Stöd för inköpspolicy

Minska risker, kostnader och arbetsbörda! Utsätt inte dig själv och dina registrerade för risker! Uppdatera er inköpspolicy genom att kräva att era tjänsteleverantörer är GDPR-certifierade.

GDPR-skyldigheter och ansvar för tjänsteleverantörer

Enligt artikel 28 i GDPR är privata och offentliga aktörer ansvariga för överträdelser av GDPR som begås av deras personuppgiftsbiträden, såvida inte de sistnämnda är GDPR-certifierade:

"Om en behandling ska genomföras på en personuppgiftsansvarigs vägnar, ska den personuppgiftsansvarige endast anlita personuppgiftsbiträden som ger tillräckliga garantier för att genomföra lämpliga tekniska och organisatoriska åtgärder på ett sådant sätt att behandlingen uppfyller kraven i denna förordning och säkerställer att den registrerades rättigheter skyddas."

Följaktligen är det deras ansvar att övervaka och bevisa att deras personuppgiftsbiträden fullt ut följer GDPR. Lyckligtvis erkänner samma artikel också att en godkänd GDPR-certifiering kan användas för att påvisa tillräckliga garantier.

Inverkan av personuppgiftsbiträdets certifiering på den personuppgiftsansvarige

Tjänsteleverantör:	Om ocertifierad	Om GDPR-certifierad
Skadeståndsansvar och juridiska risker	Fullt	Minskat
Arbetsbörda för efterlevnadsövervakning	Full	Minskad
Kostnader för företagsbesiktning (due diligence)	Fulla	Minskade
Finansiella risker enligt art. 83 GDPR	Fulla	Minskade

Strategi för inköpspolicy

Samtidigt som du kan använda certifiering för att visa din egen GDPR-efterlevnad, är det en självklarhet att kräva att dina tjänsteleverantörer är GDPR-certifierade. Det minskar dina risker, kostnader och din arbetsbörda avsevärt. Den rekommenderade strategin består av att:

Kontakta ert inköpsteam för att informera dem om möjligheten att minska risker, kostnader och arbetsbörda för er organisation.
Uppdatera inköpspolicyn genom att integrera GDPR-certifiering som en ny faktor i urvalsprocessen för tjänsteleverantörer som tar emot personuppgifter. Ni kan inkludera det som en viktad faktor under en övergångsperiod på 24 månader, följt av ett obligatoriskt krav efter denna period.
Informera era tjänsteleverantörer om er nya policy och uppmuntra dem att ansöka om en GDPR-certifiering.

Stödprogram för optimering av inköpspolicy

ECCP tillhandahåller kostnadsfria onlineresurser till alla organisationer som uppdaterar sina inköpspolicyer. Dessutom finns ett särskilt stödprogram tillgängligt för företag med ett stort antal personuppgiftsbiträden. Alla företag som har ett inköpsprogram med mer än 20 personuppgiftsbiträden och en inköpsbudget på över 10 miljoner euro kan ansöka till vårt stödprogram för optimering av inköpspolicy. Utvalda sökande får personligt direktstöd för att optimera sin inköpspolicy, samt ett kostnadsfritt Welcome Pack. Ansök till stödprogrammet.

Standardklausuler

Meddelande från dataskyddsombudet (DPO) till inköpsteamet

"Bästa inköpsteam,
Enligt GDPR utsätts vår organisation för stora och onödiga risker, kostnader och arbetsinsatser när vi anlitar tjänsteleverantörer som inte är GDPR-certifierade. Vi uppmanar er att uppdatera urvalskriterierna för våra tjänsteleverantörer genom att inkludera GDPR-certifiering som ett centralt krav. Vi föreslår att tillämpa en övergångsperiod på 24 månader då detta är ett viktat kriterium, innan det blir ett obligatoriskt krav. Denna anpassning kommer att bidra till att minska riskerna, kostnaderna för efterlevnadsövervakning och arbetsbördan för vår organisation.

Vi står gärna till förfogande för att förklara och diskutera detta vidare.

Vänliga hälsningar,
DPO-teamet"

Standardklausul för inköp

"För att minimera riskerna för bristande efterlevnad av GDPR uppmuntras tjänsteleverantörer som behandlar personuppgifter som delas av oss att påvisa fullständig GDPR-efterlevnad för sitt tjänsteutbud med hjälp av en GDPR-certifiering. En sådan certifiering kommer att betraktas som en stark fördel och en konkurrensfördel i urvalsprocessen. Från och med [lägg till ett datum om 24 månader eller mer] förväntas GDPR-certifiering bli ett obligatoriskt krav."

Meddelande till tjänsteleverantörer

"Bästa tjänsteleverantör och personuppgiftsbiträde,
Vår organisation värnar starkt om personuppgiftsskyddet och tar sina skyldigheter enligt GDPR på största allvar. Vi vill informera er om att vi har beslutat att uppdatera vår inköpspolicy.

Enligt artikel 28 i GDPR utsätts personuppgiftsansvariga för risker och ansvar i händelse av bristande efterlevnad från deras personuppgiftsbiträden. För att begränsa våra risker uppmuntrar vi våra tjänsteleverantörer att påvisa fullständig GDPR-efterlevnad för sitt tjänsteutbud med hjälp av en GDPR-certifiering. En sådan certifiering kommer att betraktas som en stark konkurrensfördel i urvalsprocessen för våra tjänsteleverantörer och personuppgiftsbiträden.

I ett senare skede, om 24 månader, förväntas GDPR-certifiering bli ett obligatoriskt krav i vår inköpspolicy.

Även om en sådan GDPR-certifiering sannolikt kommer att kräva en viss insats från våra partners, är vi övertygade om att den också kommer att utgöra en stark konkurrensfördel gentemot andra B2B-partners och kunder, och kan göra det möjligt att vinna nya marknadsandelar.

Ni hittar mer information om GDPR-certifiering online, till exempel på gdprcertification.com och europrivacy.com.

Vänliga hälsningar,
Inköpsteamet"