Art. 15. Przetwarzanie danych osobowych

1. Podmiot certyfikujący jest administratorem danych osobowych, w tym danych przekazywanych przez wykonawcę w związku z ubieganiem się o udzielenie certyfikacji, prowadzeniem stałego nadzoru nad aktualnością ważności certyfikacji oraz aktualizacją jej ważności.

2. Dane osobowe są przetwarzane przez podmiot certyfikujący odpowiednio w celu i zakresie niezbędnym do potwierdzania, że wykonawca w zakresie przez niego wskazanym:

1) nie podlega wykluczeniu z postępowania o udzielenie zamówienia;

2) posiada zdolności do należytego wykonania zamówienia.

3. Podmiot certyfikujący przetwarza dane osobowe od dnia złożenia wniosku o certyfikację, w toku procedury certyfikacji oraz przez okres, na jaki została udzielona certyfikacja, a także przez okres 3 lat licząc od dnia zakończenia procedury certyfikacji albo utraty ważności certyfikacji, jeżeli certyfikacja została udzielona. Podmiot certyfikujący trwale usuwa dane osobowe po upływie okresów wskazanych w zdaniu pierwszym.

4. Osoby pozostające w stosunku pracy z podmiotem certyfikującym oraz zatrudnione przez ten podmiot na podstawie umowy o dzieło, umowy zlecenia albo innej umowy o podobnym charakterze są obowiązane do zachowania w poufności wszelkich informacji i danych, które pozyskały w związku z postępowaniem w sprawie udzielenia certyfikacji, także po ustaniu tego stosunku pracy albo rozwiązaniu tej umowy.

Komentarz do Art. 15.

Przepis określa zasady przetwarzania danych osobowych przez podmiot certyfikujący w związku z procedurą certyfikacji wykonawcy. Podmiot ten jest administratorem danych, które wykonawca przekazuje przy ubieganiu się o certyfikację, a także danych wykorzystywanych przy stałym nadzorze nad aktualnością ważności certyfikacji oraz przy jej aktualizacji.

Zakres przetwarzania został powiązany z celami certyfikacji. Dane mogą być przetwarzane w zakresie niezbędnym do potwierdzenia, że wykonawca, w odniesieniu do wskazanego przez siebie zakresu, nie podlega wykluczeniu z postępowania o udzielenie zamówienia oraz posiada zdolności do należytego wykonania zamówienia. Oznacza to, że przepis wiąże wykorzystywanie danych z oceną dwóch podstawowych elementów dotyczących wykonawcy.

Regulacja wskazuje również ramy czasowe przetwarzania. Rozpoczyna się ono w dniu złożenia wniosku o certyfikację i trwa w toku procedury, a następnie przez okres, na jaki certyfikacja została udzielona. Jeżeli certyfikacja została udzielona, dane są przetwarzane także przez 3 lata od dnia zakończenia procedury certyfikacji albo od dnia utraty ważności certyfikacji. Po upływie tych okresów podmiot certyfikujący ma obowiązek trwale usunąć dane osobowe.

Przepis zabezpiecza także poufność informacji. Osoby pozostające z podmiotem certyfikującym w stosunku pracy lub wykonujące dla niego zadania na podstawie wskazanych umów muszą zachować w poufności wszelkie informacje i dane uzyskane w związku z postępowaniem certyfikacyjnym. Obowiązek ten trwa również po zakończeniu zatrudnienia albo rozwiązaniu umowy, co chroni informacje także po ustaniu współpracy.

Komentarz ma charakter informacyjny i nie stanowi porady prawnej.

Tekst przepisu: akt uchwalony przez Sejm Rzeczypospolitej Polskiej, Dziennik Ustaw z 2025 r. poz. 1235.Indeks rzeczowy, tytuł redakcyjny i interpretacja przepisu: Kancelarium.

Art. 14.Art. 16.