Mida küsib avalik hanke privaatsuse kohta?

Hankinnat küsivad eelkõige tõendatavat GDPR-nõuetekohase käitumise

Hankemenetlus harva nõuab mahukaid juriidilisi dokumente, kuid nõuab tõendeid, et pakkuja on oma asjaolud korras seadnud. Praktikas käib see mõne korduvteemalise küsimuse ümber: kas tuleb andmetöötluslepe, kui leping hõlmab isikuandmete töötlemist, millistele turvameetmetele rakendatakse, kas seotakse alamhankijaid (alamandmetöötlejaid) ja kus need asuvad, ja kas pakkuja saab näidata, et ta teab oma andmetöötluseid ja dokumenteerib neid.

Paljud hankeametid küsivad lisaks otseselt, kas pakkuja on määranud andmekaitsefunktsionaari, ja mõnikord, kas tal on kogemusi andmekaitse mõjuhinnangute koostamisega. Kas selline funktsionaar on kohustuslik, sõltub pakkuja enda olukorrast ja riigist, kus ta asub: Hollandis tuleneb kohustus GDPR artiklist 37 ilma personaliläve piiranguta, samas Saksamaal kehtib rahvusliku seaduse alusel kahekümne töötaja lävi. Mis jääb kõikjal samaks, on see, et pakkuja peab suutma näidata, mida ta teeb ja miks see vastab nõuetele — mitte seda, et ta esitab ühe kindla dokumendi.

See tuleneb vastutusprintsiibist ja andmetöötlejate sätetest

Asjaolu, et hankemenetlus küsib tõendatavust selle asemel, et nõuda sertifitseerimismärki, on kooskõlas GDPR artikliga 5: vastutusprintsiip tähendab, et organisatsioon peab suutma tõendada, et ta järgib määruse põhimõtteid, ilma et määrus eelkirjutaks, millise konkreetse dokumendi kaudu see toimub. Kui leping tähendab, et pakkuja töötleb isikuandmeid hankeametiga seotud ülesannete täitmisel, on GDPR artikkel 28 aluseks nõudele, et olemas oleks andmetöötluslepe, milles muuhulgas lepitakse kokku alamandmetöötlejate ja turvameetmete osas. Osas, kuidas määrata, millal on andmekaitsefunktsionaar kohustuslik ja kellele teatada andmelekest, kehtib Hollandi pakkuja puhul Autoriteit Persoonsgegevens ja GDPR rakendamise seadus; muu riigi pakkuja puhul kehtivad tema enda riiklik järelevalveasutus ja seadusandlus, kuigi GDPR südamik on kõikjal sama.