Wat vraagt een aanbesteding over privacy?

Aanbestedingen vragen vooral naar aantoonbare AVG-naleving

Een aanbesteding vraagt zelden om een uitgebreid juridisch stuk, maar wel om bewijs dat een aanbieder zijn zaken op orde heeft. In de praktijk gaat het om een paar terugkerende onderwerpen: of er een verwerkersovereenkomst komt wanneer de opdracht met persoonsgegevens werkt, welke beveiligingsmaatregelen genomen worden, of er onderaannemers (subverwerkers) worden ingeschakeld en waar die gevestigd zijn, en of de aanbieder kan laten zien dat hij zijn eigen verwerkingen kent en vastlegt.

Veel aanbestedende diensten vragen daarnaast expliciet of een aanbieder een functionaris gegevensbescherming heeft aangewezen, en soms of er ervaring is met een gegevensbeschermingseffectbeoordeling. Of zo'n functionaris verplicht is, hangt af van de situatie van de aanbieder zelf en van het land waar die gevestigd is: in Nederland volgt de verplichting uit artikel 37 van de AVG zonder personeelsdrempel, terwijl in Duitsland een drempel van twintig medewerkers geldt op grond van de nationale wet. Wat overal gelijk blijft, is dat een aanbieder moet kunnen laten zien wat hij doet en waarom dat voldoet — niet dat hij één specifiek document overlegt.

Dit volgt uit de verantwoordingsplicht en de regels voor verwerkers

Dat een aanbesteding om aantoonbaarheid vraagt in plaats van om een keurmerk, sluit aan bij artikel 5 van de AVG: de verantwoordingsplicht houdt in dat een organisatie moet kunnen aantonen dat zij aan de beginselen van de verordening voldoet, zonder dat de verordening voorschrijft via welk precies document dat gebeurt. Wanneer de opdracht meebrengt dat de aanbieder persoonsgegevens namens de aanbestedende dienst gaat verwerken, is artikel 28 van de AVG de basis voor de eis dat er een verwerkersovereenkomst komt, met daarin onder meer afspraken over subverwerkers en beveiligingsmaatregelen. Voor de vraag wanneer een functionaris gegevensbescherming verplicht is, en bij wie een datalek gemeld wordt, geldt voor een Nederlandse aanbieder de Autoriteit Persoonsgegevens en de Uitvoeringswet AVG; voor een aanbieder in een ander land gelden de eigen nationale toezichthouder en wetgeving, ook al is de kern van de AVG overal dezelfde.