Ochrona danych osobowych w zamówieniach publicznych – relacja z konferencji

„Projektowanie ochrony danych w zamówieniach publicznych. Wyzwania w świetle rozwoju nowych technologii” to tytuł konferencji, zorganizowanej przez UODO oraz Urząd Zamówień Publicznych. Wydarzenie, które odbyło się 17 kwietnia br. w siedzibie UODO stało się okazją do zarysowania szerokiego spektrum problemów ochrony danych w obszarze administracji państwowej.

Wydarzenie otworzył prezes UODO Mirosław Wróblewski. Jak zwrócił uwagę, zamówienia publiczne nie są dziś zagadnieniem dotyczącym jedynie dziedziny finansów, ale są również tym obszarem, w którym przetwarzane są coraz większe ilości danych osobowych. Według prezesa Urzędu ochrona danych jest zatem całym rozbudowanym procesem związanym z odpowiedzialnością i ze świadomością ryzyka, niezależnie od tego, z której strony spojrzymy na ten proces – od strony zamawiającego czy wykonawcy. Prezes Mirosław Wróblewski zaznaczył również, że dzisiaj bezpieczeństwo działania państwa w dużej mierze opiera się na kulturze zarządzania ryzykiem.

Bezpieczeństwo danych osobowych to inwestycja, która zawsze się opłaca

Agnieszka Olszewska, prezes Urzędu Zamówień Publicznych, w swoim wystąpieniu wprowadzającym wyjaśniła, że rocznie w Polsce prowadzonych jest ok. 150 tysięcy postępowań o zamówienie publiczne – to ogromna skala i potężny ekosystem danych, a należy pamiętać, że rozporządzenie ogólne 2016/679 (RODO) odnosi się przecież do każdego pojedynczego składanego zamówienia. Ryzyko naruszeń, incydentów i błędów przy przetwarzaniu danych jest zatem wyjątkowo wysokie. Prezes UZP wskazała też, jak ważne jest budowanie świadomości ochrony danych na jak najwcześniejszym etapie prac przy zamówieniu (analiza danych winna być przeprowadzona już w trakcie samego planowania postępowania o zamówienie publiczne).

Jak podkreśliła prezes Olszewska, zawsze kluczowe pozostaje pytanie, jak chronić każdą osobę w całym procesie administracyjnym, w którym prawo zamówień publicznych ma taką samą wagę jako RODO. Samo pojęcie zamówień publicznych, które kojarzy się z przejrzystością, nie powinno być więc nigdy mylone z pełną dostępnością danych. Prezes UZP zwróciła też uwagę, że RODO jako element jakości zamówień oraz ich integralna część nie jest obciążeniem, lecz inwestycją, która zawsze się opłaca.

Bezpieczeństwo zamówienia publicznego zaczyna się długo przed rozpoczęciem postępowania o zamówienie

Agnieszka Rzepkowska, dyrektor Urzędu Ochrony Danych Osobowych, ekspertka w zakresie zamówień publicznych w swoim wystąpieniu opisała architekturę bezpiecznego zamówienia i wskazała na konieczne elementy, które powinny się w niej znaleźć dla spełnienia celu ochrony danych. Jak jednak zauważyła, temat ochrony danych jest w zamówieniach publicznych nadal marginalizowany. A w rzeczywistości – należy przypomnieć – jest tak, że zamawiający nie tylko kupuje usługi, ale też uczestniczy w procesie powierzania danych. Trzeba również za każdym razem mieć świadomość, że odpowiedzialność za powierzenie danych leży po stronie administratora (zamawiającego) i nie następuje jej przeniesienie na wykonawcę zamówienia.

Agnieszka Rzepkowska podkreśliła też znaczenie zadań administratora danych oraz podmiotu przetwarzającego, które winny zostać ujęte w dokumentacji każdego zamówienia (wg art. 28 i 32 RODO) i przełożone na treść umowy. Jednak, jak wyjaśniła dyrektor UODO, wielu wykonawców w umowach deklaruje adekwatność zabezpieczeń, a realnie nawet nie przeprowadza analizy ryzyka. W opinii dyrektor Agnieszki Rzepkowskiej trzeba pamiętać, że bezpieczeństwo zamówienia publicznego zaczyna się długo przed rozpoczęciem postępowania o zamówienie. To kwestia fundamentalna, bez której trudno sobie wyobrazić odpowiedzialne projektowanie całego procesu w tej publicznej sferze.

Sektor zamówień publicznych oferuje również dobre rozwiązania bezpieczeństwa dla całego rynku

Monika Krasińska, dyrektor Departamentu Prawa i Nowych Technologii UODO, postawiła pytanie: na ile jesteśmy gotowi przyjąć nowe ryzyka w świecie, w którym pojawia się coraz więcej zmiennych? Według ekspertki to pytanie w dużej mierze odnosi się do takiej właśnie dziedziny jak zamówienia publiczne, bowiem to sektor, który oferuje również dobre rozwiązania bezpieczeństwa dla innych sektorów, także niepublicznych.

Według Moniki Krasińskiej już od wielu lat w ramach procedur ochrony danych powinniśmy dużo bardziej uwzględniać zamówienia publiczne i zasadę rozliczalności w tym obszarze. Szczęśliwie jednak w ostatnim czasie zainteresowanie tą dziedziną wzrosło. A warto przecież – jak zauważyła dyrektor DPiNT – zaznaczyć, że prawo zamówień publicznych wykazuje wiele cech podobnych do tych, które reprezentują przepisy ochrony danych osobowych. Jednocześnie RODO (motyw 8) pokazuje, że przepisy ochrony danych należy stosować z uwzględnieniem specyfiki konkretnej dziedziny.

Wśród istotnych elementów ochrony danych w zamówieniach publicznych Monika Krasińska wymieniła projektowanie ochrony danych trwające przez cały okres zamówienia (zgodnie z art. 25 RODO), zapewnienie nie tylko analizy ryzyka, lecz i oceny skutków dla ochrony danych oraz rozważenie ryzyka naruszeń praw podstawowych. Ekspertka wskazała także na szczególną rolę opiniodawczo-kontrolną inspektora ochrony danych (powinien być angażowany w procesy przetwarzania danych, choć nigdy nie zastępuje odpowiedzialności administratora danych).

Sztuczna inteligencja staje się codziennością w administracji publicznej

W dalszej części spotkania Aldona Kowalczyk, prezes Zarządu Stowarzyszenia Prawa Zamówień Publicznych, oraz dr Beata Konieczna-Drzewiecka – ekspertka w zakresie stosowania RODO w administracji, omówiły takie zagadnienia jak orzecznictwo dotyczące zamówień publicznych w Krajowej Izbie Odwoławczej, polityka wewnętrzna zamówień w kontekście ochrony danych i niektóre obowiązki wynikające z ustawy o Krajowym Systemie Bezpieczeństwa.

Poruszono także kwestię stosowania systemów sztucznej inteligencji w zamówieniach publicznych. Jak zwrócono uwagę, powoli sztuczna inteligencja staje się codziennością w administracji publicznej (zwłaszcza młodzi pracownicy deklarują stosowanie AI do wyszukiwania informacji i redagowania tekstów). Istnieje też wyraźny potencjał sztucznej inteligencji w zamówieniach publicznych, która może się sprawdzić w analizie ofert, wykrywaniu anomalii, ocenianiu potrzeb, opisywaniu ryzyka korupcji czy we wspieraniu decyzji.

Małgorzata Stręciwilk, przewodnicząca Rady Zamówień Publicznych, objaśniła zaś zasady regulacji dotyczących ochrony danych w prawie zamówień publicznych, zasady przechowywania dokumentacji i prowadzenia archiwizacji, znaczenie art. 17 RODO (prawo do bycia zapomnianym), reguły komunikacji elektronicznej w procesie zamówień publicznych oraz szczegóły dotyczące korzystania z platformy e-zamówień w Biuletynie Zamówień Publicznych.

Z kolei Dariusz Koba, ekspert ds. zamówień publicznych, w trakcie dyskusji zauważył, że zachodzi pewien konflikt między jawnością postępowania ws. zamówienia publicznego a tajemnicą przedsiębiorstwa czy ochroną danych. W związku z tym wymienił elementy dokumentacji zamówienia, które mogą być utajniane, i te, które nie mogą podlegać takiemu działaniu.

Dr Adam Behan, pracownik Katedry Prawa Karnego Uniwersytetu Jagiellońskiego, wskazał z kolei na problemy wynikające z systemów oprogramowania stosowanych w administracji publicznej. Podkreślił, że zakup oprogramowania oznacza jednocześnie zakup zasad, według których dane będą przetwarzane.

Dynamiczne zmiany otoczenia i rzeczywistości gospodarczej determinują sposób działania

Dopełnieniem konferencji była debata, w której wzięli udział dr hab. Anna Budzanowska – politolożka, urzędniczka państwowa, Agnieszka Gębicka – dyrektor Biura Ochrony Danych Osobowych w Zakładzie Ubezpieczeń Społecznych, Mateusz Bartosiewicz i Eryk Brodnicki, eksperci ds. systemów teleinformatycznych z Open Nexus sp. z o.o., i Tomasz Konieczny – dyrektor Biura Generalnego w Ministerstwie Funduszy i Polityki Regionalnej. Spotkanie moderowała prof. Marlena Sakowska-Baryła, wykładowczyni prawa z Uniwersytetu Łódzkiego, członek Społecznego Zespołu Ekspertów przy Prezesie UODO.

Wśród głównych zagadnień, które omówiono, znalazły się takie jak: tempo rozwoju technologii i jego wpływ na administrację publiczną, obecność inspektorów ochrony danych przy zamówieniach publicznych, pomijanie procedur w działaniach urzędniczych, koszty wdrażania zamawianych usług i wyboru wykonawców, wielość przepisów krajowych i wymogów UE oraz ich wpływ na administrację, kontrowersje dotyczące spisywania umów w zamówieniach.

Konferencja odbyła się pod patronatem Krajowej Izby Odwoławczej.

Poniżej dostępny jest zapis wideo całego wydarzenia z podziałam na poszczególne wystąpienia.

Wystąpienia ekspertów - część 1

Wystąpienia ekspertów - część 2

Panel dyskusyjny