Bezpieczeństwo informacji w postępowaniu o udzielenie zamówienia
Regulacje Pzp służące zapewnieniu ochrony informacji w przepisach ogólnych
Jedną z podstawowych zasad udzielania zamówień jest zasada jawności postępowania, o której mowa w art. 18 ust. 1 ustawy Pzp. Zgodnie z treścią tego przepisu, postępowanie o udzielenie zamówienia jest jawne. Zasada gwarantuje transparentność postępowania, zarówno w odniesieniu do czynności zamawiającego, jak i wykonawcy, a realizowana jest na zasadach określonych w ustawie Pzp. Jednakże w przypadku niektórych postępowań, z uwagi na ich specyfikę i charakter, konieczne jest szczególne zadbanie o zachowanie bezpieczeństwa informacji, przejawiające się w ograniczeniu zasady jawności postępowania. Ustawa Pzp przewiduje rozwiązania i mechanizmy, które pozwalają na realizację tego celu poprzez adekwatne zabezpieczenie postępowania oraz zagwarantowanie bezpieczeństwa informacji.
Możliwość zastrzeżenia zachowania poufności
Zgodnie z art. 18 ust. 2 ustawy Pzp zamawiający może ograniczyć dostęp do informacji związanych z postępowaniem o udzielenie zamówienia tylko w przypadkach określonych w ustawie Pzp. Art. 18 ust. 4 ustawy Pzp przewiduje możliwość zastrzeżenia przez zamawiającego w dokumentach zamówienia lub w ogłoszeniu o zamówieniu wymagań dotyczących zachowania poufności w odniesieniu do informacji przekazanych wykonawcy w toku postępowania o udzielenie zamówienia publicznego. Zastrzeżenie przez zamawiającego poufności może być uzasadnione dostępem wykonawcy do informacji poufnych niezbędnych do realizacji zamówienia np. opisującej systemy bezpieczeństwa informatycznego, systemy zabezpieczenia i ochrony dostępu do siedziby, zasobów danych osobowych pracowników zamawiającego itp.
Z powyższą normą koresponduje przepis art. 96 ust. 1 ustawy Pzp, zgodnie z którym zamawiający określa w ogłoszeniu o zamówieniu lub dokumentach zamówienia wymagania związane z realizacją zamówienia, które mogą obejmować m.in. zachowanie poufnego charakteru informacji przekazanych wykonawcy w toku realizacji zamówienia. W takim przypadku zamawiający powinien określić w dokumentach zamówienia sposób dokumentowania spełniania przez wykonawcę tych wymagań, uprawnień zamawiającego w zakresie kontroli ich spełniania przez wykonawcę oraz sankcji z tytułu ich niespełnienia. Ma to na celu zapewnienie skuteczności stawianych przez zamawiającego wymogów w zakresie zachowania poufnego charakteru informacji poprzez wskazanie na konieczność przewidzenia narzędzi, które umożliwią zamawiającemu skuteczne egzekwowanie na etapie realizacji zamówienia wywiązywania się przez wykonawców z tego wymogu.
Ustawa Pzp wskazuje jedynie przykładowy, minimalny zakres wymagań, które zamawiający powinien uregulować w dokumentach zamówienia, co nie wyklucza określenia w nich również innych kwestii, istotnych z punktu widzenia realizacji postawionego przez zamawiającego warunku dotyczącego poufnego charakteru informacji. Każdorazowo zatem zamawiający jest zobowiązany ustalić, jaki zakres informacji wymaga ochrony i jak ona będzie urzeczywistniona na etapie realizacji zamówienia.
W poszczególnych trybach, w ramach przygotowania postępowania o udzielenie zamówienia publicznego zamawiający sporządza SWZ lub OPiW (opisie potrzeb i wymagań) , w których mogą znajdować się informacje wymagające szczególnej ochrony. Warto także wskazać na regulację właściwą dla zamówień sektorowych, tj. art. 371 ust. 4 ustawy Pzp, zgodnie z którym zamawiający ustanawiając system kwalifikowania wykonawców, może określić wymagania dotyczące zachowania poufnego charakteru informacji przekazanych wykonawcy w związku z systemem kwalifikowania wykonawców. Tego rodzaju wymagania powinny zostać wskazane, zgodnie z wyborem zamawiającego, w dokumentach zamówienia lub w ogłoszeniu o zamówieniu. Ponadto, zgodnie z art. 18 ust. 3 ustawy Pzp nie ujawnia się informacji stanowiących tajemnicę przedsiębiorstwa w rozumieniu przepisów ustawy z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji, jeżeli wykonawca, wraz z przekazaniem takich informacji, zastrzegł, że nie mogą być one udostępniane oraz wykazał, że zastrzeżone informacje stanowią tajemnicę przedsiębiorstwa. Wykonawca nie może zastrzec informacji, o których mowa w art. 222 ust. 5 ustawy Pzp (tj. informacji o nazwach albo imionach i nazwiskach oraz siedzibach lub miejscach prowadzonej działalności gospodarczej albo miejscach zamieszkania wykonawców, których oferty zostały otwarte; cenach lub kosztach zawartych w ofercie).
Odstąpienie od publikacji planu postępowań o udzielenie zamówień
Jednym z przejawów realizacji zasady jawności postępowania jest obowiązek sporządzania i publikowania planu postępowań o udzielenie zamówień, jakie zamawiający przewiduje przeprowadzić w danym roku finansowym (art. 23 ust. 1 ustawy Pzp). Obowiązek sporządzenia planu dotyczy zamawiających publicznych będących jednostkami sektora finansów publicznych oraz innymi państwowymi jednostkami organizacyjnymi nieposiadającymi osobowości prawnej . Zasadą jest, że plan postępowań jest publikowany w Biuletynie Zamówień Publicznych oraz na stronie internetowej zamawiającego.
Art. 23 ust. 5 ustawy Pzp wyłącza obowiązek zamieszczenia planu postępowań, jeżeli wymaga tego istotny interes bezpieczeństwa państwa lub ochrona informacji niejawnych. Informacją niejawną jest informacja określona w art. 1 ust. 1 ustawy o ochronie informacji niejawnych. Zgodnie z treścią tego przepisu informacjami niejawnymi są informacje, których nieuprawnione ujawnienie spowodowałoby lub mogłoby spowodować szkody dla Rzeczypospolitej Polskiej albo byłoby z punktu widzenia jej interesów niekorzystne, także w trakcie ich opracowywania oraz niezależnie od formy i sposobu ich wyrażania. Komisja Europejska w nocie wyjaśniającej dotyczącej bezpieczeństwa informacji za informacje niejawną uznaje wszelkie informacje lub materiały, niezależnie od ich formy, charakteru lub sposobu ich przekazania, którym przyznano określony poziom niejawności lub ochrony ze względów bezpieczeństwa i które w interesie bezpieczeństwa narodowego i zgodnie z przepisami ustawowymi, wykonawczymi i administracyjnymi obowiązującymi w danym państwie członkowskim wymagają ochrony przed wszelkim sprzeniewierzeniem, zniszczeniem, usunięciem, ujawnieniem, utratą lub dostępem ze strony osób nieupoważnionych lub wszelkim innym zagrożeniem. W art. 23 ust. 5 ustawy Pzp – obok przesłanki związanej z ochroną informacji niejawnych, przewidziano również przesłankę dotyczącą istotnego interesu bezpieczeństwa państwa. Pojęcie „istotnego interesu bezpieczeństwa państwa” odwołuje się do funkcjonowania organizmu państwowego, przede wszystkim do obszarów chronionych konstytucyjnie i zawsze wymaga identyfikacji przez konkretny podmiot stosujący prawo. Z zamówieniem dotyczącym istotnego interesu bezpieczeństwa państwa mamy do czynienia w szczególności w przypadku, gdy służy ono ochronie takich wartości jak suwerenność państwa, jego międzynarodowa pozycja, niepodległość, nienaruszalność terytorium czy obronność państwa.
Odstępstwa od obowiązku publikacji części SWZ lub OPiW
Jednym z podstawowych narzędzi realizacji zasady jawności postępowania jest publikacja informacji dotyczących postępowania na zasadach określonych w ustawie Pzp. SWZ jest podstawowym dokumentem zamówienia, w którym powinny być opisane wszystkie warunki zamówienia. Zgodnie z art. 7 pkt 29 ustawy Pzp, przez warunki zamówienia należy rozumieć warunki, które dotyczą zamówienia lub postępowania o udzielenie zamówienia, wynikające w szczególności z opisu przedmiotu zamówienia, wymagań związanych z realizacją zamówienia, kryteriów oceny ofert, wymagań proceduralnych lub projektowanych postanowień umowy w sprawie zamówienia publicznego. Jak wynika z powyższego, w SWZ mogą być zawarte informacje, które mogą mieć kluczowe znaczenie w kontekście bezpieczeństwa postępowania i bezpieczeństwa realizacji przedmiotu zamówienia.
Zasadą jest, że zamawiający ma obowiązek udostępnić specyfikację warunków zamówienia (SWZ) na stronie prowadzonego postępowania (art. 133 ust. 1 ustawy Pzp). Ustawa Pzp przewiduje odstępstwo od tego obowiązku w art. 133 ust. 3 ustawy Pzp, zgodnie z którym zamawiający może nie udostępniać części SWZ na stronie internetowej prowadzonego postępowania z powodu ochrony poufnego charakteru informacji zawartych w SWZ. W takim przypadku zamawiający musi określić w ogłoszeniu o zamówieniu sposób dostępu do tych informacji oraz wymagania związane z ochroną ich poufnego charakteru. Przepis ten ma zastosowanie w trybie przetargu nieograniczonego (art. 133 ust. 3 ustawy Pzp), w przetargu ograniczonym (art. 141 ustawy Pzp) i partnerstwie innowacyjnym (w odniesieniu do opisu potrzeb i wymagań - art. 191 ust. 2 ustawy Pzp), natomiast odpowiednio stosuje się go w trybach: negocjacji z ogłoszeniem (w odniesieniu do opisu potrzeb i wymagań - art. 155 ust. 3 ustawy Pzp), dialogu konkurencyjnym (w odniesieniu do opisu potrzeb i wymagań - art. 173 ustawy Pzp)
Ustawa Pzp przewiduje analogiczne rozwiązania w przypadku prowadzenia postępowania poniżej progów unijnych w trybie podstawowym (art. 280 ust. 3 ustawy Pzp) i w trybie partnerstwa innowacyjnego (w odniesieniu do opisu potrzeb i wymagań - art. 297 w zw. z art. 191 ust. 2 ustawy Pzp).
Odstąpienie od użycia środków komunikacji elektronicznej
Zasadą na gruncie ustawy Pzp jest komunikacja w postępowaniu przy użyciu środków komunikacji elektronicznej . To rozwiązanie, wygodne i szybkie w przypadku standardowych postępowań, może nie być odpowiednie dla postępowań, w których należy zapewnić szczególną ochronę bezpieczeństwa informacji i wrażliwych danych. Ustawa Pzp przewiduje możliwość odstąpienia od tego obowiązku w okolicznościach wskazanych w art. 65 ust. 1 pkt 6 ustawy Pzp. Zgodnie z treścią tego przepisu, zamawiający może odstąpić od wymagania użycia środków komunikacji elektronicznej, jeżeli jest to niezbędne z uwagi na potrzebę ochrony informacji szczególnie wrażliwych, której nie można zagwarantować w sposób dostateczny przy użyciu środków komunikacji elektronicznej lub innych narzędzi, lub urządzeń, które są ogólnie dostępne dla wykonawców lub które mogłyby być udostępnione przez zamawiającego. Jeżeli zamawiający skorzysta z tej możliwości, to zgodnie z art. 134 ust. 1 pkt 11 ustawy Pzp (poniżej progów unijnych: art. 281 ust. 1 pkt 9 ustawy Pzp) zobowiązany jest do wskazania w SWZ informacji o sposobie komunikowania się zamawiającego z wykonawcami w inny sposób niż przy użyciu środków komunikacji elektronicznej. Analogiczna regulacja przewidziana została w art. 156 ust. 1 pkt 12 ustawy Pzp w przypadku sporządzania opisu potrzeb i wymagań w ramach trybów wieloetapowych jak np. przetarg ograniczony (poniżej progów unijnych: art. 282 ust. 1 ustawy Pzp – w przypadku wariantu 3 trybu podstawowego).
Możliwość nieprzekazywania informacji o wyborze oferty najkorzystniejszej
Obowiązek zamawiającego w zakresie informowania wykonawców o wyborze oferty najkorzystniejszej wpisuje się w realizację zasady jawności postępowania. Jak stanowi art. 253 ust. 1 ustawy Pzp, niezwłocznie po wyborze najkorzystniejszej oferty zamawiający informuje równocześnie wykonawców, którzy złożyli oferty o: wyborze najkorzystniejszej oferty ze wskazaniem oferty wybranej, informacji o wykonawcach, którzy złożyli oferty i przyznanej im punktacji oraz informację o wykonawcach, których oferty zostały odrzucone – z podaniem uzasadnienia faktycznego i prawnego. Informacje te podaje się również na stronie internetowej prowadzonego postępowania (art. 253 ust. 2 ustawy Pzp).
Ustawa Pzp przewiduje jednak możliwość odstąpienia od przekazywania i publikowania tych informacji, jeżeli zachodzą przesłanki określone w art. 253 ust. 3 ustawy Pzp. Zgodnie z treścią tego przepisu, zamawiający może nie przekazywać wykonawcom informacji o wyborze najkorzystniejszej oferty ani informacji o odrzuceniu ofert, jak również może nie publikować informacji o wyborze najkorzystniejszej oferty na stronie internetowej prowadzonego postępowania, jeżeli ich ujawnienie byłoby sprzeczne z ważnym interesem publicznym.
Nieudostępnianie protokołu postępowania w zakresie informacji mających charakter poufny
Protokół postępowania realizuje zasadę jawności postępowania, a jego celem jest dokładne odzwierciedlenie przebiegu danego postępowania. Zasadą jest, że dostęp do protokołu nie jest limitowany koniecznością wykazania się interesem prawnym oraz nie jest ograniczony tylko do wykonawców biorących udział w postępowaniu (zob. art. 74 ust. 1 ustawy Pzp). Ograniczenia w zakresie dostępności protokołu postępowania dotyczą ochrony danych osobowych oraz innych sytuacji wyraźnie wskazanych w ustawie Pzp, zwłaszcza informacji, które mają charakter poufny, w tym informacji przekazywanych w toku negocjacji lub dialogu (art. 74 ust. 2 i 3 ustawy Pzp). Dotyczy to zarówno samego protokołu, ale także załączników do protokołu.
Źródło: Urząd Zamówień Publicznych