Rychlá odpověď: Podle GDPR správce dat určuje, proč a jak jsou osobní údaje zpracovávány, zatímco zpracovatel dat nakládá s daty výhradně podle pokynů správce. Odpovědnost se významně liší: správci nesou nejširší odpovědnost, zatímco zpracovatelé čelí přímé odpovědnosti pouze tehdy, když jednají mimo zákonné pokyny nebo poruší povinnosti GDPR, které se jich konkrétně týkají.
Klíčové poznatky
- Správce dat rozhoduje o účelech a prostředcích zpracování; zpracovatel dat jedná jménem správce.
- Správci nesou primární odpovědnost podle GDPR; zpracovatelé čelí přímé odpovědnosti podle článku 82 pouze za specifických okolností.
- Obě role mohou existovat současně v rámci jedné organizace, společnost může být správcem pro své vlastní zákazníky a zpracovatelem pro jiný podnik.
- Právně závazná smlouva o zpracování osobních údajů (DPA) je povinná vždy, když správce zapojí zpracovatele.
- Subzpracovatelé vyžadují předchozí písemné povolení od správce; hlavní zpracovatel zůstává plně odpovědný za jednání subzpracovatele.
- Nesprávné zařazení vaší role je rizikem pro dodržování předpisů, které může vaši organizaci vystavit regulačním sankcím.
- Zpracovatelé, kteří používají osobní údaje pro své vlastní účely, se automaticky stávají správci pro tuto zpracovatelskou činnost.
- Britský zákon o používání a přístupu k datům z roku 2026 (Data (Use and Access) Act 2026) zavádí další změny, které by organizace působící pod britským GDPR měly neprodleně přezkoumat.
Jaký je rozdíl mezi správcem dat a zpracovatelem dat podle GDPR?
Správce dat je jakýkoli subjekt, který určuje účely a prostředky zpracování osobních údajů. Zpracovatel dat je jakýkoli subjekt, který zpracovává osobní údaje jménem správce, přísně podle pokynů správce [1].
Rozdíl spočívá v rozhodovací pravomoci. Pokud vaše organizace rozhoduje proč jsou data shromažďována a jak budou použita, jste správcem. Pokud vaše organizace nakládá s daty pouze proto, že ji k tomu instruoval jiný subjekt, a nemáte žádné nezávislé slovo ohledně účelu, jste zpracovatelem.
Praktické příklady:
| Scénář | Role |
|---|---|
| E-commerce prodejce shromažďující údaje o nákupech zákazníků | Správce |
| Poskytovatel cloud hostingu ukládající databázi tohoto prodejce | Zpracovatel |
| Platforma SaaS pro zpracování mezd zpracovávající údaje zaměstnanců pro zaměstnavatele | Zpracovatel |
| Marketingová agentura vytvářející vlastní seznam potenciálních zákazníků | Správce |
| Dodavatel CRM přistupující k datům klientů za účelem poskytování podpory | Zpracovatel |
ICO zdůrazňuje, že označení ve smlouvě neurčuje roli, ale skutečné jednání [1]. Dodavatel nazvaný ve smlouvě „zpracovatelem“, ale činící nezávislá rozhodnutí o použití dat, je právně správcem bez ohledu na to, co smlouva říká.
Jaké jsou hlavní povinnosti správce dat podle GDPR?
Správci nesou největší břemeno dodržování předpisů podle GDPR. Jsou odpovědní za celý životní cyklus dat a musí zajistit, aby každý zpracovatel, kterého zapojí, splňoval standardy GDPR [3].
Mezi základní povinnosti správce patří:
- Stanovení a dokumentace právního základu pro každou zpracovatelskou činnost
- Poskytování transparentních oznámení o ochraně soukromí subjektům údajů
- Usnadnění práv subjektů údajů, přístupu, opravy, výmazu, přenositelnosti a námitky
- Provádění posouzení vlivu na ochranu osobních údajů (DPIA) pro vysoce rizikové zpracování
- Jmenování pověřence pro ochranu osobních údajů (DPO), pokud je to vyžadováno
- Provádění due diligence před zapojením zpracovatelů a monitorování jejich průběžného dodržování předpisů
- Uzavření písemné smlouvy o zpracování osobních údajů s každým zapojeným zpracovatelem [3]
Správci nemohou outsourcovat odpovědnost. I když zpracovatel způsobí narušení, správce zůstává odpovědný dozorovým úřadům za výběr zpracovatele a přiměřenost smluvních záruk.
Jaké jsou hlavní povinnosti zpracovatele dat podle GDPR?
Zpracovatelé mají přímé povinnosti podle GDPR, nikoli pouze smluvní, a nemohou považovat dodržování předpisů za problém pouze správce [3].
Přímé povinnosti zpracovatele podle GDPR zahrnují:
- Zpracování dat pouze na základě zdokumentovaných pokynů správce
- Zavedení vhodných technických a organizačních bezpečnostních opatření
- Vedení záznamů o všech zpracovatelských činnostech prováděných jménem správců
- Oznámení správci o jakémkoli narušení dat bez zbytečného odkladu
- Pomoc správci při plnění žádostí subjektů údajů o výkon práv
- Smazání nebo vrácení všech osobních údajů po ukončení smlouvy
- Zapojení subzpracovatelů pouze s předchozím písemným souhlasem správce [3]
„Zpracovatelé mají přímé povinnosti podle GDPR, nikoli pouze smluvní povinnosti, a čelí regulačnímu riziku, pokud jednají mimo zákonné pokyny správce.“
Kdo je odpovědný v případě narušení dat: správce nebo zpracovatel?
Odpovědní mohou být oba, ale rozsah se liší. Podle článku 82 GDPR má každá osoba, která utrpí škodu v důsledku porušení GDPR, právo požadovat náhradu škody od odpovědného správce nebo zpracovatele [2].
Správci jsou odpovědní za škody způsobené jakýmkoli zpracováním, které porušuje GDPR. Zpracovatelé jsou odpovědní pouze tehdy, pokud nedodrželi povinnosti GDPR, které se konkrétně týkají zpracovatelů, nebo pokud jednali mimo nebo v rozporu se zákonnými pokyny správce [2].
Rozdělení odpovědnosti v praxi:
- Pokud zpracovatel utrpí narušení, protože správce dal nedostatečné bezpečnostní pokyny, správce pravděpodobně nese primární odpovědnost.
- Pokud zpracovatel ignoroval bezpečnostní požadavky správce, nese přímou odpovědnost zpracovatel.
- Oba mohou být považováni za společně a nerozdílně odpovědné, což znamená, že subjekt údajů může žalovat kteroukoli stranu o plnou výši škody, přičemž si poté mezi sebou rozdělí odpovědnost.
Zpracovatel se může vyhnout odpovědnosti, pokud prokáže, že nebyl na vině za událost způsobující škodu [2]. To je vysoká laťka: zpracovatel musí prokázat plné dodržování svých povinností podle GDPR.
Může být společnost současně správcem i zpracovatelem?
Ano. Organizace může současně působit jako správce pro některé zpracovatelské činnosti a jako zpracovatel pro jiné, a to i v rámci stejného obchodního vztahu [1].
Například digitální marketingová agentura může působit jako správce, když spravuje vlastní HR data zaměstnanců, a jako zpracovatel, když provádí reklamní kampaně s využitím zákaznických dat klienta. Role je určována činnost od činnosti, nikoli společnost od společnosti.
Může se zpracovatel stát správcem, pokud používá data pro své vlastní účely?
Zpracovatel se automaticky stává správcem v okamžiku, kdy používá osobní údaje pro účely, které přesahují pokyny správce [1]. Toto je jedna z nejdůležitějších nesprávných klasifikací v praxi.
Pokud dodavatel cloudové analytiky začne těžit klientská data k trénování vlastních modelů AI bez autorizace, vystoupil z role zpracovatele a převzal status správce pro tuto činnost, se všemi souvisejícími povinnostmi GDPR a rizikem odpovědnosti. Žádná smluvní klauzule nemůže zabránit této reklasifikaci; je to otázka faktů, nikoli dohody.
Jak smlouvy o zpracování osobních údajů chrání zpracovatele před odpovědností?
Smlouva o zpracování osobních údajů (DPA) je povinným právním nástrojem podle GDPR vždy, když správce zapojí zpracovatele [3]. Pro zpracovatele je dobře sepsaná DPA primárním mechanismem pro omezení rizika odpovědnosti.
Vyhovující DPA musí specifikovat:
- Předmět, dobu trvání, povahu a účel zpracování
- Typ osobních údajů a kategorie dotčených subjektů údajů
- Povinnosti a práva správce
- Požadavky na důvěrnost pro oprávněný personál
- Bezpečnostní opatření, která mají být zavedena
- Podmínky pro zapojení subzpracovatelů
- Postupy pro vrácení nebo smazání dat na konci smlouvy [3]
Pokud zpracovatel jedná striktně v rámci DPA, odpovědnost za jakoukoli vzniklou škodu se přesouvá převážně na správce. Naopak, pokud zpracovatel překročí tyto pokyny, DPA se stává důkazem odchylky spíše než štítem.
Co se stane, když zpracovatel poruší pravidla GDPR?
Zpracovatelé, kteří poruší GDPR, čelí jak regulačním pokutám, tak občanskoprávní odpovědnosti za škody. Dozorové úřady mohou ukládat správní pokuty přímo zpracovatelům, a to až do výše 20 milionů EUR nebo 4 % celkového ročního obratu za nejzávažnější porušení, podle toho, co je vyšší [2].
Kromě pokut čelí zpracovatelé nárokům podle článku 82 od subjektů údajů, které utrpěly škodu. Mohou také čelit smluvní odpovědnosti vůči správci podle DPA, včetně povinností k odškodnění.
Potřebují zpracovatelé vlastního pověřence pro ochranu osobních údajů?
Zpracovatelé podléhají stejným prahovým hodnotám pro jmenování DPO jako správci. Zpracovatel musí jmenovat DPO, pokud provádí rozsáhlé, systematické monitorování jednotlivců nebo zpracovává zvláštní kategorie údajů nebo údaje o trestních odsouzeních ve velkém rozsahu [1].
Být zpracovatelem nezbavuje organizaci požadavku na DPO. Mnoho velkých poskytovatelů cloudu a platforem SaaS, které působí jako zpracovatelé, je povinno udržovat DPO právě kvůli objemu a citlivosti dat, se kterými nakládají.
Jaký je rozdíl v pokutách GDPR mezi správci a zpracovateli?
Dvoustupňová struktura pokut GDPR platí stejně pro správce i zpracovatele. První stupeň pokrývá méně závažná porušení (až do 10 milionů EUR nebo 2 % celkového obratu); druhý stupeň pokrývá nejzávažnější porušení, včetně nezákonného zpracování a nedodržení práv subjektů údajů (až do 20 milionů EUR nebo 4 % celkového obratu) [2].
Pro zpracovatele neexistuje žádná zákonná sleva. V praxi však dozorové úřady při určování výše pokut posuzují zavinění, spolupráci a povahu porušení, což jsou faktory, které mohou vést k různým výsledkům pro správce a zpracovatele ve stejném incidentu.
Mají subzpracovatelé jinou odpovědnost než hlavní zpracovatelé?
Subzpracovatelé nesou stejné povinnosti GDPR jako hlavní zpracovatelé, ale jsou smluvně vázáni k hlavnímu zpracovateli, nikoli přímo ke správci. Kritický rozdíl: hlavní zpracovatel zůstává plně odpovědný správci za výkon subzpracovatele [3].
Pokud subzpracovatel způsobí narušení, právní nárok správce směřuje proti hlavnímu zpracovateli. Hlavní zpracovatel pak musí subzpracovatele žalovat samostatně. Subzpracovatelé mohou také čelit přímým regulačním opatřením od dozorových úřadů za svá vlastní porušení GDPR.
Pravidla pro subzpracovatele na první pohled:
- Před zapojením jakéhokoli subzpracovatele je vyžadován předchozí písemný souhlas správce
- Hlavní zpracovatel musí uložit subzpracovateli rovnocenné povinnosti v oblasti ochrany údajů
- Hlavní zpracovatel se nemůže vyhnout odpovědnosti poukazováním na chybu subzpracovatele
Jak určíte, zda jste správcem nebo zpracovatelem pro vaši firmu?
Určení se točí kolem jediné otázky: rozhoduje vaše organizace nezávisle proč jsou osobní údaje zpracovávány? Pokud ano, jste správcem. Pokud zpracováváte data pouze proto, že vás k tomu instruoval jiný subjekt, a nemáte žádný nezávislý účel, jste zpracovatelem [1].
Praktický kontrolní seznam pro rozhodování:
- Kdo se rozhodl tato data shromažďovat?
- Kdo určil, k čemu budou data použita?
- Má vaše organizace diskreci ohledně toho, jak jsou data zpracovávána, nebo se řídíte specifikacemi jiné strany?
- Zastavilo by se zpracování, kdyby druhá strana stáhla své pokyny?
- Používáte data pro jakýkoli účel, který nezávisle prospívá vaší organizaci?
Pokud vaše odpovědi na tyto otázky směřují různými směry, můžete být společným správcem, což je situace vyžadující samostatné ujednání o transparentnosti s druhou stranou [1].
Jaké jsou běžné chyby, kterých se společnosti dopouštějí v rolích správce a zpracovatele?
Nesprávná klasifikace je nejčastější chybou a nese s sebou skutečné důsledky pro dodržování předpisů. Organizace často předpokládají, že to, že jsou ve smlouvě označeny jako „dodavatel“ nebo „poskytovatel služeb“, z nich dělá zpracovatele, zatímco jejich skutečné jednání je kvalifikuje jako správce.
Další časté chyby:
- Vyhýbání se DPA: Správci, kteří zapojují zpracovatele bez písemné DPA, přímo porušují GDPR, bez ohledu na to, jak bezpečné jsou systémy zpracovatele.
- Nekontrolování subzpracovatelů: Správci často přehlížejí, že jejich zpracovatel zapojil subzpracovatele bez autorizace nebo rovnocenných smluvních ochran.
- Předpoklad, že zpracovatelé vyřizují práva subjektů údajů: Správci zůstávají odpovědní za reagování na žádosti subjektů údajů; zpracovatelé pouze asistují.
- Ignorování rizika reklasifikace: Zpracovatelé, kteří rozšiřují své služby a začínají používat klientská data pro analýzy, trénování modelů nebo benchmarking, se mohou neúmyslně stát správci, aniž by si uvědomili tuto změnu.
Pro organizace spravující souhlasy a datové toky napříč webovými stránkami a digitálními vlastnostmi může platforma pro správu souhlasů, jako je Biscotti CMP, pomoci správcům dokumentovat právní základy a spravovat záznamy o souhlasu, což je základní prvek odpovědnosti správce podle GDPR.
Jak by měla malá firma řešit odpovědnosti správce vs. zpracovatele?
Malé podniky nejsou vyňaty z rámce správce-zpracovatele GDPR. Pokud malá firma shromažďuje zákaznická data, byť jen e-mailové adresy pro newsletter, je správcem a musí dodržovat všechny povinnosti správce.
Praktické kroky pro malé podniky:
- Zmapujte každý nástroj nebo dodavatele, který zpracovává osobní údaje vaším jménem (e-mailové platformy, analytické nástroje, platební procesory, CRM).
- Potvrďte, zda existuje podepsaná DPA s každým dodavatelem.
- Ověřte, zda DPA každého dodavatele splňuje minimální požadavky GDPR.
- Zveřejněte vyhovující oznámení o ochraně soukromí, které přesně popisuje vaše zpracovatelské činnosti.
- Zaveďte proces pro reagování na žádosti subjektů údajů ve lhůtě 30 dnů.
Britský zákon o používání a přístupu k datům z roku 2026 (Data (Use and Access) Act 2026), který obdržel královský souhlas 19. června 2026, zavádí další úpravy zákona o ochraně údajů, které by malé podniky se sídlem ve Spojeném království měly přezkoumat s právním poradcem, aby zajistily, že jejich povinnosti správce zůstanou aktuální [1].
Často kladené otázky
Otázka: Je společnost SaaS vždy zpracovatelem? Společnost SaaS je zpracovatelem pouze tehdy, když zpracovává osobní údaje výhradně jménem svých zákazníků a pro žádný nezávislý účel. Pokud používá zákaznická data pro své vlastní analýzy, zlepšování produktů nebo marketing, stává se správcem pro tyto činnosti.
Otázka: Potřebuje se zpracovatel registrovat u dozorového úřadu? Požadavky na registraci se liší podle členského státu EU. Zpracovatelé však musí vést interní záznamy o činnostech zpracování (RoPA) podle článku 30 GDPR, pokud zaměstnávají 250 a více osob, nebo pokud zpracování pravděpodobně povede k riziku pro subjekty údajů.
Otázka: Může zpracovatel odmítnout pokyn správce? Ano, pokud by dodržení pokynu vyžadovalo, aby zpracovatel porušil GDPR. V takových případech by měl zpracovatel správce informovat a, pokud pokyn nebude opraven, může být nutné ukončit vztah.
Otázka: Co je ujednání o společné správě? Společní správci existují, když dva nebo více subjektů společně určují účely a prostředky zpracování. Musí zdokumentovat své příslušné odpovědnosti v transparentním ujednání a zpřístupnit podstatu tohoto ujednání subjektům údajů [1].
Otázka: Jak dlouho musí DPA zůstat v platnosti? DPA by měla zůstat v platnosti po dobu trvání vztahu zpracování. Po ukončení upravuje povinnost zpracovatele smazat nebo vrátit všechny osobní údaje.
Otázka: Jsou zpracovatelé odpovědní za pokuty uložené správcům? Ne. Pokuty jsou ukládány subjektu, který se dopustil porušení. Zpracovatelé však mohou čelit samostatným pokutám za svá vlastní porušení a mohou čelit nárokům na odškodnění od správců podle DPA.
Otázka: Platí GDPR pro zpracovatele sídlící mimo EU? Ano. GDPR platí pro zpracovatele mimo EU, pokud zpracovávají osobní údaje obyvatel EU jménem správců se sídlem v EU, nebo pokud jinak podléhají územní působnosti GDPR podle článku 3.
Otázka: Jaký je rozdíl mezi DPA a standardní smluvní doložkou? DPA upravuje vztah správce-zpracovatel na domácí úrovni. Standardní smluvní doložky (SCC) jsou specifické smluvní mechanismy pro předávání osobních údajů do třetích zemí mimo EU/EHP, které nemají rozhodnutí o odpovídající ochraně.
Závěr
Správce vs. zpracovatel: Pochopení vaší odpovědnosti podle GDPR není abstraktní právní cvičení, určuje, kdo čelí regulačním pokutám, kdo odškodňuje subjekty údajů a kdo je odpovědný dozorovým úřadům, když se něco pokazí. Rozdíl spočívá ve faktické otázce ohledně rozhodovací pravomoci, nikoli v označení ve smlouvě.
Praktické další kroky:
- Proveďte mapování dat, abyste identifikovali každou zpracovatelskou činnost a roli vaší organizace v každé z nich.
- Proveďte audit stávajících smluv s dodavateli, abyste potvrdili, že jsou s každým zpracovatelem, kterého zapojíte, uzavřeny vyhovující DPA.
- Zkontrolujte ujednání se subzpracovateli, abyste zajistili, že existuje předchozí autorizace a jsou uloženy rovnocenné povinnosti.
- Pokud působíte jako správce i zpracovatel napříč různými činnostmi, zdokumentujte každou roli samostatně.
- Pro organizace ve Spojeném království přezkoumejte důsledky zákona o používání a přístupu k datům z roku 2026 (Data (Use and Access) Act 2026) s kvalifikovaným právním poradcem.
- Nasaďte řešení pro správu souhlasů, jako je Biscotti CMP, abyste udržovali auditovatelné záznamy o souhlasu a podporovali své povinnosti správce.
Nesprávná klasifikace není technická záležitost, je to mezera v dodržování předpisů s přímými finančními a reputačními důsledky. Správné nastavení rolí od samého počátku je nejefektivnější investicí do GDPR, kterou může jakákoli organizace učinit.
Reference
[1] Co jsou správci a zpracovatelé – https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/controllers-and-processors/controllers-and-processors/what-are-controllers-and-processors/?utm_source=openai
[2] Čl. 82 GDPR – https://gdpr-info.eu/art-82-gdpr/?utm_source=openai
[3] Vztahy mezi správcem a zpracovatelem – https://dataprotection.ie/en/organisations/know-your-obligations/controller-and-processor-relationships?utm_source=openai