Kratak odgovor: Prema GDPR-u, voditelj obrade podataka određuje zašto i kako se osobni podaci obrađuju, dok izvršitelj obrade podataka obrađuje podatke isključivo prema uputama voditelja obrade. Odgovornost se značajno razlikuje: voditelji obrade snose najširu odgovornost, dok se izvršitelji obrade suočavaju s izravnom odgovornošću samo kada djeluju izvan zakonitih uputa ili krše GDPR obveze koje su im izričito namijenjene.
Ključne spoznaje
- Voditelj obrade podataka odlučuje o svrhama i sredstvima obrade; izvršitelj obrade podataka djeluje u ime voditelja obrade.
- Voditelji obrade snose primarnu odgovornost prema GDPR-u; izvršitelji obrade suočavaju se s izravnom odgovornošću prema članku 82. samo u specifičnim okolnostima.
- Obje uloge mogu postojati istovremeno unutar jedne organizacije, tvrtka može biti voditelj obrade za vlastite klijente i izvršitelj obrade za drugu tvrtku.
- Pravno obvezujući Ugovor o obradi podataka (DPA) obvezan je kad god voditelj obrade angažira izvršitelja obrade.
- Podizvršitelji obrade zahtijevaju prethodno pisano odobrenje voditelja obrade; glavni izvršitelj obrade ostaje u potpunosti odgovoran za postupke podizvršitelja obrade.
- Pogrešna klasifikacija vaše uloge predstavlja rizik usklađenosti koji vašu organizaciju može izložiti regulatornim kaznama.
- Izvršitelji obrade koji koriste osobne podatke za vlastite svrhe automatski postaju voditelji obrade za tu aktivnost obrade.
- Zakon o podacima (uporaba i pristup) Ujedinjenog Kraljevstva iz 2026. uvodi daljnje promjene koje bi organizacije koje djeluju prema UK GDPR-u trebale odmah pregledati.
Koja je razlika između voditelja obrade podataka i izvršitelja obrade podataka prema GDPR-u?
Voditelj obrade podataka je svaki subjekt koji određuje svrhe i sredstva obrade osobnih podataka. Izvršitelj obrade podataka je svaki subjekt koji obrađuje osobne podatke u ime voditelja obrade, strogo slijedeći upute voditelja obrade [1].
Razlika se temelji na ovlasti donošenja odluka. Ako vaša organizacija odlučuje zašto se podaci prikupljaju i kako će se koristiti, vi ste voditelj obrade. Ako vaša organizacija obrađuje podatke samo zato što vam je to naložio drugi subjekt, a nemate neovisnu riječ o svrsi, vi ste izvršitelj obrade.
Praktični primjeri:
| Scenarij | Uloga |
|---|---|
| E-trgovac koji prikuplja podatke o kupnji kupaca | Voditelj obrade |
| Pružatelj usluga pohrane u oblaku koji pohranjuje bazu podataka tog trgovca | Izvršitelj obrade |
| SaaS platforma za obračun plaća koja obrađuje podatke o zaposlenicima za poslodavca | Izvršitelj obrade |
| Marketinška agencija koja izrađuje vlastiti popis potencijalnih klijenata | Voditelj obrade |
| Dobavljač CRM-a koji pristupa podacima klijenata radi pružanja podrške | Izvršitelj obrade |
ICO naglašava da oznaka u ugovoru ne određuje ulogu, već stvarno ponašanje [1]. Dobavljač koji se u ugovoru naziva "izvršiteljem obrade", ali donosi neovisne odluke o korištenju podataka, pravno je voditelj obrade bez obzira na to što ugovor kaže.
Koje su glavne odgovornosti voditelja obrade podataka prema GDPR-u?
Voditelji obrade snose najveći teret usklađenosti prema GDPR-u. Odgovorni su za cijeli životni ciklus podataka i moraju osigurati da svaki izvršitelj obrade kojeg angažiraju ispunjava GDPR standarde [3].
Osnovne obveze voditelja obrade uključuju:
- Uspostavljanje i dokumentiranje pravne osnove za svaku aktivnost obrade
- Pružanje transparentnih obavijesti o privatnosti ispitanicima
- Omogućavanje prava ispitanika, pristupa, ispravka, brisanja, prenosivosti i prigovora
- Provođenje procjena učinka na zaštitu podataka (DPIA) za obradu visokog rizika
- Imenovanje službenika za zaštitu podataka (DPO) gdje je to potrebno
- Provođenje dubinske analize prije angažiranja izvršitelja obrade i praćenje njihove kontinuirane usklađenosti
- Izvršavanje pisanog Ugovora o obradi podataka sa svakim angažiranim izvršiteljem obrade [3]
Voditelji obrade ne mogu eksternalizirati odgovornost. Čak i kada izvršitelj obrade uzrokuje povredu, voditelj obrade ostaje odgovoran nadzornim tijelima za svoj izbor izvršitelja obrade i adekvatnost ugovornih zaštitnih mjera.
Koje su glavne odgovornosti izvršitelja obrade podataka prema GDPR-u?
Izvršitelji obrade imaju izravne obveze prema GDPR-u, ne samo ugovorne, i ne mogu smatrati usklađenost isključivo problemom voditelja obrade [3].
Izravne obveze izvršitelja obrade prema GDPR-u uključuju:
- Obradu podataka samo prema dokumentiranim uputama voditelja obrade
- Provedbu odgovarajućih tehničkih i organizacijskih sigurnosnih mjera
- Vođenje evidencije svih aktivnosti obrade koje se provode u ime voditelja obrade
- Obavještavanje voditelja obrade o svakoj povredi podataka bez nepotrebnog odgađanja
- Pomaganje voditelju obrade u ispunjavanju zahtjeva ispitanika
- Brisanje ili vraćanje svih osobnih podataka po prestanku ugovora
- Angažiranje podizvršitelja obrade samo uz prethodno pisano odobrenje voditelja obrade [3]
"Izvršitelji obrade imaju izravne obveze prema GDPR-u, ne samo ugovorne obveze, i suočavaju se s regulatornom izloženošću ako djeluju izvan zakonitih uputa voditelja obrade."
Tko je odgovoran ako dođe do povrede podataka: voditelj obrade ili izvršitelj obrade?
Oboje mogu biti odgovorni, ali se opseg razlikuje. Prema članku 82. GDPR-a, svaka osoba koja pretrpi štetu zbog kršenja GDPR-a ima pravo zahtijevati naknadu štete od odgovornog voditelja obrade ili izvršitelja obrade [2].
Voditelji obrade odgovorni su za štetu uzrokovanu bilo kojom obradom koja krši GDPR. Izvršitelji obrade odgovorni su samo kada nisu poštovali obveze GDPR-a koje su izričito namijenjene izvršiteljima obrade, ili kada su djelovali izvan ili suprotno zakonitim uputama voditelja obrade [2].
Raspodjela odgovornosti u praksi:
- Ako izvršitelj obrade pretrpi povredu jer je voditelj obrade dao neadekvatne sigurnosne upute, voditelj obrade vjerojatno snosi primarnu odgovornost.
- Ako je izvršitelj obrade zanemario sigurnosne zahtjeve voditelja obrade, izvršitelj obrade snosi izravnu odgovornost.
- Oboje mogu biti solidarno odgovorni, što znači da ispitanik može tužiti bilo koju stranu za puni iznos štete, ostavljajući im da naknadno raspodijele odgovornost između sebe.
Izvršitelj obrade može izbjeći odgovornost dokazujući da nije bio kriv za događaj koji je prouzročio štetu [2]. To je visok prag: izvršitelj obrade mora dokazati potpunu usklađenost sa svojim obvezama prema GDPR-u.
Može li tvrtka biti i voditelj obrade i izvršitelj obrade u isto vrijeme?
Da. Organizacija može istovremeno djelovati kao voditelj obrade za neke aktivnosti obrade i kao izvršitelj obrade za druge, čak i unutar istog poslovnog odnosa [1].
Na primjer, agencija za digitalni marketing može djelovati kao voditelj obrade kada upravlja vlastitim podacima o zaposlenicima, a kao izvršitelj obrade kada provodi reklamne kampanje koristeći podatke o klijentima. Uloga se određuje aktivnost po aktivnost, a ne tvrtka po tvrtka.
Može li izvršitelj obrade postati voditelj obrade ako koristi podatke za vlastite svrhe?
Izvršitelj obrade automatski postaje voditelj obrade u trenutku kada koristi osobne podatke u svrhe koje nadilaze upute voditelja obrade [1]. To je jedna od najznačajnijih pogrešnih klasifikacija u praksi.
Ako dobavljač analitike u oblaku počne rudariti podatke klijenata kako bi obučavao vlastite AI modele bez ovlaštenja, izašao je iz uloge izvršitelja obrade i preuzeo status voditelja obrade za tu aktivnost, sa svim pratećim obvezama prema GDPR-u i izloženošću odgovornosti. Nijedna ugovorna klauzula ne može spriječiti ovu reklasifikaciju; to je činjenično pitanje, a ne pitanje dogovora.
Kako ugovori o obradi podataka štite izvršitelje obrade od odgovornosti?
Ugovor o obradi podataka (DPA) je obvezan pravni instrument prema GDPR-u kad god voditelj obrade angažira izvršitelja obrade [3]. Za izvršitelje obrade, dobro sastavljen DPA primarni je mehanizam za ograničavanje izloženosti odgovornosti.
Usklađen DPA mora specificirati:
- Predmet, trajanje, prirodu i svrhu obrade
- Vrstu osobnih podataka i kategorije ispitanika
- Obveze i prava voditelja obrade
- Zahtjeve povjerljivosti za ovlašteno osoblje
- Sigurnosne mjere koje treba provesti
- Uvjete za angažiranje podizvršitelja obrade
- Postupke za vraćanje ili brisanje podataka po isteku ugovora [3]
Kada izvršitelj obrade djeluje strogo unutar opsega DPA-a, odgovornost za bilo kakvu nastalu štetu pretežno prelazi na voditelja obrade. Suprotno tome, ako izvršitelj obrade prekorači te upute, DPA postaje dokaz odstupanja, a ne štit.
Što se događa ako izvršitelj obrade krši pravila GDPR-a?
Izvršitelji obrade koji krše GDPR suočavaju se i s regulatornim kaznama i s građanskom odgovornošću za štetu. Nadzorna tijela mogu izravno izreći administrativne kazne izvršiteljima obrade, do 20 milijuna EUR ili 4% globalnog godišnjeg prometa za najozbiljnija kršenja, ovisno o tome što je više [2].
Osim novčanih kazni, izvršitelji obrade suočavaju se s tužbama prema članku 82. od ispitanika koji su pretrpjeli štetu. Također se mogu suočiti s ugovornom odgovornošću prema voditelju obrade prema DPA-u, uključujući obveze obeštećenja.
Trebaju li izvršitelji obrade vlastitog službenika za zaštitu podataka?
Izvršitelji obrade podliježu istim pragovima za imenovanje DPO-a kao i voditelji obrade. Izvršitelj obrade mora imenovati DPO-a ako provodi opsežno, sustavno praćenje pojedinaca ili obrađuje posebne kategorije podataka ili podatke o kaznenim osudama u velikom opsegu [1].
Biti izvršitelj obrade ne izuzima organizaciju od zahtjeva za DPO-om. Mnogi veliki pružatelji usluga u oblaku i SaaS platforme koje djeluju kao izvršitelji obrade moraju imati DPO upravo zbog količine i osjetljivosti podataka koje obrađuju.
Koja je razlika u GDPR kaznama između voditelja obrade i izvršitelja obrade?
Dvostupanjska struktura kazni GDPR-a primjenjuje se jednako na voditelje obrade i izvršitelje obrade. Prvi stupanj pokriva manje ozbiljna kršenja (do 10 milijuna EUR ili 2% globalnog prometa); drugi stupanj pokriva najozbiljnija kršenja, uključujući nezakonitu obradu i nepoštivanje prava ispitanika (do 20 milijuna EUR ili 4% globalnog prometa) [2].
Ne postoji zakonski popust za izvršitelje obrade. Međutim, u praksi, nadzorna tijela procjenjuju krivnju, suradnju i prirodu kršenja prilikom određivanja iznosa kazne, čimbenike koji mogu rezultirati različitim ishodima za voditelje obrade u odnosu na izvršitelje obrade u istom incidentu.
Imaju li podizvršitelji obrade drugačiju odgovornost od glavnih izvršitelja obrade?
Podizvršitelji obrade snose iste obveze prema GDPR-u kao i glavni izvršitelji obrade, ali su ugovorno vezani za glavnog izvršitelja obrade, a ne izravno za voditelja obrade. Ključna razlika: glavni izvršitelj obrade ostaje u potpunosti odgovoran voditelju obrade za rad podizvršitelja obrade [3].
Ako podizvršitelj obrade uzrokuje povredu, pravni lijek voditelja obrade usmjeren je protiv glavnog izvršitelja obrade. Glavni izvršitelj obrade tada mora zasebno tužiti podizvršitelja obrade. Podizvršitelji obrade također se mogu suočiti s izravnim regulatornim mjerama nadzornih tijela zbog vlastitih kršenja GDPR-a.
Pravila za podizvršitelje obrade na prvi pogled:
- Prije angažiranja bilo kojeg podizvršitelja obrade potrebno je prethodno pisano odobrenje voditelja obrade
- Glavni izvršitelj obrade mora nametnuti podizvršitelju obrade jednake obveze zaštite podataka
- Glavni izvršitelj obrade ne može izbjeći odgovornost pozivajući se na krivnju podizvršitelja obrade
Kako odrediti jeste li voditelj obrade ili izvršitelj obrade za svoje poslovanje?
Određivanje se svodi na jedno pitanje: odlučuje li vaša organizacija neovisno zašto se osobni podaci obrađuju? Ako da, vi ste voditelj obrade. Ako obrađujete podatke samo zato što vam je to naložio drugi subjekt, a nemate neovisnu svrhu, vi ste izvršitelj obrade [1].
Praktična kontrolna lista za odluku:
- Tko je uopće odlučio prikupiti ove podatke?
- Tko je odredio za što će se podaci koristiti?
- Ima li vaša organizacija diskrecijsko pravo o tome kako se podaci obrađuju, ili slijedite specifikacije druge strane?
- Bi li se obrada zaustavila ako bi druga strana povukla svoje upute?
- Koristite li podatke u bilo koju svrhu koja neovisno koristi vašoj organizaciji?
Ako vaši odgovori na ova pitanja ukazuju na različite smjerove, možda ste zajednički voditelj obrade, situacija koja zahtijeva poseban sporazum o transparentnosti s drugom stranom [1].
Koje su uobičajene pogreške koje tvrtke čine s ulogama voditelja obrade i izvršitelja obrade?
Pogrešna klasifikacija je najčešća pogreška i nosi stvarne posljedice za usklađenost. Organizacije često pretpostavljaju da ih naziv "dobavljač" ili "pružatelj usluga" u ugovoru čini izvršiteljem obrade, dok ih njihovo stvarno ponašanje kvalificira kao voditelja obrade.
Druge česte pogreške:
- Preskakanje DPA-a: Voditelji obrade koji angažiraju izvršitelje obrade bez pisanog DPA-a izravno krše GDPR, bez obzira na to koliko su sigurni sustavi izvršitelja obrade.
- Propust u provjeri podizvršitelja obrade: Voditelji obrade često zanemaruju da je njihov izvršitelj obrade angažirao podizvršitelje obrade bez ovlaštenja ili ekvivalentnih ugovornih zaštita.
- Pretpostavka da izvršitelji obrade rješavaju prava ispitanika: Voditelji obrade ostaju odgovorni za odgovaranje na zahtjeve ispitanika; izvršitelji obrade samo pomažu.
- Ignoriranje rizika reklasifikacije: Izvršitelji obrade koji proširuju svoje usluge i počinju koristiti podatke klijenata za analitiku, obuku modela ili usporedbu mogu nenamjerno postati voditelji obrade, a da ne prepoznaju promjenu.
Za organizacije koje upravljaju pristankom i protokom podataka na web stranicama i digitalnim svojstvima, platforma za upravljanje pristankom kao što je Biscotti CMP može pomoći voditeljima obrade u dokumentiranju zakonitih osnova i upravljanju evidencijama pristanka, što je temeljni element odgovornosti voditelja obrade prema GDPR-u.
Kako bi mala tvrtka trebala rješavati odgovornosti voditelja obrade naspram izvršitelja obrade?
Male tvrtke nisu izuzete od okvira voditelj-izvršitelj obrade GDPR-a. Ako mala tvrtka prikuplja podatke o kupcima, čak i samo adrese e-pošte za newsletter, ona je voditelj obrade i mora se pridržavati svih obveza voditelja obrade.
Praktični koraci za male tvrtke:
- Mapirajte svaki alat ili dobavljača koji obrađuje osobne podatke u vaše ime (platforme za e-poštu, alati za analitiku, procesori plaćanja, CRM-ovi).
- Potvrdite postoji li potpisani DPA sa svakim dobavljačem.
- Provjerite ispunjava li DPA svakog dobavljača minimalne zahtjeve GDPR-a.
- Objavite usklađenu obavijest o privatnosti koja točno opisuje vaše aktivnosti obrade.
- Uspostavite postupak za odgovaranje na zahtjeve ispitanika unutar zakonskog roka od 30 dana.
Zakon o podacima (uporaba i pristup) Ujedinjenog Kraljevstva iz 2026., koji je dobio kraljevsku suglasnost 19. lipnja 2026., uvodi daljnje izmjene zakona o zaštiti podataka koje bi male tvrtke sa sjedištem u Ujedinjenom Kraljevstvu trebale pregledati s pravnim savjetnikom kako bi osigurale da njihove obveze voditelja obrade ostanu aktualne [1].
Često postavljana pitanja
P: Je li SaaS tvrtka uvijek izvršitelj obrade? SaaS tvrtka je izvršitelj obrade samo kada obrađuje osobne podatke strogo u ime svojih klijenata i bez neovisne svrhe. Ako koristi podatke klijenata za vlastitu analitiku, poboljšanje proizvoda ili marketing, postaje voditelj obrade za te aktivnosti.
P: Treba li se izvršitelj obrade registrirati kod nadzornog tijela? Zahtjevi za registraciju razlikuju se ovisno o državi članici EU-a. Međutim, izvršitelji obrade moraju voditi interne evidencije aktivnosti obrade (RoPA) prema članku 30. GDPR-a ako zapošljavaju 250 ili više osoba, ili ako obrada vjerojatno rezultira rizikom za ispitanike.
P: Može li izvršitelj obrade odbiti uputu voditelja obrade? Da, ako bi slijeđenje upute zahtijevalo od izvršitelja obrade da prekrši GDPR. U takvim slučajevima, izvršitelj obrade treba obavijestiti voditelja obrade i, ako se uputa ne ispravi, možda će morati prekinuti odnos.
P: Što je aranžman zajedničkih voditelja obrade? Zajednički voditelji obrade postoje kada dva ili više subjekata zajednički određuju svrhe i sredstva obrade. Moraju dokumentirati svoje odgovornosti u transparentnom aranžmanu i učiniti bit tog aranžmana dostupnom ispitanicima [1].
P: Koliko dugo DPA mora ostati na snazi? DPA bi trebao ostati na snazi tijekom trajanja odnosa obrade. Po prestanku, on regulira obvezu izvršitelja obrade da izbriše ili vrati sve osobne podatke.
P: Jesu li izvršitelji obrade odgovorni za kazne izrečene voditeljima obrade? Ne. Kazne se izriču subjektu koji je počinio kršenje. Međutim, izvršitelji obrade mogu se suočiti s odvojenim kaznama za vlastita kršenja, a mogu se suočiti i sa zahtjevima za obeštećenje od voditelja obrade prema DPA-u.
P: Primjenjuje li se GDPR na izvršitelje obrade koji se nalaze izvan EU-a? Da. GDPR se primjenjuje na izvršitelje obrade izvan EU-a kada obrađuju osobne podatke stanovnika EU-a u ime voditelja obrade sa sjedištem u EU-u, ili kada su inače podložni teritorijalnom opsegu GDPR-a prema članku 3.
P: Koja je razlika između DPA-a i Standardnih ugovornih klauzula? DPA regulira odnos voditelj-izvršitelj obrade na domaćoj razini. Standardne ugovorne klauzule (SCC) su specifični ugovorni mehanizmi za prijenos osobnih podataka u treće zemlje izvan EU/EGP-a koje nemaju odluku o primjerenosti.
Zaključak
Voditelj obrade naspram izvršitelja obrade: Razumijevanje vaše odgovornosti prema GDPR-u nije apstraktna pravna vježba, ona određuje tko se suočava s regulatornim kaznama, tko nadoknađuje štetu ispitanicima i tko je odgovoran nadzornim tijelima kada nešto pođe po zlu. Razlika se temelji na činjeničnom pitanju o ovlasti donošenja odluka, a ne na ugovornim oznakama.
Mogući sljedeći koraci:
- Provedite vježbu mapiranja podataka kako biste identificirali svaku aktivnost obrade i ulogu vaše organizacije u svakoj.
- Revidirajte postojeće ugovore s dobavljačima kako biste potvrdili da su na snazi usklađeni DPA-i sa svakim izvršiteljem obrade kojeg angažirate.
- Pregledajte aranžmane s podizvršiteljima obrade kako biste osigurali da postoji prethodno odobrenje i da su nametnute jednake obveze.
- Ako djelujete i kao voditelj obrade i kao izvršitelj obrade u različitim aktivnostima, dokumentirajte svaku ulogu zasebno.
- Za organizacije u Ujedinjenom Kraljevstvu, pregledajte implikacije Zakona o podacima (uporaba i pristup) iz 2026. s kvalificiranim pravnim savjetnikom.
- Implementirajte rješenje za upravljanje pristankom kao što je Biscotti CMP za održavanje revidiranih evidencija pristanka i podršku vašim obvezama voditelja obrade.
Pogrešna klasifikacija nije tehnička pojedinost, to je jaz u usklađenosti s izravnim financijskim i reputacijskim posljedicama. Ispravno postavljanje uloga od samog početka najisplativije je ulaganje u GDPR koje svaka organizacija može napraviti.
Reference
[1] Što su voditelji obrade i izvršitelji obrade - https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/controllers-and-processors/controllers-and-processors/what-are-controllers-and-processors/?utm_source=openai
[2] Članak 82. GDPR-a - https://gdpr-info.eu/art-82-gdpr/?utm_source=openai
[3] Odnosi voditelja obrade i izvršitelja obrade - https://dataprotection.ie/en/organisations/know-your-obligations/controller-and-processor-relationships?utm_source=openai