Ugovor o obradi podataka o ličnosti (DPA)
Ugovor između rukovaoca i obrađivača podataka o ličnosti prema čl. 45. Zakona o zaštiti podataka o ličnosti (ZZPL). Sadrži svih sedam obaveznih elemenata i osam obaveza obrađivača.
Ugovor o obradi podataka o ličnosti, poznatiji kao DPA (Data Processing Agreement), zaključuju rukovalac i obrađivač onda kada rukovalac poveri drugom licu da u njegovo ime obrađuje podatke o ličnosti. Zakon o zaštiti podataka o ličnosti traži da taj odnos bude uređen ugovorom ili drugim pravno obavezujućim aktom, pa se DPA po pravilu zaključuje uz osnovni poslovni ugovor.
Ovaj šablon prati strukturu propisanu za takav ugovor: identifikuje rukovaoca i obrađivača sa punim podacima (naziv, sedište, PIB, matični broj, zastupnik), a zatim kroz posebne članove definiše predmet, trajanje, prirodu i svrhu obrade, vrste podataka i kategorije lica na koja se podaci odnose, kao i prava i obaveze obe strane.
Dokument je namenjen svima koji za neku uslugu koriste eksternog pružaoca koji dolazi u dodir sa podacima o ličnosti — od knjigovodstvenih agencija i pružalaca IT i hosting usluga, do platnih i marketinških servisa. Bilo da ste vi rukovalac koji poverava obradu ili obrađivač koji je preuzima, DPA jasno raspodeljuje odgovornost između strana.
Kada se koristi
- ✓Kada knjigovodstvena ili računovodstvena agencija vodi evidencije i obračun zarada za klijenta, pa obrađuje podatke o zaposlenima tog klijenta.
- ✓Kada firma koristi eksterni servis za obradu zarada, HR softver ili sistem za evidenciju radnog vremena koji čuva podatke o zaposlenima.
- ✓Kada se angažuje pružalac hosting, cloud ili IT-održavanja koji ima pristup bazama sa podacima klijenata ili korisnika.
- ✓Kada se koristi eksterna agencija za marketing, mejling ili pozivni centar koja radi sa kontakt podacima fizičkih lica.
- ✓Kada advokatska kancelarija, agencija za naplatu potraživanja ili slična usluga u ime naručioca obrađuje lične podatke trećih lica.
- ✓Kada rukovalac dozvoljava obrađivaču da za pojedine radnje angažuje pod-obrađivača, pa taj odnos treba unapred urediti.
Šta dokument sadrži
Identifikacija rukovaoca i obrađivača
Uvodni deo tačno određuje ko je rukovalac (određuje svrhu i način obrade), a ko obrađivač (obrađuje podatke u ime rukovaoca). Puni podaci sa PIB-om, matičnim brojem i zastupnikom uklanjaju svaku nedoumicu o tome ko snosi koju odgovornost.
Predmet, trajanje, priroda i svrha obrade
Odvojeni članovi opisuju koja se obrada poverava, koliko dugo traje (najčešće za vreme važenja osnovnog ugovora), te prirodu i svrhu obrade. Ovo su obavezni elementi bez kojih ugovor ne bi ispunio zahteve zakona i predstavljaju okvir izvan kojeg obrađivač ne sme da radi.
Vrste podataka i kategorije lica
Ugovor precizira koje se vrste podataka o ličnosti obrađuju i na koje kategorije lica se odnose (npr. zaposleni, klijenti, korisnici). Ova preciznost je važna jer ograničava obradu na tačno određeni obim i olakšava proveru da li se rukuje i posebnim vrstama podataka.
Prava i obaveze rukovaoca
Rukovalac određuje svrhu i način obrade, daje obrađivaču pisana uputstva i zadržava pravo kontrole, odnosno audita rada obrađivača u vezi sa poverenom obradom. Time rukovalac zadržava nadzor nad podacima za koje ostaje odgovoran prema licima na koja se podaci odnose.
Obaveze obrađivača
Obrađivač se obavezuje da postupa isključivo po uputstvima rukovaoca, da čuva poverljivost, primeni odgovarajuće mere bezbednosti, pomaže rukovaocu u ostvarivanju prava lica i u prijavi incidenata, te da po prestanku ugovora izbriše ili vrati podatke. Ove obaveze su srž DPA i praktično sprovode zaštitu podataka.
Angažovanje pod-obrađivača
Ugovor uređuje da li i pod kojim uslovima obrađivač sme da angažuje pod-obrađivača. Pošto pod-obrađivač mora biti vezan istim obavezama, ovim se sprečava da podaci dospeju kod trećeg lica van dogovorenih pravila.
Pravni okvir
Osnov za ovaj ugovor je Zakon o zaštiti podataka o ličnosti, koji uređuje odnos rukovaoca i obrađivača i traži da obrada koja se poverava obrađivaču bude uređena ugovorom ili drugim pravno obavezujućim aktom. Zakon je usklađen sa evropskim standardima zaštite podataka, pa DPA po sadržini odgovara ugovoru o obradi kakav poznaje i GDPR.
Zakon propisuje koji elementi takav ugovor mora da sadrži — predmet i trajanje obrade, prirodu i svrhu, vrste podataka i kategorije lica, te prava i obaveze rukovaoca — kao i obaveze koje obrađivač preuzima. Šablon je struktuiran upravo tako da pokrije te obavezne elemente. Nadzor nad primenom propisa vrši Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti.
Česta pitanja
Da li je DPA obavezan ili je dovoljan običan ugovor o saradnji?
Kada rukovalac poverava obradu podataka o ličnosti drugom licu, Zakon o zaštiti podataka o ličnosti traži da taj odnos bude uređen ugovorom ili drugim pravno obavezujućim aktom. Zato se DPA zaključuje dodatno uz osnovni poslovni ugovor, ne umesto njega. Sam osnovni ugovor o usluzi po pravilu ne sadrži sve elemente koje zakon zahteva za obradu.
Ko je rukovalac, a ko obrađivač?
Rukovalac je onaj ko određuje svrhu i način obrade — po pravilu naručilac usluge, na primer firma koja poverava vođenje kadrovske evidencije. Obrađivač je onaj ko podatke obrađuje u ime rukovaoca i po njegovim uputstvima, na primer agencija ili softverski servis. Ista firma može u jednom odnosu biti rukovalac, a u drugom obrađivač.
Da li je potrebna overa kod notara?
Za ovaj ugovor zakon ne propisuje overu kod javnog beležnika; dovoljna je pisana forma sa potpisima ovlašćenih zastupnika obe strane. Bitno je da ugovor bude pisan i da sadrži sve obavezne elemente. Ako želite dodatnu sigurnost, možete ga potpisati u dva primerka za svaku stranu.
Sme li obrađivač da angažuje pod-obrađivača?
Samo ako mu to rukovalac dozvoli, što se uređuje upravo ovim ugovorom. Pod-obrađivač mora biti vezan istim obavezama zaštite podataka kao i obrađivač. Zato šablon sadrži poseban element o angažovanju pod-obrađivača koji birate prilikom popunjavanja.
Šta se dešava sa podacima kada ugovor prestane?
Standardno rešenje je da obrađivač po prestanku ugovora, prema izboru rukovaoca, sve podatke izbriše ili vrati, i obriše postojeće kopije, osim ako je čuvanje propisano zakonom. Ovu obavezu ugovor uređuje kroz obaveze obrađivača. Preporučuje se da se dinamika brisanja ili vraćanja jasno dogovori unapred.
Podaci koji se popunjavaju
- • Rukovalac — naziv
- • Rukovalac — sedište
- • Rukovalac — PIB
- • Rukovalac — matični broj
- • Rukovalac — zastupnik
- • Obrađivač — naziv
- • Obrađivač — sedište
- • Obrađivač — PIB
- • Obrađivač — matični broj
- • Obrađivač — zastupnik
- • Predmet obrade (koja obrada se poverava)
- • Trajanje obrade (npr. za vreme važenja osnovnog ugovora)
- • Priroda i svrha obrade
- • Vrste podataka o ličnosti koje se obrađuju
- • Kategorije lica na koja se podaci odnose
- • Angažovanje pod-obrađivača
- • Datum zaključenja
Nemate vremena sada?
Pošaljite šablon na mejl i dobijajte mesečne podsetnike na rokove i izmene propisa.