Wat vraagt een aanbesteding over privacy?

Aanbesteders vragen meestal om aantoonbare AVG-naleving

Een aanbesteding waarin persoonsgegevens een rol spelen, vraagt in de praktijk om een overzicht van hoe de inschrijver met die gegevens omgaat. Dat begint vaak met de vraag of er een verwerkersovereenkomst kan worden gesloten, gevolgd door vragen over de genomen beveiligingsmaatregelen, de plek waar gegevens worden opgeslagen en of er onderaannemers (subverwerkers) worden ingeschakeld. Ook wordt regelmatig gevraagd naar een overzicht van verwerkingen, naar het bestaan van een functionaris voor gegevensbescherming, en naar hoe wordt omgegaan met datalekken en verzoeken van betrokkenen.

De precieze invulling verschilt per aanbestedende dienst en per opdracht: een gemeente die burgergegevens laat verwerken stelt andere eisen dan een opdracht zonder persoonsgegevens. Bij opdrachten met een groter risico — bijvoorbeeld bij bijzondere persoonsgegevens of grootschalige verwerking — kan ook om een gegevensbeschermingseffectbeoordeling worden gevraagd, of om certificering als bewijs van getroffen maatregelen. Wat steeds terugkomt, is dat de inschrijver moet kunnen laten zien dat de omgang met persoonsgegevens is geregeld, niet alleen dat die is toegezegd.

De basis: verwerkersovereenkomst en beveiliging uit de AVG

Deze vragen volgen uit de verplichtingen die de AVG aan verwerkingsverantwoordelijken en verwerkers oplegt. Artikel 28 van de AVG schrijft voor dat een verwerkersovereenkomst wordt gesloten zodra een partij namens een ander persoonsgegevens verwerkt, met daarin onder meer afspraken over onderaannemers en beveiliging. Artikel 32 van de AVG verplicht tot passende technische en organisatorische maatregelen, en artikel 5, tweede lid, van de AVG legt de verantwoordingsplicht vast: de verwerkingsverantwoordelijke moet kunnen aantonen dat aan de regels wordt voldaan. Een aanbestedende dienst die deze onderwerpen bevraagt, toetst in feite of een inschrijver aan die verplichtingen kan voldoen. De Autoriteit Persoonsgegevens houdt toezicht op de naleving van deze bepalingen en publiceert hierover nadere informatie.