{"id":7390,"date":"2023-05-23T15:36:04","date_gmt":"2023-05-23T15:36:04","guid":{"rendered":"https:\/\/viqtor.eu\/?p=7390"},"modified":"2026-06-04T15:07:34","modified_gmt":"2026-06-04T15:07:34","slug":"comprendre-le-role-du-sous-traitant-selon-le-rgpd-responsabilites-et-implications","status":"publish","type":"post","link":"https:\/\/viqtor.eu\/hr\/razumijevanje-uloge-podizvodaca-prema-gdpr-u-odgovornosti-i-implikacije\/","title":{"rendered":"Razumijevanje uloge podizvo\u0111a\u010da prema GDPR-u: Odgovornosti i implikacije"},"content":{"rendered":"
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t
<\/div>\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t

Podizvo\u0111a\u010d za GDPR: Za\u0161to je procjena pru\u017eatelja usluga postala klju\u010dno pitanje za va\u0161e poslovanje<\/h1>\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Prepu\u0161tanje obrade podataka pru\u017eatelju usluga nikada ne osloba\u0111a tvrtku od njezinih odgovornosti. Od 2021. godine CNIL<\/strong> poo\u0161trio je sankcije protiv organizacija koje nisu pravilno procijenile ili regulirale svoje Podizvo\u0111a\u010d za GDPR<\/strong> Milijun eura protiv Mobius Solutionsa u prosincu 2025., 1,5 milijuna eura protiv Dedalus Biologie, 600.000 eura protiv Canal+ Groupa, 800.000 eura protiv Discorda. Poruka je jasna: prepustite obradu vanjskim suradnicima. osobni podaci<\/strong> ne delegira uskla\u0111enost.<\/p>\n

Za menad\u017eere se problem premjestio s pravnih pitanja na upravljanje rizicima. Evaluacija pru\u017eatelja usluga, formaliziranje ugovor o podugovaranju prema GDPR-u<\/strong>Pra\u0107enje lanca tijekom vremena: to su zakonske obveze \u010dije nepo\u0161tivanje skupo ko\u0161ta.<\/p>\n

\n

<\/p>\n<\/div>\n

<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Razumijevanje uloge podizvo\u0111a\u010da za GDPR i njihovih obveza<\/h2>

Tko je podizvo\u0111a\u010d u smislu GDPR-a?<\/h3>

GDPR definira obra\u0111iva\u010da podataka kao svaku fizi\u010dku ili pravnu osobu koja obra\u0111uje osobni podaci<\/strong> u ime kontrolor podataka<\/strong>\u010cim pru\u017eatelj usluga pristupi, hostira, analizira ili pohrani osobni podaci<\/strong> koje mu povjerite, on je podizvo\u0111a\u010d: cloud hosting, SaaS izdava\u010di, pru\u017eatelji usluga obra\u010duna pla\u0107a, marketin\u0161ke agencije, pozivni centri, CRM, pru\u017eatelji usluga e-po\u0161te, tvrtke za IT odr\u017eavanje.<\/p>

Granica sa statusom kontrolor podataka<\/strong> nije uvijek o\u010dito. Pru\u017eatelj usluga koji odlu\u010duje o svrsi ili na\u010dinu obrade podataka prelazi u vi\u0161u kategoriju i tada snosi punu odgovornost. Upravo je to zamka u koju je upala tvrtka Mobius Solutions Ltd, ka\u017enjena s milijun eura od strane CNIL<\/strong> u prosincu 2025. zbog ponovne upotrebe Deezerovih podataka za pobolj\u0161anje vlastitih usluga, bez ikakvih uputa od strane klijenta.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Obveze podizvo\u0111a\u010da kako je navedeno u \u010dlanku 28.<\/h3>

\u010clanak 28. GDPR-a posebno navodi obveze podizvo\u0111a\u010da<\/strong> djelovati samo prema dokumentiranim uputama, jam\u010diti povjerljivost ovla\u0161tenog osoblja, provoditi odgovaraju\u0107e tehni\u010dke i organizacijske sigurnosne mjere, pomagati kontrolor podataka<\/strong> u upravljanju pravima pojedinaca i prijavljivanju kr\u0161enja, brisanju ili vra\u0107anju podataka na kraju usluge te odr\u017eavanju registar aktivnosti obrade<\/strong> specifi\u010dan za njegovu djelatnost.<\/p>

Ova posljednja obveza \u010desto se zanemaruje. Me\u0111utim, CNIL (Francusko tijelo za za\u0161titu podataka) na nju se pozvalo u nekoliko nedavnih sankcija, uklju\u010duju\u0107i slu\u010daj Mobius Solutions. Nevo\u0111enje registra zna\u010di li\u0161avanje glavnog dokaza o uskla\u0111enosti u slu\u010daju revizije.<\/p>

Kaskadno podugovaranje: prethodno odobrenje je obavezno<\/h3>

Podizvo\u0111a\u010d mo\u017ee anga\u017eirati sljede\u0107eg podizvo\u0111a\u010da (\u201ekaskada\u201c) samo uz prethodno pismeno odobrenje, posebno ili op\u0107e, od kontrolor podataka<\/strong>U slu\u010daju op\u0107eg ovla\u0161tenja, pru\u017eatelj usluga mora obavijestiti klijenta o svim promjenama kako bi mu omogu\u0107io prigovor. SaaS pru\u017eatelj usluga koji se oslanja na pru\u017eatelja usluga hostinga u oblaku, koji sam koristi podpru\u017eatelja usluga pra\u0107enja, mora biti u mogu\u0107nosti dokumentirati svaku kariku u lancu.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Obveza ocjenjivanja podizvo\u0111a\u010da: pre\u010desto zanemarena du\u017enost<\/h2>

Eksplicitna i strukturiraju\u0107a obveza GDPR-a<\/h3>

\u010clanak 28. stavak 1. GDPR-a je nedvosmislen: kontrolor podataka<\/strong> "Koristi samo podizvo\u0111a\u010de koji nude dovoljna jamstva." Ovo nije preporuka, ve\u0107 pozitivna obveza. Prije sklapanja ugovora, upravitelj mora osigurati da njegov pru\u017eatelj usluga ima vje\u0161tine, postupke i organizaciju za obradu podataka u skladu s propisima.<\/p>

To podrazumijeva formalizirani postupak evaluacije: tablicu kriterija, upitnik o uskla\u0111enosti, zahtjev za prate\u0107om dokumentacijom (sigurnosna politika, certifikati, DPA<\/strong>, registar, oznaka DPO<\/strong>), analiza naknadnih podizvo\u0111a\u010da, provjera lokacije poslu\u017eitelja i svih potencijalnih prijenosi podataka<\/strong> izvan EU-a. Ova se procjena mora pratiti i \u010duvati - bez nje upravitelj ne\u0107e mo\u0107i dokazati ni svoju marljivost ni uskla\u0111enost s na\u010delom odgovornosti.<\/p>

Sankcije CNIL-a koje bi trebale upozoriti menad\u017eere<\/h3>

U 2024. godini, CNIL<\/strong> Izdalo je 87 sankcija u ukupnom iznosu od preko 55 milijuna eura. Nekoliko nedavnih slu\u010dajeva pokazuje da je procjena i reguliranje pru\u017eatelja usluga postalo klju\u010dno podru\u010dje kontrole.<\/p>

Slu\u010daj Dedalus Biologie (travanj 2022., 1,5 milijuna eura) ostaje simboli\u010dan. CNIL<\/strong> Francusko tijelo za za\u0161titu tr\u017ei\u0161nog natjecanja sankcioniralo je ovog izdava\u010da softvera za medicinske laboratorije nakon masovnog kr\u0161enja podataka koji uklju\u010duju zdravstvene informacije. Osim sigurnosnog propusta, glavni razlog bio je nedostatak obveznih klauzula iz \u010dlanka 28. u standardnim ugovorima. Ova odluka ozna\u010dila je prekretnicu: podizvo\u0111a\u010d sada mo\u017ee biti izravno ka\u017enjen zbog toga \u0161to nije pravilno formalizirao odnos, bez obzira na odgovornost klijenta.<\/p>

Slu\u010daj Mobius Solutions Ltd \/ Deezer (prosinac 2025., 1 milijun eura) ilustrira naj\u010de\u0161\u0107e nedostatke: zadr\u017eavanje podataka nakon isteka ugovora, obrada izvan uputa klijenta, nedostatak registra, nedostatak sigurnosnih mjera \u0161to je dovelo do objavljivanja podataka nekoliko milijuna korisnika na darknetu.<\/p>

Slu\u010daj Discord (2022., 800.000 eura) rezultira sankcijama na strani kontrolor podataka<\/strong> nepostojanje ugovora u skladu s \u010dlankom 28. Canal+ Group, ka\u017enjen s 600.000 eura 2022. godine, ka\u017enjen je posebno zbog nedostatka dovoljnih ugovornih sporazuma. Od 27. sije\u010dnja 2021. godine CNIL<\/strong> uveo je svoju doktrinu istodobnim odobravanjem kontrolor podataka<\/strong> (150.000 eura) i njegovog podizvo\u0111a\u010da (75.000 eura) zbog nepoduzimanja mjera protiv nedozvoljenog kori\u0161tenja vjerodajnica.<\/p>

\u0160to CNIL ispituje u svojim revizijama<\/h3>

Kako se donose odluke, kontrolna mre\u017ea CNIL<\/strong> Detalji su postali jasniji. Vlasti provjeravaju postojanje Ugovor o podugovaranju u skladu s GDPR-om<\/strong> pisane i u skladu s \u010dlankom 28., dokumentacija uputa, a\u017eurirani popis sljede\u0107ih podizvo\u0111a\u010da, stvarno provedene tehni\u010dke i organizacijske mjere, postupci obavje\u0161tavanja za kr\u0161enje podataka<\/strong>, aran\u017emane za pomo\u0107 pojedincima u ostvarivanju njihovih prava, uvjete za raskid ugovora i sljedivost provedenih revizija.<\/p>

Kako bismo pripremili va\u0161u organizaciju za ove kontrolne to\u010dke, na\u0161i Potpuni vodi\u010d za revizije uskla\u0111enosti s GDPR-om<\/a><\/strong> detaljno opisuje metodologiju koja \u0107e se primjenjivati.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

\u017delite li osigurati svoj lanac podizvo\u0111a\u010da i dokazati uskla\u0111enost s propisima?\u00a0<\/strong><\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t<\/i>\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\tRazgovarajte sa stru\u010dnjakom za Viqtor\u00ae<\/span>\n\t\t\t\t\t<\/span>\n\t\t\t\t\t<\/a>\n\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Izgradnja \u010dvrstog ugovornog okvira: ugovor o podugovaranju prema GDPR-u<\/h2>

Obvezne odredbe \u010dlanka 28. stavka 3.<\/h3>

DPA (Ugovor o obradi podataka)<\/strong>Ili Ugovor o podugovaranju u skladu s GDPR-om<\/strong>mora uklju\u010divati osnovni skup klauzula propisanih uredbom: predmet i trajanje obrade, priroda i svrha, vrsta podataka i kategorije osoba, obveze i prava kontrolor podataka<\/strong>Tako\u0111er mora uklju\u010divati osam specifi\u010dnih obveza podizvo\u0111a\u010da: postupati prema dokumentiranim uputama, jam\u010diti povjerljivost, poduzeti potrebne sigurnosne mjere, anga\u017eirati sljede\u0107e podizvo\u0111a\u010de samo uz ovla\u0161tenje, pomo\u0107i u odgovaranju na zahtjeve pojedinaca, pomo\u0107i u pitanjima sigurnosti i obavje\u0161tavanja, vratiti ili izbrisati podatke na kraju ugovora i staviti na raspolaganje sve informacije potrebne za revizije.<\/p>

Standardni uvjeti i odredbe izdava\u010da uglavnom su nedovoljni, kao \u0161to su CNIL<\/strong> Dedalus i nekoliko drugih pru\u017eatelja usluga, koji su u me\u0111uvremenu sankcionirani, kritizirani su zbog toga. Pregled svakog pojedina\u010dnog ugovora je klju\u010dan.<\/p>

Zamke koje treba izbjegavati u pisanju<\/h3>

Nekoliko pogre\u0161aka redovito potkopava uskla\u0111enost. Klauzula koja potpuno osloba\u0111a podizvo\u0111a\u010da od odgovornosti nije provediva protiv CNIL<\/strong> kao \u017ertvu curenja informacija. Nedostaju\u0107i ili zastarjeli popis naknadnih podizvo\u0111a\u010da otkriva kontrolor podataka<\/strong> do neuspjeha. Nejasno opisane sigurnosne mjere nisu dovoljne: CNIL<\/strong> \u010deka konkretan, provjerljiv i datiran referentni dokument. Nepostojanje postupka obavje\u0161tavanja o kr\u0161enju ili rokovi koji nisu kompatibilni sa 72 sata propisanih kontrolor podataka<\/strong>, sustavno se zadr\u017eava protiv podizvo\u0111a\u010da koji ne ispunjavaju obveze.<\/p>

Sredi\u0161nja uloga DPO-a i upravljanje podacima<\/h3>

THE DPO<\/strong> Slu\u017ebenik za za\u0161titu podataka (DPO) igra klju\u010dnu ulogu: vodi evaluaciju pru\u017eatelja usluga, potvr\u0111uje ugovorne klauzule, nadzire registar podizvo\u0111a\u010da i upozorava upravu na rizike. U nedostatku DPO<\/strong>Ove misije mora izvr\u0161avati jasno odre\u0111ena funkcija. upravljanje podacima<\/a> uvelike se oslanja na tu sposobnost odr\u017eavanja odnosa s podizvo\u0111a\u010dima tijekom vremena.<\/p><\/div>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Upravljanje odnosom tijekom vremena: revizije, pra\u0107enje i incidenti<\/h2>

Trajna obveza, a ne formalnost potpisivanja<\/h3>

Nije dovoljno to navesti u ugovoru. kontrolor podataka<\/strong> mora s vremenom osigurati da njegov pru\u017eatelj usluga po\u0161tuje svoje obveze: periodi\u010dne revizije, godi\u0161nji pregled DPA<\/strong>, sustavno a\u017euriranje u slu\u010daju promjene (novi sljede\u0107i podizvo\u0111a\u010d, novi opseg, nova lokacija poslu\u017eitelja).<\/p>

Tamo CNIL<\/strong> je eksplicitno: kori\u0161tenje podizvo\u0111a\u010da nikada ne osloba\u0111a kontrolor podataka<\/strong> svoje du\u017enosti pa\u017enje. Sankcija Canal+ temeljila se upravo na nalazu da nije proveden u\u010dinkovit nadzor nad pru\u017eateljima usluga. Suprotno tome, tvrtka sposobna izraditi revizorska izvje\u0161\u0107a, ispunjene upitnike i akcijske planove pokazuje svoju marljivost, \u010dak i u slu\u010daju incidenta.<\/p>

THE Viqtor modul za podizvo\u0111a\u010de<\/a> centralizira evaluaciju, ugovor, naknadne podizvo\u0111a\u010de, revizije i povijest razmjena u jednom repozitoriju.<\/p>

Odgovor na povredu podataka koja uklju\u010duje pru\u017eatelja usluga<\/h3>

Zna\u010dajan udio kr\u0161enja koja se svake godine prijavljuje CNIL<\/strong> uklju\u010duje podizvo\u0111a\u010da. kontrolor podataka<\/strong> Stoga sustav brzog obavje\u0161tavanja mora biti uklju\u010den u ugovor od samog po\u010detka. Podizvo\u0111a\u010d je du\u017ean obavijestiti svog klijenta "\u0161to je prije mogu\u0107e", \u0161to u praksi zna\u010di 24 do 48 sati kako bi se omogu\u0107ila obavijest unutar zakonskog roka od 72 sata. CNIL<\/strong>Na\u0161a stranica posve\u0107ena izjava o povredi podataka<\/a> On detaljno opisuje korake.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

\u0160to trebate napomenuti<\/h2>