Izvršilac obrade (obrada po nalogu)
Izvršilac obrade je pružalac usluge, kao što je hosting kompanija, koji obrađuje lične podatke u ime i po uputama druge organizacije.
Šta je obrada po nalogu?
Mnoge organizacije ne rade sve same: iznajmljuju servere od hosting kompanije, newslettere šalju putem servisa za slanje pošte ili koriste računovodstveni softver u cloudu. Ako takav pružalac obrađuje lične podatke u ime organizacije, GDPR ga naziva izvršiocem obrade (član 4(8) GDPR-a). Organizacija koja povjerava posao ostaje voditelj obrade (član 4(7) GDPR-a).
Ugovor prema članu 28 GDPR-a
Član 28 GDPR-a zahtijeva ugovor ili drugi obavezujući pravni akt, često nazivan ugovorom o obradi podataka ili DPA. Među ostalim, u njemu stoji da pružalac podatke obrađuje samo prema dokumentovanim uputama, obavezuje svoje osoblje na povjerljivost, poduzima odgovarajuće sigurnosne mjere i angažuje dalje podizvršioce obrade samo uz odobrenje. Kada usluga završi, mora izbrisati ili vratiti podatke, osim ako postoji zakonska obaveza pohrane.
Ko ostaje odgovoran
Voditelj obrade smije koristiti samo pružaoce koji nude dovoljna tehnička i organizacijska jamstva, a prema osobama na koje se podaci odnose ostaje odgovoran. Zato svoja prava, kao što su pristup ili brisanje, obično ostvaruješ prema voditelju obrade. Ako izvršilac obrade koristi podatke za vlastite svrhe i sam odlučuje o svrhama i sredstvima, član 28(10) GDPR-a tretira ga u pogledu te obrade kao voditelja obrade.
Po čemu se razlikuje od drugih aranžmana
Nije svaka saradnja obrada po nalogu. Ako dva tijela zajednički odlučuju o svrhama i sredstvima obrade, ona su zajednički voditelji obrade prema članu 26 GDPR-a. Pružalac koji isporučuje vlastitu stručnu uslugu, kao što je porezni savjetnik ili banka, često je samostalni voditelj obrade. Ako se podaci prenose izvršiocu obrade izvan EU, primjenjuju se i pravila o prijenosu u treće zemlje iz članova 44 i dalje GDPR-a.
Često postavljana pitanja
Moram li ja kao korisnik nešto učiniti?
Obično ne. Ugovor se sklapa između voditelja obrade i njegovog pružaoca. Voditelj obrade, međutim, mora u svojoj izjavi o zaštiti podataka navesti primaoce ili kategorije primalaca tvojih podataka.
Mora li se ugovor o obradi podataka potpisati na papiru?
Ne. Prema članu 28(9) GDPR-a ugovor mora biti u pisanom obliku, ali je elektronski oblik izričito dopušten.
Šta je podizvršilac obrade?
Drugi pružalac kojeg izvršilac obrade zauzvrat angažuje, kao što je data centar. To je dozvoljeno samo uz prethodno odobrenje voditelja obrade, a na njega se primjenjuju iste obaveze zaštite podataka.
Srodni pojmovi
Srodne teme
Isprobaj Friendstime
Registracija traje minut i besplatna je.