Είμαι επεξεργαστής δεδομένων ή υπεύθυνος επεξεργασίας;

Όποιος καθορίζει τον σκοπό είναι υπεύθυνος επεξεργασίας

Ο ρόλος προκύπτει από το ερώτημα ποιος αποφασίζει γιατί και πώς επεξεργάζονται τα δεδομένα, όχι από το ερώτημα ποιος εισάγει ή αποθηκεύει στην πράξη τα δεδομένα. Μια επιχείρηση που καθορίζει οι ίδιες ποια δεδομένα πελατών συλλέγει, με ποιο σκοπό και για πόσο καιρό τα διατηρεί, είναι υπεύθυνος επεξεργασίας για τα δεδομένα αυτά. Ένα μέρος που επεξεργάζεται τα ίδια δεδομένα αποκλειστικά με εντολή — σύμφωνα με τις οδηγίες ενός άλλου, χωρίς να προσθέτει μόνο του κάποιο σκοπό — είναι υπολογιστής. Ένα πακέτο λογιστικής που επεξεργάζεται τιμολόγια σύμφωνα με τις ρυθμίσεις του χρήστη είναι τυπικά υπολογιστής· η επιχείρηση που χρησιμοποιεί το πακέτο και καθορίζει ποια δεδομένα πελατών εισέρχονται σε αυτό, είναι υπεύθυνος.

Στην πράξη, μια επιχείρηση είναι συχνά και τα δύο ταυτόχρονα, ανάλογα με ποια ροή δεδομένων εξετάζεις. Ένα γραφείο διαχείρισης μισθοδοσίας είναι υπολογιστής για τα δεδομένα προσωπικού που επεξεργάζεται για λογαριασμό πελατών και ταυτόχρονα υπεύθυνος επεξεργασίας για τα δεδομένα των δικών του υπαλλήλων. Ο ρόλος λοιπόν προσδιορίζεται από τη συγκεκριμένη επεξεργασία, όχι από το είδος της οργάνωσης ή τον τομέα στον οποίο λειτουργεί. Αυτή η διάκριση καθορίζει στη συνέχεια ποιες υποχρεώσεις ισχύουν: ένας υπεύθυνος επεξεργασίας έχει την κύρια ευθύνη για νομιμότητα και λογοδοσία, ένας υπολογιστής λειτουργεί εντός των ορίων μιας σύμβασης επεξεργασίας και των οδηγιών σε αυτήν.

Όπου φαίνεται στο άρθρο 4 και 28 του GDPR

Το άρθρο 4 του GDPR δίνει τους ορισμούς και των δύο ρόλων: ο υπεύθυνος επεξεργασίας είναι αυτός που καθορίζει το σκοπό και τα μέσα της επεξεργασίας, ο υπολογιστής είναι αυτός που επεξεργάζεται προσωπικά δεδομένα για λογαριασμό του υπεύθυνου επεξεργασίας. Το άρθρο 28 του GDPR την αναπτύσσει περαιτέρω και περιγράφει τι ακριβώς αναμένεται από έναν υπολογιστή, μεταξύ άλλων η λειτουργία σύμφωνα με μια σύμβαση επεξεργασίας. Οι κατευθυντήριες γραμμές του EDPB αναπτύσσουν περαιτέρω αυτή την οριοθέτηση με πρακτικά παραδείγματα, ακριβώς διότι η διαχωριστική γραμμή στην πράξη δεν είναι πάντα σαφής εξ ορισμού.