trebam li zaključiti ugovor o obradi sa mojim računovodstvom

Da, u većini slučajeva je to potrebno

Knjižničar koji u ime poduzeća obrađuje osobne podatke — mislite na administraciju plaća, podatke o kupcima u računima ili podatke o zaposlenicima — obično to čini kao obrađivač podataka. To znači da mora postojati ugovor o obradi podataka između poduzeća i knjižničara, bez obzira je li knjižničar samostalan ili dio ured. Obveza nije vezana uz pitanje ide li o »velikom« ili »malom« klijentu, već o ulozi koju knjižničar zapravo ima: obrada podataka na temelju i prema uputama poduzeća koje upravlja podacima o kupcima ili zaposlenicima.

Postoji izuzetak koji se u praksi često previdi: ako knjižničar samostalno odlučuje zašto i kako se podaci obrađuju — na primjer jer je odgovoran za Poreznu upravu ili drugi zakonski zadatak — tada je on moguće sam voditelj obrade za taj dio, i ugovor o obradi podataka tada nije pravi instrument. Koja uloga se točno primjenjuje, ovisi o tome tko zapravo određuje ciljeve i sredstva obrade; to se razlikuje od situacije do situacije i opisano je u objašnjenju o obrađivaču ili vodiču obradeŠto se sadržajno mora nalaziti u takvom ugovoru, može se pročitati u pregledu obveznih dijelova ugovora o obradi podataka.

Gdje se to javlja: članak 4. i 28. GDPR-a

Članak 4. GDPR-a definira obrađivača kao onoga koji u korist voditelja obrade obrađuje osobne podatke, a članak 28. GDPR-a određuje da se ta obrada mora jasno utvrditi u ugovoru s fiksnim skupom dijelova. Smjernice EDPB-a dalje razrađuju kada se netko smatra obrađivačem i kada voditeljem obrade u vlastitom imenu, što kod knjižničara — koji ponekad slijedi upute i ponekad ima vlastitu zakonsku ulogu — čini razlika odlučujućom.