Software verkopen aan de EU publieke sector en gezondheidszorg

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 28
• Directive 2014/24/EU on public procurement
• Regulation (EU) 2022/2554 — DORA for financial supervisors
• Regulation (EU) 2023/2841 on cybersecurity in Union entities

Wie moet aanwijzen

Verkopers buiten de Unie die software of diensten verkopen aan openbare autoriteiten, ziekenhuizen of scholen in de EU. Het wettelijke minimum is een vertegenwoordiger volgens Artikel 27; de praktische vereiste die door aanbestedingen wordt opgelegd is meestal veel meer, inclusief EU gegevensresidentie, EU-gebaseerde ondersteuning en contractuele garanties tegen toegang door derde landen.

Drempels en vrijstellingen

Geen wettelijke drempel. Aanbestedingsdrempels bepalen welke aanbestedingsprocedure van toepassing is, maar de gegevensvereisten zijn van toepassing op elke contractgrootte.

Wat op het etiket moet

Niet fysiek. De vertegenwoordiger in de privacyverklaring en in de aanbestedingsdocumentatie, samen met de subverwerkerlijst, de verklaring over de gegevenslocatie en de overdrachtsanalyse.

Marktplaatsvelden

Dit is waar naleving de omzet bepaalt: verschillende lidstaten hebben Amerikaanse cloudservices in de publieke gezondheidszorg en onderwijs uitgesloten of beperkt na overdrachtsbeoordelingen, en aanbestedingsvragenlijsten vragen nu rechtstreeks naar toegang door derde landen tot gegevens, inclusief onder buitenlandse surveillanceregels.

Documentatie die u moet bewaren

Artikel 30 registraties, Artikel 28 voorwaarden die voldoen aan de standaardclausules die veel openbare kopers opleggen, de Artikel 27 aanwijzing, een overdrachtsimpactbeoordeling die de toegang van de overheid in de thuisjurisdictie van de verkoper behandelt, subverwerkerlijst met wijzigingsmelding, auditrechten, exit- en gegevensretourplannen, en beveiligingscertificeringen die de koper vereist.

Normen en tests

Beveiligingsaudits en penetratietests zijn contractuele vereisten in de meeste openbare aanbestedingen, en sommige lidstaten vereisen specifieke nationale certificeringen.

Taalvereisten

Documentatie en ondersteuning in de taal van de aanbestedende autoriteit, wat een harde vereiste is in de meeste openbare aanbestedingen.

Vanaf wanneer

Voor het reageren op een aanbesteding, aangezien de documentatie wordt geëvalueerd als onderdeel van het bod en niet na de gunning.

Bewaartermijn

Volgens het contract en de bewaarbeleidsregels van de autoriteit, met geverifieerde verwijdering bij exit, wat kopers steeds vaker vereisen om aantoonbaar te zijn.

Bij niet-naleving

Uitsluiting van aanbestedingen, contractbeëindiging en GDPR-boetes. Reputatiewijs heeft een openbare autoriteit die een contract beëindigt vanwege gegevensbescherming invloed op elk volgend bod.

Wie handhaaft

Gegevensbeschermingsautoriteiten, aanbestedende autoriteiten en nationale toezichthoudende instanties, en in de gezondheidszorg de sectorale toezichthouders.

Waar de grens ligt

De Artikel 27 vertegenwoordiger is noodzakelijk maar lang niet voldoende voor deze markt. Wat aanbestedingen beslist is gegevensresidentie, de overdrachtsimpactbeoordeling en of de verkoper onder derde landenwetten valt die openbaarmaking afdwingen. Verkopers die het als een papierwerk oefening beschouwen, verliezen de deals.

Veelgestelde vragen

Is een EU vertegenwoordiger voldoende om aan openbare kopers te verkopen?

Wettelijk voldoet het aan Artikel 27. Commercieel vereisen openbare kopers meestal EU gegevensresidentie, EU ondersteuning en een verdedigbare overdrachtsimpactbeoordeling.

Lost EU hosting het overdrachtsprobleem op?

Het helpt maar lost het niet op. Als het moederbedrijf onderworpen is aan wetten die openbaarmaking van gegevens afdwingen die het kan benaderen, moet de beoordeling dat adresseren, en verschillende autoriteiten hebben vastgesteld dat alleen EU hosting onvoldoende is.