Cosa chiede una gara d'appalto sulla privacy?

Gli appalti richiedono soprattutto il rispetto dimostrabile del GDPR

Un appalto raramente richiede un documento legale completo, ma piuttosto una prova che un offerente abbia le sue questioni in ordine. In pratica, si tratta di pochi argomenti ricorrenti: se viene stipulato un contratto di incarico del responsabile del trattamento quando l'incarico riguarda dati personali, quali misure di sicurezza sono adottate, se vengono coinvolti subappaltatori (responsabili del trattamento secondari) e dove sono stabiliti, e se l'offerente può dimostrare di conoscere e registrare i propri trattamenti.

Molti enti aggiudicatori chiedono inoltre esplicitamente se un offerente ha designato un responsabile della protezione dei dati, e talvolta se ha esperienza con una valutazione d'impatto sulla protezione dei dati. L'obbligo di designare tale responsabile dipende dalla situazione dell'offerente stesso e dal paese in cui è stabilito: nei Paesi Bassi l'obbligo deriva dall'articolo 37 del GDPR senza soglia di personale, mentre in Germania si applica una soglia di venti dipendenti secondo la legge nazionale. Ciò che rimane coerente ovunque è che un offerente deve essere in grado di dimostrare cosa fa e perché è conforme — non che presenti un documento specifico.

Questo deriva dal principio di accountability e dalle norme sui responsabili del trattamento

Il fatto che un appalto richieda dimostrabilità invece di un marchio di qualità è coerente con l'articolo 5 del GDPR: il principio di accountability implica che un'organizzazione debba dimostrare il rispetto dei principi del regolamento, senza che il regolamento prescriva attraverso quale documento specifico ciò avvenga. Quando l'incarico comporta che l'offerente tratti dati personali per conto dell'ente aggiudicatore, l'articolo 28 del GDPR è la base per l'obbligo di stipulare un contratto di incarico del responsabile del trattamento, contenente tra l'altro accordi su subappaltatori e misure di sicurezza. Per la questione di quando è obbligatorio designare un responsabile della protezione dei dati e a chi segnalare una violazione, un offerente nei Paesi Bassi è soggetto all'Autorità per la protezione dei dati personali e alla legge di implementazione del GDPR; un offerente in un altro paese è soggetto al proprio garante nazionale e alla legislazione applicabile, anche se il nucleo del GDPR è lo stesso ovunque.