Przekazanie organizatorowi przetargu informacji o osobach zatrudnionych przez wykonawcę

Zgodnie z art. 29 ust. 3a ustawy Prawo zamówień publicznych (DzU z 2015r., poz. 2164 ze zm.), zamawiający określa w opisie przedmiotu zamówienia na usługi lub roboty budowlane wymagania zatrudnienia przez wykonawcę lub podwykonawcę na podstawie umowy o pracę osób wykonujących wskazane przez zamawiającego czynności w zakresie realizacji zamówienia, jeżeli wykonanie tych czynności polega na wykonywaniu pracy w sposób określony w art. 22 § 1 Kodeksu pracy.

Jak zaś stanowi art. 36 ust. 2 pkt 8a ustawy, w przypadku gdy jej przepisy nie stanowią inaczej, specyfikacja istotnych warunków zamówienia zawiera – jeżeli zamawiający przewiduje wymagania, o których mowa była powyżej – określenie sposobu dokumentowania zatrudnienia osób oraz uprawnienia zamawiającego w zakresie kontroli spełniania przez wykonawcę wymagań, o których mowa w art. 29 ust. 3a, oraz sankcji z tytułu niespełnienia tych wymagań.

Problem w tym, że przepisy nie precyzują, w jaki sposób zamawiający może kontrolować spełnienie tych wymagań przez wykonawcę – w szczególności zaś nie formułują uprawnienia do pozyskiwania oryginałów lub kopii umów o pracę oraz zakresów obowiązków pracowników, co wiązałoby się z przetwarzaniem przez niego danych osobowych. Również przepisy rozporządzenia Ministra Rozwoju z dnia 26 lipca 2016 r. w sprawie rodzajów dokumentów, jakich może żądać zamawiający od wykonawcy w postępowaniu o udzielenie zamówienia (DzU z 2016r., poz. 1126) nie odnoszą się do sposobu dokumentowania zatrudnienia osób, o których mowa w art. 29 ust. 3a wspomnianej ustawy. Zatem z przepisów w żaden sposób nie wynika uprawnienie zamawiającego do żądania od wykonawcy będącego pracodawcą kopii umów o pracę i zakresów obowiązków pracowników, ani obowiązek przekazania kopii tychże dokumentów przez wykonawcę.

Legalność przetwarzania

Legalność przetwarzania danych, w tym również ich udostępniania musi znajdować oparcie w jednej z przesłanek określonych w art. 23 ust. 1 ustawy o ochronie danych osobowych – jeśli chodzi o dane osobowe tzw. zwykłe, bądź też w art. 27 ust. 2 – w odniesieniu do danych szczególnie chronionych, których zamknięty katalog określony został w art. 27 ust. 1 ustawy. Koncentrując się na danych zwykłych, to przywołany artykuł wskazuje, że przetwarzanie danych jest dopuszczalne tylko wtedy, gdy:

- osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych,

- jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa,

- jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie tej osoby,

- jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego,

- jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.

Brak przepisów

Jedną z przesłanek, o której stanowią powołane przepisy, jest istnienie odrębnych aktów prawnych zezwalających na przetwarzania danych osobowych (art. 23 ust. 1 pkt 2 i art. 27 ust. 2 pkt 2 ustawy o ochronie danych osobowych). Przy czym w przypadku danych szczególnie chronionych (jak np. danych o stanie zdrowia) musi to być przepis rangi ustawowej i stwarzać pełne gwarancje ochrony tych danych.

W opisywanym przypadku, jako podstawy przetwarzania (udostępniania) danych, nie można także uznać zgody osoby, której dane dotyczą. Byłaby to bowiem zgoda wyrażona dla realizacji celu innego podmiotu, a pracodawca byłby jedynie pośrednikiem w jej pozyskiwaniu. Taka zaś konstrukcja nie znajduje uzasadnienia w świetle zasad przetwarzania danych osobowych.

Ponadto, aby zgoda mogła być uznana za wystarczającą podstawę prawną przetwarzania danych osobowych, musi być wyrażona w sposób dobrowolny. A w relacji zachodzącej między pracodawcą a pracownikiem trudno jest mówić o takiej dobrowolności, gdyż brak jest tu równowagi podmiotowej (stosunek nadrzędności i podrzędności podmiotów), co często może sprzyjać wymuszeniu zgody. Takie stanowisko Generalnego Inspektora Ochrony Danych Osobowych poparł także Naczelny Sąd Administracyjny w wyroku z dnia 1 grudnia 2009r. (I OSK 249/09), stwierdzając, że „wyrażona na prośbę pracodawcy pisemna zgoda pracownika, na pobranie i przetworzenie jego danych osobowych, narusza prawa pracownika i swobodę wyrażenia przez niego woli. (...) Brak równowagi w relacji pracodawca pracownik stawia pod znakiem zapytania dobrowolność w wyrażeniu zgody na pobieranie i przetworzenie danych osobowych (biometrycznych). Z tego względu ustawodawca ograniczył przepisem art. 221 kodeksu pracy katalog danych, których pracodawca może żądać od pracownika".

Tylko anonimowo

A zatem jedyną przesłanką legalizującą udostępnienie danych zamawiającemu mógłby być przepis prawa. Skoro jednak ani ustawa Prawo zamówień publicznych, ani wydane na jej podstawie akty wykonawcze takich przepisów nie zawierają, należy zastanowić się nad taką formą dokumentowania i kontrolowania spełniania przez wykonawców wymagań określonych w art. 29 ust. 3a ustawy, która będzie zgodna z zasadami ochrony danych osobowych. Z samych regulacji zawartych w art. 29 ust. 3a oraz 36 ust. 2 pkt 8a ustawy Prawo zamówień publicznych nie można bowiem wywodzić podstawy do przekazywania zamawiającemu przez wykonawcę danych osobowych pracowników, a zarówno dokumentowanie zatrudnienia osób, o których mowa w art. 29 ust. 3a, jak i kontrola spełniania przez wykonawcę wymagań, o których mowa w tym artykule, może odbywać się w sposób, który nie będzie wiązał się z przetwarzaniem danych indywidualnych osób.

Zdaniem eksperta

dr Edyta Bielak–Jomaa, Generalny Inspektor Ochrony Danych Osobowych

Po niedawnej nowelizacji ustawy – Prawo zamówień publicznych zamawiający, ogłaszając przetargi, do specyfikacji istotnych warunków zamówienia muszą wprowadzać wymóg, aby osoby realizujące publiczne zlecenia były zatrudnione na etat. Zrodziło to problem, w jaki sposób mają zweryfikować spełnienie przez wykonawców tych warunków.

W opinii GIODO, przekazywanie na te potrzeby zamawiającemu kopii umów o pracę oraz zakresów obowiązków osób zatrudnionych u wykonawcy jest niedopuszczalne. Nie zezwalają na to ani ustawa Prawo zamówień publicznych, ani wydane na jej podstawie akty wykonawcze. Także ewentualna zgoda pracownika na takie działanie nie mogłaby być uznana w opinii GIODO za przesłankę legalizującą udostępnienie tych informacji. Ponadto umożliwienie zamawiającemu zapoznania się z powyższymi dokumentami prowadziłoby do przetwarzania przez niego zbyt szerokiego zakresu danych osobowych. Są one bowiem zbędne dla osiągnięcia celu, jakim jest weryfikacja spełnienia przez wykonawcę warunków określonych w specyfikacji istotnych warunków zamówienia. Postępowanie takie naruszałoby zasadę adekwatności, wyrażoną w art. 26 ust. 1 pkt 3 ustawy o ochronie danych osobowych, zgodnie z którą administrator danych powinien przetwarzać tylko takiego rodzaju dane i tylko o takiej treści, które są niezbędne dla osiągnięcia celu, w którym są wykorzystywane.

W tym przypadku dla jego realizacji wystarczające byłoby przedstawienie przez wykonawcę stosownych oświadczeń czy zaświadczeń lub zanonimizowanych dokumentów. Dla zamawiającego nie jest bowiem istotne, kto konkretnie z imienia i nazwiska zatrudniony jest u wykonawcy na podstawie umowy o pracę, a jedynie sam fakt zatrudniania osób w takiej formie. Tym bardziej nieuzasadnione byłoby zarówno udostępnianie przez wykonawców, jak i pozyskiwanie przez zamawiającego, takich zawartych w umowach o pracę informacji dotyczących pracowników wykonawcy zamówienia, jak ich adres zamieszkania czy wysokość wynagrodzenia. Zgodnie bowiem z powołaną zasadą adekwatności, dane osobowe nie mogą być zbierane „na wszelki wypadek", tj. bez wykazania celowości ich pozyskania i niezbędności dla realizacji zadań administratora danych – którym po uzyskaniu danych stałby się również zamawiający.

Liczy się informacja a nie dokument

Chociaż w opisywanym przypadku cała sprawa koncentruje się wokół akt pracowniczych (umowy o pracę, zakresu obowiązków), to należy oczywiście pamiętać, że istotą rzeczy nie jest tutaj prawo lub brak prawa do przekazywania zamawiającemu takich dokumentów, ile kwestia ujawniania ich treści. Rozstrzygnięcia w sprawach udostępniania dokumentów znajdują się poza ramami ustawy o ochronie danych osobowych, co potwierdza orzecznictwo sądów administracyjnych, np. wyrok Wojewódzkiego Sądu Administracyjnego z dnia 6 września 2005 r. (II SA/Wa 825/05), w którym WSA orzekł, że: „W ustawie o ochronie danych osobowych brak jest przepisów obligujących administratora do udostępnienia dokumentów zawierających dane osobowe. Ustawodawca posługuje się pojęciem „udostępnienia", odnosząc je zawsze do danych osobowych, a nie zawierających je dokumentów". Ponadto, w tymże uzasadnieniu WSA podniósł również, że „(...) kwestia udostępniania dokumentów znajdujących się w aktach osobowych pracownika, nie jest w ogóle objęta regulacją ustawy o ochronie danych osobowych i nie może być na jej gruncie rozpatrywana". W związku z powyższym, opisane zagadnienie zależy rozpatrywać z perspektywy udostępniania danych osobowych zawartych w dokumentach.

Szczególnie chronione wiadomości

Zgodnie z art. 27 ust. 1 ustawy o ochronie danych osobowych, zabrania się przetwarzania danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym. W myśl ust. 2, przetwarzanie danych, o których mowa powyżej, jest jednak dopuszczalne, jeżeli:

- osoba, której dane dotyczą, wyrazi na to zgodę na piśmie, chyba że chodzi o usunięcie dotyczących jej danych;

- przepis szczególny innej ustawy zezwala na przetwarzanie takich danych bez zgody takiej osoby i stwarza pełne gwarancje ich ochrony,

- przetwarzanie takich danych jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby, gdy osoba, której dane dotyczą, nie jest fizycznie lub prawnie zdolna do wyrażenia zgody, do czasu ustanowienia opiekuna prawnego lub kuratora,

- jest to niezbędne do wykonania statutowych zadań kościołów i innych związków wyznaniowych, stowarzyszeń, fundacji lub innych niezarobkowych organizacji lub instytucji o celach politycznych, naukowych, religijnych, filozoficznych lub związkowych, pod warunkiem, że przetwarzanie danych dotyczy wyłącznie członków tych organizacji lub instytucji albo osób utrzymujących z nimi stałe kontakty w związku z ich działalnością i zapewnione są pełne gwarancje ochrony przetwarzanych danych,

- przetwarzanie dotyczy danych, które są niezbędne do dochodzenia praw przed sądem,

- przetwarzanie jest niezbędne do wykonania zadań administratora danych odnoszących się do zatrudnienia pracowników i innych osób, a zakres przetwarzanych danych jest określony w ustawie,

- przetwarzanie jest prowadzone w celu ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów przez osoby trudniące się zawodowo leczeniem lub świadczeniem innych usług medycznych, zarządzania udzielaniem usług medycznych i są stworzone pełne gwarancje ochrony danych osobowych,

- przetwarzanie dotyczy danych, które zostały podane do wiadomości publicznej przez osobę, której dotyczą,