Tko je voditelj, a tko izvršitelj obrade
Voditelj obrade odlučuje zašto i kako se podaci obrađuju — to je poslodavac za podatke svojih radnika i klijenata. Izvršitelj obrade obrađuje podatke po nalogu voditelja — to je knjigovodstveni ured kad za klijenta vodi plaće i kadrovsku evidenciju, ali i softverski davatelj usluge. Svaki odnos voditelj–izvršitelj mora biti pokriven pisanim ugovorom o obradi prema članku 28. GDPR-a.
Pravna osnova za obradu podataka radnika
| Obrada | Pravna osnova |
|---|---|
| Ugovor o radu, plaća, godišnji odmor | Izvršavanje ugovora |
| Prijava na mirovinsko i zdravstveno, JOPPD | Zakonska obveza |
| Evidencija radnog vremena | Zakonska obveza (ZOR) |
| Videonadzor prostora | Legitimni interes uz procjenu |
| Objava fotografije radnika na webu | Privola |
| Podaci o zdravlju (bolovanje, invalidnost) | Posebna kategorija — zakonska osnova |
Obveze koje morate imati uređene
- Utvrđena pravna osnova za svaku obradu (ugovor, zakonska obveza, legitimni interes, privola)
- Evidencija aktivnosti obrade (čl. 30. GDPR-a), redovito ažurirana
- Informiranje ispitanika — obavijest o obradi za radnike i klijente
- Ugovori o obradi podataka s izvršiteljima (knjigovodstvo, IT, hosting, HR alati)
- Tehničke i organizacijske mjere: kontrola pristupa, enkripcija, sigurnosne kopije
- Postupak za ostvarivanje prava ispitanika u roku od mjesec dana
- Interni postupak prijave povrede podataka u roku od 72 sata
- Definirani rokovi čuvanja i postupak brisanja nakon isteka roka
Prava ispitanika
Radnik ili klijent može tražiti pristup svojim podacima, ispravak netočnih podataka, brisanje, ograničenje obrade, prenosivost i uložiti prigovor. Odgovoriti morate bez odgode, a najkasnije u roku od mjesec dana, besplatno. Rok se može produljiti za dva mjeseca kod složenih zahtjeva, uz obavijest ispitaniku. Pravo na brisanje ne nadjačava zakonske rokove čuvanja — podaci koje ste dužni čuvati ne brišu se prije isteka roka.
Povreda osobnih podataka
Izgubljeni laptop, poslana e-pošta krivom primatelju, neovlašten pristup mapi s plaćama — sve su to povrede. Postupak: zaustavite povredu, procijenite rizik, zabilježite je u internu evidenciju povreda i, ako postoji rizik, prijavite AZOP-u u roku od 72 sata. Kod visokog rizika obavještavaju se i sami ispitanici.
Najčešće pogreške u praksi
- • Nema ugovora o obradi s knjigovodstvenim uredom ili IT davateljem.
- • Privola se traži za obrade koje se temelje na zakonu ili ugovoru.
- • Kadrovski dosjei u zajedničkoj mapi dostupnoj svim zaposlenicima.
- • Podaci bivših radnika čuvaju se „za svaki slučaj“, bez roka.
- • Evidencija obrada nikad nije izrađena ili nije ažurirana godinama.
- • Ne postoji postupak za zahtjev ispitanika, pa se probije rok od mjesec dana.
Česta pitanja
Treba li knjigovodstveni ured imenovati službenika za zaštitu podataka?
Ne nužno. Službenik (DPO) je obvezan kada je obrada osnovna djelatnost i uključuje redovito i sustavno praćenje ispitanika u velikoj mjeri ili obradu posebnih kategorija podataka u velikoj mjeri. Većina malih i srednjih knjigovodstvenih ureda nema tu obvezu, ali mora imati određenu odgovornu osobu i uređene postupke.
Je li knjigovodstveni ured voditelj ili izvršitelj obrade?
Za podatke svojih klijenata i vlastitih zaposlenika ured je voditelj obrade. Kada za klijenta obrađuje podatke njegovih radnika (obračun plaća, kadrovska evidencija), ured je izvršitelj obrade i s klijentom mora sklopiti ugovor o obradi podataka prema članku 28. GDPR-a.
Treba li privola radnika za obradu podataka?
U pravilu ne. Privola u radnom odnosu rijetko je valjana jer nema ravnoteže moći. Osnova za obradu podataka radnika je izvršavanje ugovora o radu i zakonska obveza poslodavca (porezni, mirovinski i zdravstveni propisi). Privola je potrebna samo za neobvezne obrade, npr. objavu fotografije radnika na webu.
Što je evidencija aktivnosti obrade?
Pisani popis svih obrada koje organizacija provodi: svrha, kategorije ispitanika i podataka, primatelji, rokovi čuvanja i sigurnosne mjere. Obveza je za većinu poslodavaca i mora se na zahtjev dati na uvid Agenciji za zaštitu osobnih podataka (AZOP).
U kojem roku se prijavljuje povreda osobnih podataka?
AZOP-u bez nepotrebnog odgađanja, a najkasnije u roku od 72 sata od saznanja, osim ako povreda vjerojatno neće prouzročiti rizik za prava ispitanika. Ako je rizik visok, o povredi se obavještavaju i sami ispitanici.
Izvori i sljedeći korak
Smjernice i obrasci dostupni su na stranicama Agencije za zaštitu osobnih podataka (AZOP). Nastavite s vodičem o rokovima čuvanja dokumentacije.
Sadržaj je informativne naravi i ne zamjenjuje pravni savjet.