Какво пита обществена поръчка за конфиденциалност?

Обществени поръчки търсят преди всичко доказуема съответствие с GDPR

Обществена поръчка рядко иска обширен юридически документ, но иска доказателство, че участникът има редът си на място. На практика става дума за няколко повтарящи се теми: дали ще има договор за обработка на данни, когато поръчката работи с лични данни, какви мерки за сигурност се предприемат, дали се използват подизпълнители (обработватели на трета страна) и къде те са установени, и дали участникът може да покаже, че познава своите собствени обработки и ги документира.

Много възложители възлагат също така явно дали участникът е назначил длъжностно лице за защита на данните и понякога дали има опит с оценка на въздействието върху защитата на данните. Дали такова длъжностно лице е задължително, зависи от ситуацията на самия участник и на държавата, където е установен: в Холандия задължението следва от член 37 на GDPR без праг за брой служители, докато в Германия се прилага праг от двадесет служители на основата на националния закон. Това, което остава еднакво навсякъде, е, че участникът трябва да може да покаже какво прави и защо това е в съответствие — не че издава един конкретен документ.

Това следва от отговорността и правилата за обработватели на данни

Фактът, че обществена поръчка търси доказуемост вместо сертификат, е в съответствие с член 5 на GDPR: отговорността означава, че организацията трябва да може да докаже, че спазва принципите на Регламента, без Регламентът да предписва чрез точно какъв документ се извършва това. Когато поръчката предполага, че участникът ще обработва лични данни от името на възложителя, член 28 на GDPR е основата за изискването да има договор за обработка на данни, който включва между другото договорености относно обработватели на трета страна и мерки за сигурност. По отношение на въпроса кога е задължително назначаването на длъжностно лице за защита на данните и на кого се докладва за нарушение в защитата на данните, за холандски участник се прилагат Органът за защита на данните и Законът за изпълнението на GDPR; за участник в друга държава се прилагат собственият национален надзорен орган и законодателство, дори и ако ядрото на GDPR е еднакво навсякъде.