Съм ли обработчик или субект, отговорен за обработката на данни?

Който определя целта, е администратор на данни

Ролята следва от въпроса кой решава защо и как се обработват данните, не от въпроса кой действително въвежда или съхранява данните. Предприятие, което самостоятелно определя какви данни на клиенти събира, с каква цел и колко дълго ги съхранява, е администратор на данни за тези данни. Страна, която обработва същите данни изключително по поръчка — според инструкциите на друг, без да добавя самостоятелна цел — е обработчик на данни. Счетоводен пакет, който обработва фактури според настройките на потребителя, е типично обработчик на данни; предприятието, което използва пакета и определя какви данни на клиенти влизат в него, е администратор на данни.

На практика едно предприятие е често и двете едновременно, в зависимост от това кой поток на данни разглеждаш. Бюро за администрация на заплати е обработчик на данни за персоналните данни, които обработва от името на клиенти, и в същото време администратор на данни за данните на собствените си служители. Ролята е следователно прикрепена към конкретната обработка, не към вида организация или сектора, в който тя работи. Това различие определя впоследствие какви задължения се прилагат: администратор на данни носи основната отговорност за законност и отчетност, обработчик на данни работи в границите на договор с обработчик и инструкциите в него.

Където е написано в член 4 и 28 на GDPR

Член 4 на GDPR дава определенията на двете роли: администраторът на данни е този, който определя целта и средствата на обработката, обработчикът на данни е този, който обработва персонални данни от името на администратора на данни. Член 28 на GDPR надгражда това и описва конкретно какво се очаква от обработчик на данни, включително работа според договор с обработчик на данни. Насоките на EDPB разработват допълнително това разграничение с практически примери, именно защото границата на практика не винаги е очевидна.