Co se veřejné soutěže ptají na ochranu osobních údajů?

Veřejné zakázky se především ptají na prokazatelné dodržování GDPR

Veřejná zakázka jen zřídka vyžaduje obsáhlý právní dokument, ale vyžaduje důkaz, že dodavatel má své záležitosti v pořádku. V praxi jde o několik opakujících se témat: zda dojde k dohodě o zpracování, když se zakázka týká osobních údajů, jaká bezpečnostní opatření se přijímají, zda se angažují subdodavatelé (podprocesory) a kde jsou umístěni, a zda dodavatel může prokázat, že zná své vlastní zpracování a vede jej v evidenci.

Mnoho zadavatelů navíc výslovně ptá, zda dodavatel jmenoval funkcionáře pro ochranu údajů, a někdy, zda má zkušenosti s posouzením vlivu na ochranu údajů. Zda je takový funkcionář povinný, závisí na situaci samotného dodavatele a na zemi, kde je usazen: v Nizozemsku povinnost vyplývá z článku 37 GDPR bez limitu počtu zaměstnanců, zatímco v Německu platí limit dvaceti zaměstnanců podle národního zákona. Co zůstává všude stejné, je, že dodavatel musí být schopen prokázat, co dělá a proč to vyhovuje — nikoliv že předloží jeden konkrétní dokument.

Vyplývá to z povinnosti odpovědnosti a pravidel pro procesory

Skutečnost, že veřejná zakázka požaduje prokazatelnost místo certifikace, je v souladu s článkem 5 GDPR: povinnost odpovědnosti znamená, že organizace musí být schopna prokázat, že splňuje zásady nařízení, aniž by nařízení předepisovalo, prostřednictvím kterého konkrétního dokumentu se tak stane. Pokud zakázka znamená, že dodavatel bude zpracovávat osobní údaje jménem zadavatele, článek 28 GDPR je základem pro požadavek, aby byla uzavřena dohoda o zpracování, obsahující mimo jiné ujednání o podprocesech a bezpečnostních opatřeních. Pokud jde o otázku, kdy je funkcionář pro ochranu údajů povinný a komu se hlásí porušení údajů, pro holandského dodavatele platí Dutch Data Protection Authority a zákon o provádění GDPR; pro dodavatele v jiné zemi platí vlastní národní dozor a legislativa, přestože je jádro GDPR všude stejné.