Olenko rekisterinpitäjä vai vastuuhenkilö?

Kuka määrittelee tarkoituksen, on rekisterinpitäjä

Rooli määräytyy sen perusteella, kuka päättää miksi ja miten tietoja käsitellään, ei sen perusteella, kuka tiedot käytännössä syöttää tai tallentaa. Yritys, joka itse määrittää, mitkä asiakastiedot se kerää, millä tarkoituksella ja kuinka kauan ne säilytetään, on näiden tietojen rekisterinpitäjä. Osapuoli, joka käsittelee samoja tietoja pelkästään toisen toimeksiannosta — toisen ohjeiden mukaan ilman omaa tarkoitusta — on käsittelijä. Kirjanpitosovellus, joka käsittelee laskuja käyttäjän asetusten mukaisesti, on tyypillisesti käsittelijä; yritys, joka käyttää sovellusta ja määrittää, mitkä asiakastiedot siihen syötetään, on rekisterinpitäjä.

Käytännössä yksi yritys on usein molempia samanaikaisesti riippuen siitä, mitä tietovirran tarkastelee. Palkanhallintotoimisto on käsittelijä henkilöstötiedoille, joita se asiakkaiden puolesta käsittelee, ja samalla rekisterinpitäjä omien työntekijöidensä tiedoille. Rooli on siis sidottu tiettyyn käsittelyyn, ei organisaation tyyppiin tai toimialaan. Tämä erottelu määrää puolestaan, mitkä velvoitteet pätevät: rekisterinpitäjällä on pääasiallinen vastuu lainmukaisuudesta ja vastuullisuudesta, käsittelijä toimii käsittelysopimuksen rajoissa ja sen ohjeiden mukaisesti.

Missä se on GDPR:n artikloissa 4 ja 28

GDPR:n 4. artiklassa esitetään molempien roolien määritelmät: rekisterinpitäjä on kuka tahansa, joka määrittää käsittelyn tarkoituksen ja keinot, käsittelijä on se, joka käsittelee henkilötietoja rekisterinpitäjän puolesta. GDPR:n 28. artikla rakentaa tähän ja kuvaa, mitä käsittelijältä erityisesti vaaditaan, muun muassa käsittelysopimuksen käyttöä. EDPB:n ohjeet jatkoivat tätä erottelua käytännön esimerkkien avulla, juuri siksi, että raja ei käytännössä aina ole selkeä.