Wsparcie polityki zakupowej

Ogranicz ryzyko, koszty i nakład pracy! Nie narażaj siebie ani osób, których dane dotyczą, na ryzyko! Zaktualizuj swoją politykę zakupową, wymagając od dostawców usług certyfikacji RODO.

Obowiązki wynikające z RODO i odpowiedzialność dostawców usług

Zgodnie z art. 28 RODO podmioty prywatne i publiczne ponoszą odpowiedzialność za naruszenia RODO popełnione przez ich podmioty przetwarzające, chyba że te ostatnie posiadają certyfikację RODO:

„Jeżeli przetwarzanie ma być dokonywane w imieniu administratora, korzysta on wyłącznie z usług podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi niniejszego rozporządzenia i chroniło prawa osób, których dane dotyczą.”

W konsekwencji to na nich spoczywa odpowiedzialność za monitorowanie i wykazanie, że ich podmioty przetwarzające w pełni przestrzegają RODO. Na szczęście ten sam artykuł uznaje również, że zatwierdzony certyfikat RODO może służyć do wykazania wystarczających gwarancji.

Wpływ certyfikacji podmiotu przetwarzającego na administratora danych

Dostawca usług: Bez certyfikacji Z certyfikacją RODO
Odpowiedzialność i ryzyko prawne Pełne Ograniczone
Nakład pracy na monitorowanie zgodności Pełny Ograniczony
Koszty due diligence Pełne Ograniczone
Ryzyko finansowe na mocy art. 83 RODO Pełne Ograniczone

Strategia polityki zakupowej

Podczas gdy certyfikacji można użyć do wykazania własnej zgodności z RODO, wymaganie certyfikacji RODO od dostawców usług jest sprawą oczywistą. Znacząco zmniejsza to Twoje ryzyko, koszty i nakład pracy. Zalecana strategia obejmuje:

  1. Skontaktuj się ze swoim zespołem ds. zakupów, aby poinformować go o możliwości ograniczenia ryzyka, kosztów i nakładu pracy w Twojej organizacji.
  2. Zaktualizuj politykę zakupową, włączając certyfikację RODO jako nowy czynnik w procesie wyboru dostawców usług, którzy otrzymują jakiekolwiek dane osobowe. Możesz uwzględnić ją jako kryterium ważone w 24-miesięcznym okresie przejściowym, a po tym czasie jako wymóg obowiązkowy.
  3. Poinformuj swoich dostawców usług o nowej polityce i zachęć ich do ubiegania się o certyfikację RODO.

Program wsparcia optymalizacji polityki zakupowej

ECCP zapewnia bezpłatne zasoby online wszystkim organizacjom, które aktualizują swoje polityki zakupowe. Ponadto dla firm współpracujących z dużą liczbą podmiotów przetwarzających dane dostępny jest specjalny program wsparcia. Każda firma, która posiada program zakupowy obejmujący ponad 20 podmiotów przetwarzających dane oraz budżet zakupowy przekraczający 10 milionów euro, może zgłosić się do naszego Programu wsparcia optymalizacji polityki zakupowej. Wybrani kandydaci otrzymają spersonalizowane wsparcie na żywo w zakresie optymalizacji polityki zakupowej, a także bezpłatny pakiet powitalny (Welcome Pack). Zgłoś się do programu wsparcia.

Przykładowe klauzule

Wiadomość IOD do zespołu ds. zakupów

„Szanowny Zespole ds. Zakupów,
Zgodnie z RODO nasza organizacja jest narażona na poważne i niepotrzebne ryzyko, koszty oraz nakład pracy w przypadku korzystania z usług dostawców, którzy nie posiadają certyfikacji RODO. Zachęcamy do zaktualizowania kryteriów wyboru stosowanych wobec naszych dostawców usług poprzez włączenie certyfikacji RODO jako kluczowego wymogu. Proponujemy zastosowanie 24-miesięcznego okresu przejściowego, w którym będzie to kryterium ważone, przed przekształceniem go w wymóg obowiązkowy. Ta zmiana przyczyni się do ograniczenia ryzyka, kosztów monitorowania zgodności oraz obciążenia pracą naszej organizacji.

Pozostajemy do dyspozycji, aby szczegółowo wyjaśnić i omówić ten temat.

Z poważaniem,
Zespół IOD”

Standardowa klauzula zakupowa

„W celu zminimalizowania ryzyka braku zgodności z RODO zachęca się dostawców usług przetwarzających dane osobowe udostępniane przez nas do wykazania pełnej zgodności ich oferty usług z RODO za pomocą certyfikacji RODO. Taka certyfikacja będzie traktowana jako istotny atut i przewaga konkurencyjna w procesie wyboru. Przewiduje się, że do dnia [dodaj datę za 24 miesiące lub później] certyfikacja RODO stanie się wymogiem obowiązkowym.”

Wiadomość do dostawców usług

„Szanowny Dostawco Usług i Podmiocie Przetwarzający,
Nasza organizacja przykłada ogromną wagę do ochrony danych osobowych i bardzo poważnie traktuje swoje obowiązki wynikające z RODO. Chcielibyśmy poinformować, że podjęliśmy decyzję o aktualizacji naszej polityki zakupowej.

Zgodnie z art. 28 RODO administratorzy danych ponoszą ryzyko i odpowiedzialność w przypadku braku zgodności ze strony ich podmiotów przetwarzających. W celu ograniczenia naszego ryzyka zachęcamy naszych dostawców usług do wykazania pełnej zgodności ich oferty usług z RODO za pomocą certyfikacji RODO. Certyfikacja taka będzie uznawana za silną przewagę konkurencyjną w procesie wyboru naszych dostawców usług i podmiotów przetwarzających dane.

Na późniejszym etapie, za 24 miesiące, planowane jest wprowadzenie certyfikacji RODO jako wymogu obowiązkowego w naszej polityce zakupowej.

Chociaż uzyskanie takiej certyfikacji RODO może wymagać pewnego wysiłku ze strony naszych partnerów, jesteśmy przekonani, że będzie ona stanowić dla nich również silną przewagę konkurencyjną w relacjach z innymi partnerami i klientami B2B oraz może pozwolić im na zdobycie nowych udziałów w rynku.

Więcej informacji na temat certyfikacji RODO można znaleźć w Internecie, na przykład na stronach gdprcertification.com oraz europrivacy.com.

Z poważaniem,
Zespół ds. Zakupów”

Przydatne działania i zasoby