Apoio à política de aquisições
Obrigações e responsabilidade ao abrigo do RGPD para os prestadores de serviços
Nos termos do artigo 28.º do RGPD, as entidades privadas e públicas são responsáveis e prestam contas pelas violações do RGPD cometidas pelos seus subcontratantes, exceto se estes últimos forem certificados ao abrigo do RGPD:
Consequentemente, cabe-lhes a responsabilidade de monitorizar e comprovar que os seus subcontratantes cumprem integralmente o RGPD. Felizmente, o mesmo artigo reconhece também que uma certificação aprovada ao abrigo do RGPD pode ser utilizada para demonstrar garantias suficientes.
Impacto da certificação do subcontratante no responsável pelo tratamento de dados
| Prestador de serviços: | Se não for certificado | Se tiver certificação RGPD |
|---|---|---|
| Responsabilidade civil e riscos jurídicos | Completo | Com desconto |
| Carga de trabalho relacionada com a monitorização da conformidade | Completo | Com desconto |
| Custos da due diligence | Completo | Com desconto |
| Riscos financeiros nos termos do artigo 83.º do RGPD | Completo | Com desconto |
Estratégia de Política de Contratação Pública
Embora possa recorrer à certificação para demonstrar a sua própria conformidade com o RGPD, solicitar que os seus prestadores de serviços sejam certificados ao abrigo do RGPD é uma decisão óbvia. Isso reduz substancialmente os seus riscos, custos e carga de trabalho. A estratégia recomendada consiste em:
- Contacte a sua equipa de compras para a informar sobre a oportunidade de reduzir os riscos, os custos e a carga de trabalho da sua organização.
- Atualize a política de contratação, integrando a certificação RGPD como um novo fator no processo de seleção dos prestadores de serviços que recebem quaisquer dados pessoais. Pode incluí-la como um fator ponderado durante um período de transição de 24 meses, passando a ser um requisito obrigatório após esse período.
- Informe o seu prestador de serviços sobre a sua nova política e convide-o a solicitar uma certificação RGPD.
Programa de Apoio à Otimização da Política de Contratação Pública
A ECCP disponibiliza recursos online gratuitos a todas as organizações que estejam a atualizar as suas políticas de aquisições. Além disso, está disponível um programa de apoio especial para empresas com um grande número de subcontratantes de tratamento de dados. Qualquer empresa que tenha um programa de aquisições com mais de 20 processadores de dados e um orçamento de aquisições superior a 10 milhões de euros pode candidatar-se ao nosso Programa de Apoio à Otimização da Política de Aquisições. Os candidatos selecionados recebem apoio personalizado em tempo real para otimizar a sua política de aquisições, bem como um Pacote de Boas-Vindas gratuito. Inscreva-se no Programa de Apoio.
Cláusulas-modelo
Mensagem do DPO à equipa de aquisições
"Cara equipa de compras,
Ao abrigo do RGPD, a nossa organização está exposta a riscos, custos e carga de trabalho significativos e desnecessários quando recorre a prestadores de serviços que não possuem certificação RGPD. Convidamo-lo a atualizar os critérios de seleção aplicados aos nossos prestadores de serviços, incluindo a certificação RGPD como requisito fundamental. Sugerimos que se aplique uma fase de transição de 24 meses, durante a qual este será um critério ponderado, antes de o tornar um requisito obrigatório. Esta adaptação contribuirá para reduzir os riscos, os custos de monitorização da conformidade e a carga de trabalho para a nossa organização.
Continuamos à disposição para prestar mais esclarecimentos e debater este tema.
Cumprimentos,
«A Equipa do DPO»
Cláusula Padrão de Contratação Pública
«Para minimizar os riscos de incumprimento do RGPD, os prestadores de serviços que tratam os dados pessoais que partilhamos são encorajados a demonstrar a total conformidade da sua oferta de serviços com o RGPD, através de uma certificação RGPD. Essa certificação será reconhecida como uma forte vantagem e um trunfo competitivo no processo de seleção. Até [inserir uma data daqui a 24 meses ou mais], prevê-se que a certificação RGPD se torne um requisito obrigatório.»
Mensagem aos prestadores de serviços
"Caros Prestadores de Serviços e Subcontratantes,
A nossa organização leva muito a sério a proteção de dados pessoais e as suas obrigações decorrentes do RGPD. Gostaríamos de o informar de que decidimos atualizar a nossa política de aquisições.
Nos termos do artigo 28.º do RGPD, os responsáveis pelo tratamento de dados estão expostos a riscos e a responsabilidade em caso de incumprimento por parte dos seus subcontratantes. A fim de mitigar os nossos riscos, incentivamos os nossos prestadores de serviços a demonstrarem a total conformidade da sua oferta de serviços com o RGPD, através de uma certificação RGPD. Essa certificação será reconhecida como uma forte vantagem competitiva no processo de seleção dos nossos prestadores de serviços e subcontratantes.
Numa fase posterior, daqui a 24 meses, prevê-se que a certificação RGPD passe a ser um requisito obrigatório para a nossa política de aquisições.
Embora seja provável que essa certificação ao abrigo do RGPD exija algum esforço por parte dos nossos parceiros, estamos confiantes de que constituirá também uma forte vantagem competitiva para eles face a outros parceiros e clientes B2B, podendo permitir-lhes conquistar novas quotas de mercado.
Encontrará mais informações sobre a certificação RGPD na Internet, por exemplo, em gdprcertification.com e europrivacy.com.
Cumprimentos,
«A Equipa de Aquisições»