Pogodba o obdelavi podatkov (verwerkersovereenkomst) v skladu z GDPR: nizozemski praktični vodnik

Skoraj vsako podjetje, ki posluje na Nizozemskem, odda v zunanje izvajanje nekaj, kar se nanaša na osebne podatke: obračun plač, gostovanje, CRM, trženje, zaposlovanje, podporo. Kadar dobavitelj obdeluje osebne podatke po vaših navodilih, 28. člen GDPR zahteva pisno pogodbo, v nizozemščini verwerkersovereenkomst . Ta priročnik obravnava, kdaj je to potrebno, kaj mora vsebovati, kako nizozemski nadzorni organ pristopa k temu in kako se pogajajo o pomembnih klavzulah.

Kdaj je potrebna pogodba o obdelavi podatkov in kdaj ne

Zahtevana je le v enem primeru: kadar ena stranka obdeluje osebne podatke v imenu druge. Stranka, ki odloča o tem, zakaj in v bistvu kako se podatki obdelujejo, je upravljavec; stranka, ki deluje po njegovih navodilih, je obdelovalec. Dolžnost se nanaša na celotno verigo, zato mora obdelovalec, ki najame podobdelovalca, z njim skleniti enakovredno pogodbo. Ni potrebna, kadar sta stranki neodvisni upravljavci, ki vsaka sledi svojim namenom, kadar sta skupni upravljavci, kar zahteva dogovor v skladu s členom 26 GDPR, ali kadar ne gre za osebne podatke.

Podpis pogodbe s stranko, ki je dejansko neodvisni upravljavec, ni neškodljiv: napačno navaja, kdo je odgovoren, in ustvarja iluzijo navodil, ki jih nobena stranka ne more spoštovati. Zrcalna napaka je prav tako pogosta, ko dobavitelj, ki deluje v svojem imenu, sprejme zgolj pogoje navodil, ki jih ne more izpolniti.

Upravljavec ali obdelovalec: kako se razlikovanje dejansko ocenjuje

Ocena je funkcionalna, ne formalna: tisto, kar pogodba imenuje stranke, je dokaz, ne odgovor, razlika med upravljavcem in obdelovalcem pa je prva stvar, ki jo nadzorni organ preizkusi. Referenčna točka so smernice Evropskega odbora za varstvo podatkov št. 07/2020 o upravljavcu in obdelovalcu, katerih končna različica je bila sprejeta 7. julija 2021.

Nameni in bistvena sredstva

Upravljavec določi namene in bistvena sredstva: katere kategorije podatkov se obdelujejo, o kom, kako dolgo in komu se razkrijejo. Te odločitve so vezane na zakonitost in nujnost ter jih ni mogoče prenesti. Nebistvena sredstva, podrobnosti izvedbe, se lahko prepustijo dobavitelju: katero programsko opremo uporablja in kako načrtuje svoje kontrole.

Organizacija je torej lahko upravljavec, čeprav se podatkov nikoli ne dotakne. Sodišče je v sodbi z dne 5. decembra 2023 v zadevi C-683/21 (Nacionalinis visuomenės sveikatos centras) razsodilo, da je subjekt, ki določa namene in sredstva obdelave, ki se izvaja prek aplikacije, ki jo je naročil, upravljavec, in da lahko skupno upravljanje izhaja iz soodločanja brez kakršnega koli formalnega dogovora. Nasprotno pa se obdelovalec, ki presega navodila za obdelavo za lastne namene, v skladu s členom 28 GDPR obravnava kot upravljavec te obdelave.

Situacije, ki podjetja spravijo v zadrego

• Uradi za obračun plač. Kadar urad vnese podatke, ki jih posredujete, in izdela plačilne liste, je obdelovalec. Kadar se sodelovanje razširi na neodvisno svetovanje in preverjanje skladnosti po lastni presoji podjetja, ga smernice nizozemskih poklicnih združenj z dne 1. oktobra 2019 za računovodje, davčne svetovalce in strokovnjake za obračun plač obravnavajo kot upravljavca.
• Računovodje in davčni svetovalci. Zakonsko določena revizija, sestavljanje in davčna napoved se izvajajo v skladu z lastnimi strokovnimi in zakonskimi dolžnostmi podjetja, z neodvisno presojo. To kaže na status upravljavca, zato je sporazum o obdelavi podatkov napačen dokument.
• Marketinške agencije. Agencija, ki izvaja kampanjo proti vašemu seznamu strank, je obdelovalec. Takšen, ki gradi ali bogati občinstvo ali izvaja oglaševalsko tehnologijo, pri kateri platforma določa parametre, ima svoje namene in je skupno upravljanje s platformo možnost.
• Dobavitelji IT, gostovanje in SaaS. Običajno obdelovalci, vendar preverite klavzulo, ki si pridržuje pravico do uporabe „združenih“ ali „uporabniških“ podatkov za izboljšanje storitev, primerjalno analizo ali usposabljanje modelov. V obsegu, ki vključuje osebne podatke, je to lasten namen dobavitelja in je upravljavec zanje.
• Zaposlovalci. Agencija, ki vzdržuje lastno podatkovno zbirko kandidatov, je njen upravljavec. Obdelava imenovanih kandidatov za vaše prosto delovno mesto je običajno kombinacija dveh upravljavcev z omejeno obdelavo navodil vmes.

Skupno upravljanje in ureditev, ki jo to zahteva

Kadar dve stranki skupaj določita namene in sredstva, bodisi s skupno odločitvijo bodisi z odločitvami, ki se ujemajo in so neločljivo povezane, 26. člen GDPR zahteva dogovor in ne sporazum o obdelavi. Ta mora pregledno določati, kdo odgovarja posameznikom, na katere se nanašajo osebni podatki, in kdo obravnava informacije o preglednosti, varnosti, obveščanju o kršitvah, ocenah vpliva in prenosih. Njegovo bistvo mora biti dostopno posameznikom, na katere se nanašajo osebni podatki, ki lahko uveljavljajo pravice zoper katero koli stranko ne glede na to, kako sta si stranki razdelili stvari, in ne zavezuje niti organa za varstvo podatkov niti sodišča.

Obvezna vsebina v skladu s členom 28 GDPR

Pogodba mora biti sklenjena v pisni obliki, vključno z elektronsko obliko, in zavezujoča za obdelovalca. Člen 28 GDPR določa fiksni seznam, EOVP pa izrecno navaja, da citiranje same uredbe ni dovolj.

Podobdelovalci in režim dovoljenj

Obdelovalec ne sme vključiti podobdelovalca brez dovoljenja upravljavca. Posebno predhodno dovoljenje odobri vsakega posebej, kar deluje za majhno stabilno verigo, ne pa za veliko storitev v oblaku. Splošno pisno dovoljenje obdelovalcu omogoča dodajanje ali zamenjavo podobdelovalcev, če upravljavca obvesti o nameravanih spremembah in mu dovoli ugovor.

Skoraj vsaka standardna pogodba z dobaviteljem ponuja splošno pooblastilo, seznam in odpovedni rok, zato se pogajanja nanašajo na to, koliko je to obvestilo vredno: pot, ki ni odvisna od vašega spremljanja spletne strani, obdobje, ki je dovolj dolgo za ukrepanje, in navedena posledica v primeru ugovora, realno prekinitev pogodbe brez kazni. V vsakem primeru mora obdelovalec naložiti enake obveznosti zaporedoma in ostaja odgovoren za podobdelovalca. V mnenju 22/2024 z dne 9. oktobra 2024 je EOVP potrdil, da odgovornost velja za celotno verigo: upravljavec bi moral biti sposoben identificirati vsakega podobdelovalca in se prepričati, da zaščitni ukrepi veljajo povsod.

Varnostna obveznost, udejanjana

„Obdelovalec mora izvajati ustrezne tehnične in organizacijske ukrepe v skladu s 32. členom GDPR“ je floskula: ne pove vam ničesar in ne dokaže ničesar. Uporabna priloga navaja šifriranje med prenosom in mirovanjem ter kako se ključi upravljajo; nadzor dostopa, vključno s postopki pridružitve-premik-odhoda in večfaktorsko avtentikacijo; kaj se beleži in kako dolgo; pogostost varnostnega kopiranja in preizkušena obnova; časovne okvire za nameščanje popravkov in testiranje penetracije; certifikate, na katere se zanaša, z njihovim obsegom; in kje se podatki shranjujejo in do njih dostopa , vključno s podpornim osebjem.

To je dokazno pomembno. Sodišče je v sodbi z dne 14. decembra 2023 v zadevi C-340/21 (Nacionalna agencija za prihodite) razsodilo, da varnostni incident sam po sebi ne dokazuje, da so bili ukrepi neustrezni, temveč da mora upravljavec dokazati njihovo ustreznost. Datirana priloga je ta dokaz; navzkrižno sklicevanje pa ne.

Pomoč pri pravicah posameznikov, na katere se nanašajo osebni podatki, in pri obveščanju o kršitvah

Obe obveznosti sta vezani na roke, roki pa pripadajo upravljavcu. Kar zadeva pravice posameznika, na katerega se nanašajo osebni podatki, mora upravljavec odgovoriti v enem mesecu, zato vam „razumna pomoč“ brez časovnega okvira omogoča, da zamudo prebrodite. Rešite to: vsaka zahteva, ki jo dobavitelj prejme, se posreduje v določenem številu delovnih dni in nanjo dobavitelj nikoli ne odgovori; celoten izvleček se izdela v uporabni obliki v petih do desetih delovnih dneh; in to je vključeno v pristojbino in ne sproži izdaje računa.

O kršitvah mora upravljavec brez nepotrebnega odlašanja in, kjer je to izvedljivo, v 72 urah po tem, ko je zanje izvedel, obvestiti organ za varstvo podatkov (Autoriteit Persoonsgegevens) v skladu s 33. členom GDPR. Dolžnost obdelovalca naj bo konkretizirana: obveščanje imenovane kontaktne osebe v 24 urah z določenim minimalnim naborom vsebine, tudi če so dejstva nepopolna; sodelovanje s forenziki; in prepoved obveščanja organa ali posameznikov, na katere se nanašajo osebni podatki, brez vašega dovoljenja. Organizacije, ki so vključene v področje uporabe, o incidentih poročajo tudi svoji skupini CSIRT v skladu z nizozemsko skupino Cyberbeveiligingswet, ki izvaja direktivo NIS2 in se uporablja od 15. avgusta 2026.

Pravice do revizije in kako se o njih pogaja

Člen 28 GDPR od obdelovalca zahteva, da da na voljo informacije, potrebne za dokazovanje skladnosti, in da dovoli ter prispeva k revizijam, vključno z inšpekcijskimi pregledi, ki jih izvaja upravljavec ali revizor, ki ga pooblasti. Klavzula, ki ponuja le »naš najnovejši certifikat«, ni zadostna. Kompromis, ki ga doseže večina nizozemskih pogajanj: letno poročilo o zagotovilu, kot je določeno v zakonu, z dokumentom o obsegu; dokumentirana revizija enkrat letno in dodatna revizija po kršitvi, ki vpliva na vaše podatke, ali na zahtevo nadzornega organa; tridesetdnevni odpovedni rok; obseg, omejen na vaše storitve; revizor, ki ni konkurent; in stroški, ki jih krijete vi, razen če se ugotovi bistvena neskladnost.

Vrnitev ali brisanje na koncu

Izbira je na upravljavcu in to bi moralo biti navedeno v pogodbi, ne pa pridržano dobavitelju. Določite obliko izvoza, rok, običajno trideset dni od odpovedi, pisno potrditev izbrisa in način ravnanja z varnostnimi kopijami, kar realno pomeni, da podatki ostanejo v dokumentiranem ciklu, zaščiteni in neuporabljeni, dokler niso prepisani. Vnaprej se dogovorite o pomoči pri izstopu in cenah ter izključite kakršno koli pravico do zadržanja podatkov zaradi spornih stroškov.

Odgovornost, odškodnine in lastna ureditev odgovornosti GDPR

Člen 82 GDPR daje posamezniku, na katerega se nanašajo osebni podatki, pravico do odškodnine za premoženjsko in nepremoženjsko škodo. Upravljavec je odgovoren za škodo, ki jo povzroči obdelava, ki krši uredbo; obdelovalec je odgovoren, če ni izpolnil obveznosti, ki so bile posebej namenjene obdelovalcem, ali je ravnal zunaj ali v nasprotju z zakonitimi navodili. Kadar sta oba udeležena v isti obdelavi, je lahko vsak odgovoren za celotno škodo, s poznejšo regresno pravico. Te izpostavljenosti ni mogoče odpisati; pogodba razdeli interni delež. Globe so ločene: kršitve člena 28 GDPR spadajo v spodnji razred člena 83 GDPR.

• Splošni pogoji omejujejo odgovornost na večkratnik stroškov in izključujejo „posredno in posledično izgubo“. Če regulativne globe, stroški obveščanja in forenzičnih preiskav ter odškodnina posameznikom, na katere se nanašajo osebni podatki, spadajo v to izključitev, je odškodnina dekorativna: navedite jih kot nadomestljivo neposredno izgubo.
• Zahtevajte izjemo ali višjo omejitev za kršitev sporazuma o obdelavi, kršitev zaupnosti in namerno ali malomarno kršitev.
• Globe, ki vam je bila naložena, ni mogoče prenesti kot globo, temveč jo je mogoče povrniti kot izgubo na podlagi pravilno sestavljene odškodnine. Nizozemske kolektivne tožbe v okviru režima WAMCA predstavljajo realistično izpostavljenost združenim zahtevkom, kar govori proti previsoki omejitvi.

Mednarodni prenosi in standardne klavzule

Če lahko obdelovalec, njegovi podobdelovalci ali njegovo podporno osebje dostopajo do podatkov zunaj EGP, se poleg člena 28 uporabljata še poglavje V GDPR in ureditev za mednarodni prenos podatkov . Šteje se oddaljeni dostop, prav tako pa tudi podporna služba v tujini.

Če ni sklepa o ustreznosti v skladu s členom 45 GDPR, so običajno orodje standardne pogodbene klavzule, sprejete z Izvedbenim sklepom Komisije (EU) 2021/914 z dne 4. junija 2021 v skladu s členom 46 GDPR. Dve točki se redno spregledata. Moduli, ki zajemajo prenose od upravljavca k obdelovalcu in od obdelovalca k podobdelovalcu, prav tako izpolnjujejo zahteve iz člena 28 GDPR, zato za ta del ni potreben ločen sporazum o obdelavi, čeprav številne pogodbe združujejo oba. In po sodbi Sodišča z dne 16. julija 2020 v zadevi C-311/18 (Schrems II) podpis še ni konec: stranke morajo oceniti, ali zakonodaja in praksa namembne države uvozniku preprečujeta skladnost, in po potrebi dodati dodatne ukrepe. To oceno dokumentirajte; priporočila Evropskega odbora za varstvo podatkov št. 01/2020, sprejeta 18. junija 2021, še vedno določajo pristop.

Za Združene države Amerike ostaja v veljavi sklep Komisije o ustreznosti z dne 10. julija 2023 za okvir EU-ZDA za varstvo podatkov, vendar pomaga le, če se posamezni prejemnik aktivno samocertificira za ustrezne kategorije podatkov, zato preverite certificiranje. Preživel je svoj prvi izziv: Splošno sodišče je tožbo zavrnilo s sodbo z dne 3. septembra 2025 v zadevi T-553/23 (Latombe proti Komisiji). Pritožba je bila vložena 31. oktobra 2025 kot zadeva C-703/25 P in Sodišče do datuma te strani leta 2026 zadeve še ni zaključilo; sklep o ustreznosti medtem ni bil niti začasno ustavljen niti spremenjen. Ne dovolite, da postane edina točka neuspeha: klavzule in dokumentirano oceno ohranite kot rezervno možnost, nerešeno pritožbo pa obravnavajte kot razlog za pritožbo in ne kot razlog za čakanje. Agencija za osebne podatke (Autoriteit Persoonsgegevens) je z odločbo z dne 22. julija 2024 družbi Uber naložila globo v višini 290 milijonov evrov zaradi prenosa podatkov voznikov v Združene države Amerike brez ustreznega orodja za prenos, potem ko je prenehala uporabljati klavzule; Uber je izjavil, da namerava ugovarjati, agencija AP pa ni objavila nobene odločitve o tem ugovoru, zato je treba globo razumeti kot izjavo o stališču regulatorja in ne kot ustaljen precedens.

Ena vrzel v naboru orodij je še vedno odprta. Komisija je sporočila, da pripravlja dodaten sklop standardnih pogodbenih klavzul za uvoznike zunaj EU, katerih obdelava je sama po sebi neposredno predmet GDPR v skladu s členom 3 – v primeru, ko klavzule iz leta 2021 niso ustrezno sprejete. Te klavzule do datuma te strani leta 2026 še niso bile sprejete, zato je treba za to konfiguracijo oceno in zaščitne ukrepe v pogodbo vključiti ročno.

Ali so klavzule Komisije o upravljavcu in obdelovalcu obvezne?

Ne. Izvedbeni sklep Komisije (EU) 2021/915 z dne 4. junija 2021 določa standardne pogodbene klavzule med upravljavci in obdelovalci za uporabo v EGP, vendar je njihova uporaba neobvezna: stranke se lahko o svoji pogodbi pogajajo same, če ta vsebuje vse, kar zahteva 28. člen GDPR. Klavzule so lahko del širše pogodbe z dodatnimi, nenasprotujočimi si določili, vendar jih samih ni mogoče spreminjati, zato se prilagoditev izvaja v prilogah. Sporazumi po meri in sektorski modeli ostajajo nizozemska norma, kar je sprejemljivo, če je vsebina prisotna.

Izvrševanje s strani Autoriteit Persoonsgegevens

Agencija AP je to neposredno preučila. Pregledala je sporazume o obdelavi podatkov, ki jih uporablja 31 organizacij zasebnega sektorja v trgovini, zdravstvu, medijih, prostem času in energetiki, svoje ugotovitve pa je leta 2020 objavila pod naslovom, da »ta« sporazum o obdelavi podatkov ne obstaja. Ugotovila je, da sporazumi le citirajo uredbo, varnostno besedilo navaja, da politika obstaja, ne da bi navedla, kaj zahteva, in da so sporazumi še vedno sestavljeni v skladu s starim nizozemskim zakonom o varstvu podatkov.

V preiskavi pričakujte, da bo AP pregledal vašo evidenco dejavnosti obdelave in pogodbe z dobavitelji, navedenimi v njej, nato varnostno prilogo, seznam podobdelovalcev in dokumentacijo o prenosu ter na koncu še dokaze, da ste z njimi nekaj storili: neprebrano poročilo o zagotovilu ni nadzor. Tudi krivda je pomembna, saj je Sodišče v zadevi C-683/21 potrdilo, da globa zahteva namerno ali malomarno kršitev. Strateški poudarek AP za obdobje 2026–2028 zajema množični nadzor, umetno inteligenco in digitalno odpornost, pri čemer slednje izrecno vključuje varnost dobavne verige.

Kontrolni seznam za pregled standardne pogodbe o obdelavi dobavitelja

• Ali so vloge pravilne? Če je dobavitelj neodvisni upravljavec, sploh ne podpisujte pogodbe o obdelavi.
• Ali je opis obdelave popoln ali prazna priloga in ali karkoli dovoljuje obdelavo za dobaviteljeve lastne izboljšave, analitiko ali usposabljanje modela?
• Ali so varnostni ukrepi priloženi in specifični, z navedenimi potrdili in njihovim obsegom?
• Ali je seznam podobdelovalcev na voljo, ali ste o tem obveščeni, ali ima ugovor posledice in ali so podobdelovalci medsebojno povezani?
• Ali je treba o kršitvi obvestiti v določenem kratkem roku in ali dobavitelju ni dovoljeno, da sam obvesti organ?
• Ali so roki za zahtevke posameznikov, na katere se nanašajo osebni podatki, določeni in v okviru pristojbine ter ali obstaja dejanska pravica do revizije in ne le potrdila?
• Ali je brisanje ali vračilo po vaši izbiri, glede na obliko, rok in način varnostnega kopiranja?
• Kje so shranjeni in dostopni podatki ter ali je za vsako etapo na voljo pravo orodje za prenos?
• Ali zgornja meja in izključitev posredne izgube puščata odškodnino z resnično vsebino in ali obstaja notranji lastnik ter datum pregleda?

Law & More pripravlja, pregleduje in se pogaja o sporazumih o obdelavi za nizozemska in mednarodna podjetja od Eindhoven in Amsterdamin svetuje glede vlog upravljavca in obdelovalca, prenosov zunaj EGP in preiskav, ki jih izvaja Agencija za varstvo podatkov (Autoriteit Persoonsgegevens).