Trebam li potpisati ugovor o obradi podataka koji šalje moj klijent?

Potpisivanje nije obveza, provjera jest

Ne, nema zakonske obveze da potpišete ugovor o obradi podataka samo zato što ga pošalje klijent. Ugovor o obradi podataka je dogovor između dvije strane, i kao kod svakog ugovora vrijedi: prvo pogledajte što se u njega piše prije nego što stavite potpis. Klijent koji šalje ugovor ne određuje automatski njegov sadržaj — taj sadržaj mora ispunjavati određene zahtjeve, što je nešto potpuno drugačije od pitanja "moram li prihvatiti ovaj dokument".

Što je relevantno: ako kao prikupljač podataka obrađujete osobne podatke na nalog tog klijenta, tada Opća uredba o zaštiti podataka (GDPR) propisuje da mora postojati ugovor o obradi podataka s nizom obaveznih elemenata. Dakle, nije riječ o tome trebate li potpisati, već o tome pokriva li tekst koji dobijate te elemente i odgovara li onome što se u praksi događa. Koncept koji je formuliran previše široko, regulira stvari koje se ne poklapaju sa stvarnom uslugom ili mu nedostaju elementi, razlog je za prilagodbu ili predlaganje vlastite verzije — ne za bezuvjetno potpisivanje.

Što je regulirano člankom 28. GDPR-a

Člankom 28. Opće uredbe o zaštiti podataka (GDPR) propisuje se da obradu podataka od strane prikupljača podataka mora regulirati ugovor ili druga pravna radnja, i navodi koja područja moraju biti obuhvaćena — između ostalog predmet i trajanje obrade, vrsta i svrha, vrsta osobnih podataka i kategorije osoba na koje se odnose, te obveze i prava voditelja obrade podataka. Taj članak ništa ne govori o tome tko dokument izrađuje ili dostavljuje; on samo određuje što mora biti u njemu. Za cijeli tekst, sama je uredba izvorna točka, a ako se sumnjate u određeni tekst, znanja baza Službe za zaštitu podataka može poslužiti kao pozadina — premda se ta institucija ne bavi procjenjivanjem pojedinih ugovora.