Voditelj, izvršitelj i zajednički voditelji
| Uloga | Tko je | Primjer |
|---|---|---|
| voditelj obrade | određuje zašto i kako se podaci obrađuju | poslodavac koji obrađuje podatke zaposlenika |
| izvršitelj obrade | obrađuje podatke u ime voditelja obrade, prema njegovim uputama | vanjski servis za obračun plaća |
| zajednički voditelji obrade | dvije ili više osoba koje zajedno određuju svrhe i sredstva obrade | dvije tvrtke koje zajedno organiziraju nagradnu igru |
Uloga se određuje prema stvarnom odnosu, a ne prema nazivu u ugovoru. Zajednički voditelji obrade međusobnim dogovorom određuju tko ispunjava koje obveze, a bit dogovora mora biti dostupna ispitanicima (čl. 26.).
Obveze voditelja obrade
- poštovati načela obrade i moći dokazati usklađenost s njima (čl. 5. st. 2., pouzdanost)
- za svaku obradu imati pravnu osnovu iz čl. 6., a za posebne kategorije podataka i iznimku iz čl. 9.
- obavijestiti ispitanike o obradi i na njihove zahtjeve za ostvarivanje prava odgovoriti u pravilu u roku od mjesec dana (čl. 12.)
- provoditi tehničke i organizacijske mjere zaštite te uzeti u obzir zaštitu podataka već pri oblikovanju obrade (čl. 24., 25. i 32.)
- s izvršiteljima obrade sklopiti ugovor o obradi (čl. 28.)
- voditi evidenciju aktivnosti obrade (čl. 30.)
- prijaviti povredu osobnih podataka AZOP-u u roku od 72 sata od saznanja o povredi, osim ako nije vjerojatno da će prouzročiti rizik za prava i slobode pojedinaca (čl. 33.)
- provesti procjenu učinka kad je obrada vjerojatno visokorizična (čl. 35.)
- imenovati službenika za zaštitu podataka kad su ispunjeni uvjeti iz čl. 37.
Primjer
Tvrtka kao poslodavac voditelj je obrade podataka svojih zaposlenika: ona određuje koje podatke prikuplja, u koje svrhe i koliko ih dugo čuva. Vanjski servis koji po njezinim uputama obračunava plaće izvršitelj je obrade, pa tvrtka s njim sklapa ugovor o obradi. Banka koja zaposlenicima isplaćuje plaću na račun samostalni je voditelj obrade jer podatke obrađuje za vlastite svrhe i radi vlastitih zakonskih obveza.