O que um concurso público pergunta sobre privacidade?

As licitações solicitam principalmente conformidade com o RGPD comprovável

Uma licitação raramente solicita um documento jurídico extenso, mas sim prova de que um licitante tem seus assuntos em ordem. Na prática, trata-se de alguns tópicos recorrentes: se um contrato de processamento de dados surge quando a tarefa trabalha com dados pessoais, quais medidas de segurança são tomadas, se subcontratados (subprocessadores) são envolvidos e onde estão localizados, e se o licitante pode demonstrar que conhece e registra seus próprios processamentos.

Muitos órgãos licitadores perguntam explicitamente se um licitante designou um encarregado de proteção de dados, e às vezes se há experiência com uma avaliação de impacto na proteção de dados. Se tal encarregado é obrigatório depende da situação do próprio licitante e do país onde está estabelecido: na Holanda, a obrigação decorre do artigo 37.º do RGPD sem limite de pessoal, enquanto na Alemanha aplica-se um limite de vinte colaboradores de acordo com a lei nacional. O que permanece igual em toda a parte é que um licitante deve poder demonstrar o que faz e por que isso cumpre — não que ele apresente um documento específico.

Isto decorre da obrigação de prestação de contas e das regras para processadores

O facto de uma licitação solicitar comprovabilidade em vez de uma marca de qualidade está alinhado com o artigo 5.º do RGPD: a obrigação de prestação de contas significa que uma organização deve poder demonstrar que cumpre os princípios do regulamento, sem que o regulamento prescreva através de qual documento exatamente isso acontece. Quando a tarefa implica que o licitante processará dados pessoais em nome do órgão licitador, o artigo 28.º do RGPD é a base para o requisito de que exista um contrato de processamento de dados, incluindo acordos sobre subprocessadores e medidas de segurança. Para a questão de quando um encarregado de proteção de dados é obrigatório e a quem uma violação de dados deve ser comunicada, um licitante holandês está sujeito à Autoridade da Proteção de Dados e à Lei de Implementação do RGPD; um licitante noutro país está sujeito à sua própria autoridade supervisora nacional e legislação, mesmo que o núcleo do RGPD seja o mesmo em toda a parte.