Član 30. Zakon o zaštiti ličnih podataka

(Obrađivač) (1) Ako se obrada ličnog podatka obavlja uime kontrolora podataka, kontrolor podataka koristi isključivo obrađivača koji u dovoljnoj mjeri garantira primjenu odgovarajućih tehničkih i organizacionih mjera tako da obrada bude u skladu sa zahtjevima iz ovog zakona i da se obradom osigurava zaštita prava nosioca podataka. (2) Obrađivač ne smije angažirati drugog obrađivača bez prethodnog posebnog ili općeg pisanog odobrenja kontrolora podataka. U slučaju općeg pisanog odobrenja, obrađivač obavještava kontrolora podataka o svim planiranim izmjenama u vezi s dodavanjem ili zamjenom drugih obrađivača kako bi time kontroloru podataka omogućio da uloži prigovor na te izmjene. (3) Obrada koju obavlja obrađivač uređuje se ugovorom ili drugim pravnim aktom u skladu sa zakonom koji obavezuje obrađivača prema kontroloru podataka, u kojem se navode predmet i trajanje obrade, priroda i svrha obrade, vrsta ličnih podataka i kategorija nosioca podataka, kao i obaveze i prava kontrolora podataka. (4) Ugovorom ili drugim pravnim aktom iz stava (3) ovog člana propisuje se da je obrađivač dužan da: a) obrađuje lični podatak samo prema dokumentiranim uputstvima kontrolora podataka, između ostalog i u vezi s prijenosom ličnog podatka u drugu državu ili međunarodnu organizaciju, osim ako je to propisano posebnim zakonom koji se primjenjuje na obrađivača, a u tom slučaju obrađivač obavještava kontrolora podataka o tom pravnom zahtjevu prije obrade, osim ako se tim zakonom zabranjuje takvo obavještavanje zbog važnih razloga od javnog interesa; b) osigurava da su se lica ovlaštena za obradu ličnog podatka obavezala na poštivanje povjerljivosti ili da ih na poštivanje povjerljivosti obavezuje odgovarajući zakon; c) preduzima sve potrebne mjere u skladu s članom 34. ovog zakona; d) poštuje uslove iz st. (2) i (5) ovog člana za angažiranje drugog obrađivača; e) uzimajući u obzir prirodu obrade, pomaže kontroloru podataka putem odgovarajućih tehničkih i organizacionih mjera, koliko je to moguće, da ispuni obavezu kontrolora podataka da odgovori na zahtjeve za ostvarivanje prava nosioca podataka iz Poglavlja II. ovog zakona; f) pomaže kontroloru podataka u osiguravanju usklađenosti s obavezama iz čl. 34. do 38. ovog zakona, uzimajući u obzir prirodu obrade i informacije koje su dostupne obrađivaču; g) po izboru kontrolora podataka, briše ili vraća kontroloru podataka sve lične podatke nakon završetka pružanja usluga u vezi s obradom i briše postojeće kopije, osim u slučaju da je posebnim zakonom propisana obaveza čuvanja ličnih podataka; h) kontroloru podataka stavlja na raspolaganje sve informacije koje su neophodne za dokazivanje poštivanja obaveza iz ovog člana i kontroloru podataka ili drugom revizoru kojeg je ovlastio kontrolor podataka omogućava obavljanje revizije, uključujući i inspekcije, i pomaže u njihovom obavljanju; i) u slučaju iz tačke h) ovog stava obrađivač odmah obavještava kontrolora podataka ako se, prema njegovom mišljenju, određenim uputstvom krši ovaj zakon ili druga pravila o zaštiti podataka. (5) Ako obrađivač angažira drugog obrađivača za obavljanje posebnih aktivnosti obrade uime kontrolora podataka, iste obaveze za zaštitu podataka kao one koje su navedene u ugovoru ili drugom pravnom aktu između kontrolora podataka i obrađivača iz stava (4) ovog člana nameću se tom drugom obrađivaču ugovorom ili drugim pravnim aktom u skladu s posebnim zakonom, a posebno obaveza davanja dovoljno garancija za primjenu odgovarajućih tehničkih i organizacionih mjera na način kojim se osigurava da obrada zadovoljava zahtjeve iz ovog zakona. Ako taj drugi obrađivač ne ispunjava obaveze zaštite podataka, prvi obrađivač ostaje u potpunosti odgovoran kontroloru podataka za izvršavanje obaveza tog drugog obrađivača. (6) Poštivanje odobrenih kodeksa ponašanja od obrađivača, iz člana 42. ovog zakona, ili odobrenog mehanizma certifikacije, iz člana 44. ovog zakona, može služiti kao elemenat za dokazivanje pružanja dovoljno garancija iz st. (1) i (5) ovog člana. (7) Ne dovodeći u pitanje pojedinačni ugovor između kontrolora podataka i obrađivača, ugovor ili drugi pravni akt iz st. (3), (4) i (5) ovog člana može se u cjelini ili djelimično zasnivati na standardnim ugovornim klauzulama iz st. (8) i (9) ovog člana, uključujući između ostalog i klauzule koje su dio certifikata dodijeljenog kontroloru podataka ili obrađivaču u skladu s čl. 44. i 45. ovog zakona. (8) Agencija može donijeti standardne ugovorne klauzule za pitanja iz st. (3), (4) i (5) ovog člana s ciljem dosljedne primjene ovog zakona. (9) Ugovor ili drugi pravni akt iz st. (3), (4) i (5) ovog člana mora biti u pisanoj formi, što uključuje i elektronsku formu. (10) Ne dovodeći u pitanje čl. 112, 113, 114. i 115. ovog zakona, ako obrađivač krši ovaj zakon time što određuje svrhu i načine obrade podataka, obrađivač se smatra kontrolorom podataka u vezi s tom obradom.