W dniu 4 maja 2019 r. weszła w życie ustawa z dnia 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych). Ustawa została ogłoszona w Dzienniku Ustaw RP w dniu 19 kwietnia 2019 r. pod poz. 730.

Ustawa wprowadza zmiany w 162 ustawach, w tym w ustawie z dnia 29 stycznia 2004 r. – Prawo zamówień publicznych (Dz. U. z 2018 r. poz. 1986, z późn. zm.) oraz w ustawie z dnia 21 października 2016 r. o umowie koncesji na roboty budowlane lub usługi (Dz. U. poz. 1920, z późn. zm.), mające na celu dostosowanie przepisów poszczególnych ustaw do przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.), zwanego dalej „RODO”.

Na podstawie art. 72 ww. ustawy do ustawy Pzp dodano następujące regulacje:

1. w art. 8 dodano ust. 5, który ogranicza zasadę jawności w zamówieniach publicznych w przypadku przetwarzania danych osobowych dotyczących wyroków skazujących i naruszeń prawa, o których mowa w art. 10 RODO, co do celu (korzystanie ze środków ochrony prawnej) oraz do czasu przetwarzania (do upływu terminu na ich wniesienie);
2. art. 8a, który ma na celu dostosowanie sposobu realizacji uprawnień wynikających z RODO do uwarunkowań wynikających ze stosowania ustawy Pzp lub stanowi niezbędne ograniczenia stosowania RODO:

• art. 8a ust. 1 – wprowadza możliwość elastycznego podejścia do obowiązku informacyjnego, określonego w art. 13 RODO, w przypadku zbierania danych od osoby, której dane dotyczą, realizowanego przez zamawiającego;
• art. 8a ust. 2 – modyfikuje sposób stosowania art. 15 RODO, przyznając zamawiającemu prawo do żądania od osoby, której dane dotyczą, wskazania dodatkowych informacji mających na celu sprecyzowanie żądania;
• art. 8a ust. 3 – doprecyzowuje, że skorzystanie przez osobę, której dane osobowe dotyczą, z uprawnienia do sprostowania lub uzupełnienia, o którym mowa w art. 16 RODO, nie może skutkować zmianą wyniku postępowania o udzielenie zamówienia publicznego lub konkursu ani zmianą postanowień umowy w zakresie niezgodnym z ustawą;
• art. 8a ust. 4 – modyfikuje stosowanie art. 18 RODO, wskazując, że wystąpienie z żądaniem, o którym mowa w art. 18 ust. 1 w RODO, nie ogranicza przetwarzania danych osobowych do czasu zakończenia postępowania o udzielenie zamówienia publicznego lub konkursu;
• art. 8a ust. 5 – jest konsekwencją wprowadzenia niezbędnych ograniczeń stosowania RODO (dotyczy to przepisów art. 15 i art. 18) i pozostawia zamawiającemu możliwość wyboru jednego z wymienionych w tym przepisie sposobów informowania o ograniczeniach uprawnień osób, których dane dotyczą;
• art. 8a ust. 6 – jest ogólną regulacją wymaganą przez art. 23 ust. 2 lit. d i g RODO i zobowiązuje zamawiającego nie tylko na etapie postępowania o udzielenie zamówienia, ale również po jego zakończeniu, do przetwarzania danych osobowych (w tym ich udostępniania) w sposób gwarantujący zabezpieczenie przed ich bezprawnym rozpowszechnianiem;
• art. 8a ust. 7 – przewiduje wymóg wprowadzenia dodatkowego zabezpieczenia praw i wolności osób, których dane dotyczą, w przypadku przetwarzania (w tym udostępniania) danych dotyczących wyroków skazujących i naruszeń prawa;

3. w art. 11 dodany ust. 6a i 6b – mają na celu doprecyzowanie wprost w ustawie Pzp podziału zakresu obowiązków realizowanych przez Prezesa UZP i zamawiających, jako administratorów danych osobowych;na podstawie przepisów ustawy Pzp Prezes UZP wydaje w formie elektronicznej Biuletyn Zamówień Publicznych, natomiast zamawiający zamieszczają w tym Biuletynie ogłoszenia;
4. w art. 96 dodano:

• ust. 3a, który doprecyzowuje zasadę jawności w zamówieniach publicznych w kontekście przetwarzania (a dokładnie udostępniania) danych osobowych zebranych w toku postępowania o udzielenie zamówienia publicznego lub konkursu, zawartych w protokole lub załącznikach do protokołu; na podstawie tego przepisu zamawiający będzie miał prawo i obowiązek ujawnienia wszystkich danych osobowych, które znajdują się w dokumentacji postępowania, w tym przekazanej przez wykonawcę, z wyjątkiem załączonych przez wykonawcę informacji zawierających tzw. dane wrażliwe (art. 9 RODO); zamawiający będzie mógł skorzystać również z innych ograniczeń zasady jawności wskazanych w art. 8 ust. 3-5 ustawy Pzp;
• ust. 3b, który  jest konsekwencją brzmienia art. 8 ust. 2 ustawy Pzp i stanowi podstawę do ograniczenia udostępniania protokołu wraz załącznikami, a więc ograniczenia zasady jawności, z uwagi na przepisy RODO; z brzmienia tego przepisu (w kontekście art. 18 ust. 2 RODO) wynika, że każde inne przetwarzanie, z wyjątkiem przechowywania protokołu i załączników, możliwe będzie wyłącznie za zgodą osoby, której dane dotyczą, lub w celu ustalenia, dochodzenia lub obrony roszczeń lub w celu ochrony praw innej osoby fizycznej lub prawnej lub z uwagi na ważne względy interesu publicznego UE lub państwa członkowskiego;

5. w art. 97 dodano dwa ustępy, które odnoszą się do kwestii związanych z przetwarzaniem danych osobowych – na etapie przechowywania – zawartych w protokole oraz załącznikach:
   • ust. 1a ma analogiczne brzmienie co nowododany art. 8a ust. 2 i przyznaje zamawiającemu, w zakresie wykonywania obowiązku z art. 15 ust. 1-3 RODO, możliwość żądania od osoby, której dane dotyczą, wskazania dodatkowych informacji;
   • ust. 1b ma na celu doprecyzowanie, że skorzystanie przez osobę, której dane osobowe dotyczą, z uprawnienia do sprostowania lub uzupełnienia, o którym mowa w art. 16 RODO, nie może skutkować ingerencją w treść przechowywanego protokołu oraz jego załączników;
6. art. 143e ma na celu przesądzenie wprost w przepisach ustawy Pzp, że zamawiający w ramach uprawnień w zakresie kontroli spełniania przez wykonawcę lub podwykonawcę wymagań, o których mowa w art. 29 ust. 3a ustawy Pzp, będzie miał prawo do żądania w szczególności:
   1. oświadczenia wykonawcy lub podwykonawcy o zatrudnieniu pracownika na podstawie umowy o pracę,
   2. poświadczonej za zgodność z oryginałem kopii umowy o pracę zatrudnionego pracownika,
   3. innych dokumentów

– zawierających informacje, w tym dane osobowe, niezbędne do weryfikacji zatrudnienia na podstawie umowy o pracę, w szczególności imię i nazwisko zatrudnionego pracownika, datę zawarcia umowy o pracę, rodzaj umowy o pracę oraz zakres obowiązków pracownika.

Na podstawie art. 146 ww. ustawy do ustawy z dnia 21 października 2016 r. o umowie koncesji na roboty budowlane lub usługi dodano następujące regulacje: w art. 13 ust. 2a, art. 13a, art. 16a, art. 18a, w art. 26 ust. 8, w art. 29 ust. 7, w art. 30 ust. 6. Zakres i cel wprowadzonych regulacji jest zasadniczo analogiczny do zmian wprowadzonych w ustawie Pzp. W dodanym art. 13a wskazano wyraźnie okres przechowywania dokumentacji postępowania, tj. przez okres 5 lat od dnia zakończenia postępowania o zawarcie umowy koncesji, z tym że jeżeli czas trwania umowy koncesji przekracza 5 lat, zamawiający przechowuje przez cały czas jej trwania.