Provjera boniteta dobavljača: pravni osnov, informacije i rok brisanja

Preduzeće koje prije narudžbe pribavlja podatke o bonitetu dobavljača iz komercijalne baze treba jasan osnov prema pravilima zaštite podataka. Prvo treba provjeriti da li se zapis odnosi na određenu ili odredivu fizičku osobu. Zatim se prije provjere određuju svrha, izvor, obavijest, tačnost, pristup i rok brisanja.

Zapis o bonitetu društva u početku može opisivati pravno lice. Samostalni preduzetnici, lično odgovorne osobe te podaci o upravi ili kontakt-osobama mogu uspostaviti vezu s fizičkom osobom. Ovaj tekst obrađuje provjeru boniteta u B2B nabavci. Bonitet klijenata, podaci zaposlenih, automatizovane odluke o bonitetu i opšti zahtjevi za pristup zahtijevaju posebnu procjenu.

GDPR štiti informacije o određenoj ili odredivoj fizičkoj osobi. Komercijalna baza može procjenjivati sposobnost društva da plaća. Ako sadrži i imena, podatke samostalnog preduzetnika, lično odgovorne osobe ili kontakt-podatke, vezu s fizičkom osobom treba posebno procijeniti. Riječ „dobavljač“ sama ne daje odgovor.

Procjena zavisi od zapisa i sredstava kojima preduzeće može identificirati osobu. Šifra ili veza s postojećim računom dobavljača može biti dovoljna ako se pripisivanje može izvršiti razumno. Zato provjeru treba dokumentovati s poljima koja se stvarno koriste.

Član 5 stav 1 tačke a do f GDPR-a traži zakonitost, pravičnost, transparentnost, ograničenje svrhe, smanjenje podataka, tačnost, ograničenje čuvanja, cjelovitost i povjerljivost. Član 5 stav 2 stavlja odgovornost dokazivanja usklađenosti na voditelja obrade. Provjera boniteta počinje razjašnjenjem podataka i svrhe.

Član 6 GDPR-a dopušta obradu samo kada postoji najmanje jedan zakonski uslov. Kod provjere boniteta dobavljača u B2B nabavci često treba procijeniti član 6 stav 1 tačku f GDPR-a, legitimni interes. Interes treba opisati konkretno. Opšti oprez prema svakom dobavljaču nije dovoljan.

Procjena povezuje tri pitanja. Koji ekonomski ili organizacioni interes preduzeće ostvaruje? Da li je pribavljanje potrebno za konkretan slučaj nabavke? Prevladavaju li ipak interesi ili osnovna prava osobe? Odgovor zabilježite prije prvog uvida i uključite obim podataka, izvor i predviđeni pristup.

Zavisno od činjenica mogu doći u obzir i drugi pravni osnovi. Član 6 stav 1 tačka b GDPR-a obuhvata obradu potrebnu za ugovor s ispitanikom ili za predugovorne mjere na njegov zahtjev. Kod društva dobavljača i povezane fizičke osobe ovaj uslov ne treba pretpostaviti bez provjere odnosa.

Pravni osnov mora odgovarati stvarnoj upotrebi. Ako se rezultat kasnije koristi za opštu rang-listu dobavljača ili automatsko odbijanje, i taj korak zahtijeva vlastitu procjenu. Ovaj tekst obrađuje provjeru boniteta u nabavci, a ne automatizovano pojedinačno odlučivanje.

Preduzeće koje podatke o bonitetu dobije iz komercijalne baze obično ih ne prikuplja od ispitanika. Tada treba primijeniti član 14 GDPR-a. Obavijest treba objasniti ko upravlja obradom, u koju svrhu se podaci koriste i koji pravni osnov podržava pribavljanje.

Član 14 stav 1 GDPR-a obuhvata i kategorije ličnih podataka, primaoce ili kategorije primalaca te planirane prenose u treće zemlje. Član 14 stav 2 dodaje informacije potrebne za pravičnu i transparentnu obradu. To uključuje rok čuvanja ili kriterije za njegovo određivanje, legitimne interese prema članu 6 stav 1 tački f GDPR-a i relevantna prava ispitanika.

Izvor treba navesti dovoljno konkretno da bude razumljiv. Samo „javni izvori“ ne pokazuje koja je komercijalna baza dostavila zapis. Obavijest treba objasniti i koje se kategorije podataka pribavljaju te da li se rezultat koristi samo za konkretnu nabavku ili i za druge procese s dobavljačima.

Član 14 stav 3 GDPR-a određuje vrijeme obavještavanja. Važan trenutak zavisi od pribavljanja podataka, prve komunikacije s osobom ili planiranog otkrivanja drugom primaocu. Svaki izuzetak prema članu 14 stav 5 treba procijeniti i dokumentovati za stvarni postupak.

Član 5 stav 1 tačka d GDPR-a traži tačne i, prema potrebi, ažurirane podatke. Zapis o bonitetu zato nije trajni nalaz. Zabilježite datum pribavljanja, izvor, relevantnu kategoriju i internu upotrebu. Što je zapis stariji, to pažljivije treba procijeniti njegov značaj.

Neobičan ili proturječan zapis treba razjasniti prije nepovoljne odluke u nabavci. Sljedeći korak može biti upit pružaocu baze, provjera aktuelnih dokumenata ili traženje stava dobavljača. Postupak treba odrediti ko procjenjuje netačnost i kako se pokreće ispravka ili brisanje.

Ograničenje svrhe sužava dalju upotrebu. Uvid radi konkretne narudžbe ne treba tiho pretvoriti u trajni profil dobavljača za nepovezane svrhe. Ako se rezultati čuvaju u nabavnom sistemu, krug pristupa, korištenje i logika čuvanja moraju odgovarati toj svrsi.

Tekst o provjeri novog softvera i AI-ja prije uvođenja obrađuje početno pitanje rizika kod novih tehnologija. Njegova procjena uticaja ne zamjenjuje konkretnu kontrolu podataka o bonitetu. Pojedinačni uvid u bazu takođe ne pretvara ručnu nabavnu provjeru u AI-aplikaciju.

Član 5 stav 1 tačka e GDPR-a ne određuje jedan rok brisanja za svaku provjeru boniteta dobavljača. Lični podaci mogu ostati u obliku koji omogućava identifikaciju samo koliko je potrebno za svrhu. Preduzeće zato mora odrediti konkretnu svrhu i njen završetak.

Kod pojedinačne narudžbe svrha može završiti odlukom o nabavci. Trajni odnos s dobavljačem može opravdati ponovljene provjere. I tada je potreban provjerljiv kriterij povezan s nabavnim ili rizičnim postupkom. Trajno čuvanje iz navike nije dovoljno obrazloženje.

Kontrola brisanja mora obuhvatiti rezultat i bilješke koje iz njega proizlaze. Provjerite izvode iz baze, priloge e-pošte, lokalne datoteke, tikete i kopije u nabavnim sistemima. Brisanje prvobitnog uvida uz zadržavanje lične procjene može ostaviti vezu s osobom.

Član 14 stav 2 tačka a GDPR-a traži da se saopšti rok čuvanja ili kriterij za njegovo određivanje. Obavijest treba odgovarati internom konceptu brisanja. Ako druga zakonska obaveza ili konkretna potreba za utvrđivanje i odbranom zahtjeva ukazuje na duže čuvanje, taj dodatni osnov i obim treba posebno procijeniti.

Pristup rezultatu provjere treba imati krug osoba koje rade na konkretnoj nabavci ili odobrenju. Član 5 stav 1 tačke c i f GDPR-a podržava ograničenu upotrebu vezanu za svrhu i primjerenu sigurnost. Mjesto čuvanja dostupno cijelom preduzeću teško se uklapa u tu svrhu.

Odredite koje uloge smiju vidjeti izvorni zapis, ko dobija samo preporuku za odobrenje i ko može provjeriti netačnost. Uvid, izmjene i brisanje bilježite tako da je kasnija kontrola moguća. Dozvole treba preispitati pri promjeni uloge i nakon završetka svrhe.

Ručnu provjeru boniteta treba razlikovati od automatizovane odluke. Ako softver bez stvarne ljudske procjene odlučuje o dobavljaču ili fizičkoj osobi, nastaju dodatna pitanja. Postojeći tekst o automatizovanoj procjeni boniteta obrađuje tu odvojenu situaciju. On ne zamjenjuje kontrole za ručnu provjeru u nabavci.

Prije prvog uvida pripremite kratak zapis odobrenja. Navedite nabavni proces, konkretnu svrhu, moguću vezu s fizičkom osobom, odabrana polja i izvor. Sama postavka u nabavnom sistemu ne pokazuje tu odluku dovoljno.

Dodajte pravni osnov i, kod legitimnog interesa, procjenu suprotstavljenih interesa. Objasnite zašto je uvid potreban za konkretan slučaj, koje uloge dobijaju pristup i kako se obrađuju proturječni ili zastarjeli zapisi.

Pripremite obavijest prema članu 14 GDPR-a. Ona treba razumljivo objasniti izvor, kategorije, svrhu, pravni osnov, primaoce, rok ili kriterije čuvanja i prava. Prije početka provjerite vrijeme obavještavanja i eventualni izuzetak.

Na kraju odredite događaj, kriterij i odgovornost za brisanje. Nakon provjere procijenite rezultat, zabilježite nabavnu odluku u potrebnom obliku i uklonite podatke o bonitetu i poznate kopije kada svrha završi.

Veza s fizičkom osobom se odbacuje: Zapis govori o dobavljaču, ali sadrži podatke fizičke osobe ili je određuje preko računa dobavljača.

Pravni osnov ostaje samo formula: „Provjera rizika“ ne objašnjava konkretan interes, nužnost i procjenu suprotstavljenih interesa.

Izvor se ne navodi: Ispitanik ne može razumjeti koja je komercijalna baza dostavila informaciju.

Stari zapis se tretira kao aktuelan: Datum uvida, tačnost, proturječne informacije i put ispravke ostaju neprovjereni.

Rezultat ostaje u nabavnom sistemu: Rok brisanja obuhvata prvobitni uvid, ali ne i bilješke, izvode i priloge koji su iz njega nastali.

Sve nabavne uloge dobijaju isti pristup: Izvorni podaci i procjene dijele se bez ograničenja prema zadatku.

Zajedno provjeravamo vezu s ličnim podacima, nabavnu svrhu, pravni osnov, komercijalnu bazu, obavijest prema članu 14 GDPR-a, uloge s pristupom i kontrole brisanja. Za početnu procjenu korisni su opis procesa, primjer zapisa iz baze, procjena legitimnog interesa i predloženi koncept brisanja. Tako provjera boniteta ostaje sljediva u nabavi.

Za razlikovanje ličnih podataka i dodatnog znanja koristan je tekst o anonimizaciji i pseudonimizaciji. Ako se ispitanik nakon toga obrati preduzeću sa zahtjevom, tekst o zahtjevu za pristup prema članu 15 GDPR-a objašnjava opšti redoslijed obrade.