Vprašanje prosilca: Informacijski pooblaščenec RS (v nadaljevanju IP) je prejel vprašanje v zvezi z obdelavo osebnih podatkov v postopkih javnih naročil. Prosilec je našel navedbo na spletni strani IPRS, da je obdelava osebnih podatkov zakonita le, v kolikor obstaja za obdelavo osebnih podatkov ena od pravnih podlag, ki jih predpisuje člen 6 (1) Splošne uredbe. Kot ena izmed dopustnih pravnih podlag za obdelavo osebnih podatkov za javni sektor je navedena tudi »potreba za izvajanje ali za sklenitev pogodbe«. Prosilca zanima, ali to pomeni, da je izvajanje postopka oddaje javnega naročila in posledično sklenitev pogodbe o izvajanju javnega naročila, predstavlja zakonito pravno podlago v skladu s Splošno uredbo za obdelavo osebnih podatkov in ni potrebna dodatna privolitev pogodbenih strank? Dalje prosilca tudi zanima, ali bi morali osebne podatke, ki so navedeni v pogodbi o izvajanju javnih naročil, prekriti (kot npr. ime in priimek vodje gradbišča, nadzornika), ko se pogodba objavi na Portalu javnih naročil v skladu z veljavno zakonodajo?
Mnenje IP: Javni naročnik, ko vodi postopek javnega naročila in pri tem obdeluje osebne podatke, (npr. hrani podatke na ponudbeni dokumentaciji, hrani podatke na pogodbah, uporablja kontaktne osebne podatke za izvajanje pogodb, itd.) osebne podatke praviloma obdeluje na podlagi zakona oziroma je ta obdelava potrebna za izvrševanje njegovih zakonskih pristojnosti. Privolitev pa za izvajanje obdelav osebnih podatkov za navedene namene praviloma ni ustrezna pravna podlaga. Eventualno bi tudi za javnega naročnika lahko prišla v poštev podlaga po določbi 6(1)(b) Splošne uredbe (»obdelava, ki je potrebna za izvajanje pogodbe sklenjene s posameznikom«), če bi bilo javno naročilo oddano posamezniku, ki ni poslovni subjekt (npr. po avtorski pogodbi). Pri javnih naročilih se torej podlaga za obdelavo osebnih podatkov, ki jo izvaja javni naročnik (zlasti rok hrambe osebnih podatkov v dokumentaciji), praviloma določa v skladu z zahtevami področne zakonodaje, ki ureja postopek javnega naročanja, hrambo dokumentarnega in arhivskega gradiva, davčnimi in računovodskimi predpisi, itd.
Za javno objavo (osebnih) podatkov na portalu javnih naročil je treba zagotoviti ločeno pravno podlago, ki praviloma izhaja iz zakona. Po Zakonu o dostopu do informacij javnega značaja (ZDIJZ) so javni tudi tisti osebni podatki, ki so v zvezi s porabo javnih sredstev. ZDIJZ pa se ne uporablja pred oddajo javnega naročila, zato se javni naročnik ne more uspešno sklicevati na določbe ZDIJZ kot podlage za obdelavo osebnih podatkov, če gre za objavo izvedeno pred oddajo javnega naročila. Kadar za javno objavo ne obstaja ustrezna pravna podlaga, potem je treba osebne podatke prekriti (imena, priimke izbrisati, itd.).
Obrazložitev
PRAVNA PODALGA ZA OBDELAVO OSEBNIH PODATKOV V POSTOPKIH JAVNEGA NAROČANJA
V skladu s določbo 6 (1) Splošne uredbe, je obdelava osebnih podatkov zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:
(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.
IP pojasnjuje, da javni naročnik, ki izvaja javno naročilo v skladu z Zakonom o javnem naročanju (Uradni list RS, št. 91/15 in 14/18; v nadaljevanju ZJN-3), deluje na podlagi zakona iz tega pa praviloma izvira tudi podlaga za obdelavo osebnih podatkov.
V skladu z določbama 6(1)(c) in (e) Splošne uredbe je obdelava zakonita, če je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca ali če je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu. Po členu 6(2) Splošne uredbe lahko države članice ohranijo ali uvedejo podrobnejše določbe, da bi prilagodile uporabo pravil te uredbe v zvezi z obdelavo osebnih podatkov za zagotovitev skladnosti s točkama (c) in (e) odstavka 1, tako da podrobneje opredelijo posebne zahteve v zvezi z obdelavo ter druge ukrepe za zagotovitev zakonite in poštene obdelave, tudi za druge posebne primere obdelave iz poglavja IX. Po določbi 6(3) Splošne uredbe je podlaga za obdelavo iz točk (c) in (e) odstavka 1 določena v skladu s: pravom Unije; ali pravom države članice, ki velja za upravljavca.
Iz navedenega sledi, da kadar gre za izvajanje javne oblasti (tudi vodenje postopka javnega naročila), potem je treba v zvezi s pravnimi podlagami upoštevati nacionalno zakonodajo. Po še veljavnem 9. členu ZVOP-1, se osebni podatki v javnem sektorju lahko obdelujejo, če tako določa zakon ali na zakonu temelječa osebna privolitev. Izjemoma se lahko v javnemu sektorju obdelujejo tudi tisti osebni podatki, ki so nujni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo (četrti odstavek 9. člena ZVOP-1). Glede na navedeno se v postopkih javnih naročil podlaga za obdelavo osebnih podatkov na strani javnega naročnika (zlasti rok hrambe), praviloma določa v skladu z zahtevami področne zakonodaje, ki ureja postopek javnega naročanja, hrambo dokumentarnega in arhivskega gradiva, davčnimi in računovodskimi predpisi, itd.
Privolitev tako praviloma ni ustrezna pravna podlaga za obdelavo osebnih podatkov iz dokumentov, ki jih pridobi naročnik oziroma nastanejo v postopku javnega naročila, razen kadar bi tako določal zakon.
Podlaga po členu 6(1)(b) (»obdelava, ki je potrebna za izvajanje pogodbe sklenjene s posameznikom«) bo najpogosteje ustrezna pravna podlaga za obdelave osebnih podatkov, ki jih izvede ponudnik ali izvajalec v postopku javnega naročanja, kot upravljavec osebnih podatkov svojih zaposlenih in pogodbenih sodelavcev (npr. posredovanje podatkov o referencah ključnih zaposlenih v ponudbeni dokumentaciji). Javnemu naročniku pa, kot navedeno, podlago za obdelavo osebnih podatkov praviloma nudijo ustrezne določbe nacionalne zakonodaje oziroma je to potrebno za izvrševanje zakonitih pristojnosti javnega sektorja (četrti odstavek 9. člena ZVOP-1). Eventualno bi tudi za javnega naročnika, podlaga po določbi 6(1)(b) Splošne uredbe lahko prišla v poštev, če bi bilo javno naročilo oddano posamezniku, ki ni poslovni subjekt (npr. po avtorski pogodbi).
PRAVNA PODLAGA ZA JAVNO OBJAVO NA PORTALU JAVNIH NAROČIL
Treba je opozoriti, da je objava osebnih podatkov na portalu javnih naročil opravljena z drugim namenom, kot je namen oddaje javnega naročila in izvajanja pogodbe. Namen javne objave na portalu je transparentno delovanje zavezanca, medtem ko so obdelave osebnih podatkov v zvezi z oddajo javnega naročila in izvajanjem pogodbe namenjene izbiri najustreznejšega ponudnika in izpolnitvi pogodbenih ciljev. Ker torej gre za obdelave osebnih podatkov z različnimi nameni je treba tudi ločeno zagotoviti ustrezno pravno podlago za obdelavo osebnih podatkov. Tako na primer, če je podlaga za hrambo dokumentacije (vključno z osebnimi podatki) iz javnega naročila, tretji odstavek 105. člena ZJN-3, ta določba ne nudi hkrati tudi podlage za javno objavo.
Ustrezna pravna podlaga za morebitno javno objavo osebnih podatkov mora torej praviloma izhajati iz zakona. IP v zvezi s tem zlasti opozarja na Zakon o odstopu do informacij javnega značaja (ZDIJZ), ki lahko nudi ustrezno pravno podlago za objavo osebnih podatkov, ki so v zvezi s porabo javnih sredstev, z delom javnih uslužbencev in podatkov v zvezi z izvajanjem javne funkcije (tretji odstavek 6. člena ZDIJZ). Pri tem je treba paziti na določbo po četrtem odstavku 35. člena ZJN-3, v skladu s katero se ZDIJZ ne uporablja pred oddajo javnega naročila. Slednje pomeni, da se javni naročnik v primeru objav pred oddajo javnega naročila ne more uspešno sklicevati na določbe ZDIJZ, če objavlja osebne podatke. Pravna podlaga za objavo pa se presoja za vsak osebni podatek posebej. Kadar za javno objavo ne obstaja ustrezna pravna podlaga, potem je treba osebne podatke prekriti (imena, priimke izbrisati, itd.). Kateri podatki se na konkretnih dokumentih ne štejejo za »varovane« osebne podatke v skladu z ZDIJZ, usmerjata sodna in upravna praksa, ki ji lahko sledite na spletni strani IP: https://www.ip-rs.si/ijz/.
Celotno mnenje je na voljo TUKAJ.