Dobavitelj kot obdelovalec: kaj v praksi zahteva člen 28 GDPR?

Obdelovalec je, kdor obdeluje osebne podatke v imenu in po navodilih upravljavca (točka 8 člena 4 GDPR). Tipični primeri so gostovanje in storitve podatkovnih centrov, programska oprema kot storitev, vzdrževanje IT z dostopom do podatkov ali pošiljanje pisem in e-pošte v imenu drugega.

Za obdelavo v imenu upravljavca ne gre, kadar ponudnik storitev sploh nima dostopa do osebnih podatkov ali sam odloča o namenih in sredstvih obdelave.

V skladu s členom 28(3) GDPR pogodba določa vsebino in trajanje obdelave, naravo in namen obdelave, vrsto osebnih podatkov, kategorije posameznikov, na katere se nanašajo osebni podatki, ter obveznosti in pravice upravljavca. Obdelovalec se zlasti zaveže, da bo: podatke obdeloval le po dokumentiranih navodilih (točka (a)), zagotovil zaupnost (točka (b)), sprejel ukrepe iz člena 32 (točka (c)), spoštoval pravila za podobdelovalce (točka (d)), pomagal pri uresničevanju pravic posameznikov (točka (e)) in pri obveznostih iz členov 32 do 36 (točka (f)), po koncu storitev podatke izbrisal ali vrnil (točka (g)) ter dal na voljo vse potrebne informacije in omogočil revizije (točka (h)).

Pogodba mora biti v pisni obliki, kar vključuje tudi elektronsko obliko (člen 28(9)). Kot podlaga lahko služijo standardne pogodbene klavzule Evropske komisije (Izvedbeni sklep (EU) 2021/915).

Stranka mora že pred sklenitvijo pogodbe preveriti, ali dobavitelj zagotavlja zadostna jamstva (člen 28(1)). Mednje spadajo dokumentirani tehnični in organizacijski ukrepi v skladu s členom 32 – na primer zaščita dostopa, šifriranje, varnostne kopije in postopki za redno preverjanje.

Upoštevanje odobrenih kodeksov ravnanja ali certificiranje v skladu z GDPR se lahko uporabita kot element za dokazovanje zadostnih jamstev (člen 28(5)). Samega preverjanja ne nadomeščata.

Dobavitelj sme vključiti druge obdelovalce le s predhodnim posebnim ali splošnim pisnim dovoljenjem (člen 28(2)). Pri splošnem dovoljenju stranko obvesti o vsaki nameravani spremembi, stranka pa lahko temu ugovarja.

Za podobdelovalca morajo veljati enake obveznosti glede varstva podatkov; če jih ne izpolni, je dobavitelj odgovoren stranki (člen 28(4)).

Pogosto pogodba sploh manjka ali pa je bila enkrat podpisana in nikoli več pregledana. Enako pogosti so zastareli seznami podobdelovalcev, tehnični in organizacijski ukrepi kot splošne besedilne predloge brez povezave s storitvijo in manjkajoča ureditev izbrisa ob koncu pogodbe.

Za kršitve obveznosti iz člena 28 se lahko v skladu s členom 83(4) GDPR izrečejo upravne globe do 10 milijonov evrov ali do 2 % svetovnega letnega prometa, odvisno od tega, kateri znesek je višji.

Katalog Vendo4u sprašuje po točkah, ki so pomembne pri preverjanju v skladu s členom 28 – ali je na voljo pogodba o obdelavi osebnih podatkov, kje se podatki obdelujejo, kateri podobdelovalci so vključeni –, dobavitelji pa k temu naložijo dokumente. Kupci vidijo te podatke za vse dobavitelje v enaki strukturi in jih z izvozom shranijo v lastno mapo.