Čo sa pýta verejné obstarávanie na ochranu údajov?

Verejné obstarávania sa zameriavajú predovšetkým na preukázateľné dodržiavanie GDPR

Verejné obstarávanie zriedka vyžaduje rozsiahly právny dokument, ale vyžaduje dôkaz, že dodávateľ má svoje záležitosti v poriadku. V praxi ide o niekoľko opakujúcich sa tém: či bude uzavretá zmluva o spracovaní údajov, keď zákazka zahŕňa osobné údaje, aké bezpečnostné opatrenia sa prijímajú, či sa angažujú subdodávatelia (ďalší spraccovatelia) a kde sú umiestnení, a či môže dodávateľ preukázať, že pozná svoje vlastné spracovania a zaznamenáva ich.

Mnohé verejné obstarávacie služby navyše výslovne požadujú, či si dodávateľ určil zodpovedného za ochranu údajov, a niekedy aj či má skúsenosti s posúdením vplyvu na ochranu údajov. To, či je takýto zodpovedný povinný, závisí od situácie samotného dodávateľa a od krajiny, v ktorej sídli: v Holandsku vyplýva povinnosť z článku 37 GDPR bez limitu počtu zamestnancov, zatiaľ čo v Nemecku platí limit dvadsiatich zamestnancov podľa národného zákona. To, čo zostáva všade rovnaké, je, že dodávateľ musí byť schopný preukázať, čo robí a prečo to vyhovuje — nie že predloží jeden špecifický dokument.

Vyplýva to z povinnosti zodpovednosti a pravidiel pre spracovateľov

Skutočnosť, že verejné obstarávanie požaduje preukázateľnosť namiesto certifikácie, je v súlade s článkom 5 GDPR: povinnosť zodpovednosti znamená, že organizácia musí byť schopná preukázať, že dodržiava princípy nariadenia, pričom nariadenie nepredpisuje, prostredníctvom ktorého presne dokumentu sa tak stane. Ak zákazka znamená, že dodávateľ bude spracúvať osobné údaje v mene verejného obstarávača, je článok 28 GDPR základom pre požiadavku uzavretia zmluvy o spracovaní údajov s dohodami o ďalších spracovateľoch a bezpečnostných opatreniach. Pokiaľ ide o otázku, kedy je zodpovedný za ochranu údajov povinný a komu sa hlási únik údajov, pre holandského dodávateľa platí Úrad na ochranu údajov a Zákon o vykonávaní GDPR; pre dodávateľa v inej krajine platia vlastný národný regulačný orgán a zákonodárstvo, aj keď je jadro GDPR všade rovnaké.