Vendita di software al settore pubblico e sanitario dell'UE

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 28
• Directive 2014/24/EU on public procurement
• Regulation (EU) 2022/2554 — DORA for financial supervisors
• Regulation (EU) 2023/2841 on cybersecurity in Union entities

Chi deve nominarlo

Fornitori al di fuori dell'Unione che vendono software o servizi a autorità pubbliche, ospedali o scuole nell'UE. Il minimo legale è un rappresentante ai sensi dell'Articolo 27; il requisito pratico imposto dagli appalti è solitamente molto più elevato, inclusa la residenza dei dati nell'UE, supporto basato nell'UE e garanzie contrattuali contro l'accesso da paesi terzi.

Soglie ed esenzioni

Nessuna soglia legale. Le soglie di appalto determinano quale procedura di gara si applica, ma i requisiti sui dati si applicano a qualsiasi dimensione del contratto.

Cosa deve comparire in etichetta

Non fisico. Il rappresentante nell'informativa sulla privacy e nella documentazione di gara, insieme all'elenco dei subfornitori, alla dichiarazione sulla posizione dei dati e all'analisi del trasferimento.

Campi sui marketplace

Qui è dove la conformità decide le entrate: diversi stati membri hanno escluso o limitato i servizi cloud basati negli Stati Uniti nella salute pubblica e nell'istruzione dopo valutazioni di trasferimento, e i questionari di gara ora chiedono direttamente dell'accesso ai dati da paesi terzi, inclusi sotto leggi di sorveglianza straniere.

Documentazione da tenere

Registri dell'Articolo 30, termini dell'Articolo 28 che soddisfano le clausole standard imposte da molti acquirenti pubblici, la designazione dell'Articolo 27, una valutazione dell'impatto del trasferimento che affronta l'accesso governativo nella giurisdizione di origine del fornitore, elenco dei subfornitori con notifica di modifica, diritti di audit, piani di uscita e restituzione dei dati, e certificazioni di sicurezza richieste dall'acquirente.

Norme e prove

Audit di sicurezza e test di penetrazione sono requisiti contrattuali nella maggior parte delle gare pubbliche, e alcuni stati membri richiedono certificazioni nazionali specifiche.

Requisiti linguistici

Documentazione e supporto nella lingua dell'autorità contraente, che è un requisito rigoroso nella maggior parte delle gare pubbliche.

Da quando si applica

Prima di rispondere a una gara, poiché la documentazione viene valutata come parte dell'offerta piuttosto che dopo l'aggiudicazione.

Per quanto si conservano i documenti

Secondo il contratto e le regole di conservazione dell'autorità, con cancellazione verificata all'uscita, che gli acquirenti richiedono sempre più di essere dimostrabile.

Cosa succede se non sei in regola

Esclusione dagli appalti, risoluzione del contratto e multe GDPR. Reputazionalmente, un'autorità pubblica che risolve un contratto per motivi di protezione dei dati viene riportata e influisce su ogni offerta successiva.

Chi controlla

Autorità di protezione dei dati, autorità contraenti e organi di vigilanza nazionali, e nel settore sanitario i regolatori settoriali.

Dove passa il confine

Il rappresentante dell'Articolo 27 è necessario ma lontano dall'essere sufficiente per questo mercato. Ciò che decide le gare è la residenza dei dati, la valutazione dell'impatto del trasferimento e se il fornitore è soggetto a leggi di paesi terzi che impongono la divulgazione. I fornitori che lo trattano come un esercizio burocratico perdono gli affari.

Le domande che ci fanno

Un rappresentante dell'UE è sufficiente per vendere a acquirenti pubblici?

Legalmente soddisfa l'Articolo 27. Commercialmente, gli acquirenti pubblici richiedono solitamente anche la residenza dei dati nell'UE, supporto dell'UE e una valutazione dell'impatto del trasferimento difendibile.

L'hosting nell'UE risolve il problema del trasferimento?

Aiuta ma non lo risolve. Se la società madre è soggetta a leggi che impongono la divulgazione dei dati a cui può accedere, la valutazione deve affrontare questo aspetto, e diverse autorità hanno trovato l'hosting nell'UE insufficiente da solo.