Sunt prelucrator sau responsabil cu prelucrarea?

Cine stabilește scopul este responsabil cu prelucrarea

Rolul decurge din întrebarea cine hotărăște de ce și cum sunt prelucrate datele, nu din întrebarea cine introduce sau stochează efectiv datele. O întreprindere care decide singură ce date cu caracter personal ale clienților colectează, cu ce scop și cât timp le păstrează, este responsabilă cu prelucrarea pentru acele date. O parte care prelucrează aceleași date exclusiv în baza unui contract — conform instrucțiunilor altcuiva, fără a adăuga singură un scop — este operator de prelucrare. Un pachet de contabilitate care prelucrează facturi conform setărilor utilizatorului este tipic operator de prelucrare; întreprinderea care folosește pachetul și hotărăște ce date cu caracter personal ale clienților intră în el, este responsabilă cu prelucrarea.

În practică, o întreprindere este adesea ambele simultan, în funcție de fluxul de date pe care îl examinezi. Un birou de administrare a salariilor este operator de prelucrare pentru datele cu caracter personal ale angajaților pe care le prelucrează în numele clienților, și totodată responsabil cu prelucrarea pentru datele propriilor angajați. Rolul este deci legat de prelucrarea specifică, nu de tipul de organizație sau sectorul în care aceasta operează. Această distincție determină apoi ce obligații se aplică: un responsabil cu prelucrarea poartă responsabilitatea principală pentru legalitate și justificare, un operator de prelucrare funcționează în limitele unui contract de prelucrare și al instrucțiunilor din acesta.

Unde apare aceasta în articolul 4 și 28 din RGPD

Articolul 4 din RGPD oferă definițiile ambelor roluri: responsabilul cu prelucrarea este cine stabilește scopul și mijloacele prelucrării, operatorul de prelucrare este cine prelucrează date cu caracter personal în numele responsabilului cu prelucrarea. Articolul 28 din RGPD se construiește pe aceasta și descrie ce se așteaptă în mod specific de la un operator de prelucrare, inclusiv lucrul conform unui contract de prelucrare. Liniile directoare ale EDPB elaborează mai departe această delimitare cu exemple practice, tocmai pentru că linia de demarcație în practică nu este întotdeauna limpede.