Ondersteuning bij het inkoopbeleid
AVG-verplichtingen en aansprakelijkheid voor dienstverleners
Op grond van artikel 28 van de AVG zijn particuliere en openbare entiteiten aansprakelijk en verantwoordelijk voor inbreuken op de AVG door hun gegevensverwerkers, tenzij deze laatste AVG-gecertificeerd zijn:
Het is dan ook hun verantwoordelijkheid om erop toe te zien en aan te tonen dat hun verwerkers volledig aan de AVG voldoen. Gelukkig wordt in hetzelfde artikel ook erkend dat een erkende AVG-certificering kan worden gebruikt om aan te tonen dat er voldoende waarborgen zijn.
Gevolgen van de certificering van verwerkers voor de verwerkingsverantwoordelijke
| Dienstverlener: | Indien niet-gecertificeerd | Indien GDPR-gecertificeerd |
|---|---|---|
| Aansprakelijkheid en juridische risico’s | Volledig | Afgeprijsd |
| Werkdruk op het gebied van nalevingscontrole | Volledig | Afgeprijsd |
| Kosten van due diligence | Volledig | Afgeprijsd |
| Financiële risico’s op grond van artikel 83 van de AVG | Volledig | Afgeprijsd |
Strategie voor het inkoopbeleid
Hoewel u een certificering kunt gebruiken om aan te tonen dat u zelf aan de AVG voldoet, is het een vanzelfsprekendheid om van uw dienstverleners te eisen dat zij AVG-gecertificeerd zijn. Dit vermindert uw risico’s, kosten en werklast aanzienlijk. De aanbevolen strategie bestaat uit:
- Neem contact op met uw inkoopteam om hen te wijzen op de mogelijkheid om risico’s, kosten en werkdruk voor uw organisatie te verminderen.
- Pas het inkoopbeleid aan door GDPR-certificering op te nemen als nieuwe factor in het selectieproces van dienstverleners die persoonsgegevens ontvangen. U kunt dit gedurende een overgangsperiode van 24 maanden als een gewogen factor opnemen, waarna het na afloop van deze periode een verplichte eis wordt.
- Breng uw dienstverlener op de hoogte van uw nieuwe beleid en verzoek hem of haar om een AVG-certificering aan te vragen.
Ondersteuningsprogramma voor de optimalisatie van het aanbestedingsbeleid
ECCP biedt gratis online hulpmiddelen aan alle organisaties die hun inkoopbeleid aan het actualiseren zijn. Daarnaast is er een speciaal ondersteuningsprogramma beschikbaar voor bedrijven met een groot aantal gegevensverwerkers. Elk bedrijf met een inkoopprogramma dat meer dan 20 gegevensverwerkers omvat en een inkoopbudget van meer dan 10 miljoen euro heeft, kan zich aanmelden voor ons ondersteuningsprogramma voor de optimalisatie van het inkoopbeleid. Geselecteerde aanvragers ontvangen gratis gepersonaliseerde live-ondersteuning bij het optimaliseren van hun inkoopbeleid, evenals een welkomstpakket. Meld je aan voor het ondersteuningsprogramma.
Standaardbepalingen
Bericht van de functionaris voor gegevensbescherming aan het inkoopteam
"Beste inkoopteam,
Op grond van de AVG loopt onze organisatie grote en onnodige risico’s, kosten en werkdruk op wanneer we gebruikmaken van dienstverleners die niet AVG-gecertificeerd zijn. Wij verzoeken u de selectiecriteria voor onze dienstverleners aan te passen door AVG-certificering als een essentiële vereiste op te nemen. Wij stellen voor om een overgangsfase van 24 maanden in te lassen, waarin dit een gewogen criterium is, alvorens het tot een verplichte eis te maken. Deze aanpassing zal bijdragen aan het verminderen van de risico’s, de kosten voor nalevingscontrole en de werkdruk voor onze organisatie.
We staan graag tot uw beschikking om dit onderwerp nader toe te lichten en te bespreken.
Met vriendelijke groeten,
"Het DPO-team"
Standaardbepaling inzake aanbestedingen
"Om de risico's van niet-naleving van de AVG tot een minimum te beperken, worden dienstverleners die door ons verstrekte persoonsgegevens verwerken, aangemoedigd om aan te tonen dat hun dienstenaanbod volledig voldoet aan de AVG door middel van een AVG-certificering. Een dergelijke certificering zal in het selectieproces worden erkend als een sterk pluspunt en concurrentievoordeel. Naar verwachting zal de AVG-certificering tegen [voeg een datum in van 24 maanden of meer] een verplichte vereiste worden.”
Bericht aan dienstverleners
"Geachte dienstverlener en gegevensverwerker,
Onze organisatie hecht veel waarde aan de bescherming van persoonsgegevens en neemt haar verplichtingen uit hoofde van de AVG zeer serieus. Wij willen u graag meedelen dat wij hebben besloten ons inkoopbeleid te actualiseren.
Op grond van artikel 28 van de AVG lopen verwerkingsverantwoordelijken risico’s en aansprakelijkheid in geval van niet-naleving door hun gegevensverwerkers. Om onze risico’s te beperken, moedigen wij onze dienstverleners aan om aan te tonen dat hun dienstenaanbod volledig voldoet aan de AVG door middel van een AVG-certificering. Een dergelijke certificering zal worden erkend als een sterk concurrentievoordeel in het selectieproces van onze dienstverleners en gegevensverwerkers.
Naar verwachting zal de AVG-certificering over 24 maanden een verplichte vereiste worden voor ons inkoopbeleid.
Hoewel een dergelijke AVG-certificering waarschijnlijk enige inspanning van onze partners zal vergen, zijn wij ervan overtuigd dat dit voor hen ook een sterk concurrentievoordeel zal opleveren ten opzichte van andere B2B-partners en klanten, en hen in staat kan stellen nieuw marktaandeel te verwerven.
Meer informatie over AVG-certificering vind je online, bijvoorbeeld op gdprcertification.com en europrivacy.com.
Met vriendelijke groeten,
"Het inkoopteam"