Hvad spørger en indkøbsproces om vedr. databeskyttelse?

Udbuddet spørger især efter dokumenterbar GDPR-overholdelse

Et udbud spørger sjældent om et omfattende juridisk dokument, men derimod om bevis for, at en leverandør har styr på sine forhold. I praksis drejer det sig om et par tilbagevendende emner: om der skal være en databehandleraftale, når opgaven arbejder med personoplysninger, hvilke sikkerhedsforanstaltninger der gennemføres, om der skal inddrages underleverandører (underbehandlere) og hvor disse er etableret, samt om leverandøren kan dokumentere, at han kender sine egne behandlinger og registrerer dem.

Mange udbudsmyndigheder spørger derudover eksplicit, om en leverandør har udpeget en databeskyttelsesansvarlig, og nogle gange om der er erfaring med en analyse af virkningen på beskyttelse af personoplysninger. Om sådan en ansvarlig er obligatorisk, afhænger af leverandørens egen situation og det land, hvor han er etableret: i Holland stammer forpligtelsen fra artikel 37 i GDPR'en uden en personaletærskel, mens i Tyskland gælder en tærskel på tyve medarbejdere i henhold til national lovgivning. Hvad der er ens overalt, er, at en leverandør skal kunne dokumentere, hvad han gør, og hvorfor det overholder kravene – ikke at han fremlægger ét specifikt dokument.

Dette følger af ansvarlighed og reglerne for databehandlere

At et udbud spørger efter dokumenterbarhed i stedet for et kvalitetsmærke, er i tråd med artikel 5 i GDPR'en: ansvarlighed betyder, at en organisation skal kunne dokumentere, at den overholder forordningens principper, uden at forordningen foreskriver via hvilket dokument det præcist skal ske. Når opgaven medfører, at leverandøren behandler personoplysninger på vegne af udbudsmyndigheden, er artikel 28 i GDPR'en grundlaget for kravet om en databehandleraftale med blandt andet aftaler om underbehandlere og sikkerhedsforanstaltninger. For spørgsmålet om, hvornår en databeskyttelsesansvarlig er obligatorisk, og hvor et dataleak rapporteres til, gælder for en hollandsk leverandør Datatilsynet og gennemføringsloven for GDPR'en; for en leverandør i et andet land gælder det pågældende lands egen tilsynsmyndighed og lovgivning, selv om kernen i GDPR'en er den samme overalt.