調達方針の支援
サービスプロバイダーのGDPRに基づく義務と責任
GDPR第28条に基づき、民間および公的機関は、そのデータ処理者が行ったGDPR違反について責任を負い、説明責任を負うものとする。ただし、当該データ処理者がGDPRの認証を受けている場合はこの限りではない。
したがって、データ処理業者（プロセッサー）がGDPRに完全に準拠していることを監視し、そのことを証明するのは、彼らの責任となります。幸いなことに、同条項では、承認されたGDPR認証を利用することで、十分な保証があることを示すことができるとも認められています。
プロセッサの認証がデータ管理者に与える影響
| サービス提供者： | 認証されていない場合 | GDPR認証を取得している場合 |
|---|---|---|
| 責任および法的リスク | 全文 | 値下げ |
| コンプライアンス監視の業務負荷 | 全文 | 値下げ |
| デューデリジェンス費用 | 全文 | 値下げ |
| GDPR第83条に基づく財務リスク | 全文 | 値下げ |
調達方針・戦略
自社がGDPRに準拠していることを証明するために認証を活用することも可能ですが、サービスプロバイダーに対してGDPR認証の取得を求めることは、言うまでもなく当然の措置です。これにより、リスク、コスト、および業務負担を大幅に軽減することができます。推奨される戦略は以下の通りです：
- 調達チームに連絡し、組織のリスク、コスト、業務負担を軽減できる機会について伝えてください。
- 個人データを受け取るサービスプロバイダーの選定プロセスにおいて、GDPR認証を新たな評価要素として組み込むことで、調達方針を更新してください。24か月の移行期間中はこれを加重評価要素として含め、この期間終了後は必須要件とすることができます。
- 新しいポリシーについてサービスプロバイダーに通知し、GDPR認証の取得を依頼するよう促してください。
調達政策の最適化に向けた支援プログラム
ECCPは、調達方針の更新に取り組んでいるすべての組織に対し、無料のオンラインリソースを提供しています。さらに、データ処理業者が多数存在する企業を対象とした特別な支援プログラムも用意されています。 データ処理業者が20社以上おり、調達予算が1,000万ユーロを超える調達プログラムを有する企業は、当社の「調達方針最適化支援プログラム」に申請することができます。選定された申請企業には、調達方針の最適化に向けた個別対応のライブサポートに加え、ウェルカムパックが無料で提供されます。サポートプログラムへの申し込み.
定型条項
DPOから調達チームへのメッセージ
「調達チームの皆様へ、
GDPRの下では、GDPR認証を受けていないサービスプロバイダーを利用する場合、当組織は重大かつ不必要なリスク、コスト、および業務負担にさらされることになります。そこで、サービスプロバイダーの選定基準を改定し、GDPR認証を主要な要件として盛り込むようお願いいたします。 本要件を必須要件とする前に、24か月の移行期間を設け、その間は加重評価基準として適用することを提案いたします。この対応により、当組織のリスク、コンプライアンス監視コスト、および業務負担の軽減に寄与するものと存じます。
この件について、引き続きご説明やご議論を承ります。
敬具、
「DPOチーム」
標準調達条項
「GDPR不遵守のリスクを最小限に抑えるため、当社から提供された個人データを処理するサービスプロバイダーには、GDPR認証を取得することで、自社のサービスがGDPRに完全に準拠していることを証明することが推奨されます。このような認証は、選定プロセスにおいて大きな強みおよび競争上の優位性として評価されます。 [24ヶ月以上先の日付を記入]までには、GDPR認証が必須要件となる見込みです。」
サービスプロバイダーの皆様へ
「サービス提供者およびデータ処理者の皆様へ、
当組織は、個人データの保護およびGDPRに基づく義務を極めて重要視し、真摯に取り組んでおります。この度、調達方針を改定することといたしましたので、お知らせいたします。
GDPR第28条に基づき、データ管理者は、データ処理者が同規則を遵守しなかった場合、リスクおよび法的責任を負うことになります。 当社のリスクを軽減するため、当社はサービスプロバイダーに対し、GDPR認証を取得することで、提供するサービスがGDPRに完全に準拠していることを証明するよう推奨しています。このような認証は、当社のサービスプロバイダーおよびデータ処理業者の選定プロセスにおいて、強力な競争優位性として評価されます。
今後24ヶ月後には、GDPR認証が当社の調達方針における必須要件となる見込みです。
このようなGDPR認証の取得には、パートナー各社に一定の労力を要する可能性がありますが、他社のB2Bパートナーや顧客に対して強力な競争優位性をもたらし、新たな市場シェアの獲得につながるものと確信しています。
GDPR認証に関する詳しい情報は、オンラインで確認できます。例えば、以下のサイトなどです。gdprcertification.com そしてeuroprivacy.com.
敬具、
「調達チーム」