Ugovor o obradi podataka: kontrolni popis za web alate

Gotovo svaki alat koji upotrebljavate na svojoj web stranici obrađuje podatke u Vaše ime: web analitika, newsletter, CRM, toplinska karta, chat. Čim su pritom u igri osobni podaci, GDPR zahtijeva ugovor s pružateljem. Zove se ugovor o obradi podataka, na njemačkom Auftragsverarbeitungsvertrag, skraćeno AV-Vertrag ili AVV. Ovaj članak objašnjava kada Vam je potreban, što mora sadržavati i na što trebate misliti pri odabiru alata.

Kada Vam je potreban ugovor o obradi podataka

Čl. 28. GDPR-a primjenjuje se kada pružatelj usluge obrađuje osobne podatke u Vaše ime i prema Vašim uputama. Vi ste tada voditelj obrade, a pružatelj je izvršitelj obrade. Tekst zakona nalazite u GDPR-u na EUR-Lexu.

Nije svaki odnos obrada u ime voditelja. Treba razlikovati tri konstelacije:

Odlučujuće je tko određuje svrhu i sredstva, a ne kako se ugovor zove. Pružatelj koji podatke upotrebljava i u vlastite svrhe, primjerice za poboljšanje vlastitih proizvoda mimo usluge za Vas, za taj dio više nije izvršitelj obrade. Prema čl. 28. st. 10. izvršitelj obrade koji sam određuje svrhu i sredstva smatra se za tu obradu voditeljem obrade.

Obvezni sadržaji prema čl. 28. st. 3.

Ugovor mora odrediti predmet i trajanje obrade, vrstu i svrhu, vrstu podataka i kategorije ispitanika. Osim toga mora predvidjeti da izvršitelj obrade:

• a) podatke obrađuje samo prema dokumentiranim uputama, i kod prijenosa u treću zemlju,
• b) angažira osobe obvezane na povjerljivost,
• c) poduzima mjere prema čl. 32.,
• d) poštuje uvjete za daljnje izvršitelje obrade,
• e) pomaže Vam kod zahtjeva ispitanika,
• f) pomaže Vam kod obveza iz čl. 32. do 36.,
• g) nakon završetka usluge briše ili vraća podatke prema Vašem izboru,
• h) dostavlja dokaze i omogućuje provjere.

Ugovor se sastavlja u pisanom obliku, a dovoljan je elektronički format (st. 9.). Okvirni uzorak nudi Europska komisija sa standardnim ugovornim klauzulama za obradu podataka. Prema čl. 28. st. 6. ugovor se može u cijelosti ili djelomično temeljiti na njima.

Podizvršitelji

Ako pružatelj sam angažira pružatelje usluga, primjerice davatelja hostinga, vrijede dva pravila iz čl. 28. st. 2. i 4.:

• Potrebno mu je Vaše prethodno posebno ili opće pisano odobrenje. Kod općeg odobrenja mora Vas obavijestiti o svakoj planiranoj promjeni. Tada možete uložiti prigovor.
• Podizvršiteljima mora nametnuti iste obveze zaštite podataka. Ako podizvršitelj to ne poštuje, prvi izvršitelj obrade odgovara Vama.

Zato od pružatelja zatražite aktualni popis njegovih podizvršitelja, sa sjedištem i zadaćom.

Treća zemlja

Ako se podaci obrađuju izvan EU-a i EGP-a ili su odande dostupni, dodatno vrijede pravila o prijenosu u treće zemlje (poglavlje V., čl. 44. i dalje GDPR-a). Uobičajena su tri puta: odluka Komisije o primjerenosti, standardne ugovorne klauzule za prijenos ili obvezujuća korporativna pravila. Za SAD od 2023. postoji odluka o primjerenosti za okvir EU-US Data Privacy Framework. Vrijedi samo za tvrtke koje sudjeluju u okviru. Osporava se pred sudom, provjerite aktualno stanje. Poslužitelj u EU-u rješava tu temu ako ni pružatelj ni podizvršitelj iz treće zemlje ne mogu pristupiti podacima.

Kontrolni popis za alate za analitiku i marketing

1. Razjasniti ulogu. Obrađuje li pružatelj samo za Vas ili i u vlastite svrhe?
2. Provjeriti ugovor. Sadrži li sve točke iz čl. 28. st. 3.?
3. Opisati podatke. Jesu li vrsta podataka i kategorije ispitanika konkretno navedene?
4. Pogledati podizvršitelje. Postoji li popis i postupak u slučaju promjena?
5. Raspitati se o lokaciji poslužitelja. Gdje se podaci nalaze, tko im može pristupiti?
6. Dokumentirati put za treću zemlju. Koja osnova nosi prijenos?
7. Urediti brisanje. Što se događa s podacima nakon završetka ugovora?
8. Pročitati tehničke mjere. Šifriranje, prava pristupa, bilježenje.

Ugovor priložite svojoj dokumentaciji, a alat uvrstite u svoju evidenciju aktivnosti obrade prema čl. 30. GDPR-a. Osobito kod alata koji se učitavaju tek nakon privole ugovor je drugi, zaseban preduvjet. Privola na uređaju ne zamjenjuje ga, kako pokazuje članak § 25 TDDDG: kolačići i praćenje u Njemačkoj.

Što prijeti kod povreda

Ako ugovora nema ili je nepotpun, nadzorno tijelo to može prigovoriti. Za povrede obveza iz čl. 28. čl. 83. st. 4. GDPR-a predviđa novčane kazne do 10 milijuna eura ili do 2 posto ukupnog svjetskog godišnjeg prometa, ovisno o tome koji je iznos viši. To je okvir, a ne prognoza za pojedinačni slučaj.

A u Švicarskoj?

Švicarski zakon o zaštiti podataka uređuje obradu u ime voditelja u čl. 9. DSG-a. Misao je slična, formulacija drukčija. Tko se obraća ispitanicima u EU-u, u pravilu treba ugovor prema GDPR-u. Odnosi li se to na Vašu ponudu, objašnjava članak Praćenje web stranica u Švicarskoj: revDSG i FMG.

Često postavljana pitanja

Trebam li ugovor o obradi podataka ako alat prikazuje samo nazive tvrtki? To ovisi obrađuje li pružatelj pritom za Vas osobne podatke, primjerice IP adrese, makar i kratkotrajno. U sumnji sklopite ugovor, košta gotovo ništa. Je li IP adresa osobni podatak, objašnjava članak IP adresa i GDPR: je li osobni podatak?.

Je li dovoljno prihvatiti opće uvjete pružatelja? Samo ako u njima stoje svi obvezni sadržaji, a uređenje je jasno prepoznatljivo kao ugovor ili dodatak. Mnogi pružatelji ugovor o obradi podataka stavljaju na raspolaganje kao zaseban dokument za sklapanje.

Moram li ugovor potpisati? Mora biti sastavljen u pisanom obliku. Elektronički format dovoljan je prema čl. 28. st. 9., pa je sklapanje klikom uobičajeno.