GDPR – Obrada

Opća uredba o zaštiti podataka (GDPR) nudi jedinstvenu, širom Europe mogućnost za takozvanu ‘ugovorenu obradu podataka’, što predstavlja prikupljanje, obradu ili korištenje osobnih podataka od strane izvršitelja obrade u skladu s uputama voditelja obrade na temelju ugovora.

Odgovarajući propisi za obrađivanje podataka po nalogu već se primjenjuju ako je obrada povezana s aktivnostima poslovnog subjekta unutar EU. To znači da je dovoljno da ili voditelj obrade ili izvršitelj obrade ima poslovni subjekt u EU, a obrada se odvija u kontekstu njegovih aktivnosti. Treba razlikovati između obrade i zajedničkog nadzora (članak 26. GDPR), gdje obje strane zajedno definiraju svrhe i sredstva za obradu podataka te su stoga također zajednički odgovorne za njih.

U odnosu voditelj obrade-izvršitelj obrade, potonji smije obrađivati osobne podatke samo na temelju dokumentiranih uputa voditelja obrade. Izvršitelj obrade ne može angažirati drugog izvršitelja obrade kako bi pomogao u ispunjavanju određenog ugovora, bez prethodne specifične ili opće pisane autorizacije predmetnog voditelja obrade. U slučaju opće autorizacije, izvršitelj obrade ga mora obavijestiti o svim relevantnim promjenama vezanim za obradu.

U većini slučajeva, obrada podataka po narudžbi odvija se na temelju ugovora. Čl. 28(3) GDPR propisuje njegove minimalne zahtjeve. Ugovor mora sadržavati, među ostalim, koji tip osobnih podataka će biti obrađivan, kao i predmet i svrhu obrade. Osim toga, postoje dodatne obveze za izvršitelja obrade. Na primjer, on također mora voditi evidenciju o aktivnostima obrade koja uključuje imena i kontakt podatke svakog voditelja za kojeg radi, kao i kategorije obrade koje se provode za njih. Nadalje, indeks mora uključivati, ako je primjenjivo, prijenos osobnih podataka u treće zemlje i, ako je moguće, opći opis tehničkih i organizacijskih mjera. Voditelj obrade mora osigurati, pri odabiru izvršitelja obrade, da je on implementirao dovoljnu tehničku i organizacijsku zaštitu kako bi se osiguralo da obrada ispunjava zahtjeve Uredbe.

U osnovi, voditelj obrade je prva kontaktna točka za ispitanika i odgovoran je za to da obrada podataka bude u skladu sa zakonskim zahtjevima. Međutim, to ne znači da je izvršitelj obrade oslobođen odgovornosti. Prema Čl. 82 GDPR-a, on je solidarno odgovoran s voditeljem obrade. Međutim, odgovornost izvršitelja obrade je ograničena prema stavku 2 na kršenja obveza koja su specifična za njega. Obje strane imaju mogućnost osloboditi se odgovornosti. Da bi to učinili, moraju dokazati da ni na koji način nisu bili odgovorni za događaj koji je doveo do štete.