Privacy en data bij aanbesteding: wat je moet weten

Wat bedoelen we met privacy en data in aanbestedingen?

Bij aanbestedingen wisselen partijen informatie uit om te kunnen beoordelen wie een opdracht mag uitvoeren. Daardoor kunnen ook persoonsgegevens of data met privacy-impact meespelen, bijvoorbeeld wanneer:

inschrijvingen bedrijfsinformatie bevatten met contactgegevens van personen;
er een verklaring of referentie wordt gedeeld met persoonsgebonden elementen;
er tijdens verduidelijkingen of gesprekken persoonsgegevens worden uitgewisseld.

Het kernpunt voor ondernemers is: zodra er persoonsgegevens (of data die naar personen herleidbaar kunnen zijn) worden verwerkt, gelden privacy-uitgangspunten voor zorgvuldigheid, dataminimalisatie en beveiliging. Welke regels precies van toepassing zijn, hangt af van de rol die je hebt (bijvoorbeeld verwerker of verwerkingsverantwoordelijke) en de context van de aanbesteding.

Hoe werkt dataverwerking praktisch tijdens een aanbesteding?

In de praktijk ontstaat privacy-impact meestal niet door één “big bang”, maar via meerdere momenten in het proces:

Voorbereiding en selectie Je verzamelt gegevens voor je inschrijving: contactpersonen, teamleden, technische profielen en soms referenties. Dit kan betekenen dat je persoonsgegevens verwerkt om aan de aanbestedingsvereisten te voldoen.
Aanbestedingsdocumenten en bijlagen Bijlagen (zoals plannen, competentieoverzichten of kwaliteitsstukken) kunnen persoonsgegevens bevatten. Denk aan namen, functies, e-mailadressen of verantwoordelijkheden.
Vragen, opheldering en communicatie Tijdens vragenrondes of toelichtingen kunnen deelnemers extra persoonsgegevens delen, bijvoorbeeld in e-mailverkeer, in notulen of in vergaderverslagen.
Beoordeling en contractering Zodra een opdracht gegund is, wordt duidelijker welke taken worden uitgevoerd, welke gegevens daarbij horen en welke afspraken nodig zijn over verwerking en beveiliging.

Waar liggen de afbakeningen en uitzonderingen?

Een veelgemaakte verwarring is het verschil tussen informatie en persoonsgegevens. Niet alle data in een aanbesteding is per definitie privacy-gevoelig, maar je moet wel beoordelen of informatie direct of indirect aan personen is te koppelen.

Daarnaast verschilt de verantwoordelijkheid per situatie. In grote lijnen geldt:

Als jij namens een opdrachtgever gegevens verwerkt in het kader van de opdracht, ben je vaak een verwerker.
Als jij bepaalt waarom en hoe gegevens worden verwerkt, ben je vaak een verwerkingsverantwoordelijke.

Soms ontstaat ook gezamenlijkheid, of zijn rollen afhankelijk van de exacte opdrachtomschrijving. Preciesheid hierin is belangrijk, omdat het bepaalt welke privacyverplichtingen en contractafspraken je nodig hebt.

Ook is niet elke uitwisseling bedoeld als “verwerking” in de privacyzin. Toch kan het delen van persoonsgegevens in documenten, portals of e-mail al verwerking zijn. Daarom helpt het om uitwisselingen te beoordelen op inhoud (persoonsgegevens ja/nee), context (waarom) en inrichting (hoe en door wie).

Controlepunten om privacy- en datarisico’s te beperken

Gebruik de onderstaande controlepunten om jezelf systematisch te positioneren. Het doel is niet om te gokken, maar om aantoonbaar te begrijpen wat er gebeurt:

Datainhoud beperken: geef alleen persoonsgegevens door die noodzakelijk zijn voor de inschrijving of toelichting.
Doel en grondslag scherp krijgen: leg vast waarom persoonsgegevens worden verwerkt in aanbestedingscontext (bijvoorbeeld voor communicatie of beoordeling).
Rollen vaststellen: identificeer of je als verwerker of verwerkingsverantwoordelijke optreedt, en onderbouw dit met de taakomschrijving.
Beveiliging meenemen: vraag of er contractuele afspraken zijn over passende beveiligingsmaatregelen en toegangsbeheer.
Bewaartermijnen en verwijdering: check wat er gebeurt met persoonsgegevens na afloop van de aanbesteding of na beëindiging van de opdracht.

Praktische tip: werk intern één overzicht bij van alle plekken waar persoonsgegevens kunnen staan (inschrijvingstekst, bijlagen, e-mailbijlagen, systemen/portals) en hoe je die informatie beheert. Dat maakt het eenvoudiger om afwijkingen te signaleren.

Wanneer wordt het extra belangrijk om zorgvuldig te zijn?

Privacy- en datarisico’s nemen meestal toe wanneer één of meer van deze situaties spelen:

je toegang nodig hebt tot systemen of dossiers met persoonsinformatie;
er internationale componenten zijn (bijvoorbeeld verwerking buiten de eigen organisatiegrenzen);
de opdracht gaat over digitale dienstverlening, ondersteuning op afstand of dataverwerking met extra technische of organisatorische maatregelen;
er sprake is van bijzondere categorieën persoonsgegevens of grote volumes persoonsgegevens.

Als je dit soort kenmerken herkent in de opdrachtomschrijving, is het extra belangrijk om rollen, scope en contractafspraken vroeg te verduidelijken. Bij onzekerheid: ga niet uit van aannames, maar laat de benodigde informatie ondubbelzinnig vastleggen.

Beheer van privacyafspraken na gunning: wat verandert er?

Na gunning wordt de relatie tussen partijen doorgaans concreter. Dan moet duidelijk zijn:

welke persoonsgegevens precies onder de opdracht vallen;
welke beveiligingsverplichtingen gelden;
hoe subverwerkers en verdere schakels worden geregeld, indien van toepassing;
hoe wordt omgegaan met verzoeken rond rechten van betrokkenen (voor zover relevant in de rollen);
hoe het einde van de verwerking wordt afgehandeld, inclusief verwijdering of teruglevering.

Met andere woorden: in de aanbestedingsfase gaat het vaak om beoordeling en afstemming; na gunning verschuift de focus naar operationele uitvoering en contractuele naleving. Door in de aanbestedingsfase al helder te zijn over scope en rollen, voorkom je dat privacy-afspraken later als “laatste stap” moeten worden gerepareerd.