Što mora sadržavati ugovor o obradi podataka?

Što ugovor o obradi podataka trebao regulirati u svakom slučaju

Ugovor o obradi podataka trebao bi opisati što obraditelj radi s osobnim podacima za odgovornu osobu za obradu i pod kojim je uvjetima. To počinje s osnovama: subjekt i trajanje obrade, priroda i svrha obrade, vrsta osobnih podataka koji su u pitanju, te kategorije osoba na koje se odnosi. Bez tog opisa nije moguće utvrditi je li dobavljač u skladu s dogovorom.

Osim toga, trebale bi biti uključene brojne obveze koje izravno proizlaze iz GDPR-a. Obraditelj obrađuje podatke samo na temelju pisanih uputa odgovorne osobe za obradu, osigurava da su osobe koje obrađuju podatke obvezane čuvati tajnu, i primjenjuje odgovarajuće mjere sigurnosti. Trebalo bi također biti uređeno što se događa ako obraditelj angažira drugu stranu (podobraditelj), kako obraditelj pomaže pri zahtjevima osoba na koje se podaci odnose i pri prijavljivanju kršenja sigurnosti podataka, te što se s podacima događa kada prestane pružanje usluge — uništavanjem ili vraćanjem. Često je sadržano i to da odgovorna osoba za obradu smije provjeravati poštuje li se dogovor, primjerice putem revizije.

Gdje se to nalazi: članak 28. GDPR-a

Ovaj popis izravno slijedi iz članka 28. GDPR-a koji specifično opisuje što ugovor o obradi podataka mora sadržavati kada odgovorna osoba za obradu angažira obraditelja. Smjernice EDPB-a daju dodatno objašnjenje kako se te odredbe mogu primjena u praksi, primjerice pri procjeni mjera sigurnosti ili angažiranja podobraditelja. Za točnu formulaciju svake obveze tekst članka 28. samog GDPR-a ostaje polazište.