Novi pravni režim za zaštitu podataka sada postavlja strože zahteve u odnosu na prethodne propise, definišući odgovornosti osoba koje su u različitim ulogama povezane s podacima o ličnosti.
Te uloge obuhvataju rukovaoce, zajedničke rukovaoce, obrađivače, primaoce podataka i treće strane. Glavni učesnici u procesu obrade podataka o ličnosti su rukovalac i obrađivač. Njihova prava i odgovornosti se razlikuju – Rukovalac određuje način i svrhu obrade podataka, pa se na njega se primenjuje širi spektar zakonskih obaveza u poređenju s obrađivačem. Međutim i obrađivač takođe mora ispuniti skup propisanih obaveza.
Stoga, svako ko obrađuje podatke o ličnosti prvo mora da utvrdi svoju ulogu u odnosu na konkretnu obradu – da li deluje kao rukovalac, zajednički rukovalac ili obrađivač. Praksa pokazuje da ista organizacija može imati ulogu rukovaoca u jednoj situaciji, dok u drugoj situaciji može da deluje kao obrađivač. Stoga je ključno analizirati uloge u svakoj specifičnoj obradi i kategoriji podataka o ličnosti koji se obrađuju.
Tokom određivanja uloga, razmatraju se sve okolnosti konkretnog slučaja, ali se posebna pažnja posvećuje tome ko određuje svrhu obrade podataka – odgovor na pitanje ‘zašto se podaci obrađuju?’ – i načinu obrade podataka.
U skladu sa tim, u daljem tekstu pokušaćemo da istaknemo sličnosti, razlike i međusobnu povezanost između Rukovaoca i Obradača u procesu obrade podataka o ličnosti.
RUKOVALAC
Rukovalac podataka o ličnosti može biti fizičko lice, pravno lice ili organ vlasti. Njegova osnovna odgovornost je samostalno ili zajedno s drugima određivati svrhu i način obrade podataka o ličnosti. Rukovalac ima sveobuhvatnu kontrolu nad podacima – odlučuje o prikupljanju i obradi podataka, određuje pravni osnov za obradu, vrstu podataka koji se obrađuju, svrhu, pojedince čiji se podaci prikupljaju, distribuciju podataka, rokove čuvanja i slično.
U nekim situacijama, više entiteta može delovati kao rukovalac, donoseći odluke o svrsi i načinu obrade podataka. U tim slučajevima govorimo o zajedničkim rukovaocima. Oni su odgovorni za jasno određivanje individualnih odgovornosti svakog entiteta u poštovanju prava lica na koje se podaci odnose. Međusobne odnose i odgovornosti zajedničkih rukovalaca regulišu kroz zajednički sporazum, koji sadrži informacije o licu za kontakt i koji uređuje odnose svakog rukovaoca s licem na koje se podaci odnose.
Važno je da zajednički rukovaoci jasno i transparentno podele odgovornost za poštovanje prava lica na koje se podaci odnose. U protivnom, lice može tražiti ostvarivanje prava od oba zajednička rukovaoca. Na primer, kompanija koja koristi usluge agencije za zapošljavanje može biti zajednički rukovalac s agencijom, gde oba entiteta određuju svrhu i način obrade. U odnosu zajedničkih rukovalaca mogu biti turistička agencija i hotelski lanac, recimo, koji odluče da uspostave zajedničku internet stranicu za onlajn rezervacije smeštaja. Oni se dogovaraju koje će podatke prikupljati i na koji način, za koje svrhe, kako će ih i koliko dugo čuvati, ko im može pristupiti i slično. Svako od zajedničkih rukovalaca mora izvršiti sve obaveze propisane zakonom, odnosno svako od njih je u potpunosti odgovoran licu čiji se podaci obrađuju.
OBRAĐIVAČ
Obrađivač podataka o ličnosti može biti fizičko ili pravno lice, ili organ vlasti, koje vrši obradu podataka o ličnosti u ime rukovaoca. Bitno je napomenuti da obrađivač ne određuje svrhu niti sredstva za obradu podataka i predstavlja odvojeno pravno lice od rukovaoca. Obično, obrađivač poseduje specifična znanja i veštine i angažuje se od strane rukovaoca kako bi obavljao obradu podataka o ličnosti.
Odnos između obrađivača i rukovaoca karakteriše činjenica da obrađivač u osnovi prati pisane smernice rukovaoca. To znači da rukovalac ima kontrolu nad obradom, ali istovremeno snosi odgovornost ukoliko obrada nije u skladu sa zakonom.
Na primer, ukoliko kompanija želi da angažuje novog radnika, ali ne želi da sama vrši proces selekcije, može angažovati kadrovsku agenciju. U tom slučaju, agencija će obrađivati podatke o ličnosti mnogih kandidata, ali će to raditi u ime kompanije i u skladu sa svrhom koju je kompanija odredila. Sve dok agencija prati pisane smernice kompanije koja kontroliše svrhu i način obrade podataka, agencija će se smatrati obrađivačem, a kompanija rukovaocem podataka o ličnosti kandidata za zapošljavanje.
Međutim, ukoliko je kompanija dala agenciji opšti nalog da preporuči potencijalne kandidate, a agencija sama određuje koji podaci se obrađuju i na koji način, tada agencija preuzima ulogu rukovaoca ili možda deluje kao zajednički rukovalac sa kompanijom. Iako deluje prema smernicama rukovaoca, obrađivač može samostalno odlučivati o određenim segmentima procesa obrade u dogovoru s rukovaocem.
Obrađivač može donositi odluke o metodama prikupljanja podataka o ličnosti, načinu skladištenja, sigurnosnim aspektima, prenosu, kao i brisanju ili čuvanju podataka.
Definisanje uloga obrađivača i rukovaoca omogućava jasno razgraničavanje odgovornosti. Rukovalac određuje svrhu i način obrade podataka o ličnosti, dok obrađivač izvršava tu obradu u ime rukovaoca. Ovo omogućava odgovornost i jasno utvrđivanje ko je odgovoran za šta. Rukovalac ima veću odgovornost u pogledu poštovanja propisa o zaštiti podataka, budući da određuje svrhu i način obrade. Međutim, i obrađivač ima obaveze prema Zakonu o zaštiti podatak o ličnosti. Jasna podela uloga omogućava obe strane da znaju svoje dužnosti i obaveze.
Definisanje rukovaoca i obrađivača takođe omogućava pojedincima jasno razumevanje kome se mogu obratiti u vezi s njihovim podacima o ličnosti i kako ostvariti svoja prava na zaštitu podataka što omogućava transparentnost i pruža pojedincima jasne puteve za kontakt i ostvarivanje prava. Takođe, pomaže u upravljanju rizicima u vezi s obradom podataka o ličnosti. Identifikovanje ko tačno vrši obradu omogućava bolje upravljanje sigurnosnim merama, zaštitom podataka i smanjenjem rizika od neovlašćenog pristupa ili zloupotrebe podataka.
Uvođenje jasne podele između rukovaoca i obrađivača olakšava obezbeđivanje zakonitosti obrade podataka o ličnosti. Rukovaocu se nameće odgovornost za ispravnu obradu podataka i praćenje propisa, dok je obrađivač obavezan postupati u skladu sa uputstvima rukovaoca.
U zakonodavstvu o zaštiti podataka, jasno definisane uloge rukovaoca i obrađivača su ključne kako bi se osiguralo da se podaci o ličnosti obrađuju na transparentan, zakonit i odgovoran način, čime se obezbeđuje zaštita prava pojedinaca i smanjuje rizik od zloupotrebe ili nezakonite obrade podataka.