ODLUKAO UTVRĐIVANJU STANDARDNIH UGOVORNIH KLAUZULA ("Sl. glasnik RS", br. 5/2020) |
1. Ovom odlukom utvrđuju se Standardne ugovorne klauzule koje je izradio Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti (u daljem tekstu: Poverenik), a kojima se uređuje pravni odnos između rukovaoca i obrađivača u skladu sa članom 45. Zakona o zaštiti podataka o ličnosti (u daljem tekstu: Zakon).
2. Standardne ugovorne klauzule odnose se samo na obradu podataka o ličnosti.
3. Standardne ugovorne klauzule sastoje se iz ugovornih klauzula i priloga čiji je sadržaj odštampan u prilogu ove odluke i čini njen sastavni deo.
4. Standardne ugovorne klauzule mogu biti primenjene kao samostalni ugovor, ili deo ugovora između rukovaoca i obrađivača, u obliku koji je utvrđen ovom odlukom.
5. Ukoliko ugovorne strane ne primene u celini, odnosno izmene neku od odredbi Standardnih ugovornih klauzula, neće se smatrati da iste predstavljaju standardne ugovorne klauzule u smislu čl. 45. i 65. Zakona.
6. Standardne ugovorne klauzule moraju biti zaključene u pisanom obliku, što obuhvata i elektronski oblik.
7. Primena Standardnih ugovornih klauzula ne utiče na inspekcijska i druga ovlašćenja Poverenika iz čl. 77. do 79. Zakona.
8. Ovu odluku objaviti u "Službenom glasniku Republike Srbije".
9. Ova odluka stupa na snagu osmog dana od objavljivanja u "Službenom glasniku Republike Srbije".
UGOVORNE KLAUZULE
Rukovalac
___________________________
(naziv/ime i prezime)
__________________________
(sedište/adresa)
Matični broj: ________________
Koga zastupa _______________
u daljem tekstu: Rukovalac, s jedne strane
i
Obrađivač
__________________________
(naziv/ime i prezime)
_________________________
(sedište/adresa)
Matični broj: _______________
Koga zastupa ______________
u daljem tekstu: Obrađivač, s druge strane
(u daljem tekstu zajedno: ugovorne strane)
sporazumeli su se o sledećem.
Ovim ugovorom reguliše se pravni odnos između ugovornih strana u vezi sa radnjama obrade podataka o ličnosti koje su Obrađivaču poverene od strane Rukovaoca.
Predmet obrade, priroda i svrha obrade, vrste podataka o ličnosti i vrste lica na koja se odnose podaci koji se obrađuju definisani su u Prilogu 1. ovog ugovora, koji čini njegov sastavni deo.
Za sve što nije uređeno ovim ugovorom, ugovorne strane su slobodne da samostalno urede, ukoliko isto nije u suprotnosti sa ovim ugovorom, odnosno ukoliko se time ne umanjuje zaštita podataka o ličnosti ili prava lica na koja se podaci odnose.
Definicije:
1) pojmovi "podatak o ličnosti", "lice na koje se podaci odnose", "obrada podataka", "rukovalac", "obrađivač", kao i "povreda podataka o ličnosti", imaju značenje utvrđeno Zakonom o zaštiti podataka o ličnosti ("Službeni glasnik RS", broj 87/18);
2) "podobrađivač" je drugi obrađivač kome je obrađivač poverio vršenje određenih radnji obrade u ime rukovaoca;
3) "mere zaštite" podrazumevaju odgovarajuće tehničke, organizacione i kadrovske mere, koje imaju za cilj obezbeđivanje delotvorne primene načela zaštite podataka o ličnosti, kao i zaštite prava i sloboda lica na koja se podaci odnose;
4) "Zakon" podrazumeva Zakon o zaštiti podataka o ličnosti ("Službeni glasnik RS", broj 87/18) sa podzakonskim aktima donetim u skladu sa tim zakonom;
5) "važeći propisi" podrazumevaju pozitivne propise Republike Srbije.
Rukovalac je dužan da vrši obradu podataka o ličnosti u skladu sa Zakonom, kao i da primeni sve mere zaštite podataka i obezbedi ostvarivanje prava i sloboda lica na koja se podaci odnose.
Rukovalac se obavezuje da će Obrađivaču izdavati uputstva u vezi sa obradom podataka o ličnosti u pisanom obliku, kao i da će ista biti jasna, precizna i u svemu u skladu sa važećim propisima.
Obrađivač je dužan da obrađuje podatke o ličnosti samo na osnovu pismenih uputstava Rukovaoca, uključujući i uputstvo u odnosu na prenošenje podataka o ličnosti u druge države ili međunarodne organizacije, osim ako je Obrađivač zakonom obavezan da obrađuje podatke. U tom slučaju, Obrađivač je dužan da obavesti Rukovaoca o toj zakonskoj obavezi pre započinjanja obrade, osim ako zakon zabranjuje dostavljanje tih informacija zbog potrebe zaštite važnog javnog interesa.
Obrađivač je dužan da bez odlaganja upozori Rukovaoca ako smatra da pismeno uputstvo koje je od njega dobio nije u skladu sa Zakonom i/ili drugim važećim propisom, odnosno odredbama ovog ugovora, a u slučaju sumnje u pogledu svog delovanja u obavezi je da zatraži mišljenje Rukovaoca.
Procedura i donošenje odluka o daljem postupanju u situacijama iz prethodnog stava ovog člana, kao i posledice u slučaju potencijalno nezakonitog uputstva, definisani su u Prilogu 2. ovog ugovora, koji čini njegov sastavni deo.
Obrađivač je dužan da obezbedi da samo lica kojima je potreban pristup podacima o ličnosti kako bi se ispunile obaveze obrađivača prema rukovaocu imaju pristup tim podacima.
Obrađivač je dužan da obezbedi da se fizičko lice koje je ovlašćeno da vrši radnje obrade podataka o ličnosti kod Obrađivača obavezalo na čuvanje poverljivosti podataka ili da to lice podleže zakonskoj obavezi čuvanja poverljivosti podataka.
Potreba da lica imaju pristup podacima o ličnosti biće revidirana sa vremena na vreme, te ukoliko se ustanovi da je za određeno lice prestala potreba da ima pristup tim podacima, istom će biti uskraćen pristup.
Obrađivač je obavezan da pomaže Rukovaocu u ispunjavanju obaveza propisanih Zakonom.
Obrađivač mora biti u mogućnosti da predoči Rukovaocu izvršenje svojih obaveza iz ovog ugovora.
Ako Obrađivač povredi odredbe ovog ugovora, određujući svrhu i način obrade podatka o ličnosti, smatraće se Rukovaocem u odnosu na tu obradu.
Obaveze Obrađivača iz ovog ugovora ne umanjuju njegove obaveze koje ima u skladu sa Zakonom ili drugim važećim propisima.
Ugovorne strane su dužne da sprovode odgovarajuće mere zaštite kako bi bio dostignut odgovarajući nivo bezbednosti u odnosu na rizik, u skladu sa nivoom tehnoloških dostignuća i troškovima njihove primene, prirodom, obimom, okolnostima i svrhom obrade, kao i verovatnoćom nastupanja rizika i nivoom rizika za prava i slobode fizičkih lica.
Ugovorne strane su dužne da zasebno izvrše procenu verovatnoće nastupanja rizika i nivo rizika za prava i slobode fizičkih lica, kao i da odrede odgovarajuće mere zaštite kako bi se umanjio procenjeni rizik, s tim da je Rukovalac dužan da Obrađivaču pruži sve informacije kako bi Obrađivač mogao da izvrši ovu svoju obavezu.
Prema potrebi, mere zaštite iz ovog člana ugovora naročito obuhvataju:
1) pseudonimizaciju i kriptozaštitu podataka o ličnosti;
2) obezbeđivanje trajne poverljivosti, integriteta, raspoloživosti i otpornosti sistema i usluga obrade;
3) obezbeđivanje uspostavljanja ponovne raspoloživosti i pristupa podacima o ličnosti u slučaju fizičkih ili tehničkih incidenata u najkraćem roku;
4) sprovođenje redovnog testiranja, ocenjivanja i procenjivanja delotvornosti tehničkih, organizacionih i kadrovskih mera bezbednosti obrade.
Prilikom procenjivanja odgovarajućeg nivoa bezbednosti iz stava 1. ovog člana posebno se uzimaju u obzir rizici obrade, a naročito rizici od slučajnog ili nezakonitog uništenja, gubitka, izmene, neovlašćenog otkrivanja ili pristupa podacima o ličnosti koji su preneseni, pohranjeni ili obrađivani na drugi način.
Ukoliko se tokom obrade ustanovi da su potrebne dodatne mere zaštite u odnosu na već dogovorene, ugovorne strane će takve mere zaštite naknadno uneti u Prilog 3. ovog ugovora, koji čini njegov sastavni deo.
Ugovorne strane su dužne da preduzmu mere u cilju obezbeđivanja da svako fizičko lice koje je ovlašćeno za pristup podacima o ličnosti od strane Rukovaoca ili Obrađivača, obrađuje te podatke samo po nalogu Rukovaoca ili ako je na to obavezano zakonom.
Nezavisno od prethodnih odredbi ovog ugovora, Obrađivač ima pravo da na zahtev suda ili drugog državnog organa u vršenju njihovih ovlašćenja propisanih važećim propisima, otkrije bilo koji podatak o ličnosti uz obavezu da o tome odmah obavesti Rukovaoca, kao i da se konsultuje sa Rukovaocem, u meri u kojoj je to moguće, o obimu i obliku odavanja podataka.
Obaveštavanje o povredi podataka o ličnosti
Obrađivač je dužan da bez nepotrebnog odlaganja obavesti Rukovaoca o povredi podataka o ličnosti koja može da proizvede rizik po prava i slobode fizičkih lica, kao i da pomogne Rukovaocu u ispunjavanju njegovih obaveza predviđenih Zakonom.
Obaveštenje iz stava 1. ovog člana mora da sadrži najmanje sledeće informacije:
1) opis prirode povrede podataka o ličnosti, uključujući vrste podataka i približan broj lica na koja se podaci te vrste odnose, kao i približan broj podataka o ličnosti čija je bezbednost povređena;
2) opis mogućih posledica povrede;
3) opis mera koje je obrađivač preduzeo ili čije je preduzimanje predloženo u vezi sa povredom, uključujući i mere koje su preduzete u cilju umanjenja štetnih posledica.
Obrađivač je dužan da u nastaloj situaciji, na zahtev Rukovaoca, pruži sve informacije, traženu dokumentaciju i potrebnu pomoć kako bi se otklonile ili smanjile moguće posledice povrede podataka o ličnosti.
Ukoliko dođe do povrede podataka o ličnosti, Rukovalac može da privremeno obustavi prenos podataka Obrađivaču.
Rok, sadržina i način obaveštavanja Rukovaoca o povredi podataka od strane Obrađivača definisani su u Prilogu 4. ovog ugovora, koji čini njegov sastavni deo.
Procena uticaja na zaštitu podataka o ličnosti
Uzimajući u obzir prirodu obrade i informacije koje su mu dostupne, Obrađivač je dužan da pomaže Rukovaocu u ispunjavanju njegove obaveze koja se tiče procene uticaja predviđenih radnji obrade na zaštitu podataka o ličnosti i obaveze da zatraži mišljenje Poverenika za informacije od javnog značaja i zaštitu podataka o ličnosti pre započinjanja radnje obrade.
Obrađivač može da poveri obradu podobrađivaču samo ako ga Rukovalac za to ovlasti na osnovu opšteg ili posebnog pismenog ovlašćenja. Ako se poveravanje obrade vrši na osnovu opšteg ovlašćenja, Obrađivač je dužan da informiše Rukovaoca o nameravanom izboru podobrađivača, odnosno zameni podobrađivača, kako bi Rukovalac imao mogućnost da se izjasni o takvoj promeni.
Rok u kome Rukovalac ima pravo da se izjasni o izboru, odnosno zameni podobrađivača, kao i spisak podobrađivača koji su odobreni od strane rukovaoca, bez obzira da li je Obrađivač ovlašćen da istima poveri obradu na osnovu opšteg ili posebnog pismenog ovlašćenja Rukovaoca, definisani su u Prilogu 5. ovog ugovora, koji čini njegov sastavni deo.
Ako Obrađivač odredi podobrađivača za vršenje posebnih radnji obrade u ime Rukovaoca, dužan je da obezbedi da se iste obaveze zaštite podataka o ličnosti utvrđene ovim ugovorom primenjuju i na podobrađivača, na osnovu posebnog ugovora ili drugog pravno obavezujućeg akta, koji je zaključen, odnosno usvojen u pismenom obliku, što obuhvata i elektronski oblik, kojim se u odnosu između Obrađivača i podobrađivača utvrđuju dovoljne garancije za primenu odgovarajućih mera zaštite koje obezbeđuju da se obrada vrši u skladu sa Zakonom, važećim propisima i odredbama ovog ugovora.
Obrađivač je dužan da u ugovor ili drugi pravno obavezujući akt koji zaključuje sa podobrađivačem, unese odredbu kojom se omogućava Rukovaocu da u slučaju prestanka postojanja Obrađivača, iz bilo kog razloga, ima pravo da zahteva od podobrađivača da uništi ili vrati podatke o ličnosti koji su predmet tog ugovora ili drugog pravno obavezujućeg akta.
Ukoliko poverava obradu podobrađivaču, Obrađivač mora biti u mogućnosti da predoči da je podobrađivač angažovan u svemu u skladu sa odredbama ovog člana ugovora.
Obrađivač je dužan da rukovaocu dostavi kopiju ugovora ili drugog pravno obavezujućeg akta koji je zaključen sa podobrađivačem odmah po zaključenju ugovora ili usvajanja drugog pravno obavezujućeg akta. Obrađivač ima pravo da Rukovaocu ne dostavi podatke iz ugovora ili drugog pravno obavezujućeg akta koji se ne tiču obrade podataka o ličnosti.
Ako podobrađivač ne ispuni svoje obaveze u vezi sa zaštitom podataka o ličnosti, za ispunjenje obaveza podobrađivača Rukovaocu odgovara Obrađivač.
Prava lica na koja se podaci odnose
Uzimajući u obzir prirodu obrade, Obrađivač je dužan da pomaže Rukovaocu, koliko je to moguće, u ispunjavanju obaveza Rukovaoca u odnosu na zahteve za ostvarivanje Zakonom predviđenih prava lica na koje se podaci odnose.
Ukoliko lice na koje se podaci odnose podnese zahtev za ostvarivanje nekog prava propisanog važećim propisima Obrađivaču, a za čije je postupanje odgovoran Rukovalac, Obrađivač nije ovlašćen da postupa po takvom zahtevu lica, već je dužan da o tome odmah obavesti Rukovaoca i da mu prosledi takav zahtev, kao i da obavesti lice koje je podnelo zahtev da je isti prosleđen Rukovaocu.
U slučaju prestanka postojanja Rukovaoca Obrađivač je dužan da postupa po zahtevima lica na koje se podaci odnose, osim ukoliko postoji pravni sledbenik Rukovaoca, koji preuzima prava i obaveze Rukovaoca iz ovog ugovora.
Prenos podataka u druge države ili međunarodne organizacije
Prenos podataka o ličnosti u drugu državu, na deo njene teritorije, ili u jedan ili više sektora određenih delatnosti u toj državi, ili u međunarodnu organizaciju može da se vrši u svemu u skladu sa odredbama važećih propisa, uz obezbeđivanje adekvatnog nivoa zaštite podataka o ličnosti, ostvarivosti svih prava i delotvorne pravne zaštite licima na koje se podaci odnose.
Obrađivač može da prenosi podatke o ličnosti u drugu državu, na deo njene teritorije, ili u jedan ili više sektora određenih delatnosti u toj državi ili u međunarodnu organizaciju samo na osnovu pismenih uputstava Rukovaoca.
Uputstva Rukovaoca za prenos podataka o ličnosti u drugu državu, na deo njene teritorije, ili u jedan ili više sektora određenih delatnosti u toj državi ili u međunarodnu organizaciju, kao i spisak zemalja u koje je odobren prenos podataka, ako je primenljivo, biće navedeni u Prilogu 6. ovog ugovora i predstavljaće njegov sastavni deo.
Obrađivač je dužan da učini dostupnim rukovaocu sve informacije koje su neophodne za predočavanje ispunjenosti obaveza Obrađivača propisanih važećim propisima i ovim ugovorom, kao i informacije koje omogućavaju i doprinose kontroli rada Obrađivača, koju sprovodi Rukovalac ili drugo lice koje Rukovalac za to ovlasti.
O nađenim propustima, Rukovalac je dužan da obavesti Obrađivača pisanim putem, što uključuje i elektronsku poštu, kao i da ostavi Obrađivaču primeren rok za njihovo otklanjanje.
Dok Obrađivač ne otkloni nađene propuste u sprovođenju obaveza iz stava 1. ovog člana, Rukovalac može da obustavi prenos podataka Obrađivaču.
Način vršenja kontrole poštovanja obaveza Obrađivača iz stava 1. ovog člana od strane Rukovaoca, ili lica ovlašćenog za to, kao i rok i način otklanjanja propusta od strane Obrađivača, opisan je u Prilogu 7. ovog ugovora, koji čini njegov sastavni deo.
Ovaj ugovor počinje da se primenjuju počev od _____________ i zaključuje se za period trajanja obrade i to ______________ (na neodređenovreme ili na određeni vremenski period).
Obaveze Obrađivača posle okončanja ugovorenih radnji obrade
Posle okončanja ugovorenih radnji obrade, Obrađivač je dužan da, na osnovu odluke Rukovaoca, izbriše ili vrati Rukovaocu sve podatke o ličnosti i izbriše sve kopije ovih podataka, osim ako je zakonom propisana obaveza čuvanja podataka.
Obrađivač mora biti u mogućnosti da predoči Rukovaocu ispunjenje svoje obaveze iz prethodnog stava ovog člana.
Uslove raskida ugovora, otkazni rok, kao i posledice raskida i odgovornost u slučaju neispunjenja ugovorenih obaveza, ugovorne strane mogu utvrditi u Prilogu 8. koji je sastavni deo ovog ugovora.
Standardne ugovorne klauzule se tumače i primenjuju u skladu sa propisima Republike Srbije.
U slučaju spora, ugovorne strane su saglasne da će biti nadležan _____________.
(navesti ko će biti nadležan u slučaju spora - medijacija, arbitraža, stvarno nadležan sud u......).
Ovaj ugovor je sačinjen u __ istovetna/ih primerka/primeraka, po __ za svaku ugovornu stranu.
Za Rukovaoca: |
|
Za Obrađivača: |
Ovaj prilog je sastavni deo ugovora. Ugovorne strane ga moraju ispuniti i potpisati.
Predmet obrade (navesti):
|
Priroda i svrha obrade (navesti):
|
Vrste lica na koje se podaci odnose (navesti):
|
Vrste podataka o ličnosti (navesti):
|
Posebne vrste podataka o ličnosti (navesti ukoliko je primenljivo):
|
Za Rukovaoca: |
|
Za Obrađivača: |
Ovaj prilog je sastavni deo ugovora. Ugovorne strane ga moraju ispuniti i potpisati.
Procedura, donošenje odluka o daljem postupanju u situacijama kada Obrađivač smatra da pismeno uputstvo koje je dobio od Rukovaoca nije u skladu sa važećim propisima i/ili Zakonom i/ili odredbama Standardnih ugovornih klauzula i posledice u slučaju nezakonitog uputstva (opisati):
|
Za Rukovaoca: |
|
Za Obrađivača: |
Ovaj prilog je sastavni deo ugovora. Ugovorne strane ga moraju ispuniti i potpisati.
Opis mera zaštite:
1) tehničke mere:
|
2) organizacione mere:
|
3) kadrovske mere:
|
Za Rukovaoca: |
|
Za Obrađivača: |
Naknadno unete mere zaštite
Opis mera zaštite:
1) tehničke mere:
|
2) organizacione mere:
|
3) kadrovske mere:
|
Za Rukovaoca: |
|
Za Obrađivača: |
Ovaj prilog je sastavni deo ugovora. Ugovorne strane ga moraju ispuniti i potpisati.
Rok u kome je Obrađivač dužan da obavesti Rukovaoca o povredi podataka iznosi ____ (slovima: ____________________________).
Sadržina i način obaveštavanja Rukovaoca o povredi podataka od strane Obrađivača na osnovu Standardnih ugovornih klauzula (opisati):
|
Za Rukovaoca: |
|
Za Obrađivača: |
Ovaj prilog je sastavni deo ugovora. Ugovorne strane ga moraju ispuniti i potpisati ukoliko je obrada poverena podobrađivačima.
Ako se obrada vrši na osnovu opšteg ovlašćenja, rok u kome rukovalac ima pravo da se izjasni o izboru, odnosno zameni nameravanog podobrađivača iznosi __________ (slovima: ______________________________________).
U slučaju da rukovalac ne odgovori u predviđenom roku, smatraće se da je ________________.
Spisak odobrenih podobrađivača:
1) _________________________
2) _________________________
3) _________________________
4) _________________________
5) _________________________
6) _________________________
Za Rukovaoca: |
|
Za Obrađivača: |
Ovaj prilog je sastavni deo ugovora. Ugovorne strane ga moraju ispuniti i potpisati, ukoliko se podaci o ličnosti iznose iz Republike Srbije. Ukoliko se podaci ne iznose iz Republike Srbije, ovaj prilog nije obavezan deo ugovora.
Uputstva Rukovaoca za prenos podataka o ličnosti u drugu državu, na deo njene teritorije, ili u jedan ili više sektora određenih delatnosti u toj državi ili u međunarodnu organizaciju:
|
Spisak zemalja u koje je odobren prenos podataka:
1) _________________________
2) _________________________
3) _________________________
4) _________________________
5) _________________________
6) _________________________
Za Rukovaoca: |
|
Za Obrađivača: |
Ovaj prilog je sastavni deo ugovora. Ugovorne strane ga moraju ispuniti i potpisati.
Način vršenja kontrole poštovanja obaveza Obrađivača od strane Rukovaoca:
|
Za Rukovaoca: |
|
Za Obrađivača: |
Ovaj prilog nije obavezan deo ugovora.
Uslovi raskida, otkazni rok, kao i posledice u slučaju raskida:
|
Odgovornost u slučaju povrede:
|