Som spracovateľ alebo správca údajov?

Kto určuje účel, je správcom údajov

Úloha vyplýva z otázky, kto rozhoduje prečo a ako sa údaje spracúvajú, nie z otázky, kto údaje skutočne zadáva alebo ukladá. Podnik, ktorý sám určuje, ktoré zákaznícke údaje zbiera, s akým účelom a ako dlho ich uchovávajú, je správcom údajov pre tieto údaje. Strana, ktorá tieto isté údaje spracúva výlučne na základe pokynov — podľa pokynov iného bez pridaného vlastného účelu — je spracovateľ. Účtovný software, ktorý spracúva faktúry podľa nastavení používateľa, je typicky spracovateľ; podnik, ktorý software používa a určuje, ktoré zákaznícke údaje do neho vstupujú, je správcom.

V praxi je jeden podnik často obidve naraz, v závislosti od toho, na ktorý tok údajov sa pozeráte. Kancelária miezd je spracovateľom pre personálne údaje, ktoré spracúva v mene svojich klientov, a zároveň je správcom údajov pre údaje svojich vlastných zamestnancov. Úloha je teda viazaná na konkrétne spracovanie, nie na typ organizácie alebo sektor, v ktorom pôsobí. Toto rozlíšenie následne určuje, ktoré povinnosti sa uplatňujú: správca údajov nesie hlavnú zodpovednosť za zákonnosť a zodpovednosť, spracovateľ pôsobí v rámci hraníc zmluvy so spracovateľom a pokynov v nej.

Kde sa to nachádza v článku 4 a 28 GDPR

Článok 4 GDPR uvádza definície oboch úloh: správca údajov je ten, kto určuje účel a prostriedky spracovaní, spracovateľ je ten, kto spracúva osobné údaje v mene správcu údajov. Článok 28 GDPR na tom nadväzuje a opisuje, čo sa konkrétne očakáva od spracovateľa, vrátane práce podľa zmluvy so spracovateľom. Usmernenia EDPB tieto hranice ďalej rozvíjajú na praktických príkladoch, práve preto, že hranica v praxi nie je vždy samo sebou jasná.