Ugovor o obradi

Ugovor o obradi je sporazum između rukovaoca i izvršitelja obrade o obradi ličnih podataka. Naziv dokumenta nije odlučujući. Važno je da pružalac usluge podatke obrađuje u ime rukovaoca i prema njegovim dokumentovanim uputstvima. Tipični primjeri su usluge oblaka, obračun zarada, IT podrška ili vanjsko arhiviranje.

Prema članu 28 GDPR-a, ugovor između ostalog uređuje predmet i trajanje obrade, prirodu i svrhu obrade, vrste ličnih podataka, kategorije ispitanika te prava i obaveze rukovaoca. Ugovor treba da obuhvati i dokumentovana uputstva, povjerljivost, sigurnosne mjere, pomoć kod prava ispitanika i povreda ličnih podataka, vraćanje ili brisanje podataka te dostavljanje informacija i kontrole.

Za angažovanje podizvršitelja u pravilu je potrebno prethodno posebno ili opšte pisano odobrenje rukovaoca. Rukovalac smije angažovati samo izvršitelje koji pružaju dovoljne garancije za odgovarajuće tehničke i organizacione mjere. Izvršitelj mora obavijestiti rukovaoca ako smatra da je uputstvo protivno propisima o zaštiti podataka. Ako pružalac usluge podatke koristi za sopstvene svrhe i sam određuje te svrhe, njegova uloga može prelaziti ulogu izvršitelja obrade.

Pri procjeni zato nije dovoljna samo ugovorna forma, već treba provjeriti stvarni postupak: koji se podaci obrađuju za koju svrhu, ko određuje bitna sredstva, gdje se obrada obavlja i koji su podizvršitelji uključeni? Oblast izvršitelja obrade i pružalaca usluga objašnjava organizacioni okvir. Provjera ugovora o obradi i kontrolna lista za izvršitelja obrade pomažu pri prvoj strukturiranoj provjeri.