Zamawiający a RODO w postępowaniach: praktyczne obowiązki w dokumentacji

RODO w postępowaniach o udzielenie zamówienia – punkt wyjścia

Zakres zastosowania RODO u zamawiającego w toku postępowania

RODO obejmuje każdą operację na danych osobowych, która jest wykonywana w związku z postępowaniem o udzielenie zamówienia: od korespondencji z potencjalnymi wykonawcami, przez składanie ofert, ich ocenę, po archiwizację dokumentacji i realizację umowy. Zamawiający, prowadząc postępowanie, niemal na każdym jego etapie przetwarza dane osobowe – zarówno w formie elektronicznej, jak i papierowej.

Przetwarzaniem danych będzie m.in.:

• przyjmowanie i rejestrowanie ofert oraz wniosków o dopuszczenie do udziału w postępowaniu,
• gromadzenie oświadczeń, dokumentów potwierdzających brak podstaw wykluczenia i spełnianie warunków udziału,
• prowadzenie korespondencji z wykonawcami, także za pośrednictwem platform zakupowych,
• sporządzanie protokołów, raportów z bieżących prac komisji oraz notatek służbowych,
• przetwarzanie danych w ramach środków ochrony prawnej (odwołania, skargi, wezwania do wyjaśnień),
• przekazywanie i udostępnianie dokumentów innym podmiotom (np. KIO, sądom, organom nadzorczym).

Każde takie działanie musi mieć podstawę prawną, określony cel, zakres oraz przewidziany czas przechowywania. RODO nie zastępuje przepisów Prawa zamówień publicznych, ale nakłada na zamawiającego dodatkową warstwę obowiązków organizacyjnych i dokumentacyjnych.

Rola zamawiającego: administrator danych, współadministrator, podmiot przetwarzający

Co do zasady zamawiający w postępowaniach o udzielenie zamówienia występuje jako administrator danych osobowych (ADO). Oznacza to, że samodzielnie ustala cele i sposoby przetwarzania danych w związku z prowadzonym postępowaniem – w ramach określonych przepisami prawa, przede wszystkim PZP.

Sytuacje, w których zamawiający może być współadministratorem, są wyjątkowe i raczej rzadkie (np. wspólne postępowania kilku zamawiających, zamówienia centralne). W takim przypadku wymagane jest ustalenie – najlepiej w formie porozumienia – kto za co odpowiada w zakresie obowiązków z RODO (klauzule informacyjne, realizacja praw osób, odpowiedzi na wnioski itp.).

Od roli administratora należy odróżnić sytuacje, gdy zamawiający korzysta z usług podmiotów trzecich, które w jego imieniu przetwarzają dane. Typowe przykłady:

• dostawca platformy e-zamówień lub platformy zakupowej,
• firma zewnętrzna obsługująca postępowanie (np. kancelaria prawna, inżynier kontraktu),
• operator pocztowy lub kurier w zakresie, w jakim ma dostęp do danych,
• usługodawca IT zapewniający hosting, backup lub serwis systemu przetargowego.

W takich przypadkach zamawiający nadal jest administratorem, a podmiot zewnętrzny – podmiotem przetwarzającym (procesorem). Konieczne jest wtedy zawarcie umowy powierzenia przetwarzania danych zgodnie z art. 28 RODO oraz odpowiednie opisanie tego faktu w dokumentacji postępowania (np. w klauzuli informacyjnej).

Jakie dane osobowe pojawiają się w dokumentacji przetargowej

Dokumentacja postępowania obejmuje szereg kategorii danych osobowych. Kluczowe to:

• dane osób reprezentujących wykonawcę – imię, nazwisko, stanowisko, dane identyfikacyjne wskazane w KRS/CEIDG lub pełnomocnictwach, numery kontaktowe (służbowe), adres e-mail;
• dane personelu kluczowego – osoby wskazywane do realizacji zamówienia (np. kierownik budowy, projektant, koordynator), w tym informacje o doświadczeniu zawodowym, kwalifikacjach, uprawnieniach;
• dane pełnomocników – osoby umocowane do kontaktu z zamawiającym, z reguły z danymi służbowymi, ale bywa, że z danymi prywatnymi;
• dane podwykonawców – w szczególności w zamówieniach infrastrukturalnych i usługowych, gdzie przepisy wymagają ujawnienia podwykonawców i odpowiednich oświadczeń;
• dane osób powiązanych z zamawiającym – członkowie komisji przetargowej, biegli, eksperci, osoby uczestniczące w ocenie ofert czy w odbiorach częściowych;
• dane osób składających środki ochrony prawnej – pełnomocnicy przed KIO/sądem, dane w pismach procesowych i załącznikach.

W dokumentacji pojawiają się także dane szczegółowe (choć nie zawsze będą to szczególne kategorie danych w rozumieniu RODO) – np. informacje o karalności, o postępowaniach dyscyplinarnych, o sankcjach administracyjnych, jeśli wynikają z przesłanek wykluczenia. Dla tych danych wymagana jest szczególnie ostrożna obsługa i odpowiednie ograniczenie dostępu.

Relacja RODO – Prawo zamówień publicznych i zasada jawności

Prawo zamówień publicznych jako lex specialis w wielu obszarach określa, jakie informacje w postępowaniu są jawne, w jakim zakresie oferty i protokół udostępnia się innym wykonawcom oraz jakie dokumenty trafiają do akt sprawy. RODO nie uchyla tych regulacji, ale wymaga, aby jawność była realizowana w sposób, który nie wykracza poza to, co jest niezbędne i przewidziane prawem.

Z punktu widzenia zamawiającego kluczowe są trzy zasady:

• legalność – przetwarzanie danych musi wynikać z przepisów PZP lub innych aktów prawa (np. ustawy o finansach publicznych, przepisów archiwalnych),
• minimalizacja – nawet jeśli prawo wymaga ujawnienia określonych informacji, nie należy „przy okazji” ujawniać dodatkowych, zbędnych danych osobowych,
• rozliczalność – zamawiający musi być w stanie wykazać, że podjął racjonalne działania, aby połączyć wymogi PZP, jawności i RODO w spójny, bezpieczny model działania.

Zderzenie zasady jawności życia publicznego z ochroną danych osobowych w praktyce oznacza konieczność tworzenia procedur udostępniania dokumentów, które przewidują anonimizację lub ograniczenie zakresu ujawnianych danych przy wnioskach o dostęp do informacji i przy udostępnianiu ofert innym wykonawcom.

Mapa danych w postępowaniu – co, skąd, czyje, po co

Źródła danych osobowych w procesie udzielania zamówienia

Zamawiający, który chce mieć pod kontrolą zgodność z RODO, powinien potraktować postępowanie jak proces z jasno zidentyfikowanymi źródłami danych. Typowe kanały, przez które dane wpływają do zamawiającego, to:

• platforma zakupowa / platforma e-zamówień – miejsce składania ofert, wniosków, pytań, odpowiedzi; gromadzi zarówno dokumenty, jak i logi systemowe;
• korespondencja e-mail – pytania do SWZ/OPZ, wyjaśnienia, wezwania do uzupełnień, odpowiedzi wykonawców;
• poczta tradycyjna i osobiste składanie dokumentów – oferty, wnioski, pełnomocnictwa, dokumenty potwierdzające spełnianie warunków udziału;
• protokoły komisji przetargowej i notatki służbowe – zapisy z posiedzeń, przebieg oceny ofert, rekomendacje ekspertów;
• systemy finansowo-księgowe i ewidencyjne – dane przenoszone z dokumentacji przetargowej do systemów umów, płatności, rozliczeń.

Każde z tych źródeł generuje inne ryzyka oraz wymaga innego podejścia organizacyjnego (np. konfiguracja uprawnień na platformie, polityka retencji w poczcie e-mail, sposób archiwizacji protokołów papierowych).

Kategorie osób, których dane dotyczą

W dokumentacji postępowania występują różne kategorie osób fizycznych. Dobrze jest mieć je wprost zidentyfikowane w rejestrze czynności przetwarzania oraz w klauzuli informacyjnej. Kluczowe grupy to:

• przedstawiciele wykonawców – osoby uprawnione do składania oświadczeń woli, podpisujące oferty, komunikację i umowy;
• personel wykonawców i podwykonawców – wskazywany w ofertach jako osoby, którymi dysponuje wykonawca (np. projektanci, kierownicy robót, specjaliści branżowi);
• pracownicy zamawiającego – czleni komisji przetargowej, osoby zatwierdzające dokumenty, administratorzy platformy, IOD, osoby opiniujące;
• eksperci zewnętrzni – biegli, konsultanci, inżynier kontraktu, którzy mogą być wskazywani imiennie w protokołach i dokumentach pomocniczych;
• osoby składające środki ochrony prawnej – pełnomocnicy procesowi, osoby reprezentujące wykonawców przed KIO lub sądami;
• inne osoby fizyczne, które pojawiają się „przy okazji” – np. sygnatariusze referencji, osoby wymienione w dokumentach potwierdzających doświadczenie.

Dla każdej z tych kategorii warto zdefiniować, w jakim celu ich dane są przetwarzane, w oparciu o jaką podstawę prawną oraz jaki jest przewidywany okres przechowywania informacji o nich w dokumentacji przetargowej i pokontrolnej.

Fazy przetwarzania danych w cyklu życia postępowania

Dane osobowe w postępowaniu „przemieszczają się” pomiędzy fazami. Dobrym podejściem jest opisanie całego cyklu życia postępowania i przypisanie do każdej fazy osobnych czynności przetwarzania.

Przykładowy podział na fazy:

1. Planowanie zamówienia – dane z analiz potrzeb, konsultacji rynkowych, szacowania wartości zamówienia (dane kontaktowe potencjalnych wykonawców, ekspertów).
2. Przygotowanie dokumentacji – prace komisji, konsultacje wewnętrzne, uzgodnienia, wstępne listy potencjalnych wykonawców (jeśli wysyłane są zaproszenia).
3. Ogłoszenie i komunikacja wstępna – publikacja ogłoszenia, publikacja SWZ/OPZ, udzielanie wyjaśnień, odpowiedzi na pytania.
4. Składanie ofert/wniosków – przyjmowanie i rejestrowanie ofert, wniosków, oświadczeń (np. JEDZ, oświadczenia z art. 125 PZP).
5. Ocena ofert – badanie i ocena ofert, wezwania do uzupełnień, wyjaśnienia, komunikacja z wykonawcami, praca komisji.
6. Wybór oferty i zawarcie umowy – informowanie wykonawców o wynikach, publikacja informacji o wyborze oferty, przygotowanie i podpisanie umowy.
7. Środki ochrony prawnej – obsługa odwołań, sprzeciwów, skarg, przekazywanie akt do KIO lub sądu.
8. Realizacja umowy – przetwarzanie danych w związku z wykonaniem kontraktu (raporty, rozliczenia, zmiany umowy, kontrole).
9. Archiwizacja i retencja – przechowywanie dokumentacji przetargowej zgodnie z przepisami archiwalnymi i nadzorem organów kontrolnych.

Każdą z tych faz można opisać jako odrębną czynność w rejestrze czynności przetwarzania lub ująć je zbiorczo, ale z wyraźnym wskazaniem, jaki typ danych pojawia się na danym etapie.

Rejestr czynności przetwarzania – jak udokumentować mapę danych

Rejestr czynności przetwarzania (art. 30 RODO) jest idealnym miejscem na udokumentowanie „mapy danych” postępowania przetargowego. Dobrą praktyką jest stworzenie co najmniej jednej odrębnej pozycji rejestru dla obszaru udzielanie zamówień publicznych i prowadzenie postępowań zakupowych.

Taka pozycja rejestru powinna zawierać co najmniej:

• cele przetwarzania (np. prowadzenie postępowań o udzielenie zamówienia, udokumentowanie przebiegu postępowania, wykonanie obowiązków wynikających z PZP),
• kategorie osób, których dane dotyczą (jak wskazano powyżej),
• kategorie danych osobowych (dane identyfikacyjne, dane kontaktowe, dane dotyczące kwalifikacji, dane dotyczące karalności, jeśli mają zastosowanie),
• kategorie odbiorców danych (np. KIO, sądy, organy kontroli, inne jednostki sektora finansów publicznych, dostawcy systemów IT),
• przewidywane terminy usuwania danych (powiązane z kategoriami archiwalnymi),
• ogólny opis środków bezpieczeństwa (organizacyjnych i technicznych).

Tip: rejestr czynności przetwarzania można powiązać z praktyczną checklistą dla osób prowadzących postępowanie – tak, aby przy każdej nowej procedurze wiedziały, do jakiej pozycji rejestru się odnieść i jakie zasady obowiązują.

Podstawa prawna i zakres danych – jak nie zbierać „na zapas”

Typowe podstawy prawne przetwarzania danych w postępowaniach

W zamówieniach publicznych podstawą prawną przetwarzania danych osobowych rzadko bywa zgoda. Najczęściej stosowane są:

Podstawy z art. 6 RODO w praktyce zamawiającego

Na poziomie RODO, prowadzenie postępowań o udzielenie zamówienia zwykle opiera się na dwóch podstawach:

• art. 6 ust. 1 lit. c RODO – przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (np. obowiązki z PZP, ustawy o finansach publicznych, ustawy o dostępie do informacji publicznej, przepisów archiwalnych);
• art. 6 ust. 1 lit. e RODO – przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym (np. racjonalne wydatkowanie środków publicznych, zapewnienie uczciwej konkurencji).

Czasem obie podstawy działają równolegle. Przykład: prowadzenie dokumentacji postępowania i jej archiwizacja to z jednej strony obowiązek prawny (konkretne przepisy PZP i prawa archiwalnego), z drugiej – element szerszej misji publicznej (transparentne gospodarowanie środkami).

Zgoda (art. 6 ust. 1 lit. a RODO) może pojawić się pomocniczo, ale nie powinna „maskować” obowiązku ustawowego. Jeżeli zamawiający musi przetwarzać dane, zgoda nie jest właściwą podstawą – prowadzi do fikcji dobrowolności, a przy jej „wycofaniu” i tak nie można wstrzymać przetwarzania.

Dane szczególnych kategorii i dane o karalności

W standardowych postępowaniach zamawiający nie powinien zbierać danych szczególnych kategorii (art. 9 RODO) – takich jak informacje o zdrowiu, poglądach, przynależności związkowej. Jeżeli takie dane pojawią się „przy okazji” (np. w CV pracownika wykonawcy), powinny zostać zanonimizowane lub pominięte na etapie oceny, o ile nie są wymagane przepisami.

Osobną kategorią są dane dotyczące wyroków skazujących i naruszeń prawa (art. 10 RODO), np. informacje o niekaralności członków organów wykonawcy. W PZP pojawiają się przesłanki wykluczenia oparte na karalności – w takim przypadku podstawą przetwarzania jest:

• konkretny przepis PZP wskazujący na obowiązek weryfikacji danej przesłanki oraz
• art. 6 ust. 1 lit. c RODO w zw. z art. 10 RODO.

Uwaga: dane o karalności nie powinny być zbierane „z rozpędu” dla wszystkich członków personelu wykonawcy. Jeżeli PZP wymaga oświadczeń o niekaralności dotyczących określonej kategorii osób (np. członków organu zarządzającego), to na tym kręgu trzeba się zatrzymać.

Zakres danych a wymogi PZP i dokumenty wzorcowe

Źródłem „przegrzania” zakresu danych są często wzory dokumentów: SWZ, formularze ofertowe, oświadczenia, załączniki do umów. Ktoś kiedyś dopisał dodatkowe pola „na wszelki wypadek” – i tak zostaje przez lata.

Przy każdym polu w formularzu warto zadać sobie techniczne pytanie: czy PZP albo inny przepis wymaga, aby ta konkretna informacja znalazła się w dokumentacji? Jeżeli nie:

• pole usuń, albo
• oznacz je jako opcjonalne i ogranicz opis do minimum.

Przykład: do realizacji umowy wystarczy imię, nazwisko i służbowy e-mail kierownika projektu po stronie wykonawcy. Numer PESEL, prywatny adres zamieszkania czy prywatny numer telefonu nie są konieczne – nie ma przepisu, który nakazuje je zbierać na etapie przetargu.

Minimalizacja danych na etapie ofert i oświadczeń

Minimalizacja danych to jedna z zasad, które da się wdrożyć „mechanicznie”, przez odpowiedni projekt dokumentów. Kilka prostych zabiegów daje duży efekt:

• formułując wymagania dotyczące personelu, żądaj zakresu kwalifikacji i doświadczenia, a nie zbędnych danych identyfikujących (np. brak potrzeby podawania imion rodziców czy pełnych adresów zamieszkania);
• w CV osób wskazywanych w ofercie wskaż wprost, że zamawiający oczekuje wyłącznie danych zawodowych (doświadczenie, wykształcenie, uprawnienia) i nie wymaga danych osobistych ponad imię, nazwisko i dane kontaktowe;
• w formularzach oświadczeń ogranicz się do danych niezbędnych do jednoznacznej identyfikacji osoby (najczęściej: imię, nazwisko, funkcja/stanowisko, zakres umocowania).

Tip: dobrym krokiem jest przegląd wzorów dokumentów z udziałem IOD lub prawnika od ochrony danych – linia po linii, z pytaniem: „dlaczego to pole jest potrzebne?”.

Przetwarzanie danych kontaktowych wykonawców i ich personelu

Dane kontaktowe (e-mail, telefon) najczęściej są przetwarzane na podstawie art. 6 ust. 1 lit. c lub e RODO, bo bez realnego kontaktu nie da się skutecznie prowadzić postępowania. W praktyce:

• adresy e-mail osób kontaktowych wykonawcy powinny być – w miarę możliwości – służbowe (np. imię.nazwisko@firma.pl),
• prywatne dane kontaktowe (np. numer prywatnego telefonu) nie powinny pojawiać się we wzorach dokumentów jako element wymagany,
• jeżeli wykonawca mimo to poda prywatny numer, zamawiający nie ma obowiązku ani podstawy, by go rozpowszechniać innym uczestnikom postępowania.

W komunikatach publikowanych na stronie BIP lub w Biuletynie Zamówień Publicznych nie ma potrzeby prezentowania indywidualnych numerów telefonów lub adresów e-mail konkretnych osób – wystarczy adres ogólny wykonawcy, jeżeli prawo nie wymaga inaczej.

Klauzula informacyjna dla uczestników postępowania

Zakres minimalny informacji z art. 13 RODO

Klauzula informacyjna dla wykonawców i ich personelu powinna spełniać wymogi art. 13 RODO. W praktyce oznacza to, że musi zawierać m.in.:

• tożsamość i dane kontaktowe administratora (zamawiającego),
• dane kontaktowe inspektora ochrony danych (jeżeli został wyznaczony),
• cele przetwarzania danych oraz podstawy prawne (z wyszczególnieniem najważniejszych ustaw),
• kategorie odbiorców danych (np. organy kontroli, KIO, sądy, dostawcy systemów IT),
• informację o zamiarze przekazywania danych do państwa trzeciego (jeżeli dotyczy, np. przy korzystaniu z chmurowych narzędzi spoza EOG),
• okres przechowywania danych lub kryteria jego ustalania (np. kategorie archiwalne: B+5, B+10),
• informację o prawach osób, których dane dotyczą (dostęp, sprostowanie, ograniczenie, sprzeciw, skarga do PUODO),
• informację o obowiązku podania danych oraz o konsekwencjach ich niepodania (np. brak możliwości złożenia oferty),
• informację o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu – jeżeli ma miejsce (w większości zamówień nie występuje).

Jedna klauzula czy kilka? Segmentacja odbiorców

W postępowaniach często używa się jednej, zbiorczej klauzuli „dla wszystkich”. Rozwiązanie jest wygodne, ale mało czytelne. Przejrzystsze bywa podejście segmentowe – w ramach jednego dokumentu, lecz z wyróżnionymi blokami:

• część A – dla osób reprezentujących wykonawcę lub działających w jego imieniu,
• część B – dla personelu wykonawcy i podwykonawców wskazanego w ofercie,
• część C – dla osób składających środki ochrony prawnej i ich pełnomocników.

Dla każdej grupy można doprecyzować różnice w celach, podstawach przetwarzania i okresach przechowywania, nie powielając całej treści.

Forma i miejsce publikacji klauzuli

Sama treść klauzuli to połowa sukcesu. Druga połowa to sposób jej udostępnienia. Sprawdza się model „wielokanałowy”:

• stała wersja klauzuli opublikowana w BIP lub na stronie internetowej zamawiającego, w dziale „RODO”,
• odwołanie do tej klauzuli w SWZ/OPZ (np. link i krótka informacja, że dotyczy wszystkich osób fizycznych, których dane będą przetwarzane w postępowaniu),
• zintegrowanie odnośnika do klauzuli z platformą zakupową (np. obowiązkowe zapoznanie się z klauzulą przed złożeniem oferty),
• w razie komunikacji mailowej – automatyczna stopka z linkiem do właściwej klauzuli.

Uwaga techniczna: linki do klauzuli w dokumentacji postępowania powinny być możliwie „stabilne” (stały URL), aby nie trzeba było aktualizować SWZ przy każdej zmianie adresacji na stronie.

Język klauzuli – prosty, ale precyzyjny

RODO wymaga, aby informacje były podawane w sposób przejrzysty i zrozumiały. Nie chodzi jednak o publicystykę, tylko o precyzyjny opis mechanizmów. Dobry kompromis to:

• kratka informacyjna (krótkie podsumowanie w tabeli) + rozwinięcie w formie szczegółowej klauzuli,
• tłumaczenie pojęć technicznych w nawiasach, np. „administrator (podmiot decydujący o celach i sposobach przetwarzania danych)”,
• wyraźne rozróżnienie: co wynika z przepisów (obowiązek), a co jest „nadmiarową” usługą (np. newsletter zamawiającego – wtedy faktyczna zgoda).

Spójność klauzuli z rejestrem czynności

Klauzula informacyjna nie może żyć „własnym życiem” obok rejestru czynności przetwarzania. Te dwa dokumenty powinny się:

• odnosić do tych samych celów przetwarzania,
• opisywać zbliżone kategorie danych i odbiorców,
• przewidywać podobne okresy przechowywania.

Naturalna kolejność prac to: najpierw aktualizacja pozycji rejestru dla obszaru zamówień, potem aktualizacja wzoru klauzuli. Wtedy informacje podawane wykonawcom są rzeczywistym odzwierciedleniem praktyki, a nie „suchym szablonem”.

Dokumenty postępowania a ochrona danych – jak to spiąć „na papierze”

Polityka ochrony danych dla obszaru zamówień

W większych jednostkach warto wyodrębnić w ogólnej polityce bezpieczeństwa danych osobowych sekcję poświęconą postępowaniom o udzielenie zamówień. Taka sekcja może:

• wskazywać rolę i odpowiedzialność poszczególnych uczestników (przewodniczący komisji, sekretarz, członkowie komisji, IOD, administrator systemów IT),
• opisywać zasady nadawania, zmiany i odbierania uprawnień do platform zakupowych i repozytoriów dokumentów,
• określać minimalne wymagania dot. haseł, uwierzytelniania i szyfrowania korespondencji w kontekście zamówień,
• regulować sposób przekazywania dokumentów między jednostkami organizacyjnymi (np. między działem zamówień a działem inwestycji lub księgowością).

Takie „osadzenie” obszaru zamówień w polityce bezpieczeństwa pomaga później przy wykazywaniu rozliczalności wobec organów kontrolnych.

Instrukcje i procedury dla komisji przetargowej

Oprócz dokumentów „wysokiego poziomu” przydatne są krótkie, operacyjne instrukcje, np.:

• instrukcja pracy komisji przetargowej z danymi osobowymi (co wolno kopiować, czego nie, jak oznaczać dokumenty, z kim można się dzielić treścią ofert),
• procedura obsługi nośników danych (pendrive’y, płyty CD/DVD, dyski zewnętrzne) przekazywanych przez wykonawców – w jaki sposób je skanować, gdzie podłączać, jak przechowywać,
• procedura udostępniania dokumentacji innym wykonawcom i osobom trzecim (w tym wzory protokołów anonimizacji).

Uwaga: procedury powinny być zintegrowane z PZP – tzn. odwoływać się do konkretnych etapów postępowania (otwarcie ofert, badanie, ocena, zawarcie umowy, środki ochrony prawnej), a nie funkcjonować w całkowitym oderwaniu od praktyki przetargowej.

Szablony dokumentów „z wbudowanym” RODO

Najbardziej efektywne jest takie zaprojektowanie szablonów, aby wymuszały zgodne z RODO zachowania. Kilka przykładów:

• wzór SWZ zawierający odrębny rozdział „Ochrona danych osobowych” z odesłaniem do klauzuli informacyjnej i krótkim opisem zasad,
• formularz oferty, w którym dane osób są wskazywane w wydzielonej tabeli z jasno opisanym zakresem – bez nadmiarowych pól,
• wzór protokołu z postępowania zawierający rubryki dot. zastosowanych środków ochrony danych (np. opis sposobu udostępnienia ofert innym wykonawcom, informacja o przeprowadzonej anonimizacji).

Takie „wbudowanie” RODO w dokumenty minimalizuje ryzyko, że ktoś z personelu pominie kluczowy krok tylko dlatego, że nie pamiętał o abstrakcyjnej zasadzie.

Umowy z wykonawcami jako odrębny etap przetwarzania

Rozdzielenie ról: administrator, współadministrator, procesor

Podpisanie umowy z wykonawcą zwykle oznacza wejście w nowy etap przetwarzania danych. Pierwsza decyzja organizacyjna: w jakiej roli występuje wykonawca w rozumieniu RODO. Kluczowe są trzy scenariusze:

• wykonawca jako niezależny administrator – typowo przy świadczeniu usług profesjonalnych (np. kancelaria prawna, biegły, lekarz medycyny pracy), gdzie wykonawca samodzielnie decyduje o sposobach przetwarzania danych i ma własne cele (archiwizacja, rozliczenia, ochrona przed roszczeniami),
• wykonawca jako procesor (podmiot przetwarzający) – dotyczy usług stricte „na zlecenie” zamawiającego (np. obsługa platformy zakupowej, utrzymanie systemu IT, archiwizacja dokumentów, call center),
• współadministratorzy – raczej wyjątek, np. wspólny system zamówień kilku jednostek, gdzie wspólnie ustala się zasady i cele przetwarzania.

Rozstrzygnięcie roli powinno nastąpić jeszcze przed publikacją SWZ, bo sposób uregulowania RODO w umowie zależy od przyjętej kwalifikacji. Dobre praktyki to krótka analiza ryzyka oraz pisemna notatka IOD albo komórki prawnej, dlaczego przyjęto konkretny model (przydaje się przy kontrolach).

Elementy umowy powierzenia przy usługach „na zlecenie”

Jeżeli wykonawca jest procesorem, obowiązkowe jest zawarcie umowy powierzenia (art. 28 RODO). Nie musi to być odrębny dokument – często wystarczy rozdział w umowie głównej. Minimalny, ale praktyczny zestaw elementów:

• opis przedmiotu i charakteru przetwarzania – wprost: jakie dane, jakiej kategorii osób, w jakim systemie, w jakim trybie (online, offline, backupy),
• cel przetwarzania – ściśle powiązany z umową główną (np. „zapewnienie utrzymania i rozwoju systemu e-zamówień zamawiającego”),
• kategorie danych i osób – nie ogólnikowe „dane kontrahentów”, tylko np. „dane identyfikacyjne, kontaktowe oraz zawodowe osób reprezentujących wykonawców, personelu oddelegowanego do realizacji zamówienia oraz członków komisji przetargowych”,
• czas trwania przetwarzania – powiązany z okresem obowiązywania umowy + czas niezbędny na rozliczenie i archiwizację kopii technicznych,
• środki bezpieczeństwa – albo opisane wprost, albo przez odesłanie do załącznika techniczno-organizacyjnego; ważne jest wskazanie minimalnych standardów (szyfrowanie, kopie zapasowe, kontrola dostępu, logowanie operacji),
• zasady dalszego powierzenia (subprocesorzy) – wymóg zgody zamawiającego, katalog dozwolonych podwykonawców, tryb zgłaszania zmian,
• wsparcie zamawiającego w realizacji praw osób, obsłudze incydentów i DPIA (ocena skutków dla ochrony danych),
• postępowanie z danymi po zakończeniu umowy – zwrot, usunięcie, pseudonimizacja, forma potwierdzenia wykonania tych czynności.

Tip: załącznik techniczny dobrze jest ułożyć w formie tabeli (obszar – wymaganie – realizacja po stronie wykonawcy), co ułatwia późniejsze audyty i aktualizacje.

Postanowienia RODO w umowach „klasycznych” (wykonawca jako administrator)

Gdy wykonawca pozostaje odrębnym administratorem, nie podpisuje się umowy powierzenia, ale dokumentacja i tak powinna odzwierciedlać przepływ danych. W praktyce wprowadza się do umowy m.in.:

• klauzulę, że każda ze stron działa jako samodzielny administrator danych w zakresie, w jakim decyduje o celach i sposobach ich przetwarzania,
• zasadę wzajemnego informowania się o incydentach bezpieczeństwa mających wpływ na dane otrzymane od drugiej strony,
• wymóg przetwarzania danych przekazywanych przez zamawiającego wyłącznie w celu realizacji umowy oraz zgodnie z przepisami prawa,
• ograniczenie wykorzystywania danych osobowych przekazanych przez zamawiającego do własnych celów marketingowych wykonawcy,
• obowiązek zachowania poufności przez personel i podwykonawców wykonawcy także po zakończeniu umowy.

Takie postanowienia nie zastępują pełnej dokumentacji RODO po stronie wykonawcy, ale wyznaczają granice legalnego używania danych pochodzących z zamówienia.

Załączniki RODO do umów – co ułatwia życie

Rozsądnym kompromisem pomiędzy „przegadanymi” paragrafami a praktyką jest wprowadzenie standaryzowanych załączników. Sprawdzają się zwłaszcza:

• załącznik – opis przetwarzania (mapa danych na etapie realizacji umowy: źródła danych, kategorie osób, systemy, przepływy do państw trzecich),
• załącznik – środki techniczne i organizacyjne (z aktualizacją przez protokół rozbieżności, bez potrzeby aneksowania całej umowy),
• załącznik – wykaz podwykonawców przetwarzających dane wraz z zakresem powierzonych im czynności,
• załącznik – procedura zgłaszania incydentów z określeniem sposobu i czasu reakcji (np. obowiązek zgłoszenia zdarzenia zamawiającemu niezwłocznie, nie później niż w 24 godziny od wykrycia).

Takie materiały można standaryzować w jednostce, tak aby każdy nowy kontrakt „podpinał się” pod ten sam schemat – poprawia to spójność i skraca czas negocjacji.

Monitoring realizacji umów – audyty i testy

Dokumentacja RODO w umowie nie wystarczy, jeśli zamawiający nie weryfikuje faktycznej realizacji przyjętych środków. W dokumentach przetargowych i umowie można przewidzieć:

• prawo do przeprowadzenia audytu lub inspekcji (także zdalnej, np. przegląd logów, polityk, raportów z testów bezpieczeństwa),
• obowiązek okresowego raportowania (krótkie raporty z incydentów, zmian w infrastrukturze mającej wpływ na dane),
• procedurę testów odbiorczych systemów IT pod kątem bezpieczeństwa i minimalizacji danych (np. testy logowania, uprawnień, anonimizacji raportów).

Uwaga: zapisy o audytach powinny być realistyczne – wskazany jest rozsądny termin uprzedzenia, zasady zachowania poufności i zakres kontroli, żeby wykonawcy nie traktowali ich jako „białego szumu”, z góry nierealnego do wykonania.

Jawność postępowania vs RODO – udostępnianie dokumentacji

Jawność z PZP jako podstawa prawna udostępniania

Zasada jawności postępowania o udzielenie zamówienia publicznego wynika bezpośrednio z PZP i stanowi odrębną podstawę prawną przetwarzania danych (art. 6 ust. 1 lit. c RODO – obowiązek prawny). Nie ma więc potrzeby sięgania po zgody wykonawców, aby przekazać oferty innym uczestnikom lub udostępnić protokół postępowania.

Istotne jest natomiast, że obowiązek jawności nie jest absolutny – do gry wchodzą tajemnica przedsiębiorstwa, dane szczególnej kategorii (art. 9 RODO) oraz dane nieistotne z perspektywy przebiegu postępowania. To obszar, w którym zamawiający najczęściej musi stosować selekcję i techniki anonimizacji.

Zakres jawności – co z definicji „idzie w świat”

Część danych jest z mocy prawa publiczna. Dotyczy to w szczególności:

• informacji zawartych w ogłoszeniach o zamówieniu i ogłoszeniach o wyniku postępowania,
• informacji ujawnianych w trakcie otwarcia ofert (cena, termin wykonania, okres gwarancji, o ile są kryteriami),
• protokołu postępowania i załączników – w granicach wyznaczonych przez przepisy o tajemnicy przedsiębiorstwa i danych wrażliwych,
• treści umowy w sprawie zamówienia publicznego wraz z załącznikami – co do zasady, bo wyjątki są wąskie.

Z punktu widzenia RODO oznacza to, że część danych osobowych jest przeznaczona do publicznego ujawnienia, ale jedynie w takim zakresie, w jakim jest to niezbędne dla transparentności zamówienia (np. imię i nazwisko osoby podpisującej umowę w imieniu wykonawcy, dane pełnomocników).

Tajemnica przedsiębiorstwa a dane osobowe

Wykonawcy często zastrzegają dużą część ofert jako tajemnicę przedsiębiorstwa. Zadaniem zamawiającego jest weryfikacja, czy dane fragmenty rzeczywiście spełniają przesłanki ustawowe, a nie „ukrywają” informacji, które powinny być jawne. Z perspektywy danych osobowych istotne są dwie sytuacje:

• dane personelu jako element know-how – np. wykaz kluczowych specjalistów z doświadczeniem; zwykle nie będzie to tajemnica przedsiębiorstwa, chyba że ujawnienie połączone z innymi informacjami tworzy rzeczywiste ryzyko dla interesów wykonawcy,
• dane kontaktowe, struktura organizacyjna, model rozliczeń – mogą stanowić element tajemnicy, ale każdorazowo wymagają uzasadnienia i wykazania, że nie są publicznie dostępne.

Samo zastrzeżenie „RODO” lub „zawiera dane osobowe” nie jest wystarczające, by ograniczyć dostęp do dokumentu. RODO nie tworzy nowej kategorii informacji niejawnych; nakazuje jedynie, aby przy udostępnianiu zadbać o odpowiedni zakres i formę.

Anonimizacja i pseudonimizacja dokumentacji

Przy udostępnianiu dokumentacji, szczególnie osobom trzecim, przydaje się ustrukturyzowane podejście do anonimizacji. W praktyce stosuje się:

• anonimizację pełną – usunięcie danych osobowych w całości, gdy nie są niezbędne dla zrozumienia treści (np. numery PESEL, prywatne adresy zamieszkania w oświadczeniach),
• anonimizację częściową – pozostawienie inicjałów albo funkcji, gdy to wystarczy do odczytania kontekstu (np. „Kierownik budowy – Jan K.” zamiast pełnych danych),
• pseudonimizację techniczną – w systemach informatycznych, gdzie identyfikator osoby zastępuje się losowym ciągiem znaków, a klucz jest przechowywany oddzielnie.

Dobrą praktyką jest stosowanie szablonów anonimizacji (checklist, które pola usuwać lub maskować w określonych typach dokumentów: oferty, protokoły, korespondencja). Zmniejsza to uznaniowość decyzji i przyspiesza pracę przy licznych wnioskach o dostęp.

Udostępnianie dokumentacji innym wykonawcom

Inni wykonawcy mają prawo wglądu w dokumentację postępowania, aby skutecznie korzystać ze środków ochrony prawnej. Równocześnie nie ma podstaw, aby przekazywać im dane wykraczające poza to, co jest potrzebne do weryfikacji oceny ofert. W praktyce:

• na wniosek udostępnia się treść ofert konkurentów, ale po uprzednim usunięciu danych szczególnie wrażliwych i zanonimizowaniu danych „nadmiarowych” (np. prywatnych numerów telefonów pracowników),
• udostępnienie może nastąpić w formie elektronicznej (skany, pliki PDF z trwałym zaczernieniem informacji),
• zastosowane techniki anonimizacji warto krótko opisać w protokole: jakie pola usunięto, na jakiej podstawie prawnej, przez kogo podjęto decyzję.

Coraz częściej zamawiający wykorzystują dedykowane narzędzia programowe do trwałego maskowania danych w plikach PDF/Word. Unika się w ten sposób „pozornej” anonimizacji, gdzie dane z zaczernionych fragmentów da się odczytać po skopiowaniu tekstu.

Udostępnianie dokumentacji osobom trzecim (ngo, media, obywatele)

Poza wykonawcami o dokumentację często wnioskują organizacje społeczne, media lub osoby prywatne, korzystając z przepisów o dostępie do informacji publicznej. Zamawiający musi wtedy pogodzić:

• prawo do informacji publicznej,
• ochronę danych osobowych,
• ochronę tajemnicy przedsiębiorstwa.

Praktyczny model działania:

1. Identyfikacja, które elementy dokumentacji stanowią informację publiczną (co dotyczy gospodarowania środkami publicznymi, przebiegu postępowania, treści zawartej umowy).
2. Wytypowanie danych osobowych niezbędnych do zrozumienia sprawy (np. dane osób pełniących funkcje publiczne, podpisujących umowę).
3. Anonimizacja pozostałych danych, w tym danych osób szeregowych pracowników wykonawcy, które nie mają kluczowego znaczenia dla przebiegu postępowania.
4. Weryfikacja, czy w dokumentach znajdują się informacje, które wykonawca skutecznie zastrzegł jako tajemnicę przedsiębiorstwa.

Uwaga: odmowa udostępnienia dokumentów wyłącznie z powołaniem na RODO, bez analizy ustaw o dostępie do informacji publicznej i PZP, jest słabym punktem w razie sporu sądowego lub kontroli.

Archiwizacja i przechowywanie dokumentacji postępowania

Najczęściej zadawane pytania (FAQ)

Jaką rolę pełni zamawiający w RODO – administrator, współadministrator czy procesor?

Zamawiający w klasycznym postępowaniu o udzielenie zamówienia jest administratorem danych (ADO). To on decyduje, po co i w jaki sposób przetwarza dane osobowe w toku postępowania – oczywiście w granicach wyznaczonych przez Prawo zamówień publicznych i inne przepisy szczególne.

Współadministracja pojawia się incydentalnie, np. przy wspólnych postępowaniach kilku zamawiających lub przy zamówieniach centralnych. Wtedy trzeba spisać porozumienie, które precyzuje podział obowiązków (klauzule informacyjne, obsługa wniosków osób, kontakt z organem nadzorczym). Jeżeli zamawiający tylko zleca techniczną obsługę danych podmiotowi trzeciemu (np. dostawcy platformy e-zamówień), pozostaje administratorem, a kontrahent jest procesorem (podmiotem przetwarzającym) i wymaga umowy powierzenia z art. 28 RODO.

Jakie dane osobowe są typowo przetwarzane w dokumentacji przetargowej?

W dokumentacji postępowania przewijają się przede wszystkim dane osób działających po stronie wykonawcy i zamawiającego. Najczęściej są to: imię i nazwisko, stanowisko, dane identyfikacyjne z KRS/CEIDG lub pełnomocnictw, służbowe numery telefonów i adresy e‑mail, dane dotyczące kwalifikacji i doświadczenia personelu kluczowego oraz dane pełnomocników procesowych.

Pojawia się także warstwa bardziej wrażliwych informacji, np. dane o karalności lub sankcjach administracyjnych związanych z przesłankami wykluczenia. Te dane trzeba szczególnie „pilnować”: ograniczyć do nich dostęp, dokładnie ewidencjonować, komu są udostępniane, oraz skrupulatnie stosować zasadę minimalizacji.

Na jakiej podstawie prawnej zamawiający przetwarza dane osobowe w postępowaniu?

Podstawą prawną przetwarzania danych przez zamawiającego jest przede wszystkim art. 6 ust. 1 lit. c RODO (obowiązek prawny) w związku z PZP, ustawą o finansach publicznych, przepisami archiwalnymi lub innymi regulacjami sektorowymi. Dodatkowo wchodzi w grę art. 6 ust. 1 lit. e RODO (zadanie realizowane w interesie publicznym), np. przy realizacji zasady jawności.

Uwaga: zgoda osoby, której dane dotyczą, w postępowaniach przetargowych z reguły nie jest właściwą podstawą – zamawiający i tak ma obowiązek przetwarzać określony zakres danych wynikający z przepisów. Kluczowe jest natomiast czytelne udokumentowanie podstawy w rejestrze czynności przetwarzania oraz w klauzuli informacyjnej kierowanej do osób, których dane dotyczą.

Jak pogodzić RODO z zasadą jawności i dostępem do ofert innych wykonawców?

Punktem wyjścia jest to, że przepisy PZP jako lex specialis określają, co jest jawne, a co podlega ograniczeniu. RODO tego nie kasuje, tylko wymusza, by jawność nie „rozlewała się” szerzej niż wymaga tego prawo. Oznacza to m.in. konieczność stosowania zasady minimalizacji – udostępniamy to, co wynika z PZP, nie dokładamy zbędnych danych osobowych.

W praktyce dobrze działa procedura udostępniania dokumentów, która przewiduje: anonimizację lub pseudonimizację zbędnych danych (np. prywatnych adresów e‑mail, numerów prywatnych telefonów), wydzielenie danych szczególnie chronionych (np. o karalności) oraz kontrolę, kto i w jakim trybie otrzymał kopię dokumentów. Tip: warto mieć gotowe „szablony” anonimizacji dla typowych żądań dostępu do ofert.

Czy zamawiający musi zawierać umowę powierzenia z dostawcą platformy e‑zamówień?

Tak, jeżeli dostawca platformy ma dostęp do danych osobowych przetwarzanych w postępowaniu (a praktycznie zawsze ma przynajmniej potencjalny dostęp – np. jako administrator systemu, serwisant, dostawca hostingu), to pełni rolę podmiotu przetwarzającego. Wtedy nie wystarcza sama umowa wdrożeniowa czy serwisowa – konieczna jest umowa powierzenia zgodna z art. 28 RODO.

Taka umowa powinna regulować m.in.: zakres i cele przetwarzania, kategorie danych, środki techniczne i organizacyjne, zasady korzystania z podwykonawców IT, sposób realizacji praw osób, tryb postępowania przy naruszeniach. Informacja o powierzeniu powinna być również odzwierciedlona w dokumentacji postępowania, np. w klauzuli informacyjnej i w rejestrze czynności przetwarzania.

Jakie obowiązki dokumentacyjne ma zamawiający w kontekście RODO w postępowaniu?

Po stronie zamawiającego pojawia się kilka stałych elementów „dokumentacyjnego szkieletu”: rejestr czynności przetwarzania obejmujący proces udzielania zamówienia, klauzule informacyjne dla poszczególnych kategorii osób (przedstawiciele wykonawców, personel wykonawców, członkowie komisji itp.), umowy powierzenia z procesorami oraz procedury udostępniania dokumentacji i obsługi naruszeń.

Do tego dochodzi praktyczna warstwa: protokoły komisji, notatki służbowe z przebiegu postępowania, dokumentowanie decyzji o zakresie anonimizacji przy udostępnianiu dokumentów, a także odnotowywanie, komu i kiedy przekazano dane (np. KIO, sądowi, organowi nadzorczemu). Takie „ślady” pozwalają wykazać zasadę rozliczalności, gdy pojawi się kontrola lub skarga.

Jak długo zamawiający może przechowywać dane osobowe z postępowania o udzielenie zamówienia?

Czas przechowywania danych nie wynika bezpośrednio z RODO, tylko z przepisów sektorowych: PZP, regulacji archiwalnych (JRWA, kategorie archiwalne), ustawy o finansach publicznych czy przepisów dotyczących odpowiedzialności za naruszenie dyscypliny finansów publicznych. Dane osobowe przechowuje się tak długo, jak wymagają tego te regulacje – np. przez okres niezbędny do kontroli, audytów i dochodzenia roszczeń.

Na poziomie RODO zamawiający powinien jasno opisać okres przechowywania (lub kryteria jego ustalania) w klauzulach informacyjnych oraz rzeczywiście stosować politykę retencji – po upływie okresu przechowywania dane usuwać albo anonimizować. Przykład: dokumentacja przetargowa oznaczona kategorią archiwalną B10 będzie zawierała dane osobowe przez 10 lat, a następnie powinna zostać brakowana zgodnie z procedurą archiwalną.