Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Iskalnik po mnenjih GDPR

+ -
Datum: 14.05.2020
Naslov: Javna naročila
Številka: 07121-1/2020/858
Vsebina: Pravne podlage
Pravni akt: Mnenje

Informacijski pooblaščenec RS (v nadaljevanju IP) je prejel vaše vprašanje v zvezi z obdelavo osebnih podatkov v postopkih javnih naročil. Našli ste navedbo na spletni strani IPRS, da je obdelava osebnih podatkov zakonita le, v kolikor obstaja za obdelavo osebnih podatkov ena od pravnih podlag, ki jih predpisuje člen 6 (1) Splošne uredbe. Kot ena izmed dopustnih pravnih podlag za obdelavo osebnih podatkov za javni sektor je navedena tudi »potreba za izvajanje ali za sklenitev pogodbe«. Zanima vas, ali to pomeni, da je izvajanje postopka oddaje javnega naročila in posledično sklenitev pogodbe o izvajanju javnega naročila, predstavlja zakonito pravno podlago v skladu s Splošno uredbo za obdelavo osebnih podatkov in ni potrebna dodatna privolitev pogodbenih strank? Dalje vas tudi zanima, ali bi morali osebne podatke, ki so navedeni v pogodbi o izvajanju javnih naročil prekriti (kot npr. ime in priimek vodje gradbišča, nadzornika), ko se pogodba objavi na Portalu javnih naročil v skladu z veljavno zakonodajo?

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.

 

 

Javni naročnik, ko vodi postopek javnega naročila in pri tem obdeluje osebne podatke, (npr. hrani podatke na ponudbeni dokumentaciji, hrani podatke na pogodbah, uporablja kontaktne osebne podatke za izvajanje pogodb, itd.) osebne podatke praviloma obdeluje na podlagi zakona oziroma je ta obdelava potrebna za izvrševanje njegovih zakonskih pristojnosti. Privolitev pa za izvajanje obdelav osebnih podatkov za navedene namene praviloma ni ustrezna pravna podlaga. Eventualno bi tudi za javnega naročnika lahko prišla v poštev podlaga po določbi 6(1)(b) Splošne uredbe (»obdelava, ki je potrebna za izvajanje pogodbe sklenjene s posameznikom«), če bi bilo javno naročilo oddano posamezniku, ki ni poslovni subjekt (npr. po avtorski pogodbi). Pri javnih naročilih se torej podlaga za obdelavo osebnih podatkov, ki jo izvaja javni naročnik (zlasti rok hrambe osebnih podatkov v dokumentaciji), praviloma določa v skladu z zahtevami področne zakonodaje, ki ureja postopek javnega naročanja, hrambo dokumentarnega in arhivskega gradiva, davčnimi in računovodskimi predpisi, itd.

 

Za javno objavo (osebnih) podatkov na portalu javnih naročil je treba zagotoviti ločeno pravno podlago, ki praviloma izhaja iz zakona. Po Zakonu o dostopu do informacij javnega značaja (ZDIJZ) so javni tudi tisti osebni podatki, ki so v zvezi s porabo javnih sredstev. ZDIJZ pa se ne uporablja pred oddajo javnega naročila, zato se javni naročnik ne more uspešno sklicevati na določbe ZDIJZ kot podlage za obdelavo osebnih podatkov, če gre za objavo izvedeno pred oddajo javnega naročila. Kadar za javno objavo ne obstaja ustrezna pravna podlaga, potem je treba osebne podatke prekriti (imena, priimke izbrisati, itd.). 

 

Obrazložitev

 

PRAVNA PODALGA ZA OBDELAVO OSEBNIH PODATKOV V POSTOPKIH JAVNEGA NAROČANJA

 

V skladu s določbo 6 (1) Splošne uredbe, je obdelava osebnih podatkov zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

 

IP pojasnjuje, da javni naročnik, ki izvaja javno naročilo v skladu z Zakonom o javnem naročanju (Uradni list RS, št. 91/15 in 14/18; v nadaljevanju ZJN-3), deluje na podlagi zakona iz tega pa praviloma izvira tudi podlaga za obdelavo osebnih podatkov.

V skladu z določbama 6(1)(c) in (e) Splošne uredbe je obdelava zakonita, če je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca ali če je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu. Po členu 6(2) Splošne uredbe lahko države članice ohranijo ali uvedejo podrobnejše določbe, da bi prilagodile uporabo pravil te uredbe v zvezi z obdelavo osebnih podatkov za zagotovitev skladnosti s točkama (c) in (e) odstavka 1, tako da podrobneje opredelijo posebne zahteve v zvezi z obdelavo ter druge ukrepe za zagotovitev zakonite in poštene obdelave, tudi za druge posebne primere obdelave iz poglavja IX. Po določbi 6(3) Splošne uredbe je podlaga za obdelavo iz točk (c) in (e) odstavka 1 določena v skladu s: pravom Unije; ali pravom države članice, ki velja za upravljavca.

Iz navedenega sledi, da kadar gre za izvajanje javne oblasti (tudi vodenje postopka javnega naročila), potem je treba v zvezi s pravnimi podlagami upoštevati nacionalno zakonodajo. Po še veljavnem 9. členu ZVOP-1, se osebni podatki v javnem sektorju lahko obdelujejo, če tako določa zakon ali na zakonu temelječa osebna privolitev. Izjemoma se lahko v javnemu sektorju obdelujejo tudi tisti osebni podatki, ki so nujni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo (četrti odstavek 9. člena ZVOP-1). Glede na navedeno se v postopkih javnih naročil podlaga za obdelavo osebnih podatkov na strani javnega naročnika (zlasti rok hrambe), praviloma določa v skladu z zahtevami področne zakonodaje, ki ureja postopek javnega naročanja, hrambo dokumentarnega in arhivskega gradiva, davčnimi in računovodskimi predpisi, itd.

Privolitev tako praviloma ni ustrezna pravna podlaga za obdelavo osebnih podatkov iz dokumentov, ki jih pridobi naročnik oziroma nastanejo v postopku javnega naročila, razen kadar bi tako določal zakon.

Podlaga po členu 6(1)(b) (»obdelava, ki je potrebna za izvajanje pogodbe sklenjene s posameznikom«) bo najpogosteje ustrezna pravna podlaga za obdelave osebnih podatkov, ki jih izvede ponudnik ali izvajalec v postopku javnega naročanja, kot upravljavec osebnih podatkov svojih zaposlenih in pogodbenih sodelavcev (npr. posredovanje podatkov o referencah ključnih zaposlenih v ponudbeni dokumentaciji). Javnemu naročniku pa, kot navedeno, podlago za obdelavo osebnih podatkov praviloma nudijo ustrezne določbe nacionalne zakonodaje oziroma je to potrebno za izvrševanje zakonitih pristojnosti javnega sektorja (četrti odstavek 9. člena ZVOP-1). Eventualno bi tudi za javnega naročnika, podlaga po določbi 6(1)(b) Splošne uredbe lahko prišla v poštev, če bi bilo javno naročilo oddano posamezniku, ki ni poslovni subjekt (npr. po avtorski pogodbi).

PRAVNA PODLAGA ZA JAVNO OBJAVO NA PORTALU JAVNIH NAROČIL

Treba je opozoriti, da je objava osebnih podatkov na portalu javnih naročil opravljena z drugim namenom, kot je namen oddaje javnega naročila in izvajanja pogodbe. Namen javne objave na portalu je transparentno delovanje zavezanca, medtem ko so obdelave osebnih podatkov v zvezi z oddajo javnega naročila in izvajanjem pogodbe namenjene izbiri najustreznejšega ponudnika in izpolnitvi pogodbenih ciljev. Ker torej gre za obdelave osebnih podatkov z različnimi nameni je treba tudi ločeno zagotoviti ustrezno pravno podlago za obdelavo osebnih podatkov. Tako na primer, če je podlaga za hrambo dokumentacije (vključno z osebnimi podatki) iz javnega naročila, tretji odstavek 105. člena ZJN-3, ta določba ne nudi hkrati tudi podlage za javno objavo.

 

Ustrezna pravna podlaga za morebitno javno objavo osebnih podatkov mora torej praviloma izhajati iz zakona. IP v zvezi s tem zlasti opozarja na Zakon o odstopu do informacij javnega značaja (ZDIJZ), ki lahko nudi ustrezno pravno podlago za objavo osebnih podatkov, ki so v zvezi s porabo javnih sredstev, z delom javnih uslužbencev in podatkov v zvezi z izvajanjem javne funkcije (tretji odstavek 6. člena ZDIJZ). Pri tem je treba paziti na določbo po četrtem odstavku 35. člena ZJN-3, v skladu s katero se ZDIJZ ne uporablja pred oddajo javnega naročila. Slednje pomeni, da se javni naročnik v primeru objav pred oddajo javnega naročila ne more uspešno sklicevati na določbe ZDIJZ, če objavlja osebne podatke. Pravna podlaga za objavo pa se presoja za vsak osebni podatek posebej. Kadar za javno objavo ne obstaja ustrezna pravna podlaga, potem je treba osebne podatke prekriti (imena, priimke izbrisati, itd.). Kateri podatki se na konkretnih dokumentih ne štejejo za »varovane« osebne podatke v skladu z ZDIJZ, usmerjata sodna in upravna praksa, ki ji lahko sledite na spletni strani IP: https://www.ip-rs.si/ijz/

 

Lep pozdrav,

 

 

Pripravil:

Anže Novak, univ. dipl. prav.

Svetovalec Pooblaščenca za preventivo

 

 

Informacijski pooblaščenec

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka