číslo jednací: S0073/2019/VZ-10303/2019/542/MCi

Instance	I.
Věc	Zpracování dokumentů v souvislosti s implementací GDPR pro příspěvkové organizace městské části Praha 3 / Zpracování dokumentů v souvislosti s implementací GDPR pro Úřad městské části Praha 3 / Poskytování služeb pověřence pro ochranu osobních údajů
Účastníci	Hlavní město Praha, městská část Praha 3
Typ správního řízení	Veřejná zakázka
Výrok	§ 268 odst. 2 písm. a) zákona č. 134/2016 Sb.
Rok	2019
Datum nabytí právní moci	25. 6. 2019
Související rozhodnutí	S0073/2019/VZ-10303/2019/542/MCi R0069/2019/VZ-17625/2019/323/LVa
Dokumenty	2019_S0073.pdf 625 KB

Č. j.: ÚOHS-S0073/2019/VZ-10303/2019/542/MCi

Brno: 10. dubna 2019

Úřad pro ochranu hospodářské soutěže příslušný podle § 248 zákona č. 134/2016 Sb., o zadávání veřejných zakázek, ve znění pozdějších předpisů, v řízení o přestupku zahájeném dne 21. 2. 2019 z moci úřední, jehož účastníkem je

obviněný – Hlavní město Praha, městská část Praha 3, IČO 00063517, se sídlem Havlíčkovo náměstí 700/9, 130 00 Praha 3,

ve věci možného spáchání přestupku ve smyslu § 268 odst. 1 písm. a) citovaného zákona obviněným, učiněného v souvislosti se zadáváním veřejných zakázek

„Zpracování dokumentů v souvislosti s implementací GDPR pro příspěvkové organizace městské části Praha 3“, která byla zadávána na základě výzvy k podání nabídky ze dne 25. 4. 2018 jako veřejná zakázka malého rozsahu a na kterou byla dne 16. 5. 2018 uzavřena s vybraným dodavatelem GENESIS SECURITY s. r. o., IČO 05832438, se sídlem Na Folimance 2155/15, 120 00 Praha 2, smlouva o dílo,
„Zpracování dokumentů v souvislosti s implementací GDPR pro Úřad městské části Praha 3“, která byla zadávána na základě výzvy k podání nabídky ze dne 25. 4. 2018 jako veřejná zakázka malého rozsahu a na kterou byla dne 16. 5. 2018 uzavřena s vybraným dodavatelem GENESIS SECURITY s. r. o., IČO 05832438, se sídlem Na Folimance 2155/15, 120 00 Praha 2, smlouva o dílo,
„Poskytování služeb pověřence pro ochranu osobních údajů“, která byla zadávána na základě výzvy k podání nabídky ze dne 25. 4. 2018 jako veřejná zakázka malého rozsahu a na kterou byla dne 16. 5. 2018 uzavřena s vybraným dodavatelem Conesto Consult s. r. o., IČO 02288290, t. č. se sídlem Na poříčí 1047/26, 110 00 Praha 1, smlouva o poskytování služeb pověřence pro ochranu osobních údajů,

rozhodl takto:

Obviněný – Hlavní město Praha, městská část Praha 3, IČO 00063517, se sídlem Havlíčkovo náměstí 700/9, 130 00 Praha 3 – se dopustil přestupku podle § 268 odst. 1 písm. a) zákona č. 134/2016 Sb., o zadávání veřejných zakázek, ve znění pozdějších předpisů, tím, že nedodržel pravidlo pro zadávání veřejných zakázek stanovené v § 2 odst. 3 citovaného zákona, když podlimitní veřejnou zakázku, jejímž předmětem je plnění vyplývající ze smlouvy o dílo ze dne 16. 5. 2018, která byla uzavřena s vybraným dodavatelem GENESIS SECURITY s. r. o., IČO 05832438, se sídlem Na Folimance 2155/15, 120 00 Praha 2, v rámci zadávání veřejné zakázky malého rozsahu „Zpracování dokumentů v souvislosti s implementací GDPR pro příspěvkové organizace městské části Praha 3“, plnění vyplývající ze smlouvy o dílo ze dne 16. 5. 2018, která byla uzavřena s vybraným dodavatelem GENESIS SECURITY s. r. o., IČO 05832438, se sídlem Na Folimance 2155/15, 120 00 Praha 2, v rámci zadávání veřejné zakázky malého rozsahu „Zpracování dokumentů v souvislosti s implementací GDPR pro Úřad městské části Praha 3“, a plnění vyplývající ze smlouvy o dílo ze dne 16. 5. 2018, která byla uzavřena s vybraným dodavatelem Conesto Consult s. r. o., IČO 02288290, t.č. se sídlem Na poříčí 1047/26, 110 00 Praha 1, v rámci zadávání veřejné zakázky malého rozsahu „Poskytování služeb pověřence pro ochranu osobních údajů“, zadal v důsledku nesprávně stanovené předpokládané hodnoty mimo zadávací řízení, a nezadal ji v podlimitním režimu podle části třetí zákona, přičemž tím mohl ovlivnit výběr dodavatele, a na předmět plnění veřejné zakázky uzavřel shora uvedené smlouvy.

II.

Za spáchání přestupku uvedeného ve výroku I. tohoto rozhodnutí se obviněnému – Hlavní město Praha, městská část Praha 3, IČO 00063517, se sídlem Havlíčkovo náměstí 700/9, 130 00 Praha 3 – podle § 268 odst. 2 písm. a) zákona č. 134/2016 Sb., o zadávání veřejných zakázek, ve znění pozdějších předpisů, ukládá

pokuta ve výši 100.000,- Kč (sto tisíc korun českých).

Pokuta je splatná do dvou měsíců od nabytí právní moci tohoto rozhodnutí.

III.

Podle § 95 odst. 1 zákona č. 250/2016 Sb., o odpovědnosti za přestupky a řízení o nich, v návaznosti na § 79 odst. 5 zákona č. 500/2004 Sb., správní řád, ve znění pozdějších předpisů, a § 6 odst. 1 vyhlášky č. 520/2005 Sb., o rozsahu hotových výdajů a ušlého výdělku, které správní orgán hradí jiným osobám, a o výši paušální částky nákladů řízení, se obviněnému – Hlavní město Praha, městská část Praha 3, IČO 00063517, se sídlem Havlíčkovo náměstí 700/9, 130 00 Praha 3 – ukládá:

uhradit náklady řízení ve výši 1 000 Kč (jeden tisíc korun českých).

Náklady řízení jsou splatné do dvou měsíců od nabytí právní moci tohoto rozhodnutí.

ODŮVODNĚNÍ

I. POSTUP ÚŘADU PŘED ZAHÁJENÍM SPRÁVNÍHO ŘÍZENÍ

1. Úřad pro ochranu hospodářské soutěže v roli kontrolního orgánu ve smyslu ust. § 1 a ust. § 2 zákona č. 255/2012 Sb., o kontrole, ve znění pozdějších předpisů, ve spojení s ust. § 248 odst. 1 písm. e) zákona č. 134/2016 Sb., o zadávání veřejných zakázek, ve znění pozdějších předpisů (dále jen „zákon“), zahájil dne 29. 10. 2018 z moci úřední doručením oznámení o zahájení kontroly z téhož dne, č. j. ÚOHS-K0016/2018/VZ-30494/2018/544/RPí zadavateli – Hlavní město Praha, městská část Praha 3, IČO 00063517, se sídlem Havlíčkovo náměstí 700/9, 130 00 Praha 3 (dále jen „obviněný“ nebo „zadavatel“) – kontrolu postupu zadavatele v rámci veřejných zakázek

o „Zpracování dokumentů v souvislosti s implementací GDPR pro příspěvkové organizace městské části Praha 3“, která byla zadávána na základě výzvy k podání nabídky ze dne 25. 4. 2018 jako veřejná zakázka malého rozsahu a na kterou byla dne 16. 5. 2018 uzavřena s vybraným dodavatelem GENESIS SECURITY s. r. o., IČO 05832438, se sídlem Na Folimance 2155/15, 120 00 Praha 2 (dále jen „GENESIS SECURITY s. r. o.“), smlouva o dílo (dále jen „zpracování dokumentů pro příspěvkové organizace MČ Praha 3“),

o „Zpracování dokumentů v souvislosti s implementací GDPR pro Úřad městské části Praha 3“, která byla zadávána na základě výzvy k podání nabídky ze dne 25. 4. 2018 jako veřejná zakázka malého rozsahu a na kterou byla dne 16. 5. 2018 uzavřena s vybraným dodavatelem GENESIS SECURITY s. r. o., smlouva o dílo (dále jen „zpracování dokumentů pro Úřad MČ Praha 3“),

o „Poskytování služeb pověřence pro ochranu osobních údajů“, která byla zadávána na základě výzvy k podání nabídky ze dne 25. 4. 2018 jako veřejná zakázka malého rozsahu a na kterou byla dne 16. 5. 2018 uzavřena s vybraným dodavatelem Conesto Consult s. r. o., IČO 02288290, dříve se sídlem Třebohostická 2283/2, 100 00 Praha 10, nyní se sídlem Na poříčí 1047/26, 110 00 Praha 1 (dále jen „Conesto Consult s. r. o.“), smlouva o poskytování služeb pověřence pro ochranu osobních údajů (dále jen „poskytování služeb pověřence pro ochranu osobních údajů“),

2. Dne 2. 11. 2018 obdržel Úřad v roli kontrolního orgánu prostřednictvím datové schránky a dne 5. 11. 2018 v listinné podobě od zadavatele dokumentaci pořízenou v souvislosti s výše uvedenými veřejnými zakázkami. V protokolu o kontrole ze dne 10. 1. 2019, č. j. ÚOHS-K0016/2018/VZ-36167/2018/544/RPí Úřad v roli kontrolního orgánu konstatoval, že zadavatel postupoval v souvislosti se zadáváním předmětné veřejné zakázky v rozporu se zákonem.

3. Z důvodu existence pochybnosti o tom, zda zadavatel v souvislosti se zadáváním výše uvedené veřejné zakázky nespáchal přestupek podle § 268 odst. 1 písm. a) zákona, zahájil Úřad v této věci správní řízení z moci úřední.

II. PRŮBĚH SPRÁVNÍHO ŘÍZENÍ

4. Účastníkem řízení o přestupku je podle ust. § 256 zákona obviněný.

5. Dne 21. 2. 2019 bylo obviněnému odesláno oznámení o zahájení řízení o přestupku, a to přípisem z téhož dne, č. j. ÚOHS-S0073/2019/VZ-05422/2019/542/MCi, ve věci možného spáchání přestupku ve smyslu § 268 odst. 1 písm. a) zákona v souvislosti se zadáváním veřejných zakázek zpracování dokumentů pro příspěvkové organizace MČ Praha 3, zpracování dokumentů pro Úřad MČ Praha 3 a poskytování služeb pověřence pro ochranu osobních údajů.

6. Správní řízení bylo zahájeno podle ust. § 78 odst. 2 zákona č. 250/2016 Sb., o odpovědnosti za přestupky a řízení o nich (dále jen „zákon o přestupcích“), ve spojení s ust. § 248 zákona dne 21. 2. 2019, tj. dnem, kdy bylo předmětné oznámení o zahájení řízení o přestupku doručeno obviněnému.

7. Usnesením ze dne 21. 2. 2019, č. j. ÚOHS-S0073/2019/VZ-05430/2019/542/MCi Úřad obviněnému stanovil lhůtu pro navrhování důkazů, k podávání jiných návrhů a k vyjádření svého stanoviska v rámci řízení. Dne 27. 2. 2019 Úřad obdržel vyjádření obviněného k řízení, v rámci kterého obviněný uvádí, že dne 24. 1. 2019 zaslal na Úřad námitky proti kontrolnímu zjištění uvedenému v protokolu o kontrole ze dne 10. 1. 2019, č. j. ÚOHS-K0016/2018/VZ-36167/2018/544/RPí, dále že byl Úřadem v roli kontrolního orgánu přípisem ze dne 22. 2. 2019 spraven o tom, že jím podané námitky budou vyřízeny v rámci navazujícího správního řízení, a že nad rámec jím poslaných námitek nemá k řízení další podklady.

8. Usnesením ze dne 12. 3. 2019, č. j. ÚOHS-S0073/2019/VZ-07258/2019/542/MCi, byl obviněný informován o tom, že v řízení o přestupku bylo ukončeno shromažďování podkladů pro vydání rozhodnutí ve smyslu ust. § 50 zákona č. 500/2004 Sb., správní řád, ve znění pozdějších předpisů (dále jen „správní řád“), a zároveň mu byla stanovena lhůta pro vyjádření se k těmto podkladům. Obviněný se ve stanovené lhůtě dále nevyjádřil.

III. ZÁVĚRY ÚŘADU

9. Úřad přezkoumal na základě ust. § 248 a násl. zákona případ ve všech vzájemných souvislostech a po zhodnocení všech podkladů, zejména dokumentace k předmětným veřejným zakázkám, a na základě vlastního zjištění konstatuje, že obviněný nepostupoval v souladu se zákonem, k čemuž uvádí následující skutečnosti.

Posouzení právního postavení obviněného jako zadavatele

10. Před zkoumáním samotného postupu obviněného se Úřad zabýval otázkou, zda obviněný naplňuje definici veřejného zadavatele podle zákona.

11. Podle ust. § 3 odst. 1 zákona č. 131/2000 Sb., o hlavním městě Praze, ve znění pozdějších předpisů (dále jen „zákon o hlavním městě Praze“), se hlavní město Praha člení na městské části.

12. Podle ust. § 3 odst. 2 zákona o hlavním městě Praze městské části v rozsahu stanoveném tímto zákonem a Statutem vystupují v právních vztazích svým jménem a nesou odpovědnost z těchto vztahů vyplývající.

13. Podle ust. § 3 odst. 3 téhož zákona o hlavním městě Praze postavení městských částí, jejich orgánů a jejich působnost stanoví zákon o hlavním městě Praze, zvláštní zákony a Statut.

14. Podle ust. § 4 odst. 3 zákona o hlavním městě Praze mají městské části vlastní rozpočet a za podmínek stanovených tímto zákonem, zvláštním zákonem a Statutem hospodaří podle něj.

15. Podle ust. § 2 odst. 1 zákona o hlavním městě Praze úkoly patřící do samosprávy městských částí hlavního města Prahy plní městské části hlavního města Prahy v rozsahu stanoveném tímto nebo zvláštním zákonem a Statutem hlavního města Prahy a v rozsahu odpovídajícím potřebám městských částí.

16. Podle ust. § 34 odst. 3 zákona o hl. městě Praze městské části nakládají za podmínek stanovených tímto zákonem a Statutem se svěřeným majetkem hlavního města Prahy. Městské části vykonávají při nakládání se svěřeným majetkem hlavního města Prahy práva a povinnosti vlastníka v rozsahu vymezeném tímto zákonem a Statutem.

17. Podle § 4 odst. 1 písm. d) zákona je veřejným zadavatelem územní samosprávný celek nebo jeho příspěvková organizace.

18. Obviněný je městskou částí hlavního města Prahy, které je územním samosprávným celkem, a to současně krajem i obcí. Úřad uvádí, že vzhledem k tomu, že zákon používá při vymezení definice veřejného zadavatele vždy pojem obecnější (nadřazený), který v sobě zahrnuje i organizační složky (útvary), které pod takový obecnější pojem spadají, tak v případě územně členěných statutárních měst a hlavního města Prahy se za veřejného zadavatele považují i jednotlivé městské části nebo městské obvody.

19. S ohledem na výše uvedené skutečnosti Úřad konstatuje, že obviněný, tj. Hlavní město Praha, městská část Praha 3, je veřejným zadavatelem ve smyslu § 4 odst. 1 písm. d) zákona, pročež je povinen postupovat podle zákona.

IV. K výroku I. rozhodnutí

Dokumentace k veřejné zakázce „Zpracování dokumentů pro příspěvkové organizace MČ Praha 3“

20. Ve článku II., označeném jako „Informace o druhu a předmětu veřejné zakázky“, bodu I. 1., označeném jako „Popis předmětu plnění veřejné zakázky“, výzvy k podání nabídky a zadávacích podmínek v poptávaném řízení na veřejnou zakázku malého rozsahu mimo režim zákona (dále jen „výzva a zadávací podmínky na veřejnou zakázku Zpracování dokumentů pro příspěvkové organizace MČ Praha 3“)je uvedeno mimo jiné následující:

a. „Dne 25. 5. 2018 nabude účinnosti Nařízení EU č. 679/2016 ze dne 27. 4. 2016, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), (dále jen ‚GDPR‘). Objednatel vědom si této skutečnosti má zájem za účelem dosažení souladu vnitřních procesů organizací jím zřízených (dále též ‚Organizace‘), při nakládání s osobními údaji s GDPR na zpracování 1) srovnávací analýzy, 2) analýzy rizik a posouzení vlivu na ochranu osobních údajů, 3) plánu dosažení souladu s GDPR, 4) dokumentace ochrany osobních údajů. Výstupy budou zpracovány ‚typově‘ pro minimálně čtyři typy příspěvkových organizací (mateřská škola, základní škola, organizace v kulturní oblasti, organizace v sociální oblasti) […]

b. V rámci Srovnávací analýzy bude provedeno posouzení úrovně a stavu ochrany osobních údajů dle aktuálního rozsahu zpracování těchto údajů v prostředí Organizací. Cílem Srovnávací analýzy bude identifikovat konkrétní činnosti, při kterých dochází ke zpracovávání osobních údajů s popsáním způsobu, jakým se osobní údaje zpracovávají […]

c. Pro jednotlivá zpracování osobních údajů identifikovaná v rámci Srovnávací analýzy bude Analýza rizik posuzovat rizika pojící se zpracováváním osobních údajů. Bude-li to v rámci Analýzy rizik vyhodnoceno riziko jako vysoké, bude vyhotoveno Posouzení vlivu na ochranu osobních údajů […]

d. Plán dosažení souladu s GDPR bude spočívat v navržení jednotlivých změn, které je třeba provést před nabytím účinnosti GDPR […]

e. Součástí Plánu dosažení souladu s GDPR bude detailní popis zadání pro následnou implementaci IT/non IT opatření a dále odhad náročnosti jednotlivých kroků a doporučení pro postup implementace potřebných opatření do prostření objednatele. Součástí plánu dosažení souladu s GDPR bude též návrh parametrů jednotlivých navrhovaných opatření […].“

21. Ve článku III., označeném jako „Termín plnění předmětu poptávky“ výzvy a zadávacích podmínek na veřejnou zakázku zpracování dokumentů pro příspěvkové organizace MČ Praha 3 je stanoven termín na plnění 3 měsíce od uzavření smlouvy na předmětnou veřejnou zakázku.

22. Ve článku VI., označeném jako „Lhůta a místo pro podání nabídek“ výzvy a zadávacích podmínek na veřejnou zakázku zpracování dokumentů pro příspěvkové organizace MČ Praha 3 je stanoveno, že nabídky „[…] se mohou podávat pouze v listinné podobě, a to nejpozději do středy 2. 5. 2018 – 15:00 hodin na adresu zadavatele […]. Jiné doručení není považováno za řádné podání nabídky.“

23. Ve článku II. smlouvy o dílo na veřejnou zakázku zpracování dokumentů pro příspěvkové organizace MČ Praha 3 je mimo jiné uvedeno:

„[Z]hotovitel (se) zavazuje na svůj náklad a nebezpečí provést pro objednatele následující výstupní dokumenty:

Srovnávací analýzu
Analýzu rizik a posouzení vlivu na ochranu osobních údajů
Plán dosažení souladu s GDPR
Dokumentaci ochrany osobních údajů

v prostředí Organizací a to tak, aby byly výsledky těchto dokumentů použitelné i v prostředí jiných, typově obdobných organizací zřízených Objednatelem. Objednatel určí čtyři typové příspěvkové organizace, pro které budou ve smlouvě stanovené dokumenty zpracovány.“

24. Ve článku III. smlouvy o dílo na veřejnou zakázku zpracování dokumentů pro příspěvkové organizace MČ Praha 3 je mimo jiné uvedeno:

a. „V rámci Srovnávací analýzy bude provedeno posouzení úrovně a stavu ochrany osobních údajů dle aktuálního rozsahu zpracování těchto údajů v prostředí Organizací […] Součástí Srovnávací analýzy budou zejména tyto činnosti:

Zpracování formuláře pro srovnávací analýzu,
Podpora při poskytnutí podpory respondentům u vybraných zpracování a vyhodnocení zpracování osobních údajů,
Analýza dokumentace ochrany osobních údajů,
Identifikace ochrany osobních údajů,
Identifikace procesů zpracování osobních údajů u Organizace,
Identifikace respondentů pro provedení interview,
Provedení rozhovorů a posouzení stavu na pracovištích Organizací […]
posouzení míry outsourcingu a dohod se třetími stranami včetně posouzení smluv o zpracování osobních údajů;
zpracování záznamu ze srovnávací analýzy popisující míru splnění požadavků GDPR a předání tohoto záznamu Organizacím; dokončení Registru zpracování osobních údajů.“

b. […] V rámci Analýzy rizik bude provedeno zejména:

Identifikace, zda jde o zpracování osobních údajů popsané v čl. 35 odst. 3 písm. a), b) nebo c) GDPR;
Identifikace, zda je zpracování označené za rizikové Úřadem pro ochranu osobních údajů (dále jen ‚dozorový úřad‘);
Identifikace hrozeb spojených se zpracováním (např. porušení zabezpečení údajů, zpracování údajů v rozporu se základními zásadami GDPR apod.);
Identifikace potenciální újmy dotčených osob spojené se zpracováním jejich osobních údajů (fyzická, hmotná nebo nehmotná újma způsobená správcem nebo třetí stranou);
Zhodnocení pravděpodobnosti, že újma vznikne (posouzení slabých míst systémů a procesů zpracování oproti povaze hrozby);
Zhodnocení závažnosti potenciální újmy, pokud by vznikla (z hlediska citlivosti nebo objemu osobních údajů apod.);
Vyhodnocení, zda zpracování obsahuje rizikové faktory dle výkladového pokynu WP29 ze dne 4. 4. 2016 (WP 248);
Vyhodnocení rizika (vysoké riziko je důvodem k tomu, aby bylo provedeno podrobné Posouzení vlivu na ochranu osobních údajů; naopak nízké riziko může být důvodem pro aplikaci některé výjimky z povinností dle GDPR) […].

c. […] V rámci zpracovávání Plánu dosažení souladu s GDPR se zhotovitel zaměří zejména na:

redukci rozsahu potřebného zpracování údajů a snížení nákladů na opatření nezbytných na jeho zabezpečení;
revizi bezpečnostní politiky a další bezpečnostní dokumentace, pokrývající oblast osobních údajů;
úpravu procesů spojených s osobními údaji a jejich ochranou;
přijetí technických opatření pro zlepšení bezpečnosti osobních údajů;
revizi smluv s externími subjekty, které vstupují do zpracování osobních údajů, případně se kterými jsou osobní údaje vyměňovány na základě právní normy;
provedení školení zaměstnanců Organizací zodpovědných za zajištění bezpečnosti osobních údajů.

Součástí Plánu dosažení souladu s GDPR bude detailní popis zadání pro následnou implementaci IT/non IT opatření a dále odhad náročnosti jednotlivých kroků a doporučení pro postup implementace potřebných opatření do prostření objednatele. Součástí plánu dosažení souladu s GDPR bude též návrh parametrů jednotlivých navrhovaných opatření.

d. V návaznosti na výsledky Podkladové analýzy, Analýzy rizik a Plánu dosažení souladu s GDPR bude Dokumentace ochrany osobních údajů upravovat pravidla a postupy ochrany osobních údajů, a to minimálně v následující podobě:

Směrnice pro klasifikaci aktiv;
Směrnice pro ochranu osobních údajů;
Metodika hodnocení rizik zpracování osobních údajů včetně rizik subjektů údajů;
Pravidla pro zvládání porušení ochrany osobních údajů;
Pravidla pro výkon případné role Pověřence pro ochranu osobních údajů v podmínkách Organizací;
Evidence o činnostech požadovaných GDPR;
Návrh vzorů pro zajištění požadavků GDPR.“

25. Ve článku IV. smlouvy o dílo na veřejnou zakázku zpracování dokumentů pro příspěvkové organizace MČ Praha 3 je mimo jiné uvedeno, že „[z]hotovitel zahájí provádění díla ihned po nabytí účinností této smlouvy“, a že „[…] se zavazuje provést dílo do 3 měsíců od podpisu smlouvy.“

26. Ve článku V. smlouvy o dílo na na veřejnou zakázku zpracování dokumentů pro příspěvkové organizace MČ Praha 3 je mimo jiné uvedeno, že „[c]ena za dílo se skládá z částky ve výši 1.550.000,- Kč a z částky odpovídající dani z přidané hodnoty (DPH) ve výši platné v době uskutečnění zdanitelného plnění.“

27. Ze zápisu o otevírání obálek ze dne 2. 5. 2018 vyplývá, že ekonomicky nejvýhodnějším dodavatelem, který zároveň splňuje kvalifikační podmínky, je společnost GENESIS SECURITY s. r. o.

28. Usnesením městské části Praha 3 ze dne 9. 5. 2018, č. 277, Rada městské části Praha 3 schválila zadání veřejné zakázky na Zpracování dokumentů pro příspěvkové organizace MČ Praha 3, a uzavření smlouvy na tuto veřejnou zakázku s vybraným dodavatelem společností GENESIS SECURITY s. r. o. Oznámením rozhodnutí o výběru nejvhodnější nabídky ze dne 11. 5. 2018 obviněný spravil účastníky zadávacího řízení o výběru dodavatele, kterým se stala společnost GENESIS SECURITY s. r. o.

29. Z originálu předmětné smlouvy, který má Úřad k dispozici, vyplývá, že tato byla mezi obviněným a společností GENESIS SECURITY s. r. o. uzavřena dne 16. 5. 2018 (v registru smluv je jakožto den jejího zveřejnění uvedeno 16. 5. 2018[1]).

Dokumentace k veřejné zakázce „Zpracování dokumentů pro Úřad MČ Praha 3“

30. Ve článku II., označeném jako „Informace o druhu a předmětu veřejné zakázky“, bodu I. 1., označeném jako „Popis předmětu plnění veřejné zakázky“, výzvy k podání nabídky a zadávacích podmínek v poptávaném řízení na veřejnou zakázku malého rozsahu mimo režim zákona (dále jen „výzva a zadávací podmínky pro Zpracování dokumentů pro Úřad MČ Praha 3“) je uvedeno mimo jiné následující:

b. Analýza rizik bude zpracována tak, že jejím výsledkem bude zejména:

Identifikace, zda jde o zpracování osobních údajů popsané v čl. 35 odst. 3 písm. a), b) nebo c) GDPR;
Identifikace, zda je zpracování označené za rizikové Úřadem pro ochranu osobních údajů (dále jen ‚dozorový úřad‘);
Identifikace hrozeb spojených se zpracováním (např. porušení zabezpečení údajů, zpracování údajů v rozporu se základními zásadami GDPR apod.);
Identifikace potenciální újmy dotčených osob spojené se zpracováním jejich osobních údajů (fyzická, hmotná nebo nehmotná újma způsobená správcem nebo třetí stranou);
Zhodnocení pravděpodobnosti, že újma vznikne (posouzení slabých míst systémů a procesů zpracování oproti povaze hrozby);
Zhodnocení závažnosti potenciální újmy, pokud by vznikla (z hlediska citlivosti nebo objemu osobních údajů apod.) […];
Vyhodnocení rizika (vysoké riziko je důvodem k tomu, aby bylo provedeno podrobné Posouzení vlivu na ochranu osobních údajů; naopak nízké riziko může být důvodem pro aplikaci některé výjimky z povinností dle GDPR).

c. […] V rámci zpracovávání Plánu dosažení souladu s GDPR se zhotovitel zaměří zejména na:

redukci rozsahu potřebného zpracování údajů a snížení nákladů na opatření nezbytných na jeho zabezpečení;
revizi bezpečnostní politiky a další bezpečnostní dokumentace, pokrývající oblast osobních údajů;
úpravu procesů spojených s osobními údaji a jejich ochranou;
přijetí technických opatření pro zlepšení bezpečnosti osobních údajů;
revizi smluv s externími subjekty, které vstupují do zpracování osobních údajů, případně se kterými jsou osobní údaje vyměňovány na základě právní normy;
provedení školení zaměstnanců zodpovědných za zajištění bezpečnosti osobních údajů.

Směrnice pro klasifikaci aktiv;
Směrnice pro ochranu osobních údajů;
Metodika hodnocení rizik zpracování osobních údajů včetně rizik subjektů údajů;
Pravidla pro zvládání porušení ochrany osobních údajů.“

31. Ve článku III., označeném jako „Termín plnění předmětu poptávky“ výzvy a zadávacích podmínek na Zpracování dokumentů pro Úřad MČ Praha 3 je stanoven termín na plnění 3 měsíce od uzavření smlouvy na předmětnou veřejnou zakázku.

32. Ve článku VI., označeném jako „Lhůta a místo pro podání nabídek“ výzvy a zadávacích podmínek na Zpracování dokumentů pro Úřad MČ Praha 3 je stanoveno, že nabídky „[…] se mohou podávat pouze v listinné podobě, a to nejpozději do středy 2. 5. 2018 – 15:00 hodin na adresu zadavatele […]. Jiné doručení není považováno za řádné podání nabídky.“

33. Ve článku II. smlouvy o dílo na veřejnou zakázku zpracování dokumentů pro Úřad MČ Praha 3 je mimo jiné uvedeno:

„Touto smlouvou se zhotovitel zavazuje na svůj náklad a nebezpečí provést pro objednatele následující výstupní dokumenty:

Analýzu rizik spojených se zpracováváním osobních údajů v podmínkách objednatele (dále jen ‚Analýza rizik‘)
Plán dosažení souladu s GDPR
Dokumentaci ochrany osobních údajů“

34. Ve článku III. smlouvy o dílo na veřejnou zakázku zpracování dokumentů pro Úřad MČ Praha 3 je mimo jiné uvedeno:

a. „Zhotovitel bude při provádění díla vycházet ze ‚Srovnávací analýzy s požadavky nařízení EU GDPR,‘ kterou má objednatel k dispozici (dále jen „Podkladová analýza‘). Zhotovitel prohlašuje, že se s touto Podkladovou analýzou seznámil a dále prohlašuje, že neshledává žádné její nedostatky, které by bránily provedení díla.

b. Analýza rizik bude zpracována tak, že jejím výsledkem bude zejména:

Směrnice pro klasifikaci aktiv;
Identifikace, zda jde o zpracování osobních údajů popsané v čl. 35 odst. 3 písm. a), b) nebo c) GDPR;
Identifikace, zda je zpracování označené za rizikové Úřadem pro ochranu osobních údajů (dále jen „dozorový úřad“);
Identifikace hrozeb spojených se zpracováním (např. porušení zabezpečení údajů, zpracování údajů v rozporu se základními zásadami GDPR apod.);
Identifikace potenciální újmy dotčených osob spojené se zpracováním jejich osobních údajů (fyzická, hmotná nebo nehmotná újma způsobená správcem nebo třetí stranou);
Zhodnocení pravděpodobnosti, že újma vznikne (posouzení slabých míst systémů a procesů zpracování oproti povaze hrozby);
Zhodnocení závažnosti potenciální újmy, pokud by vznikla (z hlediska citlivosti nebo objemu osobních údajů apod.) […]
Vyhodnocení rizika (vysoké riziko je důvodem k tomu, aby bylo provedeno podrobné Posouzení vlivu na ochranu osobních údajů; naopak nízké riziko může být důvodem pro aplikaci některé výjimky z povinností dle GDPR).

c. […] V rámci zpracovávání Plánu dosažení souladu s GDPR se zhotovitel zaměří zejména na:

redukci rozsahu potřebného zpracování údajů a snížení nákladů na opatření nezbytných na jeho zabezpečení;
revizi bezpečnostní politiky a další bezpečnostní dokumentace, pokrývající oblast osobních údajů;
úpravu procesů spojených s osobními údaji a jejich ochranou;
přijetí technických opatření pro zlepšení bezpečnosti osobních údajů;
revizi smluv s externími subjekty, které vstupují do zpracování osobních údajů, případně se kterými jsou osobní údaje vyměňovány na základě právní normy;
provedení školení zaměstnanců zodpovědných za zajištění bezpečnosti osobních údajů.

Směrnice pro klasifikaci aktiv;
Směrnice pro ochranu osobních údajů;
Metodika hodnocení rizik zpracování osobních údajů včetně rizik subjektů údajů;
Pravidla pro zvládání porušení ochrany osobních údajů.“

35. Ve článku IV. smlouvy o dílo na veřejnou zakázku zpracování dokumentů pro Úřad MČ Praha 3 je mimo jiné uvedeno, že „[z]hotovitel zahájí provádění díla ihned po nabytí účinností této smlouvy“, a že „[…] se zavazuje provést dílo do 3 měsíců od podpisu smlouvy.“

36. Ve článku V. smlouvy o dílo na veřejnou zakázku zpracování dokumentů pro Úřad MČ Praha 3 je mimo jiné uvedeno, že „[c]ena za dílo se skládá z částky ve výši 1.400.000,- Kč a z částky odpovídající dani z přidané hodnoty (DPH) ve výši platné v době uskutečnění zdanitelného plnění.“

37. Ze zápisu o otevírání obálek ze dne 2. 5. 2018 vyplývá, že ekonomicky nejvýhodnějším dodavatelem, který zároveň splňuje kvalifikační podmínky, je společnost GENESIS SECURITY s. r. o.

38. Usnesením městské části Praha 3 ze dne 9. 5. 2018, č. 278, Rada městské části Praha 3 schválila zadání veřejné zakázky „ Zpracování dokumentů pro Úřad MČ Praha 3“, a uzavření smlouvy na plnění z ní vyplývající s vybraným dodavatelem společností GENESIS SECURITY s. r. o. Oznámením rozhodnutí o výběru nejvhodnější nabídky ze dne 11. 5. 2018 obviněný spravil účastníky zadávacího řízení o výběru dodavatele, kterým se stala společnost GENESIS SECURITY s. r. o.

39. Z originálu předmětné smlouvy, který má Úřad k dispozici, vyplývá, že tato byla mezi obviněným a společností GENESIS SECURITY s. r. o. uzavřena dne 16. 5. 2018 (v registru smluv je jakožto den jejího zveřejnění uvedeno 16. 5. 2018[2]).

Dokumentace k veřejné zakázce „Poskytování služeb pověřence pro ochranu osobních údajů“

40. Ve článku II., označeném jako „Informace o druhu a předmětu veřejné zakázky“, bodu I. 1., označeném jako „Popis předmětu plnění veřejné zakázky“, výzvy k podání nabídky a zadávacích podmínek na veřejnou zakázku malého rozsahu (dále jen „výzva a zadávací podmínky na Poskytování služeb pověřence pro ochranu osobních údajů“)je uvedeno mimo jiné následující:

a. „S ohledem na novou právní úpravu ochrany osobních údajů obsaženou v nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), které se použije od 25. 5. 2018 (dále jen ‚GDPR‘) se Objednatel rozhodl jmenovat pověřence pro ochranu osobních údajů ve smyslu čl. 37 a násl. GDPR. Touto smlouvou dojde rovněž ke jmenování pověřence pro ochranu osobních údajů pro některé právnické osoby zřízené Objednatelem, které jsou uvedeny v příloze č. 1 přiložené smlouvy (dále jen ‚Organizace‘).

b. Pověřenec se zavazuje vykonávat pro Objednatele a pro Organizace, funkci pověřence pro ochranu osobních údajů ve smyslu GDPR v rozsahu stanoveném právními předpisy a touto Smlouvou, a to na svůj náklad a nebezpečí za v přiložené smlouvě uvedených podmínek.

c. Pověřenec poskytuje Objednateli a Organizacím:

informace a poradenství, jejich zaměstnancům a zpracovatelům osobních údajů, kteří pro Objednatele a Organizace provádějí zpracování, a to zejm. o jejich povinnostech podle GDPR a dalších právních předpisů.
rady, doporučení a upozornění, jejichž cílem je takové zpracovávání osobních údajů, které je v souladu s GDPR a vede k minimalizaci rizik spojených s tímto zpracováváním.
poradenství při posuzování vlivu na ochranu osobních údajů ve smyslu čl. 35 GDPR

d. Pověřenec monitoruje soulad postupů a koncepcí Objednatele a Organizací v oblasti ochrany údajů s GDPR a dalšími právními předpisy.

e. Na základě požadavku Objednatele nebo Organizací se Pověřenec podílí na odborné přípravě pracovníků Objednatele nebo Organizací, kteří jsou zapojeni do operací zpracování osobních údajů.

f. Pověřenec na vyžádání Objednatele či Organizací poskytuje poradenství při zavádění základních prvků GDPR jako jsou zásady zpracování dat, práva subjektů údajů, záměrná a standardní ochrana osobních údajů, záznamy o činnostech zpracování nebo ohlašování případů porušení zabezpečení ochrany osobních údajů; zavazuje se dále být nápomocen s realizací doporučení z poradenství vzniklých […]

g. Pověřenec přijímá podněty a připomínky subjektů údajů ve všech záležitostech souvisejících se zpracováním jejich osobních údajů a výkonem jejich práv podle GDPR […].“

41. Ve článku III., označeném jako „Termín plnění předmětu poptávky“ výzvy a zadávacích podmínek na Poskytování služeb pověřence pro ochranu osobních údajů je stanoven termín plnění 3 měsíce od uzavření smlouvy na předmětné plnění.

42. Ve článku VI., označeném jako „Lhůta a místo pro podání nabídek“ výzvy a zadávacích podmínek na Poskytování služeb pověřence pro ochranu osobních údajů je stanoveno, že nabídky „[…] se mohou podávat pouze v listinné podobě, a to nejpozději do středy 2. 5. 2018 – 15:00 hodin na adresu zadavatele […]. Jiné doručení není považováno za řádné podání nabídky.“

43. Ve článku II. smlouvy o poskytování služeb pověřence pro ochranu osobních údajů je mimo jiné uvedeno, že se pověřenec „[…] touto Smlouvou zavazuje vykonávat pro Objednatele a pro Organizace, funkci pověřence pro ochranu osobních údajů ve smyslu GDPR v rozsahu stanoveném právními předpisy a touto Smlouvou, a to na svůj náklad a nebezpečí za níže uvedených podmínek […]“

44. Ve článku III. smlouvy o poskytování služeb pověřence pro ochranu osobních údajů je mimo jiné uvedeno, že

a. „[…] pověřenec poskytuje „Objednateli a Organizacím:

informace a poradenství, jejich zaměstnancům a zpracovatelům osobních údajů, kteří pro Objednatele a Organizace provádějí zpracování, a to zejm. o jejich povinnostech podle GDPR a dalších právních předpisů.
rady, doporučení a upozornění, jejichž cílem je takové zpracovávání osobních údajů, které je v souladu s GDPR a vede k minimalizaci rizik spojených s tímto zpracováváním.
poradenství při posuzování vlivu na ochranu osobních údajů ve smyslu čl. 35 GDPR

b. „[…] Pověřenec monitoruje soulad postupů a koncepcí Objednatele a Organizací v oblasti ochrany údajů s GDPR a dalšími právními předpisy.

c. […] podílí (se) na odborné přípravě pracovníků Objednatele nebo Organizací, kteří jsou zapojeni do operací zpracování osobních údajů.

d. poskytuje poradenství při zavádění základních prvků GDPR jako jsou zásady zpracování dat, práva subjektů údajů, záměrná a standardní ochrana osobních údajů, záznamy o činnostech zpracování nebo ohlašování případů porušení zabezpečení ochrany osobních údajů; zavazuje se dále být nápomocen s realizací doporučení z poradenství vzniklých.

e. Pověřenec přijímá podněty a připomínky subjektů údajů ve všech záležitostech souvisejících se zpracováním jejich osobních údajů a výkonem jejich práv podle GDPR.“

45. Ve článku IV. smlouvy o poskytování služeb pověřence pro ochranu osobních údajů je mimo jiné uvedeno, že odměna za služby poskytované pověřencem „[…] se skládá z paušální částky ve výši 220 000,- Kč […] měsíčně a částky daně z přidané hodnoty (DPH) ve výši podle příslušných právních předpisů.“

46. Ve článku X. smlouvy o poskytování služeb pověřence pro ochranu osobních údajů je mimo jiné uvedeno, že se předmětná smlouva uzavírá „[…] na dobu určitou do 31. 1. 2019. Platnosti Smlouva nabývá okamžikem podpisu oběma smluvními stranami a účinnosti kumulativně dnem účinnosti GDPR a zveřejněním v registru smluv dle zákona č. 340/2015 Sb., o zvláštních podmínkách účinnosti některých smluv, uveřejňování těchto smluv a o registru smluv (zákon o registru smluv).“

47. Usnesením městské části Praha 3 ze dne 9. 5. 2018, č. 279, Rada městské části Praha 3 schválila zadání veřejné zakázky „Poskytování služeb pověřence pro ochranu osobních údajů“, a uzavření smlouvy na plnění z ní vyplývající s vybraným dodavatelem, společností Conesto Consult s. r. o. Oznámením rozhodnutí o výběru nejvhodnější nabídky ze dne 11. 5. 2018 obviněný spravil účastníky zadávacího řízení o výběru dodavatele, kterým se stala společnost Conesto Consult s. r. o.

48. Z originálu předmětné smlouvy, který má Úřad k dispozici, vyplývá, že tato byla mezi obviněným a společností Connesto Consult s. r. o. uzavřena dne 16. 5. 2018 (v registru smluv je jakožto den jejího zveřejnění uvedeno 16. 5. 2018[3]).

Relevantní ustanovení zákona

49. Podle ust. § 2 odst. 1 věty první zákona se zadáním veřejné zakázky pro účely citovaného zákona rozumí uzavření úplatné smlouvy mezi zadavatelem a dodavatelem, z níž vyplývá povinnost dodavatele poskytnout dodávky, služby nebo stavební práce.

50. Podle ust. § 2 odst. 2 je veřejnou zakázkou veřejná zakázka na dodávky podle § 14 odst. 1 zákona, veřejná zakázka na služby podle § 14 odst. 2 zákona, veřejná zakázka na stavební práce podle § 14 odst. 3 zákona, koncese na služby podle § 174 odst. 3 zákona nebo koncese na stavební práce podle § 174 odst. 2 zákona.

51. Podle ust. § 2 odst. 3 zákona je zadavatel povinen zadat veřejnou zakázku v zadávacím řízení, není-li dále stanoveno jinak. Tato povinnost se považuje za splněnou, pokud je veřejná zakázka zadána na základě rámcové dohody postupem podle části šesté hlavy II, v dynamickém nákupním systému podle části šesté hlavy III nebo pořizována od centrálního zadavatele nebo jeho prostřednictvím podle § 9 zákona.

52. Podle ust. § 3 zákona upravuje tento zákon tyto druhy zadávacích řízení:

a) zjednodušené podlimitní řízení (§ 53),

b) otevřené řízení (§ 56),

c) užší řízení (§ 58),

d) jednací řízení s uveřejněním (§ 60),

e) jednací řízení bez uveřejnění (§ 63),

f) řízení se soutěžním dialogem (§ 68),

g) řízení o inovačním partnerství (§ 70),

h) koncesní řízení (§ 180), nebo

i) řízení pro zadání veřejné zakázky ve zjednodušeném režimu (§ 129).

53. Podle ust. § 6 odst. 2 zákona musí zadavatel ve vztahu k dodavatelům dodržovat zásadu rovného zacházení a zákazu diskriminace.

54. Podle ust. § 14 odst. 2 zákona je veřejnou zakázkou na služby veřejná zakázka, jejímž předmětem je poskytování jiných činností, než uvedených v odstavci 3 citovaného ustanovení.

55. Podle ust. § 16 odst. 1 zákona stanoví zadavatel před zahájením zadávacího řízení nebo před zadáním veřejné zakázky na základě výjimky podle § 30 předpokládanou hodnotu veřejné zakázky. Předpokládanou hodnotou veřejné zakázky je zadavatelem předpokládaná výše úplaty za plnění veřejné zakázky vyjádřená v penězích. Do předpokládané hodnoty veřejné zakázky se nezahrnuje daň z přidané hodnoty.

56. Podle ust. § 16 odst. 5 zákona se předpokládaná hodnota veřejné zakázky stanoví k okamžiku zahájení zadávacího řízení, nebo k okamžiku zadání veřejné zakázky, pokud nebyla zadána v zadávacím řízení.

57. Podle ust. § 18 odst. 1 zákona se předpokládaná hodnota veřejné zakázky rozdělené na části stanoví podle součtu předpokládaných hodnot všech těchto částí bez ohledu na to, zda je veřejná zakázka zadávána

a) v jednom nebo více zadávacích řízeních, nebo

b) zadavatelem samostatně nebo ve spolupráci s jiným zadavatelem nebo jinou osobou.

58. Podle ust. § 18 odst. 2 zákona musí součet předpokládaných hodnot částí veřejné zakázky podle odstavce 1 zahrnovat předpokládanou hodnotu všech plnění, která tvoří jeden funkční celek a jsou zadávána v časové souvislosti. Kromě případů uvedených v odstavci 3 musí být každá část veřejné zakázky zadávána postupy odpovídajícími celkové předpokládané hodnotě veřejné zakázky.

59. Podle ust. § 26 odst. 1 zákona se podlimitní veřejnou zakázkou rozumí veřejná zakázka, jejíž předpokládaná hodnota nedosahuje limitu podle § 25 zákona a přesahuje hodnoty stanovené v § 27 zákona.

60. Podle ust. § 27 písm. a) zákona se veřejnou zakázkou malého rozsahu rozumí veřejná zakázka, jejíž předpokládaná hodnota je rovna nebo nižší v případě veřejné zakázky na dodávky nebo služby částce 2.000.000 Kč.

61. Podle ust. § 35 zákona může zadavatel rozdělit veřejnou zakázku na více částí, pokud tím neobejde povinnosti stanovené tímto zákonem. Pokud zadavatel zadává více částí veřejné zakázky v jednom zadávacím řízení, vymezí rozsah těchto částí a stanoví pravidla pro účast dodavatele v jednotlivých částech a pro zadání těchto částí.

62. Podle ust. § 268 odst. 1 písm. a) zákona se zadavatel dopustí přestupku tím, že nedodrží pravidla stanovená tímto zákonem pro zadání veřejné zakázky nebo pro zvláštní postupy podle části šesté, přičemž tím ovlivní nebo může ovlivnit výběr dodavatele nebo výběr návrhu v soutěži o návrh, a zadá veřejnou zakázku, uzavře rámcovou dohodu nebo se soutěž o návrh považuje po výběru návrhu za ukončenou.

63. Podle ust. § 268 odst. 2 písm. a) zákona se za přestupek podle odstavce 1, nepoužije-li se postup podle odstavce 3, uloží pokuta do 10 % ceny veřejné zakázky, nebo do 20.000.000 Kč, nelze-li celkovou cenu veřejné zakázky zjistit, jde-li o přestupek podle odstavce 1 písm. a) až c) zákona.

Posouzení věci

64. Úřad předně uvádí, že zadavatel má právo vymezit předmět veřejné zakázky podle vlastního uvážení, čemuž odpovídá také možnost rozdělení jejího předmětu na vícero částí. Při uvažovaném rozdělení veřejné zakázky je však zadavatel vždy limitován dotčenými zákonnými pravidly (ust. § 35 zákona), ke kterým se řadí také stěžejní norma o stanovování předpokládané hodnoty veřejné zakázky, vyjádřená v ust. § 18 odst. 1 a 2 zákona. Obsahem citovaného ustanovení je pravidlo pro stanovení součtu předpokládaných hodnot všech rozdělených částí veřejné zakázky, jejichž plnění vůči sobě spadají do jednoho funkčního celku a která jsou zadávána v jedné časové souvislosti, kdy každá takto oddělená část se musí zadávat postupy odpovídajícími dané výši tohoto součtu.

65. V praxi tak na každou „dělenou“ veřejnou zakázku bez rozdílu musí být před zahájením zadávacího řízení nazíráno jako na celek. Ačkoliv je totiž veřejná zakázka souladně s ust. § 35 zákona rozdělena na více částí, a v průběhu zadávacího řízení se tyto její dílčí části stávají de facto samostatnými veřejnými zakázkami, které do určité míry sledují svůj vlastní osud – mohou do nich být podávány samostatné nabídky, může dojít ze zákonem aprobovaných důvodů k jejich zrušení apod., tvoří tyto části před zahájením zadávacího řízení pro potřeby stanovení předpokládané hodnoty veškerého požadovaného plnění jednolitý celek.

66. Zároveň je třeba zdůraznit, že výše uvedené platí také v případech, kdy „společné zadávání“ vícera poptávaných plnění zadavatel sám vůbec nezamýšlí, resp. v případech, kdy zadavatel poptává určitý okruh plnění, které mezi sebou naplňuje časové a funkční vazby dle ust. § 18 odst. 2 zákona, aniž by existoval prvotní záměr taková plnění poptávat jakožto jednu veřejnou zakázku. Zadavatel je před stanovením předpokládané hodnoty konkrétních plnění v principu vždy povinen posoudit, zda-li u těchto plnění nedochází k naplnění prvku časové souvislosti, a zda-li není takové plnění spojeno v jednom funkčním celku (zda se tedy nejedná o jednu veřejnou zakázku), a při kladném výsledku takového hodnocení dále postupovat dle ust. § 18 odst. 1 zákona.

67. V obecnosti výše rozvržená problematika dělení veřejných zakázek patří mezi právní otázky, které Úřad řeší opakovaně. Ani s příchodem nové právní úpravy (zákona č. 134/2016 Sb., o zadávání veřejných zakázek, ve znění pozdějších předpisů; s nabytím účinnosti dne 1. 10. 2016) nezaznamenala otázka dělení veřejných zakázek, ať již doktrinálně, či v praktické rovině přístupu Úřadu při řešení konkrétních případů, zásadních změn. Koncepce právní úpravy obsažená v zákoně jednoznačně vychází z dosavadní „starší“ rozhodovací praxe a proto i dříve vyvozené závěry správních soudů a Úřadu, tj. právní závěry učiněné za účinnosti předchozího zákona č. 137/2006 Sb., o veřejných zakázkách, ve znění pozdějších předpisů, lze vztáhnout na postup nynější. Rozhodovací praxe Úřadu ve výše uvedených ohledech přejímá své dřívější závěry ohledně věcné a místní souvislosti, a společně s funkční souvislostí tyto dohromady podřazuje pod zákonný termín „funkční celek“.Takto zařazená kritéria pro posuzování charakteru veřejných zakázek jsou dále ve svém původním rozsahu užívány i u posuzování případů dle nové právní úpravy.Shodně se k této otázce staví také důvodová zpráva k zákonu, dle které „[k]oncept jedné veřejné zakázky vychází z dosavadní judikatury, dle které je za jednu veřejnou zakázku považováno plnění, které spolu souvisí, a to na základě funkčních (věcných a místních) a časových hledisek.“

68. Předkládané hledisko vzhledem k použitelnosti dosavadní rozhodovací praxe se opírá také o právní závěr uvedený v rozsudku Krajského soudu v Brně ze dne 5. 1. 2018, č. j. 29 Af 141/2016-56, ve kterém soud uvádí, že „[…] [k]rajský soud, po prostudování změn v relevantní právní úpravě, dospěl k závěru, že v mezidobí nedošlo k přijetí příznivější právní úpravy pro žalobce, byť s účinností od 1. 10. 2016 byla přijata nová právní úprava veřejných zakázek (zákon č. 134/2016 Sb., o zadávání veřejných zakázek). Tato nová právní úprava totiž obsahuje obdobné ustanovení, jako citovaná ustanovení § 12 odst. 2 a § 13 odst. 3 zákona o veřejných zakázkách, a to § 18 odst. 1 zákona o zadávání veřejných zakázek […] § 18 odst. 2 zákona o zadávání veřejných zakázek […] § 18 odst. 3 zákona o zadávání veřejných zakázek. Za situace, kdy se tedy nezměnily stanovené výše finančních limitů pro rozlišení veřejných zakázek, žalobce by ani za nové právní úpravy v zákoně o zadávání veřejných zakázek nebyl oprávněn zadávat obě veřejné zakázky samostatně jako zakázky malého rozsahu, když jejich souhrnná hodnota přesáhla limit 2 000 000 Kč […].“

69. K problematice „dělení“ veřejných zakázek se v obecnosti již dříve vícekrát vyjádřil Nejvyšší správní soud, např. ve svém rozsudku ze dne 27. 6. 2007, sp. zn. 2 Afs 198/2006 uvádí, že „[z]adáním jedné veřejné zakázky, spočívající v plnění stejného nebo srovnatelného druhu, je totiž nutno rozumět i souhrn jednotlivých zadání určitých relativně samostatných plnění, týkají-li se tato zadání plnění spolu úzce souvisejících zejména z hledisek místních, urbanistických, funkčních, časových nebo technologických.“ V dalším ze svých rozsudků ze dne 15. 12. 2010, č. j. 2 Afs 55/2010-173, Nejvyšší správní soud, souladně s jeho výše citovaným závěrem, uvádí, že „[p]ro určení, zda konkrétní plnění ve prospěch zadavatele je jedinou veřejnou zakázkou nebo několika jednotlivými veřejnými zakázkami, je rozhodující věcný charakter takového plnění; poptává-li zadavatel plnění svým charakterem totožné či obdobné (např. plnění stejného nebo srovnatelného druhu uskutečňované pro téhož zadavatele v témže časovém období a za týchž podmínek co do charakteru plnění), pak takové plnění musí zadávat jako jedinou veřejnou zakázku […]. Není však v případě zadávání takové jediné veřejné zakázky vyloučeno připustit podávání nabídek jen na její jednotlivé části.“

70. Krajský soud v Brně ve svém rozsudku ze dne 7. 3. 2013, sp. zn. 62 Af 68/2011-50, uvedl, že: „Při tomto určování (posuzování existence dělení veřejné zakázky; pozn. Úřadu) je zapotřebí vycházet z obecného pravidla, racionálně a logicky zdůvodnitelného, podle něhož jde-li o plnění, jež má být ve prospěch zadavatele podle předmětu veřejné zakázky uskutečňováno, svým charakterem totožné či obdobné, pak jde o plnění stejného nebo srovnatelného druhu, a tedy jde o plnění, které je jedinou veřejnou zakázkou.“

71. S ohledem na celkový charakter věci se Úřad zabýval skutečností, zda byla naplněna konkrétní zákonná hlediska dle ust. § 18 odst. 2 zákona, tj. zda se v případě plnění spočívajícím ve zpracování dokumentů pro příspěvkové organizace MČ Praha 3, ve zpracování dokumentů pro Úřad MČ Praha 3, a při poskytování služeb pověřence pro ochranu osobních údajů, jedná o plnění, která byla zadávána v časové souvislosti a která tvoří jeden funkční celek (při přítomnosti místní, věcné a funkční souvislosti) s přihlédnutím ke skutečnosti, zda obviněný v roli zadavatele mohl potřebu jednotlivých plnění dopředu předvídat. (K tomu blíže např. rozhodnutí Úřadu ze dne 21. 10. 2010, vydané pod č. j. ÚOHS-S40/2010/VZ-6872/1010/540/KKo, které sleduje další možné relevantní okolnosti, a to otázku úmyslu zadavatele, příp. známky nahodilosti jednotlivých veřejných zakázek: „Úřad při rozhodování, zda se jedná o jednu veřejnou zakázku, přihlíží rovněž k úmyslu zadavatele, resp. předvídatelnosti pořizovaného plnění“), a zda se tedy v šetřeném případě jedná toliko o jedinou veřejnou zakázku či nikoli (resp. zda se v rámci šetřeného případu obviněný v roli zadavatele uchýlil k řádnému stanovení předpokládané hodnoty poptávaného plnění).

72. Úřad ve vztahu k časové souvislosti uvádí, že obecně jsou pro její naplnění směrodatné především dohodnuté lhůty plnění na základě zadávací dokumentace, a dále další časové souvislosti spojené s plněním či s jednáním stran obecně, přičemž klíčové jsou také termíny uzavření smluv, včetně event. dodatků. Úřad v konkrétnostech odkazuje na dotčené pasáže zadávacích podmínek na plnění spočívajícím ve zpracování dokumentů pro příspěvkové organizace MČ Praha 3, zadávacích podmínek na plnění spočívajícím ve zpracování dokumentů pro Úřad MČ Praha 3, a zadávacích podmínek na plnění spočívajícího v poskytování služeb pověřence pro ochranu osobních údajů, a dále na znění jednotlivých smluv, jenž obviněný vzhledem k uváděným plněním uzavřel.

73. Citované výzvy k podání nabídek na šetřená plnění byly obviněným odeslány ve shodný den, a to dne 25. 4. 2018. Plnění spočívají ve zpracování dokumentů pro příspěvkové organizace MČ Praha 3, a plnění spočívající ve zpracování dokumentů pro Úřad MČ Praha 3 bylo zahájeno shodně dne 16. 5. 2018, přičemž jejich ukončení obviněný požadoval v obou případech „nejpozději do 3 měsíců“. Plnění spočívající v poskytování služeb pověřence pro ochranu osobních údajů bylo zahájeno dne 25. 5. 2018, s jeho plánovaným ukončením „do 31. 1. 2019“. Rada městské části Praha 3 schválila uzavření smluv na všechna předmětná plnění v rámci jednoho zasedání dne 9. 5. 2018 a tyto smlouvy byly následně uzavřeny ve všech třech případech shodně dne 16. 5. 2018. Výběr dodavatele byl účastníkům zadávacích řízení obviněným oznámen taktéž v jeden den, a to dne 11. 5. 2018.

74. Obviněný v rámci námitek ze dne 24. 1. 2019, podaných proti protokolu o kontrole ze dne 10. 1. 2019, č. j. ÚOHS-K0016/2018/VZ-36167/2018/544/RPí, uvádí, že existenci případné časové souvislosti mezi několika veřejnými zakázkami není možno dovozovat pouze z konstatování, že některé veřejné zakázky byly uzavřeny ve stejném časovém období, nebo dokonce ve stejný den, ale vždy je třeba zkoumat i dobu, na jakou byly tyto veřejné zakázky uzavřeny, jak dlouho má být plnění poskytováno „[…] při zohlednění dalších aspektů každé veřejné zakázky tak, jak bylo uvedeno výše. Zadavatel je tedy přesvědčen, že není rozhodný pouze okamžik realizace zadávacích řízení veřejných zakázek, ale […] i samotný charakter takového plnění veřejných zakázek.“

75. Obviněný v rámci námitek dále uvádí, že „[…] obě tyto zakázky (veřejná zakázka na zpracování dokumentů pro příspěvkové organizace MČ Praha 3; veřejná zakázka na zpracování dokumentů pro Úřad MČ Praha 3) byly ze strany zadavatele koncipovány […] jako jednorázová plnění […] a to ve stanovené tříměsíční lhůtě.“„Plnění smlouvy (smlouva na poskytování služeb pověřence pro ochranu osobních údajů) […] (se) datuje ode dne, kdy zadavateli ze zákona povinnost ustanovit pověřence vznikla.“

76. Úřad na tomto místě konstatuje, že se s obviněným předneseným textem vzhledem ke stanovení časové souvislosti v zásadě identifikuje, avšak není mu zřejmé, kam obviněný směřuje své závěry. V citovaných námitkách vzhledem k časové souvislosti chybí jakákoliv relevantní okolnost, či bližší popis neobvyklosti charakteru šetřeného plnění, který by měl ovlivňovat náhled na posuzování existence časové souvislosti, a který by tak naplňoval jím předložené premisy (uvedené v předchozích dvou bodech odůvodnění tohoto rozhodnutí), přičemž okolnost, pro kterou byla každá daná veřejná zakázka v šetřené věci zadávána je v tomto směru zcela irelevantní (k tomuto blíže také bod 82. odůvodnění tohoto rozhodnutí). Kritérium časové souvislosti má proto Úřad v dané věci za zcela patrné.

77. Úřad se v rámci posuzování zda se v daném případě jedná o plnění, která tvoří jeden funkční celek, zabýval rovněž místní souvislostí. Úřad v obecnostech uvádí, že pro posouzení její existence či neexistence je zřejmé, a to vždy v závislosti na individuální povaze veřejné zakázky, že v potaz je třeba vzít větší množství faktorů. Rozhodné mohou být, vedle prosté vzdálenosti mezi místy plnění, také okolnosti týkající se předmětu plnění, konkrétního subjektu vystupujícího v postavení zadavatele, budoucí funkce výsledků plnění, eventuálních objektivních překážek mezi místy na kterých má plnění probíhat, apod.: „[…] místní souvislost neznamená totéž místo, ale souvislost v prostoru. […] Přitom se intenzita takové místní souvislosti může výrazně lišit v závislosti na různých faktorech, které ji mohou ovlivnit. […] Aby pak mohla být místní souvislost vyloučena, či výrazně oslabena, musela by existovat nějaká prostorově relevantní překážka mezi těmi místy, jejichž prostorová souvislost má být poměřována.“ (Rozhodnutí Předsedy Úřadu pro ochranu hospodářské soutěže ze dne 29. 1. 2016, č. j. ÚOHS-R270/2014/VZ-03137/2016/322/Pse).

78. Z obsahu šetřených smluv lze bez pochybností dovodit, že plnění, která byla na jejich základě poptávána, je spjato výhradně se samostatnou působností zastupitelstva pro městskou část Praha 3, resp. s působností příspěvkových organizací zřízených městskou částí Praha 3, a vztahuje se tedy výlučně k místu definovanému územním vymezením této městské části jakožto městského obvodu Praha 3[4], přičemž místní souvislost je proto nesporná.

79. S ohledem na posouzení věcné souvislosti Úřad odkazuje na věcný obsah (předmět) poptávaného plnění tak, jak je vymezen v rámci jednotlivých zadávacích podmínek a smluv na jednotlivá plnění. U plnění spočívajícím ve zpracování dokumentů pro příspěvkové organizace MČ Praha 3 a u plnění spočívajícím ve zpracování dokumentů pro Úřad MČ Praha 3 se obsahová stránka jednotlivých zadávacích podmínek prakticky vzato nikterak neliší (viz body 20. a 30. odůvodnění tohoto rozhodnutí). V obou případech je totožnou určující náplní poptávaných plnění, a tedy i východiskem pro posuzování jejich předmětu vzhledem k věcné souvislosti, činnost spočívající ve zpracovávání dokumentů v souvislosti s implementací evropské normy – Nařízení EU č. 679/2016 ze dne 27. 4. 2016 (dále jen „GDPR“) – do českého právního řádu, konkrétně „[…] zpracování analýzy rizik a posouzení vlivu na ochranu osobních údajů […] plánu dosažení souladu s GDPR […] dokumentace ochrany osobních údajů“ apod. Obdobně lze hodnotit také znění dotčených smluv, u nichž se obsahová i formulační stránka předmětu a rozsahu prováděného (poptávaného) díla pohybuje blízko hranice úplné shody (viz body 23. a 24., a 33. a 34. odůvodnění tohoto rozhodnutí). U poskytování služeb pro ochranu osobních údajů absentuje formulační shoda jednotlivých ustanovení zadávacích podmínek a jednotlivých ustanovení předmětné smlouvy ve vztahu k výše zmíněným plněním, avšak co do obsahového hlediska je vzájemná věcná souvislost zřejmá.

80. Úkoly pověřence pro ochranu osobních údajů spočívají dle článku III. předmětné smlouvy v poskytování poradenství, informací, doporučení a upozornění vzhledem ke zpracovávání osobních údajů souladně s povinnostmi, které dotčeným subjektům, úřadu městské části Praha 3 a příspěvkovým organizacím, které jsou touto městskou částí zřizovány, přináší implementace nařízení GDPR. Tyto služby jsou zajišťovány pověřencem pro ochranu osobních údajů vzhledem k jednotné problematice – otázka zpracovávání a ochrany osobních údajů – a vzhledem ke zcela shodným adresátům jako u veřejné zakázky na zpracování dokumentů pro příspěvkové organizace MČ Praha 3, a veřejné zakázky na zpracování dokumentů pro Úřad MČ Praha 3. Pověřenec v dané věci funguje jakožto garant a návodce všech dotčených postupů obviněného a jím zřizovaných příspěvkových organizací, přičemž faktická náplň jeho aktivit je velmi úzce spjata s činnostmi zajišťovanými na základě smlouvy o dílo na zpracování dokumentů pro příspěvkové organizace MČ Praha 3 a na základě smlouvy o dílo na zpracování dokumentů pro Úřad MČ Praha 3.

81. Z dokumentace k veřejné zakázce i z celkového charakteru věci vyplývá, že hlavním úkolem pověřence pro ochranu osobních údajů je monitorování souladu zpracování osobních údajů s povinnostmi vyplývajícími z nařízení GDPR. Vybraný dodavatel na zbylé dvě veřejné zakázky (zpracování dokumentů pro Úřad MČ Praha 3 a pro příspěvkové organizace Praha 3) směřuje svoji činnost k analyzování postupů při zpracovávání osobních údajů obviněným vzhledem k nařízení GDPR. Pokud jde o otázku reálně provedených plnění, tedy jednotlivých relativně samostatných, či na sebe navazujících konkrétních činností dle šetřených smluv, Úřad podotýká, že i když taková plnění nejsou ve svém výsledku, tj. co do rozsahu, časového sledu, návaznosti a míry provedení, totožná, nehraje tento fakt v určení existence vzájemné věcné souvislosti žádnou roli. Shodný přístup v této věci naznačuje např. také Krajský soud v Brně ve svém rozhodnutí ze dne 27. 2. 2018, č. j. 29 Af 50/2015-53: „K závěru o existenci věcné souvislosti plnění postačí, že plnění byla charakteru obdobného. Za srovnatelná plnění lze považovat taková plnění, u kterých po vzájemném srovnání shod a rozdílů převažují vzájemné shodné znaky […].“

82. Ačkoliv pověřenec v dané věci vystupuje v jiném postavení (nejedná se o subjekt, který by zpracovával osobní údaje) a z jiného titulu (vytvoření a obsazení funkce pověřence pro ochranu osobních údajů je pro obviněného vzhledem k jeho právnímu postavení povinností[5]) než-li smluvené subjekty dle zbývajících šetřených plnění, není tato okolnost pro posuzování věcných souvislostí mezi jednotlivými plněními směrodatná.

83. Obviněný v rámci námitek ze dne 24. 1. 2019, podaných proti protokolu o kontrole ze dne 10. 1. 2019, č. j. ÚOHS-K0016/2018/VZ-36167/2018/544/RPí, uvádí, že nařízení GDPR zakotvuje princip nestrannosti výkonu funkce pověřence pro ochranu osobních údajů a že z legislativy vyplývá, že „některé činnosti“ tedy nemůže vykonávat, přičemž přesnější popis zmiňovaného principu je, dle obviněného, popsán v metodickém doporučení Ministerstva vnitra k činnosti obcí k organizačně-technickému zabezpečení funkce pověřence pro ochranu osobních údajů, kde je dle obviněného přímo uvedeno, že „z hlediska možného vzniku střetu zájmů by pověřence neměla vykonávat osoba, která u správce či zpracovatele provádí, či se podílí na provádění organizačně-technických opatření k zajištění ochrany osobních údajů.“ Dle obviněného z uvedeného dále vyplývá, že „[…] legislativa přímo stanovuje mantinely výkonu funkce pověřence a nadto legislativa zároveň vylučuje, aby totožný subjekt vykovával pro tutéž organizaci služby […]“ které jsou předmětem veřejných zakázek na zpracování dokumentů pro příspěvkové organizace MČ Praha 3 a pro Úřad MČ Praha 3. Úřad na tomto místě konstatuje, že se obviněným přednesenou argumentací vzhledem k potřebě zajištění neutrálnosti pověřence pro ochranu osobních údajů v základní rovině zcela ztotožňuje, avšak obratem dodává, že obviněný své myšlenky dále rozvíjí směrem, který není akceptovatelný.

84. Obviněný totiž z nutnosti zajištění principu nestrannosti fakticky a zcela nepodloženě dovozuje obecný závěr, že každá veřejná zakázka na zajištění služeb pověřence pro ochranu osobních údajů je z důvodu zajištění zmiňované nestrannosti vždy samostatnou veřejnou zakázkou, a to navzdory všem event. i evidentním věcným či funkčním vazbám (resp. existenci funkčního celku). Taková implikace je z pohledu účelu zákonných ustanovení upravujících proces rozdělování veřejných zakázek, i z pohledu cíle zákona jako takového nepřijatelná.

85. Při pominutí faktu, že obviněný svoji tezi opírá de facto „pouze“ o metodický pokyn Ministerstva vnitra ČR, jehož stanoviska nejsou v této věci právně závaznými závěry, které by mohly zastoupit výklad orgánu aplikujícího právo, Úřad především konstatuje, že obviněnému v dané věci nic nebránilo v tom, aby plnění spočívající v zajištění služeb pověřence pro ochranu osobních údajů poptával v režimu zcela odděleném od zbylých plnění tak, aby zabezpečil nestrannost takové služby oproti jiným plněním totožného či obdobného druhu. Pro splnění zákonných požadavků stačilo pouze sečíst předpokládanou hodnotu všech plnění, které jsou ve vzájemné časové souvislosti a které jsou svým charakterem spojeny v jednom funkčním celku. S odkazem na obecný výklad k „dělení“ veřejných zakázek, uvedený již v bodě 65. odůvodnění tohoto rozhodnutí, obviněný v roli zadavatele mohl bez jakýchkoliv obtíží postupovat souladně s ust. § 18 odst. 1 a 2 zákona, a dále, skrze samostatně koncipovanou zadávací dokumentaci vzhledem k plnění spočívajícím v zajištění pověřence pro ochranu osobních údajů, garantovat jeho nestrannost vůči jiným poptávaným plněním.

86. Nadto Úřad k této věci doplňuje, že obviněný si sám značně zužuje prostor pro vlastní, výše vyjádřené úvahy tím, že u všech plnění, tj. u zajištění zpracování dokumentů pro příspěvkové organizace MČ Praha 3, zpracování dokumentů pro Úřad MČ Praha 3 i u plnění spočívajícím v (povinném) obstarání pověřence pro ochranu osobních údajů, v rámci všech tří výzev k podání nabídky oslovil totožné dodavatele. Z této okolnosti lze dovodit nejen fakt, že u všech tří jím zadávaných veřejných zakázek byli shodní dodavatelé vybráni pro zaslání výzvy k podání nabídky na základě požadavku na obdobné výsledky, a to v návaznosti na jejich zkušenosti, schopnosti, a na jejich profesní způsobilost (platí za podpůrný argument ke stanovení věcné souvislosti), ale také, a to především, fakt, že obviněný v roli zadavatele sám musel počítat s tím, že může nastat situace, při které tentýž dodavatel bude obstarávat jak služby spočívající ve zpracovávání osobních údajů, tak i službu pověřence pro osobní údaje ve smyslu nařízení GDPR, a že se tímto může sám dostat do pozice, proti které nyní brojí.

87. Závěrem Úřad pro forma dodává, že nesouhlasí s premisou obviněného o nutnosti vyloučení jednoho subjektu z výkonu funkce zpracovávání osobních údajů současně s výkonem funkce pověřence pro ochranu osobních údajů ve smyslu nařízení GDPR také v tom směru, že na relevantním trhu existuje větší množství společností specializujících se na problematiku spojenou s implementací GDPR a s jeho dopady do sféry zpracovatelů osobních údajů, které jsou veskrze tvořeny širokým portfoliem kompetentních osob, a které jsou organizačně schopny zajistit oddělení výkonu zmiňovaných činností tak, aby nedocházelo k nevhodným vzájemným zásahům do nestrannosti výkonu funkce pověřence pro ochranu osobních údajů ve smyslu nařízení GDPR. Obviněný v roli zadavatele mohl při poptávání celého balíku šetřených plnění v rámci jedné veřejné zakázky (pokud by nemělo dojít k rozdělení na veřejné zakázky na části) v rámci zadávacích podmínek stanovit taková kritéria, která by zajištění nestrannosti průběhu výkonu funkce zmiňovaného pověřence zajistila.

88. Na základě výše uvedeného Úřad dodává, že u šeřených plnění bez pochyb konstatovat věcnou souvislost, kdy hlavním důkazem o její existenci je obsahově srovnatelná až shodná konstrukce předmětu jednotlivých plnění.

89. Úřad vzhledem k funkční souvislosti v obecnosti uvádí, že její existence, či naopak absence, se dovozuje zejména na základě účelu, pro který jsou veřejné zakázky zadávány. Otázka návaznosti jednotlivých plnění hraje v určení, zda se jedná o samostatné veřejné zakázky, či o veřejnou zakázku dělenou, pouze pomocnou roli. Naopak žádnou váhu nelze přikládat skutečnostem, které veřejné zakázky „oddělují“ pouze zdánlivě, např. faktu, že došlo k samostatným výběrovým řízením na dodavatele, že byly vydány k veřejným zakázkám samostatné dokumenty orgánů veřejné správy opravňující započetí plnění dle smluv, či že plnění na základě smluv je fyzicky, technicky či organizačně rozdílné, oddělené či oddělitelné: „[…] plnění nemusí být plněními totožnými nebo vzájemně absolutně podmíněnými (tj. jedno plnění nemůže existovat bez plnění druhého), ani není vyloučeno, aby při těchto dílčích činnostech byla využívána odlišná technická zázemí či odlišné technologie.“ (srov. rozhodnutí předsedy Úřadu ze dne 3. 3. 2016, č. j. ÚOHS-R457/2014/VZ-08304/2016/322/LKo).

90. V šetřené věci je funkční souvislost předmětných plnění zřejmá již z textace jednotlivých zadávacích podmínek, kdy popis předmětu plnění veřejné zakázky je v případě veřejné zakázky na zpracování dokumentů pro příspěvkové organizace MČ Praha 3, a v případě veřejné zakázky na zpracování dokumentů pro Úřad MČ Praha 3 uvozen shodně následujícím způsobem: „Dne 25. 5. 2018 nabude účinnosti Nařízení EU č. 679/2016 ze dne 27. 4. 2016, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES [obecné nařízení o ochraně osobních údajů], dále jen ‚GDPR‘). Objednatel vědom si této skutečnosti má zájem za účelem dosažení souladu svých vnitřních procesů nakládání s osobními údaji s GDPR na zpracování […]“ (pokračuje výčet jednotlivých plnění, viz bod 20., a bod 30. odůvodnění tohoto rozhodnutí). V případě veřejné zakázky na poskytování služeb pověřence pro ochranu osobních údajů je uvození předmětu plnění vedeno v obdobném duchu: „S ohledem na novou právní úpravu ochrany osobních údajů obsaženou v nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), které se použije od 25. 5. 2018 (dále jen ‚GDPR‘) se Objednatel rozhodl jmenovat pověřence pro ochranu osobních údajů ve smyslu čl. 37 a násl. GDPR. Touto smlouvou dojde rovněž ke jmenování pověřence pro ochranu osobních údajů pro některé právnické osoby zřízené Objednatelem, které jsou uvedeny v příloze č. 1 přiložené smlouvy (dále jen ‚Organizace‘).“

91. Úmyslem obviněného je ve všech třech případech zcela nezpochybnitelně snaha o řádné zajištění souladu vnitřních činností úředního aparátu úřadu městské části Praha 3 a provozu jednotlivých příspěvkových organizací zřizovaných na Praze 3 s novou právní úpravu ochrany osobních údajů. Funkční souvislost je proto dána.

92. Pouze pro úplnost Úřad na tomto místě uvádí, že nemůže být pochyb o předvídatelnosti všech tří plnění, které zadavatel poptával jako veřejné zakázky malého rozsahu na zpracování dokumentů pro příspěvkové organizace MČ Praha 3, na zpracování dokumentů pro Úřad MČ Praha 3, a na poskytování služeb pověřence pro ochranu osobních údajů, tedy o faktu, že obviněný v roli zadavatele v době, kdy zahájil určitou přípravnou činnost v rámci poptávání prvního z uvedených plnění, měl v plánu vyvíjet činnost i u toho druhého a třetího plnění. Tento závěr je očividný bez dalšího jak ze samotného počínání obviněného v roli zadavatele, tak také z dalších již výše uvedených skutečností (na základě zadávací dokumentace, či výše uváděné časové souvislosti).

93. Na základě shora popsaných skutečností dospěl Úřad k závěru, že předmětná plnění spočívající ve zpracování dokumentů pro příspěvkové organizace MČ Praha 3, ve zpracování dokumentů pro Úřad MČ Praha 3, a v poskytování služeb pověřence pro ochranu osobních údajů, byla zadávána ve vzájemné časové souvislosti a při existenci funkčního celku. Jelikož spolu předmětné plnění úzce souvisí, měla být předpokládaná hodnota obou výše uvedených poptávaných plnění sečtena a obviněný měl zadat tyto služby v odpovídajícím zadávacím řízení dle tohoto součtu. Dle předmětných smluv na šetřená plnění činila celková smluvní cena po součtu částku 4.710.000,- Kč bez DPH[6]. Dle § 27 písm. a) zákona je veřejná zakázka na služby zakázkou malého rozsahu, pokud její předpokládaná hodnota je rovna nebo nižší částce 2.000.000,- Kč. Pouze v takovém případě, v souladu s § 31 zákona, není zadavatel povinen zadat veřejnou zakázku v zadávacím řízení a je povinen pouze dodržovat zásady stanovené v § 6 zákona.

94. V šetřeném případě však částka dle smluv na předmětná plnění, zadávaná ve formě veřejných zakázek, přesáhla limit stanovený zákonem (viz předchozí bod odůvodnění rozhodnutí) a Úřad tak uzavírá, že obviněný byl povinen požadované služby poptávat buď jako jednu veřejnou zakázku, tedy nikoliv v podobě tří samostatných veřejných zakázek, nebo jako veřejnou zakázku rozdělenou na části, u které by v souladu s § 18 odst. 1 zákona byla předpokládaná hodnota této rozdělené veřejné zakázky stanovena jako součet předpokládaných hodnot jejích částí (přičemž v obou případech by byl dále povinen postupovat v odpovídajícím režimu pro zadávání veřejných zakázek dle zákona).

95. S ohledem na výše uvedené Úřad dále konstatuje, že postup obviněného mohl ovlivnit výběr dodavatele, neboť nelze vyloučit možnost, že pokud by obviněný nerozdělil předmětnou veřejnou zakázku a postupoval by při jejím zadávání v zákonem stanoveném režimu, mohl obdržet další (výhodnější) nabídky od jiných dodavatelů. Obviněný se rozdělením veřejné zakázky vyhnul obsáhlejším povinnostem pro zadávání veřejné zakázky dle zákona, čímž narušil hospodářskou soutěž (ať již potenciálně, či reálně), a to bez ohledu na to, zda k tomuto došlo úmyslně či nikoliv. Při využití postupu dle zákona by obviněný měl pro zadání veřejné zakázky na výběr z použití některého z v úvahu připadajících druhů zadávacího řízení definovaných zákonem. Se zahájením těchto řízení je pak spojená mj. i uveřejňovací povinnost, která má v případě otevřeného řízení podobu oznámení o zahájení zadávacího řízení ve Věstníku veřejných zakázek, v případě užšího řízení pak podobu oznámení o zahájení zadávacího řízení nebo předběžného oznámení ve Věstníku veřejných zakázek. V případě zjednodušeného podlimitního řízení má zadavatel povinnost uveřejnit na profilu zadavatele písemnou výzvu k podání nabídek, kterou vyzývá neomezený počet dodavatelů k podání nabídky. Ve všech případech tato uveřejnění umožňují širokému okruhu dodavatelům na trhu zúčastnit se soutěže o veřejnou zakázku, což má za následek vyšší míru konkurence, než obviněným zvolené přímé zadání mimo režim zákona.

96. V návaznosti na výše uvedené Úřad dospěl k závěru, že se obviněný dopustil přestupku podle § 268 odst. 1 písm. a) zákona tím, že nedodržel pravidlo pro zadávání veřejných zakázek stanovené v § 2 odst. 3 zákona, když podlimitní veřejnou zakázku, jejímž předmětem je plnění vyplývající ze smlouvy o dílo, která byla uzavřena v rámci zadávání veřejné zakázky malého rozsahu na zpracování dokumentů pro příspěvkové organizace MČ Praha 3, plnění vyplývající ze smlouvy o dílo, která byla uzavřena v rámci zadávání veřejné zakázky malého rozsahu na zpracování dokumentů pro Úřad MČ Praha 3, a plnění vyplývající ze smlouvy o poskytování služeb pověřence pro ochranu osobních údajů, která byla uzavřena v rámci zadávání veřejné zakázky malého rozsahu na poskytování služeb pověřence pro ochranu osobních údajů, zadal v důsledku nesprávně stanovené předpokládané hodnoty mimo zadávací řízení, a nezadal ji v podlimitním režimu podle části třetí zákona, přičemž tím mohl ovlivnit výběr dodavatele, a na předmět plnění veřejné zakázky uzavřel smlouvy.

97. S ohledem na skutečnosti uvedené v odůvodnění tohoto rozhodnutí Úřad rozhodl tak, jak je uvedeno ve výroku I. tohoto rozhodnutí.

98. Úřad v roli kontrolního orgánu v souvislosti s kontrolou postupu obviněného při poptávání předmětného plnění v rámci veřejných zakázek malého rozsahu zpracování dokumentů pro příspěvkové organizace MČ Praha 3, zpracování dokumentů pro Úřad MČ Praha 3, a poskytování služeb pověřence pro ochranu osobních údajů konstatoval v přípise ze dne 22. 2. 2018, č. j. ÚOHS-K0016/2018/VZ-04417/2019/544/MBo, že námitky podané v této věci budou v souladu s ust. § 14 odst. 3 kontrolního řádu vyřízeny v navazujícím správním řízení. S ohledem na právě uvedené považuje Úřad námitky podané obviněným ve shora uvedené věci v souladu s ust. § 14 odst. 3 kontrolního řádu za řádně vyřízené.

K uložení pokuty

99. Úřad posoudil postup obviněného a vzhledem ke zjištěnému přestupku přistoupil k uložení pokuty, neboť smlouvy na předmět plnění jednotlivých veřejných zakázek malého rozsahu již byly uzavřeny a nápravy již nelze dosáhnout. V šetřeném případě se zadavatel dopustil přestupku podle ust. § 268 odst. 1 písm. a) zákona.

100. K uzavření předmětných smluv na zpracování dokumentů pro příspěvkové organizace MČ Praha 3, na zpracování dokumentů pro Úřad MČ Praha 3, a na poskytování služeb pověřence pro ochranu osobních údajů došlo shodně dne 16. 5. 2018, kdy zároveň došlo ke spáchání přestupku uvedeného ve výroku I. tohoto rozhodnutí.

101. Podle ust. § 270 odst. 5 zákona činí (objektivní) promlčecí doba 5 let.

102. Podle ust. § 270 odst. 6 zákona se promlčecí doba přerušuje

a) oznámením o zahájení řízení o přestupku,

b) vydáním rozhodnutí, jímž je obviněný uznán vinným.

103. Podle ust. § 31 odst. 1 zákona o přestupcích počíná promlčecí doba běžet dnem následujícím po dni spáchání přestupku; dnem spáchání přestupku se rozumí den, kdy došlo k ukončení jednání, kterým byl přestupek spáchán. Je-li znakem přestupku účinek, promlčecí doba počíná běžet dnem následujícím po dni, kdy takový účinek nastal.

104. Podle ust. § 270 odst. 7 zákona přerušením promlčecí doby počíná běžet promlčecí doba nová.

105. Podle ust. § 270 odst. 8 zákona byla-li promlčecí doba přerušena, odpovědnost za přestupek zanikne nejpozději uplynutím 10 let od jeho spáchání.

106. V návaznosti na výše uvedené Úřad před uložením pokuty ověřil, zda již neuplynula lhůta dle ust. § 270 odst. 5 zákona. V šetřeném případě se Úřad o možném spáchání přestupků dozvěděl po proběhnuvší kontrole, a to na základě protokolu o kontrole ze dne 10. 1. 2019. Dle rozhodnutí předsedy Úřadu ze dne 4. 11. 2018, č. j. ÚOHS-R0034/2016/VZ-44307/2016/321/IPs/Edo dochází k dokonání protiprávního jednání v případě rozdělení veřejné zakázky „[…] až v okamžiku, kde zadavatel uzavře smlouvu na druhou veřejnou zakázku, která časově, místně a věcně souvisí s první veřejnou zakázkou, a když současně naplní předpoklad, že při součtu hodnot obou veřejných zakázek dojde k překročení limitu dle zákona, podle kterého by již byl zadavatel povinen postupovat podle přísnějšího režimu zákona“ (ačkoli byl daný závěr vysloven ve vztahu k právní úpravě obsažené v zákoně 137/2006 Sb., o veřejných zakázkách, je plně aplikovatelný i v daném případě, neboť právní úprava zákona, byť formulovaná odlišně, klade na zadavatele v šetřené otázce totožné nároky).

107. S odkazem na citované rozhodnutí předsedy Úřadu lze dovodit, že ke spáchání přestupku uvedeného ve výroku I. tohoto rozhodnutí došlo dne 16. 5. 2018, přičemž promlčecí doba vzhledem k tomuto jednání počala běžet dne následujícího, tj. dne 17. 5. 2018 a uplynula by až dne 18. 5. 2023. Z uvedených údajů vyplývá, že promlčecí doba (dle ust. § 270 odst. 5 zákona) ve vztahu k projednávaným přestupkům neuplynula a odpovědnost obviněného z důvodu uplynutí promlčecí doby za ně tak nezanikla.

108. Hlavním kritériem, které je v šetřeném případě rozhodné pro určení výměry pokuty, je závažnost přestupku. Jde o obecnou kategorii poměřující rozsah dopadu konkrétního protiprávního jednání na specifický právem chráněný zájem s přihlédnutím k významu tohoto chráněného zájmu (posouzení závažnosti přestupku je spojeno se způsobem jeho spáchání, jeho následkem a okolnostmi, za nichž byl spáchán).

109. Co se týče posouzení závažnosti přestupku spáchaného dle výroku I. Úřad konstatuje, že postupem obviněného došlo k porušení právem chráněného zájmu spočívajícího v řádné a nerušené hospodářské soutěži a rovněž i v hospodárném nakládání s veřejnými prostředky v rámci zadávání a realizace veřejných zakázek (ať již putativně, či reálně). V daném případě obviněný svým postupem zcela ignoroval existenci zákona. Tato skutečnost podle výkladové praxe Úřadu dosahuje závažného stupně intenzity porušení zákona, neboť je tak vyloučen jeden ze základních principů zadávání veřejných zakázek, kterým je právě otevřená soutěž o veřejnou zakázku, do které se může přihlásit jakýkoliv dodavatel, a která je základním předpokladem výběru ekonomicky nejvýhodnější nabídky a rovněž prostředkem k realizaci základních zásad uvedených v ust. § 6 zákona, přičemž tento závěr se, jako jeden z faktorů, dále promítne do výše vyměřené pokuty.

110. Pokud jde o následky přestupku, Úřad uvádí, že postup obviněného vyloučil řádnou hospodářskou soutěž mezi jednotlivými účastníky o veřejnou zakázku a nebyl tak naplněn základní cíl zákona o veřejných zakázkách. Obviněný tak zcela prokazatelně nenaplnil elementární účel zákona, kterým je, Úřad opakuje, zajištění účinné konkurence a efektivní hospodářské soutěže. Nezákonným postupem obviněného došlo k omezení okruhu potenciálních dodavatelů veřejné zakázky. Nelze přitom vyloučit, že nabídka jiného dodavatele mohla být pro obviněného z pohledu množství vynaložených finančních prostředků výhodnější. Co do povahy ohrožení zájmu veřejnosti je rovněž třeba v obecnostech připomenout, že předmětný přestupek je „tradiční“ a stále se opakující, a rozhodovací praxí je v různých obdobách řešen v široké míře.

111. Úřad při stanovení výše pokuty dále přihlédl i k ekonomické situaci obviněného, neboť v určitém případě se pokuta, byť uložená v minimální výši, může jevit svojí nepřiměřeností vzhledem k dalším okolnostem jako krajně „nespravedlivá“. Z rozpočtu obviněného na rok 2018, zveřejněného na jeho internetových stránkách, Úřad zjistil, že obviněný v roce 2018 hospodařil s částkou 1.177.575.300,- Kč.[7] Z návrhu rozpočtu obviněného na rok 2019, zveřejněného na jeho internetových stránkách, Úřad zjistil, že obviněný má v roce 2019 hospodařit s navrženou částkou 1.038.697.500,- Kč.[8] Úřad konstatuje, že stanovená výše pokuty 100.000,- Kč nemůže být vzhledem k výši finančních prostředků, se kterými obviněný hospodaří, považována za likvidační ani za nepřiměřeně zasahující jeho ekonomickou podstatu (a v tomto smyslu nespravedlivou).

112. V této souvislosti Úřad poznamenává, že pokuta uložená obviněnému za nedodržení postupu stanoveného zákonem má splnit mj. dvě základní funkce právní odpovědnosti, a to funkci represivní – postih za porušení povinností stanovených zákonem, a funkci preventivní, která směřuje k předcházení porušování zákona, resp. k jednání, které je se zákonem v souladu. Je tedy třeba mít na paměti, že uložená pokuta musí být natolik intenzivní, aby byla zadavatelem pociťována jako újma, neboť uložením velmi nízké pokuty by nedošlo k naplnění jejího účelu, tj. sankce za protiprávní jednání. Obdobně se vyjádřil i Krajský soud v Brně v rozsudku ve věci sp. zn. 62 Af 46/2011 ze dne 6. 12. 2012, ve kterém uvedl, že konkrétní forma postihu musí působit natolik silně, aby od podobného jednání odradila i jiné nositele obdobných povinností (preventivní funkce) a zároveň musí být postih dostatečně znatelný v zadavatelově materiální sféře, aby v něm byla dostatečně obsažena i jeho represivní funkce, aniž by byl ovšem pro obviněného likvidačním. Úřad uvádí, že peněžitá sankce ze své podstaty vždy představuje nepříznivý zásah do sféry porušitele, který je spojen s úbytkem finančních prostředků, které mohly být případně investovány jinam.

113. Po zvážení všech okolností případu Úřad při určení výše uložené pokuty dospěl k závěru, že výše pokuty stanovená v hodnotě 100.000,- Kč naplňuje obě shora uvedené funkce právní odpovědnosti.

114. Na základě výše uvedených skutečností a po zhodnocení všech okolností a důkazů, a to jak jednotlivě, tak v jejich vzájemné souvislosti, Úřad rozhodl o sankci za porušení právní povinnosti tak, jak je uvedeno ve výroku III. tohoto rozhodnutí.

115. Pokuta je splatná do dvou měsíců od nabytí právní moci tohoto rozhodnutí na účet Celního úřadu pro Jihomoravský kraj, zřízeného u pobočky České národní banky v Brně, číslo účtu 3754-17721621/0710, variabilní symbol – IČO zadavatele.

K uložení úhrady nákladů řízení

116. Podle ustanovení § 93 odst. 1 písm. i) zákona o přestupcích se ve výrokové části rozhodnutí o přestupku, kterým je obviněný uznán vinným, kromě náležitostí podle správního řádu uvede výrok o náhradě nákladů řízení.

117. Správní orgán podle ust. § 95 odst. 1 zákona o přestupcích uloží obviněnému, který byl uznán vinným, povinnost nahradit náklady řízení paušální částkou. Pokud bylo rozhodnutí o přestupku zrušeno jiným orgánem veřejné moci a tato skutečnost má za následek nesplnění podmínek pro uložení náhrady nákladů řízení, správní orgán nahrazené náklady vrátí.

118. Vzhledem k tomu, že zákon o přestupcích v současné době náklady řízení blíže neupravuje, musel správní orgán vycházet z obecného právního předpisu, kterým je správní řád.

119. Podle ust. § 79 odst. 5 správního řádu uloží správní orgán povinnost nahradit náklady řízení paušální částkou účastníkovi, který řízení vyvolal porušením své právní povinnosti. Podle citovaného ustanovení správního řádu výši paušální částky nákladů řízení stanoví prováděcí právní předpis. Tímto předpisem je vyhláška č. 520/2005 Sb., o rozsahu hotových výdajů a ušlého výdělku, které správní orgán hradí jiným osobám, a o výši paušální částky nákladů řízení (dále jen „vyhláška“), která v ust. § 6 odst. 1 stanoví, že paušální částka nákladů správního řízení, které účastník vyvolal porušením své právní povinnosti, činí 1 000,- Kč.

120. Jelikož v daném případě Úřad zahájil řízení o přestupku z moci úřední, neboť dospěl k závěru, že se obviněný dopustil přestupku, je zřejmé, že řízení bylo vyvoláno porušením právní povinnosti obviněného a Úřad je tedy povinen obviněnému uložit náhradu nákladů řízení ve výši stanovené vyhláškou. Z toho důvodu Úřad rozhodl tak, jak je uvedeno ve výroku IV. tohoto rozhodnutí.

121. Náklady řízení jsou splatné do dvou měsíců od nabytí právní moci tohoto rozhodnutí na účet Úřadu pro ochranu hospodářské soutěže zřízený u pobočky České národní banky v Brně číslo 19-24825621/0710, variabilní symbol 2019002021.

Poučení

Proti tomuto rozhodnutí lze do 15 dnů ode dne jeho doručení podat rozklad k předsedovi Úřadu pro ochranu hospodářské soutěže, a to prostřednictvím Úřadu pro ochranu hospodářské soutěže – Sekce veřejných zakázek. Včas podaný rozklad má odkladný účinek. Rozklad a další podání účastníků učiněná v řízení o rozkladu se podle ust. § 261 odst. 1 písm. b) zákona činí výhradně prostřednictvím datové schránky nebo jako datová zpráva podepsaná uznávaným elektronickým podpisem.

otisk úředního razítka

JUDr. Eva Kubišová

místopředsedkyně

Obdrží:

městská část Praha 3, IČO 00063517, Havlíčkovo náměstí 700/9, 130 00 Praha

[1] Informace ze stránek Registru smluv, získané z veřejně dostupného zdroje na adrese https://smlouvy.gov.cz/smlouva/5553371.

[2] Informace ze stránek Registru smluv, získané z veřejně dostupného zdroje na adrese https://smlouvy.gov.cz/smlouva/5553375.

[3] Informace ze stránek Registru smluv, získané z veřejně dostupného zdroje na adrese https://smlouvy.gov.cz/smlouva/5553375.

[4] Příloha č. 2 k vyhlášce č. 564/2002 Sb. o stanovení území okresů České republiky a území obvodů hlavního města Prahy, ve znění pozdějších předpisů, dostupné z veřejně přístupného zdroje na adrese https://www.psp.cz/sqw/sbirka.sqw?cz=564&r=2002.

[5] Dle Čl. 37 bodu 1. písm. a) Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, je povinnost jmenování pověřence pro ochranu osobních údajů dána vždy mj. v případě, kdy zpracování provádí orgán veřejné moci či veřejný subjekt.

[6] Vzhledem k tomu, že odměna pověřence se dle uzavřené smlouvy na poskytování služeb pověřencem pro ochranu osobních údajů skládá z paušální částky ve výši 220 000 Kč bez DPH měsíčně, přičemž tato smlouva byla uzavřena na dobu určitou do 31. 1. 2019 a nabyla účinnosti dne 25. 5. 2018 (po kumulativním splnění podmínek stanovených v bodu 1. článku X. předmětné smlouvy), činí celková odměna pověřence minimálně 1 760 000 Kč bez DPH (tj. 8 x 220 000 Kč bez DPH).

[7] Informace ze stránek městské části Praha 3, získané z veřejně dostupného zdroje na adrese https://www.praha3.cz/getFile/case:show/id:258994.

[8] Informace ze stránek městské části Praha 3, získané z veřejně dostupného zdroje na adrese https://www.praha3.cz/getFile/case:show/id:877509.

vyhledávání ve sbírkách rozhodnutí

ČJ nebo SZ:
Věc:
Účastník:
Text rozhodnutí:
Rok zahájení:
Rok vydání:
Oblast:
Instance:
Typ řízení:
Výrok:
Leniency program:
Využito narovnání:
Compliance program: