Kada je potreban
Ugovor o obradi sklapa se kad tvrtka angažira izvršitelja obrade, odnosno vanjskog pružatelja usluge koji osobne podatke obrađuje prema njezinim uputama, primjerice:
- pružatelja usluga računalstva u oblaku ili hostinga
- vanjski servis za obračun plaća
- alat za slanje e-pošte ili upravljanje odnosima s kupcima
- vanjsku tvrtku za IT podršku s pristupom sustavima
- pozivni centar
Izvršitelj koji angažira podizvršitelja s njim sklapa ugovor s istim obvezama. Za angažiranje podizvršitelja potrebno je prethodno posebno ili opće pisano odobrenje voditelja obrade.
Kada nije potreban
Ugovor o obradi ne sklapa se s osobama koje podatke obrađuju kao samostalni voditelji obrade, za vlastite svrhe ili radi vlastitih zakonskih i profesionalnih obveza, primjerice s bankom, javnim bilježnikom ili odvjetnikom. Zajednički voditelji obrade odnos uređuju međusobnim dogovorom prema čl. 26. GDPR-a.
Što mora sadržavati
- predmet, trajanje, prirodu i svrhu obrade, vrstu osobnih podataka i kategorije ispitanika te obveze i prava voditelja obrade
- obradu samo prema zabilježenim uputama voditelja obrade
- obvezu povjerljivosti osoba ovlaštenih za obradu
- sigurnosne mjere iz čl. 32.
- uvjete za angažiranje podizvršitelja
- pomoć voditelju obrade pri ostvarivanju prava ispitanika, prijavi povreda i procjeni učinka
- brisanje ili vraćanje podataka nakon završetka usluge
- stavljanje na raspolaganje informacija i omogućavanje revizija
Europska komisija donijela je standardne ugovorne klauzule za odnos voditelja i izvršitelja obrade (Provedbena odluka (EU) 2021/915), kojima se tvrtke mogu koristiti umjesto vlastitog predloška. Za kršenje obveza iz čl. 28. propisane su upravne novčane kazne do 10 milijuna eura ili, za poduzetnike, do 2 % ukupnog godišnjeg prometa na svjetskoj razini za prethodnu financijsku godinu, ovisno o tome koji je iznos veći.
Primjer
Tvrtka prelazi na vanjski servis za obračun plaća. Prije prijenosa podataka sklapa ugovor o obradi u kojem su navedeni podaci o zaposlenicima koji se prenose, svrha obrade, sigurnosne mjere servisa, popis podizvršitelja, primjerice pružatelja usluga hostinga, i obveza brisanja podataka nakon prestanka suradnje.