Dobavljači kao izvršitelji obrade: što čl. 28. GDPR-a zahtijeva u praksi?

Izvršitelj obrade je svatko tko obrađuje osobne podatke u ime i prema uputama voditelja obrade (čl. 4. točka 8. GDPR-a). Tipični su slučajevi hosting i usluge podatkovnih centara, softver kao usluga, IT održavanje s pristupom podacima ili slanje pošte i e-poruka u tuđe ime.

Obrade u ime voditelja obrade nema ondje gdje pružatelj usluge uopće nema pristup osobnim podacima ili sam odlučuje o svrhama i sredstvima obrade.

Prema čl. 28. st. 3. GDPR-a ugovorom se utvrđuju predmet i trajanje, priroda i svrha obrade, vrsta osobnih podataka, kategorije ispitanika te obveze i prava voditelja obrade. Izvršitelj obrade osobito se obvezuje: obrađivati podatke samo prema zabilježenim uputama (točka (a)), osigurati povjerljivost (točka (b)), poduzeti mjere iz čl. 32. (točka (c)), poštovati pravila o podizvršiteljima obrade (točka (d)), pomagati pri ostvarivanju prava ispitanika (točka (e)) i pri ispunjavanju obveza iz čl. 32. do 36. (točka (f)), po završetku usluge izbrisati ili vratiti podatke (točka (g)) te staviti na raspolaganje sve potrebne informacije i omogućiti revizije (točka (h)).

Ugovor mora biti u pisanom obliku, što uključuje i elektronički oblik (čl. 28. st. 9.). Kao osnova mogu poslužiti standardne ugovorne klauzule Europske komisije (Provedbena odluka (EU) 2021/915).

Naručitelj već prije sklapanja ugovora mora provjeriti pruža li dobavljač dovoljna jamstva (čl. 28. st. 1.). U njih se ubrajaju dokumentirane tehničke i organizacijske mjere prema čl. 32. – primjerice zaštita pristupa, enkripcija, sigurnosne kopije i postupci redovitog testiranja.

Pridržavanje odobrenih kodeksa ponašanja ili certifikacija prema GDPR-u može se upotrijebiti kao element za dokazivanje dovoljnih jamstava (čl. 28. st. 5.). Samu provjeru oni ne zamjenjuju.

Dobavljač smije angažirati druge izvršitelje obrade samo uz prethodno posebno ili opće pisano odobrenje (čl. 28. st. 2.). Kod općeg odobrenja obavješćuje naručitelja o svakoj namjeravanoj promjeni, a naručitelj može uložiti prigovor.

Podizvršitelju obrade moraju se nametnuti iste obveze zaštite podataka; ako ih ne ispuni, dobavljač odgovara naručitelju (čl. 28. st. 4.).

Često ugovor potpuno nedostaje ili je jednom potpisan i nikada više pregledan. Jednako su česti zastarjeli popisi podizvršitelja obrade, tehničke i organizacijske mjere kao opći tekstualni predlošci bez veze s uslugom te nedostatak pravila o brisanju na kraju ugovora.

Prema čl. 83. st. 4. GDPR-a povrede obveza iz čl. 28. mogu se kazniti upravnim novčanim kaznama do 10 milijuna eura ili do 2 % ukupnog godišnjeg prometa na svjetskoj razini, ovisno o tome što je veće.

Katalog platforme Vendo4u ispituje točke važne za provjeru prema čl. 28. – postoji li ugovor o obradi, gdje se podaci obrađuju, koji se podizvršitelji obrade koriste – a dobavljači uz to prilažu pripadajuće dokumente. Kupci vide te podatke za sve dobavljače u istoj strukturi i izvozom ih pohranjuju u vlastiti spis.