Član 45

Ako se obrada vrši u ime rukovaoca, rukovalac može da odredi kao obrađivača samo ono lice ili organ vlasti koji u potpunosti garantuje primenu odgovarajućih tehničkih, organizacionih i kadrovskih mera, na način koji obezbeđuje da se obrada vrši u skladu sa odredbama ovog zakona i da se obezbeđuje zaštita prava lica na koje se podaci odnose. Obrađivač iz stava 1. ovog člana može poveriti obradu drugom obrađivaču samo ako ga rukovalac za to ovlasti na osnovu opšteg ili posebnog pismenog ovlašćenja. Ako se obrada vrši na osnovu opšteg ovlašćenja, obrađivač je dužan da informiše rukovaoca o nameravanom izboru drugog obrađivača, odnosno zameni drugog obrađivača, kako bi rukovalac imao mogućnost da se suprotstavi takvoj promeni. Obrada od strane obrađivača mora biti uređena ugovorom ili drugim pravno obavezujućim aktom, koji je zaključen, odnosno usvojen u pismenom obliku, što obuhvata i elektronski oblik, koji obavezuje obrađivača prema rukovaocu i koji uređuje predmet i trajanje obrade, prirodu i svrhu obrade, vrstu podataka o ličnosti i vrstu lica o kojima se podaci obrađuju, kao i prava i obaveze rukovaoca. Ugovorom ili drugim pravno obavezujućim aktom iz stava 3. ovog člana propisuje se da je obrađivač dužan da: 1) obrađuje podatke o ličnosti samo na osnovu pismenih uputstava rukovaoca, uključujući i uputstvo u odnosu na prenošenje podataka o ličnosti u druge države ili međunarodne organizacije, osim ako je obrađivač zakonom obavezan da obrađuje podatke. U tom slučaju, obrađivač je dužan da obavesti rukovaoca o toj zakonskoj obavezi pre započinjanja obrade, osim ako zakon zabranjuje dostavljanje tih informacija zbog potrebe zaštite važnog javnog interesa; 2) obezbedi da se fizičko lice koje je ovlašćeno da obrađuje podatke o ličnosti obavezalo na čuvanje poverljivosti podataka ili da to lice podleže zakonskoj obavezi čuvanja poverljivosti podataka; 3) preduzme sve potrebne mere u skladu sa članom 50. ovog zakona; 4) poštuje uslove za poveravanje obrade drugom obrađivaču iz st. 2. i 7. ovog člana; 5) uzimajući u obzir prirodu obrade, pomaže rukovaocu primenom odgovarajućih tehničkih, organizacionih i kadrovskih mera, koliko je to moguće, u ispunjavanju obaveza rukovaoca u odnosu na zahteve za ostvarivanje prava lica na koje se podaci odnose iz Glave III. ovog zakona; 6) pomaže rukovaocu u ispunjavanju obaveza iz člana 50. i čl. 52. do 55. ovog zakona, uzimajući u obzir prirodu obrade i informacije koje su mu dostupne; 7) posle okončanja ugovorenih radnji obrade, a na osnovu odluke rukovaoca, izbriše ili vrati rukovaocu sve podatke o ličnosti i izbriše sve kopije ovih podataka, osim ako je zakonom propisana obaveza čuvanja podataka; 8) učini dostupnim rukovaocu sve informacije koje su neophodne za predočavanje ispunjenosti obaveza obrađivača propisanih ovim članom, kao i informacije koje omogućavaju i doprinose kontroli rada obrađivača, koju sprovodi rukovalac ili drugo lice koje on za to ovlasti. U slučaju iz stava 4. tačka 8) ovog člana, obrađivač je dužan da bez odlaganja upozori rukovaoca ako smatra da pismeno uputstvo koje je od njega dobio nije u skladu sa ovim zakonom ili drugim zakonom kojim se uređuje zaštita podataka o ličnosti. Ako obradu vrše nadležni organi u posebne svrhe, ugovorom ili drugim pravno obavezujućim aktom iz stava 3. ovog člana propisuje se da je obrađivač dužan da: 1) obrađuje podatke o ličnosti samo na osnovu uputstava rukovaoca; 2) obezbedi da se lice koje je ovlašćeno da obrađuje podatke obavezalo na čuvanje poverljivosti podataka ili da to lice podleže zakonskoj obavezi čuvanja poverljivosti podataka; 3) pomaže na odgovarajući način rukovaocu u ispunjavanju njegove obaveze poštovanja odredbi o pravima lica na koje se podaci odnose iz Glave III. ovog zakona; 4) posle okončanja ugovorenih radnji obrade, a na osnovu odluke rukovaoca, izbriše ili mu vrati sve podatke o ličnosti i izbriše sve kopije ovih podataka, osim ako je zakonom propisana obaveza čuvanja podataka; 5) učini dostupnim rukovaocu sve informacije koje su neophodne za predočavanje ispunjenosti obaveza obrađivača propisanih ovim članom; 6) obezbedi poštovanje uslova iz st. 2, 3. i 6. ovog člana ako poverava obradu drugom obrađivaču. Ako obrađivač odredi drugog obrađivača za vršenje posebnih radnji obrade u ime rukovaoca, iste obaveze zaštite podataka o ličnosti propisane ugovorom ili drugim pravno obavezujućim aktom između rukovaoca i obrađivača iz st. 3. i 4. ovog člana obavezuju i tog drugog obrađivača, na osnovu posebnog ugovora ili drugog pravno obavezujućeg akta, koji je zaključen, odnosno usvojen u pismenom obliku, što obuhvata i elektronski oblik, kojim se u odnosu između obrađivača i drugog obrađivača propisuju dovoljne garancije za primenu odgovarajućih tehničkih, organizacionih i kadrovskih mera koje obezbeđuju da se obrada vrši u skladu sa ovim zakonom. Ako drugi obrađivač ne ispuni svoje obaveze u vezi sa zaštitom podataka o ličnosti, za ispunjenje ovih obaveza drugog obrađivača rukovaocu odgovara obrađivač. Ako obrađivač povredi odredbe ovog zakona određujući svrhu i način obrade podatka o ličnosti, obrađivač se smatra rukovaocem u odnosu na tu obradu. Primena odobrenog kodeksa postupanja iz člana 59. ovog zakona, odnosno izdatog sertifikata iz člana 61. ovog zakona može se koristiti da se predoči da obrađivač ispunjava obaveze pružanja garancija iz st. 1. i 7. ovog člana. Pravni odnos između rukovaoca i obrađivača koji se uređuje u skladu sa st. 3. i 7. ovog člana, može biti zasnovan u celini ili delimično na standardnim ugovornim klauzulama iz stava 11. ovog člana, uključujući i one koje su vezane za sertifikat koji se odobrava rukovaocu ili obrađivaču u skladu sa čl. 61. i 62. ovog zakona. Poverenik može da izradi standardne ugovorne klauzule koje se odnose na obaveze iz st. 3. i 7. ovog člana, posebno uzimajući u obzir evropsku praksu u izradi standardnih ugovornih klauzula. Odredbe st. 4, 5, 7. i st. 9. do 11. ovog člana ne primenjuju se na nadležne organe koji vrše obradu u posebne svrhe.