Zdaniem odwołującego zamawiający dopuścił się również naruszeń przepisów Pzp i RODO, ponieważ nie określił w treści umów zasad przetwarzania danych osobowych oraz zasad powierzenia przetwarzania danych osobowych zgodnie z RODO, podczas gdy zarówno zamawiający, jak i wykonawca będą przetwarzać dane osobowe pracowników zatrudnionych na umowę o pracę, osób do przeszkolenia wskazanych w umowach oraz osób wskazanych jako kierownicy, czy przedstawiciele lub koordynatorzy lub członkowie zespołu projektowego, podczas gdy jest to konieczne w celu wykonania umów, jak i dokonania weryfikacji zgodności postanowień w zakresie danych osobowych z RODO.
W ocenie odwołującego konieczność określenia ww. zasad przetwarzania jest istotną okolicznością, którą określa zasady realizacji zamówienia.
W ocenie Krajowej Izby Odwoławczej zarzut nie potwierdził się. Krajowa Izba Odwoławcza podziela w tym zakresie stanowisko i argumenty przestawione przez zamawiającego.
Krajowa Izba Odwoławcza zwróciła uwagę, że zgodnie z postanowieniami wzorów umów wszelkie dokumenty potwierdzające zatrudnienie pracownika na umowę o pracę mają być przedkładane zamawiającemu w formie zanonimizowanej. Oznacza to, że zamawiający nie otrzyma danych osobowych pracowników zatrudnionych na umowę o pracę, a w związku z tym nie będzie przetwarzał danych osobowych takich pracowników.
Zamawiający wskazał, że nie będzie przekazywał wykonawcy danych osobowych swoich pracowników, zaś odwołujący nie wskazał jakie to dane osobowy otrzymane do wykonawcy byłyby przetwarzane przez zamawiającego.
Ponadto, jak wskazał zamawiający, dane osobowe pracowników zamawiającego, którzy mają być objęci szkoleniem nie będą przekazane wykonawcy. Obowiązek wyznaczenia i weryfikacji tożsamości takich pracowników spoczywa na zamawiającym. Fakt wykonania przedmiotu zamówienia ww. zakresie zostanie potwierdzony przez przedstawiciela zamawiającego. Tym samym nie sposób przyjąć, aby na tej podstawie zamawiający przekazywał wykonawcy dane osobowe swoich pracowników, co czyni wniosek o uregulowanie kwestii przetwarzania danych osobowych bezzasadnym.
Co się zaś tyczy osób wskazanych w umowie jako członkowie zespołu kierowników lub projektantów oraz przedstawiciela wykonawcy, Krajowa Izba Odwoławcza przychyliła się do stanowiska zamawiającego, że pozyskanie danych tych osób nie stanowi powierzenia danych osobowych w celu ich przetwarzania w rozumieniu art. 28 ust. 3 RODO. Zamawiający pozyskuje bowiem dane osobowe osób wskazanych przez wykonawcę w umowie do realizacji zamówienia, nie przetwarza ich jednak w imieniu administratora, ale w imieniu własnym. W takim przypadku ciąży na nim jedynie obowiązek informacyjny wskazanych w art. 14 RODO. Realizując ten obowiązek informacyjny zamawiający zobowiązał wykonawcę w umowie do przedłożenia osobom, których dane zostaną przekazane zamawiającemu w celu realizacji przedmiotu zamówienia informacji, której wzór stanowił załącznik nr 2 do projektów umów.
W ocenie Krajowej Izby Odwoławczej słusznie również wskazał zamawiający, że z podobną sytuacją mamy do czynienia w zakresie danych osobowych dotyczących osób wskazanych przez zamawiającego do kontaktu w związku z realizacją zamówienia. Nie mamy w takim przypadku co czynienia z powierzeniem przetwarzania danych osobowych przez wykonawcę w imieniu zamawiającego. Wykonawca pozyskuje ww. dane w związku z realizacją zamówienia i zamawiający nie określa wykonawcy celów przetwarzania tj. nie jest to powierzenie w celu przetwarzania danych w imieniu zamawiającego. W takim przypadku, wykonawcę, podobnie jak zamawiającego, dotyczy obowiązek informacyjny, o jakim mowa w art. 14 RODO.
Wyrok z dnia 30 lipca 2018 r., KIO 1380/18 KIO 1384/18
Źródło: www.uzp.gov.pl