Što se u javnoj nabavi pita o privatnosti?

Javni pozivi ponajprije traže dokazivanje usklađenosti sa GDPR-om

Javni poziv rijetko traži detaljan pravni dokument, ali traži dokaz da je ponuditelj svojom poslovanje uredan. U praksi radi se o nekoliko ponavljajućih tema: postoji li ugovor o obradi podataka kada je nalog vezan uz osobne podatke, koja sigurnosna sredstva se primjenjuju, koriste li se podizvodači (dalje obrade podataka) i gdje su smješteni, te može li ponuditelj pokazati da pozna i evidentira svoje vlastite obrade podataka.

Mnoga javna tijela dodatno eksplicitno pitaju je li ponuditelj odredio ključnu osobu za zaštitu podataka, a ponekad i ima li iskustva s procjenom učinka na zaštitu podataka. Postoji li obaveza imenovanja takve osobe ovisi o situaciji samog ponuditelja i zemlji u kojoj je smješten: u Nizozemskoj obaveza proizlazi iz članka 37. GDPR-a bez praga zaposlenika, dok u Njemačkoj postoji prag od dvadeset zaposlenika prema nacionalnom zakonu. Ono što ostaje jednako svugdje jest da ponuditelj mora moći pokazati što radi i zašto to zadovoljava — ne da podnese jedan specifičan dokument.

To proizlazi iz odgovornosti i pravila za obrade podataka

Činjenica da javni poziv traži dokazivanje umjesto znaka kvalitete usklađena je s člankom 5. GDPR-a: odgovornost znači da organizacija mora moći dokazati da zadovoljava načela uredbe, bez da uredba propisuje kroz koji točno dokument se to provodi. Kada je nalog takav da će ponuditelj obrađivati osobne podatke u ime javnog tijela, članak 28. GDPR-a je osnova za zahtjev da postoji ugovor o obradi podataka s dogovorima o dalje obradi podataka i sigurnosnim sredstvima. Za pitanje kada je ključna osoba za zaštitu podataka obavezna, i kome se prijavljuje povrada podataka, za nizozemskog ponuditelja primjenjuju se Autoritet za zaštitu podataka i Zakon o primjeni GDPR-a; za ponuditelja u drugoj zemlji primjenjuju se vlastiti nacionalni nadzornik i zakoni, iako je suština GDPR-a svugdje ista.