Zamjena podizvršitelja: prethodna obavijest i rok za reakciju u ugovoru o obradi

Kada izvršitelj obrade zamjenjuje podizvršitelja, rukovalac mora unaprijed dobiti stvarnu mogućnost da procijeni promjenu. Član 28 stav 2 GDPR-a zahtijeva obavijest o planiranim promjenama i odgovarajuću mogućnost prigovora. Ugovor zato treba urediti način obavještavanja, rok za reakciju i postupanje sa obrazloženim prigovorom.

Ovaj tekst prati promjenu iz perspektive obje uloge. U središtu su podaci o novom pružaocu usluge, provjera pristupa i mjera zaštite te prenošenje obaveza zaštite podataka prema članu 28 stav 4 GDPR-a. Prvobitno određivanje uloga, međunarodni prenosi kao glavna tema i povrede podataka ostaju izvan ovog teksta.

Najprije treba utvrditi da li se uvodi novi podizvršitelj ili se postojeći zamjenjuje. Novo društvo, novi centar podataka, drugačija podrška ili promjena lanca angažovanih pružalaca mogu izmijeniti pristup podacima. Rukovalac zato treba konkretne podatke o usluzi, lokaciji, podacima i početku.

Član 28 stav 2 GDPR-a odnosi se na planirane promjene kod drugih izvršitelja obrade. Opšta lista pružalaca ne zamjenjuje ugovorenu komunikaciju ako rukovalac iz nje ne može prepoznati promjenu i mogućnost reakcije.

Tekst o SaaS ulogama obrađuje prethodno određivanje uloga. Ovdje je riječ o kasnijoj promjeni u postojećoj obradi.

Obavijest treba jasno označiti novog podizvršitelja i njegovu uslugu. Treba navesti relevantnu lokaciju, sisteme, kategorije podataka, vrstu pristupa i planirano vrijeme. Ako je obuhvaćeno više obrada, razlike treba prikazati odvojeno.

Rukovalac mora vidjeti šta se mijenja u odnosu na postojeće stanje. Opis promjene, mjere zaštite i kontakt osoba mogu biti potrebni zajedno. Dokumenti moraju omogućiti stvarnu provjeru, a ne samo opštu izjavu o pouzdanosti.

Sačuvajte dokaz o slanju i prijemu. Izvršitelj obrade treba zabilježiti kada počinje rok za reakciju i kojim kanalom se prigovor podnosi. Time se smanjuju kasniji sporovi o vremenu i sadržaju obavijesti.

Rukovalac upoređuje planiranog pružaoca sa postojećim. Provjeravaju se stvarni pristupi, lokacije, udaljeno administriranje, prenosi, mjere zaštite, brisanje i vezanost uputama. Procjena mora pratiti konkretnu obradu i ne zaustavlja se uvijek na sertifikatu.

Prigovor treba povezati sa činjenicama zaštite podataka, na primjer nejasnom lokacijom, slabom kontrolom pristupa, nedostatkom provjere brisanja ili odstupanjem od uputa. Rukovalac bilježi dokaze i traženu mjeru. Izvršitelj obrade procjenjuje prigovor prema ugovoru i stvarnom riziku.

Rok za reakciju mora omogućiti smislenu provjeru. Praktično prekratak rok može obesmisliti dogovorenu kontrolu. Ugovor zato treba odrediti početak roka, kanal, sadržaj i postupanje sa dodatnim pitanjima.

Prema članu 28 stav 4 GDPR-a izvršitelj obrade mora drugom izvršitelju nametnuti iste obaveze zaštite podataka koje je preuzeo prema rukovaocu. Zavisno od obaveze, to obuhvata dokumentovane upute, povjerljivost, sigurnost, pomoć i vraćanje ili brisanje po završetku usluge.

Lanac se mora provjeriti, a ne samo pretpostaviti. Izvršitelj obrade provjerava da li podugovor sadrži potrebne obaveze i da li ih pružalac može praktično ispuniti. Rukovalac zabilježava dobijene dokaze i otvorena pitanja prije promjene.

Ako novi pružalac mijenja tok podataka, treba provjeriti i evidencije, dokumentaciju sigurnosti te eventualnu procjenu uticaja. Tekst o evidenciji aktivnosti obrade dopunjuje perspektivu dokumentovanja.

Obrazloženi prigovor treba dobiti razumljivu reakciju. Zavisno od ugovora i činjenica, izvršitelj obrade može procijeniti alternativu, poboljšati mjere ili odložiti promjenu. Prihvatljivo rješenje zavisi od usluge, rizika i dogovorene strukture.

Ako nema prihvatljive alternative, saradnja se ne treba nastaviti kroz prećutnu zamjenu. Ugovor treba urediti privremenu uslugu, zaštitu ili vraćanje podataka te organizovanu tranziciju ili prestanak. Automatsku pravnu posljedicu ne treba izvoditi iz ćutanja ugovora.

Sačuvajte odluku, komunikaciju, rokove i dokaz sprovođenja. Povreda podataka nakon promjene ima zasebne obaveze. Tekst o povredi kod izvršitelja obrade ostaje posebna tema.

Lista se mijenja tek naknadno: Kasnija objava uklanja mogućnost prethodne provjere.

Dovoljno je navesti ime pružaoca: Bez usluge, pristupa, lokacije i vremena promjena ostaje nejasna.

Rok nije upotrebljiv: Prekratak rok onemogućava smislenu provjeru mjera i toka podataka.

Prigovor nema posljedicu: Ugovor, kontakt i alternative moraju obuhvatiti obrazloženi prigovor.

Podugovor se ne provjerava: Član 28 stav 4 GDPR-a zahtijeva prenošenje istih obaveza na drugog izvršitelja.

Napravite spis promjene sa postojećim i novim pružaocem, uslugom, kategorijama podataka, lokacijama, pristupima i početkom. Dodajte prethodnu obavijest, dokaz slanja, ugovoreni rok i kontakt osobu. Zatim provjerite mjere, podugovor, brisanje, upute i alternative.

Odluka treba sadržati rezultat procjene i razloge za eventualni prigovor. Nakon sprovođenja provjerite sisteme, ovlašćenja, lokacije i dokumente prema ugovorenom stanju. Promjene usluge, pristupa ili rizika ponovo procijenite. Kontrolna lista za izvršitelja obrade pomaže pri strukturisanoj provjeri.

Zajedno provjeravamo obavijest, tok podataka, podugovor, mjere zaštite, rok za reakciju i postupanje sa obrazloženim prigovorom. Za prvu procjenu korisni su postojeći ugovor o obradi, lista pružalaca, opis novog pružaoca, kategorije podataka i tehnički podaci o pristupu. Tako se prije promjene može utvrditi da li su obavijest, provjera i sprovođenje usklađeni.