Члан 45.

Ако се обрада врши у име руковаоца, руковалац може да одреди као обрађивача само оно лице или орган власти који у потпуности гарантује примену одговарајућих техничких, организационих и кадровских мера, на начин који обезбеђује да се обрада врши у складу са одредбама овог закона и да се обезбеђује заштита права лица на које се подаци односе.

Обрађивач из става 1. овог члана може поверити обраду другом обрађивачу само ако га руковалац за то овласти на основу општег или посебног писменог овлашћења. Ако се обрада врши на основу општег овлашћења, обрађивач је дужан да информише руковаоца о намераваном избору другог обрађивача, односно замени другог обрађивача, како би руковалац имао могућност да се супротстави таквој промени.

Обрада од стране обрађивача мора бити уређена уговором или другим правно обавезујућим актом, који је закључен, односно усвојен у писменом облику, што обухвата и електронски облик, који обавезује обрађивача према руковаоцу и који уређује предмет и трајање обраде, природу и сврху обраде, врсту података о личности и врсту лица о којима се подаци обрађују, као и права и обавезе руковаоца.

Уговором или другим правно обавезујућим актом из става 3. овог члана прописује се да је обрађивач дужан да:

1. 1) обрађује податке о личности само на основу писмених упутстава руковаоца, укључујући и упутство у односу на преношење података о личности у друге државе или међународне организације, осим ако је обрађивач законом обавезан да обрађује податке. У том случају, обрађивач је дужан да обавести руковаоца о тој законској обавези пре започињања обраде, осим ако закон забрањује достављање тих информација због потребе заштите важног јавног интереса;
2. 2) обезбеди да се физичко лице које је овлашћено да обрађује податке о личности обавезало на чување поверљивости података или да то лице подлеже законској обавези чувања поверљивости података;
3. 3) предузме све потребне мере у складу са чланом 50. овог закона;
4. 4) поштује услове за поверавање обраде другом обрађивачу из ст. 2. и 7. овог члана;
5. 5) узимајући у обзир природу обраде, помаже руковаоцу применом одговарајућих техничких, организационих и кадровских мера, колико је то могуће, у испуњавању обавеза руковаоца у односу на захтеве за остваривање права лица на које се подаци односе из Главе III. овог закона;
6. 6) помаже руковаоцу у испуњавању обавеза из члана 50. и чл. 52. до 55. овог закона, узимајући у обзир природу обраде и информације које су му доступне;
7. 7) после окончања уговорених радњи обраде, а на основу одлуке руковаоца, избрише или врати руковаоцу све податке о личности и избрише све копије ових података, осим ако је законом прописана обавеза чувања података;
8. 8) учини доступним руковаоцу све информације које су неопходне за предочавање испуњености обавеза обрађивача прописаних овим чланом, као и информације које омогућавају и доприносе контроли рада обрађивача, коју спроводи руковалац или друго лице које он за то овласти.

У случају из става 4. тачка 8) овог члана, обрађивач је дужан да без одлагања упозори руковаоца ако сматра да писмено упутство које је од њега добио није у складу са овим законом или другим законом којим се уређује заштита података о личности.

Ако обраду врше надлежни органи у посебне сврхе, уговором или другим правно обавезујућим актом из става 3. овог члана прописује се да је обрађивач дужан да:

1. 1) обрађује податке о личности само на основу упутстава руковаоца;
2. 2) обезбеди да се лице које је овлашћено да обрађује податке обавезало на чување поверљивости података или да то лице подлеже законској обавези чувања поверљивости података;
3. 3) помаже на одговарајући начин руковаоцу у испуњавању његове обавезе поштовања одредби о правима лица на које се подаци односе из Главе III. овог закона;
4. 4) после окончања уговорених радњи обраде, а на основу одлуке руковаоца, избрише или му врати све податке о личности и избрише све копије ових података, осим ако је законом прописана обавеза чувања података;
5. 5) учини доступним руковаоцу све информације које су неопходне за предочавање испуњености обавеза обрађивача прописаних овим чланом;
6. 6) обезбеди поштовање услова из ст. 2, 3. и 6. овог члана ако поверава обраду другом обрађивачу.

Ако обрађивач одреди другог обрађивача за вршење посебних радњи обраде у име руковаоца, исте обавезе заштите података о личности прописане уговором или другим правно обавезујућим актом између руковаоца и обрађивача из ст. 3. и 4. овог члана обавезују и тог другог обрађивача, на основу посебног уговора или другог правно обавезујућег акта, који је закључен, односно усвојен у писменом облику, што обухвата и електронски облик, којим се у односу између обрађивача и другог обрађивача прописују довољне гаранције за примену одговарајућих техничких, организационих и кадровских мера које обезбеђују да се обрада врши у складу са овим законом. Ако други обрађивач не испуни своје обавезе у вези са заштитом података о личности, за испуњење ових обавеза другог обрађивача руковаоцу одговара обрађивач.

Ако обрађивач повреди одредбе овог закона одређујући сврху и начин обраде податка о личности, обрађивач се сматра руковаоцем у односу на ту обраду.

Примена одобреног кодекса поступања из члана 59. овог закона, односно издатог сертификата из члана 61. овог закона може се користити да се предочи да обрађивач испуњава обавезе пружања гаранција из ст. 1. и 7. овог члана.

Правни однос између руковаоца и обрађивача који се уређује у складу са ст. 3. и 7. овог члана, може бити заснован у целини или делимично на стандардним уговорним клаузулама из става 11. овог члана, укључујући и оне које су везане за сертификат који се одобрава руковаоцу или обрађивачу у складу са чл. 61. и 62. овог закона.

Повереник може да изради стандардне уговорне клаузуле које се односе на обавезе из ст. 3. и 7. овог члана, посебно узимајући у обзир европску праксу у изради стандардних уговорних клаузула.

Одредбе ст. 4, 5, 7. и ст. 9. до 11. овог члана не примењују се на надлежне органе који врше обраду у посебне сврхе.