Szczecin, 20.02.2023 r. 

Znak Sprawy: 	ZP/220/10/23                            
Dotyczy: 	dostawy płynów dializacyjnych i materiałów do programu domowej dializy otrzewnowej realizowanego przez Klinikę Nefrologii, Transplantologii i Chorób Wewnętrznych SPSK-2.

WYJAŚNIENIE NR 3
Wykonawca nr 1 

Pytania do wzoru umowy:
W związku z toczącym się postępowaniem Nr ZP.220.10.23 na „Dostawa płynów dializacyjnych i materiałów do programu domowej dializy otrzewnowej realizowanego przez Klinikę Nefrologii, Transplantologii i Chorób Wewnętrznych SPSK-2” przesyłamy poniższe pytania: 
Informujemy, że urządzenia oferowane przez Wykonawcę posiadają możliwość pracy z wykorzystaniem systemu zdalnej kontroli terapii („Portal kliniczny”). Stosowany system jest systemem wystandaryzowanym, wykorzystującym infrastrukturę chmury obliczeniowej. System wykorzystuje wspólną infrastrukturę, zapewniając jednocześnie odseparowanie środowisk oraz danych poszczególnych klientów Wykonawcy. Celem zapewnienia bezpieczeństwa oraz ciągłości pracy systemu, Wykonawca korzysta z dalszych podwykonawców. Podkreślenia wymaga fakt, iż system przechowuje dane na terenie UE/EOG, jednakże dla zapewnienia bezawaryjnej, ciągłej pracy systemu oraz jego bezpieczeństwa, Wykonawca korzysta z dalszych podmiotów przetwarzających mających siedzibę również poza UE/EOG. Pełna lista dalszych podmiotów przetwarzających z których będzie korzystać Wykonawca zostanie przedstawiona przy podpisaniu umowy. Informacja o planowanej zmianie dostawców wspierających system jako dalsze podmioty przetwarzające może być przekazywana Zamawiającemu z wyprzedzeniem umożliwiającym podjęcie przez niego decyzji o zgłoszeniu sprzeciwu wobec takiej zmiany. 
Zwracamy uwagę, że projektowane w §24 ust. 5 projektu umowy rozwiązanie przewiduje model oparty o tzw. „uprzednią szczegółową zgodę” administratora na korzystanie z dalszych podmiotów przetwarzających. Taki model wiąże się z koniecznością uzyskiwania pisemnej zgody administratora każdorazowo dla każdego z nowych dalszych podmiotów przetwarzających. Podkreślić warto również, że z proponowanej treści §24 ust. 5 projektu umowy nie wynika, jakie konsekwencje pociąga brak wyrażenia zgody administratora o zmianach wśród dalszych podmiotów przetwarzających.
Zwracamy uwagę, że taka forma współpracy może prowadzić do sytuacji, w której wykonanie umowy nie będzie możliwe lub nie będzie możliwa jej dalsza realizacja, bez dodatkowego oświadczenia ze strony szpitala, co może negatywnie wpłynąć na bezpieczeństwo i ciągłość świadczonych usług. Zapobiegnięcie wskazanej sytuacji jest możliwe dzięki dopuszczalnemu zgodnie z art. 28 ust. 2 RODO, jak również przez Komisję Europejską oraz Europejską Radę Ochrony Danych modelowi, opartemu na tzw. „ogólnej pisemnej zgodzie” administratora na korzystanie z dalszych podmiotów przetwarzających. W modelu tym, wskazanym jako opcja w pkt 7.7.a) Decyzji wykonawczej Komisji Europejskiej 2021/915 dopuszcza się możliwość podjęcia dalszego powierzenia przetwarzania danych osobowych w braku sprzeciwu ze strony poprawnie powiadomionego uprzednio administratora. Rekomendujemy zastosowanie powyższego modelu „ogólnej pisemnej zgody”. 
Mając na uwadze powyższe prosimy o rozważenie zmiany projektowanego §24 ust. 5 projektu umowy, nadając mu następującą treść: 
„1. Wykonawca ma ogólną zgodę Zamawiającego na korzystanie z usług podmiotów podprzetwarzających wpisanych do uzgodnionego wykazu. Wykonawca informuje Zamawiającego o wszelkich zamierzonych zmianach w tym wykazie polegających na dodaniu lub zastąpieniu podmiotów podprzetwarzających z wyprzedzeniem co najmniej 14 dni, dając tym samym Zamawiającemu wystarczająco dużo czasu na wyrażenie sprzeciwu wobec takich zmian przed rozpoczęciem korzystania z usług danego podmiotu podprzetwarzającego (podmiotów podprzetwarzających). Wykonawca przekazuje Zamawiającemu niezbędne informacje umożliwiające mu skorzystanie z prawa sprzeciwu.” 
Odpowiedź: Zamawiający proponuje usunięcie ww. postanowienia w projekcie umowy i szczegółowe uregulowanie powyższej kwestii w umowie powierzenia, stosownie do §24 ust. 2 projektu umowy.  

Pytania do wzoru umowy powierzenia:
W związku z toczącym się postępowaniem Nr ZP/220/10/23 na „Dostawa płynów dializacyjnych i materiałów do programu domowej dializy otrzewnowej realizowanego przez Klinikę Nefrologii, Transplantologii i Chorób Wewnętrznych SPSK-2” przesyłamy poniższe pytania. Pytania dotyczą umowy powierzenia przetwarzania danych osobowych stanowiącej Załącznik nr 2 do projektowanej umowy głównej (dalej „Umowa powierzenia”):
1. Zwracamy uwagę, że przedmiotem zamówienia, którego realizacja pociąga konieczność przetwarzania danych osobowych pacjentów przekazanych przez Zamawiającego, jest (i) realizacja dostaw domowych; (ii) naprawa i konserwacja urządzeń oraz (iii) świadczenie usługi systemu zdalnej kontroli terapii. Tymczasem treść §2 ust. 1 i 2 Umowy powierzenia nie obejmuje takich czynności oraz związanych z tym danych osobowych.
Czy w związku z powyższym Zamawiający rozważy zmianę §2 nadając mu następującą treść:
„1. Podmiot przetwarzający będzie przetwarzał w postaci elektronicznej, powierzone na podstawie umowy dane osobowe:
- pacjentów tj. imię i nazwisko, PESEL, miejsce zamieszkania, dane kontaktowe oraz dane szczególnych kategorii – dane o stanie zdrowia, w tym zakres i wyniki badań oraz inne dane przetwarzane w związku z korzystaniem z urządzenia;
- personelu tj. imię i nazwisko osoby wykonującej badanie, zlecającej terapię, numer prawa wykonywania zawodu oraz numer personelu Administratora.
2. Powierzone przez Administratora dane osobowe będą przetwarzane przez Podmiot przetwarzający wyłącznie w celu: (i) realizacji dostaw domowych; (ii) naprawy i konserwacji urządzeń oraz (iii) świadczenia usługi systemu zdalnej kontroli terapii; szczegółowo opisanych w umowie nr ZP/221/…. /… z dnia ……….. r.”
Odpowiedź: Zamawiający dopuszcza proponowaną zmianę. 

2. Informujemy, że urządzenia oferowane przez Wykonawcę posiadają możliwość pracy z wykorzystaniem systemu zdalnej kontroli terapii („Portal kliniczny”). Stosowany system jest systemem wystandaryzowanym, wykorzystującym infrastrukturę chmury obliczeniowej. System wykorzystuje wspólną infrastrukturę, zapewniając jednocześnie odseparowanie środowisk oraz danych poszczególnych klientów Wykonawcy. Celem zapewnienia bezpieczeństwa oraz ciągłości pracy systemu, Wykonawca korzysta z dalszych podwykonawców. Podkreślenia wymaga fakt, iż system przechowuje dane na terenie UE/EOG, jednakże dla zapewnienia bezawaryjnej, ciągłej pracy systemu oraz jego bezpieczeństwa, Wykonawca korzysta z dalszych podmiotów przetwarzających mających siedzibę również poza UE/EOG. Pełna lista dalszych podmiotów przetwarzających z których będzie korzystać Wykonawca zostanie przedstawiona przy podpisaniu umowy. Informacja o planowanej zmianie dostawców wspierających system jako dalsze podmioty przetwarzające może być przekazywana Zamawiającemu z wyprzedzeniem umożliwiającym podjęcie przez niego decyzji o zgłoszeniu sprzeciwu wobec takiej zmiany.
Zwracamy uwagę, że projektowane w §5 ust. 1 i 2 Umowy powierzenia rozwiązanie przewiduje model oparty o tzw. „uprzednią szczegółową zgodę” administratora na korzystanie z dalszych podmiotów przetwarzających. Taki model wiąże się z koniecznością uzyskiwania pisemnej zgody administratora każdorazowo dla każdego z nowych dalszych podmiotów przetwarzających. 
Zwracamy uwagę, że taka forma współpracy może prowadzić do sytuacji, w której wykonanie umowy nie będzie możliwe lub nie będzie możliwa jej dalsza realizacja, bez dodatkowego oświadczenia ze strony szpitala, co może negatywnie wpłynąć na bezpieczeństwo i ciągłość świadczonych usług. Zapobiegnięcie wskazanej sytuacji jest możliwe dzięki dopuszczalnemu zgodnie z art. 28 ust. 2 RODO, jak również przez Komisję Europejską oraz Europejską Radę Ochrony Danych modelowi, opartemu na tzw. „ogólnej pisemnej zgodzie” administratora na korzystanie z dalszych podmiotów przetwarzających. W modelu tym, wskazanym jako opcja w pkt 7.7.a) Decyzji wykonawczej Komisji Europejskiej 2021/915 dopuszcza się możliwość podjęcia dalszego powierzenia przetwarzania danych osobowych w braku sprzeciwu ze strony poprawnie powiadomionego uprzednio administratora. Rekomendujemy zastosowanie powyższego modelu „ogólnej pisemnej zgody”.
Mając na uwadze powyższe prosimy o rozważenie zmiany projektowanego §5 ust. 1 i 2 projektu umowy, nadając mu następującą treść:
„1. Podmiot przetwarzający ma ogólną zgodę administratora na korzystanie z usług podmiotów podprzetwarzających wpisanych do uzgodnionego wykazu. Podmiot przetwarzający informuje administratora o wszelkich zamierzonych zmianach w tym wykazie polegających na dodaniu lub zastąpieniu podmiotów podprzetwarzających z wyprzedzeniem co najmniej 14 dni, dając tym samym administratorowi wystarczająco dużo czasu na wyrażenie sprzeciwu wobec takich zmian przed rozpoczęciem korzystania z usług danego podmiotu podprzetwarzającego (podmiotów podprzetwarzających). Podmiot przetwarzający przekazuje administratorowi niezbędne informacje umożliwiające mu skorzystanie z prawa sprzeciwu.”
Odpowiedź: Zamawiający akceptuje zaproponowany model tzw. „ogólnej pisemnej zgody” i wyraża zgodę na modyfikację postanowienia §5 projektu umowy powierzenia danych osobowych, poprzez nadanie mu następującej treści:
„§5
Dalsze powierzenie danych do przetwarzania
1.	Administrator udziela podmiotowi przetwarzającemu ogólnej zgody na dalsze powierzenie przetwarzania danych osobowych podmiotom wskazanym w przedłożonym przez Podmiot przetwarzający wykazie dalszych podmiotów przetwarzających (dalej jako: „wykaz”), stanowiącym załącznik nr 1 do niniejszej umowy, z zastrzeżeniem, że Podmiot przetwarzający poinformuje Administratora o wszelkich zamierzonych zmianach w tym wykazie, dotyczących dodania lub zastąpienia wskazanych w nim dalszych podmiotów przetwarzających, dając tym samym Administratorowi możliwość wyrażenia sprzeciwu wobec takich zmian. 
2.	Dla zachowania waloru skuteczności, informacja o której mowa w ust. 1 powinna być przekazana Administratorowi z przynajmniej 14 dniowym wyprzedzeniem, w formie elektronicznej na adres e-mail Inspektora Ochrony Danych Osobowych: iod@spsk2-szczecin.pl.
3.	Postanowienie, o którym mowa w ust. 1 ma zastosowanie wyłącznie gdy Podmiot przetwarzający przedłoży Administratorowi wykaz najpóźniej 7 dni przed podpisaniem niniejszej umowy.
4.	W sytuacji zgłoszenia przez Administratora sprzeciwu wobec przetwarzania danych osobowych przez podmioty przetwarzające wskazane w wykazie, Podmiot przetwarzający nie ma prawa dokonać powierzenia przetwarzania danych osobowych dalszym podmiotom przetwarzającym, których sprzeciw dotyczy.
5.	Podmiot przetwarzający zobowiązuje się zawrzeć z dalszymi podmiotami przetwarzającymi dane, o których mowa w ust. 1 pisemną umowę, zgodną z celami i warunkami opisanymi w niniejszej umowie. 
6.	Jeżeli dalsze powierzenie danych osobowych ma nastąpić do państwa trzeciego, wskazanego w wykazie o którym mowa w ust. 1, przed rozpoczęciem przetwarzania Podmiot przetwarzający zobowiązany jest zawrzeć z takim podmiotem umowę dalszego powierzenia danych osobowych, o treści wymaganej przez Administratora i zgodnej ze Standardowymi klauzulami umownymi dotyczącymi przekazywania danych osobowych do państw trzecich na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (na podstawie decyzji wykonawczej Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r.). Wzór umowy dalszego powierzenia, którą Podmiot przetwarzający ma obowiązek stosować, stanowi załącznik nr 2 do niniejszej umowy. Podmiot przetwarzający przekaże Administratorowi kopię zawartej umowy, o której mowa w ust. 4 i 5, w terminie 7 dni od dnia jej zawarcia. 
7.	Przekazanie powierzonych danych do państwa trzeciego bez pisemnego polecenia Administratora może nastąpić jedynie w sytuacji gdy obowiązek taki nakłada na Podmiot przetwarzający prawo Unii lub prawo państwa członkowskiego, któremu podlega Podmiot przetwarzający. W takim przypadku przed rozpoczęciem przetwarzania Podmiot przetwarzający informuje Administratora o tym obowiązku prawnym, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny.
8.	Dalsze podmioty przetwarzające, o których mowa w ust. 1 Umowy zobowiązane są spełniać te same gwarancje i obowiązki, jakie zostały nałożone na Podmiot przetwarzający w niniejszej Umowie. 
9.	Podmiot przetwarzający ponosi pełną odpowiedzialność wobec Administratora za nie wywiązanie się ze spoczywających na dalszych podmiotach przetwarzających obowiązków ochrony danych osobowych.”

Odpowiedź c.d.: Zamawiający informuje, że z uwagi na korzystanie przez Wykonawcę przy realizacji umowy ramowej z usług podwykonawców mających swoją siedzibę lub jednostkę organizacyjną w państwach trzecich, zgoda Zamawiającego jest uzależniona od uprzedniego zawarcia z takim podmiotem umowy dalszego powierzenia według wzoru Zamawiającego, stanowiącego integralną część umowy powierzenia. W ocenie Zamawiającego, powyższe propozycje modyfikacji postanowień §5 umowy powierzenia, pozostają w spójności zarówno z oczekiwaniami Wykonawcy jak i uprawnieniami Zamawiającego, występującego w roli Administratora danych osobowych, zagwarantowanymi przez Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 z późn. zm.).  

3. Zgodnie z motywem 26 RODO „Zasady ochrony danych nie powinny więc mieć zastosowania do informacji anonimowych, czyli informacji, które nie wiążą się ze zidentyfikowaną lub możliwą do zidentyfikowania osobą fizyczną, ani do danych osobowych zanonimizowanych w taki sposób, że osób, których dane dotyczą, w ogóle nie można zidentyfikować lub już nie można zidentyfikować. Niniejsze rozporządzenie nie dotyczy więc przetwarzania takich anonimowych informacji, w tym przetwarzania do celów statystycznych lub naukowych”. Wykonawca opracował i wdrożył metody anonimizacji danych przetwarzanych w systemie. Wykonawca w czasie świadczenia usług oraz po ich zakończeniu dokonuje anonimizacji kopii danych, dla wykorzystania takich danych anonimowych w celu zapewnienia bezpieczeństwa i stabilności systemu oraz prowadzenia analiz i rozwoju poziomu świadczonych usług. Powyższe czynności są elementem wymaganym przez Wykonawcę.
Czy mając na uwadze powyższe oraz dla uniknięcia niejasności Zamawiający wyrazi zgodę na zmianę §2 Umowy powierzenia, poprzez dodanie nowego ust. 3 o następującej treści?
„3. Strony postanawiają, że Podmiot przetwarzający może dokonać anonimizacji kopii danych osobowych, co oznacza, że wszystkie identyfikatory osobowe zostaną trwale usunięte (w taki sposób, że nie będą one przechowywane i nie będą one mogły być odzyskane) („Dane zanonimizowane”). Po przekształceniu danych osobowych w Dane zanonimizowane, dane te nie podlegają już warunkom niniejszej umowy.”
Odpowiedź: Zamawiający dopuszcza zaproponowaną modyfikację.

W załączeniu przekazujemy:
1.	Zmodyfikowany Załącznik nr 2 umowy o powierzeniu przetwarzania danych osobowych,
2.	Umowa Dalszego Powierzenia.

   Z poważaniem 
                                                                                                  podpis w oryginale
                                                                                                  Dyrektor SPSK-2 PUM