što se događa ako nemam ugovor o obradi sa mojim dobavljačem

Bez ugovora o obradi podataka ne ispunjavate članak 28 OPZD-a

Ako dobavljač obrađuje osobne podatke u vaše ime i nema ugovora o obradi podataka, to je samo po sebi kršenje OPZD-a — neovisno o pitanju dolazi li do dodatnih problema s tim podacima. Članak 28 OPZD-a propisuje da se angažiranje obrađivača mora dokumentirati ugovorom ili drugim pravnim činom; bez te dokumentacije nedostaje pravna osnova za suradnju, čak i ako dobavljač sam pažljivo rukovodi podacima.

To je relevantno na primjer za softver u koji dolaze podaci kupaca, podaci o zaposlenicima ili fakturaciodni podaci: računovodstveni paketi, alati za email marketing, hosting pružatelji. Tko nije siguran je li određeni alat obuhvaćen ovom obvezom, može to provjeriti pomoću kako znam je li softver koji koristim u skladu sa GDPR-om provjera; a pitanje je li to vrijedi i za računovođu vraća se kod trebam li zaključiti ugovor o obradi sa mojim računovodstvom. Nedostatak ugovora obično nije nešto što dolazi samo od sebe na vidjelo, sve dok ne dođe do propusta u zaštiti podataka, pritužbe kupca ili nadzora — i tada se ispostavlja da dogovori ne postoje.

Gdje je to preuredio iz članka 28 OPZD-a

Članak 28 OPZD-a propisuje da se obrada od strane obrađivača regulira ugovorom koji mora dokumentirati niz predmeta, kao što su svrha obrade, trajanje i obveze obrađivača; koji su to predmeti točno opisani kod što mora biti u ugovoru o obradi podataka. Obveza da se ima ovaj ugovor leži i na voditelju obrade i na obrađivaču, i vrijedi u cijeloj EU izravno iz Uredbe; tko mora osigurati poštovanje razlikuje se po zemlji — u Nizozemskoj je to Autoritet za zaštitu podataka, u drugim državama članicama nadzornik te zemlje. Više o nadzorniku dostupno je kroz Autoritet za zaštitu podataka.