Mit kér a közbeszerzés az adatvédelemről?

A közbeszerzések elsősorban igazolható GDPR-megfelelőséget igényelnek

A közbeszerzés ritkán kér részletes jogi dokumentumot, de bizonyítékot igényel arra, hogy a pályázó rendben tartja ügyeit. A gyakorlatban néhány visszatérő témáról van szó: szükséges-e adatkezelési szerződés, amikor a megbízás személyes adatok kezelésével jár, milyen biztonsági intézkedéseket hoznak, használnak-e alvállalkozókat (almegfeleltetett adatkezelőket) és hol telepedtek le, és tud-e a pályázó bizonyítani, hogy ismeri és rögzíti saját adatkezeléseit.

Számos közbeszerzési szervezet ezen túl kifejezetten azt kérdezi, hogy a pályázó kijelölt-e adatvédelmi tisztviselőt, és néha azt is, hogy van-e tapasztalata adatvédelmi hatásbecslésben. Az adatvédelmi tisztviselő kötelezővé tétele attól függ, hogy a pályázó milyen helyzetben van és mely országban telepedett le: Hollandiában a GDPR 37. cikke kötelez személyzeti küszöb nélkül, míg Németországban a nemzeti törvény húsz alkalmazott küszöbét írja elő. Ami mindenhol egyforma marad, az az, hogy a pályázónak bizonyítani kell, hogy mit tesz és miért felel meg az előírásoknak — nem azt, hogy egyetlen meghatározott dokumentumot nyújt be.

Ez az elszámoltathatóságból és az adatkezelőkre vonatkozó szabályokból következik

Az, hogy a közbeszerzés az igazolhatóságot követeli meg egy minősítés helyett, összhangban van a GDPR 5. cikkével: az elszámoltathatóság azt jelenti, hogy egy szervezetnek bizonyítania kell, hogy megfelel a rendelet alapelveinek, anélkül, hogy a rendelet előírná, hogy pontosan mely dokumentummal történjen ez. Ha a megbízás azt jelenti, hogy a pályázó a közbeszerzési szervezet nevében személyes adatokat kezel, a GDPR 28. cikke az alapja annak a követelménynek, hogy legyen adatkezelési szerződés, amely több között almegfeleltetett adatkezelőkre és biztonsági intézkedésekre vonatkozó megállapodásokat tartalmaz. A kérdésre, hogy mikor kötelező az adatvédelmi tisztviselő, és kinek kell bejelenteni az adatsértést, egy holland pályázóra a Személyes adatok Hatósága és az AVG végrehajtási törvénye vonatkozik; más ország pályázójára a saját nemzeti felügyeleti hatóság és jogszabályok vonatkoznak, bár a GDPR lényege mindenhol ugyanaz.