Kratak odgovor: Prema GDPR-u, kontrolor podataka određuje zašto i kako se lični podaci obrađuju, dok obrađivač podataka rukuje podacima isključivo prema uputstvima kontrolora. Odgovornost se značajno razlikuje: kontrolori snose najširu odgovornost, dok se obrađivači suočavaju s direktnom odgovornošću samo kada postupaju izvan zakonitih uputstava ili krše obaveze GDPR-a koje su im specifično namijenjene.
Ključne spoznaje
- Kontrolor podataka odlučuje o svrhama i sredstvima obrade; obrađivač podataka djeluje u ime kontrolora.
- Kontrolori snose primarnu odgovornost prema GDPR-u; obrađivači se suočavaju s direktnom odgovornošću prema članu 82. samo u specifičnim okolnostima.
- Obje uloge mogu postojati istovremeno unutar jedne organizacije, kompanija može biti kontrolor za svoje kupce i obrađivač za drugi posao.
- Pravno obavezujući Ugovor o obradi podataka (DPA) je obavezan kad god kontrolor angažuje obrađivača.
- Podobrađivači zahtijevaju prethodno pismeno odobrenje od kontrolora; glavni obrađivač ostaje u potpunosti odgovoran za postupanje podobrađivača.
- Pogrešna klasifikacija vaše uloge predstavlja rizik usklađenosti koji može izložiti vašu organizaciju regulatornim kaznama.
- Obrađivači koji koriste lične podatke za vlastite svrhe automatski postaju kontrolori za tu aktivnost obrade.
- UK-ov Zakon o korištenju i pristupu podacima iz 2026. (Data (Use and Access) Act 2026) uvodi daljnje promjene koje bi organizacije koje posluju pod UK GDPR-om trebale odmah pregledati.
Koja je razlika između kontrolora podataka i obrađivača podataka prema GDPR-u?
Kontrolor podataka je bilo koji entitet koji određuje svrhe i sredstva obrade ličnih podataka. Obrađivač podataka je bilo koji entitet koji obrađuje lične podatke u ime kontrolora, strogo slijedeći uputstva kontrolora [1].
Razlika se svodi na ovlaštenje za donošenje odluka. Ako vaša organizacija odlučuje zašto se podaci prikupljaju i kako će se koristiti, vi ste kontrolor. Ako vaša organizacija rukuje podacima samo zato što vam je drugi entitet to naložio, i nemate nezavisno pravo glasa o svrsi, vi ste obrađivač.
Praktični primjeri:
| Scenarij | Uloga |
|---|---|
| Trgovac e-trgovine koji prikuplja podatke o kupovini kupaca | Kontrolor |
| Pružalac usluga cloud hostinga koji pohranjuje bazu podataka tog trgovca | Obrađivač |
| Platforma za obračun plaća (SaaS) koja obrađuje podatke o zaposlenima za poslodavca | Obrađivač |
| Marketinška agencija koja gradi vlastitu listu potencijalnih klijenata | Kontrolor |
| Dobavljač CRM-a koji pristupa podacima klijenata radi pružanja podrške | Obrađivač |
ICO naglašava da oznaka u ugovoru ne određuje ulogu, već stvarno ponašanje [1]. Dobavljač koji je u ugovoru nazvan "obrađivačem", ali donosi nezavisne odluke o korištenju podataka, pravno je kontrolor bez obzira na to što ugovor kaže.
Koje su glavne odgovornosti kontrolora podataka prema GDPR-u?
Kontrolori snose najveći teret usklađenosti prema GDPR-u. Oni su odgovorni za cijeli životni ciklus podataka i moraju osigurati da svaki obrađivač kojeg angažuju ispunjava standarde GDPR-a [3].
Osnovne obaveze kontrolora uključuju:
- Uspostavljanje i dokumentovanje zakonite osnove za svaku aktivnost obrade
- Pružanje transparentnih obavještenja o privatnosti subjektima podataka
- Omogućavanje prava subjekata podataka, pristupa, ispravke, brisanja, prenosivosti i prigovora
- Provođenje procjena uticaja na zaštitu podataka (DPIA) za obradu visokog rizika
- Imenovanje službenika za zaštitu podataka (DPO) gdje je to potrebno
- Provođenje due diligence-a prije angažovanja obrađivača i praćenje njihove tekuće usklađenosti
- Izvršavanje pisanog Ugovora o obradi podataka sa svakim angažovanim obrađivačem [3]
Kontrolori ne mogu eksternalizirati odgovornost. Čak i kada obrađivač uzrokuje povredu, kontrolor ostaje odgovoran nadzornim tijelima za svoj izbor obrađivača i adekvatnost ugovornih zaštitnih mjera.
Koje su glavne odgovornosti obrađivača podataka prema GDPR-u?
Obrađivači imaju direktne obaveze prema GDPR-u, ne samo ugovorne, i ne mogu tretirati usklađenost kao isključivo problem kontrolora [3].
Direktne obaveze obrađivača prema GDPR-u uključuju:
- Obradu podataka samo prema dokumentovanim uputstvima kontrolora
- Implementaciju odgovarajućih tehničkih i organizacionih sigurnosnih mjera
- Vođenje evidencije svih aktivnosti obrade koje se provode u ime kontrolora
- Obavještavanje kontrolora o bilo kakvoj povredi podataka bez nepotrebnog odlaganja
- Pomaganje kontroloru u ispunjavanju zahtjeva za prava subjekata podataka
- Brisanje ili vraćanje svih ličnih podataka po prestanku ugovora
- Angažovanje podobrađivača samo uz prethodno pismeno odobrenje kontrolora [3]
"Obrađivači imaju direktne obaveze prema GDPR-u, ne samo ugovorne obaveze, i suočavaju se s regulatornom izloženošću ako postupaju izvan zakonitih uputstava kontrolora."
Ko je odgovoran ako dođe do povrede podataka: kontrolor ili obrađivač?
Oboje mogu biti odgovorni, ali se opseg razlikuje. Prema članu 82. GDPR-a, svaka osoba koja pretrpi štetu zbog kršenja GDPR-a ima pravo tražiti naknadu od odgovornog kontrolora ili obrađivača [2].
Kontrolori su odgovorni za štetu uzrokovanu bilo kojom obradom koja krši GDPR. Obrađivači su odgovorni samo kada nisu ispunili obaveze GDPR-a koje su specifično namijenjene obrađivačima, ili kada su postupali izvan ili suprotno zakonitim uputstvima kontrolora [2].
Raspodjela odgovornosti u praksi:
- Ako obrađivač pretrpi povredu jer je kontrolor dao neadekvatna sigurnosna uputstva, kontrolor vjerovatno snosi primarnu odgovornost.
- Ako je obrađivač ignorisao sigurnosne zahtjeve kontrolora, obrađivač snosi direktnu odgovornost.
- Oboje mogu biti solidarno odgovorni, što znači da subjekt podataka može tužiti bilo koju stranu za puni iznos štete, ostavljajući im da naknadno raspodijele odgovornost između sebe.
Obrađivač se može osloboditi odgovornosti dokazivanjem da nije bio kriv za događaj koji je uzrokovao štetu [2]. Ovo je visok prag: obrađivač mora dokazati potpunu usklađenost sa svojim obavezama prema GDPR-u.
Može li kompanija biti i kontrolor i obrađivač u isto vrijeme?
Da. Organizacija može istovremeno djelovati kao kontrolor za neke aktivnosti obrade i kao obrađivač za druge, čak i unutar istog poslovnog odnosa [1].
Na primjer, agencija za digitalni marketing može djelovati kao kontrolor kada upravlja vlastitim podacima o zaposlenicima, i kao obrađivač kada provodi reklamne kampanje koristeći podatke o kupcima klijenta. Uloga se određuje aktivnost po aktivnost, a ne kompanija po kompanija.
Može li obrađivač postati kontrolor ako koristi podatke za vlastite svrhe?
Obrađivač automatski postaje kontrolor u trenutku kada koristi lične podatke u svrhe koje su izvan uputstava kontrolora [1]. Ovo je jedna od najznačajnijih pogrešnih klasifikacija u praksi.
Ako dobavljač cloud analitike počne rudariti podatke klijenata kako bi obučavao vlastite AI modele bez ovlaštenja, on je izašao iz uloge obrađivača i preuzeo status kontrolora za tu aktivnost, sa svim pratećim obavezama prema GDPR-u i izloženošću odgovornosti. Nijedna klauzula ugovora ne može spriječiti ovu reklasifikaciju; to je pitanje činjenica, a ne sporazuma.
Kako Ugovori o obradi podataka štite obrađivače od odgovornosti?
Ugovor o obradi podataka (DPA) je obavezan pravni instrument prema GDPR-u kad god kontrolor angažuje obrađivača [3]. Za obrađivače, dobro sastavljen DPA je primarni mehanizam za ograničavanje izloženosti odgovornosti.
Usklađen DPA mora specificirati:
- Predmet, trajanje, prirodu i svrhu obrade
- Vrstu ličnih podataka i kategorije subjekata podataka
- Obaveze i prava kontrolora
- Zahtjeve povjerljivosti za ovlašteno osoblje
- Sigurnosne mjere koje treba implementirati
- Uslove za angažovanje podobrađivača
- Procedure za vraćanje ili brisanje podataka po isteku ugovora [3]
Kada obrađivač djeluje strogo unutar opsega DPA-a, odgovornost za bilo kakvu nastalu štetu pretežno prelazi na kontrolora. Suprotno tome, ako obrađivač prekorači ta uputstva, DPA postaje dokaz odstupanja, a ne štit.
Šta se dešava ako obrađivač prekrši pravila GDPR-a?
Obrađivači koji krše GDPR suočavaju se i s regulatornim kaznama i s građanskom odgovornošću za štetu. Nadzorna tijela mogu izreći administrativne kazne direktno obrađivačima, do 20 miliona EUR ili 4% globalnog godišnjeg prometa za najozbiljnije prekršaje, ovisno o tome što je veće [2].
Osim kazni, obrađivači se suočavaju s tužbama prema članu 82. od subjekata podataka koji su pretrpjeli štetu. Također se mogu suočiti s ugovornom odgovornošću prema kontroloru prema DPA-u, uključujući obaveze obeštećenja.
Da li obrađivači trebaju vlastitog službenika za zaštitu podataka?
Obrađivači podliježu istim pragovima za imenovanje DPO-a kao i kontrolori. Obrađivač mora imenovati DPO-a ako provodi opsežno, sistematsko praćenje pojedinaca, ili obrađuje posebne kategorije podataka ili podatke o krivičnim presudama u velikom obimu [1].
Biti obrađivač ne izuzima organizaciju od zahtjeva za DPO-om. Mnogi veliki provajderi cloud usluga i SaaS platforme koje djeluju kao obrađivači moraju imati DPO-a upravo zbog obima i osjetljivosti podataka kojima rukuju.
Koja je razlika u GDPR kaznama između kontrolora i obrađivača?
Dvostepena struktura kazni GDPR-a primjenjuje se jednako na kontrolore i obrađivače. Prvi nivo pokriva manje ozbiljne prekršaje (do 10 miliona EUR ili 2% globalnog prometa); drugi nivo pokriva najozbiljnije prekršaje, uključujući nezakonitu obradu i nepoštivanje prava subjekata podataka (do 20 miliona EUR ili 4% globalnog prometa) [2].
Ne postoji zakonski popust za obrađivače. Međutim, u praksi, nadzorna tijela procjenjuju krivicu, saradnju i prirodu prekršaja prilikom određivanja iznosa kazni, faktore koji mogu rezultirati različitim ishodima za kontrolore u odnosu na obrađivače u istom incidentu.
Da li podobrađivači imaju drugačiju odgovornost od glavnih obrađivača?
Podobrađivači snose iste obaveze prema GDPR-u kao i glavni obrađivači, ali su ugovorno vezani za glavnog obrađivača, a ne direktno za kontrolora. Kritična razlika: glavni obrađivač ostaje u potpunosti odgovoran kontroloru za rad podobrađivača [3].
Ako podobrađivač uzrokuje povredu, pravni lijek kontrolora ide protiv glavnog obrađivača. Glavni obrađivač tada mora zasebno tužiti podobrađivača. Podobrađivači se također mogu suočiti s direktnom regulatornom akcijom nadzornih tijela za vlastita kršenja GDPR-a.
Pravila za podobrađivače na prvi pogled:
- Prethodno pismeno odobrenje kontrolora je potrebno prije angažovanja bilo kojeg podobrađivača
- Glavni obrađivač mora nametnuti slične obaveze zaštite podataka podobrađivaču
- Glavni obrađivač ne može izbjeći odgovornost ukazivanjem na grešku podobrađivača
Kako odrediti da li ste kontrolor ili obrađivač za vaše poslovanje?
Određivanje se svodi na jedno pitanje: da li vaša organizacija nezavisno odlučuje zašto se lični podaci obrađuju? Ako da, vi ste kontrolor. Ako obrađujete podatke samo zato što vam je drugi entitet to naložio, i nemate nezavisnu svrhu, vi ste obrađivač [1].
Praktična kontrolna lista za odluke:
- Ko je uopšte odlučio prikupiti ove podatke?
- Ko je odredio za šta će se podaci koristiti?
- Da li vaša organizacija ima diskreciju o tome kako se podaci obrađuju, ili slijedite specifikacije druge strane?
- Da li bi obrada prestala ako bi druga strana povukla svoja uputstva?
- Da li koristite podatke u bilo koju svrhu koja nezavisno koristi vašoj organizaciji?
Ako vaši odgovori ukazuju na različite smjerove u ovim pitanjima, možda ste zajednički kontrolor, situacija koja zahtijeva poseban aranžman transparentnosti s drugom stranom [1].
Koje su uobičajene greške koje kompanije prave s ulogama kontrolora i obrađivača?
Pogrešna klasifikacija je najčešća greška, i ona nosi stvarne posljedice po usklađenost. Organizacije često pretpostavljaju da ih naziv "dobavljač" ili "pružalac usluga" u ugovoru čini obrađivačem, dok ih njihovo stvarno ponašanje kvalifikuje kao kontrolora.
Druge česte greške:
- Preskakanje DPA-a: Kontrolori koji angažuju obrađivače bez pisanog DPA-a direktno krše GDPR, bez obzira na to koliko su sigurni sistemi obrađivača.
- Propust u provjeri podobrađivača: Kontrolori često zanemaruju da je njihov obrađivač angažovao podobrađivače bez ovlaštenja ili ekvivalentnih ugovornih zaštita.
- Pretpostavka da obrađivači rukuju pravima subjekata podataka: Kontrolori ostaju odgovorni za odgovaranje na zahtjeve subjekata podataka; obrađivači samo pomažu.
- Ignorisanje rizika reklasifikacije: Obrađivači koji proširuju svoje usluge i počinju koristiti podatke klijenata za analitiku, obuku modela ili benchmarking mogu nenamjerno postati kontrolori bez prepoznavanja promjene.
Za organizacije koje upravljaju pristankom i protokom podataka preko web stranica i digitalnih svojstava, platforma za upravljanje pristankom kao što je Biscotti CMP može pomoći kontrolorima da dokumentuju zakonite osnove i upravljaju evidencijama pristanka, što je temeljni element odgovornosti kontrolora prema GDPR-u.
Kako bi malo preduzeće trebalo da se nosi s odgovornostima kontrolora naspram obrađivača?
Mala preduzeća nisu izuzeta od okvira kontrolor-obrađivač GDPR-a. Ako malo preduzeće prikuplja podatke o kupcima, čak i samo e-mail adrese za bilten, ono je kontrolor i mora se pridržavati svih obaveza kontrolora.
Praktični koraci za mala preduzeća:
- Mapirajte svaki alat ili dobavljača koji rukuje ličnim podacima u vaše ime (platforme za e-poštu, alati za analitiku, procesori plaćanja, CRM-ovi).
- Potvrdite da postoji potpisan DPA sa svakim dobavljačem.
- Provjerite da DPA svakog dobavljača ispunjava minimalne zahtjeve GDPR-a.
- Objavite usklađeno obavještenje o privatnosti koje tačno opisuje vaše aktivnosti obrade.
- Uspostavite proces za odgovaranje na zahtjeve subjekata podataka unutar zakonskog roka od 30 dana.
UK-ov Zakon o korištenju i pristupu podacima iz 2026. (Data (Use and Access) Act 2026), koji je dobio kraljevsku saglasnost 19. juna 2026., uvodi daljnje izmjene zakona o zaštiti podataka koje bi mala preduzeća sa sjedištem u UK-u trebala pregledati s pravnim savjetnikom kako bi osigurala da njihove obaveze kontrolora ostanu ažurne [1].
Često postavljana pitanja
P: Da li je SaaS kompanija uvijek obrađivač? SaaS kompanija je obrađivač samo kada obrađuje lične podatke strogo u ime svojih kupaca i bez nezavisne svrhe. Ako koristi podatke kupaca za vlastitu analitiku, poboljšanje proizvoda ili marketing, postaje kontrolor za te aktivnosti.
P: Da li obrađivač treba da se registruje kod nadzornog tijela? Zahtjevi za registraciju variraju ovisno o državi članici EU. Međutim, obrađivači moraju voditi interne evidencije aktivnosti obrade (RoPA) prema članu 30. GDPR-a ako zapošljavaju 250 ili više ljudi, ili ako obrada vjerovatno rezultira rizikom za subjekte podataka.
P: Može li obrađivač odbiti uputstvo kontrolora? Da, ako bi slijeđenje uputstva zahtijevalo od obrađivača da prekrši GDPR. U takvim slučajevima, obrađivač bi trebao obavijestiti kontrolora i, ako se uputstvo ne ispravi, možda će morati prekinuti odnos.
P: Šta je aranžman zajedničkog kontrolora? Zajednički kontrolori postoje kada dva ili više entiteta zajednički određuju svrhe i sredstva obrade. Moraju dokumentovati svoje odgovarajuće odgovornosti u transparentnom aranžmanu i učiniti suštinu tog aranžmana dostupnom subjektima podataka [1].
P: Koliko dugo DPA treba ostati na snazi? DPA bi trebao ostati na snazi tokom trajanja odnosa obrade. Po prestanku, on reguliše obavezu obrađivača da izbriše ili vrati sve lične podatke.
P: Da li su obrađivači odgovorni za kazne izrečene kontrolorima? Ne. Kazne se izriču entitetu koji je počinio prekršaj. Međutim, obrađivači se mogu suočiti s odvojenim kaznama za vlastita kršenja, i mogu se suočiti sa zahtjevima za obeštećenje od kontrolora prema DPA-u.
P: Da li se GDPR primjenjuje na obrađivače koji se nalaze izvan EU? Da. GDPR se primjenjuje na obrađivače izvan EU kada obrađuju lične podatke stanovnika EU u ime kontrolora sa sjedištem u EU, ili kada su inače podložni teritorijalnom opsegu GDPR-a prema članu 3.
P: Koja je razlika između DPA-a i Standardne ugovorne klauzule? DPA reguliše odnos kontrolor-obrađivač na domaćem nivou. Standardne ugovorne klauzule (SCC) su specifični ugovorni mehanizmi za prenos ličnih podataka u treće zemlje izvan EU/EEA koje nemaju odluku o adekvatnosti.
Zaključak
Kontrolor naspram obrađivača: Razumijevanje vaše odgovornosti prema GDPR-u nije apstraktna pravna vježba, ona određuje ko se suočava s regulatornim kaznama, ko obeštećuje subjekte podataka i ko je odgovoran nadzornim tijelima kada nešto pođe po zlu. Razlika se temelji na činjeničnom pitanju o ovlaštenju za donošenje odluka, a ne na ugovornim oznakama.
Akcioni koraci:
- Provedite vježbu mapiranja podataka kako biste identificirali svaku aktivnost obrade i ulogu vaše organizacije u svakoj.
- Revidirajte postojeće ugovore s dobavljačima kako biste potvrdili da su usklađeni DPA-i na snazi sa svakim obrađivačem kojeg angažujete.
- Pregledajte aranžmane s podobrađivačima kako biste osigurali da postoji prethodno ovlaštenje i da su nametnute ekvivalentne obaveze.
- Ako djelujete i kao kontrolor i kao obrađivač u različitim aktivnostima, dokumentujte svaku ulogu zasebno.
- Za organizacije u UK-u, pregledajte implikacije Zakona o korištenju i pristupu podacima iz 2026. (Data (Use and Access) Act 2026) s kvalifikovanim pravnim savjetnikom.
- Implementirajte rješenje za upravljanje pristankom kao što je Biscotti CMP kako biste održavali revidirane evidencije pristanka i podržali svoje obaveze kontrolora.
Pogrešna klasifikacija nije tehnička stvar, to je jaz u usklađenosti s direktnim finansijskim i reputacijskim posljedicama. Ispravno postavljanje uloga od samog početka je najisplativija investicija u GDPR koju bilo koja organizacija može napraviti.
Reference
[1] What Are Controllers And Processors - https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/controllers-and-processors/controllers-and-processors/what-are-controllers-and-processors/?utm_source=openai
[2] Art 82 GDPR - https://gdpr-info.eu/art-82-gdpr/?utm_source=openai
[3] Controller And Processor Relationships - https://dataprotection.ie/en/organisations/know-your-obligations/controller-and-processor-relationships?utm_source=openai