Co pyta o prywatność postępowanie o udzielenie zamówienia?

Zamówienia publiczne wymagają przede wszystkim wykazania zgodności z RODO

Zamówienie publiczne rzadko wymaga rozbudowanego dokumentu prawnego, ale wymaga dowodu, że oferent ma swoje sprawy w porządku. W praktyce chodzi o kilka powtarzających się kwestii: czy będzie umowa przetwarzania danych, gdy zlecenie dotyczy danych osobowych, jakie środki bezpieczeństwa będą wdrożone, czy będą angażowani podwykonawcy (pododpowiedzialni) i gdzie są zarejestrowani, oraz czy oferent może wykazać, że zna swoje przetwarzania i je dokumentuje.

Wiele zamawiających dodatkowo wyraźnie pyta, czy oferent wyznaczył inspektora ochrony danych, a czasem czy ma doświadczenie w przeprowadzeniu oceny skutków dla ochrony danych. To, czy taki inspektor jest obowiązkowy, zależy od sytuacji samego oferenta i kraju, w którym jest zarejestrowany: w Holandii obowiązek wynika z artykułu 37 RODO bez progu zatrudnienia, podczas gdy w Niemczech obowiązuje próg 20 pracowników zgodnie z krajowym prawem. To, co pozostaje takie samo wszędzie, to że oferent musi móc wykazać, co robi i dlaczego to jest zgodne — niekoniecznie poprzez przekazanie jednego konkretnego dokumentu.

Wynika to z zasady rozliczalności i przepisów dotyczących pododpowiedzialnych

Fakt, że zamówienie publiczne wymaga wykazania zgodności zamiast certyfikatu, jest spójny z artykułem 5 RODO: zasada rozliczalności oznacza, że organizacja musi móc wykazać, że jest zgodna z zasadami rozporządzenia, bez względu na to, że rozporządzenie nie określa poprzez który dokument to nastąpi. Gdy zlecenie pociąga za sobą, że oferent będzie przetwarzać dane osobowe w imieniu zamawiającego, artykuł 28 RODO stanowi podstawę wymogu umowy przetwarzania danych, zawierającej między innymi uzgodnienia dotyczące pododpowiedzialnych i środków bezpieczeństwa. Jeśli chodzi o pytanie, kiedy inspektor ochrony danych jest obowiązkowy i do kogo zgłaszane są naruszenia danych, dla oferenta z Holandii obowiązuje Urząd Ochrony Danych Osobowych i Ustawa wdrażająca RODO; dla oferenta z innego kraju obowiązują krajowy organ nadzoru i prawo, chociaż rdzeń RODO jest wszędzie taki sam.