Venta de software al sector público y sanitario de la UE

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 28
• Directive 2014/24/EU on public procurement
• Regulation (EU) 2022/2554 — DORA for financial supervisors
• Regulation (EU) 2023/2841 on cybersecurity in Union entities

Quién debe designarlo

Vendedores fuera de la Unión que venden software o servicios a autoridades públicas, hospitales o escuelas en la UE. El mínimo legal es un representante del Artículo 27; el requisito práctico impuesto por la contratación suele ser mucho más, incluyendo residencia de datos en la UE, soporte basado en la UE y garantías contractuales contra el acceso de terceros países.

Umbrales y exenciones

No hay umbral legal. Los umbrales de contratación determinan qué procedimiento de licitación se aplica, pero los requisitos de datos se adjuntan a cualquier tamaño de contrato.

Qué debe figurar en la etiqueta

No físico. El representante en el aviso de privacidad y en la documentación de la licitación, junto con la lista de subprocesadores, la declaración de ubicación de datos y el análisis de transferencia.

Campos en los marketplaces

Aquí es donde el cumplimiento decide los ingresos: varios estados miembros han excluido o restringido los servicios en la nube basados en EE. UU. en salud pública y educación después de evaluaciones de transferencia, y los cuestionarios de licitación ahora preguntan directamente sobre el acceso de terceros países a los datos, incluyendo bajo leyes de vigilancia extranjeras.

Documentación que debes conservar

Registros del Artículo 30, términos del Artículo 28 que cumplen con las cláusulas estándar que muchos compradores públicos imponen, la designación del Artículo 27, una evaluación de impacto de transferencia que aborda el acceso gubernamental en la jurisdicción de origen del vendedor, lista de subprocesadores con notificación de cambios, derechos de auditoría, planes de salida y devolución de datos, y certificaciones de seguridad que el comprador requiere.

Normas y ensayos

Las auditorías de seguridad y las pruebas de penetración son requisitos contractuales en la mayoría de las licitaciones públicas, y algunos estados miembros requieren certificaciones nacionales específicas.

Requisitos lingüísticos

Documentación y soporte en el idioma de la autoridad contratante, que es un requisito estricto en la mayoría de las licitaciones públicas.

Desde cuándo se aplica

Antes de responder a una licitación, ya que la documentación se evalúa como parte de la oferta y no después de la adjudicación.

Cuánto se conservan los documentos

De acuerdo con el contrato y las reglas de retención de la autoridad, con eliminación verificada al salir, que los compradores exigen cada vez más que sea demostrable.

Qué ocurre si no cumples

Exclusión de la contratación, terminación del contrato y multas del RGPD. Reputacionalmente, una autoridad pública que termina un contrato por protección de datos se informa y afecta a cada oferta subsiguiente.

Quién lo controla

Autoridades de protección de datos, autoridades contratantes y organismos de supervisión nacionales, y en salud, los reguladores sectoriales.

Dónde está el límite

El representante del Artículo 27 es necesario pero no suficiente para este mercado. Lo que decide las licitaciones es la residencia de datos, la evaluación de impacto de transferencia y si el vendedor está sujeto a leyes de terceros países que obligan a la divulgación. Los vendedores que lo tratan como un ejercicio burocrático pierden los contratos.

Las preguntas que nos hacen

¿Es suficiente un representante de la UE para vender a compradores públicos?

Legalmente satisface el Artículo 27. Comercialmente, los compradores públicos suelen requerir residencia de datos en la UE, soporte en la UE y una evaluación de impacto de transferencia defendible también.

¿La hospedaje en la UE resuelve el problema de transferencia?

Ayuda pero no lo resuelve. Si la empresa matriz está sujeta a leyes que obligan a la divulgación de datos a los que puede acceder, la evaluación debe abordar eso, y varias autoridades han encontrado que solo la hospedaje en la UE es insuficiente.