Venda de software para o setor público da UE e saúde

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 28
• Directive 2014/24/EU on public procurement
• Regulation (EU) 2022/2554 — DORA for financial supervisors
• Regulation (EU) 2023/2841 on cybersecurity in Union entities

Quem tem de designar

Fornecedores fora da União que vendem software ou serviços a autoridades públicas, hospitais ou escolas na UE. O mínimo legal é um representante do Artigo 27; o requisito prático imposto pela contratação é geralmente muito mais, incluindo residência de dados na UE, suporte baseado na UE e garantias contratuais contra acesso de países terceiros.

Limiares e isenções

Sem limite legal. Os limites de contratação determinam qual procedimento de licitação se aplica, mas os requisitos de dados se aplicam a qualquer tamanho de contrato.

O que deve constar do rótulo

Não físico. O representante na notificação de privacidade e na documentação da licitação, juntamente com a lista de subprocessadores, a declaração de localização de dados e a análise de transferência.

Campos nos marketplaces

É aqui que a conformidade decide a receita: vários Estados-Membros excluíram ou restringiram serviços de nuvem baseados nos EUA na saúde pública e na educação após avaliações de transferência, e os questionários de licitação agora perguntam diretamente sobre o acesso de países terceiros aos dados, incluindo sob leis de vigilância estrangeira.

Documentação a conservar

Registros do Artigo 30, termos do Artigo 28 que atendem às cláusulas padrão que muitos compradores públicos impõem, a designação do Artigo 27, uma avaliação de impacto de transferência abordando o acesso do governo na jurisdição de origem do fornecedor, lista de subprocessadores com notificação de alteração, direitos de auditoria, planos de saída e devolução de dados, e certificações de segurança que o comprador exige.

Normas e ensaios

Auditorias de segurança e testes de penetração são requisitos contratuais na maioria das licitações públicas, e alguns Estados-Membros exigem certificações nacionais específicas.

Requisitos linguísticos

Documentação e suporte na língua da autoridade contratante, que é um requisito rigoroso na maioria das licitações públicas.

A partir de quando

Antes de responder a uma licitação, uma vez que a documentação é avaliada como parte da proposta e não após a adjudicação.

Prazo de conservação

De acordo com o contrato e as regras de retenção da autoridade, com exclusão verificada na saída, que os compradores exigem cada vez mais que seja demonstrável.

Em caso de incumprimento

Exclusão da contratação, rescisão do contrato e multas do RGPD. Reputacionalmente, uma autoridade pública que rescinde um contrato por questões de proteção de dados é reportada e afeta cada proposta subsequente.

Quem fiscaliza

Autoridades de proteção de dados, autoridades contratantes e órgãos de supervisão nacionais, e no setor de saúde, os reguladores setoriais.

Onde está a fronteira

O representante do Artigo 27 é necessário, mas de forma alguma suficiente para este mercado. O que decide as licitações é a residência de dados, a avaliação de impacto de transferência e se o fornecedor está sujeito a leis de países terceiros que obrigam a divulgação. Fornecedores que tratam isso como um exercício burocrático perdem os contratos.

Perguntas frequentes

Um representante da UE é suficiente para vender a compradores públicos?

Legalmente, satisfaz o Artigo 27. Comercialmente, compradores públicos geralmente exigem residência de dados na UE, suporte da UE e uma avaliação de impacto de transferência defensável também.

A hospedagem na UE resolve o problema da transferência?

Ajuda, mas não resolve. Se a empresa-mãe estiver sujeita a leis que obrigam a divulgação de dados que pode acessar, a avaliação deve abordar isso, e várias autoridades descobriram que apenas a hospedagem na UE é insuficiente.