Ką nustatymas apie privatumą klausia?

Viešosios pirkimo procedūros daugiausia reikalauja įrodomo BDAR atitikimo

Viešoji pirkimo procedūra retai reikalauja išsamaus teisinio dokumento, bet reikalauja įrodymo, kad pasiūlantysis turi tvarkingus reikalus. Praktikoje dažnai pasitaiko tie patys klausimai: ar bus sudaryta duomenų tvarkymo sutartis, jei užduotis apima asmeninių duomenų tvarkymą, kokie saugumo priemonės yra taikomos, ar įtraukiami papildomi rangovai (tolesniai duomenų tvarkos paslaugų teikėjai) ir kur jie yra registruoti, ir ar pasiūlantysis gali parodyti, kad žino savo duomenų tvarkymo operacijas ir jas registruoja.

Daugelis viešojo pirkimo subjektų papildomai paklusia, ar pasiūlantysis yra paskyręs duomenų apsaugos pareigūną, o kartais — ar turi patirtį atlikus duomenų apsaugos poveikio vertinimą. Tai, ar toks pareigūnas yra privalomas, priklauso nuo paties pasiūlytojas situacijos ir šalies, kurioje jis registruotas: Nyderlanduose pareiga kyla iš BDAR 37 straipsnio be personalo slenksčio, o Vokietijoje galioja dvidešimties darbuotojų slenkstis pagal nacionalinį įstatymą. Tai, kas lieka pastovus visur, yra tai, kad pasiūlantysis turi galėti parodyti, ką jis daro ir kodėl tai atitinka reikalavimus — o ne tai, kad jis pateikia vieną konkretų dokumentą.

Tai kyla iš atskaitomybės pareigos ir duomenų tvarkymo paslaugų teikėjų taisyklių

Tai, kad viešoji pirkimo procedūra reikalauja įrodymų vietoj sertifikato, atitinka BDAR 5 straipsnį: atskaitomybės pareiga reiškia, kad organizacija turi turėti galimybę parodyti, jog ji laikosi šios reglamento principų, nors reglamentas nenurodo, per kurį tiksliai dokumentą tai turėtų būti padaryta. Jei užduotis reikalauja, kad pasiūlantysis tvarkytų asmenines duomenis viešojo pirkimo subjekto vardu, BDAR 28 straipsnis yra pagrindas reikalauti duomenų tvarkymo paslaugų teikėjo sutarties, kurioje numatytos taisyklės apie papildomus rangus ir saugumo priemones. Dėl to, kada duomenų apsaugos pareigūnas yra privalomas ir kuriam subjektui turėtų būti pranešta apie duomenų saugumo pažeidimą, Nyderlandų pasiūlytojui galioja Duomenų apsaugos valdžia ir BDAR įgyvendinimo įstatymas; pasiūlytojui iš kitos šalies galioja jos nacionalinis priežiūros subjektas ir įstatymai, nors BDAR esmė lieka tokia pati visur.