Najsažetije što možemo napisati jest da su odvjetnički uredi gotovo uvijek u ulozi voditelja obrade, bez obzira u kojem mi bili odnosu s njima.
Pri tom slijedimo i Smjernice EDPB-a na javnom savjetovanju u području određivanja uloge voditelja i izvršitelja obrade:
https://edpb.europa.eu/our-work-tools/public-consultations-art-704/2020/guidelines-072020-concepts-controller-and-processor_en
Primjer je na 12. stranici Smjernica:
Tvrtka angažira odvjetničko društvo da je zastupa u sporu. Da bi izvršilo ovaj zadatak, odvjetničko društvo treba obrađivati osobne podatke povezane sa slučajem. Razlozi obrade osobnih podataka mandat su odvjetničkog društva da zastupa klijenta na sudu. Međutim, takav mandat nije posebno usmjeren na obradu osobnih podataka. Odvjetničko društvo djeluje kroz
značajan stupanj neovisnosti, na primjer prilikom odlučivanja koje podatke koristiti i kako, a pri tom od klijenta ne prima upute u vezi s načinom obrade osobnih podataka. Obrada koju odvjetničko društvo provodi kako bi ispunilo zadaću zakonskog predstavnika povezana je s funkcionalnom ulogom odvjetničkog društva te je odvjetničko društvo voditelj obrade.
Zašto pišemo ovaj članak?
Naišli smo na slučajeve kada organizacija angažira vanjsko odvjetničko društvo i traži sklapanje ugovora o zaštiti podataka iz članka 28. GDPR-a s odvjetničkim društvom kao izvršiteljem obrade.
To je pogrešno. S odvjetničkim društvima za uobičajene odvjetničke poslove ne sklapamo ugovor o zaštiti podataka jer se ne radi o odnosu voditelja obrade prema izvršitelju obrade.
Iako su odvjetnici pružatelji usluga u poslovnom smislu, mi ih ne angažiramo da u naše ime i za naš račun obrađuju osobne podatke. Štoviše, profesionalna stručnost koja karakterizira odvjetnike definira njihovo djelovanje na način da oni sami određuju koje osobne podatke klijenta, tuženika, tužitelja, svjedoka ili drugih osoba trebaju i u kom opsegu te hoće li ih ili moraju otkriti trećim stranama.
Mi kao klijenti nemamo baš nikakav utjecaj na to, odnosno, ne utvrđujemo svrhu niti esencijalne elemente načina obrade osobnih podataka. Odvjetnici ne trebaju upute klijenta kako će koristiti osobne podatke, već ih obrađuju na način kakav je primjeren za obranu interesa klijenta.
No, da ne bi bio sve tako jednostavno, pokazat ćemo i slučaj kada odvjetnik preuzima ulogu izvršitelja obrade, sukladno Smjernicama WP29, stajalištima UK nadzornog tijela ICO i njemačkog nadzornog tijela. Npr. ako klijent angažira odvjetnički ured za pregled određenog dokumenta koji sadrži osobne podatke ili za pohranu dokumentacije tvrtke. U takvim slučajevima svrhu postupanja s osobnim podacima i načine kako postupati s njima zajedno s rokovima obrade određuje klijent kroz vlastite upute, a odvjetnički ured preuzima ulogu izvršitelja obrade.
