Sou processador ou responsável pelo tratamento?

Quem define o objetivo é o responsável pelo tratamento

A função decorre da pergunta sobre quem decide por que e como os dados são tratados, não sobre quem efetivamente insere ou armazena os dados. Uma empresa que define quais dados de clientes coleta, com que objetivo e por quanto tempo os conserva é responsável pelo tratamento desses dados. Uma parte que trata esses mesmos dados unicamente por encomenda — seguindo instruções de outro, sem lhe adicionar um objetivo próprio — é um processador. Um software de contabilidade que processa faturas conforme as configurações do utilizador é tipicamente um processador; a empresa que utiliza o software e define quais dados de clientes nele entram é a entidade responsável.

Na prática, uma empresa é frequentemente ambas ao mesmo tempo, dependendo do fluxo de dados que observa. Um gabinete de administração salarial é um processador para os dados de pessoal que trata em nome dos clientes e, simultaneamente, responsável pelo tratamento dos dados dos seus próprios colaboradores. A função está, portanto, vinculada ao tratamento específico, não ao tipo de organização ou ao setor em que opera. Esta distinção determina depois quais as obrigações aplicáveis: um responsável pelo tratamento tem a responsabilidade principal pela conformidade e prestação de contas; um processador trabalha dentro dos limites de um contrato de tratamento de dados e das instruções nele contidas.

Onde está isto no artigo 4.º e 28.º do RGPD

O artigo 4.º do RGPD dá as definições de ambas as funções: o responsável pelo tratamento é quem define o objetivo e os meios do tratamento; o processador é quem, em nome do responsável pelo tratamento, trata dados pessoais. O artigo 28.º do RGPD desenvolve isto e descreve o que é especificamente esperado de um processador, nomeadamente o trabalho sob um contrato de tratamento de dados. As orientações do EDPB desenvolvem ainda mais esta delimitação com exemplos práticos, precisamente porque a linha de separação nem sempre é evidente na prática.