Izvršitelj i voditelj obrade
Voditelj obrade određuje svrhe i sredstva obrade, a izvršitelj obrade podatke obrađuje u njegovo ime. Uloga se određuje prema stvarnom odnosu, a ne prema nazivu u ugovoru. Izvršitelj koji podatke obrađuje za vlastite svrhe smatra se voditeljem obrade za tu obradu (čl. 28. st. 10.).
Obveze izvršitelja obrade
- obrađivati podatke samo prema zabilježenim uputama voditelja obrade
- osigurati da su osobe ovlaštene za obradu obvezane na povjerljivost
- provoditi odgovarajuće tehničke i organizacijske mjere zaštite
- angažirati podizvršitelja samo uz prethodno posebno ili opće pisano odobrenje voditelja obrade
- pomagati voditelju obrade u ostvarivanju prava ispitanika i u ispunjavanju obveza iz čl. 32. do 36.
- po završetku usluge izbrisati ili vratiti podatke, prema izboru voditelja obrade
- voditi evidenciju svih kategorija aktivnosti obrade koje obavlja u ime voditelja obrade
- bez nepotrebnog odgađanja obavijestiti voditelja obrade o povredi osobnih podataka
Odnos voditelja i izvršitelja uređuje se ugovorom o obradi sa sadržajem propisanim čl. 28. GDPR-a.
Podizvršitelji
Podizvršitelj je izvršitelj kojeg angažira drugi izvršitelj, primjerice podatkovni centar koji koristi pružatelj usluge u oblaku. Izvršitelj na podizvršitelja mora prenijeti iste obveze i ostaje u potpunosti odgovoran voditelju obrade ako podizvršitelj ne ispuni svoje obveze.
Odgovornost
Izvršitelj obrade odgovara za štetu ako nije poštovao obveze koje GDPR propisuje izvršiteljima ili je djelovao izvan zakonitih uputa voditelja obrade ili protivno njima (čl. 82. st. 2.). AZOP mu može izreći i upravnu novčanu kaznu.
Primjer
Tvrtka koristi vanjski servis za obračun plaća. Servis podatke o zaposlenicima obrađuje samo za obračun plaća prema uputama tvrtke, pa je izvršitelj obrade. Kad bi iste podatke koristio za vlastiti marketing, za tu bi obradu postao voditelj obrade i prekršio bi ugovor.