Zajednička odgovornost s agencijom ili platformom: član 26 GDPR-a u praksi

Zajednička odgovornost prema članu 26 GDPR-a ne nastaje samo zato što su agencija, tržišna platforma ili platforma uključene u obradu. Odlučujuće je da li više strana zajedno određuje svrhe i bitna sredstva obrade. U praksi to može obuhvatiti zajednički planirane kampanje, ponude na platformi ili događaje sa zajedničkim vođenjem učesnika.

Ovaj članak je usmjeren na konkretnu saradnju između preduzeća i agencije ili platforme. Objašnjava kako prepoznati zajedničko odlučivanje, koje tačke treba urediti dogovorom prema članu 26 GDPR-a i zašto ugovor sam po sebi ne zamjenjuje provjeru stvarnih uloga. Za opštu orijentaciju možete koristiti provjeru uloga.

Član 4 tačka 7 GDPR-a obuhvata i više subjekata koji zajedno određuju svrhe i sredstva obrade. Nije potrebno da obje strane učestvuju jednako u svakom detalju. Zajednička odgovornost može postojati kada preduzeće i agencija zajedno određuju ciljnu grupu, cilj kampanje, izbor podataka ili način kontakta.

Naziv u ugovoru je samo jedan pokazatelj. Važno je ko u praksi donosi odluke i koje odluke bitno utiču na prava ispitanika. Agencija koja samo izvršava jasno određenu tehničku uslugu prema uputstvima može biti izvršilac obrade. Ako zajedno određuje svrhu i ciljnu grupu aktivnosti, situaciju treba posebno ispitati.

Počnite od konkretnog postupka obrade. Koje osobe su obuhvaćene, koji podaci se koriste, čemu aktivnost služi i preko koje platforme ili interfejsa se podaci obrađuju? Ako obje strane odlučuju o ovim tačkama, zajednička odgovornost je vjerovatnija.

Nije svaka tehnička odluka bitno sredstvo o kojem se zajedno odlučuje. Pružalac usluge može izabrati hosting ili interne softverske komponente bez odlučivanja o svrsi. Bliže pravima ispitanika su kategorije podataka, ciljna grupa, čuvanje, primaoci i pitanje da li se kontakt koristi za oglašavanje, prodaju ili događaj. Odluku treba dokumentovati za svaki postupak obrade.

Član 26 GDPR-a traži transparentan dogovor o raspodjeli obaveza. To uključuje informacije prema čl. 13 i 14 GDPR-a, zahtjeve ispitanika, sigurnosne incidente i kontakt. Dogovor ne mora uvijek biti u cijelosti javno objavljen, ali njegove bitne tačke moraju biti dostupne ispitanicima.

Odredite ko priprema obavijest o privatnosti, ko prima zahtjeve za pristup, ispravku, brisanje ili prigovor i kako se druga strana uključuje. Uredite rokove za prosljeđivanje, dokumentovanje i postupanje kod pritužbi. Dogovor treba sadržati jasan kontakt i put eskalacije, a ne samo opštu formulaciju o „zajedničkim obavezama“.

Ispitanici treba da razumiju ko obrađuje njihove podatke i za koju svrhu. To važi i kada saradnja nije vidljiva. Obavijest o privatnosti treba razumljivo opisati učesnike i svrhu. Kod platforme treba razjasniti da li preduzeće ili operator platforme koristi poruke, prijave ili podatke o korištenju za vlastite svrhe. Pregled prava ispitanika i pristupa pomaže kod organizovanja zahtjeva.

Izbjegavajte proturječne informacije. Ako se agencija poziva na saglasnost, a preduzeće na legitimni interes, svrhu, obim podataka i pravni osnov treba provjeriti zajedno. Rokovi čuvanja, primaoci i prenosi izvan EGP-a također moraju biti usklađeni.

Dogovor prema članu 26 raspoređuje zadatke između zajedničkih rukovalaca. Može odrediti ko je prvi kontakt za pristup, ispravku, brisanje ili prigovor. Ne smije se dopustiti da ispitanik ne može ostvariti pravo zato što se strane interno ne slažu. Svaka strana u pravilu ostaje dostupna ispitaniku.

Kod incidenata odredite ko prijavljuje moguću povredu podataka, koje se informacije odmah prosljeđuju i ko koordinira procjenu rizika. Pregled povreda podataka i obaveza prijave objašnjava naredne organizacione korake. Ugovorna raspodjela ne uklanja obavezu svake strane da prepozna i obradi incident.

Agencija ili platforma može pored zajedničke obrade ostvarivati vlastite svrhe. Primjeri su vlastito fakturisanje, sigurnost sistema, upravljanje korisničkim računima ili nezavisna analiza proizvoda. Za taj dio može biti samostalni rukovalac. To treba odvojiti od zajedničke kampanje ili usluge.

Široke klauzule koje sve podatke dopuštaju za „optimizaciju“ nose rizik. Posebno procijenite obim, svrhu, pravni osnov, rok čuvanja i primaoce. Ako je pružalac usluge za jedan dio izvršilac obrade, a za drugi rukovalac ili zajednički rukovalac, tokovi podataka i postavke treba da podrže ovu razliku. Informacije o izvršiocima obrade i pružaocima usluga pomažu u razgraničenju.

Dogovor mora odgovarati stvarnom korištenju platforme. Provjerite da li su od potpisivanja dodane nove funkcije, podizvršioci, elementi praćenja ili zajedničke ciljne grupe. Promjena kampanje može izmijeniti svrhe i sredstva dovoljno da je potrebna nova procjena uloga.

Vodite evidenciju odobrenja, verzija i izmjena. Kratka matrica uloga može pokazati ko određuje svrhu, kategorije podataka, primaoce, čuvanje, brisanje i kontakt ispitanika. Kod složenih kampanja odredite i ko kontroliše izvoze, pristupe i brisanje. Stranica o upravljanju privatnošću i usklađenosti pomaže u organizaciji.

Česta greška je izjednačavanje učešća sa zajedničkom odgovornošću. Strana koja tehnički prenosi podatke ili upravlja platformom nije automatski zajednički rukovalac. Obrnuto, agencija može biti zajednički rukovalac i kada ne izvršava svaki tehnički korak.

Nejasni kontakti, različite obavijesti o privatnosti i dogovori bez postupka za promjene stvaraju dodatni rizik. Provjerite mogu li strane stvarno proslijediti incident u ugovorenom roku. Lista zadataka bez dostupnih kontakata i potrebnih informacija neće funkcionisati u praksi.

Zajednički događaj: Preduzeće i agencija zajedno određuju ciljnu grupu, obrazac prijave i svrhu komunikacije. Za prijavu može postojati zajednička odgovornost. Agencija za slanje ili hosting može odvojeno biti izvršilac obrade ako slijedi uputstva.

Tržišna platforma: Trgovac koristi platformu. Za prodaju, upravljanje računom i sigurnost mogu važiti različite uloge. Za zajednički određene funkcije oglašavanja ili ponude potrebna je posebna procjena.

Oglašivačka kampanja: Preduzeće i agencija zajedno definišu ciljnu grupu, izvore podataka i tok kontakta. Nije dovoljno agenciju za sve označiti kao izvršioca obrade. Svaki tok podataka mora biti usklađen sa svrhom, sredstvima, transparentnošću i odgovornošću.

Za procjenu rijetko je dovoljan samo ugovor. Prikupite briefove, odobrenja kampanje, obrasce, opise platforme, koncepte uloga i pristupa te važeću obavijest o privatnosti. Važni su i podaci o primaocima, rokovima čuvanja, podizvršiocima i prenosima izvan Evropskog ekonomskog prostora. Ovi dokumenti često bolje pokazuju ko je stvarno donio pojedinu odluku.

Dokumente povežite s konkretnim postupkom obrade. Opšti ugovor s agencijom može obuhvatiti više projekata s različitim tokovima podataka. Za svaku kampanju ili funkciju platforme zabilježite ciljnu grupu, prikupljena polja, način odobrenja i brisanje ili vraćanje podataka nakon završetka. Tako ugovorni naziv ne prikriva stvarnu saradnju.

Na kraju uporedite interne postupke s javnim informacijama. Dogovor prema članu 26 GDPR-a, obavijest o privatnosti i obrazac treba da opisuju istu svrhu, iste strane i isti kontakt. Izmjene vodite u verzijama i pribavite odobrenje odgovornih osoba. Kod ponavljanih kampanja napravite kratko godišnje poređenje i dodatnu provjeru kod novih funkcija ili pružalaca usluga.

Posebno zabilježite odluke koje utiču na ciljnu grupu, pravni osnov i trajanje obrade. Ako se odluka donosi na sastanku ili u digitalnom alatu, sačuvajte datum, učesnike i konačnu verziju. Takav zapis pomaže da se kasnije razlikuje zajedničko određivanje svrhe od obične tehničke podrške.

Prije početka kampanje provjerite i izlaz iz sistema. Mora biti jasno ko može izvesti podatke, ko odobrava pristup, ko pokreće brisanje i ko prima potvrdu. Ove praktične tačke često otkrivaju da je potrebna preciznija podjela zadataka nego što pokazuje osnovni ugovor.

Kod modela s agencijom ili platformom odlučujuća su stvarna pitanja: ko određuje ciljnu grupu, tok podataka, pristupe, čuvanje i kontakt? Provjeravamo uloge, dogovor prema članu 26 GDPR-a i usklađenost s obavijestima o privatnosti i internim postupcima. Dostavite dogovor, opis platforme ili kampanje i informacije namijenjene ispitanicima kako bi se mogli odrediti naredni koraci.