Apoyo a la política de contratación pública
Obligaciones y responsabilidad de los proveedores de servicios en virtud del RGPD
En virtud del artículo 28 del RGPD, las entidades privadas y públicas son responsables de las infracciones del RGPD cometidas por sus encargados del tratamiento, salvo que estos últimos cuenten con la certificación del RGPD:
Por consiguiente, es responsabilidad de estas empresas supervisar y demostrar que sus encargados del tratamiento cumplen plenamente con el RGPD. Afortunadamente, el mismo artículo también reconoce que una certificación homologada conforme al RGPD puede utilizarse para demostrar que existen garantías suficientes.
Repercusiones de la certificación del encargado del tratamiento en el responsable del tratamiento
| Proveedor de servicios: | Si no está certificado | Si cuenta con la certificación del RGPD |
|---|---|---|
| Responsabilidad y riesgos legales | Completo | Rebajado |
| Carga de trabajo relacionada con el seguimiento del cumplimiento normativo | Completo | Rebajado |
| Costes de la diligencia debida | Completo | Rebajado |
| Riesgos financieros con arreglo al artículo 83 del RGPD | Completo | Rebajado |
Estrategia de política de contratación pública
Aunque puedes utilizar la certificación para demostrar tu propio cumplimiento del RGPD, solicitar a tus proveedores de servicios que cuenten con la certificación del RGPD es una decisión obvia. Reduce considerablemente tus riesgos, costes y carga de trabajo. La estrategia recomendada consiste en:
- Póngase en contacto con su equipo de compras para informarles de la oportunidad de reducir los riesgos, los costes y la carga de trabajo de su organización.
- Actualice la política de contratación pública incorporando la certificación del RGPD como un nuevo criterio en el proceso de selección de los prestadores de servicios que reciban datos personales. Puede incluirlo como un criterio ponderado durante un periodo transitorio de 24 meses, tras el cual pasará a ser un requisito obligatorio.
- Informa a tu proveedor de servicios sobre tu nueva política e invítale a solicitar una certificación del RGPD.
Programa de apoyo a la optimización de la política de contratación pública
ECCP ofrece recursos en línea gratuitos a todas las organizaciones que estén actualizando sus políticas de contratación pública. Además, existe un programa especial de apoyo para empresas con un gran número de encargados del tratamiento de datos. Cualquier empresa que cuente con un programa de compras con más de 20 encargados del tratamiento de datos y un presupuesto de compras superior a 10 millones de euros puede solicitar nuestro Programa de Apoyo para la Optimización de la Política de Compras. Los solicitantes seleccionados recibirán asistencia personalizada en directo para optimizar su política de compras, así como un paquete de bienvenida gratuito. Inscríbete en el programa de apoyo.
Cláusulas tipo
Mensaje del responsable de protección de datos (DPO) al equipo de compras
«Estimado equipo de compras:
En virtud del RGPD, nuestra organización se expone a riesgos, costes y una carga de trabajo considerables e innecesarios al recurrir a proveedores de servicios que no cuentan con la certificación del RGPD. Le invitamos a actualizar los criterios de selección que se aplican a nuestros proveedores de servicios, incluyendo la certificación del RGPD como requisito fundamental. Sugerimos aplicar una fase de transición de 24 meses, durante la cual será un criterio ponderado, antes de convertirlo en un requisito obligatorio. Esta adaptación contribuirá a reducir los riesgos, los costes de supervisión del cumplimiento y la carga de trabajo para nuestra organización.
Quedamos a su disposición para ofrecerle más explicaciones y comentar este tema.
Atentamente,
«El equipo del DPO»
Cláusula estándar de contratación pública
«Para minimizar los riesgos de incumplimiento del RGPD, se anima a los proveedores de servicios que tratan los datos personales que les facilitamos a demostrar que su oferta de servicios cumple plenamente con el RGPD mediante una certificación correspondiente. Dicha certificación se considerará una gran ventaja y un factor diferenciador en el proceso de selección. Se prevé que, a partir del [añadir una fecha dentro de 24 meses o más], la certificación del RGPD se convierta en un requisito obligatorio».
Mensaje a los proveedores de servicios
«Estimado proveedor de servicios y encargado del tratamiento de datos:
Nuestra organización se toma muy en serio la protección de los datos personales y sus obligaciones en virtud del RGPD. Nos gustaría informarle de que hemos decidido actualizar nuestra política de contratación.
En virtud del artículo 28 del RGPD, los responsables del tratamiento se exponen a riesgos y responsabilidades en caso de incumplimiento por parte de sus encargados del tratamiento. Con el fin de mitigar nuestros riesgos, animamos a nuestros proveedores de servicios a que demuestren el pleno cumplimiento del RGPD en su oferta de servicios mediante una certificación del RGPD. Dicha certificación se considerará una importante ventaja competitiva en el proceso de selección de nuestros proveedores de servicios y encargados del tratamiento.
Más adelante, dentro de 24 meses, se prevé que la certificación del RGPD pase a ser un requisito obligatorio para nuestra política de compras.
Aunque es probable que dicha certificación del RGPD requiera cierto esfuerzo por parte de nuestros socios, estamos convencidos de que también supondrá para ellos una importante ventaja competitiva frente a otros socios y clientes B2B, y podría permitirles ganar nuevas cuotas de mercado.
Encontrarás más información sobre la certificación del RGPD en Internet, por ejemplo, en gdprcertification.com y europrivacy.com.
Atentamente,
«El equipo de compras»