Susrećemo se u posljednje vrijeme s dvojbama na ovu temu, s obzirom da neki pravni subjekti, koji šalju svoje zaposlenike na edukacije (npr. stručno usavršavanje, strani jezici, poslovne škole) traže s edukacijskim centrima sklapanje ugovora o zaštiti podataka na relaciji Voditelj obrade - Izvršitelj obrade, pri čemu navedeni pravni subjekti tvrde da je edukacijski centar u ulozi Izvršitelja obrade.

To je pogrešno.

Voditelj obrade je fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka.

Izvršitelj obrade je fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje obrađuje osobne podatke u ime voditelja obrade. Obrada koju provodi izvršitelj obrade uređuje se ugovorom ili drugim pravnim aktom.

Ako iz opisa poslova i temeljnih djelatnosti edukacijskog centra jasno proizlazi da edukacijski centar pruža uslugu edukacije kroz razne seminare te na taj način utvrđuje svrhe i načine obrade osobnih podataka polaznika, time se sukladno članku 4. GDPR-a smatra samostalnim voditeljem obrade za poslove edukacija.

Stoga, za svoje klijente, odnosno pravne subjekte čiji zaposlenici pohađaju edukacije, edukacijski centar nije izvršitelj obrade, nego voditelj obrade koji pruža usluge edukacija odnosno obrazovanja te se na isti primjenjuju sve obveze koje se primjenjuju na voditelje obrade.

Pri tom edukacijski centar ima obveze i u području pružanja informacija pojedincima koje se manifestiraju kroz članak 13. ako se podaci prikupljaju izravno od ispitanika ili članak 14. ako su podaci zaposlenika dobiveni od njihovih poslodavaca koji ih upućuju na edukacije i koji su uslugu sa edukacijskim centrom izravno ugovorili.

Više o stajalištu AZOP-a na linku:

https://azop.hr/misljenja-agencije/detaljnije/prikupljanje-i-obrada-osobnih-podataka-zaposlenika1