Duomenų apsaugos pareigūno paslaugos viešajame pirkime: ką numatyti perkančiajai organizacijai

Bendrasis duomenų apsaugos reglamentas (toliau – BDAR) leidžia pareigūną turėti savo darbuotoją arba pirkti paslaugą: pareigūnas gali atlikti užduotis pagal paslaugų teikimo sutartį (BDAR 37 str. 6 d.). Perkančioji organizacija tokią paslaugą perka pagal Viešųjų pirkimų įstatymą (toliau – VPĮ). VPĮ nustato, kaip pirkti. BDAR nustato, ką nupirkti: ne dokumentų rinkinį, o pareigūno funkciją su BDAR nustatytomis garantijomis ir užduotimis (BDAR 38 ir 39 str.).

Jei perkančioji organizacija yra valdžios institucija ar įstaiga, kaip ją apibrėžia Asmens duomenų teisinės apsaugos įstatymas (toliau – ADTAĮ) (ADTAĮ 2 str. 2 d.), pareigūną ji privalo paskirti (BDAR 37 str. 1 d. a p.; išimtis – teismai, kai jie vykdo teismines funkcijas). Ar jis privalomas Jums, rašome straipsnyje ar mūsų organizacijai privalomas duomenų apsaugos pareigūnas. Čia – ką įrašyti į pirkimo dokumentus, kad nupirkta paslauga atitiktų BDAR, ir kas gresia, jei neatitiks.

Pirmiausia: ar pirkimas mažos vertės

Mažos vertės pirkimo vertės ribą nustato VPĮ 4 str. 3 d. Mažos vertės pirkimui taikomos tik VPĮ 25 str. 2 d. išvardytos VPĮ nuostatos ir Viešųjų pirkimų tarnybos tvirtinamas mažos vertės pirkimų tvarkos aprašas (VPĮ 25 str. 2 d.). Todėl toliau cituojamos VPĮ 27, 37, 47, 55, 84 ir 87 straipsnių dalys tokiam pirkimui tiesiogiai netaikomos, o taisykles nustato aprašas. Perkančiajai organizacijai, kurios per einamuosius finansinius metus prekėms, paslaugoms ir darbams įsigyti sudaromų sutarčių bendra vertė neviršija trisdešimties tūkstančių eurų be pridėtinės vertės mokesčio, VPĮ reikalavimai šiems pirkimams netaikomi, išskyrus VPĮ 17 ir 96 straipsnius (VPĮ 25 str. 5 d.). BDAR 37–39 str. reikalavimai pareigūnui galioja nepriklausomai nuo pirkimo būdo, todėl specifikacijos turinys, aprašytas toliau, reikalingas bet kuriuo atveju.

Kodėl BDAR lemia techninę specifikaciją

Perkamų paslaugų ypatybės aprašomos techninėje specifikacijoje. Jos turi būti susijusios su pirkimo objektu ir proporcingos paslaugų vertei ir tikslams (VPĮ 37 str. 1 d.). Kai perkamas pareigūnas, didžiąją dalį ypatybių jau nustato BDAR:

• žinios: pareigūnas skiriamas pagal profesines savybes, visų pirma duomenų apsaugos teisės ir praktikos ekspertines žinias (BDAR 37 str. 5 d.);
• užduotys: bent informuoti ir konsultuoti, stebėti, kaip laikomasi reikalavimų (įskaitant darbuotojų mokymą ir auditus), paprašius konsultuoti dėl poveikio duomenų apsaugai vertinimo ir stebėti jo atlikimą, bendradarbiauti su priežiūros institucija ir būti jos kontaktiniu asmeniu (BDAR 39 str. 1 d.);
• įtraukimas: pareigūnas tinkamai ir laiku įtraukiamas į visus su asmens duomenų apsauga susijusius klausimus (BDAR 38 str. 1 d.);
• ištekliai: organizacija suteikia būtinus išteklius ir galimybę susipažinti su duomenimis, dalyvauti tvarkymo operacijose ir išlaikyti ekspertines žinias (BDAR 38 str. 2 d.);
• nepriklausomumas: pareigūnas negauna nurodymų dėl užduočių vykdymo, jo negalima atleisti ar bausti už jų atlikimą, jis atsiskaito aukščiausio lygio vadovybei (BDAR 38 str. 3 d.);
• konfidencialumas: pareigūnas privalo užtikrinti slaptumą (BDAR 38 str. 5 d.);
• kontaktai: organizacija paskelbia pareigūno kontaktus ir praneša juos Valstybinei duomenų apsaugos inspekcijai (VDAI) (BDAR 37 str. 7 d.).

Specifikaciją galima rašyti apibūdinant norimą rezultatą ar funkcinius reikalavimus, bet jie turi būti tikslūs, kad tiekėjai galėtų parengti tinkamus pasiūlymus (VPĮ 37 str. 4 d. 1 p.). Todėl „teikti duomenų apsaugos pareigūno paslaugas“ nepakanka. Reikia surašyti BDAR 39 str. užduotis, kaip pareigūnas bus įtraukiamas ir kaip su juo susisieks darbuotojai ir žmonės. 29 straipsnio darbo grupės gairės dėl duomenų apsaugos pareigūnų (WP 243 rev.01) pabrėžia pasiekiamumą: pareigūnas turi bendrauti ta kalba, kuria kalba priežiūros institucija ir duomenų subjektai. Gairės taip pat siūlo iš anksto nustatyti, kiek laiko funkcijai reikia. Kartu specifikacija turi užtikrinti konkurenciją ir nediskriminuoti tiekėjų (VPĮ 37 str. 3 d.).

Kurį BVPŽ kodą pasirinkti

Viešuosiuose pirkimuose taikomas Bendrasis viešųjų pirkimų žodynas (BVPŽ), nustatytas Reglamentu (EB) Nr. 2195/2002 (VPĮ 3 str. 1 d.). Kodo, skirto duomenų apsaugos pareigūno paslaugai, žodyne nėra: žodyne esantys duomenų apsaugos kodai skirti programinei įrangai, pavyzdžiui, 48732000-8 „Duomenų apsaugos programinės įrangos paketai“. Žodyne yra, pavyzdžiui, 79140000-7 „Teisinės konsultavimo ir informacijos paslaugos“, 79111000-5 „Teisinio konsultavimo paslaugos“ ir 72322000-8 „Duomenų valdymo paslaugos“. Mūsų patarimas: rinkitės kodą, kuris geriausiai atitinka pirkimo objektą. Jei perkama pareigūno funkcija, kodas, rodantis tik IT ar dokumentų rengimą, neatskleidžia pirkimo esmės.

Kvalifikacijos reikalavimai: proporcingai

Perkančioji organizacija turi išsiaiškinti, ar tiekėjas kompetentingas, patikimas ir pajėgus įvykdyti sutartį. Kvalifikacijos reikalavimai negali dirbtinai riboti konkurencijos, turi būti proporcingi ir susiję su pirkimo objektu, tikslūs ir aiškūs (VPĮ 47 str. 1 d.). Tikrindama techninį ir profesinį pajėgumą, ji gali reikalauti žmogiškųjų išteklių ir patirties, kurie reikalingi sutarčiai įvykdyti pagal nustatytus kokybės reikalavimus (VPĮ 47 str. 6 d.). Kvalifikacijos reikalavimai nustatomi pagal Viešųjų pirkimų tarnybos patvirtintą metodiką (VPĮ 47 str. 7 d.).

Pareigūno pirkime tai reiškia reikalauti to, ko reikalauja BDAR 37 str. 5 d.: duomenų apsaugos teisės ir praktikos žinių. WP 243 nurodo, kad žinių lygis turi atitikti tvarkomų duomenų jautrumą, sudėtingumą ir kiekį, o valdžios institucijos pareigūnas turėtų gerai išmanyti jos administracines taisykles ir procedūras. Reikalavimas, kuris su šiomis savybėmis nesusijęs, rizikuoja būti neproporcingas.

Pasiūlymų vertinimas ir sutartis

Ekonomiškai naudingiausias pasiūlymas gali būti išrenkamas atsižvelgiant ir į kokybės kriterijus, tarp jų į sutarčiai vykdyti paskirtų darbuotojų organizavimą, kvalifikaciją ir patirtį, kai tai daro reikšmingą įtaką sutarties kokybei (VPĮ 55 str. 1 d. 1 p. b pap.). Kai pasiūlymai vertinami pagal mokėtinos sumos ar sąnaudų ir kokybės santykį, perkančioji organizacija pirkimo dokumentuose gali iš anksto nustatyti fiksuotą mokėtiną sumą arba sąnaudas. Tada tiekėjai konkuruoja tik kokybės kriterijais (VPĮ 55 str. 3 d.). Kriterijai negali suteikti perkančiajai organizacijai neribotos pasirinkimo laisvės, o pasiūlymų atitiktį jiems turi būti galima patikrinti (VPĮ 55 str. 5 d.).

Sutartis sudaroma taikant Viešųjų pirkimų tarnybos patvirtintas tipines pirkimo sutarčių sąlygas, išskyrus atvejus, kai jos netaikytinos perkamam objektui arba dėl jo ypatumų nepritaikomos ir perkančioji organizacija tai pagrindžia (VPĮ 87 str. 1 d.). Sutartyje turi būti nustatytos šalių teisės ir pareigos, prievolių įvykdymo terminai, nutraukimo atvejai ir už sutarties vykdymą atsakingas asmuo (VPĮ 87 str. 2 d.). Pareigūno sutartyje verta įrašyti ir BDAR 38 str. 3 d. garantijas. WP 243 aiškina, kad išorinį pareigūną saugo tos pačios taisyklės: paslaugų sutartis negali būti nesąžiningai nutraukta dėl pareigūno veiklos. Gairės taip pat rekomenduoja aiškiai paskirstyti užduotis komandoje ir paskirti vieną vadovaujantį kontaktinį asmenį kiekvienam klientui, o tai įrašyti į sutartį.

Kas gali nutikti

Nupirktas dokumentų paketas, o ne pareigūnas. Jei sutartis apima tik dokumentų parengimą, BDAR 39 str. užduočių niekas neatlieka, o pareigūnas neįtraukiamas į sprendimus. Ką apima dokumentų paketas ir ko jis nepakeičia, rašome straipsnyje iš ko susideda BDAR dokumentų paketas. Už valdytojo prievolių pagal BDAR 25–39 str. pažeidimą gresia bauda (BDAR 83 str. 4 d. a p.). Valdžios institucijai ar įstaigai ji gali siekti iki pusės procento jos einamųjų metų biudžeto ir kitų praėjusiais metais gautų bendrųjų metinių pajamų, bet ne daugiau kaip trisdešimt tūkstančių eurų (ADTAĮ 33 str. 1 d.). Jei valdžios institucija ar įstaiga vykdo ūkinę komercinę veiklą, taikomi bendrieji BDAR baudų dydžiai (ADTAĮ 33 str. 3 d.): iki dešimties milijonų eurų, o įmonei – iki 2 % ankstesnių finansinių metų bendros metinės pasaulinės apyvartos, atsižvelgiant į tai, kuri suma didesnė (BDAR 83 str. 4 d.). Kokios baudos gresia įstaigoms, plačiau rašome straipsnyje kokios baudos gresia įstaigai už BDAR pažeidimą.

Interesų konfliktas. Pareigūnas gali vykdyti kitas užduotis, bet dėl jų neturi kilti interesų konfliktas (BDAR 38 str. 6 d.). WP 243 nurodo, kad konfliktas gali kilti, jei išorinis pareigūnas atstovauja organizacijai teisme bylose dėl duomenų apsaugos. Tiekėjo interesų konfliktas, galintis neigiamai paveikti sutarties vykdymą, leidžia laikyti, kad jis neturi profesinio pajėgumo (VPĮ 47 str. 6 d.). Kuo pareigūnas skiriasi nuo vidaus koordinatoriaus, rašome straipsnyje duomenų apsaugos koordinatorius ir pareigūnas: kuo jie skiriasi.

Ginčas dėl pirkimo. Tiekėjas, manantis, kad perkančioji organizacija nesilaikė VPĮ, pavyzdžiui, nustatė neproporcingus reikalavimus, ir tuo pažeidė jo teisėtus interesus, gali kreiptis į apygardos teismą dėl sprendimų panaikinimo ar žalos atlyginimo (VPĮ 101 str. 1 d.). Iki sutarties sudarymo jis pirmiausia turi pateikti pretenziją perkančiajai organizacijai, o mažos vertės pirkimo atveju – raštu (VPĮ 101 str. 3 d.).

Kada kreiptis į teisininką

• kai rengiate techninę specifikaciją ir nežinote, kaip BDAR 38–39 str. sąlygas paversti tikrinamais reikalavimais;
• kai nustatote kvalifikacijos reikalavimus ir vertinimo kriterijus;
• kai tiekėjas siūlo pareigūną, kuris kartu atstovautų Jums ginčuose ar teiktų kitas paslaugas;
• kai tiekėjas pateikė pretenziją dėl pirkimo sąlygų;
• kai VDAI klausia, kaip pareigūnas atlieka savo užduotis.