RODO oferty krok po kroku w postępowaniu w praktyce prawnej

Przetwarzanie danych osobowych w procesie składania ofert – zar3wno w sektorze zam3wień publicznych, jak i w obrocie komercyjnym (B2B) – stanowi jedno z najbardziej skomplikowanych zagadnień na styku prawa ochrony danych osobowych oraz prawa gospodarczego. Oferty handlowe i przetargowe bardzo często zawierają bogaty katalog danych osobowych: od podstawowych informacji kontaktowych, przez szczeg3łowe Źyciorysy zawodowe (CV) ekspert3w, aŹ po dokumenty potwierdzające uprawnienia, certyfikaty czy podpisy elektroniczne os3b reprezentujących mocodawc3w. Włařciwe ustrukturyzowanie tego procesu pod kątem RODO jest niezbędne, aby uniknąć kar finansowych ze strony organu nadzorczego oraz zarzut3w o naruszenie d3br osobistych czy zasad uczciwej konkurencji.

1. Teza publikacji: Dane osobowe jako integralna częřć oferty

Gł3wną tezą niniejszego opracowania jest stwierdzenie, Źe kaŹda oferta handlowa lub przetargowa zawierająca dane osobowe musi być traktowana jako proces przetwarzania danych podlegający pełnemu reŹimowi RODO. Bezpieczeřstwo tych danych zaleŹy od precyzyjnego podziału r3l pomiędzy podmiotami uczestniczącymi w postępowaniu, wdroŹenia odpowiednich podstaw prawnych oraz rzetelnego spełnienia obowiązk3w informacyjnych. Brak systemowego podejřcia do ochrony danych na etapie ofertowania naraŹa zar3wno oferent3w, jak i podmioty organizujące postępowanie na powaŹne ryzyka prawne i finansowe.

2. Na czym polega problem w praktyce prawnej?

Kluczowym problemem w praktyce prawnej jest zderzenie dw3ch wartořci: zasady jawnořci postępowań (szczeg3lnie widocznej w prawie zam3wień publicznych) oraz prawa do ochrony prywatnořci i danych osobowych os3b fizycznych. Oferenci, chcąc wykazać swoje dořwiadczenie i potencjał kadrowy, dołączają do ofert szczeg3łowe dane swoich pracownik3w, podwykonawc3w czy partner3w biznesowych. Z kolei podmioty organizujące postępowanie (zamawiający) stają przed dylematem, w jaki spos3b udostępniać dokumentację przetargową innym uczestnikom rynku, nie naruszając przy tym przepis3w RODO. Dodatkowym wyzwaniem jest brak bezpořredniej relacji między zamawiającym a osobami, kt3rych dane znajdują się w ofercie, co komplikuje realizację obowiązk3w informacyjnych.

3. Kogo dotyczy procedura RODO w ofertach?

Procedura ta dotyczy szerokiego kręgu podmiotąw zaangaŹowanych bezpořrednio lub pořrednio w proces ofertowania. MoŹemy wyr3Źnić trzy gł3wne grupy:

• Organizatorzy postępowań (Zamawiający / Administratorzy) – podmioty, kt3re zbierają oferty, oceniają je i podejmują decyzję o wyborze kontrahenta. To na nich spoczywa gł3wny cięŹar zapewnienia zgodnořci całego procesu z prawem.
• Oferenci (Wykonawcy) – przedsiębiorcy składający oferty, kt3rzy pozyskują dane od swoich pracownik3w lub wsp3łpracownik3w i przekazują je organizatorowi.
• Osoby, kt3rych dane dotyczą – członkowie personelu kluczowego, reprezentanci prawni, osoby kontaktowe oraz referencyjne, kt3rych dane osobowe zostały ujęte w dokumentacji ofertowej.

4. Podstawa prawna przetwarzania danych w ofertach

Legalnořć przetwarzania danych osobowych w procesie ofertowania opiera się na kilku kluczowych podstawach prawnych okreřlonych w art. 6 ust. 1 RODO:

1. Art. 6 ust. 1 lit. b RODO – przetwarzanie jest niezbędne do podjęcia działań na Źądanie osoby, kt3rej dane dotyczą, przed zawarciem umowy. Ta podstawa ma zastosowanie gł3wnie do danych samego oferenta (jeřli jest osobą fizyczną prowadzącą działalnořć) lub os3b, kt3re bezpořrednio dąŹą do zawarcia umowy.
2. Art. 6 ust. 1 lit. c RODO – dopełnienie obowiązku prawnego ciąŹącego na administratorze. Dotyczy to przede wszystkim postępowań prowadzonych na podstawie Prawa zam3wień publicznych (PZP), gdzie przepisy ustawy nakładają na zamawiającego konkretne obowiązki związane z dokumentowaniem i jawnořcią postępowania.
3. Art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes administratora lub strony trzeciej. Jest to kluczowa podstawa dla przetwarzania danych os3b kontaktowych, reprezentant3w os3b prawnych oraz personelu dedykowanego do realizacji zam3wienia. Prawnie uzasadnionym interesem oferenta jest chęć wygrania przetargu i wykazania potencjału, natomiast interesem zamawiającego – weryfikacja rzetelnořci oferty.

5. Obowiązki administratora krok po kroku

Aby proces ofertowania przebiegał zgodnie z przepisami o ochronie danych osobowych, administratorzy muszą wdroŹyć ustrukturyzowaną procedurę postępowania.

Krok 1: Minimalizacja danych w ofercie

Przed sporządzeniem oferty wykonawca powinien dokładnie przeanalizować, jakie dane są rzeczywiřcie niezbędne do wykazania spełniania warunk3w udziału w postępowaniu. Zgodnie z zasadą minimalizacji (art. 5 ust. 1 lit. c RODO), nie naleŹy przekazywać danych nadmiarowych. Przykładowo, jeřli organizator wymaga wykazania okreřlonego dořwiadczenia zawodowego eksperta, wystarczy podać przebieg jego kariery i posiadane certyfikaty, bez koniecznořci ujawniania jego dokładnego adresu zamieszkania, prywatnego numeru telefonu czy numeru PESEL.

Krok 2: Spełnienie obowiązku informacyjnego

To jeden z najtrudniejszych element3w procedury. Wykonawca przekazujący dane swoich pracownik3w zamawiającemu musi upewnić się, Źe osoby te zostały poinformowane o tym fakcie. Z kolei zamawiający, jako nowy administrator tych danych, ma obowiązek spełnić wobec nich obowiązek informacyjny wynikający z art. 14 RODO (gdy dane pozyskano w spos3b inny niŹ od osoby, kt3rej dotyczą). W praktyce zam3wień publicznych obowiązek ten jest często realizowany poprzez zamieszczenie odpowiedniej klauzuli w specyfikacji warunk3w zam3wienia (SWZ) oraz zobowiązanie wykonawcy do przekazania tej klauzuli wszystkim osobom wymienionym w ofercie.

Krok 3: Zabezpieczenie danych i poufnořć

Zar3wno na etapie przesyłania oferty, jak i jej analizy, dane muszą być odpowiednio zabezpieczone przed nieuprawnionym dostępem. Oznacza to stosowanie bezpiecznych kanał3w komunikacji (np. szyfrowanych platform zakupowych) oraz ograniczenie dostępu do ofert wyłącznie do os3b upowaŹnionych (członk3w komisji przetargowej, działu zakup3w itp.).

Krok 4: Okreřlenie termin3w przechowywania (retencja)

Dane osobowe nie mogą być przechowywane w nieskończonořć. Administrator musi okreřlić precyzyjny termin retencji. W przypadku postępowań komercyjnych, oferty podmiotąw, kt3re nie zostały wybrane, powinny być usuwane lub zwracane niezwłocznie po zakończeniu postępowania i upęywie terminu na ewentualne roszczenia. W zam3wieniach publicznych termin ten regulują przepisy szczeg3lne (np. obowiązek przechowywania dokumentacji przez okres 4 lat od dnia zakończenia postępowania o udzielenie zam3wienia).

6. Procedura postępowania z wnioskiem o udostępnienie ofert

W praktyce prawnej niezwykle częstym zjawiskiem jest sytuacja, w kt3rej konkurencyjni wykonawcy składają wniosek o udostępnienie ofert złoŹonych przez innych uczestnik3w postępowania. Ma to na celu weryfikację poprawnořci oceny ofert oraz ewentualne przygotowanie odwołania.

W przypadku wpłynięcia takiego wniosku, organizator postępowania musi dokonać skrupulatnej analizy prawnej. Nie moŹna automatycznie udostępnić pełnej dokumentacji bez uprzedniej weryfikacji jej zawartořci pod kątem ochrony danych osobowych oraz tajemnicy przedsiębiorstwa. JeŹeli w ofercie znajdują się dane osobowe os3b fizycznych (np. szczeg3łowe Źyciorysy, wykazy os3b), a brak jest wyraŹnej podstawy prawnej do ich ujawnienia podmiotom trzecim (lub nie zachodzi przypadek jawnořci wynikający wprost z ustawy PZP), administrator ma obowiązek dokonać anonimizacji tych danych przed przekazaniem dokument3w wnioskodawcy. Organ nadzorczy – Prezes Urzędu Ochrony Danych Osobowych – wielokrotnie podkreřlał, Źe udostępnienie danych osobowych bez podstawy prawnej stanowi raŹące naruszenie przepis3w RODO.

7. Najczęstsze błędy i ryzyka w praktyce prawnej

Podczas audyt3w oraz postępowań przed organem nadzorczym najczęřciej identyfikuje się następujące uchybienia:

• Brak klauzul informacyjnych – przesyłanie ofert zawierających dane os3b trzecich bez poinformowania ich o tym, kto i w jakim celu będzie przetwarzać ich dane.
• Przekazywanie danych nadmiarowych – dołączanie do ofert pełnych dyplom3w uczelni wyŹszych, řwiadectw pracy czy dokument3w toŹsamořci zawierających numery PESEL, imiona rodzic3w czy daty urodzenia, gdy nie jest to wymagane.
• Niewłařciwa retencja danych – przetrzymywanie ofert przegranych wykonawc3w przez wiele lat po zakończeniu projektu.
• Brak um3w powierzenia przetwarzania danych – w sytuacjach, gdy w procesie ofertowania uczestniczą podmioty trzecie (np. zewnętrzne platformy zakupowe, doradcy techniczni), a nie uregulowano z nimi kwestii powierzenia przetwarzania danych (art. 28 RODO).

8. Praktyczny przykład zastosowania procedury

WyobraŹmy sobie sytuację, w kt3rej Sp3łka Alfa składa ofertę w przetargu na wdroŹenie systemu IT dla instytucji publicznej (Zamawiającego). W ofercie Sp3łka Alfa musi wskazać trzech kluczowych programist3w, kt3rzy będą realizować projekt. W tym celu:

1. Sp3łka Alfa minimalizuje dane: w wykazie os3b podaje jedynie imiona, nazwiska, posiadane certyfikaty oraz og3lny opis dořwiadczenia zawodowego. Nie podaje adres3w zamieszkania ani numer3w telefon3w prywatnych.
2. Sp3łka Alfa przekazuje programistom klauzule informacyjną przygotowaną przez Zamawiającego, pobraną ze specyfikacji warunk3w zam3wienia, informującą o tym, Źe ich dane zostaną przekazane Zamawiającemu w celu oceny oferty.
3. Po złoŹeniu ofert, konkurencyjna Sp3łka Beta składa wniosek o udostępnienie oferty Sp3łki Alfa.
4. Zamawiający, przed udostępnieniem oferty Sp3łce Beta, analizuje dokumenty. Poniewař przepisy prawa zam3wień publicznych nakazują jawnořć wykazu os3b w zakresie niezbędnym do oceny spełniania warunk3w, Zamawiający udostępnia imiona i nazwiska oraz dořwiadczenie programist3w, ale bezwzględnie usuwa (anonimizuje) wszelkie inne dane, kt3re mogłyby naruszyć ich prywatnořć (np. podpisy elektroniczne, prywatne adresy e-mail, jeřli omyłkowo znalazą się w dokumentacji).

9. Skutki prawne i finansowe uchybień

Naruszenie przepis3w RODO w procesie ofertowania moŹe nieřć za sobą bardzo powaŹne konsekwencje. Organ nadzorczy (Prezes UODO) posiada uprawnienia do nakładania administracyjnych kar pienięŹnych, kt3re mogą wynosić do 20 000 000 EUR lub do 4% całkowitego rocznego řwiatowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego. Poza sankcjami finansowymi, podmioty mogą spotkać się z zarzutami cywilnoprawnymi ze strony os3b, kt3rych dane naruszono (Źądanie zadořćuczynienia za naruszenie d3br osobistych). W sektorze zam3wień publicznych raŹące naruszenie zasad ochrony danych moŹe r3wnieŹ prowadzić do wykluczenia wykonawcy z postępowania lub uniewaŹnienia umowy.

10. Podsumowanie i rekomendacje dla praktyków

Prawidłowe zarządzanie procesem RODO w ofertach wymaga řcisłej wsp3łpracy dział3w prawnych, zakup3w oraz bezpieczeřstwa informacji. Kluczem do sukcesu jest opracowanie wewnętrznych szablon3w klauzul informacyjnych, procedur weryfikacji ofert przed ich wysłaniem oraz jasnych zasad udostępniania dokumentacji podmiotom trzecim. Tylko systemowe, oparte na analizie ryzyka podejřcie pozwala na pełne zabezpieczenie interes3w prawnych i biznesowych organizacji, przy jednoczesnym poszanowaniu praw os3b fizycznych, kt3rych dane są przetwarzane.