Sprawdź, jak zrealizować obowiązek informacyjny, udzielając zamówienia publicznego

Administrator musi spełnić obowiązek informacyjny w zależności jakie dane i od kogo pozyskuje. Są to w szczególności dane osobowe: wykonawcy będącego osobą fizyczną (w tym prowadzącego działalność gospodarczą), pełnomocnika wykonawcy będącego osobą fizyczną, innych osób które, zostały wskazane w ofercie/wniosku o dopuszczenie do udziału w przetargu, których dane osobowe wykonawca przedkłada celem wykazania spełniania warunków udziału w tym przetargu.

W pierwszej kolejności zamawiający będący ADO powinien ustalić, który z obowiązków informacyjnych określonych w RODO (z art. 13 czy z art. 14) musi spełnić wobec podmiotów danych. Jeżeli obowiązek ma być zrealizowany względem wykonawcy będącego osobą fizyczną lub wykonawcy prowadzącego działalność gospodarczą, wówczas należy zastosować art. 13 RODO. Zamawiający może wówczas zawrzeć klauzulę informacyjną w ogłoszeniu o zamówieniu lub w specyfikacji istotnych warunków zamówienia - dotyczy w szczególności przetargu nieograniczonego.

W pozostałych trybach, w których realizacja przetargu nie jest wszczynana w drodze ogłoszenia o zamówieniu lub brak jest SIWZ, klauzula informacyjna z art. 13 RODO musi być przekazywana bezpośrednio osobie, której dane dotyczą, podczas pozyskiwania danych osobowych, np. podczas pierwszego kontaktu z potencjalnym wykonawcą.

Jeśli natomiast dane osobowe nie są pozyskiwane bezpośrednio od podmiotów danych np. dane osób kierowanych do realizacji zamówienia lub osób fizycznych prowadzących działalność gospodarczą, wskazanych jako podwykonawców, wówczas ADO musi przekazać im informacje zawarte w art. 14 RODO.RODO nie zawiera zakazu realizowania obowiązków informacyjnych przez podmiot trzeci na rzecz administratora danych. Dlatego gdy zamawiający nie ma możliwości osobiście przekazać informacji zawartych w art. 14 RODO może zobowiązać w takiej sytuacji potencjalnego wykonawcę do zrealizowania w jego imieniu obowiązku informacyjnego wobec osób fizycznych, których dane wykonawca pozyskuje i zamierza przekazać zamawiającemu. Zwykle bowiem to wykonawca bezpośrednio pozyskuje dane od tych osób fizycznych (np. podwykonawców) i w szczególnych, wymaganych prawem sytuacjach, przekazuje je następnie zamawiającemu. To wykonawca decyduje, jak wiele osób zaangażuje przy realizacji określonej inwestycji, a właśnie od tego zależy, ilu z nich objętych będzie obowiązkiem informacyjnym. Rozwiązanie takie pozwala przestrzegać zasady minimalizacji danych, zgodnie z którą dane powinny być adekwatne do celów, w których są przetwarzane, wymaganie przez zamawiającego spełnienia obowiązku informacyjnego przez potencjalnego wykonawcę w jego imieniu, wydaje się prawnie uzasadnione. Z przestrzeganiem tej reguły trudności miałby natomiast sam zamawiający, który musiałby on gromadzić kolejne informacje (dane osobowe) np. adresy osób fizycznych, co do których nie byłoby pewności, czy będą brać udział w realizacji zamówienia.

Jak wyegzekwować spełnienie obowiązku informacyjnego przez wykonawcę w imieniu zamawiającego? Dobrym rozwiązaniem jest wprowadzenie takiego wymogu do SIWZ względem osób, których dane wykonawca będzie dostarczał na etapie zamówienia lub zawarcia umowy, zwłaszcza w przetargu nieograniczonym. Pozwoli to na sprawną realizację obowiązku informacyjnego w trybie art. 14 RODO.

Potwierdzeniem zrealizowania obowiązku informacyjnego przez potencjalnego wykonawcę w imieniu administratora może być dostarczone oświadczenie o zrealizowaniu wymogu lub dostarczenie stosownych oświadczeń o zapoznaniu się z obowiązkiem informacyjnym przez osoby, których dane dotyczą.