Dio je to jasne odredbe iz članka 28. stavka 3. točke g) GDPR-a, koja kaže, citiramo:
 
"po izboru voditelja, briše ili vraća voditelju obrade sve osobne podatke nakon dovršetka pružanja usluga vezanih za obradu te briše postojeće kopije osim ako sukladno pravu Unije ili pravu države članice postoji obveza pohrane osobnih podataka;"
 
Još bolje je napisana odredba Klauzule 10. Standardnih ugovornih klauzula koje je nedavno Europska komisija usvojila i javno objavila:
 
https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32021D0915
 
"Nakon raskida ugovora izvršitelj obrade mora, prema izboru voditelja obrade, izbrisati sve osobne podatke koje je obrađivao u ime voditelja obrade i potvrditi voditelju obrade da je to učinio, ili vratiti voditelju obrade sve osobne podatke i izbrisati sve kopije, osim ako je pravom Unije ili države članice propisana obveza pohrane osobnih podataka."
 
Donosimo zanimljiv slučaj iz Španjolske, u kojem je izvršitelj obrade, tvrtka koja održava software voditelja obrade, odlučila zadržati kopiju osobnih podataka kojima je unutar softwarea imala pristup, jer im je voditelj obrade raskinuo ugovor i nije platio sve račune za usluge.
 
Na veliku žalost izvršitelja obrade, sustigla ih je ogromna kazna od 100.000 EUR zbog takvog postupanja.
 
Zabrinjavajuće je da je izvršitelj obrade, koji očigledno ne poznaje GDPR, uopće bio angažiran od strane voditelja obrade.
 
Više o španjolskom slučaju:
 
https://gdprhub.eu/index.php?title=AEPD_(Spain)_-_PS/00315/2020&mtc=today