Izvršitelj obrade podataka
Izvršitelj obrade podataka je subjekt koji obrađuje osobne podatke u ime i prema uputama voditelja obrade podataka. U kontekstu političkog oglašavanja, izvršitelji obrade rukuju osobnim podacima u svrhu ciljanja ili isporuke oglasa, ali ne odlučuju o tome kako ili zašto se podaci koriste. Voditelj obrade ostaje u konačnici odgovoran za zakonitu obradu.
Pravna osnova
"Izvršitelj obrade' znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje obrađuje osobne podatke u ime voditelja obrade."
— Članak 4(8), Uredba (EU) 2016/679 (GDPR)
Premda Uredba (EU) 2024/900 ne definira izvršitelja obrade podataka, upućuje na zakonodavstvo o zaštiti podataka i dodjeljuje posebne obveze voditeljima obrade i izvršiteljima obrade kada se osobni podaci koriste za ciljanje političkog oglašavanja na internetu.
Zašto je važno
Razumijevanje uloge izvršitelja obrade ključno je za usklađenost i s GDPR-om i s uredbom o političkom oglašavanju. Kada politička stranka, kampanja ili sponzor koristi internetsku platformu, pružatelja usluga oglašavačke tehnologije ili analitičku tvrtku za isporuku ciljanih političkih oglasa, taj pružatelj usluga obično djeluje kao izvršitelj obrade. Sponzor ili politički subjekt ostaje voditelj obrade i mora osigurati da izvršitelj obrade ispunjava sve zakonske zahtjeve.
Izvršitelji obrade moraju provoditi odgovarajuće tehničke i organizacijske mjere, pomagati voditeljima obrade u ispunjavanju njihovih obveza (poput odgovaranja na zahtjeve ispitanika) te obrađivati podatke isključivo prema dokumentiranim uputama. Ne mogu koristiti osobne podatke u vlastite svrhe. Ako izvršitelj obrade određuje vlastite svrhe obrade, postaje voditelj obrade i preuzima punu odgovornost prema zakonu o zaštiti podataka.
Za političko oglašavanje ova je razlika važna jer je ciljanje korištenjem osobnih podataka strogo ograničeno Poglavljem III Uredbe (EU) 2024/900. Voditelji obrade moraju osigurati da njihovi izvršitelji obrade poštuju ograničenja ciljanja, zahtjeve za privolu i zabrane korištenja određenih osjetljivih kategorija podataka.
Ključne točke
- Djeluje prema uputama: Izvršitelji obrade rukuju osobnim podacima isključivo prema uputama voditelja obrade; ne mogu odlučivati o tome kako ili zašto se podaci obrađuju.
- Odgovornost ostaje: Voditelji obrade u konačnici su odgovorni za osiguravanje da izvršitelji obrade poštuju GDPR i pravila o političkom oglašavanju.
- Potrebni pisani ugovori: Voditelji obrade moraju imati ugovor ili pravni akt s izvršiteljima obrade koji određuje uvjete obrade, sigurnosne mjere i obveze.
- Pomaže u usklađenosti: Izvršitelji obrade moraju pomoći voditeljima obrade odgovoriti na zahtjeve ispitanika, provesti procjene učinka i prijaviti povrede podataka.
- Može postati voditelj obrade: Ako izvršitelj obrade određuje svrhe i načine obrade, reklasificira se kao voditelj obrade s punom zakonskom odgovornošću.
- Posebna pravila za ciljanje: Kada izvršitelji obrade isporučuju ciljane političke oglase na internetu, moraju poštovati ograničenja iz Poglavlja III i ne smiju koristiti posebne kategorije podataka u svrhu ciljanja.
Izvršitelj obrade podataka u odnosu na voditelja obrade podataka
Voditelj obrade podataka određuje svrhe i načine obrade osobnih podataka—odlučuje koje podatke prikupiti, kako ih koristiti i zašto. Izvršitelj obrade podataka djeluje samo prema uputama voditelja obrade i ne donosi te odluke.
U političkom oglašavanju, politička stranka koja odlučuje pokrenuti ciljanu oglašivačku kampanju je voditelj obrade. Platforma društvenih mreža ili usluga oglašavačke tehnologije koja isporučuje te oglase prema uputama stranke je izvršitelj obrade. Ako platforma također koristi podatke u vlastite svrhe (npr. za poboljšanje svog algoritma preporuka), djeluje kao voditelj obrade za tu zasebnu svrhu.
Razlika je ključna jer voditelji obrade i izvršitelji obrade imaju različite obveze prema GDPR-u, a odgovornost za neusklađenost u konačnici snosi voditelj obrade.