Evidencija aktivnosti obrade, DPIA i dovršetak prelaska

Modul 9: Ljudi i pravila · Vrijeme čitanja: 12 minuta

Cilj učenja: Nakon ove lekcije moći ćete ažurirati evidenciju aktivnosti obrade i izjavu o privatnosti nakon prelaska, utvrditi je li potrebna DPIA, urednо dati izbrisati staru uslugu i formalno dovršiti prelazak uz završnu provjeru.

Ključni pojmovi: evidencija aktivnosti obrade (čl. 30), iznimka za manje od 250 zaposlenika, DPIA (čl. 35), DPIA popis AZOP-a, izjava o privatnosti (čl. 13 i 14), primatelji, prijenos podataka, obveza prijave povrede (čl. 33), brisanje kod stare usluge, potvrda brisanja, evaluacija, završna provjera

Prelazak je dovršen tek kada papirologija bude u redu

Pošta radi, datoteke su tu, svi rade u novom okruženju. Tehnički ste gotovi. No za Opću uredbu o zaštiti podataka (GDPR) ostaje još posla: Vaša dokumentacija još uvijek opisuje staro stanje. Kod upita klijenta, nadzora ili povrede podataka htjet ćete pokazati kako stvari sada stoje. Ova lekcija zaokružuje prelazak.

Ovo je objašnjenje, a ne pravni savjet.

Evidencija aktivnosti obrade

Članak 30. stavak 1. Opće uredbe o zaštiti podataka (GDPR) obvezuje voditelja obrade da vodi evidenciju aktivnosti obrade. U njoj se za svaku obradu (na primjer "narudžbe kupaca", "evidencija zaposlenika", "newsletter") navodi:

• naziv i kontaktni podaci voditelja obrade (i eventualno službenika za zaštitu podataka);
• svrhe obrade;
• kategorije ispitanika i osobnih podataka;
• primatelji, uključujući izvršitelje obrade;
• prijenosi u zemlje izvan EGP-a, s odgovarajućim zaštitnim mjerama;
• rokovi čuvanja, gdje je to moguće;
• opći opis sigurnosnih mjera, gdje je to moguće.

Vrijedi li to i za malu organizaciju?

Članak 30. stavak 5. sadrži iznimku za organizacije s manje od 250 zaposlenika. No ta iznimka ne vrijedi ako obrada vjerojatno predstavlja rizik, ako nije povremena, ili ako uključuje posebne kategorije osobnih podataka (poput zdravstvenih) ili podatke o kaznenim djelima. Nizozemsko nadzorno tijelo objašnjava da su obrade u praksi rijetko povremene: čim imate zaposlenike ili stalne klijente, obrađujete podatke strukturno. Za Bakkerij De Korrel s obračunom plaća, narudžbama kupaca i prijavama bolovanja iznimka dakle ne vrijedi.

Postoji europski prijedlog za ublažavanje obveze vođenja evidencije za manje organizacije (takozvani paket Omnibus IV; u lipnju 2026. Vijeće i Parlament postigli su privremeni dogovor). Dok to ne stupi na snagu, vrijedi trenutačni članak 30. A i nakon toga pregledan popis ostaje koristan: trebate ga da biste mogli ispuniti ostatak svojih obveza.

Što prilagođavate nakon prelaska?

Prođite kroz svaki redak Vaše evidencije i prilagodite:

Prelazak je dobar trenutak da konačno stvarno uredite rokove čuvanja. Za poreznu dokumentaciju u Nizozemskoj u pravilu vrijedi obveza čuvanja od sedam godina; za podatke o prijavama za posao nizozemsko nadzorno tijelo u načelu savjetuje četiri tjedna nakon postupka. Provjerite koji rokovi vrijede za Vašu djelatnost (u Hrvatskoj mogu vrijediti drugačiji rokovi).

Trebate li napraviti DPIA?

DPIA (procjena učinka na zaštitu podataka, data protection impact assessment) strukturirana je prethodna analiza rizika. Članak 35. obvezuje na provedbu DPIA ako obrada vjerojatno predstavlja visok rizik za ispitanike, osobito kod nove tehnologije.

Kako znate je li to slučaj?

1. Popis AP-a. Nizozemsko nadzorno tijelo (Autoriteit Persoonsgegevens) objavilo je 2019. godine popis od sedamnaest vrsta obrada za koje je DPIA uvijek obvezna. Na njemu se, među ostalim, nalaze opsežna obrada zdravstvenih podataka, video-nadzor, praćenje zaposlenika, komunikacijski podaci, podaci o lokaciji, profiliranje i biometrija. Svako nadzorno tijelo u EU ima vlastiti DPIA popis (čl. 35. st. 4.), pa je vrijedno provjeriti i popis Vašeg nadzornog tijela (u Hrvatskoj: AZOP).
2. Europski kriteriji. Europska nadzorna tijela sastavila su devet kriterija (poput osjetljivih podataka, velikog opsega, ranjivih ispitanika, sustavnog praćenja, nove tehnologije). Ispunjava li obrada dva ili više kriterija, DPIA je u pravilu potrebna.

Za pekarnicu koja prebacuje poštu i datoteke, DPIA obično nije obvezna. Za ordinaciju obiteljske medicine koja premješta komunikaciju s pacijentima na novu uslugu, ili školu s podacima o učenicima, to je drugačije. Čak i kad nije obvezna, kratka analiza rizika može biti korisna. Procjena iz lekcije 1.5 dobar je početak za to. Ako već imate DPIA za staru uslugu, ažurirajte je.

Izjava o privatnosti

U svojoj izjavi o privatnosti objašnjavate ispitanicima (klijentima, kandidatima za posao, posjetiteljima web stranice) kako postupate s njihovim podacima (čl. 13. i 14.). Ondje se navode, među ostalim, primatelji ili kategorije primatelja i eventualni prijenosi izvan EGP-a. Je li pisalo "koristimo usluge tvrtki u Sjedinjenim Državama na temelju Data Privacy Frameworka", prilagodite to. Ne mijenjajte ništa što nije točno: navedite samo ono što zaista sa sigurnošću znate iz ugovora o obradi podataka i popisa podizvršitelja.

Povrede podataka: znajte koga zvati

Nakon prelaska Vaš se pružatelj usluge promijenio, a time i postupak kod povrede podataka. U svojem postupku navedite:

• kontakt adresu novog pružatelja usluge za sigurnosne incidente;
• rok u kojem Vas pružatelj usluge prema ugovoru o obradi podataka obavještava;
• tko kod Vas odlučuje treba li prijaviti povredu, jer prijava nadzornom tijelu mora biti podnesena u roku od 72 sata od otkrivanja (čl. 33.);
• gdje vodite evidenciju povreda podataka: i povrede koje ne morate prijaviti morate interno zabilježiti (čl. 33. st. 5.).

Dovršetak kod stare usluge

Otkažite staru uslugu tek kada sve ispravno radi nekoliko tjedana (lekcija 3.3). Zatim:

1. Posljednja provjera: je li sve preneseno? Postoje li zajedničke mape, obrasci ili poveznice koje i dalje upućuju na staru uslugu?
2. Izvezite posljednju arhivu za vlastitu dokumentaciju, ako to želite sačuvati (na primjer poštu koja podliježe obvezi čuvanja). Čuvajte je šifrirano.
3. Izbrišite račune i podatke kod stare usluge, ili ih dajte izbrisati. Članak 28. stavak 3. točka g. obvezuje starog izvršitelja obrade da nakon završetka izbriše ili vrati podatke, prema Vašem izboru. Zatražite potvrdu brisanja i čuvajte je uz svoju evidenciju.
4. Uredite poveznice: poveznice za prijavu putem drugih usluga ("prijavi se putem"), aplikacije s pristupom i verifikacijske zapise u Vašem DNS-u (lekcija 4.3).
5. Prilagodite svoju evidenciju, izjavu o privatnosti i postupak za povrede podataka (vidi gore).

Evaluacija

Planirajte kratku evaluaciju mjesec dana nakon prelaska, zajedno s ambasadorima (lekcija 9.1). Što je dobro prošlo, što nije, što biste sljedeći put učinili drugačije? Zabilježite i svoj plan izlaska (exit) za novu uslugu (lekcija 8.2) te odredite datum u kalendaru za njegovo godišnje testiranje.

U praksi: ovako to izgleda kod pružatelja usluge

Mnogi pružatelji usluga imaju funkciju za preuzimanje Vaših podataka ili brisanje Vašeg računa. Kod WebOké u WebOké priručniku piše kako preuzeti ili dati izbrisati svoje podatke. Kod velikih američkih usluga to se obično naziva "izvoz podataka" i "brisanje računa", a administrator računa organizacije ima vlastite funkcije izvoza. Unaprijed provjerite koliko dugo usluga nakon brisanja još čuva podatke u sigurnosnim kopijama; to često piše u izjavi o privatnosti ili ugovoru o obradi podataka.

Završna provjera

• [ ] Svi dijelovi iz popisa stanja (lekcija 3.1) nalaze se u novom okruženju i provjereni su
• [ ] Ugovor(i) o obradi podataka s novim pružateljem/pružateljima usluge sklopljeni i sačuvani (lekcija 9.2)
• [ ] Evidencija aktivnosti obrade ažurirana: primatelji, prijenosi, sigurnost, rokovi čuvanja
• [ ] DPIA procijenjena (potrebna ili ne, i razlog zabilježen)
• [ ] Izjava o privatnosti prilagođena
• [ ] Postupak za povrede podataka s novim kontaktnim podacima
• [ ] Stara usluga otkazana, podaci izbrisani, potvrda sačuvana
• [ ] Poveznice i stari DNS zapisi uređeni
• [ ] Sigurnosna kopija novog okruženja postavljena i testirana (lekcija 8.1)
• [ ] Plan izlaska (exit) za novu uslugu zabilježen (lekcija 8.2)
• [ ] Evaluacija provedena

Sažetak

• Nakon prelaska ažurirajte evidenciju aktivnosti obrade: primatelje, prijenose, sigurnost i rokove čuvanja.
• Iznimka za manje od 250 zaposlenika u praksi rijetko vrijedi; prijedlog za njezino ublažavanje još nije na snazi (stanje studeni 2026.).
• DPIA je obvezna kod visokog rizika (popis nadzornog tijela, europski kriteriji); za uobičajene uredske podatke obično nije.
• Prilagodite svoju izjavu o privatnosti i postupak za povrede podataka.
• Zatražite od stare usluge da izbriše Vaše podatke i zatražite potvrdu.

Kviz

Zadatak

Zadatak E9.3: Dovršite svoj prelazak. Za tri obrade iz Vaše organizacije ažurirajte retke u evidenciji aktivnosti obrade (primatelji, prijenos, sigurnost, rok čuvanja), uz pomoć DPIA popisa nadzornog tijela i europskih kriterija procijenite je li potrebna DPIA, te ispunite završnu provjeru.

Dodatno štivo

Koraci u ovim člancima vrijede za usluge WebOké; kod drugih pružatelja usluga postupak je sličan.

• Priručnik za WebOké 11.7: Privatnost: preuzimanje ili brisanje Vaših podataka
• Nextcloud priručnik 16.7: Kolega odlazi: sigurno preuzimanje datoteka, kalendara i dijeljenih mapa
• Nextcloud priručnik 15.13: Često postavljana pitanja o sigurnosti i privatnosti
• Uredba (EU) 2016/679 (Opća uredba o zaštiti podataka, GDPR), članci 13., 14., 28., 30., 33. i 35., na EUR-Lex
• Odluka o popisu obrada osobnih podataka za koje je DPIA obvezna (nizozemsko nadzorno tijelo, Stcrt. 2019), na wetten.overheid.nl (BWBR0042812); svako nadzorno tijelo u EU, pa tako i hrvatski AZOP, ima vlastiti takav popis
• Nizozemsko nadzorno tijelo (Autoriteit Persoonsgegevens), teme "Register van verwerkingsactiviteiten" i "DPIA": https://www.autoriteitpersoonsgegevens.nl
• Je li ovo povreda osobnih podataka i moram li je prijaviti?