epravo.cz

Přihlášení / registrace

Nemáte ještě účet? Zaregistrujte se


Zapomenuté heslo
    Přihlášení / registrace
    • ČLÁNKY
      • občanské právo
      • obchodní právo
      • insolvenční právo
      • finanční právo
      • správní právo
      • pracovní právo
      • trestní právo
      • evropské právo
      • veřejné zakázky
      • ostatní právní obory
    • ZÁKONY
      • sbírka zákonů
      • sbírka mezinárodních smluv
      • právní předpisy EU
      • úřední věstník EU
    • SOUDNÍ ROZHODNUTÍ
      • občanské právo
      • obchodní právo
      • správní právo
      • pracovní právo
      • trestní právo
      • ostatní právní obory
    • AKTUÁLNĚ
      • 10 otázek
      • tiskové zprávy
      • vzdělávací akce
      • komerční sdělení
      • ostatní
      • rekodifikace TŘ
    • Rejstřík
    • E-shop
      • Online kurzy
      • Online konference
      • Záznamy konferencí
      • EPRAVO.CZ Premium
      • Konference
      • Monitoring judikatury
      • Publikace a služby
      • Společenské akce
      • Advokátní rejstřík
      • Partnerský program
    • Předplatné
    9. 2. 2018
    ID: 107046upozornění pro uživatele

    GDPR ve VZ aneb ochrana osobních údajů v rámci zadávání veřejných zakázek

    Zkratka „GDPR“, neboli Obecné nařízení o ochraně osobních údajů, je v posledních měsících všudypřítomná. Stejně jako samotná oblast ochrany osobních údajů, která rovněž prostupuje v každé organizaci téměř všemi interními procesy. Ne jinak je tomu u zadavatelů veřejných zakázek, kteří by v rámci procesů zadávání měli rovněž zohlednit oblast ochrany osobních údajů.

     
    Ambruz & Dark Deloitte Legal s.r.o., advokátní kancelář 
     
    Úvodem pro úplnost uvádíme několik faktických informací k nové právní regulaci. Nařízení Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) bylo přijato 27. dubna 2016 a bude účinné od 25. května 2018. Nařízení bude přímo aplikovatelné na území Evropské unie bez nutnosti provedení zákonem v jednotlivých státech.

    V srpnu 2017 byl dále zveřejněn návrh českého zákona o zpracování osobních údajů z dílny Ministerstva vnitra, který byl připraven ve spolupráci s Úřadem pro ochranu osobních údajů a má nahradit stávající zákon 101/2000 Sb., o ochraně osobních údajů. Návrh zákona se snaží neduplikovat jednotlivé články GDPR, ale upravuje vesměs ty instituty, kde byla členským státům dána možnost vlastního uvážení při volbě vhodné právní úpravy.

    Orientace v základních pojmech

    Základním předpokladem pro další práci s GDPR je orientace v základních pojmech ochrany osobních údajů. Níže tedy uvádíme alespoň ty nejdůležitější, které se v rámci zadávání veřejných zakázek mohou vyskytovat:

    Osobní údaje: jsou veškeré informace o identifikované nebo identifikovatelné fyzické osobě (tj. subjektu údajů).

    Správce: subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů nebo kterému je zpracování určeno zákonem – tedy např. zadavatel.

    Zpracovatel: subjekt, který zpracovává osobní údaje pro správce a podle jeho pokynů – tedy např. externí společnost, která pro zadavatele externě zajišťuje administraci zadávacích řízení.

    Zpracování: jakákoli operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, která je prováděna pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení – tedy např. pokud zadavatel sestavuje tabulky jednotlivých specialistů – fyzických osob zahrnutých do nabídek účastníků za účelem vyhodnocení těchto nabídek.

    Pseudonymizace: zpracování osobních údajů tak, že již nemohou být přiřazeny konkrétnímu subjektu údajů bez použití dodatečných informací, pokud jsou tyto dodatečné informace uchovávány odděleně a vztahují se na ně technická a organizační opatření, aby bylo zajištěno, že nebudou přiřazeny identifikované či identifikovatelné fyzické osobě – tedy například oddělení konkrétní identifikace fyzické osoby od dalších kvalitativních parametrů této osoby (vzdělání, zkušenosti), které mohou být předmětem hodnocení.

    Reklama
    Nemáte ještě registraci na epravo.cz?

    Registrujte se, získejte řadu výhod a jako dárek Vám zašleme aktuální online kurz na využití umělé inteligence v praxi.

    REGISTROVAT ZDE
    Oblast veřejných zakázek a osobní údaje

    Jak bylo uvedeno výše, oblast ochrany osobních údajů je „všeprostupující“ a nevyhýbá se ani procesu zadávání. Účelem tohoto článku je stručné upozornění na souvislosti právní úpravy zadávání veřejných zakázek a právní úpravy ochrany osobních údajů, které nemusí být na první pohled zřejmé a na dopady GDPR do procesů zadávání veřejných zakázek.

    Stejně jako u jiných GDPR analýz je na prvním místě nezbytné odhalit v rámci procesů zadávání, v jakých souvislostech se osobní údaje vyskytují, jaký je jejich rozsah, jaké jsou jejich zdroje, jak je s nimi nakládáno, jaký je účel zpracování, jaký je právní titul k jejich zpracování a jaké je obecně postavení zadavatele.

    Nelze opomenout ani zadavatele, kteří k zadávání zakázek využívají tzv. outsourcing, tedy svěřují proces administrace veřejných zakázek externím subjektům - administrátorům veřejných zakázek. Administrátor veřejných zakázek se tak dostává do postavení zpracovatele, kterému zadavatel – správce, svěřuje osobní údaje obsažené v nabídkách. Z tohoto hlediska by mezi zpracovatelem a správcem měla vždy být uzavřena smlouva o zpracování osobních údajů se všemi specifiky ve smyslu čl. 28 odst. 3 GDPR, zejména zajištění mlčenlivosti, přijetí technických opatření k zabezpečení osobních údajů a jejich průběžné kontroly.

    Pokud o postavení zadavatele, ten bude vždy v postavení správce osobních údajů, tedy subjektu, který určuje účely a prostředky zpracování osobních údajů nebo kterému je zpracování určeno zákonem.

    Právním titulem bude v souladu s čl. 6 odst. 1 písm. b) GDPR tzv. zpracování před uzavřením smlouvy, resp. v souladu s písm. c) ve spojení se ZZVZ zpracování, jenž je nezbytné pro splnění právní povinnosti. Rozsah osobních údajů bude vždy záviset na požadavcích zadavatele, které by měly být vždy přiměřené účelu. Zdrojem těchto osobních údajů budou zpravidla účastníci zadávacích řízení.[1]

    Účelem je pak naplnění zákonných povinností zadavatelů veřejných zakázek. Tedy ad absurdum zadavatel podnikající například v dopravě nebo energetice není oprávněn osobní údaje získané v rámci nabídky do veřejné zakázky využívat k rozesílání vlastních marketingových sdělení, neboť takový účel mu právní titul nepokrývá. Ale nemusí se jednat pouze o takový zřejmý exces – stejné pravidlo bude platit, pokud si zadavatel bude z nabídek v rámci životopisů expertů předložených dodavatelem v rámci nabídky vybírat experty, které následně osloví s nabídkou zaměstnání.

    Reklama
    AI asistent pro právní výzkum a analýzu dokumentů (online - živé vysílání) - 17.9.2025
    AI asistent pro právní výzkum a analýzu dokumentů (online - živé vysílání) - 17.9.2025
    17.9.2025 13:003 975 Kč s DPH
    3 285 Kč bez DPH

    Koupit

    Příklad zpracování osobních údajů

    Příkladem, kde se mohou osobní údaje v rámci procesu zadávání vyskytovat, může být proces kvalifikace pro nadlimitní režim, z nějž vybereme pro potřeby ukázky nakládání s osobními údaji osobní údaje předkládané v rámci prokázání technických kvalifikačních předpokladů ve smyslu § 79 odst. 2 písm. d) ZZVZ, tedy osvědčení o vzdělání a odborné kvalifikaci vztahující se k požadovaným dodávkám, službám nebo stavebním pracím, a to jak ve vztahu k fyzickým osobám, které mohou dodávky, služby nebo stavební práce poskytovat, tak ve vztahu k jejich vedoucím pracovníkům.

    Příkladů výskytu osobních údajů nejen v rámci procesu kvalifikace je celá řada,[2] nicméně není účelem tohoto článku podat vyčerpávající výčet všech možných situací, kdy se zadavatel dostává ke zpracování osobních údajů. Samotné nakládání s osobními údaji v podstatě začíná už na straně dodavatele přípravou a podáním nabídky. Odpovědnost zadavatele začíná otevřením obálky s nabídkami, byť už samotné zadávací podmínky by neměly požadovat od účastníků zadávacího řízení extenzivní množství osobních údajů nad rámec účelu zákona. Následují procesy zpřístupnění obsahu nabídek, jejich vyhodnocení, uložení, archivace a přístup k nim včetně případného zveřejnění. Na shora uvedeném příkladu prokázání technické kvalifikace však lze demonstrovat, jak by s osobními údaji mělo být nakládáno.

    Standardním podkladem u prokazování kvalifikace konkrétními fyzickými osobami je kromě životopisu také doklad o vzdělání, např. vysokoškolský diplom. Součástí tohoto diplomu pak jsou osobní údaje vedoucí k jednoznačné identifikaci konkrétního člověka, slovy GDPR subjektu údajů.

    Předložený diplom včetně osobních údajů u zadavatelů nyní zpravidla nepožívá žádné zvláštní ochrany. Nabídky v elektronické podobě jsou často přeposílány e-mailem, ukládány na lokální disky, předávány externím zpracovatelům, kopírovány členům hodnotící komise, externím konzultantům hodnotící komise apod. Nabídka samotná je pak na konci procesu hodnocení nabídka uložena do archivu, případně do elektronického archivu, přičemž pořízené tištěné či elektronické kopie už „nejsou předmětem zájmu“.

    Pokud bychom k diplomu, jakožto dokumentu obsahujícímu osobní údaje přistoupili dle zásad GDPR, bylo by nutné omezit kontakt s osobními údaji na osoby, které jej v rámci zadávacího procesu skutečně potřebují ke své činnosti a pro ostatní, kteří pracují s jinými částmi nabídky, poskytnout nabídku se zamezením přístupu k těmto údajům.

    Dále by bylo nezbytné zajistit mlčenlivost všech osob, které osobní údaje potřebují a zamezit kopírování, lokálnímu ukládání nabídek atd. Pokud se údaje o technické kvalifikaci např. vytahují z nabídek do kontrolních tabulek, lze doporučit jejich pseudonymizaci.

    Po skončení procesu hodnocení by pak měla být nabídka archivována tak, aby nemohlo dojít k dalšímu kontaktu neautorizovaných osob s osobními údaji uvedenými v nabídce. Stejně tak by měly být kvalifikovaným způsobem zničeny veškeré případné tištěné či elektronické kopie, které byly nezbytné pro dokončení procesu hodnocení nabídek.

    Na uložené dokumenty je pak nezbytné pohlížet jako na dokumenty obsahující osobní údaje a další nakládání s nabídkami se bude řídit obecnými interními směrnicemi zadavatelů o nakládání s osobními údaji. V případě předávání nabídek externím subjektů by vždy měla být součástí spolupráce smlouva o zpracování osobních údajů obsahující popis vhodných technických opatření zamezujících případnému zneužití osobních údajů.

    V případě dobrovolného zveřejňování celých nabídek by pak samozřejmě měly být osobní údaje dostatečným způsobem začerněny či vymazány.

    Dodavatelé


    Obdobné povinnosti se vztahují také na účastníky zadávacích řízení, kteří si svá vyhotovení nabídek do veřejných zakázek rovněž archivují. Nabídky jsou mnohdy výsledkem společného úsilí řady dodavatelů v rámci konsorcií či případně subdodavatelských řetězců, tedy účastníci zadávacích řízení začasté zpracovávají osobní údaje zaměstnanců třetích osob. Na všechny tyto dokumenty pak dopadají povinnosti uložené správcům osobních údajů v rámci GDPR.

    Závěr

    Pro úplnost lze závěrem podotknout, že většina povinností v oblasti ochrany osobních údajů dopadala na zadavatele i dodavatele i dle dosavadních právních předpisů[3], avšak z praxe je zřejmé, že otázku ochrany osobních údajů začala celá řada subjektů seriózně řešit až právě s příchodem GDPR. Jak bylo demonstrováno výše, subjekty, které zadávají veřejné zakázky, případně se veřejných zakázek účastní jako dodavatelé, by při implementaci GDPR neměly opomenout ani tuto oblast a kromě nastavení obecných standardů interní ochrany osobních údajů zavést rovněž specifické procesy ochrany osobních údajů při zadávání veřejných zakázek. Součástí této implementace by rovněž mělo být vyhotovení záznamu o činnostech zpracování ve smyslu čl. 30 GDPR.


    Mgr. Ondřej Chmela

    Mgr. Ondřej Chmela
    ,
    advokát


    Ambruz & Dark Deloitte Legal s.r.o., advokátní kancelář

    Karolinská 654/2
    186 00  Praha 8

    Tel.:    +420 246 042 100
    Fax:    +420 246 042 030
    e-mail:    legalcz@deloittece.com

    Právnická firma roku 2017
     
    ______________________________
    [1] Může se však jednat i o účastníky předběžných tržních konzultací či stěžovatele podávající námitky proti zadávacím podmínkám.
    [2] Např. výstupy z předběžných tržních konzultací, které mohou zahrnovat osobní údaje, dokumentaci k prohlídce místa plnění, prohlášení související se střetem zájmů a mnohé další.
    [3] Zákon 101/2000 Sb., o ochraně osobních údajů, ve znění pozdějších předpisů.


    © EPRAVO.CZ – Sbírka zákonů , judikatura, právo | www.epravo.cz

    Mgr. Ondřej Chmela (Ambruz & Dark Deloitte Legal)
    9. 2. 2018

    Poslat článek emailem

    *) povinné položky

    Další články:

    • Přezkum rozhodnutí CAS vnitrostátními soudy Evropské unie
    • Matzner: Řešme také jak dál s AML. A vyvarujme se nadměrné zátěži a zbytečné byrokracie
    • Určení výše přiměřené slevy z kupní ceny
    • Dočasný zákaz výkonu funkce statutára dle zákona o kybernetické bezpečnosti a nové povinnosti pro statutáry
    • Soudní ombudsman jako most mezi soudy, advokacií a veřejností
    • Byznys a paragrafy, díl 17.: Přístup do datové schránky právnické osoby při úmrtí jednatele
    • Realitní obchod, provize zprostředkovatele a právní důsledky odstoupení od kupní smlouvy
    • Limity nároku poškozeného na náhradu nákladů za nájem náhradního vozidla
    • Druhá vlna povinností dle AI Aktu
    • Smlouva uzavřená mezi studentem a soukromou vysokou školou jako smlouva spotřebitelská – nález Ústavního soudu ze dne 5. února 2025, sp. zn. IV. ÚS 2093/24
    • Specifika výpovědi podnájemní smlouvy bytu optikou judikatury Nejvyššího soudu

    Novinky v eshopu

    Aktuální akce

    • 17.09.2025AI asistent pro právní výzkum a analýzu dokumentů (online - živé vysílání) - 17.9.2025
    • 19.09.2025Dopady novely znaleckého zákona na dokazování znaleckým posudkem v civilním řízení (online - živé vysílání) - 19.9.2025
    • 23.09.2025Investice do startupů – pohled VC fondu vs. pohled startup (online - živé vysílání) - 23.9.2025
    • 24.09.2025ESG Omnibus – Co se mění v reportingu a udržitelnosti? Úleva pro firmy, nebo ústup z odpovědnosti? Víte, co vás čeká? (online – živé vysílání) – 24.9.2025
    • 24.09.2025Mediace a vyjednávání nejen v podnikání (online – živé vysílání) – 24.9.2025

    Online kurzy

    • Úvod do problematiky squeeze-out a sell-out
    • Pořízení pro případ smrti: jak zajistit, aby Váš majetek zůstal ve správných rukou
    • Zaměstnanec – rodič z pohledu pracovněprávních předpisů
    • Flexi novela zákoníku práce
    • Umělá inteligence a odpovědnost za újmu
    Lektoři kurzů
    JUDr. Tomáš Sokol
    JUDr. Tomáš Sokol
    Kurzy lektora
    JUDr. Martin Maisner, Ph.D., MCIArb
    JUDr. Martin Maisner, Ph.D., MCIArb
    Kurzy lektora
    Mgr. Marek Bednář
    Mgr. Marek Bednář
    Kurzy lektora
    Mgr. Veronika  Pázmányová
    Mgr. Veronika Pázmányová
    Kurzy lektora
    Mgr. Michaela Riedlová
    Mgr. Michaela Riedlová
    Kurzy lektora
    JUDr. Jindřich Vítek, Ph.D.
    JUDr. Jindřich Vítek, Ph.D.
    Kurzy lektora
    Mgr. Michal Nulíček, LL.M.
    Mgr. Michal Nulíček, LL.M.
    Kurzy lektora
    JUDr. Ondřej Trubač, Ph.D., LL.M.
    JUDr. Ondřej Trubač, Ph.D., LL.M.
    Kurzy lektora
    JUDr. Jakub Dohnal, Ph.D., LL.M.
    JUDr. Jakub Dohnal, Ph.D., LL.M.
    Kurzy lektora
    JUDr. Tomáš Nielsen
    JUDr. Tomáš Nielsen
    Kurzy lektora
    všichni lektoři

    Konference

    • 02.10.2025Trestní právo daňové - 2.10.2025
    • 03.10.2025Daňové právo 2025 - Daň z přidané hodnoty - 3.10.2025
    Archiv

    Magazíny a služby

    • Monitoring judikatury (24 měsíců)
    • Monitoring judikatury (12 měsíců)
    • Monitoring judikatury (6 měsíců)

    Nejčtenější na epravo.cz

    • 24 hod
    • 7 dní
    • 30 dní
    • Právo na víkend - týden v české justici očima šéfredaktora
    • K otázce stupně intenzity porušení povinnosti zaměstnance
    • Spolehlivost osoby v civilním letectví
    • Určení výše přiměřené slevy z kupní ceny
    • Osvobozený příjem nerovná se automaticky bez povinností: kdy musíte hlásit dar nebo dědictví?
    • Přezkum rozhodnutí CAS vnitrostátními soudy Evropské unie
    • Právo na soukromí vs. transparentnost firem: Kontroverze kolem evidence skutečných majitelů
    • Matzner: Řešme také jak dál s AML. A vyvarujme se nadměrné zátěži a zbytečné byrokracie
    • Osvobozený příjem nerovná se automaticky bez povinností: kdy musíte hlásit dar nebo dědictví?
    • K otázce stupně intenzity porušení povinnosti zaměstnance
    • Určení výše přiměřené slevy z kupní ceny
    • Dočasný zákaz výkonu funkce statutára dle zákona o kybernetické bezpečnosti a nové povinnosti pro statutáry
    • Rozpor evidence skutečných majitelů s právem EU a jeho dopad na veřejné zakázky
    • Trestní odpovědnost provozovatelů anonymních sítí
    • Flexinovela a změny v oblasti jiných důležitých osobních překážek v práci
    • Realitní obchod, provize zprostředkovatele a právní důsledky odstoupení od kupní smlouvy
    • Oprávnění policejního orgánu k odemknutí mobilního telefonu nuceným přiložením prstu obviněného
    • V čem Nejvyšší soud selhává a proč by mu to advokáti měli říct
    • Realitní obchod, provize zprostředkovatele a právní důsledky odstoupení od kupní smlouvy
    • Specifika výpovědi podnájemní smlouvy bytu optikou judikatury Nejvyššího soudu
    • Koncentrace řízení a kdy je čas na poučení
    • Praktické dopady tzv. flexi novely zákoníku práce na běh a délku výpovědní doby
    • Flexinovela a změny v oblasti jiných důležitých osobních překážek v práci
    • Limity rozhodování ve společenství vlastníků jednotek: výbor vs. shromáždění

    Soudní rozhodnutí

    Insolvence

    Jestliže „osoba s právem postihu“ přihlásí regresní pohledávku (v souladu s § 173 odst. 3 a § 183 odst. 3 insolvenčního zákona v odpovídajícím znění) do insolvenčního řízení...

    Jednočinný souběh (exkluzivně pro předplatitele)

    Jednočinný souběh zvlášť závažných zločinů těžkého ublížení na zdraví podle § 145 odst. 1, odst. 2 písm. g) tr. zákoníku a násilí proti úřední osobě podle § 325 odst. 1...

    Obnova řízení (exkluzivně pro předplatitele)

    Je-li dán některý z důvodů nutné obhajoby podle § 36a odst. 2 písm. a) až d) tr. ř., musí mít obviněný obhájce již od počátku řízení o návrhu na povolení obnovy řízení,...

    Oddlužení (exkluzivně pro předplatitele)

    Má-li být jediným příjmem, z nějž je dlužník za trvání oddlužení schopen splácet pohledávky svých věřitelů, částka, kterou se označený dárce zavázal v darovací smlouvě...

    Prodej jednotky (exkluzivně pro předplatitele)

    Účelem prodeje jednotky podle § 1184 o. z. je primárně ochrana vlastnického práva (a jeho výkonu) ostatních vlastníků jednotek, byť může mít také sankční povahu – postih...

    Hledání v rejstřících

    • mapa serveru
    • o nás
    • reklama
    • podmínky provozu
    • kontakty
    • publikační podmínky
    • FAQ
    • obchodní a reklamační podmínky
    • Ochrana osobních údajů - GDPR
    • Nastavení cookies
    100 nej
    © EPRAVO.CZ, a.s. 1999-2025, ISSN 1213-189X
    Provozovatelem serveru je EPRAVO.CZ, a.s. se sídlem Dušní 907/10, Staré Město, 110 00 Praha 1, Česká republika, IČ: 26170761, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze pod spisovou značkou B 6510.
    Automatické vytěžování textů a dat z této internetové stránky ve smyslu čl. 4 směrnice 2019/790/EU je bez souhlasu EPRAVO.CZ, a.s. zakázáno.

    Jste zde poprvé?

    Vítejte na internetovém serveru epravo.cz. Jsme zdroj informací jak pro laiky, tak i pro právníky profesionály. Zaregistrujte se u nás a získejte zdarma řadu výhod.

    Protože si vážíme Vašeho zájmu, dostanete k registraci dárek v podobě unikátního online kurzu Základy práce s AI. Tento kurz vás vybaví znalostmi a nástroji potřebnými k tomu, aby AI nebyla jen dalším trendem, ale spolehlivým partnerem ve vaší praxi. Připravte se objevit potenciál AI a zjistit, jak může obohatit vaši kariéru.

    Registrace je zdarma, k ničemu Vás nezavazuje a získáte každodenní přehled o novinkách ve světě práva.


    Vaše data jsou u nás v bezpečí. Údaje vyplněné při této registraci zpracováváme podle podmínek zpracování osobních údajů



    Nezapomněli jste něco v košíku?

    Vypadá to, že jste si něco zapomněli v košíku. Dokončete prosím objednávku ještě před odchodem.


    Přejít do košíku


    Vaši nedokončenou objednávku vám v případě zájmu zašleme na e-mail a můžete ji tak dokončit později.