Τι ρωτά ένα δημόσιας σύμβασης για την προστασία δεδομένων;

Οι δημοπρασίες ζητούν κυρίως αποδείξιμη συμμόρφωση με τον GDPR

Μια δημοπρασία σπάνια ζητά ένα εκτενές νομικό έγγραφο, αλλά ζητά απόδειξη ότι ένας προσφέρων έχει τα πράγματά του σε τάξη. Στην πράξη, πρόκειται για μερικά επαναλαμβανόμενα θέματα: εάν υπάρχει σύμβαση επεξεργασίας όταν η ανάθεση περιλαμβάνει προσωπικά δεδομένα, ποια μέτρα ασφαλείας λαμβάνονται, εάν ενεργοποιούνται υπεργολάβοι (υποεπεξεργαστές) και πού είναι εγκατεστημένοι, και εάν ο προσφέρων μπορεί να αποδείξει ότι γνωρίζει τις δικές του επεξεργασίες και τις τεκμηριώνει.

Πολλές αναθέτουσες αρχές ρωτούν επιπλέον ρητά εάν ένας προσφέρων έχει ορίσει έναν υπεύθυνο προστασίας δεδομένων, και μερικές φορές εάν υπάρχει εμπειρία με μια αξιολόγηση περιγραφής επιπτώσεων προστασίας δεδομένων. Το εάν ένας τέτοιος υπεύθυνος είναι υποχρεωτικός εξαρτάται από την κατάσταση του ίδιου του προσφέροντος και τη χώρα όπου είναι εγκατεστημένος: στην Ολλανδία, η υποχρέωση προκύπτει από το άρθρο 37 του GDPR χωρίς όριο προσωπικού, ενώ στη Γερμανία ισχύει ένα όριο είκοσι εργαζομένων σύμφωνα με τη εθνική νομοθεσία. Αυτό που παραμένει ίδιο παντού είναι ότι ένας προσφέρων πρέπει να μπορεί να αποδείξει τι κάνει και γιατί αυτό είναι σύμφωνο — όχι ότι υποβάλλει ένα συγκεκριμένο έγγραφο.

Αυτό προκύπτει από την υπευθυνότητα και τους κανόνες για τους επεξεργαστές

Ότι μια δημοπρασία ζητά αποδειξιμότητα αντί για ένα σήμα ποιότητας συνάδει με το άρθρο 5 του GDPR: η υπευθυνότητα συνεπάγεται ότι ένας οργανισμός πρέπει να μπορεί να αποδείξει ότι συμμορφώνεται με τις αρχές του κανονισμού, χωρίς ο κανονισμός να ορίζει μέσω ποιου ακριβώς εγγράφου συμβαίνει αυτό. Όταν η ανάθεση συνεπάγεται ότι ο προσφέρων θα επεξεργάζεται προσωπικά δεδομένα για λογαριασμό της αναθέτουσας αρχής, το άρθρο 28 του GDPR αποτελεί τη βάση για το αίτημα σύμβασης επεξεργασίας, με συμφωνίες σχετικά με υποεπεξεργαστές και μέτρα ασφαλείας. Για το ερώτημα του πότε ένας υπεύθυνος προστασίας δεδομένων είναι υποχρεωτικός, και σε ποια αρχή αναφέρεται μια παραβίαση δεδομένων, για έναν ολλανδό προσφέροντα ισχύουν η Αρχή Προστασίας Δεδομένων και ο Κανόνας Εφαρμογής GDPR· για έναν προσφέροντα σε άλλη χώρα ισχύει η δική του εθνική αρχή εποπτείας και νομοθεσία, ακόμη και αν το κύρος του GDPR είναι ίδιο παντού.