Objavljeno: 20.3.2023.
Nastavno na Vaš upit u pogledu uloge voditelja obrade i izvršitelja obrade u kontekstu obrade osobnih podataka putem uspostave sustava videonadzora, Agencija za zaštitu osobnih podataka očituje se kako slijedi:
Opća Uredba o zaštiti podataka u odredbi članka 4. stavka 1. toč. 7. definira voditelja obrade kao svaku fizičku ili pravnu osobu, tijelo javne vlasti, agenciju ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka; kada su svrhe i sredstva takve obrade utvrđeni pravom Unije ili pravom države članice, voditelj obrade ili posebni kriteriji za njegovo imenovanje mogu se predvidjeti pravom Unije ili pravom države članice.
S druge strane, sukladno odredbi članka 4. stavka 1. toč. 8. Opće uredbe o zaštiti podataka, izvršitelj obrade znači svaku fizičku ili pravnu osobu, tijelo javne vlasti, agenciju ili drugo tijelo koje obrađuje osobne podatke u ime voditelja obrade.
Sukladno odredbi članka 28. stavka 1. Opće uredbe o zaštiti podataka, ako se obrada provodi u ime voditelja obrade, voditelj obrade koristi se jedino izvršiteljima obrade koji u dovoljnoj mjeri jamče provedbu odgovarajućih tehničkih i organizacijskih mjera na način da je obrada u skladu sa zahtjevima iz Opće uredbe o zaštiti podataka i da se njome osigurava zaštita prava ispitanika.
Obveze izvršitelja prema voditelju obrade moraju se specificirano navesti u ugovoru ili drugom pravnom aktu.
Naime, sukladno odredbi članka 28. stavka 3. Opće uredbe o zaštiti podataka, obrada koju provodi izvršitelj obrade uređuje se ugovorom ili drugim pravnim aktom u skladu s pravom Unije ili pravom države članice, koji izvršitelja obrade obvezuje prema voditelju obrade, a koji navodi predmet, prirodu i svrhu obrade, vrstu osobnih podataka i kategoriju ispitanika te obveze i prava voditelja obrade. Ugovor ili pravni akt bi osobito trebao uređivati prava i obveze u skladu s člankom 28. Opće uredbe o zaštiti podataka.
Predložak ugovora o obradi osobnih podataka između voditelja obrade i izvršitelja obrade kojeg možete prilagoditi svojim poslovnim procesima i aktivnostima obrade nalazi se na poveznici : https://azop.hr/obrasci-predlosci/ .
U kontekstu obrade osobnih podataka putem sustava videonadzora, Agencija navodi kako bi se pravne osobe koje pružaju usluge tehničke zaštite, posebice održavanja sustava videonadzora drugih pravnih subjekata, a koje povremeno moraju imati pristup snimkama prilikom otklanjanja smetnji ili skidanja snimki ili redovitih pregleda snimača, mogle smatrati izvršiteljima obrade u skladu s definicijama propisanim Općom uredbom o zaštiti podataka, a sve pod uvjetom da postupaju isključivo prema pisanim uputama pravnih osoba – voditelja obrade.
Potrebno je istaknuti kako u takvoj situaciji postoji izričita obveza sklapanja ugovora o obradi podataka između voditelja obrade i izvršitelja obrade sukladno odredbi članka 28. Opće uredbe o zaštiti podataka, a u kojoj situaciji društvo koje obavlja poslove održavanja sustava voditelja obrade u ime voditelja obrade bilo u ulozi izvršitelja obrade.
Zaključno, u konkretnom slučaju, voditelj obrade je pravni subjekt koji koristi videonadzor i nadzire svoje poslovne prostore te je izvršitelj obrade tvrtka koja održava sustav videonadzora u ime voditelja obrade, a ne zaposlenici voditelja obrade odnosno pravnog subjekta, kako navodite u svom upitu.
