Kratak odgovor: AVV (Auftragsverarbeitungsvertrag) je zakonski obavezujući ugovor prema članu 28. GDPR-a između kontrolora podataka i obrađivača podataka. Svaka organizacija koja obrađuje lične podatke u ime druge strane mora imati takav ugovor. Rad bez AVV-a izlaže obje strane kaznama do 20 miliona eura ili 4% globalnog godišnjeg prometa, ovisno o tome što je veće.
Ključne spoznaje
- AVV je njemački izraz za Ugovor o obradi podataka (DPA), koji je obavezan prema članu 28. GDPR-a kad god obrađivač rukuje ličnim podacima za kontrolora.
- Ugovor mora specificirati predmet, svrhu, trajanje, vrste podataka, tehničke i organizacijske mjere (TOMs) te pravila za podobrađivače.
- Nepostojanje važećeg AVV-a može rezultirati regulatornim kaznama bez obzira na to je li došlo do povrede podataka.
- Mala preduzeća nisu izuzeta: cloud hosting, softver za obračun plaća i alati za e-mail marketing obično pokreću zahtjev za AVV-om.
- AVV je ugovor između dvije strane, a ne obavijest o privatnosti, i sam po sebi ne implementira sigurnosne mjere poput enkripcije.
- AVV-ove treba pregledati kad god se promijene podobrađivači, dođe do prijenosa podataka u treće zemlje ili se izmijene aktivnosti obrade.
- U DACH regiji (Njemačka, Austrija, Švicarska), AVV-ovi su standardna praksa kod SaaS dobavljača, pružatelja hostinga i ERP sistema.
- Predlošci su dostupni od organizacija za usklađenost i dobavljača, ali je prilagođavanje kako bi se odrazile stvarne aktivnosti obrade ključno.
Šta znači AVV u obradi podataka?
AVV je skraćenica za Auftragsverarbeitungsvertrag, njemačku složenicu koja se direktno prevodi kao "ugovor o obradi podataka" na engleskom. To je ugovorni instrument propisan članom 28. Opće uredbe EU o zaštiti podataka (GDPR) za regulisanje odnosa između kontrolora podataka i obrađivača podataka.
Termin je specifičan za njemačko govorno područje (Njemačka, Austrija i Švicarska), ali se osnovni pravni koncept primjenjuje univerzalno širom EU i EEA. U kontekstima na engleskom jeziku, isti dokument se naziva Ugovor o obradi podataka (DPA). Organizacije koje posluju međunarodno trebale bi osigurati da su njihovi AVV-ovi dostupni na relevantnim jezicima kako bi se olakšalo razumijevanje i usklađenost [5].
AVV nije politika privatnosti niti baner za pristanak na kolačiće. To je obavezujući bilateralni ugovor koji definiše kako obrađivač može rukovati ličnim podacima, pod kojim uslovima i uz koje zaštitne mjere.
Zašto obrađivačima podataka treba AVV?
AVV je obavezan kad god kontrolor podataka angažuje obrađivača za rukovanje ličnim podacima u njegovo ime. Ovo nije opcionalna smjernica; to je strogi pravni zahtjev prema članu 28. GDPR-a [1].
Uobičajeni scenariji koji pokreću zahtjev za AVV uključuju:
- Cloud hosting i infrastruktura (npr. serveri koji pohranjuju baze podataka klijenata)
- Obrada plaća koju obavlja treća strana, pružatelj HR usluga
- Platforme za e-mail marketing koje pohranjuju liste pretplatnika
- SaaS ERP dobavljači koji pristupaju poslovnim podacima i podacima zaposlenika
- Alati za analitiku i praćenje koji obrađuju podatke o ponašanju posjetitelja
Bez AVV-a, nijedna strana nema dokumentovanu pravnu osnovu za odnos obrade. Nadzorna tijela tretiraju nepostojanje AVV-a kao samostalno kršenje usklađenosti, odvojeno od bilo koje istrage povrede podataka [3].
Je li AVV isto što i DPA?
Da, AVV i DPA se odnose na isti pravni dokument. AVV je njemačka oznaka; DPA je engleski ekvivalent koji se koristi u većini drugih država članica EU i u međunarodnim kontekstima usklađenosti [5].
Oba dokumenta ispunjavaju zahtjeve člana 28. GDPR-a i moraju sadržavati iste obavezne elemente. Ako njemačka kompanija potpiše DPA s američkim SaaS dobavljačem, taj DPA funkcioniše kao AVV za potrebe usklađenosti s GDPR-om, pod uslovom da ispunjava sve suštinske zahtjeve.
Ključna razlika koju treba zapamtiti: Oznaka na dokumentu je manje važna od njegovog sadržaja. Dokument pod nazivom "Dodatak za obradu podataka", "Ugovor o obradi" ili "AVV" je pravno ekvivalentan sve dok pokriva sve potrebne elemente.
Kome je potreban AVV za usklađenost s GDPR-om?
Svaka organizacija koja je kontrolor podataka i koristi uslugu treće strane koja obrađuje lične podatke u njeno ime treba AVV. Ovo se odnosi na preduzeća svih veličina u svim industrijama [1].
Kontrolori kojima su obično potrebni AVV-ovi:
| Scenarij | Kontrolor | Obrađivač |
|---|---|---|
| Kompanija koristi cloud CRM | Preduzeće | Dobavljač CRM-a |
| Web stranica koristi analitiku | Vlasnik web stranice | Pružatelj analitike |
| HR outsourcing plaća | Poslodavac | Biro za plaće |
| Online trgovina koristi e-mail alat | Trgovac | E-mail platforma |
| Agencija upravlja oglasima klijenata | Agencija | Ad tech platforma |
Ko nije obrađivač: Strana koja samostalno određuje svrhe i sredstva obrade je sama po sebi kontrolor, a ne obrađivač. Zajednički kontrolori zahtijevaju drugačiju vrstu sporazuma prema članu 26. GDPR-a.
Mala preduzeća često zanemaruju ovaj zahtjev, pretpostavljajući da se odnosi samo na velika preduzeća. Ta pretpostavka je netačna. Svaki vlasnik web stranice koji koristi pružatelja hostinga treće strane, uslugu biltena ili sistem za rezervacije vjerovatno treba barem jedan AVV [5].
Šta treba uključiti u AVV?
Usklađen AVV mora sadržavati specifične obavezne elemente. Nedostatak čak i jednog može učiniti sporazum nedovoljnim pod lupom GDPR-a [2].
Obavezne komponente:
- Predmet i trajanje obrade
- Priroda i svrha obrade
- Vrsta ličnih podataka i kategorije subjekata podataka
- Obaveze i prava kontrolora
- Tehničke i organizacijske mjere (TOMs) koje je implementirao obrađivač
- Pravila koja regulišu angažovanje podobrađivača
- Procedure za zahtjeve subjekata podataka
- Obaveze obavještavanja o povredi podataka
- Povrat ili brisanje podataka po prestanku ugovora
- Prava kontrolora na reviziju
Odjeljak TOMs je posebno važan. Iako sam AVV ne implementira sigurnosne mjere, mora dokumentovati koje mjere obrađivač ima na snazi, kao što su standardi enkripcije, kontrole pristupa i prakse pseudonimizacije [1].
Šta se dešava ako nemate AVV?
Rad bez važećeg AVV-a izlaže i kontrolora i obrađivača značajnim regulatornim kaznama. Prema članu 83(4) GDPR-a, kazne za kršenja člana 28. mogu doseći 10 miliona eura ili 2% globalnog godišnjeg prometa, a prema članu 83(5) za ozbiljnije prekršaje, do 20 miliona eura ili 4% globalnog godišnjeg prometa, ovisno o tome što je veće [3].
Kritično, ove kazne se mogu izreći bez obzira na to je li došlo do povrede podataka. Nadzorno tijelo koje provodi rutinsku reviziju ili reaguje na žalbu može identificirati nepostojanje AVV-a i izreći kaznu samo na toj osnovi.
Dodatne posljedice uključuju:
- Narušavanje ugleda i gubitak povjerenja klijenata
- Ugovorna odgovornost između kontrolora i obrađivača
- Potencijalna obustava aktivnosti obrade do otklanjanja nedostataka
AVV vs. Ugovor o obradi podataka: Ključne razlike
AVV i DPA su suštinski isti dokument pod različitim nazivima. Međutim, postoje praktične razlike koje vrijedi napomenuti za međunarodne organizacije.
| Dimenzija | AVV | DPA |
|---|---|---|
| Jezik | Njemački | Engleski (ili lokalni) |
| Fokus jurisdikcije | DACH regija | EU/EEA općenito |
| Uobičajeni kontekst upotrebe | Ugovori na njemačkom jeziku | Međunarodni SaaS ugovori |
| Pravna osnova | Član 28. GDPR-a | Član 28. GDPR-a |
| Zahtjevi za sadržaj | Identični | Identični |
DACH regija (Njemačka, Austrija, Švicarska) ima posebno snažnu kulturu provođenja AVV-ova, što ih čini standardnom praksom u ugovorima s dobavljačima hostinga, SaaS ERP dobavljačima i drugim uslužnim partnerima [1].
Koliko košta AVV?
Trošak AVV-a varira ovisno o tome kako je kreiran i pregledan.
- AVV baziran na predlošku: Mnogi dobavljači pružaju vlastiti AVV kao dio svojih uslova usluge, obično bez dodatne naknade. Organizacije poput NexDeck-a nude detaljne AVV predloške uključujući liste podobrađivača [4].
- Pravni savjetnik pregled: Angažovanje advokata za zaštitu podataka za izradu ili pregled prilagođenog AVV-a obično košta između 300 i 2.000 eura, ovisno o složenosti i jurisdikciji.
- Izrada uz pomoć DPO-a: Organizacije s internim ili eksternim službenikom za zaštitu podataka (DPO) često mogu koristiti taj resurs za izradu AVV-ova bez dodatnih troškova izvan naknade za DPO.
Za mala preduzeća, najpraktičniji pristup je započeti s uglednim predloškom i dati ga pregledati kvalifikovanom stručnjaku prije potpisivanja.
Kako kreirati predložak AVV-a?
Kreiranje AVV-a počinje identifikacijom svih odnosa obrade gdje treća strana rukuje ličnim podacima u vaše ime. Odatle, proces slijedi ove korake:
- Popišite svoje obrađivače: Navedite svakog dobavljača, alat ili uslugu koja pristupa ličnim podacima koje kontrolišete.
- Pribavite ili izradite AVV: Mnogi obrađivači (posebno SaaS dobavljači) pružaju vlastiti standardni AVV. Pregledajte ga u odnosu na gore navedene obavezne elemente.
- Prilagodite odjeljak TOMs: Osigurajte da tehničke i organizacijske mjere odražavaju stvarne sigurnosne prakse obrađivača.
- Navedite podobrađivače: Uključite aneks koji identificira sve podobrađivače koje obrađivač koristi, zajedno s njihovim ulogama i lokacijama.
- Definišite mehanizme prijenosa podataka: Ako se podaci prenose izvan EU/EEA, navedite pravni mehanizam prijenosa (npr. Standardne ugovorne klauzule).
- Potpišite i zadržite: Obje strane moraju potpisati AVV. Zadržite kopiju sa svojim evidencijama o obradi podataka.
Predlošci od organizacija fokusiranih na usklađenost pružaju čvrstu strukturnu osnovu, ali svaki AVV treba biti prilagođen specifičnoj aktivnosti obrade koju reguliše [2].
AVV zahtjevi za mala preduzeća
Mala preduzeća nisu izuzeta od zahtjeva za AVV. Svaka organizacija koja podliježe GDPR-u i koristi obrađivača treće strane mora imati AVV, bez obzira na veličinu kompanije ili broj zaposlenih [1].
Za mala preduzeća, praktično opterećenje je manje nego što se čini:
- Većina velikih SaaS dobavljača (platforme za e-mail, sistemi za rezervacije, alati za analitiku) već pruža standardni AVV ili DPA kao dio svojih uslova usluge. Prihvatanje ovih uslova obično predstavlja važeći sporazum.
- Ključni zadatak je osigurati da ste zaista pregledali i prihvatili te uslove, umjesto da pretpostavljate da postoje.
- Vodite jednostavan registar svojih obrađivača i odgovarajućih AVV-ova.
Uobičajena greška: Vlasnici malih preduzeća često pretpostavljaju da je, budući da je dobavljač velik i ugledan, pravna dokumentacija automatski riješena. Prihvatanje AVV-a mora biti aktivan, dokumentovan korak.
AVV zahtjevi za revizorski trag
AVV mora uključivati odredbe koje kontroloru daju pravo na reviziju usklađenosti obrađivača. Ovo pravo na reviziju je obavezan element prema članu 28(3)(h) GDPR-a [2].
U praksi, zahtjevi za revizorski trag znače:
- Obrađivač mora voditi evidenciju o aktivnostima obrade prema članu 30(2) GDPR-a.
- Kontrolor ima pravo provoditi revizije ili angažovati revizore treće strane za provjeru usklađenosti.
- Mnogi obrađivači ispunjavaju ovaj zahtjev putem certifikata trećih strana kao što su ISO 27001 ili SOC 2, koji u mnogim slučajevima mogu zamijeniti revizije na licu mjesta.
AVV je direktno relevantan za kontrole ISO 27001 Aneksa A A.5.19 do A.5.22, koje regulišu odnose s dobavljačima i sigurnost informacija u lancima snabdijevanja [2]. Organizacije s formalnim Sistemom upravljanja sigurnošću informacija (ISMS) trebale bi osigurati da su njihovi AVV-ovi integrisani u njihove procese upravljanja dobavljačima.
AVV za međunarodne prijenose podataka
Kada se obrađivač nalazi izvan EU/EEA, AVV mora adresirati pravni mehanizam za prijenos ličnih podataka u tu treću zemlju. Standardne ugovorne klauzule (SCCs) su najčešće korišteni mehanizam i obično se uključuju kao aneks AVV-a [2].
Ključna razmatranja za međunarodne AVV-ove:
- Identificirajte ima li zemlja obrađivača odluku EU o adekvatnosti.
- Ako ne, uključite odgovarajuće SCC-ove (kontrolor-obrađivač ili kontrolor-kontrolor, ovisno o odnosu).
- Provedite procjenu utjecaja prijenosa (TIA) gdje je to potrebno.
- Osigurajte da je AVV dostupan na jezicima obje ugovorne strane [5].
Koliko često trebate ažurirati svoj AVV?
AVV treba pregledati i ažurirati kad god dođe do značajnih promjena u odnosu obrade. Ne postoji fiksni zakonski interval pregleda, ali najbolja praksa ukazuje na barem godišnji pregled [2].
Okidači za hitno ažuriranje AVV-a:
- Obrađivač angažuje novog podobrađivača ili uklanja postojećeg
- Aktivnosti obrade mijenjaju prirodu, svrhu ili opseg
- Podaci se prenose u novu treću zemlju
- TOMs obrađivača su značajno ažurirani
- Primjenjivi zakon ili regulatorne smjernice se mijenjaju
Proaktivni pregled AVV-ova je ključna disciplina usklađenosti. Zastarjeli sporazumi koji više ne odražavaju stvarne aktivnosti obrade stvaraju istu regulatornu izloženost kao i nepostojanje AVV-a.
Uobičajene greške pri postavljanju AVV-a
Čak i organizacije koje razumiju zahtjev za AVV često prave greške u implementaciji.
Greška 1: Tretiranje standardnog predloška dobavljača kao automatski dovoljnog. Predložak AVV-a koji pruža dobavljač možda ne pokriva vaše specifične aktivnosti obrade. Uvijek ga pregledajte u odnosu na obavezne elemente.
Greška 2: Izostavljanje ili nejasno opisivanje TOMs-a. Nadzorna tijela pažljivo ispituju odjeljak TOMs. Nejasni jezik poput "odgovarajuće sigurnosne mjere" bez specifičnosti je nedovoljan.
Greška 3: Zaboravljanje podobrađivača. AVV mora navesti podobrađivače. Propust da se ažurira ova lista kada obrađivač promijeni svoje podobrađivače je uobičajeni nedostatak usklađenosti [2].
Greška 4: Ne zadržavanje potpisanih kopija. AVV koji se ne može predočiti tokom revizije ne pruža pravnu zaštitu. Vodite organizovanu evidenciju.
Greška 5: Miješanje AVV-a s politikom privatnosti. To su potpuno različiti dokumenti koji služe različitim svrhama. Politika privatnosti informiše subjekte podataka; AVV reguliše odnos kontrolor-obrađivač [1].
Zaključak
Vrhunski vodič za AVV-ove: Zašto je svakom obrađivaču podataka potreban, u konačnici se svodi na jednostavnu stvarnost usklađenosti: ako se lični podaci razmjenjuju između kontrolora i obrađivača, važeći AVV mora postojati prije nego što ta obrada počne. Nema izuzeća po veličini, nema izuzeća po industriji i nema perioda milosti za organizacije koje već posluju pod GDPR-om.
Akcioni koraci za 2026. godinu:
- Revidirajte svakog dobavljača treće strane koji pristupa ličnim podacima koje kontrolišete i potvrdite da je AVV na snazi za svakog.
- Pregledajte postojeće AVV-ove u odnosu na kontrolnu listu obaveznih elemenata, obraćajući posebnu pažnju na TOMs i liste podobrađivača.
- Postavite podsjetnik u kalendaru za godišnje preglede AVV-ova i ažuriranja na osnovu okidača kada se aktivnosti obrade promijene.
- Za organizacije koje upravljaju pristankom i usklađenošću s kolačićima uz svoje AVV-ove, razmislite o uparivanju vaše dokumentacije o obradi podataka s usklađenom platformom za upravljanje pristankom kao što je Biscotti CMP kako biste održali potpunu i odbranjivu poziciju usklađenosti.
- Konsultujte kvalifikovanog stručnjaka za zaštitu podataka za bilo koji AVV koji uključuje složene aktivnosti obrade ili međunarodne prijenose podataka.
Trošak ispravnog postavljanja AVV-ova je minimalan. Trošak pogrešnog postavljanja nije.
FAQ
Šta je AVV u jednostavnim terminima? AVV je pisani ugovor između kompanije koja posjeduje lične podatke (kontrolor) i kompanije koja te podatke obrađuje u njeno ime (obrađivač). On precizira koji se podaci obrađuju, zašto, kako su zaštićeni i šta su obje strane dužne učiniti.
Je li AVV potreban za svaki odnos s dobavljačem? Samo za dobavljače koji obrađuju lične podatke u vaše ime. Dobavljač koji samo pruža alat koji koristite za obradu podataka sami (bez pristupa podacima) općenito nije obrađivač i ne zahtijeva AVV.
Može li usmeni dogovor zamijeniti AVV? Ne. Član 28. GDPR-a izričito zahtijeva da ugovor o obradi bude u pisanoj formi, uključujući elektronsku formu.
Štiti li AVV od GDPR kazni? Posjedovanje važećeg AVV-a značajno smanjuje regulatorni rizik, ali ne pruža apsolutni imunitet. Kazne se i dalje mogu izreći za druga kršenja. AVV demonstrira usklađenost s članom 28. konkretno.
Koja je razlika između podobrađivača i obrađivača? Obrađivač rukuje podacima direktno za kontrolora. Podobrađivača angažuje obrađivač da pomogne u toj obradi. Kontrolor mora biti obaviješten o podobrađivačima, a obrađivač mora obavezati podobrađivače na ekvivalentne obaveze.
Koliko dugo se mora čuvati AVV? GDPR ne specificira eksplicitan period zadržavanja za AVV-ove, ali ih treba čuvati tokom trajanja odnosa obrade i razumnog perioda nakon toga, obično usklađenog sa zastarnim rokom za regulatorne radnje u relevantnoj jurisdikciji.
Da li se DPA potpisan s američkom kompanijom računa kao AVV? Da, pod uslovom da sadrži sve elemente zahtijevane članom 28. GDPR-a i uključuje odgovarajuće mehanizme prijenosa kao što su Standardne ugovorne klauzule.
Može li obrađivač koristiti lične podatke za vlastite svrhe? Ne. Obrađivač može obrađivati lične podatke samo prema dokumentovanim uputama kontrolora. Obrada za vlastite svrhe obrađivača bi tu stranu reklasificirala kao kontrolora, s odvojenim pravnim obavezama.
Šta je TOM u kontekstu AVV-a? TOM je skraćenica za Tehničke i organizacijske mjere. To su sigurnosne prakse koje obrađivač implementira za zaštitu ličnih podataka, kao što su enkripcija, kontrole pristupa i pseudonimizacija. AVV mora dokumentovati ove mjere.
Trebaju li AVV-ovi biti notarski ovjereni? Ne. GDPR ne zahtijeva notarsku ovjeru. Potpisani pisani sporazum (uključujući elektronske potpise) je dovoljan.
Reference
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai