Kaj se vprašuje v javnem razpisu glede zasebnosti?

Javni razpisi v glavnem zahtevajo dokazljivo skladnost z GDPR

Javni razpis le redko zahteva obsežen pravni dokument, ampak dokaz, da ima ponudnik svoje zadeve v redu. V praksi gre za nekaj ponavljajočih se tem: ali pride do pogodbe med krmilnikom in obdelovalcem, kadar naročilo obdeluje osebne podatke, kaj varnostnih ukrepov se sprejme, ali se vključijo podizvajalci (podizvajalci obdelave) in kje so nastanjeni, ter ali lahko ponudnik pokaže, da pozna svoje lastne obdelave in jih dokumentira.

Številni naročniki poleg tega eksplicitno vprašajo, ali je ponudnik imenoval varnostnika za podatke, in včasih ali ima izkušnje z oceno učinka varstva podatkov. Ali je tak varnostnik obvezen, je odvisno od situacije samega ponudnika in države, v kateri je nastal: v Nizozemski izhaja obveza iz člena 37 GDPR brez praga zaposlenih, medtem ko v Nemčiji po nacionalnem zakonu velja prag dvajsetih zaposlenih. Kar povsod ostane enako, je, da mora ponudnik biti sposoben pokazati, kaj počne in zakaj je to ustrezno — ne pa da predloži en sam specifičen dokument.

To izhaja iz odgovornosti in pravil za obdelovalce

To, da javni razpis zahteva dokazljivost namesto certifikata, je v skladu s članom 5 GDPR: odgovornost pomeni, da mora organizacija biti sposobna dokazati, da je skladna s pravili uredbe, ne da bi uredba predpisala, na kaj točno documento se to zgodi. Kadar naročilo vključuje, da ponudnik osebne podatke obdeluje v imenu naročnika, je člen 28 GDPR osnova za zahtevo po pogodbi med krmilnikom in obdelovalcem, v kateri so med drugim dogovori o podizvajalcih in varnostnih ukrepih. Za vprašanje, kdaj je varnostnik za podatke obvezan in komu se prijavi kršitev podatkov, za nizozemskega ponudnika veljajo Avtoriteta za podatke in Zakon o izvajanju GDPR; za ponudnika v drugi državi veljajo lastni nacionalni nadzornik in zakonodaja, čeprav je bistvo GDPR povsod enako.