Sprawdź, jak zrealizować obowiązek informacyjny w związku z zamówieniem publicznym

Zgodnie z art. 13 ust. 1 RODO w momencie, gdy dane osobowe są pozyskiwane bezpośrednio od osoby fizycznej, należy spełnić wobec niej obowiązek informacyjny, czyli podać jej informacje wskazane w art. 13 ust. 1 i ust. 2 RODO. Obowiązku tego trzeba dopełnić w momencie pozyskania danych, czyli wtedy gdy zbiera się od osoby fizycznej jej dane. Jeżeli w postępowaniu o zamówienie publiczne swoją ofertę składa osoba fizyczna i tym samym przekazuje swoje dane osobowe, to należy wobec niej wypełnić obowiązek informacyjny w momencie pozyskania jej danych.

Należy pamiętać, że obowiązek informacyjny spełnia się tylko wobec osoby fizycznej, a nie osoby prawnej. Świadczy o tym motyw 14 preambuły RODO, który stanowi, że "Ochrona zapewniana niniejszym rozporządzeniem powinna mieć zastosowanie do osób fizycznych – niezależnie od ich obywatelstwa czy miejsca zamieszkania – w związku z przetwarzaniem ich danych osobowych. Niniejsze rozporządzenie nie dotyczy przetwarzania danych osobowych dotyczących osób prawnych, w szczególności przedsiębiorstw będących osobami prawnymi, w tym danych o firmie i formie prawnej oraz danych kontaktowych osoby prawnej". Za osoby fizyczne są uznawani także przedsiębiorcy prowadzący jednoosobową działalność gospodarczą. Należy więc ustalić, jaki podmiot składa swoją ofertę w postępowaniu, jeżeli jest to osoba fizyczna, obowiązek informacyjny trzeba spełnić, a jeśli osoba prawna, to takiego obowiązku nie ma.

W ramach postępowania zamawiający może pozyskać także dane innych osób fizycznych niż wykonawca. Mogą być to np. dane osób kontaktowych lub pełnomocników. Wobec nich bez wątpienia należy spełnić obowiązek informacyjny. Wynika on z art. 14 RODO, gdyż dane nie są pozyskiwane bezpośrednio od tych osób. Obowiązku tego nie trzeba spełniać jednak w momencie pozyskania tych danych. To, kiedy ten obowiązek trzeba wypełnić zależy od celu, w jakim dane zostały pozyskane. Mówi o tym art. 14 ust. 3 RODO. Zgodnie z nim informacji należy udzielić:

• w rozsądnym terminie po pozyskaniu danych osobowych – najpóźniej w ciągu miesiąca – mając na uwadze konkretne okoliczności przetwarzania danych osobowych;
• jeżeli dane osobowe mają być stosowane do komunikacji z osobą, której dane dotyczą – najpóźniej przy pierwszej takiej komunikacji z osobą, której dane dotyczą; lub
• jeżeli planuje się ujawnić dane osobowe innemu odbiorcy – najpóźniej przy ich pierwszym ujawnieniu.

Jeżeli w ramach realizacji zamówienie publicznego dojdzie do powierzenia przetwarzania danych osobowych wykonawcy, to stanie się on podmiotem przetwarzającym i będzie musiał spełniać warunki wymienione w art. 28 RODO. Stanowi on m.in., że podmiot przetwarzający musi zapewnić wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi RODO i chroniło prawa osób, których dane dotyczą. Oznacza to, że podmiot przetwarzający musi np. spełnić obowiązek informacyjny jeśli on go dotyczy.