Bezpieczeństwem państwa nie da się uzasadnić wszystkiego

Budowa Krajowego Centrum Przetwarzania Danych z pominięciem przepisów o zamówieniach publicznych może oznaczać naruszenie prawa unijnego.

Budowa Krajowego Centrum Przetwarzania Danych jest bez wątpienia jedną z ważniejszych inwestycji związanych z cyberbezpieczeństwem zasobów publicznych w Polsce. Inwestycji gigantycznej, bo jej wartość ocenia się na 1 mld zł. Nie dziwi więc, że uchwalono specjalną ustawę o przygotowaniu i realizacji inwestycji w zakresie Krajowego Centrum Przetwarzania Danych (Dz.U. z 2023 r. poz. 1501; dalej: KCPD, centrum, ustawa o KCPD). W naszej ocenie wymaga ona jednak nowelizacji, w szczególności w zakresie procedur zakupowych, które znajdą zastosowanie do realizacji projektu.

Zgodnie z przyjętymi założeniami realizacja KCPD ma charakter kompleksowy i w ramach projektu mają zostać wybudowane w województwie mazowieckim trzy obiekty przetwarzania danych o powierzchni 2000 mkw. każdy. W dalszej perspektywie przewiduje się możliwość powstania kolejnych budynków. Inwestycje w ramach centrum mają charakter bardzo szeroki i dotyczą wybudowania zupełnie nowych obiektów wraz z ich pełnym wyposażeniem w infrastrukturę techniczną, a także powstania instalacji odnawialnych źródeł energii i wodoru wraz z przyłączami, uzbrojenia terenu i przyłączy energetycznych. Budowa KCPD obejmie też inwestycje towarzyszące, w tym drogi dojazdowe, magazyny energii i paliwa oraz obiekty zaplecza organizacyjnego i technicznego.

Warto wskazać, że obecnie Naukowa i Akademicka Sieć Komputerowa – Państwowy Instytut Badawczy prowadzi postępowanie na świadczenie usług prawnych w związku z przygotowaniem i realizacją inwestycji w zakresie KCPD. Innych postępowań związanych z realizacją inwestycji, w tym prowadzonych na podstawie specjalnej ustawy, jak na razie nie uruchomiono. Można przypuszczać, że z rozpoczęciem inwestycji czekano do rozstrzygnięcia wyborów parlamentarnych oraz uruchomienia środków z Krajowego Planu Odbudowy.

Niezgodność z prawem unijnym

Ustawa o KCPD przewiduje, że całość centrum (wraz z inwestycjami towarzyszącymi) ma powstać z wyłączeniem stosowania ustawy – Prawo zamówień publicznych (t.j. Dz.U. z 2023 r. poz. 1605 ze zm.; dalej: p.z.p.). W to miejsce przewidziano odrębne przepisy, które – zdaniem ustawodawcy – mają zapewniać odpowiedni poziom konkurencji i zgodność z wymogami prawa unijnego. Podobnie specjalne rozwiązania legislacyjne przewidziano w zakresie ustalenia lokalizacji inwestycji.

Przed przedstawieniem tych specyficznych rozwiązań w pierwszej kolejności należy się zastanowić, czy takie szerokie i ogólne wyłączenie czyni zadość wymogom prawa unijnego. Warto przypomnieć, że całkiem niedawno Trybunał Sprawiedliwości Unii Europejskiej wypowiedział się w sprawie przepisu, przy którym polski ustawodawca również powoływał się na kwestie bezpieczeństwa. Chodzi o art. 11 ust. 4 p.z.p. przewidujący ogólne wyłączenie dla wytwarzania różnych dokumentów publicznych. W wyroku z 7 września 2023 r. w sprawie C-601/21 TSUE wskazał, że o ile państwa członkowskie zachowują kompetencje w zakresie bezpieczeństwa narodowego czy publicznego, które to kwestie nabierają niewątpliwie dodatkowego znaczenia w kontekście sytuacji międzynarodowej, a szczególnie inwazji Rosji na Ukrainę i wszelkich konsekwencji i zagrożeń stąd wynikających dla naszego kraju i bezpieczeństwa, to samo powołanie się na kwestie bezpieczeństwa w celu odejścia od stosowania prawa unijnego nie jest wystarczające. Konieczne jest z jednej strony wyodrębnienie katalogu zamówień, których charakter i znaczenie rzeczywiście mają wpływ na bezpieczeństwo państwa, z drugiej wskazanie w istniejących regulacjach przepisów, które uniemożliwiają lub realnie utrudniają zabezpieczenie tych interesów. W tym drugim przypadku może chodzić zarówno o rozwiązania przewidziane w p.z.p., jak i o brak instrumentów, które należałoby wykorzystywać w tym celu. Biorąc to pod uwagę, tak szerokie i w dużej mierze ogólne wyłączenie inwestycji związanych z KCPD spod reżimu p.z.p. budzi więc poważne wątpliwości.

Kwestie dotyczące cyberbezpieczeństwa należą do obszaru szeroko rozumianego bezpieczeństwa państwa i mogą stanowić podstawę dla przyjmowania szczególnych regulacji, w tym w zakresie zamówień publicznych. Kluczowe jest jednak określenie zakresu zamówień, które mogą wymagać takich specyficznych rozwiązań. W komentowanej ustawie kwestię tę potraktowano bardzo szeroko i, jak się wydaje, jest to rozwiązanie zbyt daleko idące. O ile bowiem sama budowa i wyposażenie centrum (a także późniejsze zamówienia w tym zakresie), przynajmniej w określonym zakresie, mogą dotyczyć kwestii cyberbezpieczeństwa, o tyle zamówienia towarzyszące KCPD wydają się wykraczać poza ten schemat i zdecydowanie trudniej uzasadnić wyłączenie ich spod p.z.p. Bezpieczeństwo państwa może być bowiem ewentualną podstawą wyłączenia punktowego, dla określonych zamówień, a nie służyć jako mechanizm dla wyłączeń blokowych. Z tego też względu zasadnym jest pytanie o utrzymanie tak szerokiego zakresu wyłączeń.

Specjalna procedura

Zgodnie z art. 10 ustawy o KCPD przepisy p.z.p. są wyłączone, a do zamówień związanych z inwestycją stosuje się jedynie odpowiednio niektóre wskazane regulacje tej ustawy. Zamawiający, udzielając zamówień, będzie musiał stosować zasady uczciwej konkurencji, równego traktowania wykonawców, proporcjonalności, przejrzystości oraz efektywności, jak również zasady dotyczące opisu przedmiotu zamówienia. Ma to – jak można zakładać – stanowić realizację postulatu wyrażonego w stanowiącym podstawę wyłączenia art. 12 p.z.p. Przewiduje on wyłączenie przepisów w stopniu wymaganym dla zachowania bezpieczeństwa państwa.

Ustawa o KCPD w art. 4 wprowadza specjalną procedurę udzielania zamówień w postaci negocjacji niepoprzedzonych publikacją ogłoszenia o zamówieniu. Jest to zatem tryb, w którym konkurencyjność jest bardzo ograniczona, gdyż to zamawiający z góry decyduje, jakie podmioty zaprosi do udziału w postępowaniu (minimum trzy). Zasadą jest tu zatem odpowiednik trybu negocjacji bez ogłoszenia, co w p.z.p. jest dozwolone wyłącznie w ściśle określonych przypadkach. Od tej zasady ustanawia się dodatkowo wyjątek polegający na tym, że ze względu na specjalistyczny charakter zamówienia lub gdy z przyczyn obiektywnych zamówienie może wykonać jeden wykonawca, zaproszenie kieruje się tylko do jednej firmy.

Ustawa o KCPD przewiduje również możliwość całkowitego pominięcia etapu negocjacji, jeżeli zamawiający tak zdecyduje. W takim przypadku zaproszeni wykonawcy zostaną od razu poproszeni o złożenie ofert. Ten sposób procedowania wydaje się przewidziany w szczególności dla zamówień towarzyszących, których zasadność wyłączenia budzi szczególne wątpliwości.

Wydaje się, że takie ograniczenie konkurencji jest zbyt daleko idące, a kwestie dotyczące zapewnienia bezpieczeństwa można osiągnąć w inny, mniej uciążliwy dla wykonawców i konkurencji sposób. Pewne mechanizmy w tym zakresie zostały zresztą przewidziane w ustawie o KCPD.

Przede wszystkim zaproszenie do negocjacji zamawiający będzie mógł wystosować jedynie do wykonawcy z siedzibą w UE, EOG lub państwie, z którym UE lub Polska zawarły umowę międzynarodową dotyczącą zamówień w dziedzinie obronności i bezpieczeństwa państwa, a w przypadku realizacji umowy związanej z dostępem do informacji niejawnych – z którym Rzeczpospolita Polska zawarła umowę o wzajemnej ochronie informacji niejawnych czy legitymującego się odpowiednimi dokumentami potwierdzającymi zdolność do ochrony informacji niejawnych.

Odpowiednie zastosowanie znajdą również podstawy do wykluczenia wykonawców z art. 108 i 109 p.z.p., choć warto w tym miejscu dodać, że zamawiający będzie miał do dyspozycji również dodatkowe przesłanki wykluczenia wykonawców związane z bezpieczeństwem, bezpieczeństwem dostaw i informacji, obronnością oraz koniecznością zachowania poufności, a zatem przesłanki znajdujące się w części p.z.p. dotyczącej zamówień w dziedzinie obronności i bezpieczeństwa państwa.

W odniesieniu do kwestii kompetencji merytorycznych przedsiębiorcy ustawa o KCPD w art. 4 ust. 3 pkt 3 stanowi jedynie, że do negocjacji będzie można zaprosić wykonawcę „posiadającego doświadczenie w realizacji zamówień o przedmiocie podobnym do przedmiotu zamówienia inwestora, które ma realizować wykonawca, umożliwiające realizację zamówienia na odpowiednim poziomie jakości”. Można zakładać, że poszczególne wymogi będą określane przez zamawiającego w konkretnych zamówieniach i że będą one mogły dotyczyć nie tylko wąsko rozumianego doświadczenia, lecz także innych parametrów, w tym zdolności finansowej, potencjału technicznego itp. Z treści przepisów wprost to jednak nie wynika.

Warto też dodać, że zamawiający będzie miał prawo unieważnić postępowanie o udzielenie zamówienia na każdym jego etapie, bez konieczności uzasadnienia takiej decyzji. Dobrze, że przewidziano chociaż, iż wykonawcom będzie wówczas przysługiwać zwrot uzasadnionych kosztów uczestnictwa w tym postępowaniu, w szczególności kosztów przygotowania oferty.

Zmiana podczas gry

Jednym z bardziej kontrowersyjnych rozwiązań jest możliwość zmiany statusu postępowań zakupowych wszczętych przed wejściem w życie ustawy o KCPD. Jak wynika z art. 54 tej ustawy, na wniosek inwestora dotychczasowe postępowanie (prowadzone np. na podstawie p.z.p.) miałoby być kontynuowane na podstawie nowych przepisów. Wykonawca miałby w tej sytuacji uprawnienie do odstąpienia od udziału w postępowaniu oraz do odzyskania wadium. Nie do końca wiadomo, co miałoby być powodem takiego wniosku i jego uzasadnienia, bo wydaje się, że kwestie bezpieczeństwa powinny odgrywać kluczową rolę od samego początku prowadzenia postępowania, a nie pojawiać się w jego trakcie.

Bez odwołań

Zwraca szczególną uwagę, że ustawa o KCPD nie przewiduje środków ochrony prawnej w zakresie związanym z procesem zakupowym. Zainteresowani wykonawcy nie będą mieli możliwości odwołania się od decyzji zamawiającego np. w zakresie wyboru oferty najkorzystniejszej do Krajowej Izby Odwoławczej. W ustawie o KCPD wskazuje się jedynie, że Centralne Biuro Antykorupcyjne (CBA) będzie miało obowiązek prowadzić prewencyjne działania osłonowe dotyczące zamówień związanych z centrum, w tym weryfikować przekazane przez zamawiającego zaproszenie do negocjacji oraz zaproszenie do składania ofert (wraz z listą zapraszanych wykonawców). Trudno powiedzieć, w jakim zakresie i jak dokładnie CBA będzie weryfikowało trafność wyborów zamawiającego w zakresie podmiotów, do których jest kierowane zaproszenie do postępowania zakupowego, zwłaszcza że będzie miało na to jedynie siedem dni. Nie stanowi to ochrony, jaką przewidują przepisy p.z.p. Co istotne, sam fakt wyłączenia zamówień związanych z centrum nie powinien być równoznaczny z pozbawieniem jego wykonawców środków ochrony prawnej. Skoro ustawodawca decyduje się na wyłączenie stosowania przepisów p.z.p., w tym tych dotyczących odwołań, powinien przewidzieć w tym zakresie środki równoważne i dostępne bezpośrednio dla zainteresowanych. Sama kontrola CBA tego standardu nie spełnia.

Konieczne zmiany w ustawie

Idea, jaka przyświeca realizacji KCPD, jest zrozumiała. Sytuacja geopolityczna, w tym trwająca wojna rosyjsko-ukraińska, powoduje, że kwestie bezpieczeństwa państwa wymagają bardzo starannego podejścia również w zakresie cyberbezpieczeństwa.

W naszej ocenie istnieją jednak poważne wątpliwości, czy przynajmniej niektóre rozwiązania przewidziane w ustawie o KCPD są uzasadnione, w tym w szczególności wyłączenie spod p.z.p. wszystkich zamówień dotyczących centrum. Budzi to wątpliwości co do zgodności z prawem UE. Dyrektywy 2014/24/UE i 2014/25/UE pozwalają na wyłączenie ich stosowania jedynie do zamówień tajnych oraz takich, których realizacji muszą towarzyszyć szczególne środki bezpieczeństwa, i to pod warunkiem, że nie można zagwarantować realizacji podstawowych interesów państwa za pomocą mniej inwazyjnych środków.

Skala wyłączenia określona ustawą o KCPD wydaje się po prostu zbyt rozległa. Obejmuje ona bowiem bardzo szeroki zakres dotyczący nie tylko budowy centrów przetwarzania danych, lecz także ich wyposażenia (w tym np. serwery i sprzęt IT), a także inwestycje towarzyszące, np. budowę dróg dojazdowych. Oznacza to, że wszelkie możliwe dostawy, usługi i roboty budowlane związane z tą inwestycją będą wyłączone spod reżimu p.z.p.

Zapewnienie w ustawie o KCPD stosowania niektórych zasad i przepisów p.z.p. jest oczywiście pozytywne, jednakże naszym zdaniem nie wystarczy to do zagwarantowania transparentności wydatkowania środków publicznych. Przewidziany tryb negocjacji bez ogłoszenia jest jednym z najmniej konkurencyjnych. Nie jest publikowane ogłoszenie o zamówieniu, więc potencjalni wykonawcy nie wiedzą o tym, że toczy się jakiekolwiek postępowanie, jeżeli nie zostaną do niego zaproszeni.

Wydaje się, że nie ma przeszkód, aby zamawiający wszczynał postępowania, publikując ogłoszenia, tym bardziej że ochronę bezpieczeństwa zapewniają inne mechanizmy, w tym podstawy wykluczenia. Zaproszeniu wybranych wykonawców powinien towarzyszyć obowiązek przedstawienia uzasadnienia. Podobny obowiązek powinien istnieć przy decyzji o unieważnieniu postępowania. Samo uzasadnienie może być oczywiście poufne, dostępne jedynie dla odpowiednich organów państwa, jednakże powinno ono zaistnieć, gdyż dopiero wówczas proces zakupowy można uznać za transparentny. Ustawa o KCPD powinna też bardziej szczegółowo określać obiektywne kryteria wyboru wykonawców, którymi inwestor będzie miał obowiązek się kierować.

Zdaniem autorów dopuszczenie w art. 54 ustawy o KCPD zmiany podstawy prawnej wszczętego postępowania zakupowego w trakcie jego trwania to również rozwiązanie, które idzie za daleko. Zasada pewności prawa powinna mieć tu charakter nadrzędny. W sytuacji gdy postępowanie zakupowe zostało wszczęte na podstawie ustawy p.z.p., powinno być w dalszym ciągu w taki sposób prowadzone (albo unieważnione, gdy są ku temu podstawy). W przeciwnym razie oznacza to znaczne ryzyko naruszenia zasady równego traktowania wykonawców, a co więcej, naruszenie zaufania rynku do stabilności prawa w Polsce.

Istotną wadą ustawy o KCPD jest też wykluczenie środków ochrony prawnej przewidzianych w ustawie p.z.p. i brak zagwarantowania innej ścieżki kontroli rzetelności czynności zamawiającego przez niezależny organ o charakterze sądowym. Nie ma przeszkód, aby środki takie – podobnie jak ma to miejsce w określonych sytuacjach przewidzianych w p.z.p. – były rozpatrywane z wyłączeniem jawności rozprawy czy na posiedzeniach niejawnych. ©℗