Razgraničenje uloge voditelja obrade i izvršitelja obrade


Razgraničenje uloge voditelja obrade i izvršitelja obrade


Nastavno na Vaš upit vezan uz razgraničenje uloge voditelja obrade i izvršitelja obrade, Agencija se očituje kako slijedi:

Člankom 4. stavkom 7. Opće uredbe voditelj obrade je definiran kao fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka te je naznačeno da u situaciji kada su svrhe i sredstva takve obrade utvrđeni pravom Unije ili pravom države članice, voditelj obrade ili posebni kriteriji za njegovo imenovanje mogu se predvidjeti pravom Unije ili pravom države članice.
Nadalje, uvodnim odredbama 74, 80-86 te 94 kao i člankom 24. Opće uredbe propisane su obveze voditelja obrade koje nalažu voditelju obrade provođenje odgovarajućih i djelotvornih tehničkih i organizacijskih mjera. Naime, navedenim odredbama propisano je da je voditelj obrade odgovoran za poštivanje predmetne Uredbe te mora biti u mogućnosti dokazati da postupa u skladu s istom.

Uvodnom odredbom 81 izričito je navedeno da bi voditelj obrade trebao angažirati samo izvršitelje obrade koji u zadovoljavajućoj mjeri jamče, osobito u pogledu stručnog znanja, pouzdanosti i resursa, provedbu mjera koje udovoljavaju zahtjevima iz Opće uredbe.

Međutim, to što izvršitelj na temelju ugovornog odnosa izvršava određenu obradu podataka u ime i za račun voditelja ne znači da izmiče odgovornosti i načelima obrade iz Opće uredbe. 

Naime, izvršitelj obrade mora jamčiti zaštitu i povjerljivost obrade osobnih podataka te je dužan provoditi odgovarajuće mjere zaštite kako bi osigurao i mogao dokazati da se obrada provodi u skladu s Općom uredbom.

Nadalje, sukladno članku 28. stavku 10. Opće uredbe, ne dovodeći u pitanje članke 82., 83. i 84., ako izvršitelj obrade krši ovu Uredbu utvrđivanjem svrhe i načine obrade podataka, izvršitelj obrade smatra se voditeljem obrade u pogledu te obrade.

S druge strane, člankom 4. točkom 8. propisano je da je izvršitelj obrade fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje obrađuje osobne podatke u ime voditelja obrade dok je člankom 28. te uvodnim recitalima broj 80-83 propisana uloga te obveze izvršitelja obrade. Naime, izvršitelj obrade obrađuje osobne podatke samo prema zabilježenim uputama voditelja obrade te po izboru voditelja obrade briše, čuva ili vraća navedene osobne podatke nakon dovršetka pružanja usluge vezanih za obradu.

Osim toga, Radna skupina iz članka 29. Direktive u svom je mišljenju broj 1/2010 iz veljače 2010. godine razgraničila pojam voditelja i izvršitelja obrade na način da je voditelja odredila kao pravnu ili fizičku osobu koja determinira svrhu i sredstva obrade. Dva osnovna uvjeta za kvalifikaciju izvršitelja obrade su da se, s jedne strane, radi o odvojenoj pravnoj osobi u odnosu na voditelja obrade te da, s druge strane, izvršitelj obrade obrađuje osobne podatke u ime voditelja obrade. Određenje svrhe u svakom slučaju kvalificira voditelja obrade, a određenje sredstava obrade implicira kontrolu samo kada se odnosi na esencijalne elemente sredstava.

Uzimajući u obzir navedene odredbe Agencija smatra kako bi se prilikom određivanja određenog subjekta kao voditelja ili izvršitelja obrade prvenstveno trebao uzeti u obzir kriterij utvrđivanja svrhe predmetne obrade osobnih podataka. Kako bi se pravilno determinirala svrha obrade odnosno subjekt koji istu određuje potrebno je utvrditi iz kojeg se razloga obrađuju pojedini osobni podaci, tko ima pristup podacima, kada će podaci biti izbrisani, koja je uloga povezanih subjekata obrade te u svakom slučaju postoji li zakonska osnova za obradu sukladno članku 6. Opće uredbe. Tek nakon utvrđenja svrhe prikupljanja i obrade osobnih podataka moguće je razmotriti drugi kriterij definiranja subjekta kao voditelja u smislu određivanja sredstva obrade.

U tom kontekstu potrebno je napomenuti kako sama činjenica da određeni subjekt određuje pojedine segmente sredstva obrade ne znači nužno da se isti ima smatrati voditeljem, osobito u slučajevima kada je svrha obrade toliko jasno naznačena da ona sama može predstavljati jasnu uputu te sadrži bitne elemente putem kojih je moguće odrediti sredstva obrade.

Iako je moguće da je ugovorom između stranaka naznačeno da je jedna stranka voditelj obrade, a druga izvršitelj obrade te da imenovanje stranaka voditeljem odnosno izvršiteljem obrade može otkriti relevantne informacije o pravnom statusu stranaka ugovora, takvo ugovorno određenje nije odlučujuće u determiniranju njihovog stvarnog statusa, već isti mora biti temeljen na konkretnim okolnostima slučaja.

Uzimajući u obzir prethodno naznačene odredbe Opće uredbe kao i mišljenje Radne skupine, Agencija smatra kako činjenica da pružatelji poštanskih usluga posluju u skladu s posebnim propisima koji reguliraju njihovu djelatnost isporuke pošiljaka i općim uvjetima poslovanja kojima je razrađen način odašiljanja istih, nužno ne kvalificira navedena društva kao voditelje obrade u konkretnom slučaju. Naime, izvršitelj obrade može poslovati prema svojim vlastitim propisima i pravilima te prema općim smjernicama danim od strane voditelja obrade koji je jasno naznačio svrhu obrade.

Agencija je mišljenja kako sama činjenica da voditelj obrade nije detaljno naznačio sredstva obrade ne smije dovoditi do zaključka da se stranka s kojom je isti sklopio Ugovor treba smatrati voditeljem, uz uvjet da je naznačena svrha jasna smjernica za odabir sredstva obrade. Moguće je dakle, da sama svrha predstavlja i sredstvo obrade pri čemu sredstvo obrade predstavlja razumne mjere koje je potrebno poduzeti kako bi se ostvarila određena svrha.

Nadalje, važno je istaknuti kako pružatelji poštanskih usluga bez sklopljenog Ugovora ne bi imali pravni temelj za obradu osobnih podataka sukladno članku 6. Opće uredbe te upravo Ugovor kojim je određena svrha, te u bitnome sredstva obrade, predstavlja osnovu za zakonitost obrade osobnih podataka ispitanika od strane spomenutih društava. Obrada osobnih podataka od strane tih društava temelji se na jasnoj instrukciji voditelja obrade odnosno na Ugovoru.

Slijedom svega iznesenog, smatramo kako je s pojedinim pružateljima poštanskih usluga potrebno sklopiti ugovor, koji će, u smislu članka 28. stavka 3. Opće uredbe, sadržavati podatke o predmetu i trajanju obrade, prirodi i svrsi obrade, vrsti osobnih podataka i kategorijama ispitanika te o pravima i obvezama voditelja obrade.

Dodatno pojašnjavamo kako je voditelj obrade, neovisno o ulozi pružatelja poštanskih usluga, dužan ustrojiti evidenciju aktivnosti obrade za koje je odgovoran, te navedena evidencija, sukladno članku 30. stavku 1. Opće uredbe, mora između ostaloga sadržavati informacije o kategorijama primatelja kojima su osobni podaci otkriveni ili će im biti otkriveni, uključujući primatelje u trećim zemljama i međunarodne organizacije.

S druge strane, Agencija naglašava da kvalificiranje pružatelja poštanskih usluga kao izvršitelja obrade nije apsolutno već ovisi o konkretnom slučaju. Primjerice, privatni korisnik koji odašilje određeno pismeno putem pružatelja poštanskih usluga nije u mogućnosti ugovorom precizno odrediti svrhu te sredstva obrade već isti samo pristupa odnosno prihvaća u cijelosti sredstva obrade koja su propisana internim općim uvjetima te propisima pružatelja poštanskih usluga te bi se stoga pružatelj usluga u navedenom slučaju trebao smatrati voditeljem obrade. Osim toga, pretpostavka je da je općim uvjetima ili pravilima postupanja navedenih društava detaljno propisano postupanje s pošiljkama te da privatni korisnik nije u mogućnosti izabrati sredstvo obrade niti u njegovim bitnim elementima.

Zaključno, Agencija ističe kako ne postoji općenito stajalište o tome smatra li se pružatelj poštanskih usluga voditeljem ili izvršiteljem obrade već se takvo kvalificiranje nužno mora provoditi ovisno o okolnostima svakog pojedinog slučaja, a uzimajući u obzir kriterije naznačene u gornjem tekstu kao i kriterije utvrđene Općom uredbom.

 
 
  Natrag