Ugovor o obradi podataka (verwerkersovereenkomst) prema GDPR-u: holandski vodič za praksu

Gotovo svaka kompanija koja posluje u Holandiji outsourcinguje nešto što se tiče ličnih podataka: obračun plata, hosting, CRM, marketing, zapošljavanje, podršku. U slučajevima kada dobavljač obrađuje lične podatke po vašim uputama, član 28 GDPR-a zahtijeva pisani ugovor, na holandskom verwerkersovereenkomst . Ovaj vodič pokriva kada je to potrebno, šta mora sadržavati, kako holandski nadzorni organ pristupa tome i kako se pregovara o bitnim klauzulama.

Kada je potreban ugovor o obradi podataka, a kada nije

Potreban je samo u jednoj situaciji: kada jedna strana obrađuje lične podatke u ime druge. Strana koja odlučuje zašto i, u suštini, kako se podaci obrađuju je kontrolor; strana koja djeluje po njegovim uputama je obrađivač. Dužnost se proteže niz lanac, tako da obrađivač koji angažuje podobrađivača mora s njim sklopiti ekvivalentan ugovor. Nije potreban kada su strane nezavisni kontrolori, svaki za svoje svrhe, kada su zajednički kontrolori, što zahtijeva aranžman prema članu 26 GDPR-a, ili kada nisu uključeni lični podaci.

Potpisivanje ugovora sa strankom koja je zapravo nezavisni kontrolor nije bezopasno: pogrešno navodi ko je odgovoran i stvara iluziju da nijedna strana ne može poštovati upute. Greška ogledala je jednako česta, gdje dobavljač koji djeluje u svoj račun prihvata samo uslove upute kojih se ne može pridržavati.

Kontrolor ili obrađivač: kako se razlika zapravo procjenjuje

Procjena je funkcionalna, a ne formalna: ono što ugovor naziva stranama je dokaz, a ne odgovor, a razlika između kontrolora i obrađivača je prva stvar koju nadzorni organ testira. Referentna tačka su Smjernice EDPB-a 07/2020 o kontroloru i obrađivaču, čija je konačna verzija usvojena 7. jula 2021. godine.

Svrhe i osnovna sredstva

Kontrolor određuje svrhe i osnovna sredstva: koje kategorije podataka se obrađuju, o kome, koliko dugo i kome se otkrivaju. Te odluke su vezane za zakonitost i neophodnost i ne mogu se delegirati. Nebitna sredstva, detalji implementacije, mogu se prepustiti dobavljaču: koji softver koristi i kako projektuje svoje kontrole.

Organizacija stoga može biti kontrolor iako nikada ne dodiruje podatke. U svojoj presudi od 5. decembra 2023. u predmetu C-683/21 (Nacionalinis visuomenės sveikatos centras), Sud pravde je utvrdio da je subjekt koji određuje svrhe i sredstva obrade koja se provodi putem aplikacije koju je naručio kontrolor, te da zajednička kontrola može proizaći iz konvergentnih odluka bez ikakvog formalnog dogovora. Nasuprot tome, obrađivač koji ide dalje od uputa za obradu u vlastite svrhe tretira se članom 28 GDPR-a kao kontrolor za tu obradu.

Situacije koje sapliću kompanije

• Zavodi za obračun plata. U slučajevima kada biro unosi podatke koje dostavite i izrađuje platne liste, on se smatra obrađivačem. U slučajevima kada se angažman proteže na nezavisno savjetovanje i provjere usklađenosti prema vlastitoj procjeni firme, smjernice holandskih profesionalnih tijela od 1. oktobra 2019. za računovođe, poreske savjetnike i stručnjake za obračun plata tretiraju ga kao kontrolora.
• Računovođe i poreski savjetnici. Zakonska revizija, sastavljanje i poreske prijave obavljaju se u skladu sa vlastitim profesionalnim i zakonskim dužnostima firme, uz nezavisnu procjenu. To ukazuje na status kontrolora, a ugovor o obradi podataka je tada pogrešan dokument.
• Marketinške agencije. Agencija koja vodi kampanju usmjerenu na vašu listu klijenata je obrađivač. Onaj koji gradi ili obogaćuje publiku ili koristi ad-tech u kojem platforma postavlja parametre, ima vlastite svrhe, a zajednička kontrola s platformom je realna mogućnost.
• IT dobavljači, hosting i SaaS. Obično obrađivači, ali provjerite klauzulu kojom se zadržava pravo korištenja „agregiranih“ ili podataka o „korištenju“ za poboljšanje usluge, poređenje ili obuku modela. U mjeri u kojoj to uključuje lične podatke, to je vlastita svrha dobavljača i on je kontrolor za njih.
• Regruteri. Agencija koja održava vlastitu bazu podataka o kandidatima je kontrolor iste. Obrada imenovanih kandidata za vaše slobodno radno mjesto obično je kombinacija dva kontrolora s ograničenom obradom instrukcija između.

Zajednička kontrola i aranžman koji ona umjesto toga zahtijeva

U slučajevima kada dvije strane zajednički odrede svrhe i sredstva, bilo zajedničkom odlukom ili odlukama koje se konvergiraju i neraskidivo su povezane, član 26. GDPR-a zahtijeva dogovor, a ne ugovor o obradi podataka. Mora transparentno odrediti ko odgovara subjektima podataka i ko rukuje informacijama o transparentnosti, sigurnosti, obavještavanju o kršenju podataka, procjenama utjecaja i prijenosima. Njegova suština mora biti dostupna subjektima podataka, koji mogu ostvarivati ​​prava protiv bilo koje strane bez obzira na to kako su strane podijelile stvari, i ne obvezuje ni Autoriteit Persoonsgegevens ni sud.

Obavezni sadržaj prema članu 28 GDPR-a

Ugovor mora biti u pisanoj formi, uključujući elektronski oblik, i obavezujući za obrađivača. Član 28. GDPR-a postavlja fiksnu listu, a EDPB je eksplicitan da samo citiranje uredbe nije dovoljno.

Podobrađivači i režim autorizacije

Obrađivač ne smije angažovati podobrađivača bez odobrenja kontrolora. Posebno prethodno odobrenje odobrava svakog pojedinačno, što funkcioniše za mali stabilan lanac, ali ne i za veliku uslugu u oblaku. Opšte pismeno odobrenje omogućava obrađivaču da doda ili zamijeni podobrađivače pod uslovom da obavijesti kontrolora o namjeravanim promjenama i da mu dozvoli da se usprotivi.

Gotovo svaki standardni ugovor s dobavljačem nudi opće ovlaštenje, popis i rok za obavještavanje, tako da se pregovori svode na to koliko ta obavijest vrijedi: put koji ne ovisi o vašem praćenju web stranice, period dovoljno dug za djelovanje i navedena posljedica ako se prigovorite, realno raskid bez kazne. U svakom slučaju, obrađivač mora nametnuti iste obaveze jednu za drugom i ostaje odgovoran za podobrađivača. U Mišljenju 22/2024 od 9. oktobra 2024. godine, EDPB je potvrdio da se odgovornost proteže na cijeli lanac: kontrolor bi trebao biti u mogućnosti identificirati svakog podobrađivača i uvjeriti se da zaštitne mjere vrijede u cijelom lancu.

Sigurnosna obaveza, konkretizovana

„Obrađivač će implementirati odgovarajuće tehničke i organizacijske mjere u skladu s članom 32. GDPR-a“ je floskula: ne govori vam ništa i ne dokazuje ništa. Upotrebljiv aneks navodi šifriranje u tranzitu i u mirovanju te kako se ključevima upravlja; kontrolu pristupa, uključujući procese pridruživanja, preseljenja i odlaska i višefaktorsku autentifikaciju; šta se bilježi i koliko dugo; učestalost izrade sigurnosnih kopija i testirano vraćanje podataka; vremenske okvire za krpljenje i testiranje penetracije; certifikate na koje se oslanja, s njihovim opsegom; i gdje se podaci pohranjuju i pristupaju im , uključujući i osoblje za podršku.

Ovo je važno od evidentnog značaja. U svojoj presudi od 14. decembra 2023. u predmetu C-340/21 (Nacionalna agencija za prihodite), Sud pravde je utvrdio da sigurnosni incident sam po sebi ne utvrđuje da su mjere bile neadekvatne, već da kontrolor snosi teret dokazivanja da su bile odgovarajuće. Datirani aneks je taj dokaz; unakrsna referenca nije.

Pomoć s pravima subjekata podataka i obavještavanjem o kršenju

Obje obaveze su određene rokovima, a rokovi pripadaju kontroloru. Što se tiče prava subjekta podataka, kontrolor mora odgovoriti u roku od mjesec dana, tako da vam „razumna pomoć“ bez vremenskog okvira ostavlja da sami apsorbujete kašnjenje. Rješenje: svaki zahtjev koji dobavljač primi prosljeđuje se u roku od navedenog broja radnih dana i nikada se na njega ne odgovara; kompletan izvod se izrađuje u upotrebljivom formatu u roku od pet do deset radnih dana; i to je uključeno u naknadu, a ne aktivira fakturu.

O kršenjima, kontrolor mora obavijestiti Autoriteit Persoonsgegevens bez nepotrebnog odlaganja i, gdje je to izvodljivo, u roku od 72 sata od saznanja, u skladu s članom 33 GDPR-a. Konkretizirajte dužnost obrađivača: obavještavanje u roku od 24 sata, imenovanoj kontakt osobi s rutom izvan radnog vremena, s definiranim minimalnim skupom sadržaja čak i kada su činjenice nepotpune; saradnja s forenzikom; i zabrana obavještavanja tijela ili subjekata podataka bez vašeg odobrenja. Organizacije u okviru također prijavljuju incidente svom CSIRT-u u skladu s holandskim Cyberbeveiligingswet-om, koji provodi NIS2 Direktivu i primjenjuje se od 15. augusta 2026. godine.

Prava revizije i kako se o njima pregovara

Član 28. GDPR-a zahtijeva od obrađivača i da stavi na raspolaganje informacije potrebne za dokazivanje usklađenosti i da dozvoli i doprinese revizijama, uključujući inspekcije, od strane kontrolora ili revizora kojeg on ovlasti. Klauzula koja nudi samo „našu najnoviju certifikaciju“ nije dovoljna. Kompromis koji se postiže u većini holandskih pregovora: godišnji izvještaj o uvjerljivosti po zakonu, sa dokumentom o opsegu; dokumentirana revizija jednom godišnje, plus dodatna revizija nakon kršenja koje utiče na vaše podatke ili na zahtjev nadzornog tijela; obavještenje trideset dana unaprijed; opseg ograničen na vaše usluge; revizor koji nije konkurent; i troškovi koje snosite vi, osim ako se ne utvrdi značajna neusklađenost.

Vraćanje ili brisanje na kraju

Izbor je na kontroloru, i ugovor bi to trebao navesti, a ne rezervirati ga za dobavljača. Navedite format izvoza, rok, obično trideset dana od raskida, pisanu potvrdu brisanja i kako se rukuje sigurnosnim kopijama, što realno znači da podaci ostaju u dokumentiranom ciklusu, zaštićeni i nekorišteni, sve dok se ne prebrišu. Unaprijed dogovorite pomoć pri izlasku i cijene te isključite svako pravo na zadržavanje podataka zbog spornih naknada.

Odgovornost, obeštećenja i vlastiti režim odgovornosti GDPR-a

Član 82. GDPR-a daje subjektu podataka pravo na naknadu materijalne i nematerijalne štete. Kontrolor je odgovoran za štetu uzrokovanu obradom koja krši uredbu; obrađivač je odgovoran kada nije ispunio obaveze koje su posebno usmjerene na obrađivače ili je djelovao izvan ili suprotno zakonitim uputama. Kada su oba uključena u istu obradu, svaki može biti odgovoran za cjelokupnu štetu, s naknadnom mogućnošću regresa. Ta izloženost se ne može ugovorom isključiti; ugovor raspoređuje interni udio. Kazne su odvojene: kršenja člana 28. GDPR-a spadaju u donju kategoriju u članu 83. GDPR-a.

• Standardni uslovi ograničavaju odgovornost na višekratnik naknada i isključuju „indirektne i posljedične gubitke“. Ako regulatorne kazne, troškovi obavještavanja i forenzike te naknada subjektima podataka spadaju u to izuzeće, odšteta je dekorativna: navedite ih kao nadoknadive direktne gubitke.
• Tražite izuzeće ili povećano ograničenje za kršenje ugovora o obradi podataka, kršenje povjerljivosti i namjerno ili nemarno kršenje.
• Kazna koja vam je izrečena ne može se prenijeti kao novčana kazna, ali se može naplatiti kao gubitak na osnovu pravilno sastavljene odštete. Holandske kolektivne tužbe prema WAMCA režimu čine agregirane zahtjeve realnom izloženošću, što govori protiv pretjeranog ograničenja.

Međunarodni transferi i standardne klauzule

Ako obrađivač, njegovi podobrađivači ili njegovo osoblje za podršku mogu pristupiti podacima izvan EGP-a, Poglavlje V GDPR-a i režim za međunarodni prijenos podataka primjenjuju se pored člana 28. Udaljeni pristup se računa, kao i služba za podršku u inostranstvu.

U nedostatku odluke o adekvatnosti prema članu 45 GDPR-a, uobičajeni alat su standardne ugovorne klauzule usvojene Odlukom Komisije (EU) 2021/914 od 4. juna 2021. godine, prema članu 46 GDPR-a. Dvije tačke se redovno propuštaju. Moduli koji pokrivaju prenose od kontrolora do obrađivača i od obrađivača do podobrađivača također zadovoljavaju zahtjeve člana 28 GDPR-a, tako da za taj dio nije potreban zaseban ugovor o obradi, iako mnogi ugovori kombiniraju oba. A nakon presude Suda pravde od 16. jula 2020. godine u predmetu C-311/18 (Schrems II), potpisivanje nije kraj: strane moraju procijeniti da li zakon i praksa zemlje odredišta sprječavaju uvoznika da se pridržava propisa i dodati dopunske mjere tamo gdje to čine. Dokumentirajte tu procjenu; Preporuke EDPB-a 01/2020, usvojene 18. juna 2021. godine, i dalje postavljaju pristup.

Za Sjedinjene Američke Države, odluka Komisije o adekvatnosti od 10. jula 2023. za Okvir za privatnost podataka EU-SAD ostaje na snazi, ali pomaže samo kada je određeni primalac aktivno samocertificiran za relevantne kategorije podataka, stoga provjerite certifikaciju. Preživjela je svoj prvi izazov: Opći sud je odbacio tužbu presudom od 3. septembra 2025. u predmetu T-553/23 (Latombe protiv Komisije). Žalba je podnesena 31. oktobra 2025. kao predmet C-703/25 P, a Sud pravde nije zatvorio predmet do datuma ove stranice 2026. godine; odluka o adekvatnosti u međuvremenu nije ni obustavljena ni izmijenjena. Ne dozvolite da to postane jedinstvena tačka neuspjeha: zadržite klauzule i dokumentovanu procjenu kao rezervno rješenje, a neriješenu žalbu tretirajte kao razlog za podnošenje iste, a ne kao razlog za čekanje. Agencija za zaštitu ličnih podataka (Autoriteit Persoonsgegevens) kaznila je Uber sa 290 miliona eura odlukom od 22. jula 2024. godine zbog prenosa podataka vozača u Sjedinjene Američke Države bez odgovarajućeg alata za prenos nakon što je prestao koristiti klauzule; Uber je izjavio da namjerava uložiti prigovor, AP nije objavio nikakvu odluku o tom prigovoru, te bi kaznu stoga trebalo čitati kao izjavu o stavu regulatora, a ne kao utvrđeni presedan.

Jedna praznina u ovom priručniku i dalje postoji. Komisija je saopštila da priprema dodatni set standardnih ugovornih klauzula za uvoznike izvan EU čija obrada direktno podliježe GDPR-u prema članu 3 - situacija u kojoj klauzule iz 2021. nisu sasvim prikladne. Te klauzule nisu bile usvojene do datuma ove stranice 2026. godine, tako da se za tu konfiguraciju procjena i zaštitne mjere moraju ručno ugraditi u ugovor.

Jesu li klauzule Komisije o kontroloru i obrađivaču obavezne?

Ne. Odluka Komisije o implementaciji (EU) 2021/915 od 4. juna 2021. godine predviđa standardne ugovorne klauzule između kontrolora i obrađivača za upotrebu unutar EGP-a, ali njihova upotreba je opcionalna: strane mogu pregovarati o vlastitom ugovoru pod uslovom da sadrži sve što zahtijeva član 28. GDPR-a. Klauzule mogu biti dio šireg ugovora s dodatnim, neproturječnim odredbama, ali se same ne mogu mijenjati, tako da se prilagođavanje vrši u aneksima. Sporazumi po mjeri i sektorski modeli ostaju holandska norma, što je prihvatljivo pod uslovom da je suština prisutna.

Izvršenje od strane Autoriteit Persoonsgegevens

AP je ovo direktno ispitao. Pregledao je ugovore o obradi podataka koje koristi 31 organizacija privatnog sektora u trgovini, zdravstvu, medijima, slobodnom vremenu i energetici, objavljujući svoje nalaze 2020. godine pod naslovom da „taj“ ugovor o obradi ne postoji. Utvrđeno je da ugovori ne čine mnogo više od citiranja uredbe, sigurnosne formulacije koja napominje da politika postoji bez navođenja šta ona zahtijeva, te da su ugovori i dalje sastavljeni prema starom holandskom zakonu o zaštiti podataka.

U istrazi, očekujte da će AP proučiti vašu evidenciju aktivnosti obrade, ugovore s dobavljačima navedenim u njoj, zatim sigurnosni aneks, popis podobrađivača i dokumentaciju o prijenosu, a na kraju i dokaze da ste nešto učinili s njima: nepročitani izvještaj o uvjerljivosti nije propust. Krivica je također bitna, budući da je u slučaju C-683/21 Sud pravde potvrdio da novčana kazna zahtijeva namjerno ili nemarno kršenje. Strateški fokus AP-a za period od 2026. do 2028. godine pokriva masovni nadzor, umjetnu inteligenciju i digitalnu otpornost, pri čemu posljednje izričito uključuje sigurnost lanca snabdijevanja.

Kontrolna lista za pregled standardnog ugovora o obradi dobavljača

• Jesu li uloge ispravne? Ako je dobavljač nezavisni kontrolor, nemojte uopšte potpisivati ​​ugovor o obradi.
• Da li je opis obrade završen ili je samo prazan aneks, i da li išta dozvoljava obradu za vlastito poboljšanje dobavljača, analitiku ili obuku modela?
• Jesu li sigurnosne mjere priložene i specifične, s navedenim certifikatima i njihovim opsegom?
• Da li je lista podobrađivača dostupna, da li vam se dostavlja obavještenje, da li prigovor ima posljedice i da li su podobrađivači međusobno povezani?
• Da li se obavještenje o kršenju sigurnosti vrši u roku od određenog kratkog roka i da li je dobavljaču zabranjeno da sam obavijesti nadležni organ?
• Jesu li rokovi za podnošenje zahtjeva subjekta podataka fiksni i unutar naknade, te postoji li stvarno pravo na reviziju, a ne samo certifikat?
• Da li brisanje ili vraćanje zavisi od vašeg izbora, sa formatom, rokom i obradom sigurnosne kopije?
• Gdje se podaci pohranjuju i gdje im se pristupa, i da li je za svaku dionicu na mjestu odgovarajući alat za prijenos?
• Da li ograničenje i isključenje indirektnog gubitka ostavljaju obeštećenje sa stvarnim sadržajem i da li postoji interni vlasnik i datum revizije?

Law & More izrađuje, pregleda i pregovara o ugovorima o obradi za holandske i međunarodne kompanije Eindhoven i Amsterdam, i savjetuje o ulogama kontrolora i obrađivača, transferima izvan EGP-a i istragama koje provodi Autoriteit Persoonsgegevens.