Ar esu duomenų tvarkytoja ar duomenų valdytoja?

Kas nustato tikslą, yra duomenų valdytojas

Vaidmuo išplaukia iš klausimo, kas nusprendžia kodėl ir kaip duomenys bus apdoroti, o ne iš klausimo, kas faktiškai įveda ar saugoja duomenis. Įmonė, kuri pati nusprendžia, kokius kliento duomenis rinkti, kokiu tikslu ir kiek laiko juos saugoti, yra duomenų valdytoja tų duomenų atžvilgiu. Šalis, kuri tuos pačius duomenis apdoroja tik pagal nurodymus — vadovaudamasi kito šalies instrukcijomis, nesidėdama savo tikslų — yra duomenų procesorius. Buhalterinės programos paketas, apdorojantis sąskaitas pagal naudotojo nustatymus, paprastai yra duomenų procesorius; įmonė, naudojanti tą paketą ir nusprendžianti, kokie kliento duomenys į jį eis, yra valdytoja.

Praktikoje viena įmonė dažnai vaidina abi roles kartu, priklausomai nuo to, kurį duomenų srautą žiūrite. Darbo užmokesčio administravimo biuras yra duomenų procesorius darbuotojų duomenims, kuriuos apdoroja kliento vardu, ir tuo pačiu metu yra duomenų valdytoja savo darbuotojų duomenų atžvilgiu. Taigi vaidmuo yra susijęs su konkrečia apdorojimu, o ne su organizacijos tipu ar sektoriumi, kuriame ji veikia. Šis skirtumas nulemia, kurie įpareigojimai galioja: duomenų valdytojas neša pagrindinę atsakomybę už teisingumą ir atskaitomybę, duomenų procesorius veikia pagal duomenų tvarkymo sutarties ribas ir joje esančias instrukcijas.

Kur tai yra GDPR 4 ir 28 straipsniuose

GDPR 4 straipsnis nurodo abiejų vaidmenų apibrėžimus: duomenų valdytoja yra tas, kuris nustato apdorojimo tikslą ir priemones, duomenų procesorius yra tas, kuris duomenų valdytojo vardu apdoroja asmeninę informaciją. GDPR 28 straipsnis tęsia šį aiškinimą ir aprašo, ko tiksliai iš duomenų procesoriaus tikimasi, be kita ko, veikimo pagal duomenų tvarkymo sutartį. EDPB gairės detalizuoja šią atskyrą praktiniais pavyzdžiais, nes praktikoje siena ne visada iš karto aiški.