{"id":7390,"date":"2023-05-23T15:36:04","date_gmt":"2023-05-23T15:36:04","guid":{"rendered":"https:\/\/viqtor.eu\/?p=7390"},"modified":"2026-06-04T15:07:34","modified_gmt":"2026-06-04T15:07:34","slug":"comprendre-le-role-du-sous-traitant-selon-le-rgpd-responsabilites-et-implications","status":"publish","type":"post","link":"https:\/\/viqtor.eu\/sl\/razumevanje-vloge-podizvajalca-v-skladu-z-gdpr-odgovornosti-in-posledice\/","title":{"rendered":"Razumevanje vloge podizvajalca v skladu z GDPR: odgovornosti in posledice"},"content":{"rendered":"
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t
<\/div>\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t

Podizvajalec GDPR: Zakaj je ocenjevanje ponudnikov storitev postalo klju\u010dno vpra\u0161anje za va\u0161e podjetje<\/h1>\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Zunanje izvajanje obdelave podatkov ponudniku storitev podjetja nikoli ne odvezuje odgovornosti. Od leta 2021 CNIL<\/strong> je poostrila sankcije proti organizacijam, ki niso ustrezno ocenile ali uredile svojih Podizvajalec GDPR<\/strong> 1 milijon evrov proti Mobius Solutions decembra 2025, 1,5 milijona evrov proti Dedalus Biologie, 600.000 evrov proti Canal+ Group, 800.000 evrov proti Discordu. Sporo\u010dilo je jasno: obdelavo prepustite zunanjim izvajalcem. osebni podatki<\/strong> ne delegira skladnosti.<\/p>\n

Za mened\u017eerje se je vpra\u0161anje preusmerilo s pravnih zadev na upravljanje tveganj. Vrednotenje ponudnikov storitev, formalizacija pogodba o podizvajanju v skladu z GDPR<\/strong>Spremljanje verige skozi \u010das: to so zakonske obveznosti, katerih neizpolnjevanje je drago.<\/p>\n

\n

<\/p>\n<\/div>\n

<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Razumevanje vloge podizvajalca za GDPR in njegovih obveznosti<\/h2>

Kdo je podizvajalec v smislu GDPR?<\/h3>

GDPR opredeljuje obdelovalca podatkov kot vsako fizi\u010dno ali pravno osebo, ki obdeluje osebni podatki<\/strong> v imenu upravljavec podatkov<\/strong>Takoj ko ponudnik storitev dostopa do podatkov, jih gosti, analizira ali shranjuje osebni podatki<\/strong> ki mu jih zaupate, je podizvajalec: ponudniki gostovanja v oblaku, zalo\u017eniki SaaS, ponudniki obra\u010dunavanja pla\u010d, marketin\u0161ke agencije, klicni centri, CRM, ponudniki e-po\u0161te, podjetja za vzdr\u017eevanje IT.<\/p>

Meja s statusom upravljavec podatkov<\/strong> ni vedno o\u010ditno. Ponudnik storitev, ki odlo\u010da o namenu ali sredstvih obdelave podatkov, preide v vi\u0161jo kategorijo in nato nosi polno odgovornost. Prav v to past se je zna\u0161lo podjetje Mobius Solutions Ltd, ki mu je sodi\u0161\u010de nalo\u017eilo globo v vi\u0161ini milijona evrov. CNIL<\/strong> decembra 2025 zaradi ponovne uporabe podatkov Deezer za izbolj\u0161anje lastnih storitev, brez kakr\u0161nih koli navodil stranke.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Obveznosti podizvajalca, kot so opisane v 28. \u010dlenu<\/h3>

\u010clen 28 GDPR posebej navaja obveznosti podizvajalca<\/strong> : ravnati le po dokumentiranih navodilih, zagotavljati zaupnost poobla\u0161\u010denega osebja, izvajati ustrezne tehni\u010dne in organizacijske varnostne ukrepe, pomagati upravljavec podatkov<\/strong> pri upravljanju pravic posameznikov in poro\u010danju o kr\u0161itvah, brisanju ali vra\u010danju podatkov ob koncu storitve ter vzdr\u017eevanju register dejavnosti obdelave<\/strong> specifi\u010dne za njegovo dejavnost.<\/p>

Ta zadnja obveznost se pogosto spregleda. Vendar pa jo je CNIL (francoski organ za varstvo podatkov) navedel v ve\u010d nedavnih sankcijah, vklju\u010dno s primerom Mobius Solutions. \u010ce ne vodite registra, se v primeru revizije prikraj\u0161ate za glavni dokaz o skladnosti.<\/p>

Kaskadno oddajanje pogodb podizvajalcem: predhodno dovoljenje je obvezno<\/h3>

Podizvajalec lahko najame naslednjega podizvajalca ("kaskada") le s predhodnim pisnim dovoljenjem, posebnim ali splo\u0161nim, s strani upravljavec podatkov<\/strong>V primeru splo\u0161nega pooblastila mora ponudnik obvestiti stranko o vseh spremembah, da ji omogo\u010di ugovor. Ponudnik SaaS, ki se zana\u0161a na ponudnika gostovanja v oblaku, ki sam uporablja podponudnika spremljanja, mora biti sposoben dokumentirati vsak \u010dlen v verigi.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Obveznost ocenjevanja podizvajalcev: dol\u017enost, ki se prepogosto zanemarja<\/h2>

Izrecna in strukturna obveznost GDPR<\/h3>

\u010clen 28, odstavek 1 GDPR je nedvoumen: upravljavec podatkov<\/strong> \u00bbSodeluje le s podizvajalci, ki ponujajo zadostna jamstva.\u00ab To ni priporo\u010dilo, temve\u010d pozitivna obveznost. Pred sklenitvijo pogodbe mora upravljavec zagotoviti, da ima njegov ponudnik storitev znanja, postopke in organizacijo za obdelavo podatkov v skladu s predpisi.<\/p>

To pomeni formaliziran postopek ocenjevanja: tabela meril, vpra\u0161alnik o skladnosti, zahteva po podpornih dokumentih (varnostna politika, certifikati, DPA<\/strong>, register, oznaka Poobla\u0161\u010dena oseba za varstvo podatkov<\/strong>), analiza nadaljnjih podizvajalcev, preverjanje lokacije stre\u017enika in vseh morebitnih prenosi podatkov<\/strong> zunaj EU. To oceno je treba spremljati in hraniti \u2013 brez nje vodja ne bo mogel dokazati niti svoje skrbnosti niti skladnosti z na\u010delom odgovornosti.<\/p>

Sankcije CNIL, ki bi morale opozoriti mened\u017eerje<\/h3>

Leta 2024 je CNIL<\/strong> Izdala je 87 sankcij v skupni vrednosti ve\u010d kot 55 milijonov evrov. Ve\u010d nedavnih primerov ka\u017ee, da je ocenjevanje in reguliranje ponudnikov storitev postalo klju\u010dno podro\u010dje nadzora.<\/p>

Primer Dedalus Biologie (april 2022, 1,5 milijona evrov) ostaja simboli\u010den. CNIL<\/strong> Francoski organ za varstvo konkurence je temu zalo\u017eniku programske opreme za medicinske laboratorije nalo\u017eil sankcije zaradi obse\u017ene kr\u0161itve varnosti podatkov, ki so vklju\u010devale zdravstvene informacije. Poleg varnostne napake je bil glavni razlog odsotnost obveznih klavzul iz 28. \u010dlena v standardnih pogodbah. Ta odlo\u010ditev je pomenila prelomnico: podizvajalca je zdaj mogo\u010de neposredno kaznovati, \u010de ni pravilno formaliziral razmerja, ne glede na odgovornost naro\u010dnika.<\/p>

Primer Mobius Solutions Ltd\/Deezer (december 2025, 1 milijon evrov) ponazarja najpogostej\u0161e pomanjkljivosti: hramba podatkov po izteku pogodbe, obdelava zunaj navodil stranke, pomanjkanje registra, pomanjkanje varnostnih ukrepov, kar je privedlo do objave podatkov ve\u010d milijonov uporabnikov na temnem spletu.<\/p>

Primer Discord (2022, 800.000 EUR) povzro\u010da sankcije na strani upravljavec podatkov<\/strong> odsotnost pogodbe, ki je v skladu s \u010dlenom 28. Skupina Canal+, ki je bila leta 2022 kaznovana s 600.000 EUR, je bila kaznovana zlasti zaradi pomanjkanja zadostnih pogodbenih sporazumov. Od 27. januarja 2021 je CNIL<\/strong> je svojo doktrino uvedel s hkratnim odobritvijo upravljavec podatkov<\/strong> (150.000 EUR) in njegovega podizvajalca (75.000 EUR) zaradi neukrepanja proti prikrivanju poverilnic.<\/p>

Kaj CNIL preu\u010duje v svojih revizijah<\/h3>

Ko se sprejemajo odlo\u010ditve, se nadzorna mre\u017ea CNIL<\/strong> Podrobnosti so postale jasnej\u0161e. Organ preverja obstoj Pogodba o podizvajanju v skladu z GDPR<\/strong> pisna in skladna s \u010dlenom 28, dokumentacija navodil, posodobljen seznam nadaljnjih podizvajalcev, dejansko izvedeni tehni\u010dni in organizacijski ukrepi, postopki obve\u0161\u010danja za kr\u0161itev podatkov<\/strong>, ureditve za pomo\u010d posameznikom pri uveljavljanju njihovih pravic, pogoje za prekinitev pogodbe in sledljivost opravljenih revizij.<\/p>

Da bi va\u0161o organizacijo pripravili na te kontrolne to\u010dke, na\u0161i Popoln vodnik za revizije skladnosti z GDPR<\/a><\/strong> podrobno opisuje metodologijo, ki jo je treba uporabiti.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Ali \u017eelite zavarovati svojo verigo podizvajalcev in dokazati skladnost s predpisi?\u00a0<\/strong><\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t<\/i>\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\tPogovorite se s strokovnjakom Viqtor\u00ae<\/span>\n\t\t\t\t\t<\/span>\n\t\t\t\t\t<\/a>\n\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Gradnja trdnega pogodbenega okvira: sporazum o podizvajanju v skladu z GDPR<\/h2>

Obvezne dolo\u010dbe iz 28. \u010dlena, odstavka 3<\/h3>

Sporazum o obdelavi podatkov (DPA)<\/strong>, Ali Pogodba o podizvajanju v skladu z GDPR<\/strong>mora vklju\u010devati osnovni sklop klavzul, ki jih dolo\u010da uredba: predmet in trajanje obdelave, narava in namen, vrsta podatkov in kategorije oseb, obveznosti in pravice upravljavec podatkov<\/strong>Vklju\u010devati mora tudi osem posebnih zavez podizvajalca: ravnanje po dokumentiranih navodilih, zagotavljanje zaupnosti, izvajanje zahtevanih varnostnih ukrepov, sodelovanje z nadaljnjimi podizvajalci le z dovoljenjem, pomo\u010d pri odzivanju na zahteve posameznikov, pomo\u010d pri varnostnih zadevah in obve\u0161\u010danju, vra\u010dilo ali izbris podatkov ob koncu pogodbe ter zagotavljanje vseh informacij, potrebnih za revizije.<\/p>

Standardni pogoji poslovanja zalo\u017enika so obi\u010dajno nezadostni, kot na primer CNIL<\/strong> Dedalus in ve\u010d drugih ponudnikov storitev, ki so bili od takrat sankcionirani, so bili zaradi tega kritizirani. Pregled vsake pogodbe posebej je bistvenega pomena.<\/p>

Pasti, ki se jim je treba izogniti pri pisanju<\/h3>

Ve\u010d napak redno spodkopava skladnost. Klavzula, ki podizvajalca popolnoma oprosti odgovornosti, ni izvr\u0161ljiva zoper CNIL<\/strong> kot \u017ertev pu\u0161\u010danja informacij. Manjkajo\u010di ali zastareli seznam nadaljnjih podizvajalcev razkriva upravljavec podatkov<\/strong> do neuspeha. Nejasno opisani varnostni ukrepi so nezadostni: CNIL<\/strong> \u010daka na konkreten, preverljiv in datiran referen\u010dni dokument. Odsotnost postopka za obve\u0161\u010danje o kr\u0161itvah ali roki, ki niso zdru\u017eljivi s 72 urami, ki so nalo\u017eeni upravljavec podatkov<\/strong>, se sistemati\u010dno hrani proti podizvajalcem, ki ne izpolnjujejo obveznosti.<\/p>

Osrednja vloga poobla\u0161\u010dene osebe za varstvo podatkov in upravljanje podatkov<\/h3>

TA Poobla\u0161\u010dena oseba za varstvo podatkov<\/strong> Poobla\u0161\u010dena oseba za varstvo podatkov (DPO) ima klju\u010dno vlogo: vodi ocenjevanje ponudnikov storitev, potrjuje pogodbene klavzule, nadzira register podizvajalcev in opozarja vodstvo na tveganja. V odsotnosti Poobla\u0161\u010dena oseba za varstvo podatkov<\/strong>Te misije mora izvajati jasno opredeljena funkcija. upravljanje podatkov<\/a> v veliki meri zana\u0161a na to sposobnost ohranjanja odnosa s podizvajalci skozi \u010das.<\/p><\/div>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Upravljanje odnosa skozi \u010das: revizije, spremljanje in incidenti<\/h2>

Stalna obveznost, ne formalnost podpisa<\/h3>

Ni dovolj, da to zapi\u0161e\u0161 v pogodbo. upravljavec podatkov<\/strong> mora s\u010dasoma zagotoviti, da njegov ponudnik storitev spo\u0161tuje svoje zaveze: redne revizije, letni pregled DPA<\/strong>, sistemati\u010dna posodobitev v primeru sprememb (nov nadaljnji podizvajalec, nov obseg, nova lokacija stre\u017enika).<\/p>

Tam CNIL<\/strong> je eksplicitno: uporaba podizvajalca nikoli ne izvzame upravljavec podatkov<\/strong> svoje dol\u017enosti skrbnosti. Sankcija Canal+ je temeljila prav na ugotovitvi, da ni bil izveden u\u010dinkovit nadzor nad ponudniki storitev. Nasprotno pa podjetje, ki je sposobno predlo\u017eiti revizijska poro\u010dila, izpolnjene vpra\u0161alnike in akcijske na\u010drte, dokazuje svojo skrbnost tudi v primeru incidenta.<\/p>

TA Modul za podizvajalce Viqtor<\/a> centralizira vrednotenje, pogodbo, nadaljnje podizvajalce, revizije in zgodovino izmenjav v enem samem repozitoriju.<\/p>

Odzivanje na kr\u0161itev varnosti podatkov, v katero je vpleten ponudnik storitev<\/h3>

Precej\u0161en dele\u017e kr\u0161itev, o katerih se vsako leto poro\u010da CNIL<\/strong> vklju\u010duje podizvajalca. upravljavec podatkov<\/strong> Zato mora biti sistem hitrega obve\u0161\u010danja vklju\u010den v pogodbo \u017ee od samega za\u010detka. Podizvajalec mora svojo stranko obvestiti \u00bb\u010dim prej\u00ab, kar v praksi pomeni od 24 do 48 ur, da se omogo\u010di obve\u0161\u010danje v zakonsko dolo\u010denem 72-urnem roku. CNIL<\/strong>Na\u0161a stran, posve\u010dena izjava o kr\u0161itvi podatkov<\/a> Podrobno opisuje korake.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Kaj morate upo\u0161tevati<\/h2>