PROCEDURA OCHRONY DANYCH OSOBOWYCH PRZY PROWADZENIU CRU

Procedura określa sposób przetwarzania i ochrony danych osobowych w związku z realizacją zadań polegających na udostępnianiu i aktualizacji w Centralnym Rejestrze Umów Jednostek Sektora Finansów Publicznych (CRU JSFP) informacji o umowach zawartych przez jednostkę sektora finansów publicznych lub na jej rzecz.

Wymogi prawne w tym zakresie zostały uregulowane w art. 34a – 34d ustawy z 27.08.2009 r. o finansach publicznych (Dz.U. z 2025 r., poz. 1483 ze zm. – dalej: u.f.p.), w rozporządzeniu Ministra Finansów i Gospodarki z 30.03.2026 r. w sprawie Centralnego Rejestru Umów Jednostek Sektora Finansów Publicznych (Dz.U. z 2026 r., poz. 440, dalej: rozporządzenie CRU) oraz w przepisach rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE. L. z 2016 r., poz. 119, dalej: ogólne rozporządzenie o ochronie danych).

1. WARUNEK UDOSTĘPNIENIA I AKTUALIZACJI UMÓW W CRU

Zgodnie z art.  34a ust. 1 ustawy o finansach publicznych Kierownik jednostki sektora finansów publicznych, udostępnia i aktualizuje w Centralnym Rejestrze Umów Jednostek Sektora Finansów Publicznych, informacje o umowie zawartej przez jednostkę sektora finansów publicznych lub na jej rzecz, jeżeli umowa ta spełnia łącznie następujące warunki:

1) stanowi zamówienie w rozumieniu art. 7 pkt 32 ustawy z dnia 11 września 2019 r. - Prawo zamówień publicznych (Dz. U. z 2024 r. poz. 1320, z późn. zm.);

2) została zawarta w formie pisemnej, dokumentowej, elektronicznej albo innej formie szczególnej; co oznacza, że nie tyle charakter takiej umowy, co jej zakwalifikowanie do powyższych kategorii będzie decydowało o konieczności udostępnienia informacji o umowie
w Rejestrze (dlatego np. umowy o pracę odpadają na starcie, bo nie będą nigdy spełniać pierwszego ze wskazanych kryteriów);

2) dane firmy, kontrahentów, wspólników, adresy prowadzenia działalności gospodarczej ujawnione w CEIDG podlegać będą obowiązkowej publikacji w Rejestrze, bez anonimizacji. 

 

2. ZAKRES UDOSTĘPNIANYCH INFORMACJI O UMOWIE

Zgodnie z art.  34a ust. 7 ustawy w Centralnym Rejestrze Umów JSFP udostępnia się i aktualizuje następujące informacje o umowie:

1)numer umowy - o ile taki numer nadano;

2)datę zawarcia umowy;

3)okres, na jaki umowa została zawarta;

4)oznaczenie stron umowy;

5)wskazanie przedmiotu umowy;

6)wartość umowy;

7)wskazanie, czy umowa jest finansowana ze środków, o których mowa w art. 5 ust. 1 pkt 2-3;

8)status umowy i dzień zakończenia obowiązywania umowy;

9)podstawę prawną nieudostępnienia informacji o umowie oraz organ lub osobę, które dokonały wyłączenia jawności danej informacji - w przypadku, o którym mowa w ust. 8 (czyli do umów, co do których prawo do informacji publicznej podlega ograniczeniu na podstawie art. 5 ust. 1 i 2-2b ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej - tzw. prawo do prywatności);

10)podstawę dokonania aktualizacji informacji określonych w pkt 1-9 , o ile dokonano takiej aktualizacji (w ustawie o finansach publicznych są jeszcze dalsze wyłączenia z udostępniania - min. art. art. 34a ust.5).

 

3. ANONIMIZACJA DANYCH PRZED ICH PUBLIKACJĄ W CRU

Jeżeli w zakresie informacji o umowie podlegających udostępnieniu w CRU znajdują się dane osobowe, które podlegają wyłączeniu z udostępniania na podstawie art. 24a ust. 8 u.f.p.
(w CRU nie udostępnia się informacji o umowie, co do których prawo do informacji publicznej podlega ograniczeniu na podstawie art. 5 ust. 1 i 2-2b ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej), wówczas tego rodzaju dane należy zanonimizować.

Dotyczy to w szczególności informacji obejmujących wskazanie przedmiotu umowy,
z którego wprost bądź pośrednio możliwe byłoby ustalenie informacji odnoszących się do sfery prywatności osoby fizycznej – w tym przypadku należy dokonać anonimizacji tego rodzaju danych.

W przypadku jednak, gdy umowy będą dotyczyć osób fizycznych (np. umowy dzierżawy z osobami fizycznymi) to w takim przypadku obowiązek publikacji również będzie obowiązywać, przy czym dane osób fizycznych (poza imieniem i nazwiskiem) powinny zostać zanonimizowane (zgodnie z art. 34a ust. 7 pkt. 9), ponieważ w przypadku gdy stroną umowy jest osoba fizyczna, oznaczeniem strony umowy jest imię i nazwisko tej osoby (por. §3 pkt 2 rozporządzenia CRU).

W zakresie oznaczenia stron umowy nie mieszczą się inne dane osób fizycznych, w szczególności numery PESEL i adresy zamieszkania, które są zawarte w umowach, dlatego powinny zostać zanonimizowane i nie podlegają udostępnianiu w CRU.

W przypadku wyłączenia jawności ze względu na prywatność osoby, w CRU należy zamieścić wzmiankę o przyczynie wyłączenia jawności (jednostkę redakcyjną i tytuł aktu prawnego stanowiących podstawę prawną nieudostępnienia informacji oraz nazwę organu lub stanowisko osoby dokonującej wyłączenia jawności informacji, zgodnie z art. 34a ust. 7 pkt 9 u.f.p. oraz §3 pkt 7 rozporządzenia CRU).

4. WPROWADZANIE DANYCH DO CRU I UDOSTĘPNIANIE INFORMACJI W CRU

Zgodnie z art. 34a ust. 10 u.f.p. informacje o umowie udostępnia się i aktualizuje w CRU bez zbędnej zwłoki, nie później niż w terminie 30 dni odpowiednio od dnia zawarcia umowy lub zaistnienia zmiany informacji o umowie, przy czym do tego terminu nie wlicza się dni, w których wystąpiła awaria systemu teleinformatycznego w którym rejestr ten jest prowadzony.

 

5. REALIZACJA PRAW OSÓB, KTÓRYCH DANE DOTYCZĄ W KONTEKŚCIE CRU

 

Osobom fizycznym, których dane przetwarzane są w CRU przysługują uprawnienia określone w przepisach ogólnego rozporządzenia o ochronie danych. Osoba, której dane dotyczą ma prawo do uzyskania informacji o przetwarzaniu danych; żądania skorygowania informacji nieprawidłowych (poprawienia błędów, uaktualnienia nieaktualnych danych) oraz w niektórych przypadkach żądana usunięcia danych.

Jeżeli dane osobowe udostępnione w CRU są nieaktualne, osoba uprawniona do zamieszczania informacji w CRU powinna dokonać uaktualnienia takich danych. Informacja wskazująca podstawę dokonania aktualizacji powinna być zamieszczona w CRU, zgodnie z art. 34a ust. 7 pkt 10 u.f.p.

Zgodnie z art. 34b ust. 6 u.f.p., informacje o umowie są usuwane z CRU po upływie pięciu lat, licząc od końca roku, w którym umowa przestała obowiązywać. W myśl art. 34b ust. 6 u.f.p. oraz rozporządzenia CRU, usuwanie danych stanowi obowiązek kierownika j.s.f.p. i powinno być realizowane przez osoby upoważnione do działania w imieniu j.s.f.p. - użytkowników konta j.s.f.p. w CRU.