Jsem zpracovatel nebo správce?

Kdo určuje účel, je správcem osobních údajů

Role vyplývá z otázky, kdo rozhoduje proč a jak jsou údaje zpracovány, nikoli z otázky, kdo údaje fakticky zadává nebo ukládá. Podnik, který sám určuje, jaké údaje o zákaznících shromažďuje, s jakým účelem a jak dlouho je uchovává, je správcem osobních údajů pro tyto údaje. Strana, která stejné údaje zpracovává výhradně na základě pokynů — podle instrukcí jiného subjektu, aniž by k tomu sama přidávala svůj účel — je zpracovatelem. Účetní software, který zpracovává faktury podle nastavení uživatele, je typicky zpracovatel; podnik, který software používá a určuje, které údaje o zákaznících do něj zadá, je správcem.

V praxi je jedna společnost často v obou rolích současně, v závislosti na tom, který tok dat se podíváš. Kancelář mzdové agendy je zpracovatelem pro údaje o zaměstnancích, které zpracovává jménem klientů, a zároveň správcem osobních údajů pro údaje vlastních zaměstnanců. Role se tedy váže na konkrétní zpracování, nikoli na typ organizace nebo sektor, v němž působí. Toto rozlišení určuje, které povinnosti se uplatňují: správce osobních údajů nese hlavní odpovědnost za zákonnost a zúčtování, zpracovatel působí v mezích smlouvy se zpracovatelem a pokynů v ní obsažených.

Kde se to najde v článku 4 a 28 GDPR

Článek 4 GDPR obsahuje definice obou rolí: správce osobních údajů je ten, kdo určuje účel a prostředky zpracování, zpracovatel je ten, kdo zpracovává osobní údaje jménem správce. Článek 28 GDPR na to navazuje a popisuje, co se konkrétně očekává od zpracovatele, mimo jiné práce podle smlouvy se zpracovatelem. Pokyny EDPB tento rozdíl dále rozpracovávají s praktickými příklady, právě proto, že hranice v praxi není vždy hned zřejmá.