oraz kompleksową usługę wdrożenia tego rozporządzenia w organizacji przedsiębiorstwa.
