Czy jestem administratorem czy podmiotem przetwarzającym?

Kto określa cel, jest administratorem danych

Rola wynika z pytania, kto decyduje dlaczego i w jaki sposób dane są przetwarzane, a nie z pytania, kto faktycznie wprowadza lub przechowuje dane. Przedsiębiorstwo, które samo określa, jakie dane klientów zbiera, w jakim celu i jak długo je przechowuje, jest administratorem danych dla tych danych. Strona, która te same dane przetwarza wyłącznie na zlecenie — zgodnie z instrukcjami innego podmiotu, bez dodawania do tego własnego celu — jest podmiotu przetwarzającym. Pakiet księgowy, który przetwarza faktury zgodnie z ustawieniami użytkownika, jest typowo podmiotem przetwarzającym; przedsiębiorstwo, które korzysta z pakietu i określa, jakie dane klientów w niego wchodzą, jest administratorem.

W praktyce jedno przedsiębiorstwo jest często obydwoma naraz, w zależności od tego, który przepływ danych rozpatrujesz. Biuro ds. wynagrodzeń jest podmiotem przetwarzającym dane pracowników przetwarzane w imieniu klientów, a jednocześnie administratorem danych pracowników własnych. Rola jest zatem związana z konkretnym przetwarzaniem, a nie z typem organizacji ani sektorem, w którym ta organizacja działa. To rozróżnienie określa następnie, jakie obowiązki się stosują: administrator danych ponosi główną odpowiedzialność za zgodność i odpowiedzialność, podmiot przetwarzający działa w granicach umowy przetwarzania i instrukcji w niej zawartych.

Gdzie to znajduje się w artykułach 4 i 28 RODO

Artykuł 4 RODO zawiera definicje obydwu ról: administrator danych to podmiot, który określa cel i środki przetwarzania, podmiot przetwarzający to podmiot, który przetwarza dane osobowe na rzecz administratora danych. Artykuł 28 RODO opiera się na tym i opisuje, co konkretnie oczekuje się od podmiotu przetwarzającego, w tym współpraca zgodnie z umową przetwarzania. Wytyczne EDPB opracowują to rozróżnienie dalej praktycznymi przykładami, właśnie dlatego, że granica w praktyce nie zawsze jest jasna z automatu.