Ce întrebări privind confidențialitatea comportă o licitație?

Achizițiile cer în special conformitatea cu GDPR care poate fi demonstrată

O achiziție rar cere un document juridic detaliat, dar cere dovezi că un ofertant are lucrurile în ordine. În practică, este vorba despre câteva subiecte recurente: dacă vine un contract de prelucrare atunci când sarcina lucrează cu date cu caracter personal, ce măsuri de securitate se iau, dacă se angajează subcontractori (subprelucratoare) și unde sunt stabiliți, și dacă ofertantul poate demonstra că își cunoaște și înregistrează propriile prelucrări.

Multe entități adjudecatoare cer în plus în mod explicit dacă un ofertant a desemnat un responsabil cu protecția datelor, și uneori dacă are experiență cu o evaluare a impactului asupra protecției datelor. Dacă un asemenea responsabil este obligatoriu depinde de situația ofertantului însuși și de țara în care este stabilit: în Olanda, obligația decurge din articolul 37 al GDPR fără prag de personal, în timp ce în Germania se aplică un prag de douăzeci de angajați conform legii naționale. Ceea ce rămâne egal peste tot este că un ofertant trebuie să poată demonstra ce face și de ce se conformează — nu că depune un anumit document specific.

Aceasta decurge din responsabilitatea de a demonstra și din regulile privind prelucratoarele

Faptul că o achiziție cere demonstrabilitate în loc de o etichetă de calitate se aliniază cu articolul 5 al GDPR: responsabilitatea de a demonstra înseamnă că o organizație trebuie să poată arăta că respectă principiile regulamentului, fără ca regulamentul să prescrie prin care exact document se întâmplă aceasta. Atunci când sarcina înseamnă că ofertantul va prelucra date cu caracter personal în numele entității adjudecatoare, articolul 28 al GDPR este baza pentru cerința unui contract de prelucrare, care include în special acorduri cu privire la subprelucratoare și măsuri de securitate. Pentru întrebarea când este obligatoriu un responsabil cu protecția datelor, și cui i se raportează o încălcare a datelor, pentru un ofertant din Olanda se aplică Autoritatea Olandeză pentru Protecția Datelor și Legea de implementare a GDPR; pentru un ofertant dintr-o altă țară se aplică propria autoritate de supraveghere națională și legislația acesteia, chiar dacă nucleul GDPR este același peste tot.