Mitä hankinnasta kysytään yksityisyyden suojasta?

Hankinnat edellyttävät erityisesti todennettavaa GDPR-noudattamista

Hankintakutsu harvoin vaatii laajaa oikeudellista asiakirjaa, mutta vaatii todisteen siitä, että tarjoaja on järjestänyt asiat kuntoon. Käytännössä kyse on muutamasta toistuvasta aiheesta: tuleeko käsittelijäsopimus, kun tehtävässä käsitellään henkilötietoja, mitä tietoturvatoimia toteutetaan, otetaanko käyttöön alihankkijat (alikäsittelijät) ja missä ne sijaitsevat, sekä pystyykö tarjoaja osoittamaan tunnistavansa ja dokumentoivansa omat käsittelynsä.

Monet hankintaviranomaiset kysyvät lisäksi nimenomaisen, onko tarjoaja nimennyt tietosuojavaltuutetun, ja joskus onko kokemusta tietosuojavaikutusten arvioinnista. Se, onko tietosuojavaltuutetun nimeäminen pakollista, riippuu tarjoajan omasta tilanteesta ja maasta, jossa se sijaitsee: Alankomaissa velvoite seuraa GDPR:n 37 artiklasta ilman henkilöstörajaa, kun taas Saksassa sovelletaan 20 työntekijän rajaa kansallisen lain perusteella. Se, mikä pysyy samana kaikkialla, on se, että tarjoaja on pystyttävä osoittamaan, mitä se tekee ja miksi se noudattaa vaatimuksia — ei sitä, että se toimittaa yhden tietyn asiakirjan.

Tämä seuraa vastuuvelvollisuusperiaatteesta ja käsittelijöitä koskevista säännöistä

Se, että hankinta vaatii todennettavuutta sen sijaan, että vaatisi sertifikaattia, on linjassa GDPR:n 5 artiklan kanssa: vastuuvelvollisuusperiaate tarkoittaa, että organisaation on pystyttävä osoittamaan noudattavansa asetuksen periaatteita, ilman että asetus määrää, mitä asiakirjaa pitkin tämä tapahtuu. Kun tehtävä sisältää sen, että tarjoaja käsittelee henkilötietoja hankintaviraston puolesta, GDPR:n 28 artikla on perustana vaatimukselle, että käsittelijäsopimus on tehtävä, jossa muun muassa määritellään alihankkijoja ja tietoturvatoimia koskevat ehdot. Kysymykseen siitä, milloin tietosuojavaltuutetun nimeäminen on pakollista, ja kenelle tietovuoto raportoidaan, pätee Alankomaissa sijaitsevalle tarjoajalle Autoriteit Persoonsgegevens ja Uitvoeringswet AVG; muussa maassa sijaitsevalle tarjoajalle pätevät kyseisen maan kansallinen valvontaviranomainen ja lainsäädäntö, vaikka GDPR:n ydin on kaikkialla sama.