Članak 29. Izvršitelj obrade

1.   Ako se obrada provodi u ime voditelja obrade, voditelj obrade surađuje samo s izvršiteljima obrade koji u dovoljnoj mjeri jamče provedbu odgovarajućih tehničkih i organizacijskih mjera na način da je obrada u skladu sa zahtjevima iz ove Uredbe i da se njome osigurava zaštita prava ispitanika.

2.   Izvršitelj obrade ne smije angažirati drugog izvršitelja obrade bez prethodnog posebnog ili općeg pisanog odobrenja voditelja obrade. U slučaju općeg pisanog odobrenja, izvršitelj obrade obavješćuje voditelja obrade o svim planiranim izmjenama u vezi s dodavanjem ili zamjenom drugih izvršitelja obrade kako bi time voditelju obrade omogućio da podnese prigovor na takve izmjene.

3.   Obrada koju provodi izvršitelj obrade uređuje se ugovorom ili drugim pravnim aktom u skladu s pravom Unije ili pravom države članice, koji izvršitelja obrade obvezuje prema voditelju obrade, a u kojem se navode predmet i trajanje obrade, priroda i svrha obrade, vrsta osobnih podataka i kategorije ispitanika te obveze i prava voditelja obrade. Tim se ugovorom ili drugim pravnim aktom osobito određuje da izvršitelj obrade:

U pogledu točke (h) prvog podstavka izvršitelj obrade bez odgode obavješćuje voditelja obrade ako se prema njegovu mišljenju određenom uputom krši ova Uredba ili druge odredbe Unije ili države članice o zaštiti podataka.

4.   Ako izvršitelj obrade angažira drugog izvršitelja obrade za provođenje posebnih aktivnosti obrade u ime voditelja obrade, iste obveze za zaštitu podataka kao one koje su navedene u ugovoru ili drugom pravnom aktu između voditelja obrade i izvršitelja obrade iz stavka 3. nameću se tom drugom izvršitelju obrade ugovorom ili drugim pravnim aktom u skladu s pravom Unije ili pravom države članice, a posebno obveza davanja dostatnih jamstava za provedbu odgovarajućih tehničkih i organizacijskih mjera na način da se obradom udovoljava zahtjevima iz ove Uredbe. Ako taj drugi izvršitelj obrade ne ispunjava obveze zaštite podataka, početni izvršitelj obrade ostaje u cijelosti odgovoran voditelju obrade za izvršavanje obveza tog drugog izvršitelja obrade.

5.   Ako izvršitelj obrade nije institucija ili tijelo Unije, njegovo poštovanje odobrenog kodeksa ponašanja iz članka 40. stavka 5. Uredbe (EU) 2016/679 ili odobrenog mehanizma certificiranja iz članka 42. Uredbe (EU) 2016/679 može se upotrijebiti kao element za dokazivanje dostatnih jamstava iz stavaka 1. i 4. ovog članka.

6.   Ne dovodeći u pitanje bilo koji pojedinačni ugovor između voditelja obrade i izvršitelja obrade, ugovor ili drugi pravni akt iz stavaka 3. i 4. ovog članka može se temeljiti, u cijelosti ili djelomično, na standardnim ugovornim klauzulama iz stavaka 7. i 8. ovog članka, među ostalim i onda kada su one dio certifikata dodijeljenog izvršitelju obrade koji nije institucija ili tijelo Unije u skladu s člankom 42. Uredbe (EU) 2016/679.

7.   Komisija može utvrditi standardne ugovorne klauzule za pitanja iz stavka 3. i 4. ovog članka, u skladu s postupkom ispitivanja iz članka 96. stavka 2.

8.   Europski nadzornik za zaštitu podataka može donijeti standardne ugovorne klauzule za pitanja iz stavaka 3. i 4.

9.   Ugovor ili drugi pravni akt iz stavaka 3. i 4. mora biti u pisanom obliku, uključujući elektronički oblik.

10.   Ne dovodeći u pitanje članke 65. i 66., ako izvršitelj obrade krši ovu Uredbu utvrđivanjem svrhe i načina obrade podataka, izvršitelj obrade smatra se voditeljem obrade u pogledu te obrade.