¿Qué pregunta una licitación sobre privacidad?

Las licitaciones piden principalmente cumplimiento demostrable del RGPD

Una licitación rara vez solicita un documento jurídico extenso, pero sí prueba de que un oferente tiene sus asuntos en orden. En la práctica, se trata de algunos temas recurrentes: si hay un contrato de encargo de tratamiento cuando la tarea implica datos personales, qué medidas de seguridad se toman, si se contratan subcontratistas (encargados del tratamiento posteriores) y dónde están ubicados, y si el oferente puede demostrar que conoce y documenta sus propios tratamientos.

Muchas entidades licitantes además pregunta explícitamente si un oferente ha designado un delegado de protección de datos, y a veces si tiene experiencia con una evaluación de impacto relativa a la protección de datos. La obligatoriedad de tal delegado depende de la situación del propio oferente y del país donde esté establecido: en los Países Bajos, la obligación se deriva del artículo 37 del RGPD sin umbral de personal, mientras que en Alemania se aplica un umbral de veinte empleados conforme a la ley nacional. Lo que sigue siendo igual en todas partes es que un oferente debe poder demostrar qué hace y por qué cumple — no que presente un documento específico.

Esto se deduce de la obligación de demostrar el cumplimiento y las normas relativas a los encargados del tratamiento

Que una licitación pida demostrabilidad en lugar de una certificación va en línea con el artículo 5 del RGPD: la obligación de demostrar el cumplimiento implica que una organización debe poder acreditar que cumple los principios del Reglamento, sin que el Reglamento prescriba mediante qué documento exacto ocurra eso. Cuando la tarea conlleva que el oferente vaya a tratar datos personales en nombre de la entidad licitante, el artículo 28 del RGPD es la base para el requisito de que haya un contrato de encargo de tratamiento, que incluya entre otras cosas acuerdos sobre encargados del tratamiento posteriores y medidas de seguridad. Para la cuestión de cuándo es obligatorio designar un delegado de protección de datos, y ante quién se notifica una violación de datos, para un oferente neerlandés rige la Autoridad de Protección de Datos y la Ley de Ejecución del RGPD; para un oferente en otro país rigen la autoridad supervisora nacional propia y la legislación, aunque el núcleo del RGPD sea el mismo en todas partes.