Saznajte više u Smjernicama Europskog odobra za zaštitu podataka o pojmovima voditelja i izvršitelja obrade u Općoj uredbi o zaštiti podataka

Web alat Olivia (moduli odnos između voditelja i izvršitelja obrade)

VODITELJ, IZVRŠITELJ I ZAJEDNIČKI VODITELJI OBRADE

Pravilno utvrđivanje uloge voditelja obrade, izvršitelja obrade i zajedničkih voditelja obrade važno je jer o toj ulozi ovisi tko odgovara za zakonitost obrade, pružanje informacija ispitanicima, ostvarivanje njihovih prava, sigurnost osobnih podataka, procjenu učinka na zaštitu podataka, postupanje u slučaju povrede osobnih podataka i ispunjavanje drugih obveza iz Opće uredbe o zaštiti podataka.

Prema Smjernicama EDPB-a 07/2020 o pojmovima voditelja i izvršitelja obrade, te su uloge funkcionalne. Utvrđuju se prema stvarnim okolnostima i stvarnom utjecaju pojedinog subjekta na obradu, a ne samo prema nazivu koji su strane navele u ugovoru.

Subjekt se ne može proglasiti izvršiteljem obrade ako u stvarnosti sam određuje svrhu i ključna sredstva obrade. Jednako tako, sama činjenica da dvije organizacije surađuju ili razmjenjuju podatke ne znači da su zajednički voditelji obrade.

Uloge se moraju procijeniti za svaku konkretnu aktivnost obrade. Isti subjekt može za jednu obradu biti voditelj, za drugu izvršitelj, a za treću zajednički voditelj obrade.

Najjednostavnije razlikovanje uloga jest sljedeće:

• voditelj obrade određuje zašto se podaci obrađuju i odlučuje o ključnim elementima obrade
• izvršitelj obrade kao zaseban subjekt obrađuje podatke u ime voditelja i prema njegovim dokumentiranim uputama
• zajednički voditelji obrade zajedno određuju svrhu i ključna sredstva iste obrade.

VODITELJ OBRADE

Voditelj obrade može biti fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samostalno ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka.

Voditelj obrade odlučuje zašto se osobni podaci obrađuju i određuje ključne elemente njihova korištenja. Ključna sredstva obrade osobito uključuju odluke o tome:

• čiji će se osobni podaci obrađivati
• koje će se vrste osobnih podataka obrađivati
• u koje će se svrhe podaci koristiti
• koliko će dugo podaci biti pohranjeni
• kojim će osobama ili kategorijama primatelja podaci biti dostupni.

Praktične i tehničke pojedinosti, kao što su izbor određenog programa, poslužiteljske opreme ili pojedinačnih sigurnosnih rješenja, voditelj može prepustiti izvršitelju obrade. Međutim, voditelj mora zadržati stvarni nadzor nad svrhom i ključnim sredstvima obrade.

Voditelj obrade ne mora neposredno pristupati osobnim podacima. Organizacija može biti voditelj i kada su svi podaci pohranjeni kod vanjskog pružatelja usluge.

Voditelj obrade u pravilu je pravna osoba ili tijelo u cjelini, a ne njegov direktor, ravnatelj, zaposlenik, pojedini odjel ili službenik za zaštitu podataka. Službenik za zaštitu podataka savjetuje voditelja i prati usklađenost, ali zbog obavljanja tih poslova ne postaje voditelj obrade.

Voditelj obrade odgovoran je za usklađenost s načelima obrade i mora je moći dokazati. Među ostalim, mora utvrditi odgovarajuću pravnu osnovu, pružiti informacije ispitanicima, omogućiti ostvarivanje njihovih prava, odrediti rokove čuvanja, provesti odgovarajuće sigurnosne mjere, voditi evidenciju aktivnosti obrade i, kada je potrebno, provesti procjenu učinka na zaštitu podataka.

Povjeravanje pojedinih poslova izvršitelju obrade ne oslobađa voditelja tih obveza.

Primjer voditelja obrade – poslodavac

Poslodavac određuje da će obrađivati osobne podatke svojih radnika radi obračuna i isplate plaće. Poslodavac određuje čiji se podaci obrađuju, koje podatke treba koristiti, kome se oni dostavljaju i koliko se dugo čuvaju. Poslodavac ostaje voditelj obrade i kada obračun plaće povjeri vanjskom servisu.

Primjer voditelja obrade – tijelo javne vlasti

Jedinica lokalne samouprave obrađuje osobne podatke građana radi obavljanja poslova koji su joj povjereni zakonom. Iako zakon možda izričito ne koristi izraz „voditelj obrade”, ta uloga proizlazi iz zakonskih zadaća tijela i njegova odlučivanja o konkretnoj obradi potrebnoj za njihovo izvršavanje.

IZVRŠITELJ OBRADE

Izvršitelj obrade jest zaseban subjekt koji obrađuje osobne podatke u ime voditelja obrade.

Za postojanje izvršitelja obrade moraju biti ispunjena dva uvjeta:

1. izvršitelj mora biti zaseban subjekt u odnosu na voditelja obrade
2. osobne podatke mora obrađivati u ime voditelja i prema njegovim dokumentiranim uputama.

Izvršitelj ne smije određivati vlastitu svrhu korištenja povjerenih podataka. Može odlučivati o pojedinim praktičnim i tehničkim pitanjima ako mu je voditelj ostavio takvu slobodu, ali ne smije preuzeti odlučivanje o svrsi i ključnim sredstvima obrade.

Nije svaki vanjski pružatelj usluge izvršitelj obrade. Banka, odvjetničko društvo, javni bilježnik, zakonski revizor ili drugi stručni pružatelj usluge može biti samostalni voditelj kada na temelju zakona ili svoje profesionalne neovisnosti samostalno određuje svrhu i ključna sredstva obrade.

Jednako tako, trgovačko društvo koje obavlja poslove privatne zaštite nije u svakoj situaciji izvršitelj obrade. Njegova uloga ovisi o konkretnoj usluzi, zakonskim ovlastima, uputama naručitelja i stvarnoj podjeli odlučivanja.

Zaposlenici nisu izvršitelji obrade. Zaposlenici, privremeno zaposleno osoblje i druge osobe koje obrađuju podatke pod izravnom nadležnošću voditelja ili izvršitelja postupaju kao ovlaštene osobe i smiju obrađivati podatke samo prema njihovim uputama, u skladu s člankom 29. Opće uredbe.

Ni odjel unutar iste pravne osobe ne može biti izvršitelj obrade drugog odjela te pravne osobe. Izvršitelj mora biti zaseban subjekt.

Primjer izvršitelja obrade – obračun plaće

Poslodavac angažira vanjski servis da prema njegovim uputama obračunava plaće radnika. Poslodavac određuje svrhu obrade, podatke koji će se obrađivati, primatelje i rokove čuvanja. Servis može odabrati program koji će koristiti i način organizacije pristupa unutar vlastite organizacije, ali podatke ne smije koristiti u druge svrhe. Za tu je obradu vanjski servis izvršitelj obrade.

Primjer izvršitelja obrade – smještaj podataka

Organizacija pohranjuje svoju bazu podataka kod pružatelja usluge smještaja podataka. Pružatelj pohranjuje podatke prema uputama organizacije i nema pravo koristiti ih za vlastite svrhe. Organizacija je voditelj, a pružatelj usluge smještaja podataka izvršitelj obrade.

ODABIR I NADZOR IZVRŠITELJA OBRADE

Voditelj smije angažirati samo izvršitelja koji u dovoljnoj mjeri jamči provedbu odgovarajućih tehničkih i organizacijskih mjera kojima će obrada biti usklađena s Općom uredbom i kojima će se zaštititi prava ispitanika.

Pri odabiru izvršitelja potrebno je uzeti u obzir prirodu, opseg, kontekst i svrhe obrade, rizike za ispitanike, stručnost i pouzdanost izvršitelja, njegove resurse, sigurnosne politike, rezultate revizija, certifikate i druge dostupne dokaze.

Obveza voditelja ne završava potpisivanjem ugovora. Voditelj mora u primjerenim vremenskim razmacima provjeravati pruža li izvršitelj i dalje dovoljna jamstva te, kada je potrebno, provoditi revizije ili inspekcije.

Izvršitelj istodobno ima izravne obveze na temelju Opće uredbe, među ostalim u vezi s postupanjem prema uputama, povjerljivošću, sigurnošću, vođenjem evidencije, prijavljivanjem povrede voditelju, angažiranjem podizvršitelja i međunarodnim prijenosima.

UGOVOR IZMEĐU VODITELJA I IZVRŠITELJA OBRADE

Obrada koju izvršitelj provodi u ime voditelja mora biti uređena ugovorom ili drugim pravnim aktom koji je obvezujući za izvršitelja. Ugovor odnosno pravni akt mora biti dokumentiran, što uključuje i elektronički oblik.

Za postojanje odgovarajućeg ugovora odgovorni su i voditelj i izvršitelj obrade.

Ugovor mora biti prilagođen konkretnoj obradi. Nije dovoljno samo ponoviti odredbe članka 28. Opće uredbe bez objašnjenja kako će se pojedine obveze stvarno provoditi.

Ugovor mora odrediti:

• predmet i trajanje obrade
• prirodu i svrhu obrade
• vrste osobnih podataka, uključujući posebne kategorije podataka ako se obrađuju
• kategorije ispitanika
• prava i obveze voditelja obrade.

Ugovorom se mora posebno odrediti da izvršitelj:

1. obrađuje osobne podatke samo prema dokumentiranim uputama voditelja, uključujući upute o prijenosima podataka u treće zemlje
2. osigurava da su osobe ovlaštene za obradu obvezane na povjerljivost
3. provodi odgovarajuće sigurnosne mjere iz članka 32. Opće uredbe
4. poštuje uvjete za angažiranje podizvršitelja obrade
5. pomaže voditelju pri postupanju po zahtjevima ispitanika
6. pomaže voditelju u ispunjavanju obveza povezanih sa sigurnošću, povredama osobnih podataka, procjenom učinka i prethodnim savjetovanjem
7. nakon završetka pružanja usluge, prema izboru voditelja, vraća ili briše osobne podatke i postojeće kopije, osim ako je njihovo daljnje čuvanje propisano pravom Europske unije ili države članice
8. stavlja voditelju na raspolaganje informacije potrebne za dokazivanje usklađenosti te omogućuje revizije i inspekcije i pridonosi njihovoj provedbi
9. bez odgode upozorava voditelja ako smatra da neka njegova uputa krši Opću uredbu ili druge primjenjive propise o zaštiti podataka.

Preporučljivo je konkretno urediti rok i način prijavljivanja povrede voditelju, kontaktne osobe, postupanje sa zahtjevima ispitanika, sigurnosne mjere, lokacije obrade, međunarodne prijenose, rokove za povrat ili sigurno brisanje podataka te način potvrđivanja izvršenog brisanja.

Ugovor iz članka 28. uređuje međusobni odnos voditelja i izvršitelja. On nije pravna osnova za obradu osobnih podataka iz članka 6. ili, kada se obrađuju posebne kategorije podataka, članka 9. Opće uredbe.

PODIZVRŠITELJI OBRADE

Izvršitelj ne smije angažirati podizvršitelja bez prethodnog posebnog ili općeg pisanog odobrenja voditelja obrade.

Ako je voditelj dao opće odobrenje, izvršitelj ga mora aktivno i pravodobno obavijestiti o namjeravanom dodavanju ili zamjeni podizvršitelja te mu omogućiti da uloži prigovor. Nije dovoljno samo promijeniti popis podizvršitelja na internetskoj stranici bez izravne obavijesti voditelju.

Voditelju trebaju biti dostupni podaci o identitetu i lokaciji podizvršitelja, poslovima koje će obavljati, osobnim podacima kojima će pristupati i primjenjivim zaštitnim mjerama.

Izvršitelj mora podizvršitelju ugovorom ili drugim pravnim aktom nametnuti u bitnome iste obveze zaštite podataka koje ima prema voditelju. Početni izvršitelj ostaje u cijelosti odgovoran voditelju za ispunjavanje obveza podizvršitelja.

Ako se podizvršitelj nalazi u trećoj zemlji ili mu se iz treće zemlje omogućuje pristup osobnim podacima, potrebno je zasebno ispuniti zahtjeve poglavlja V. Opće uredbe.

STANDARDNE UGOVORNE KLAUZULE

Voditelj i izvršitelj mogu koristiti standardne ugovorne klauzule Europske komisije iz Provedbene odluke Komisije (EU) 2021/915 ili mogu sastaviti vlastiti ugovor koji ispunjava zahtjeve članka 28. Opće uredbe.

Korištenje standardnih klauzula nije obvezno niti one imaju prednost pred pravilno sastavljenim pojedinačnim ugovorom.

Potrebno je razlikovati:

• standardne klauzule iz Odluke 2021/915, kojima se uređuje odnos voditelja i izvršitelja unutar članka 28. Opće uredbe o zašitit podataka. Standardne ugovorne klauzule za voditelje i izvršitelje obrade Europske Komisije dostupne su na poveznici: https://azop.hr/wp-content/uploads/2024/09/HR-Annex-Standard-Contractual-Clauses-EU-EEA.docx
• standardne ugovorne klauzule iz Odluke 2021/914, koje se mogu koristiti kao zaštitna mjera za određene prijenose osobnih podataka u treće zemlje.

Klauzule iz Odluke 2021/915 same po sebi nisu mehanizam za međunarodni prijenos. Ako obrada uključuje prijenos u treću zemlju, uz uređenje odnosa voditelja i izvršitelja potrebno je zasebno ispuniti zahtjeve poglavlja V. Opće uredbe.

Standardne ugovorne klauzule za voditelje i izvršitelje obrade na hrvatskom jeziku dostupne su na mrežnim stranicama AZOP-a.

AZOP je izradio i predložak ugovora o obradi osobnih podataka prema članku 28. Opće uredbe, koji je potrebno prilagoditi konkretnoj obradi, njezinu opsegu i rizicima.

KADA IZVRŠITELJ POSTAJE VODITELJ OBRADE

Izvršitelj smije obrađivati osobne podatke samo prema dokumentiranim uputama voditelja.

Ako prekorači te upute i počne sam određivati svrhu i ključna sredstva dodatne obrade, u skladu s člankom 28. stavkom 10. Opće uredbe smatra se voditeljem obrade u odnosu na tu dodatnu obradu.

Primjer

Internetska trgovina angažira marketinšku agenciju da prema njezinim uputama šalje promotivne poruke postojećim kupcima. Za ugovoreno slanje poruka agencija je izvršitelj obrade.

Ako agencija popis kupaca uključi u vlastitu bazu i počne ga koristiti za izradu vlastitih profila, razvoj vlastitog sustava umjetne inteligencije, oglašavanje svojih usluga ili kampanje drugih klijenata, više ne postupa samo u ime internetske trgovine.

Za tu dodatnu obradu agencija je sama odredila novu svrhu i sredstva te se smatra voditeljem obrade. Takva obrada može biti nezakonita jer je izvršena izvan uputa i bez odgovarajuće pravne osnove.

Činjenica da se agencija za dodatnu obradu smatra voditeljem ne znači da automatski postaje voditelj svih obrada koje provodi za internetsku trgovinu. Za obradu koju i dalje provodi isključivo prema uputama može ostati izvršitelj obrade.

Sama ugovorna oznaka „izvršitelj obrade” ne mijenja stvarnu ulogu niti čini dodatnu obradu zakonitom.

ZAJEDNIČKI VODITELJI OBRADE

Zajednički voditelji obrade postoje kada dvije ili više strana zajednički određuju svrhe i ključna sredstva iste obrade.

Zajedničko odlučivanje može proizlaziti iz izričite zajedničke odluke ili iz usklađenih odluka koje se međusobno nadopunjuju i nužne su za provedbu obrade na dogovoreni način.

Za zajedničko vođenje nije nužno da:

• svi voditelji imaju pristup svim osobnim podacima
• svi sudjeluju u svakoj fazi obrade
• svi odlučuju o svakom pojedinom elementu obrade
• svi imaju jednak stupanj utjecaja ili odgovornosti
• se strane ugovorom izričito nazivaju zajedničkim voditeljima.

Zajedničko vođenje odnosi se samo na obradu za koju su svrhe i sredstva zajednički određeni. Za druge aktivnosti iste organizacije mogu biti zasebni voditelji ili se između njih može uspostaviti odnos voditelja i izvršitelja.

Sama suradnja na projektu, korištenje zajedničke baze ili platforme, međusobno otkrivanje podataka ili postojanje obostrane koristi ne znači automatski da postoje zajednički voditelji. Potrebno je utvrditi stvarni utjecaj svake strane na svrhu i ključna sredstva konkretne obrade.

Primjer zajedničkih voditelja – zajednička kampanja

Dva trgovačka društva zajednički nude proizvod i odluče organizirati promotivni događaj. Zajedno određuju cilj kampanje, osobe kojima će poslati poziv, osobne podatke koje će koristiti, način slanja poziva i daljnje marketinške aktivnosti.

Za obradu povezanu s tom kampanjom društva su zajednički voditelji. Za druge obrade svojih zasebnih baza kupaca, o kojima svako društvo odlučuje samostalno, ostaju zasebni voditelji obrade.

Primjer zajedničkih voditelja – istraživački projekt

Više istraživačkih institucija zajednički određuje cilj istraživanja, podatke koji će se koristiti, kriterije za uključivanje ispitanika, rokove čuvanja i način korištenja zajedničke platforme. Za obradu u okviru zajedničkog istraživačkog projekta institucije mogu biti zajednički voditelji.

Svaka institucija istodobno može ostati samostalni voditelj za osobne podatke koje obrađuje izvan zajedničkog projekta.

Primjer zasebnih voditelja

Putnička agencija dostavlja podatke putnika zračnom prijevozniku i hotelu radi rezervacije putovanja. Zračni prijevoznik i hotel obrađuju podatke radi pružanja vlastitih usluga i samostalno određuju potrebne podatke, način obrade i rokove čuvanja.

U takvoj situaciji putnička agencija, prijevoznik i hotel mogu biti zasebni voditelji obrade. Sama razmjena podataka ne čini ih zajedničkim voditeljima.

RAZMJENA OSOBNIH PODATAKA IZMEĐU ZASEBNIH VODITELJA OBRADE

U praksi se može dogoditi da jedan voditelj obrade želi osobne podatke kojima raspolaže dostaviti drugom voditelju obrade. Činjenica da prvi voditelj zakonito prikuplja i koristi osobne podatke za svoju svrhu ne znači automatski da ih smije dostaviti drugom voditelju.

Otkrivanje odnosno dostavljanje osobnih podataka drugoj organizaciji zasebna je radnja obrade. Voditelj koji podatke dostavlja mora utvrditi pravnu osnovu za njihovo otkrivanje, a voditelj koji podatke prima mora utvrditi pravnu osnovu za njihovo zaprimanje i daljnju obradu.

Primjer

Općina zakonito prikuplja i obrađuje osobne podatke građana radi obavljanja poslova iz svoje nadležnosti. Grad zatraži da mu općina dostavi te podatke radi obavljanja druge zadaće.

Pravna osnova na temelju koje je općina prikupila podatke ne obuhvaća nužno njihovo dostavljanje gradu. Općina prije dostave mora utvrditi postoji li pravna osnova iz članka 6. stavka 1. Opće uredbe koja dopušta takvo otkrivanje. Ako se podaci dostavljaju radi nove svrhe, mora se provjeriti i poštovanje načela ograničenja svrhe te, kada je primjenjivo, spojivost nove svrhe s prvotnom svrhom obrade.

Grad mora zasebno utvrditi pravnu osnovu za zaprimanje i daljnju obradu podataka. Za tijela javne vlasti to će najčešće zahtijevati utvrđivanje konkretne pravne obveze ili zadaće od javnog interesa koja je određena pravom Europske unije ili nacionalnim propisom, u skladu s člankom 6. stavkom 1. točkama (c) ili (e) i člankom 6. stavkom 3. Opće uredbe.

Ako se razmjenjuju posebne kategorije osobnih podataka, primjerice podaci o zdravlju, uz pravnu osnovu iz članka 6. mora postojati i primjenjiva iznimka od zabrane obrade iz članka 9. stavka 2. Opće uredbe.

Sporazum o suradnji ili razmjeni podataka koji sklope općina i grad nije pravna osnova za obradu osobnih podataka građana. Takav sporazum može urediti svrhu i način razmjene, kategorije podataka, sigurnosne mjere, rokove čuvanja, odgovornosti stranaka i postupanje sa zahtjevima ispitanika, ali ne može zamijeniti pravnu osnovu propisanu člankom 6. stavkom 1. Opće uredbe.

Ako poseban zakon propisuje ili dopušta razmjenu podataka između općine i grada radi izvršavanja određene javne zadaće, taj zakon može biti relevantna pravna podloga uz odgovarajuću pravnu osnovu iz članka 6. stavka 1. Opće uredbe. Općenita odredba sporazuma prema kojoj će strane „razmjenjivati podatke radi suradnje” nije dovoljna.

Prije početka razmjene svaki voditelj mora najmanje utvrditi:

• određenu i zakonitu svrhu razmjene
• vlastitu pravnu osnovu za dostavu odnosno zaprimanje i daljnju obradu
• jesu li traženi podaci nužni i razmjerni svrsi
• smije li se podatke koristiti za novu svrhu
• koje informacije treba pružiti ispitanicima
• rokove čuvanja i način brisanja podataka
• osobe koje će imati pristup podacima i potrebne sigurnosne mjere.

Ako općina i grad ne odlučuju zajednički o svrsi i ključnim sredstvima obrade, nego svaki podatke obrađuje za svoju zasebnu svrhu, oni su samostalni voditelji obrade. Ako zajednički određuju svrhu i ključna sredstva iste obrade, potrebno je procijeniti jesu li zajednički voditelji i sklopiti dogovor u skladu s člankom 26. Opće uredbe. Ni taj dogovor sam po sebi ne predstavlja pravnu osnovu za obradu osobnih podataka.

KAKO ZAJEDNIČKI VODITELJI TREBAJU UREDITI SVOJ ODNOS

Prema članku 26. Opće uredbe, zajednički voditelji moraju na transparentan način međusobnim dogovorom odrediti svoje odgovornosti. Ako su pojedine odgovornosti već određene pravom Europske unije ili države članice, dogovorom je potrebno urediti preostala pitanja.

Opća uredba ne propisuje poseban oblik dogovora. Međutim, EDPB radi pravne sigurnosti i dokazivanja odgovornosti preporučuje da se dogovor sastavi kao pisani i pravno obvezujući dokument, primjernice ugovor ili sporazum.

Takav obvezujući dokument mora odgovarati stvarnim ulogama, nadležnostima i mogućnosti svake strane da učinkovito ispuni preuzete obveze. Zajednički voditelji trebaju jasno utvrditi „tko što radi”, pri čemu ne smije nastati situacija u kojoj za određenu obvezu nije odgovorna nijedna strana.

Sporazumom/ugovorom treba urediti:

• predmet, svrhu i opseg zajedničke obrade
• pojedine faze obrade za koje postoji zajedničko vođenje
• kategorije ispitanika i vrste osobnih podataka
• pravnu osnovu na koju se oslanja svaki zajednički voditelj
• primjenu načela ograničenja svrhe, smanjenja količine i točnosti podataka
• pružanje informacija ispitanicima iz članaka 13. i 14.
• zaprimanje, razmjenu i rješavanje zahtjeva ispitanika
• rokove čuvanja i način brisanja podataka
• tehničke i organizacijske sigurnosne mjere
• postupanje u slučaju povrede osobnih podataka i obavještavanje AZOP-a i ispitanika
• provođenje procjene učinka i prethodnog savjetovanja kada je potrebno
• vođenje evidencija aktivnosti obrade
• angažiranje izvršitelja i podizvršitelja
• međunarodne prijenose osobnih podataka
• komunikaciju s nadzornim tijelom
• kontaktnu točku za ispitanike
• ograničenja korištenja podataka za dodatne svrhe.

Svaki zajednički voditelj mora osigurati da za obradu ima odgovarajuću pravnu osnovu. Postojanje zajedničkog vođenja samo po sebi ne omogućuje jednom voditelju da podatke koje je primio od drugoga koristi za vlastite dodatne svrhe.

Obveze ne moraju biti jednako podijeljene. Pri njihovoj raspodjeli treba uzeti u obzir tko ima potrebne informacije, tko upravlja pojedinim dijelom sustava i tko može najučinkovitije omogućiti ostvarivanje prava ispitanika. Određene obveze, poput osiguravanja zakonitosti i sigurnosti zajedničke obrade, mogu zahtijevati postupanje svih zajedničkih voditelja.

Bit dogovora mora biti dostupna ispitanicima, primjerice u obavijesti o privatnosti. Ispitaniku mora biti jasno tko su zajednički voditelji, za što je svaki od njih odgovoran i kome se može obratiti.

Dogovorom se može odrediti zajednička kontaktna točka, primjerice službenik za zaštitu podataka jednog od voditelja. Određivanje kontaktne točke nije obvezno, ali može ispitanicima znatno olakšati ostvarivanje prava.

Neovisno o podjeli zadataka ili određenoj kontaktnoj točki, ispitanik može ostvarivati svoja prava kod svakog zajedničkog voditelja i protiv svakoga od njih. Dogovor zajedničkih voditelja također ne obvezuje AZOP pri utvrđivanju njihovih stvarnih uloga i odgovornosti.

PRIMATELJ I TREĆA STRANA

Primatelj je fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo kojem se otkrivaju osobni podaci, neovisno o tome je li riječ o trećoj strani.

Pojam primatelja opisuje činjenicu da su osobni podaci određenom subjektu otkriveni. Primatelj istodobno može biti izvršitelj obrade, zajednički voditelj ili zasebni voditelj obrade.

Tijela javne vlasti koja osobne podatke prime u okviru pojedinačne istrage u skladu s pravom Europske unije ili države članice ne smatraju se primateljima u smislu članka 4. točke 9. Opće uredbe. Njihova daljnja obrada mora biti usklađena s primjenjivim pravilima o zaštiti podataka.

Treća strana jest subjekt koji u odnosu na konkretnu obradu nije ispitanik, voditelj obrade, izvršitelj obrade niti osoba ovlaštena za obradu pod izravnom nadležnošću voditelja ili izvršitelja.

Primjerice, izvršitelj kojem je voditelj dostavio podatke jest primatelj, ali nije treća strana. Zaseban voditelj kojem su podaci otkriveni u pravilu je i primatelj i treća strana u odnosu na početnu obradu.

PRIMJER: SURADNJA GRADA I FAKULTETA NA DIGITALNOJ PLATFORMI

Grad kao jedini voditelj obrade

Grad uspostavlja digitalnu platformu putem koje građani mogu prijavljivati komunalne probleme. Grad sam određuje svrhu obrade, podatke koji će se prikupljati, primjerice kontaktne podatke, opis problema, lokaciju i fotografiju, osobe koje će imati pristup podacima, rokove čuvanja te hoće li se pojedini sadržaji javno objavljivati.

Ako fakultet samo razvije programsko rješenje koje se zatim instalira u sustavu Grada, a nakon predaje sustava nema pristup osobnim podacima niti ih na drugi način obrađuje, Grad je jedini voditelj obrade. Fakultet u tom slučaju nije izvršitelj obrade jer za Grad ne obavlja obradu osobnih podataka.

Grad kao voditelj, a fakultet kao izvršitelj obrade

Grad određuje da će se platforma koristiti za zaprimanje prijava građana, korisničke račune, personalizirane preporuke i komunikaciju s korisnicima. Grad odlučuje koje će se kategorije osobnih podataka obrađivati, u koje svrhe, koliko dugo, kome će biti dostupne i pod kojim uvjetima će se brisati.

Fakultet prema uputama Grada razvija, održava ili udomljuje platformu i zbog toga pristupa osobnim podacima korisnika. Fakultet može odabrati određeni programski jezik, bazu podataka, poslužiteljsku arhitekturu i druge tehničke pojedinosti, ali podatke ne smije koristiti za vlastita istraživanja, razvoj vlastitih proizvoda, treniranje vlastitih modela umjetne inteligencije ili druge vlastite svrhe.

U takvoj situaciji Grad je voditelj, a fakultet izvršitelj obrade. Njihov odnos mora biti uređen ugovorom ili drugim pravnim aktom u skladu s člankom 28. Opće uredbe. Grad mora fakultetu dati dokumentirane upute i zadržati stvarni nadzor nad obradom.

Grad i fakultet kao zajednički voditelji obrade

Grad i fakultet mogu biti zajednički voditelji ako zajedno osmisle projekt i zajednički odlučuju o njegovim svrhama i ključnim sredstvima obrade.

Primjerice, Grad i fakultet zajednički odlučuju da će putem platforme prikupljati podatke o interesima, kretanju, lokaciji, zdravlju ili mobilnosti korisnika kako bi razvili sustav personaliziranih preporuka i istodobno istraživali pristupačnost gradskih i prirodnih sadržaja. Zajedno određuju koje će se osobe uključiti, koji će se podaci prikupljati, kako će se koristiti u sustavu umjetne inteligencije, koliko će se dugo čuvati, tko će im pristupati te kako će se rezultati koristiti.

Ako su njihove odluke međusobno povezane i obje su strane stvarno utjecale na svrhu i ključna sredstva obrade, Grad i fakultet zajednički su voditelji za tu konkretnu obradu. Nije potrebno da imaju jednak utjecaj, jednake obveze ili pristup svim podacima.

U tom slučaju moraju sklopiti dogovor prema članku 26. Opće uredbe kojim će jasno urediti, među ostalim:

• tko osigurava pravnu osnovu za pojedine obrade
• tko pruža informacije korisnicima
• tko pribavlja i evidentira privole
• tko odgovara na zahtjeve ispitanika
• tko određuje i provodi rokove brisanja
• tko provodi sigurnosne mjere
• tko provodi procjenu učinka na zaštitu podataka
• tko postupa u slučaju povrede osobnih podataka
• tko angažira izvršitelje i podizvršitelje
• tko je kontaktna točka za ispitanike i AZOP.

Bit tog dogovora mora biti dostupna ispitanicima. Neovisno o podjeli zadataka, ispitanik može ostvarivati svoja prava kod svakog zajedničkog voditelja.

Kada fakultet nije zajednički voditelj, nego zaseban voditelj dodatne obrade

Ako je fakultet angažiran kao izvršitelj, a zatim samostalno odluči koristiti podatke korisnika za vlastito istraživanje, objavu znanstvenog rada, izradu vlastite baze ili treniranje vlastitog modela umjetne inteligencije, za tu dodatnu obradu više ne postupa u ime Grada.

U skladu s člankom 28. stavkom 10. Opće uredbe fakultet se za tu obradu smatra zasebnim voditeljem obrade. Time ne postaje automatski zajednički voditelj s Gradom. Takva dodatna obrada može biti nezakonita ako je provedena izvan uputa i bez odgovarajuće pravne osnove.

Ako Grad i fakultet unaprijed zajedno odluče o istraživačkoj ili razvojnoj svrsi i zajedno odrede ključne elemente takve obrade, tada treba procijeniti jesu li za tu aktivnost zajednički voditelji obrade.

Sama činjenica da Grad i fakultet sudjeluju u istom projektu, da je fakultet razvio platformu ili da obje strane imaju korist od projekta nije dovoljna za zaključak da su zajednički voditelji. Odlučujuće je tko stvarno određuje svrhu i ključna sredstva svake konkretne obrade.