GDPR ve VZ aneb ochrana osobních údajů v rámci zadávání veřejných zakázek

09.02.2018

Oblast ochrany osobních údajů je "všeprostupující" a nevyhýbá se ani procesu zadávání. Účelem tohoto článku je stručné upozornění na souvislosti právní úpravy zadávání veřejných zakázek a právní úpravy ochrany osobních údajů, které nemusí být na první pohled zřejmé a na dopady GDPR do procesů zadávání veřejných zakázek.

Stejně jako u jiných GDPR analýz je na prvním místě nezbytné odhalit v rámci procesů zadávání, v jakých souvislostech se osobní údaje vyskytují, jaký je jejich rozsah, jaké jsou jejich zdroje, jak je s nimi nakládáno, jaký je účel zpracování, jaký je právní titul k jejich zpracování a jaké je obecně postavení zadavatele.

Nelze opomenout ani zadavatele, kteří k zadávání zakázek využívají tzv. outsourcing, tedy svěřují proces administrace veřejných zakázek externím subjektům - administrátorům veřejných zakázek. Administrátor veřejných zakázek se tak dostává do postavení zpracovatele, kterému zadavatel - správce, svěřuje osobní údaje obsažené v nabídkách. Z tohoto hlediska by mezi zpracovatelem a správcem měla vždy být uzavřena smlouva o zpracování osobních údajů se všemi specifiky ve smyslu čl. 28 odst. 3 GDPR, zejména zajištění mlčenlivosti, přijetí technických opatření k zabezpečení osobních údajů a jejich průběžné kontroly.

Pokud o postavení zadavatele, ten bude vždy v postavení správce osobních údajů, tedy subjektu, který určuje účely a prostředky zpracování osobních údajů nebo kterému je zpracování určeno zákonem.

Právním titulem bude v souladu s čl. 6 odst. 1 písm. b) GDPR tzv. zpracování před uzavřením smlouvy, resp. v souladu s písm. c) ve spojení se ZZVZ zpracování, jenž je nezbytné pro splnění právní povinnosti. Rozsah osobních údajů bude vždy záviset na požadavcích zadavatele, které by měly být vždy přiměřené účelu. Zdrojem těchto osobních údajů budou zpravidla účastníci zadávacích řízení.

Účelem je pak naplnění zákonných povinností zadavatelů veřejných zakázek. Tedy ad absurdum zadavatel podnikající například v dopravě nebo energetice není oprávněn osobní údaje získané v rámci nabídky do veřejné zakázky využívat k rozesílání vlastních marketingových sdělení, neboť takový účel mu právní titul nepokrývá. Ale nemusí se jednat pouze o takový zřejmý exces - stejné pravidlo bude platit, pokud si zadavatel bude z nabídek v rámci životopisů expertů předložených dodavatelem v rámci nabídky vybírat experty, které následně osloví s nabídkou zaměstnání.