Ko par privātumu jautā iepirkums?

Iepirkumi jo īpaši prasa pierādāmu GDPR atbilstību

Iepirkums reti prasa plaši izstrādātu juridiska dokumenta, bet gan pierādījumus, ka piedāvātājs ir sakārtojis savus darbus. Praksē tas attiecas uz dažiem atkārtojošiem tematiem: vai noslēgsies datu apstrādes līgums, ja pasūtījums darbojas ar personas datiem, kādi drošības pasākumi tiek veikti, vai tiek piesaistīti apakšuzņēmumi (apakšapstrādes ņēmēji) un kur tie ir reģistrēti, un vai piedāvātājs var pierādīt, ka pats pazīst un dokumentē savus datu apstrādes procesus.

Daudzi iepirkuma veicēji papildus skaidri jautā, vai piedāvātājs ir iecelts datu aizsardzības amatpersonu, un dažreiz arī par pieredzi datu aizsardzības ietekmes novērtējumā. Tas, vai šāda amatpersona ir obligāta, ir atkarīgs no pašas piedāvātāja situācijas un valsts, kurā tas ir reģistrēts: Nīderlandē pienākums izriet no GDPR 37. panta bez darbinieku skaita ierobežojuma, bet Vācijā ir spēkā 20 darbinieku slieksnis saskaņā ar nacionālo likumu. Tas, kas ir vienāds visur, ir tas, ka piedāvātājam jāvar pierādīt, ko viņš dara un kāpēc tas atbilst prasībām — tas nenozīmē, ka viņam jāiesniedz viens konkrēts dokuments.

Tas izriet no atbildības pienākuma un apstrādes ņēmēja noteikumiem

Tas, ka iepirkums prasa pierādāmību, nevis sertifikācijas zīmi, atbilst GDPR 5. pantam: atbildības pienākums nozīmē, ka organizācijai jāvar pierādīt, ka tā pilda verordības principus, neatkarīgi no tā, kādu precīzu dokumentu verordība nosaka. Ja pasūtījums nozīmē, ka piedāvātājs datu apstrādes veicēja statusā apstrādās personas datus iepirkuma veicēja uzdevumā, GDPR 28. pants ir pamats prasībai noslēgt datu apstrādes līgumu ar noteikumiem par apakšapstrādes ņēmējiem un drošības pasākumiem. Jautājumā, kad datu aizsardzības amatpersona ir obligāta un kam jāziņo par datu aizskari, Nīderlandes piedāvātājam piemēro valsts datu aizsardzības uzraudzības iestādi un GDPR īstenošanas likumu; piedāvātājam, kas darbojas citā valstī, piemēro attiecīgajās valstī noteiktus nacionālos uzraudzības orgānus un normatīvos aktus, lai arī GDPR būtība visur ir vienāda.