GDPR i anskaffelser: En to-delt utfordring

En vanlig feil er å kun tenke på personvern i løsningen man skal kjøpe. Men enhver anskaffelsesprosess er i seg selv en behandling av personopplysninger. For å ha full kontroll må vi derfor mestre GDPR i to adskilte faser:

Fase 1: Personvern i gjennomføringen av anskaffelsen

Dette handler om ditt ansvar som innkjøper for personopplysningene som samles inn og behandles under selve konkurransen.

• Hvilke data behandles?

  • Kontaktpersoner: Navn, e-post, telefon hos de ulike leverandørene.

  • CV-er: Detaljerte personopplysninger om nøkkelpersonell som tilbys i leveransen. Dette er ofte sensitive data om utdanning og erfaring.

  • Referanser: Navn og kontaktinfo til personer som kan kontaktes.

  
  

• Ditt ansvar som innkjøper (Behandlingsansvarlig):

  1. Informasjonsplikt: Opplyse i konkurransegrunnlaget om hvordan disse personopplysningene blir behandlet, hvor lenge de lagres, og hva som er det rettslige grunnlaget.

  2. Dataminimering: Ikke be om flere CV-er eller mer informasjon enn det som er strengt nødvendig for å evaluere tilbudene.

  3. Lagringsbegrensning: Ha en klar rutine for å slette personopplysningene fra de tapende leverandørene etter at klagefristen har utløpt. Disse dataene kan ikke bli liggende i arkivet for alltid.

  4. Sikkerhet: Sørge for at anskaffelsesplattformen (f.eks. Mercell, Tendsign) og interne systemer sikrer disse dataene på en god måte.

Kort sagt: I fase 1 er det tilbydernes ansatte som er de registrerte, og du er 100 % ansvarlig for behandlingen.

Fase 2: Personvern i leveransen – tjenesten eller systemet

Dette handler om å sikre at det du kjøper er i tråd med personvernregelverket. Fokuset flyttes fra konkurransen til den fremtidige bruken av tjenesten.

• Hvilke data skal behandles?

  • Dette kan være data om innbyggere, elever, pasienter, eller egne ansatte, avhengig av hva som anskaffes. Risikoen her er ofte mye høyere enn i fase 1.

• Ditt ansvar som kravstiller og fremtidig eier:

  1. Kravspesifikasjon: Stille konkrete og ufravikelige krav til innebygd personvern i løsningen. Dette kan være krav til tilgangsstyring, logging, kryptering, sletting osv.

  2. Risikovurdering (DPIA): Vurdere om den nye løsningen krever en full personvernkonsekvensvurdering (DPIA) før kontrakt inngås.

  3. Databehandleravtalen (DPA): Utforme en robust og tilpasset databehandleravtale som regulerer leverandørens plikter. Dette er det viktigste juridiske verktøyet du har.

  4. Leverandørvurdering: Vurdere leverandørens reelle kompetanse og modenhet på personvern, ikke bare salgspresentasjonen.

Kort sagt: I fase 2 er det dine egne brukere (innbyggere, ansatte etc.) som er de registrerte, og du må sikre at leverandøren (databehandleren) oppfyller alle kravene du stiller.