Personvern i anskaffelsessystemer

KGV og KAV behandler kontaktopplysninger, CV-er, signaturer, brukerlogger og i noen tilfeller opplysninger knyttet til avvisningsgrunner eller sikkerhetskrav. Godt personvern starter med å vite hvilke opplysninger som finnes og hvorfor de trengs.

Lag et behandlingskart

For hver datatype, dokumenter formål, behandlingsgrunnlag, kilde, mottakere, tilgang, lagringstid og sletting eller arkivering.

Datatype	Typisk formål	Særskilt kontroll
Brukerkonto	Tilgang og revisjonsspor	Deaktivering og loggpolicy
Kontaktperson	Kommunikasjon i konkurransen	Begrens gjenbruk til andre formål
CV	Dokumentere tilbudt kompetanse	Unngå overflødige personopplysninger
ESPD-relatert informasjon	Kvalifikasjon og avvisningskontroll	Stram tilgang og korrekt kontekst
Signatur/fullmakt	Dokumentere representasjon	Integritet og lagringstid
Aktivitetslogg	Sikkerhet og etterprøvbarhet	Tilgang, formål og proporsjonal levetid

Rollene må avklares

Oppdragsgiveren vil normalt være behandlingsansvarlig for konkurransen. Systemleverandøren kan være databehandler for drift, men kan bli selvstendig behandlingsansvarlig for enkelte egne formål. Underleverandører må kartlegges, og databehandleravtalen må samsvare med den faktiske arkitekturen.

Ikke beskriv all behandling som «nødvendig for å levere tjenesten». Knytt hvert formål til funksjon og datakategori.

Dataminimering i produktet

Bruk organisasjonsnummer og virksomhetsrolle når personidentitet ikke er nødvendig. La leverandøren velge hvilke CV-opplysninger som svarer på kravet. Ikke krev fødselsnummer i fritekst dersom en mindre inngripende identifikator holder.

Et felt som finnes i datamodellen trenger ikke vises eller fylles ut i alle prosedyrer. Dynamiske skjema kan redusere innsamlingen.

Innsyn, retting og arkiv

Personvernrettigheter må ses sammen med dokumentasjons- og arkivplikter. Sletting er ikke alltid riktig når dokumentet skal bevares, men fortsatt operativ gjenbruk kan stanses. Systemet bør kunne finne hvor en person forekommer, og skille mellom kopi, strukturert felt, dokument og revisjonslogg.

Analyse og KI

Pseudonymiser data før produktanalyse når identitet ikke er nødvendig. Ikke bruk tilbud, CV-er eller brukeraktivitet til modelltrening uten et klart grunnlag og tydelig informasjon. En KI-funksjon bør kunne slås av per kunde og datakategori.

Les også tilgangsstyring og arkivering .

Offisiell kilde

Se Datatilsynets veiledning om innebygd personvern . Gjennomfør konkret vurdering med virksomhetens personvernansvarlige.