Hvilke regler gælder for indkøb af IT-systemer med persondata?

Når du indkøber IT-systemer, der håndterer persondata, er det vigtigt at overholde GDPR, som stiller krav til behandling af personoplysninger. Du skal sikre, at der er indgået databehandleraftaler, og at der er klare retningslinjer for, hvordan data opbevares og behandles. Det er også nødvendigt at have en risikovurdering på plads, især hvis indkøbet sker i offentlig regi, da udbudsloven gælder her.

Derudover er det vigtigt at tage hensyn til NIS2-direktivet, som stiller skærpede krav til cybersikkerhed for leverandører. Det kan være en god idé at kræve dokumentation for, at leverandøren har ISO 27001-certificering eller tilsvarende sikkerhedsniveauer. Det sikrer, at leverandøren har de nødvendige foranstaltninger på plads for at beskytte data.

Inddragelse af interne eksperter som databeskyttelsesrådgivere (DPO) og sikkerhedsafdelingen tidligt i indkøbsprocessen kan være afgørende for at identificere potentielle risici og sikre, at alle juridiske krav bliver opfyldt. Det kan også være nyttigt at afklare rettigheder til data og inkludere exit-klausuler i kontrakten for at beskytte organisationens interesser i fremtiden.

Husk, at Datatilsynet har beføjelser til at kræve redegørelser og kan pålægge sanktioner, hvis reglerne ikke overholdes. Det er derfor essentielt at have en grundig forståelse af både de juridiske og tekniske krav, der gælder for indkøb af IT-systemer med persondata.

Kilder: Retsinformation ↗