Voditelj i izvršitelj obrade
| Uloga | Tko je to | Primjer |
|---|---|---|
| Voditelj obrade | određuje svrhe i sredstva obrade | tvrtka koja vodi evidenciju o svojim zaposlenicima i klijentima |
| Izvršitelj obrade | obrađuje podatke u ime voditelja i prema njegovim uputama | pružatelj CRM-a u oblaku, servis za obračun plaća, tvrtka za održavanje IT sustava |
| Podizvršitelj | izvršitelj kojeg angažira izvršitelj obrade | podatkovni centar u kojem pružatelj CRM-a drži podatke |
| Zajednički voditelji | dvije ili više organizacija koje zajedno određuju svrhe i sredstva obrade | dvije tvrtke koje zajedno organiziraju nagradnu igru |
Pravilo za razlikovanje: tko odlučuje zašto se i kako podaci obrađuju, voditelj je obrade. Tko podatke obrađuje samo prema tuđim uputama, izvršitelj je.
Ugovor o obradi sklapa se samo između voditelja i izvršitelja (te izvršitelja i podizvršitelja). Zajednički voditelji odnos uređuju međusobnim dogovorom prema čl. 26. GDPR-a, a dva samostalna voditelja ne sklapaju ugovor o obradi.
Granični slučajevi
- Računovodstveni servis koji po uputama tvrtke vodi evidencije i obračunava plaće u pravilu je izvršitelj obrade. Kad podatke obrađuje radi vlastitih zakonskih obveza, može biti i samostalni voditelj.
- Pružatelj usluge u oblaku koji pohranjuje podatke tvrtke tipičan je izvršitelj.
- Banka, javni bilježnik i odvjetnik u pravilu su samostalni voditelji obrade jer podatke obrađuju radi vlastitih zakonskih i profesionalnih obveza, a ne prema uputama klijenta.
- Zaštitarska tvrtka koja upravlja videonadzorom za naručitelja izvršitelj je obrade.
- Zaposlenici nisu izvršitelji obrade: podatke obrađuju pod vodstvom poslodavca, a njihove obveze uređuju se ugovorom o radu i internim aktima.
Uloga se određuje prema stvarnom odnosu, a ne prema nazivu u ugovoru. Europski odbor za zaštitu podataka (EDPB) to detaljno objašnjava u Smjernicama 07/2020 o pojmovima voditelja i izvršitelja obrade u Općoj uredbi o zaštiti podataka.
Kada je ugovor o obradi obvezan
Uvijek kad izvršitelj obrađuje osobne podatke u ime voditelja, bez obzira na veličinu dobavljača i vrijednost usluge. Mali lokalni dobavljač koji održava računala ili web-stranicu jednako je izvršitelj kao veliki pružatelj usluga u oblaku.
Voditelj smije angažirati samo izvršitelja koji u dovoljnoj mjeri jamči provedbu odgovarajućih tehničkih i organizacijskih mjera (čl. 28. st. 1.). Ugovor je jedan od dokaza da je voditelj tu provjeru proveo i postavio jasna pravila.
Izostanak ugovora sam je po sebi povreda GDPR-a, neovisno o tome je li došlo do incidenta.
Obvezni sadržaj ugovora (čl. 28. st. 3.)
Ugovor mora opisati obradu:
- predmet i trajanje obrade
- prirodu i svrhu obrade
- vrstu osobnih podataka i kategorije ispitanika
- obveze i prava voditelja obrade
I mora obvezati izvršitelja da:
| Obveza izvršitelja | Što to znači |
|---|---|
| obrađuje podatke samo prema zabilježenim uputama voditelja | ne koristi podatke za vlastite svrhe; prijenos u treće zemlje samo prema uputama ili kad to propisuje pravo EU-a ili države članice |
| osigura povjerljivost | osobe ovlaštene za obradu obvezale su se na povjerljivost ili podliježu zakonskoj obvezi povjerljivosti |
| provodi sigurnosne mjere iz čl. 32. | primjerice šifriranje, kontrola pristupa, sigurnosne kopije, testiranje mjera |
| poštuje pravila o podizvršiteljima | angažira ih samo uz prethodno pisano odobrenje voditelja i prenosi na njih iste obveze |
| pomaže voditelju u ostvarivanju prava ispitanika | primjerice dostavlja podatke potrebne za odgovor na zahtjev za pristup |
| pomaže voditelju u ispunjavanju obveza iz čl. 32. do 36. | sigurnost, prijava povrede osobnih podataka, procjena učinka i prethodno savjetovanje |
| po završetku usluge briše ili vraća podatke | prema izboru voditelja, osim ako propis zahtijeva njihovo čuvanje |
| stavlja na raspolaganje informacije i omogućuje revizije | uključujući inspekcije koje provodi voditelj ili revizor kojeg on ovlasti |
Izvršitelj mora odmah upozoriti voditelja ako smatra da neka njegova uputa krši GDPR ili druge propise o zaštiti podataka.
Ugovor ne bi trebao samo prepisati tekst čl. 28. Opis obrade, sigurnosne mjere i rokovi trebaju odgovarati stvarnoj usluzi.
Podizvršitelji
Većina usluga u oblaku koristi druge dobavljače: podatkovne centre, usluge slanja e-pošte, alate za podršku korisnicima. Izvršitelj ih smije angažirati samo uz prethodno posebno ili opće pisano odobrenje voditelja (čl. 28. st. 2.):
- posebno odobrenje daje se za svakog podizvršitelja pojedinačno
- uz opće odobrenje izvršitelj mora voditelja obavijestiti o svakom planiranom dodavanju ili zamjeni podizvršitelja, a voditelj ima pravo uložiti prigovor
Izvršitelj na podizvršitelja mora prenijeti iste obveze zaštite podataka i ostaje u potpunosti odgovoran voditelju ako podizvršitelj ne ispuni svoje obveze (čl. 28. st. 4.).
Prijenos podataka izvan EU-a
Ako izvršitelj ili podizvršitelj obrađuje podatke izvan Europskog gospodarskog prostora, prijenos mora imati zakonitu osnovu iz poglavlja V. GDPR-a, najčešće:
- odluku Europske komisije o primjerenosti za zemlju primatelja
- standardne ugovorne klauzule za prijenos u treće zemlje (Provedbena odluka (EU) 2021/914), uz procjenu zaštite podataka u zemlji primatelja
Ugovor o obradi treba navesti gdje se podaci obrađuju i na kojoj se osnovi prenose.
Ugovor koji nudi dobavljač
Veliki pružatelji usluga nude vlastiti ugovor o obradi, često kao dio općih uvjeta. To je prihvatljivo, ali voditelj mora provjeriti sadrži li ugovor sve elemente iz čl. 28. i odgovara li stvarnoj obradi.
Kontrolni popis za provjeru:
- Jesu li opisani predmet, svrha, vrste podataka i kategorije ispitanika?
- Obrađuje li izvršitelj podatke samo prema uputama voditelja?
- Jesu li navedene sigurnosne mjere i obveza povjerljivosti?
- Kako se odobravaju podizvršitelji i postoji li njihov popis?
- Postoji li obveza pomoći pri ostvarivanju prava ispitanika i prijavi povrede, s rokom obavješćivanja voditelja?
- Što se događa s podacima po završetku usluge?
- Ima li voditelj pravo na reviziju, uključujući inspekcije?
- Gdje se podaci obrađuju i na kojoj se osnovi prenose izvan EGP-a?
Ako neki element nedostaje, zatražite dopunu prije početka korištenja usluge.
Standardne ugovorne klauzule EU-a
Europska komisija donijela je 2021. standardne ugovorne klauzule između voditelja obrade i izvršitelja obrade (Provedbena odluka (EU) 2021/915). Klauzule pokrivaju sve zahtjeve iz čl. 28. st. 3. i 4., a strane u prilozima opisuju obradu, sigurnosne mjere i popis podizvršitelja. Za tvrtke koje nemaju vlastiti predložak to je najsigurnije polazište.
Te klauzule nisu iste kao standardne ugovorne klauzule za prijenos podataka u treće zemlje (Provedbena odluka (EU) 2021/914).
Odgovornost i kazne
- Voditelj obrade odgovara za zakonitost obrade i za odabir pouzdanog izvršitelja.
- Izvršitelj obrade odgovara za štetu ako nije poštovao obveze koje GDPR propisuje izvršiteljima ili je djelovao izvan zakonitih uputa voditelja (čl. 82. st. 2.).
- Ako su u istoj obradi sudjelovali i voditelj i izvršitelj i odgovorni su za štetu, ispitaniku odgovaraju za cijelu štetu (čl. 82. st. 4.).
- Izvršitelj koji podatke obrađuje za vlastite svrhe smatra se voditeljem obrade za tu obradu (čl. 28. st. 10.).
Za povredu obveza voditelja i izvršitelja iz čl. 28. GDPR predviđa upravne novčane kazne do 10 milijuna eura ili 2 % ukupnog godišnjeg prometa na svjetskoj razini, ovisno o tome koji je iznos veći (čl. 83. st. 4.).
Kako uvesti red u ugovore o obradi
| Korak | Što napraviti |
|---|---|
| 1. Popis | popisati sve dobavljače koji obrađuju osobne podatke: računovodstvo, plaće, IT, oblak, e-pošta, CRM, web-stranica, marketing, videonadzor |
| 2. Provjera | za svakog utvrditi postoji li ugovor o obradi i sadrži li elemente iz čl. 28. |
| 3. Lokacija | utvrditi gdje se podaci obrađuju i postoje li prijenosi izvan EGP-a |
| 4. Evidencija | uskladiti popis izvršitelja s evidencijom aktivnosti obrade |
| 5. Postupak | odrediti da novi dobavljač ne počinje s obradom prije sklapanja ugovora |
| 6. Edukacija | upoznati nabavu, IT, marketing i kadrovsku službu s pravilom da alat koji obrađuje osobne podatke traži ugovor o obradi |
Ugovori o obradi najčešće izostanu kad zaposlenik sam otvori račun na novoj platformi, primjerice za slanje newslettera, dijeljenje datoteka ili upravljanje projektima. Zato postupak odobravanja novih alata mora uključiti i provjeru ugovora o obradi.
Često postavljana pitanja
Što je ugovor o obradi osobnih podataka?
Ugovor između voditelja obrade i izvršitelja obrade kojim se, u skladu s čl. 28. GDPR-a, uređuje kako izvršitelj obrađuje osobne podatke u ime voditelja: prema kojim uputama, uz koje sigurnosne mjere, s kojim podizvršiteljima i što se s podacima događa po završetku usluge.
Treba li ugovor o obradi i s malim lokalnim dobavljačem?
Treba. Veličina dobavljača nije važna. Ako obrađuje osobne podatke u ime tvrtke, izvršitelj je obrade.
Je li dovoljan usmeni dogovor?
Nije. Ugovor mora biti u pisanom obliku, a pisani oblik uključuje i elektronički, primjerice prihvaćanje ugovora na internetskoj platformi dobavljača.
Je li ugovor o povjerljivosti (NDA) dovoljan?
Nije. Ugovor o povjerljivosti štiti poslovne informacije općenito, a ne sadrži obvezne elemente iz čl. 28. GDPR-a.
Treba li ugovor o obradi sa zaposlenicima?
Ne treba. Zaposlenici nisu izvršitelji obrade. Njihove obveze uređuju se ugovorom o radu, internim aktima i obvezom povjerljivosti.
Mora li ugovor o obradi biti na hrvatskom jeziku?
GDPR ne propisuje jezik ugovora, pa je valjan i ugovor na engleskom jeziku. Osoba koja ga prihvaća mora razumjeti preuzete obveze.
Tko odgovara za podizvršitelje?
Izvršitelj obrade. On na podizvršitelja mora prenijeti iste obveze i ostaje u potpunosti odgovoran voditelju ako podizvršitelj ne ispuni svoje obveze.
Povezani članci
- Što je GDPR? Značenje, načela i obveze tvrtki
- Prava ispitanika prema GDPR-u: vodič za tvrtke
- Videonadzor i GDPR: pravila za tvrtke u Hrvatskoj
- GDPR kazne u Hrvatskoj: iznosi i primjeri
Izvori
- Opća uredba o zaštiti podataka (EU) 2016/679, čl. 26., 28., 82. i 83., EUR-Lex
- Provedbena odluka Komisije (EU) 2021/915 o standardnim ugovornim klauzulama između voditelja obrade i izvršitelja obrade, EUR-Lex
- Provedbena odluka Komisije (EU) 2021/914 o standardnim ugovornim klauzulama za prijenos osobnih podataka u treće zemlje, EUR-Lex
- EDPB: Smjernice 07/2020 o pojmovima voditelja i izvršitelja obrade u Općoj uredbi o zaštiti podataka
Ovaj je članak informativne naravi i nije pravni savjet.