Izvršitelj obrade

Prema članu 4 tački 8 GDPR-a, izvršitelj obrade obrađuje lične podatke u ime rukovaoca. To može biti pružalac usluga u oblaku, obračuna zarada, IT podrške ili vanjskog čuvanja i arhiviranja spisa. Nije odlučujući naziv iz ugovora. Važno je kako su u stvarnosti uređeni svrha obrade, postupci i ovlaštenja.

Rukovalac određuje svrhu obrade i njena bitna sredstva. Izvršitelj obrade može u tom okviru odabrati tehničke i organizacione pojedinosti, ali ne smije koristiti podatke za sopstvene, sa nalogom nespojive svrhe. Zaposleni koji rade pod neposrednim ovlaštenjem svog preduzeća nisu zbog toga izvršitelji obrade. Kod razgraničenja je presudno ko stvarno donosi odluke i kako se podaci koriste.

Član 28 GDPR-a zahtijeva da se obrada uredi ugovorom ili drugim pravnim aktom. U njemu se, između ostalog, određuju predmet i trajanje obrade, vrste podataka i kategorije lica, dokumentovana uputstva, povjerljivost, sigurnost, pomoć kod prava ispitanika i povreda ličnih podataka te vraćanje ili brisanje podataka. Podizvršitelji se u pravilu mogu angažovati samo uz prethodno posebno ili opšte pisano odobrenje rukovaoca. Izvršitelj mora upozoriti rukovaoca ako smatra da je uputstvo protivno propisima o zaštiti podataka.

Preduzeće zato treba da krene od konkretne aktivnosti obrade: koji se podaci obrađuju za koju svrhu, ko određuje bitna sredstva, gdje se obrada obavlja i koji su podizvršitelji uključeni? Oblast izvršitelja obrade i pružalaca usluga objašnjava organizacioni okvir. Provjera uloga daje početnu orijentaciju, a kontrolna lista za izvršitelja obrade pomaže pri izboru i naknadnim provjerama pružaoca usluga.