Ali sem izdelovalec ali upravljavec podatkov?

Kdor določi namen, je upravljavec podatkov

Vloga izhaja iz vprašanja, kdo odloča zakaj in kako se podatki obdelujejo, ne iz vprašanja, kdo podatke dejansko vnese ali shranjuje. Podjetje, ki samo določi, katere podatke strank zbira, za kakšen namen in kako dolgo jih hrani, je upravljavec podatkov za te podatke. Stranka, ki iste podatke obdeluje izključno na podlagi navodil — na podlagi navodil drugega, ne da bi k temu dodala svoj namen — je obdelovalec podatkov. Računovodski paket, ki obdeluje račune v skladu z nastavitvami uporabnika, je običajno obdelovalec podatkov; podjetje, ki paket uporablja in določi, kateri podatki strank vanj gredo, je upravljavec podatkov.

V praksi je eno podjetje pogosto oboje hkrati, odvisno od tega, kateri tok podatkov prouči. Pisarna za obdelavo plač je obdelovalec podatkov za podatke zaposlenih, ki jih obdeluje v imenu strank, in hkrati upravljavec podatkov za podatke lastnih zaposlenih. Vloga je torej vezana na specifično obdelavo, ne na vrsto organizacije ali panogo, v kateri ta deluje. To razlikovanje nato določi, katere obveznosti veljajo: upravljavec podatkov nosi glavno odgovornost za zakonitost in odgovornost, obdelovalec podatkov deluje v okvirih sporazuma o obdelavi podatkov in navodil v njem.

Kjer je to navedeno v 4. in 28. členu GDPR

4. člen GDPR podaja definicije obeh vlog: upravljavec podatkov je tisti, ki določi namen in sredstva obdelave, obdelovalec podatkov pa je tisti, ki v imenu upravljavca podatkov obdeluje osebne podatke. 28. člen GDPR na tem nadaljuje in opisuje, kaj se konkretno pričakuje od obdelovalca podatkov, med drugim delo v skladu s sporazumom o obdelavi podatkov. Smernice EDPB to razlikovanje naprej razčistijo s praktičnimi primeri, prav zato ker meja v praksi ni vedno samoumevna.