Artykuł 4
Przetwarzanie i ochrona danych osobowych

Państwa członkowskie i Komisja mogą przetwarzać dane osobowe tylko wtedy, gdy jest to konieczne do celów wykonywania ich odpowiednich obowiązków wynikających z niniejszego rozporządzenia, w szczególności do celów monitorowania, sprawozdawczości, komunikacji, publikacji, ewaluacji, zarządzania finansowego, weryfikacji i audytów oraz, w stosownych przypadkach, do celów określania kwalifikowalności uczestników. Dane osobowe muszą być przetwarzane zgodnie z rozporządzeniem (UE) 2016/679 (RODO) lub rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2018/1725 (40), w zależności od tego, które z nich ma zastosowanie.

Rozdział 18
Przetwarzanie danych osobowych i dostęp do rejestrów

Art. 87.

1. W celach określonych w art. 4 rozporządzenia ogólnego, na zasadach określonych w ustawie, rozporządzeniu ogólnym, rozporządzeniu EFS+ oraz rozporządzeniu FST, minister właściwy do spraw rozwoju regionalnego wykonujący zadania państwa członkowskiego, minister właściwy do spraw finansów publicznych, instytucje zarządzające, wspólny sekretariat, koordynator programów Interreg, kontroler krajowy, instytucje pośredniczące, instytucje wdrażające, instytucja pośrednicząca Interreg, beneficjenci i wnioskodawcy przetwarzają dane osobowe pozyskiwane bezpośrednio od osób, których dane dotyczą, z systemu teleinformatycznego, lub z rejestrów publicznych, o których mowa w art. 92 ust. 2.

1. Dane, o których mowa w ust. 1, obejmują:

1. dane identyfikujące osoby fizyczne, takie jak imię i nazwisko, adres, adres poczty elektronicznej, firma i adres, login, numer telefonu, numer faksu, numer Powszechnego Elektronicznego Systemu Ewidencji Ludności (PESEL), numer identyfikacji podatkowej (NIP), numer w krajowym rejestrze urzędowym podmiotów gospodarki narodowej (REGON) lub inne identyfikatory funkcjonujące w danym państwie, forma prawna prowadzonej działalności, forma własności mienia tej osoby, płeć, wiek, wykształcenie, identyfikatory internetowe;

2. dane związane z zakresem uczestnictwa osób fizycznych w projekcie, niewymienione w pkt 1, takie jak wymiar czasu pracy, stanowisko, kwota wynagrodzenia, obywatelstwo, obszar według stopnia urbanizacji (DEGURBA), status mieszkaniowy, data rozpoczęcia udziału w projekcie lub wsparciu, data zakończenia udziału w projekcie lub wsparciu, status na rynku pracy, data założenia działalności gospodarczej, kwota przyznanych środków na założenie działalności gospodarczej, kod w Polskiej Klasyfikacji Działalności (PKD) założonej działalności gospodarczej, forma i okres zaangażowania w projekcie, planowana data zakończenia edukacji w placówce edukacyjnej, w której skorzystano ze wsparcia;

3. dane osób fizycznych niewymienione w pkt 1, które widnieją na dokumentach potwierdzających kwalifikowalność wydatków, w tym kwota wynagrodzenia, numer rachunku bankowego, numer działki, gmina, obręb, numer księgi wieczystej, numer przyłącza gazowego, numer uprawnień budowlanych, oraz dane dotyczące szczególnych potrzeb osób, o których mowa w art. 2 pkt 3 ustawy z dnia 19 lipca 2019 r. o zapewnianiu dostępności osobom ze szczególnymi potrzebami (Dz. U. z 2020 r. poz. 1062 oraz z 2022 r. poz. 975 i 1079).

1. W przypadku osób otrzymujących wsparcie z Europejskiego Funduszu Społecznego Plus i osób ubiegających się o wsparcie w ramach projektu finansowanego z Europejskiego Funduszu Społecznego Plus podmioty wymienione w ust. 1 mogą również przetwarzać dane dotyczące pochodzenia rasowego lub etnicznego lub zdrowia, o których mowa w art. 9 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.11)), oraz dane dotyczące terminu zakończenia odbywania kary pozbawienia wolności przez osoby skazane, o których mowa w art. 10 tego rozporządzenia, odnoszące się do tych osób, w celach określonych w art. 4 rozporządzenia ogólnego. Osoby upoważnione do przetwarzania danych osobowych są obowiązane do zachowania tych danych w poufności.

Art. 88.

Podmioty, o których mowa w art. 87 ust. 1, są administratorami w rozumieniu art. 4 pkt 7 rozporządzenia, o którym mowa w art. 87 ust. 3.

Art. 89.

1. Dostęp do danych osobowych i informacji gromadzonych przez administratorów, o których mowa w art. 87 ust. 1, przysługuje ministrowi właściwemu do spraw rozwoju regionalnego wykonującemu zadania państwa członkowskiego, ministrowi właściwemu do spraw finansów publicznych, instytucjom zarządzającym, instytucjom pośredniczącym, instytucjom wdrażającym, instytucji pośredniczącej Interreg, wspólnemu sekretariatowi, koordynatorowi programów Interreg, kontrolerowi krajowemu, instytucji audytowej, a także podmiotom, którym wymienione podmioty powierzają realizację zadań na podstawie odrębnej umowy, w zakresie niezbędnym do realizacji ich zadań wynikających z przepisów ustawy.

2. Dane dotyczące osób otrzymujących wsparcie z Europejskiego Funduszu Społecznego Plus mogą zostać udostępnione, w zakresie niezbędnym, Prezesowi Zakładu Ubezpieczeń Społecznych w związku z realizacją zadań, o których mowa

w ust. 1, na zasadach i w celach określonych w art. 50 ust. 3a i 3c ustawy z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych (Dz. U. z 2022 r. poz. 1009 i 1079).

Art. 90.

1. Administratorzy, o których mowa w art. 87 ust. 1, mogą gromadzić i przetwarzać dane osobowe w systemach teleinformatycznych.

2. Podmioty, o których mowa w art. 89, udostępniają sobie nawzajem dane osobowe niezbędne do realizacji ich zadań, w szczególności przy pomocy systemów teleinformatycznych.

Art. 91.

Dane osobowe są przechowywane przez okres niezbędny do realizacji celów określonych w art. 87 ust. 1.

Art. 92.

1. W zakresie niezbędnym do realizacji celów, o których mowa w art. 87 ust. 1, minister właściwy do spraw rozwoju regionalnego wykonujący zadania państwa członkowskiego, minister właściwy do spraw finansów publicznych, instytucje zarządzające, wspólny sekretariat, koordynator programów Interreg, kontroler krajowy, instytucje pośredniczące, instytucje wdrażające, instytucja pośrednicząca Interreg oraz instytucja audytowa mają dostęp do informacji, w tym danych osobowych, zawartych w rejestrach, w tym rejestrach publicznych.

2. Rejestry, o których mowa w ust. 1, obejmują:

1. Krajowy Rejestr Sądowy;

2. Centralną Ewidencję i Informację o Działalności Gospodarczej;

3. Krajowy Rejestr Zadłużonych;

4. Centralny Rejestr Beneficjentów Rzeczywistych;

5. centralny rejestr danych podatkowych;

6. rejestr podmiotów wykluczonych z możliwości otrzymywania środków przeznaczonych na realizację programów finansowanych z udziałem środków europejskich;

7. system udostępniania danych o pomocy publicznej;

8. system harmonogramowania, rejestracji i monitorowania pomocy publicznej;

9. Biuletyn Zamówień Publicznych;

10. centralny rejestr ubezpieczonych;

11. centralny rejestr płatników składek;

12. krajowy rejestr urzędowy podziału terytorialnego kraju;

13. system informatyczny prokuratury.

1. Podmioty, o których mowa w ust. 1, są uprawnione do nieodpłatnego dostępu do informacji zawartych w rejestrach, o których mowa w ust. 2.

1. Podmioty, o których mowa w ust. 1, zawierają porozumienia z gestorami rejestrów, o których mowa w ust. 2, w których określa się warunki przekazywania, udostępniania lub wymiany informacji, w drodze teletransmisji lub przez usługę sieciową, chyba że porozumienie takie nie jest wymagane.

5. Porozumienie, o którym mowa w ust. 4, określa w szczególności:

6. zakres i sposób przekazywania lub udostępniania informacji, w tym danych osobowych zawartych w rejestrze;

7. podmioty, które będą mieć dostęp do informacji i będą przetwarzać dane osobowe przekazane lub udostępnione z rejestru;

8. sposób wykorzystania informacji przekazanych lub udostępnionych z rejestru przez podmioty, o których mowa w pkt 2;

9. wymagania w zakresie sposobu zabezpieczenia informacji przez podmioty, o których mowa w pkt 2;

10. warunki kontroli sposobu korzystania z informacji przez podmioty, o których mowa w pkt 2.

1. Informacje zawarte w rejestrach, o których mowa w ust. 2, do których dostęp mają podmioty, o których mowa w ust. 1, mogą obejmować tajemnice prawnie chronione. W takim przypadku dostęp może być ograniczony do informacji wytworzonych na podstawie informacji zawartych w tych rejestrach w zakresie nienaruszającym tajemnicy uregulowanej w przepisach odrębnych.

1. Udostępnienie danych zawartych w rejestrze, o którym mowa w ust. 2 pkt 6, podmiotom, o których mowa w ust. 1, oraz ich przetwarzanie przez te podmioty nie stanowi naruszenia przepisów o tajemnicy skarbowej, o których mowa w ustawie z dnia 29 sierpnia 1997 r. – Ordynacja podatkowa (Dz. U. z 2021 r. poz. 1540, z późn. zm.12)).

Art. 93.

1. Minister właściwy do spraw rozwoju regionalnego może na podstawie porozumienia udzielać dostępu do informacji i danych pochodzących z rejestrów, o których mowa w art. 92 ust. 2, również podmiotom innym niż wskazane w art. 92 ust. 1, w celu weryfikacji przez te podmioty statusu przedsiębiorstwa, w tym jego wielkości, na potrzeby udzielania pomocy publicznej, pomocy de minimis lub pomocy de minimis w rolnictwie lub rybołówstwie – w zakresie niezbędnym do dokonania tej weryfikacji.

1. Warunkiem uzyskania dostępu przez podmioty, o których mowa w ust. 1, jest uprzednie zawarcie przez te podmioty porozumień z gestorami rejestrów, o których mowa w art. 92 ust. 2. Przepisy art. 92 ust. 4–7 stosuje się odpowiednio.

Rozdział 2. Centralny system teleinformatyczny
Podrozdział 2.1 Architektura CST20210

1. Dane są wprowadzane do CST2021 nie później niż w ciągu 3 dni roboczych od wystąpienia zdarzenia warunkującego konieczność wprowadzenia lub modyfikacji danych;

Podrozdział 2.2 Użytkownicy CST2021

1. Za proces zarządzania uprawnieniami do CST2021 odpowiada, odpowiednio:

a) właściwa instytucja,
b) Wnioskodawca,
c) Beneficjent,
d) Oferent;

1. Podmioty, o których mowa w ust 2, wykorzystując procedury gwarantujące, odpowiednio:

a) przyznawanie uprawnień zgodnie z zakresem odpowiedzialności i uprawnień na danym stanowisku pracy, w tym, zgodnie z zakresem upoważnienia do przetwarzania danych osobowych/ informacji wrażliwych (jeżeli dotyczy),
b) okresowe przeglądy uprawnień (NIE RZADZIEJ NIŻ RAZ NA KWARTAŁ), w tym, weryfikację aktualności terminów obowiązywania uprawnień oraz odbieranie uprawnień osobom, które nie świadczą już pracy, zmieniły jednostkę organizacyjną, są długotrwale nieobecne w pracy (dłuższe urlopy, zwolnienia, etc.).

Zasady wykorzystywania CST2021

§ 18.

1. Beneficjent zobowiązuje się do wykorzystywania CST2021 w procesie rozliczania Projektu oraz komunikowania się z Instytucją Pośredniczącą. Wykorzystanie CST2021 obejmuje co najmniej przesyłanie:

   1. wniosków o płatność;

   2. dokumentów potwierdzających kwalifikowalność wydatków ponoszonych w ramach Projektu i wykazywanych we wnioskach o płatność;

   3. danych uczestników Projektu i podmiotów otrzymujących wsparcie;

   4. harmonogramu płatności;

   5. informacji o zamówieniach publicznych o wartości równej lub wyższej niż progi unijne w rozumieniu art. 3 ustawy Pzp;

   6. innych dokumentów związanych z realizacją Projektu, w tym niezbędnych do przeprowadzenia kontroli Projektu oraz wymiany dokumentacji pokontrolnej.

Przekazanie drogą elektroniczną dokumentów, o których mowa w pkt a,c,e,f, nie zdejmuje z Beneficjenta i Partnerów obowiązku przechowywania oryginałów dokumentów i ich udostępniania podczas kontroli na miejscu.

…

3. Beneficjent/Partnerzy wyznacza/ją osoby uprawnione do wykonywania w jego/ich imieniu czynności związanych z realizacją Projektu, w tym – zgłoszenia do pracy w ramach CST2021 osoby upoważnionej do zarządzania uprawnieniami użytkowników CST2021 po stronie Beneficjenta/Partnerów. Zgłoszenie osób zarządzających uprawnieniami użytkowników odbywa się w oparciu o formularz stanowiący załącznik 5 do Wytycznych dotyczących warunków gromadzenia i przekazywania danych w postaci elektronicznej na lata 2021-2027. Wszelkie działania w CST2021 osób uprawnionych są traktowane w sensie prawnym jako działanie Beneficjenta/Partnerów. Wniosek o dodanie osoby zarządzającej projektem stanowi załącznik nr 7 a jego zmiana nie wymaga aneksowania umowy.

…

6. Beneficjent zapewnia, że wszystkie osoby, o których mowa w ust. 3, przestrzegają regulaminu bezpieczeństwa informacji przetwarzanych w CST2021 oraz aktualnej wersji Instrukcji Użytkownika zewnętrznego udostępnionej przez Instytucję Pośredniczącą.

…

9. Beneficjent zobowiązuje się do wprowadzania do CST2021 danych dotyczących angażowania personelu projektu zgodnie z zakresem określonym w Wytycznych dotyczących warunków gromadzenia i przekazywania danych w postaci elektronicznej na lata 2021-2027 pod rygorem uznania związanych z tym wydatków za niekwalifikowalne.

Ochrona danych osobowych
§ 23.

1. Zakres danych oraz odpowiedzialność Instytucji Zarządzającej, Instytucji Pośredniczącej i Beneficjenta w związku z udostępnieniem danych osobowych w ramach realizacji Projektu określa ustawa wdrożeniowa oraz niniejsza umowa.

2. Beneficjent jest samodzielnym administratorem, który udostępnia dane osobowe innym administratorom według właściwości.

3. Beneficjent jest zobowiązany do wykonywania i udokumentowania, również w imieniu Instytucji Pośredniczącej i Instytucji Zarządzającej, obowiązku informacyjnego wobec osób, których dane pozyskuje, mając na uwadze zasadę rozliczalności, o której mowa w art. 5 ust. 2 RODO. Beneficjent zapewnia, że obowiązek o którym mowa w zdaniu pierwszym jest wykonywany również przez podmioty, którym powierza realizację zadań w ramach Projektu.

4. Obowiązek, o którym mowa w ust. 3:

• względem Instytucji Zarządzającej może zostać wykonany w oparciu o formularz klauzuli informacyjnej stanowiący załącznik nr 8 do umowy;

• względem Instytucji Pośredniczącej może zostać wykonany w oparciu o formularz klauzuli informacyjnej stanowiący załącznik nr 9 do umowy.
  Beneficjent może stosować inne niż powyższe wzory klauzuli informacyjnej, o ile będą one zawierać wszystkie elementy i informacje ujęte odpowiednio w załączniku nr 8 i 9 do umowy.
  Zmiany w załączniku nr 8 i 9 wprowadzane przez Instytucję Pośredniczącą nie wymagają aneksowania umowy, a jedynie poinformowania Beneficjenta.

5. W przypadku stwierdzenia naruszenia ochrony danych osobowych, o którym mowa w art. 33 RODO, w odniesieniu do danych osobowych udostępnianych w związku z realizacją Projektu Strony zobowiązują się do wzajemnego informowania o naruszeniu, a w razie potrzeby deklarują współpracę.

6. W celu sprawnego przekazywania informacji związanych z naruszeniami z zakresu ochrony danych osobowych, Strony ustanawiają następujące punkty kontaktowe na adresy poczty elektronicznej:

7. Instytucji Pośredniczącej: iod@ncbr.gov.pl

8. Beneficjent: …....................
   Zmiany adresów poczty elektronicznej punktów kontaktowych nie wymagają aneksowania umowy , a jedynie poinformowania drugiej Strony o ich wprowadzeniu.

9. W CST2021, o ile do naruszenia doszło w ramach tego systemu, zdarzenia zgłaszane są na service desk tego systemu, powiadamiając jednocześnie Inspektora ochrony danych Instytucji Pośredniczącej.

10. Strony informują się niezwłocznie, na adresy poczty elektronicznej wskazane w ust. 6, o wszelkich czynnościach lub postępowaniach prowadzonych w szczególności przez Prezesa Urzędu Ochrony Danych Osobowych, urzędy państwowe, policję lub sąd w odniesieniu do danych osobowych, udostępnianych w związku z realizacją Projektu.

11. O ile to konieczne, Strony współpracują ze sobą w zakresie obsługi wniosków z art. 15-22 RODO o realizację praw osób, których dane dotyczą, w szczególności w odniesieniu do danych osobowych umieszczonych w CST2021.

12. Strony oświadczają, że wdrożyły odpowiednie środki techniczne i organizacyjne, zapewniające adekwatny stopień bezpieczeństwa, odpowiadający ryzyku związanemu z przetwarzaniem danych osobowych, o których mowa w art. 32 RODO.

Postanowienia końcowe

…

§ 36.

1.  

2. Integralną część umowy stanowią następujące załączniki:

3. załącznik nr 1: Pełnomocnictwa osób reprezentujących strony;75

4. załącznik nr 2: Wniosek o dofinansowanie projektu o sumie kontrolnej nr…… w wersji elektronicznej, która znajduje się w SOWA EFS;

5. załącznik nr 3: Oświadczenie o kwalifikowalności podatku od towarów i usług76;

6. załącznik nr 4: Zakres danych nt. uczestników Projektu oraz podmiotów obejmowanych wsparciem gromadzonych w CST2021;

7. załącznik nr 5: Taryfikator korekt kosztów pośrednich za naruszenia postanowień umowy w zakresie zarządzania projektem;

8. załącznik nr 6: Harmonogram płatności;

9. załącznik nr 7: Wniosek o dodanie osoby zarządzającej projektem;

10. załącznik nr 8: Wzór klauzuli informacyjnej ministra właściwego do spraw rozwoju regionalnego;

11. załącznik nr 9: Wzór klauzuli informacyjnej Instytucji Pośredniczącej;

12. załącznik nr 10: Obowiązki informacyjne Beneficjenta;

13. załącznik nr 11: Taryfikator korekt z tytułu niedochowania obowiązków informacyjnych i
    promocyjnych.