Ali moram podpisati pogodbo o obdelavi podatkov, ki jo pošlje moja stranka?

Podpisovanje ni obveznost, preverjanje je

Ne, ni zakonske obveznosti podpisati pogodbo med upravljavcem in obdelovalcem samo zato, ker jo pošlje naročilec. Pogodba med upravljavcem in obdelovalcem je dogovor med dvema stranema, in kot pri vseh pogodbah velja: najprej pogledaš, kaj je v njej napisano, preden postaviš podpis. Naročilec, ki pošlje pogodbo, ne določa samodejno njene vsebine — ta vsebina mora izpolnjevati določene zahteve, in to je kaj drugega kot »moram sprejeti ta dokument«.

Kaj je res relevantno: če kot obdelovalec obdelujuješ osebne podatke na naročilo tega naročilca, Uredba o varstvu podatkov predpisuje, da mora obstajati pogodba med upravljavcem in obdelovalcem z vrsto obveznih elementov. Torej ne gre za to, ali podpišeš, ampak ali besedilo, ki ga prejmeš, zajema te elemente in se ujema s tem, kaj se dogaja v praksi. Osnutek, ki je presneto splošno oblikovan, ureja stvari, ki se ne skladajo z dejansko opravljanjem storitve, ali pa manjkajo elementi, je razlog za prilagoditve ali predlog lastne različice — ne pa za nemoteno podpisovanje.

Kaj o tem predpisuje člen 28 Uredbe o varstvu podatkov

Člen 28 Uredbe o varstvu podatkov predpisuje, da obdelavo podatkov s strani obdelovalca je treba urediti s pogodbo ali drugo pravno dejanjem, in navaja, katere zadeve morajo biti vključene — med drugim predmet in trajanje obdelave, naravo in namen, vrsto osebnih podatkov in kategorije upravičencev, ter obveznosti in pravice upravljavca. Ta člen ne govori o tem, kdo dokument pripravi ali pošlje; govori samo o tem, kaj mora biti napisano. Za celotno besedilo je sama Uredba izvor, pri dvomih pa je lahko baza znanja Urada za varstvo podatkov v ozadju — čeprav se ta organ ne ukvarja z ocenjevanjem posamičnih pogodb.