Jesam li obraditelj ili voditelj obrade?

Tko određuje svrhu je voditelj obrade

Uloga proizlazi iz pitanja tko odlučuje zašto i kako se podaci obrađuju, a ne iz pitanja tko podacima faktički upravlja ili ih pohranjuje. Poduzeće koje samo odlučuje koje podatke o kupcima prikuplja, u koju svrhu i koliko dugo ih čuva, je voditelj obrade za te podatke. Stranka koja iste podatke obrađuje isključivo na temelju naputka — prema uputama drugoga, bez da sama sebi dodaje neku svrhu — je izvršitelj obrade. Računovodstveni paket koji obrađuje račune prema postavkama korisnika tipično je izvršitelj obrade; poduzeće koje koristi paket i odlučuje koje podatke o kupcima u njega unosi, je voditelj.

U praksi jedno poduzeće često je istovremeno oboje, ovisno o tome koju struju podataka promatraš. Ured za obračun plaća je izvršitelj obrade za podatke o zaposlenicima koje obrađuje u ime svojih klijenata, a istovremeno je voditelj obrade za podatke svojih vlastitih zaposlenika. Uloga je dakle vezana uz specifičnu obradu, a ne uz tip organizacije ili sektor u kojem ona djeluje. Taj razlika zatim određuje koje obveze vrijede: voditelj obrade ima glavnu odgovornost za zakonitost i odgovornost, izvršitelj obrade radi u okvirima ugovora o obradi i uputa u njemu.

Gdje je to u članku 4 i 28 OPZD

Članak 4 OPZD-a daje definicije obiju uloga: voditelj obrade je tko određuje svrhu i sredstva obrade, izvršitelj obrade je tko obrađuje osobne podatke u ime voditelja obrade. Članak 28 OPZD-a na tome se nadovezuje i opisuje što se konkretno očekuje od izvršitelja obrade, između ostalog rad prema ugovoru o obradi. Smjernice EDPB-a dalje razrađuju ovu razliku s praktičnim primjerima, upravo zato što granica u praksi nije uvijek sama od sebe jasna.