Ugovor o obradi podataka i podizvršitelji obrade

Modul 9: Ljudi i pravila · Vrijeme čitanja: 11 minuta

Cilj učenja: Nakon ove lekcije moći ćete pročitati i provjeriti ugovor o obradi podataka prema točkama koje zahtijeva GDPR, te procijeniti popis podizvršitelja obrade.

Ključni pojmovi: ugovor o obradi podataka (DPA), čl. 28. st. 3. GDPR-a, pisane upute, povjerljivost, sigurnosne mjere, podizvršitelj obrade, opća ili posebna suglasnost, pravo na prigovor, pomoć, vraćanje ili brisanje, revizija (audit), prijenos izvan EGP-a, rok prijave povrede osobnih podataka, standardne ugovorne klauzule za izvršitelje obrade

Zašto ugovor o obradi podataka?

U lekciji 1.2 vidjeli ste uloge: Bakkerij De Korrel je voditelj obrade, usluga u oblaku je izvršitelj obrade. Članak 28. stavak 3. GDPR-a zahtijeva da obrada od strane izvršitelja obrade bude uređena ugovorom (ili drugim pravnim aktom) koji je u pisanom obliku. Elektronički oblik je također dopušten. To je ugovor o obradi podataka, u engleskom jeziku poznat kao Data Processing Agreement (DPA) ili Data Processing Addendum.

Kod velikih usluga u oblaku ne potpisujete sami dokument: ugovor o obradi podataka dio je uvjeta s kojima se slažete, ili označavate kućicu u administracijskom sučelju. Kod manjih pružatelja usluga ponekad preuzimate dokument, unosite svoje podatke i potpisujete ga. U svakom slučaju, kao voditelj obrade morate moći pokazati da ugovor o obradi podataka postoji i što sadrži.

Ovo je objašnjenje, a ne pravni savjet. Ako imate dvojbe oko vlastitih ugovora, obratite se pravniku ili svom službeniku za zaštitu podataka.

Što prema GDPR-u mora sadržavati

Članak 28. stavak 3. najprije navodi teme koje ugovor mora opisivati: predmet i trajanje obrade, prirodu i svrhu, vrstu osobnih podataka, kategorije ispitanika, te prava i obveze voditelja obrade. Zatim slijedi osam obveza izvršitelja obrade (podtočke a do h). U nastavku je to objašnjeno jednostavnim jezikom, s pitanjem koje si postavljate pri čitanju:

Europska komisija objavila je i standardne ugovorne klauzule za izvršitelje obrade (Provedbena odluka (EU) 2021/915). Njih smijete koristiti kao ugovor o obradi podataka; sadrže sve obvezne točke. Mnogi manji pružatelji usluga koriste vlastiti predložak, u Nizozemskoj često temeljen na predlošku strukovnih udruženja.

Podizvršitelji obrade: tko stoji iza Vašeg pružatelja usluge?

Vaša usluga u oblaku ne radi sve sama. Podizvršitelj obrade je strana koju izvršitelj obrade angažira, a koja ima pristup Vašim podacima, na primjer:

• podatkovni centar (ako nije u vlasništvu samog pružatelja usluge);
• dobavljač za pohranu sigurnosnih kopija;
• tvrtka koja filtrira poštu zbog neželjene pošte (spam) ili virusa;
• partner za podršku ili razvojni programer koji na daljinu nadzire sustav;
• usluga umjetne inteligencije ako pružatelj usluge nudi AI funkciju.

Članak 28. stavak 2. kaže: izvršitelj obrade ne smije angažirati podizvršitelja obrade bez prethodne posebne ili opće pisane suglasnosti voditelja obrade. Kod opće suglasnosti izvršitelj obrade mora Vas obavijestiti o novim ili zamijenjenim podizvršiteljima, kako biste mogli uložiti prigovor. U praksi to funkcionira ovako: pružatelj usluge objavljuje popis, prijavljuje izmjene (putem e-pošte ili na stranici koju možete pratiti), a Vi imate rok za podnošenje prigovora. Ako uložite prigovor i ne pronađe se rješenje, obično možete otkazati ugovor.

Prema stavku 4., podizvršitelj obrade mora imati jednake obveze, a izvršitelj obrade ostaje prema Vama u potpunosti odgovoran.

Na što dodatno obratiti pažnju pri prelasku na europsku uslugu

Pri prelasku na europsku uslugu, u popisu podizvršitelja obrade obratite pozornost prvenstveno na dvije stvari:

1. Gdje se nalaze podizvršitelji obrade? Europski pružatelj usluge koji svoju poštu filtrira putem američke usluge, ili svoje sigurnosne kopije pohranjuje kod američkog pružatelja oblaka, time Vaše podatke ipak izlaže djelovanju CLOUD Act zakona (lekcija 1.3). Provjerite zemlju i matičnu tvrtku svakog podizvršitelja obrade.
2. Što rade? Registar domena koji zna samo Vaše ime i adresu kao vlasnika domene nešto je sasvim drugo od strane koja pohranjuje Vaše poštanske sandučiće.

Pročitajte i članak o prijenosu podataka. Dobar europski ugovor o obradi podataka navodi da se podaci obrađuju unutar EU-a ili EGP-a, te da je prijenos izvan toga dopušten samo uz Vašu prethodnu suglasnost. Ako piše "smijemo obrađivati podatke diljem svijeta uz odgovarajuće zaštitne mjere", onda znate da je prijenos podataka moguć.

Signali na koje treba obratiti pažnju

• Nema dostupnog ugovora o obradi podataka kod usluge namijenjene poslovnoj upotrebi: nije dobar izbor.
• Zastarjeli popis podizvršitelja obrade koji se ne podudara s onim što pružatelj usluge navodi na drugim mjestima (na primjer drugačiji podatkovni centar): zatražite pojašnjenje.
• Rok za prijavu povrede osobnih podataka koji je toliko dug da ne možete ispoštovati vlastiti rok od 72 sata (čl. 33). Mnogi ugovori o obradi podataka navode 24 ili 48 sati.
• Odgovornost koja je u potpunosti isključena. To je uobičajeno do određene mjere, ali govori nešto o tome koliko je pružatelj usluge siguran u sebe.
• Nema uređenja za kraj suradnje: što se događa s Vašim podacima nakon otkazivanja, i dobivate li potvrdu o brisanju?

Tko potpisuje i gdje se ugovor čuva?

Kod De Korrel potpisuje Sanne kao vlasnica. Ona čuva ugovor o obradi podataka uz evidenciju aktivnosti obrade (lekcija 9.3), s datumom i verzijom. Ako pružatelj usluge promijeni ugovor o obradi podataka ili podizvršitelje obrade, ona čuva i tu obavijest. Kod nadzora nadležnog tijela, ili na upit klijenta ("kako postupate s mojim podacima?"), to može odmah pokazati.

U praksi: tako to izgleda kod jednog pružatelja usluge

WebOké ima standardni ugovor o obradi podataka s prilogom koji navodi angažirane treće strane, u kojem stoji da se obrada odvija unutar EU-a i da je prijenos izvan toga dopušten samo uz pisanu suglasnost. U često postavljanim pitanjima Nextcloud priručnika navedeno je kada Vam je ugovor potreban. Kod drugih pružatelja usluga dokument se često naziva "Data Processing Agreement", a popis podizvršitelja obrade nalazi se na zasebnoj stranici ("Subprocessors"). Usporedite taj popis s onim što pružatelj usluge na svojoj web stranici navodi o podatkovnim centrima i podršci.

Sažetak

• Članak 28. stavak 3. GDPR-a zahtijeva pisani ugovor o obradi podataka s fiksnim temama i osam obveza izvršitelja obrade.
• Provjerite osobito: nema vlastitih svrha, sigurnost, podizvršitelji obrade, pomoć kod povreda osobnih podataka, vraćanje ili brisanje nakon prestanka, te revizije.
• Podizvršitelji obrade samo uz Vašu suglasnost; kod opće suglasnosti morate biti obaviješteni o izmjenama i moći uložiti prigovor.
• Pri prelasku na europsku uslugu u popisu podizvršitelja obrade provjerite zemlju i matičnu tvrtku svake strane.
• Čuvajte ugovor o obradi podataka i obavijesti o izmjenama uz svoju evidenciju aktivnosti obrade.

Kviz

Zadatak

Zadatak E9.2: Provjerite ugovor o obradi podataka. Uzmite ugovor o obradi podataka Vaše trenutačne ili nove usluge u oblaku. Prođite kroz osam točaka od a do h i zabilježite za svaku: je li navedeno (da, ne, nejasno) i gdje. Procijenite popis podizvršitelja obrade: za svakog podizvršitelja obrade zabilježite zemlju, matičnu tvrtku i što radi.

Dodatno štivo

Koraci u ovim člancima vrijede za usluge WebOké; kod drugih pružatelja usluga postupak je sličan.

• Nextcloud priručnik 15.13: Često postavljana pitanja o sigurnosti i privatnosti
• Nextcloud priručnik 14.8: AI asistent u Vašem Nextcloudu
• Uredba (EU) 2016/679 (GDPR), članak 28., na EUR-Lex
• Provedbena odluka (EU) 2021/915 (standardne ugovorne klauzule između voditelja obrade i izvršitelja obrade), na EUR-Lex
• Nizozemsko nadzorno tijelo Autoriteit Persoonsgegevens, tema "Verwerkersovereenkomst" (ugovor o obradi podataka): https://www.autoriteitpersoonsgegevens.nl