Olen ma andmetöötleja või isikuandmete töötlejale vastutav pool?

Kes määrab eesmärgi, on andmehaldujas

Roll tuleneb küsimusest, kes otsustab, miks ja kuidas andmeid töödeldakse, mitte küsimusest, kes andmeid tegelikult sisestab või salvestab. Ettevõte, kes ise otsustab, millised klientandmed ta kogub, mis eesmärgil ja kui kaua neid säilitab, on nende andmete andmehaldujas. Pool, kes neid andmeid töötleb ainult lepinguliselt — teise pooluse juhistel, ilma ise eesmärki juurde lisamata — on andmetöötleja. Raamatupidamisprogramm, mis töötleb arveid kasutaja seadetest lähtuvalt, on tavaliselt andmetöötleja; ettevõte, kes programmi kasutab ja otsustab, millised klientandmed sinna juhakse, on andmehaldujas.

Praktikas on ühel ettevõttel sageli mõlemad rollid korraga, sõltuvalt sellest, milliseid andmevoogusid vaatled. Palgahalduse büroo on andmetöötleja isikuandmete osas, mida ta klientide nimel töötleb, ja samal ajal andmehaldujas oma töötajate andmete osas. Roll on seotud konkreetse töötlusega, mitte organisatsiooni tüübi ega sektoriga, kus see tegutseb. See erinevus määrab seejärel, millised kohustused kehtivad: andmehaldujas kannab peamist vastutust seaduslikkuse ja vastutavuse eest, andmetöötleja töötab andmetöötlemise lepingu ja selles sisalduvate juhiste piirides.

Kus see artiklis 4 ja 28 GDPR-is asub

GDPR artikkel 4 annab mõlema rolli määratlused: andmehaldujas on see, kes määrab töötlemise eesmärgi ja vahendid, andmetöötleja on see, kes andmehalduja nimel isikuandmeid töötleb. GDPR artikkel 28 arendab seda edasi ja kirjeldab, mida konkreetselt andmetöötlejalt oodatakse, muuhulgas andmetöötlemise lepingule vastav töötamine. EDPB suunised arendavad seda eraldust edasi praktikanäidetega, just seetõttu, et erinevus praktikas pole alati automaatselt selge.