Lühike vastus: GDPR-i kohaselt määrab vastutav töötleja, miks ja kuidas isikuandmeid töödeldakse, samas kui volitatud töötleja töötleb andmeid ainult vastutava töötleja juhiste alusel. Vastutus erineb oluliselt: vastutavad töötlejad kannavad kõige laiemat vastutust, samas kui volitatud töötlejad vastutavad otse ainult siis, kui nad tegutsevad väljaspool seaduslikke juhiseid või rikuvad neile spetsiaalselt suunatud GDPR-i kohustusi.
Peamised järeldused
- Vastutav töötleja otsustab töötlemise eesmärgid ja vahendid; volitatud töötleja tegutseb vastutava töötleja nimel.
- Vastutavad töötlejad kannavad peamist GDPR-i vastutust; volitatud töötlejad vastutavad otse artikli 82 alusel ainult erandjuhtudel.
- Mõlemad rollid võivad eksisteerida ühes organisatsioonis samaaegselt, ettevõte võib olla oma klientide jaoks vastutav töötleja ja teise ettevõtte jaoks volitatud töötleja.
- Õiguslikult siduv andmetöötlusleping (DPA) on kohustuslik alati, kui vastutav töötleja kaasab volitatud töötleja.
- Alltöötlejad vajavad vastutava töötleja eelnevat kirjalikku luba; peamine volitatud töötleja jääb alltöötleja tegevuse eest täielikult vastutavaks.
- Oma rolli valesti liigitamine on vastavusrisk, mis võib teie organisatsiooni regulatiivsete karistustega kokku puutuda.
- Volitatud töötlejad, kes kasutavad isikuandmeid oma eesmärkidel, muutuvad selle töötlemistegevuse jaoks automaatselt vastutavateks töötlejateks.
- Ühendkuningriigi 2026. aasta andmete (kasutamine ja juurdepääs) seadus (Data (Use and Access) Act 2026) toob kaasa täiendavaid muudatusi, mida Ühendkuningriigi GDPR-i alusel tegutsevad organisatsioonid peaksid viivitamatult üle vaatama.
Mis on andmete vastutava töötleja ja volitatud töötleja erinevus GDPR-i alusel?
Vastutav töötleja on iga üksus, mis määrab isikuandmete töötlemise eesmärgid ja vahendid. Volitatud töötleja on iga üksus, mis töötleb isikuandmeid vastutava töötleja nimel, järgides rangelt vastutava töötleja juhiseid [1].
Eristus sõltub otsustusõigusest. Kui teie organisatsioon otsustab, miks andmeid kogutakse ja kuidas neid kasutatakse, olete teie vastutav töötleja. Kui teie organisatsioon töötleb andmeid ainult seetõttu, et teine üksus on teid selleks juhendanud, ja teil puudub iseseisev sõnaõigus eesmärgi osas, olete teie volitatud töötleja.
Praktilised näited:
| Stsenaarium | Roll |
|---|---|
| E-kaubanduse jaemüüja, kes kogub klientide ostuandmeid | Vastutav töötleja |
| Pilvemajutuse pakkuja, kes salvestab selle jaemüüja andmebaasi | Volitatud töötleja |
| Palgaarvestuse SaaS-platvorm, mis töötleb töötajate andmeid tööandja jaoks | Volitatud töötleja |
| Turundusagentuur, mis koostab oma potentsiaalsete klientide nimekirja | Vastutav töötleja |
| CRM-i müüja, kes pääseb kliendiandmetele juurde toe pakkumiseks | Volitatud töötleja |
ICO rõhutab, et lepingu sildistus ei määra rolli, vaid tegelik käitumine [1]. Müüja, keda lepingus nimetatakse "volitatud töötlejaks", kuid kes teeb andmete kasutamise kohta iseseisvaid otsuseid, on õiguslikult vastutav töötleja, olenemata sellest, mida leping ütleb.
Millised on andmete vastutava töötleja peamised kohustused GDPR-i alusel?
Vastutavad töötlejad kannavad GDPR-i alusel kõige suuremat vastavuskoormust. Nad vastutavad kogu andmete elutsükli eest ja peavad tagama, et iga nende kaasatud volitatud töötleja vastab GDPR-i standarditele [3].
Vastutava töötleja põhikohustused hõlmavad:
- Iga töötlemistegevuse jaoks seadusliku aluse loomine ja dokumenteerimine
- Läbipaistvate privaatsusteatiste esitamine andmesubjektidele
- Andmesubjektide õiguste, juurdepääsu, parandamise, kustutamise, teisaldatavuse ja vastuväidete hõlbustamine
- Andmekaitse mõjuhinnangute (DPIA) läbiviimine kõrge riskiga töötlemise puhul
- Andmekaitsespetsialisti (DPO) määramine, kui see on nõutav
- Hoolsuskohustuse täitmine enne volitatud töötlejate kaasamist ja nende pideva vastavuse jälgimine
- Kirjaliku andmetöötluslepingu sõlmimine iga kaasatud volitatud töötlejaga [3]
Vastutavad töötlejad ei saa vastutust sisse osta. Isegi kui volitatud töötleja põhjustab rikkumise, jääb vastutav töötleja järelevalveasutuste ees vastutavaks oma volitatud töötleja valiku ja lepinguliste kaitsemeetmete piisavuse eest.
Millised on andmete volitatud töötleja peamised kohustused GDPR-i alusel?
Volitatud töötlejatel on otsesed GDPR-i kohustused, mitte ainult lepingulised, ja nad ei saa käsitleda vastavust ainult vastutava töötleja probleemina [3].
Volitatud töötleja otsesed kohustused GDPR-i alusel hõlmavad:
- Andmete töötlemine ainult vastutava töötleja dokumenteeritud juhiste alusel
- Asjakohaste tehniliste ja organisatsiooniliste turvameetmete rakendamine
- Kõigi vastutavate töötlejate nimel teostatud töötlemistegevuste arvestuse pidamine
- Vastutava töötleja teavitamine andmerikkumisest viivitamata
- Vastutava töötleja abistamine andmesubjektide õiguste taotluste täitmisel
- Kõigi isikuandmete kustutamine või tagastamine lepingu lõppemisel
- Alltöötlejate kaasamine ainult vastutava töötleja eelneva kirjaliku loaga [3]
"Volitatud töötlejatel on GDPR-i alusel otsesed kohustused, mitte ainult lepingulised kohustused, ja nad puutuvad kokku regulatiivse riskiga, kui nad tegutsevad väljaspool vastutava töötleja seaduslikke juhiseid."
Kes vastutab andmerikkumise korral: vastutav töötleja või volitatud töötleja?
Mõlemad võivad vastutada, kuid ulatus erineb. GDPR-i artikli 82 kohaselt on igal isikul, kes kannatab GDPR-i rikkumise tõttu kahju, õigus nõuda hüvitist vastutavalt töötlejalt või volitatud töötlejalt [2].
Vastutavad töötlejad vastutavad kahjude eest, mis on põhjustatud igasuguse töötlemise tõttu, mis rikub GDPR-i. Volitatud töötlejad vastutavad ainult siis, kui nad ei ole täitnud GDPR-i kohustusi, mis on spetsiaalselt suunatud volitatud töötlejatele, või kui nad tegutsesid väljaspool või vastupidiselt vastutava töötleja seaduslikele juhistele [2].
Vastutuse jaotus praktikas:
- Kui volitatud töötleja kannatab rikkumise tõttu, kuna vastutav töötleja andis ebapiisavad turvajuhised, kannab vastutav töötleja tõenäoliselt peamist vastutust.
- Kui volitatud töötleja eiras vastutava töötleja turvanõudeid, kannab volitatud töötleja otsest vastutust.
- Mõlemat saab pidada solidaarselt vastutavaks, mis tähendab, et andmesubjekt saab nõuda kummagi poolelt täielikku kahjuhüvitist, jättes neile endile vastutuse hiljem jaotada.
Volitatud töötleja saab vastutusest vabaneda, tõestades, et ta ei olnud kahju põhjustanud sündmuse eest süüdi [2]. See on kõrge latt: volitatud töötleja peab tõendama oma GDPR-i kohustuste täielikku täitmist.
Kas ettevõte saab olla samaaegselt nii vastutav töötleja kui ka volitatud töötleja?
Jah. Organisatsioon võib samaaegselt tegutseda vastutava töötlejana mõne töötlemistegevuse puhul ja volitatud töötlejana teiste puhul, isegi sama ärisuhte raames [1].
Näiteks võib digitaalturundusagentuur tegutseda vastutava töötlejana, kui ta haldab oma töötajate personalandmeid, ja volitatud töötlejana, kui ta korraldab reklaamikampaaniaid, kasutades kliendi kliendiandmeid. Roll määratakse tegevuse kaupa, mitte ettevõtte kaupa.
Kas volitatud töötleja saab muutuda vastutavaks töötlejaks, kui ta kasutab andmeid oma eesmärkidel?
Volitatud töötleja muutub automaatselt vastutavaks töötlejaks hetkel, mil ta kasutab isikuandmeid eesmärkidel, mis ületavad vastutava töötleja juhiseid [1]. See on üks kõige olulisemaid valesti liigitamisi praktikas.
Kui pilveanalüütika müüja hakkab kliendiandmeid kaevandama oma tehisintellekti mudelite treenimiseks ilma loata, on ta väljunud volitatud töötleja rollist ja võtnud selle tegevuse jaoks vastutava töötleja staatuse, koos kõigi kaasnevate GDPR-i kohustuste ja vastutusriskidega. Ükski lepingu klausel ei saa seda ümberklassifitseerimist takistada; see on faktiline, mitte kokkuleppeline küsimus.
Kuidas andmetöötluslepingud kaitsevad volitatud töötlejaid vastutuse eest?
Andmetöötlusleping (DPA) on GDPR-i kohaselt kohustuslik õigusinstrument alati, kui vastutav töötleja kaasab volitatud töötleja [3]. Volitatud töötlejate jaoks on hästi koostatud DPA peamine mehhanism vastutusriski piiramiseks.
Nõuetele vastav DPA peab täpsustama:
- Töötlemise teema, kestus, laad ja eesmärk
- Kaasatud isikuandmete tüüp ja andmesubjektide kategooriad
- Vastutava töötleja kohustused ja õigused
- Volitatud personali konfidentsiaalsusnõuded
- Rakendatavad turvameetmed
- Tingimused alltöötlejate kaasamiseks
- Andmete tagastamise või kustutamise protseduurid lepingu lõppemisel [3]
Kui volitatud töötleja tegutseb rangelt DPA ulatuse piires, nihkub vastutus mis tahes sellest tuleneva kahju eest valdavalt vastutavale töötlejale. Vastupidi, kui volitatud töötleja ületab neid juhiseid, saab DPA-st kõrvalekalde tõend, mitte kaitsekilp.
Mis juhtub, kui volitatud töötleja rikub GDPR-i reegleid?
GDPR-i rikkunud volitatud töötlejaid ähvardavad nii regulatiivsed trahvid kui ka tsiviilvastutus kahjude eest. Järelevalveasutused võivad määrata volitatud töötlejatele otse haldustrahve, kuni 20 miljonit eurot või 4% ülemaailmsest aastakäibest kõige tõsisemate rikkumiste eest, olenevalt sellest, kumb on kõrgem [2].
Lisaks trahvidele ähvardavad volitatud töötlejaid artikli 82 alusel nõuded andmesubjektidelt, kes kannatasid kahju. Neil võivad tekkida ka lepingulised kohustused vastutava töötleja ees DPA alusel, sealhulgas hüvitamiskohustused.
Kas volitatud töötlejad vajavad oma andmekaitsespetsialisti?
Volitatud töötlejatele kehtivad samad DPO määramise künnised kui vastutavatele töötlejatele. Volitatud töötleja peab määrama DPO, kui ta teostab isikute ulatuslikku, süstemaatilist jälgimist või töötleb suures ulatuses eriliiki andmeid või kriminaalkaristuste andmeid [1].
Volitatud töötleja olemine ei vabasta organisatsiooni DPO nõudest. Paljud suured pilveteenuse pakkujad ja SaaS-platvormid, mis tegutsevad volitatud töötlejatena, peavad DPO-d pidama just nende käideldavate andmete mahu ja tundlikkuse tõttu.
Mis on GDPR-i trahvide erinevus vastutavate ja volitatud töötlejate vahel?
GDPR-i kahetasandiline trahvisüsteem kehtib võrdselt nii vastutavatele kui ka volitatud töötlejatele. Esimene tase hõlmab vähem tõsiseid rikkumisi (kuni 10 miljonit eurot või 2% ülemaailmsest käibest); teine tase hõlmab kõige tõsisemaid rikkumisi, sealhulgas ebaseaduslikku töötlemist ja andmesubjektide õiguste eiramist (kuni 20 miljonit eurot või 4% ülemaailmsest käibest) [2].
Volitatud töötlejatele ei ole seadusest tulenevat allahindlust. Kuid praktikas hindavad järelevalveasutused trahvisummade määramisel süüd, koostööd ja rikkumise laadi, mis võivad samas intsidendis anda vastutavate töötlejate ja volitatud töötlejate jaoks erinevaid tulemusi.
Kas alltöötlejatel on erinev vastutus kui peamistel volitatud töötlejatel?
Alltöötlejatel on samad GDPR-i kohustused kui peamistel volitatud töötlejatel, kuid nad on lepinguliselt seotud peamise volitatud töötlejaga, mitte otse vastutava töötlejaga. Kriitiline erinevus: peamine volitatud töötleja jääb vastutava töötleja ees alltöötleja tegevuse eest täielikult vastutavaks [3].
Kui alltöötleja põhjustab rikkumise, on vastutava töötleja õiguslik abinõu peamise volitatud töötleja vastu. Peamine volitatud töötleja peab seejärel alltöötlejat eraldi taga ajama. Alltöötlejaid võivad ähvardada ka järelevalveasutuste otsesed regulatiivsed meetmed nende endi GDPR-i rikkumiste eest.
Alltöötleja reeglid lühidalt:
- Enne alltöötleja kaasamist on vaja vastutava töötleja eelnevat kirjalikku luba
- Peamine volitatud töötleja peab alltöötlejale kehtestama samaväärsed andmekaitsekohustused
- Peamine volitatud töötleja ei saa vastutusest vabaneda, viidates alltöötleja süüle
Kuidas määrata, kas olete oma ettevõtte jaoks vastutav töötleja või volitatud töötleja?
Määramine sõltub ühest küsimusest: kas teie organisatsioon otsustab iseseisvalt, miks isikuandmeid töödeldakse? Kui jah, olete vastutav töötleja. Kui te töötlete andmeid ainult seetõttu, et teine üksus on teid selleks juhendanud, ja teil puudub iseseisev eesmärk, olete volitatud töötleja [1].
Praktiline otsuste kontrollnimekiri:
- Kes otsustas need andmed esmalt koguda?
- Kes määras, milleks andmeid kasutatakse?
- Kas teie organisatsioonil on kaalutlusõigus andmete töötlemise viisi osas või järgite teise poole spetsifikatsioone?
- Kas töötlemine peatuks, kui teine pool oma juhised tagasi võtaks?
- Kas kasutate andmeid mis tahes eesmärgil, mis toob teie organisatsioonile iseseisvalt kasu?
Kui teie vastused nendele küsimustele osutavad erinevatesse suundadesse, võite olla kaasvastutav töötleja, olukord, mis nõuab teise poolega eraldi läbipaistvuse kokkulepet [1].
Millised on levinumad vead, mida ettevõtted teevad vastutava ja volitatud töötleja rollidega?
Valesti liigitamine on kõige levinum viga ja sellel on tegelikud vastavustulemused. Organisatsioonid eeldavad sageli, et lepingu kohaselt "müüjaks" või "teenusepakkujaks" nimetamine teeb neist volitatud töötleja, kuigi nende tegelik käitumine kvalifitseerib nad vastutavaks töötlejaks.
Muud sagedased vead:
- DPA vahelejätmine: Vastutavad töötlejad, kes kaasavad volitatud töötlejaid ilma kirjaliku DPA-ta, rikuvad otseselt GDPR-i, olenemata sellest, kui turvalised on volitatud töötleja süsteemid.
- Alltöötlejate kontrollimata jätmine: Vastutavad töötlejad unustavad sageli, et nende volitatud töötleja on kaasanud alltöötlejaid ilma loata või samaväärsete lepinguliste kaitsemeetmeteta.
- Eeldamine, et volitatud töötlejad tegelevad andmesubjektide õigustega: Vastutavad töötlejad vastutavad endiselt andmesubjektide taotlustele vastamise eest; volitatud töötlejad ainult abistavad.
- Ümberklassifitseerimisriski ignoreerimine: Volitatud töötlejad, kes laiendavad oma teenuseid ja hakkavad kasutama kliendiandmeid analüüsiks, mudelite treenimiseks või võrdlusuuringuteks, võivad tahtmatult muutuda vastutavateks töötlejateks, ilma et nad seda muutust tunneksid.
Organisatsioonidele, kes haldavad nõusolekuid ja andmevooge veebisaitidel ja digitaalsetel omanditel, aitab nõusolekuhaldusplatvorm, näiteks Biscotti CMP, vastutavatel töötlejatel dokumenteerida seaduslikke aluseid ja hallata nõusolekute kirjeid, mis on GDPR-i kohase vastutava töötleja vastutuse alustala.
Kuidas peaks väikeettevõte käsitlema vastutava ja volitatud töötleja kohustusi?
Väikeettevõtted ei ole GDPR-i vastutava töötleja ja volitatud töötleja raamistikust vabastatud. Kui väikeettevõte kogub kliendiandmeid, isegi ainult e-posti aadresse uudiskirja jaoks, on ta vastutav töötleja ja peab täitma kõiki vastutava töötleja kohustusi.
Praktilised sammud väikeettevõtetele:
- Kaardistage iga tööriist või müüja, kes teie nimel isikuandmeid töötleb (e-posti platvormid, analüütikatööriistad, maksetöötlejad, CRM-id).
- Kinnitage, kas iga müüjaga on sõlmitud allkirjastatud DPA.
- Kontrollige, kas iga müüja DPA vastab GDPR-i miinimumnõuetele.
- Avaldage nõuetele vastav privaatsusteatis, mis kirjeldab täpselt teie töötlemistegevusi.
- Looge protsess andmesubjektide taotlustele vastamiseks 30-päevase seadusliku tähtaja jooksul.
Ühendkuningriigi 2026. aasta andmete (kasutamine ja juurdepääs) seadus (Data (Use and Access) Act 2026), mis sai kuningliku nõusoleku 19. juunil 2026, toob andmekaitseseadusesse täiendavaid muudatusi, mida Ühendkuningriigis asuvad väikeettevõtted peaksid õigusnõustajaga läbi vaatama, et tagada nende vastutava töötleja kohustuste ajakohasus [1].
Korduma kippuvad küsimused
K: Kas SaaS-ettevõte on alati volitatud töötleja? SaaS-ettevõte on volitatud töötleja ainult siis, kui ta töötleb isikuandmeid rangelt oma klientide nimel ja ilma iseseisva eesmärgita. Kui ta kasutab kliendiandmeid oma analüüsi, tootearenduse või turunduse jaoks, muutub ta nende tegevuste jaoks vastutavaks töötlejaks.
K: Kas volitatud töötleja peab registreeruma järelevalveasutuses? Registreerimisnõuded varieeruvad EL-i liikmesriigiti. Kuid volitatud töötlejad peavad pidama sisemisi töötlemistegevuste registreid (RoPA) GDPR-i artikli 30 alusel, kui nad annavad tööd 250 või enamale inimesele või kui töötlemine tõenäoliselt toob kaasa riski andmesubjektidele.
K: Kas volitatud töötleja saab keelduda vastutava töötleja juhisest? Jah, kui juhise järgimine nõuaks volitatud töötlejalt GDPR-i rikkumist. Sellistel juhtudel peaks volitatud töötleja teavitama vastutavat töötlejat ja kui juhist ei parandata, võib olla vaja suhe lõpetada.
K: Mis on kaasvastutava töötleja kokkulepe? Kaasvastutavad töötlejad eksisteerivad siis, kui kaks või enam üksust määravad ühiselt töötlemise eesmärgid ja vahendid. Nad peavad dokumenteerima oma vastavad kohustused läbipaistvas kokkuleppes ja tegema selle kokkuleppe olemuse andmesubjektidele kättesaadavaks [1].
K: Kui kaua peab DPA kehtima? DPA peaks kehtima töötlemissuhte kestuse jooksul. Lõpetamisel reguleerib see volitatud töötleja kohustust kustutada või tagastada kõik isikuandmed.
K: Kas volitatud töötlejad vastutavad vastutavatele töötlejatele määratud trahvide eest? Ei. Trahvid määratakse rikkumise toime pannud üksusele. Kuid volitatud töötlejaid võivad ähvardada eraldi trahvid nende endi rikkumiste eest ja neil võivad tekkida DPA alusel vastutavate töötlejate hüvitamisnõuded.
K: Kas GDPR kehtib väljaspool EL-i asuvatele volitatud töötlejatele? Jah. GDPR kehtib väljaspool EL-i asuvatele volitatud töötlejatele, kui nad töötlevad EL-i elanike isikuandmeid EL-is asuvate vastutavate töötlejate nimel või kui nad on muul viisil GDPR-i territoriaalse ulatuse all artikli 3 alusel.
K: Mis on DPA ja standardsete lepingutingimuste erinevus? DPA reguleerib vastutava töötleja ja volitatud töötleja suhet riigisiseselt. Standardsed lepingutingimused (SCC) on spetsiifilised lepingulised mehhanismid isikuandmete edastamiseks kolmandatesse riikidesse väljaspool EL-i/EMP-d, millel puudub piisavuse otsus.
Kokkuvõte
Vastutav töötleja vs. volitatud töötleja: vastutuse mõistmine GDPR-i alusel ei ole abstraktne õiguslik harjutus, see määrab, kes seisab silmitsi regulatiivsete trahvidega, kes hüvitab andmesubjektidele kahju ja kes vastutab järelevalveasutuste ees, kui midagi valesti läheb. Eristus põhineb faktilisel küsimusel otsustusõiguse kohta, mitte lepingu sildistusel.
Teostatavad järgmised sammud:
- Viige läbi andmete kaardistamise harjutus, et tuvastada iga töötlemistegevus ja teie organisatsiooni roll selles.
- Auditeerige olemasolevaid müüjalepinguid, et kinnitada, et iga kaasatud volitatud töötlejaga on olemas nõuetele vastavad DPA-d.
- Vaadake üle alltöötlejate kokkulepped, et tagada eelnev luba ja samaväärsete kohustuste kehtestamine.
- Kui tegutsete erinevate tegevuste raames nii vastutava töötleja kui ka volitatud töötlejana, dokumenteerige iga roll eraldi.
- Ühendkuningriigi organisatsioonide puhul vaadake Data (Use and Access) Act 2026 tagajärjed üle kvalifitseeritud õigusnõustajaga.
- Rakendage nõusolekuhalduslahendus, näiteks Biscotti CMP, et säilitada auditeeritavaid nõusolekute kirjeid ja toetada oma vastutava töötleja kohustusi.
Valesti liigitamine ei ole tehniline detail, see on vastavuse lünk, millel on otsesed finants- ja mainekahjud. Rollide õigesti paika panemine algusest peale on kõige kulutõhusam GDPR-i investeering, mida iga organisatsioon saab teha.
Viited
[1] What Are Controllers And Processors - https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/controllers-and-processors/controllers-and-processors/what-are-controllers-and-processors/?utm_source=openai
[2] Art 82 GDPR - https://gdpr-info.eu/art-82-gdpr/?utm_source=openai
[3] Controller And Processor Relationships - https://dataprotection.ie/en/organisations/know-your-obligations/controller-and-processor-relationships?utm_source=openai