Vad frågar en upphandling om datasekretess?

Upphandlingar efterfrågar i första hand påvisbar GDPR-överensstämmelse

En upphandling efterfrågar sällan ett omfattande juridiskt dokument, men väl bevis för att en leverantör har sina angelägenheter i ordning. I praktiken handlar det om ett par återkommande områden: huruvida det kommer ett databehandlaravtal när uppdraget arbetar med personuppgifter, vilka säkerhetsåtgärder som vidtas, huruvida underentreprenörer (underbehandlare) används och var dessa är etablerade, och huruvida leverantören kan visa att han känner till och dokumenterar sina egna behandlingar.

Många upphandlande myndigheter frågar dessutom uttryckligen om en leverantör har utsett en dataskyddsombud, och ibland om det finns erfarenhet av en konsekvensbedömning av dataskyddet. Huruvida sådant ombud är obligatoriskt beror på leverantörens egen situation och i vilket land denne är etablerad: i Nederländerna följer skyldigheten från artikel 37 i GDPR utan någon personaltröskel, medan i Tyskland gäller en tröskel på tjugo anställda enligt den nationella lagen. Det som förblir likadant överallt är att en leverantör måste kunna visa vad han gör och varför det är tillräckligt — inte att han lämnar in ett specifikt dokument.

Detta följer av ansvarsskyldigheten och reglerna för databehandlare

Att en upphandling efterfrågar påvisbarhet i stället för en godkännandesignering överensstämmer med artikel 5 i GDPR: ansvarsskyldigheten innebär att en organisation måste kunna påvisa att den uppfyller förordningens principer, utan att förordningen föreskriver via vilket exakt dokument det sker. När uppdraget innebär att leverantören kommer att behandla personuppgifter på uppdrag av den upphandlande myndigheten, är artikel 28 i GDPR grunden för kravet på ett databehandlaravtal, innehållande bland annat avtal om underbehandlare och säkerhetsåtgärder. För frågan om när ett dataskyddsombud är obligatoriskt, och till vem ett dataöverträdelse anmäls, gäller för en nederländsk leverantör Myndigheten för dataskydd och genomförandelagen för GDPR; för en leverantör i ett annat land gäller den egna nationella tillsynsmyndigheten och lagstiftningen, även om kärnan i GDPR är densamma överallt.