Ugovor o obradi je pisani sporazum između dvije strane: one koja određuje zašto i kako se obrađuju osobni podaci, i one koja to radi u njezino ime. Prva se u GDPR-u naziva voditeljem obrade, druga se naziva obradom. Trebate takav sporazum čim outsourcate obradu osobnih podataka drugom poduzeću, na primjer agenciji za administraciju plaća, hosting pružatelju ili SaaS alatu koji sadrži podatke o kupcima.
Jezgra je jednostavna: zakon nalaže ovaj sporazum jer voditelj obrade ostaje odgovoran za ono što se s podacima dešava, čak i ako drugo poduzeće obavlja tehnički rad. Bez jasnih sporazuma nije jasno što druga strana može ili ne može raditi s podacima, kako dugo se čuvaju i što se dešava ako dođe do kršenja podataka. Ugovor o obradi čini tu podjelu vidljivom.
Kada se radi o obraćaču
Nisu sve strane s kojima surađujete obraćač. Računovođa koji u vašem imenu izrađuje godišnje financijske izvještaje s vlastitom stručnom odgovornošću obično je sam voditelj obrade za taj zadatak. Servis u oblaku koji sprema i obrađuje vašu bazu podataka o kupcima prema vašim uputama obično je obraćač. Razlika je u pitanju tko određuje cilj i sredstva obrade. Ako niste sigurni je li strana obraćač, priručnik Nadzornog tijela za zaštitu podataka daje smjernice za to, te to možete obraditi po situaciji u priručniku s temama GDPR-a po situaciji.
Što mora biti uključeno u najmanju mjeru
GDPR spominje niz tema koje se moraju uregulirati u ugovoru o obradi: predmet i trajanje obrade, njezina priroda i cilj, vrsta osobnih podataka i kategorije ispitanika, obaveze i prava voditeljice obrade, te dogovore o sigurnosti, povjerljivosti, podobraćačima i načinu suradnje pri nadzoru. U dokumentu stoji i kako se rukuje mogućim kršenjem podataka kod obraćača, te što se s podacima događa nakon završetka suradnje.
Ova nabrajanja doslovno se nalaze u samoj uredbi; ako želite ponovno pročitati točnu formulaciju, pronaći ćete je na EUR-Lex stranici. Nadzorni organi poput EDPB-a publikovali su dodatne smjernice o tome kako se ta odredba tumači u praksi, na primjer oko pitanja kada podobraćač mora biti prethodno obaviješten.
Tko sastavlja sporazum
U praksi često veća strana dostavi predložak: dobavljač softvera pošalje svoj vlastiti ugovor o obradi sa pretplatom, ili klijent vam ga pošalje jer obrađujete za njega podatke. To ne znači da trebate potpisati dostavljeni tekst kako jest. Preporučljivo je provjeriti jesu li svi spomenuti predmeti uključeni, jesu li dogovori o sigurnosti usklađeni s vašim očekivanjima od druge strane, te je li odgovornost razumno razdijeljena. Ako ste nesigurni glede određene klauzule, preporučuje se da je proslijedite pravniku.
Zašto je to više od potpisivanja
Ugovor o obradi nije formalnost koju jednokratno riješite i onda zaboravite. Čim dobavljač alata promijeni, angažirate podobraćača izvan EU-a, ili se priroda obrade podataka promijeni, postojeći sporazum može zastarjeti. Poduzeća koja koriste nekoliko SaaS alata brzo imaju deset do dvadeset takvih sporazuma, svaki sa svojom razdobljem trajanja i vlastitim uvjetima. Pratiti koje sporazume imate, koji su zastarjeli i koji nedostaju, odvojena je zadaća pored svakodnevnog rada poduzeća.
Sigurnosni dogovori uključeni u sporazum također zaslužuju pozornost: oni govore kako obraćač upravlja pristupom, enkripcijom i obavijestima o incidentima. Više o tome što je relevantno čitajte na stranici o sigurnosti osobnih podataka kod obraćača.
Što možete učiniti sami
Kod svake nove suradnje provjerite je li se dijele osobni podaci i, ako je slučaj, je li potreban i postoji li ugovor o obradi podataka. Čuvajte te ugovore pregledano, zajedno s registrom aktivnosti obrade u kojem je navedeno koji alat obrađuje koje podatke. Ako ste u nedoumici je li određeni ugovor potpun, možete ga besplatno provjeriti na važnijim dijelovima. Za često postavljana pitanja o ovoj temi, poput što se događa ako dobavljač ne želi potpisati ugovor, postoji pregled na stranici s često postavljana pitanja o GDPR-u.
Želite li znati kako se to uklapa u vašu vlastitu situaciju, na primjer koliko ugovora o obradi podataka vjerojatno trebate i koji od njih trebaju pažnju? Učinite besplatnu brzu procjenu ili registrirajte poslovni račun da bi registar radio zajedno s vama. Na taj način za nekoliko minuta vidite gdje se nalazite, bez da ste odmah obavezni nešto učiniti.