Vai es esmu datu apstrādes līgumslēdzējs vai datu apstrādes vadītājs?

Tas, kurš nosaka mērķi, ir datu apstrādes vadītājs

Loma izriet no jautājuma, kurš izlemj, kāpēc un kā tiek apstrādāti dati, nevis no jautājuma, kurš faktiski ievada vai glabā datus. Uzņēmums, kas pats nosaka, kādus klientu datus vāc, ar kādu mērķi un cik ilgi tos saglabā, ir datu apstrādes vadītājs šo datu gadījumā. Puse, kas tos pašus datus apstrādā tikai uz pasūtījuma — pēc citas puses norādījumiem, pašam tam nepievienojot savus mērķus — ir apstrādātājs. Grāmatvedības programma, kas apstrādā rēķinus saskaņā ar lietotāja iestatījumiem, parasti ir apstrādātājs; uzņēmums, kas izmanto šo programmu un nosaka, kādi klientu dati tajā nonāk, ir vadītājs.

Praksē viens uzņēmums bieži vien ir vienlaikus abi, atkarībā no tā, kuru datu plūsmu aplūko. Algu administrēšanas birojs ir apstrādātājs attiecībā uz personāla datiem, kurus tas apstrādā klientu vārdā, un vienlaikus datu apstrādes vadītājs attiecībā uz savu darbinieku datiem. Loma tādējādi ir saistīta ar konkrēto apstrādi, nevis ar organizācijas veidu vai nozari, kurā tā darbojas. Šis atšķirums savukārt nosaka, kādi pienākumi piemērojami: datu apstrādes vadītājs uzņemas galveno atbildību par likumību un atskaitîtību, apstrādātājs darbojas apstrādes līguma ietvaros un tajā norādīto norādījumu robežās.

Kur tas atrodas Regulas 4. un 28. pantā

Regulas 4. pants dod abu lomu definīcijas: datu apstrādes vadītājs ir tas, kurš nosaka apstrādes mērķi un līdzekļus, apstrādātājs ir tas, kurš datu apstrādes vadītāja vārdā apstrādā personīgos datus. Regulas 28. pants to turpina un apraksta, ko konkrēti no apstrādātāja sagaida, tostarp darboties saskaņā ar apstrādes līgumu. EDPB vadlīnijas šo atšķirumu turpina detalizēt ar prakses piemēriem, tieši tāpēc, ka praksē šī robežlīnija ne vienmēr ir pašsaprotama.