Greitas atsakymas: Pagal GDPR, duomenų valdytojas nustato, kodėl ir kaip asmeniniai duomenys yra apdorojami, tuo tarpu duomenų apdorotojas tvarko duomenis tik pagal valdytojo nurodymus. Atsakomybė labai skiriasi: valdytojai turi plačiausią atsakomybę, o apdorotojai susiduria su tiesiogine atsakomybe tik tada, kai veikia už teisėtų nurodymų ribų arba pažeidžia konkrečiai jiems taikomas GDPR pareigas.
Pagrindiniai punktai
- Duomenų valdytojas nusprendžia apdorojimo tikslus ir priemones; duomenų apdorotojas veikia valdytojo vardu.
- Valdytojai turi pagrindinę GDPR atsakomybę; apdorotojai susiduria su tiesiogine atsakomybe pagal 82 straipsnį tik tam tikromis aplinkybėmis.
- Abu vaidmenys gali egzistuoti vienoje organizacijoje; įmonė gali būti valdytojas savo klientams ir apdorotojas kitai įmonei.
- Teisiškai privalomas Duomenų Apdorojimo Susitarimas (DPA) yra privalomas, kai valdytojas įtraukia apdorotoją.
- Subapdorotojams reikalingas išankstinis raštiškas valdytojo leidimas; pagrindinis apdorotojas lieka visiškai atsakingas už subapdorotojo veiksmus.
- Neteisingas savo vaidmens klasifikavimas yra atitikties rizika, galinti iškelti jūsų organizaciją reguliavimo baudoms.
- Apdorotojai, kurie naudoja asmeninius duomenis savo tikslams, automatiškai tampa valdytojais dėl to apdorojimo veiklos.
- JK Duomenų (Naudojimo ir Prieigos) Įstatymas 2026 m. įveda papildomus pakeitimus, kuriuos organizacijos, veikiančios pagal JK GDPR, turėtų greitai peržiūrėti.
Koks skirtumas tarp duomenų valdytojo ir duomenų apdorotojo pagal GDPR?
Duomenų valdytojas yra bet kuri organizacija, kuri nustato asmeninių duomenų apdorojimo tikslus ir priemones. Duomenų apdorotojas yra bet kuri organizacija, kuri apdoroja asmeninius duomenis valdytojo vardu, griežtai laikydamasi valdytojo nurodymų [1].
Skirtumas priklauso nuo sprendimų priėmimo teisės. Jei jūsų organizacija nusprendžia kodėl duomenys renkami ir kaip jie bus naudojami, jūs esate valdytojas. Jei jūsų organizacija tik tvarko duomenis, nes kita organizacija jums nurodė, ir jūs neturite nepriklausomo sprendimo dėl tikslo, jūs esate apdorotojas.
Praktiniai pavyzdžiai:
| Scenarijus | Vaidmuo |
|---|---|
| E. prekybos mažmenininkas, renkantis klientų pirkimo duomenis | Valdytojas |
| Debesų talpinimo paslaugų teikėjas, saugantis to mažmenininko duomenų bazę | Apdorotojas |
| Atlyginimų SaaS platforma, apdorojanti darbuotojų duomenis darbdaviui | Apdorotojas |
| Rinkodaros agentūra, kuri kuria savo potencialių klientų sąrašą | Valdytojas |
| CRM tiekėjas, kuris pasiekia klientų duomenis, kad teiktų pagalbą | Apdorotojas |
ICO pabrėžia, kad etiketė sutartyje nenustato vaidmens, o faktinis elgesys tai daro [1]. Tiekėjas, sutartyje vadinamas "apdorotoju", tačiau priimantis nepriklausomus sprendimus dėl duomenų naudojimo, teisiškai yra valdytojas, nepriklausomai nuo to, ką sako sutartis.
Kokios yra pagrindinės duomenų valdytojo atsakomybės pagal GDPR?
Valdytojai turi didžiausią atitikties naštą pagal GDPR. Jie atsako už visą duomenų gyvavimo ciklą ir turi užtikrinti, kad bet kuris apdorotojas, su kuriuo jie dirba, atitiktų GDPR standartus [3].
Pagrindinės valdytojo pareigos apima:
- Nustatyti ir dokumentuoti teisėtą pagrindą kiekvienai apdorojimo veiklai
- Teikti skaidrias privatumo nuorodas duomenų subjektams
- Palengvinti duomenų subjektų teises, prieigą, taisymą, ištrynimą, perkėlimą ir prieštaravimą
- Vykdyti Duomenų Apsaugos Poveikio Vertinimus (DPIA) didelės rizikos apdorojimui
- Skirti Duomenų Apsaugos Pareigūną (DPO), kai to reikia
- Vykdyti išankstinį patikrinimą prieš įtraukiant apdorotojus ir stebėti jų nuolatinę atitiktį
- Pasirašyti raštišką Duomenų Apdorojimo Susitarimą su kiekvienu įtrauktu apdorotoju [3]
Valdytojai negali perkelti atsakomybės. Net jei apdorotojas sukelia pažeidimą, valdytojas lieka atsakingas priežiūros institucijoms už savo pasirinkto apdorotojo pasirinkimą ir sutartinių apsaugų tinkamumą.
Kokios yra pagrindinės duomenų apdorotojo atsakomybės pagal GDPR?
Apdorotojai turi tiesiogines GDPR pareigas, o ne tik sutartines, ir negali laikyti atitikties tik valdytojo problema [3].
Tiesioginės apdorotojo pareigos pagal GDPR apima:
- Apdoroti duomenis tik pagal dokumentuotus valdytojo nurodymus
- Įgyvendinti tinkamas technines ir organizacines saugumo priemones
- Vesti visų apdorojimo veiklų, atliekamų valdytojo vardu, įrašus
- Pranešti valdytojui apie bet kokį duomenų pažeidimą be nepagrįsto delsimo
- Padėti valdytojui įgyvendinti duomenų subjektų teisių prašymus
- Ištrinti arba grąžinti visus asmeninius duomenis pasibaigus sutarties galiojimui
- Įtraukti subapdorotojus tik su išankstiniu raštišku valdytojo leidimu [3]
"Apdorotojai turi tiesiogines pareigas pagal GDPR, o ne tik sutartines pareigas, ir susiduria su reguliavimo rizika, jei veikia už valdytojo teisėtų nurodymų ribų."
Kas atsako, jei įvyksta duomenų pažeidimas: valdytojas ar apdorotojas?
Abu gali būti atsakingi, tačiau atsakomybės apimtis skiriasi. Pagal 82 straipsnį GDPR, bet kuris asmuo, kuris patyrė žalą dėl GDPR pažeidimo, turi teisę reikalauti kompensacijos iš atsakingo valdytojo ar apdorotojo [2].
Valdytojai yra atsakingi už žalą, kurią sukelia bet koks apdorojimas, pažeidžiantis GDPR. Apdorotojai yra atsakingi tik tada, kai jie nesilaiko GDPR pareigų, konkrečiai skirtų apdorotojams, arba kai veikia už valdytojo teisėtų nurodymų ribų arba jiems prieštaraujant [2].
Atsakomybės paskirstymas praktikoje:
- Jei apdorotojas patiria pažeidimą, nes valdytojas davė nepakankamus saugumo nurodymus, valdytojas greičiausiai turės pagrindinę atsakomybę.
- Jei apdorotojas ignoravo valdytojo saugumo reikalavimus, apdorotojas turės tiesioginę atsakomybę.
- Abu gali būti laikomi solidariai atsakingais, tai reiškia, kad duomenų subjektas gali reikalauti visos žalos kompensacijos iš bet kurios šalies, palikdamas joms pačioms paskirstyti atsakomybę vėliau.
Apdorotojas gali išvengti atsakomybės, įrodydamas, kad nebuvo kaltas dėl įvykio, sukėlusio žalą [2]. Tai yra aukštas barjeras: apdorotojas turi įrodyti visišką atitiktį savo GDPR pareigoms.
Ar įmonė gali būti tiek valdytojas, tiek apdorotojas tuo pačiu metu?
Taip. Organizacija gali tuo pačiu metu veikti kaip valdytojas kai kurioms apdorojimo veikloms ir kaip apdorotojas kitoms, net ir toje pačioje verslo santykyje [1].
Pavyzdžiui, skaitmeninės rinkodaros agentūra gali veikti kaip valdytojas, kai tvarko savo darbuotojų HR duomenis, ir kaip apdorotojas, kai vykdo reklamos kampanijas, naudodama kliento klientų duomenis. Vaidmuo nustatomas veikla po veiklos, o ne įmone po įmonės.
Ar apdorotojas gali tapti valdytoju, jei jis naudoja duomenis savo tikslais?
Apdorotojas automatiškai tampa valdytoju, kai tik jis naudoja asmeninius duomenis tikslais, viršijančiais valdytojo nurodymus [1]. Tai yra viena iš svarbiausių neteisingų klasifikacijų praktikoje.
Jei debesų analizės tiekėjas pradeda kasti kliento duomenis, kad apmokytų savo AI modelius be leidimo, jis peržengia apdorotojo vaidmenį ir prisiima valdytojo statusą dėl tos veiklos, su visomis atitinkamomis GDPR pareigomis ir atsakomybės rizika. Jokia sutarties nuostata negali užkirsti kelio šiai rekvalifikacijai; tai yra faktas, o ne susitarimas.
Kaip Duomenų Apdorojimo Susitarimai apsaugo apdorotojus nuo atsakomybės?
Duomenų Apdorojimo Susitarimas (DPA) yra privalomas teisinis instrumentas pagal GDPR, kai valdytojas įtraukia apdorotoją [3]. Apdorotojams gerai parengtas DPA yra pagrindinė priemonė, ribojanti atsakomybės riziką.
Atitinkantis DPA turi nurodyti:
- Apdorojimo dalyką, trukmę, pobūdį ir tikslą
- Asmeninių duomenų tipą ir duomenų subjektų kategorijas
- Valdytojo pareigas ir teises
- Konfidencialumo reikalavimus įgaliotiems asmenims
- Įgyvendinamas saugumo priemones
- Subapdorotojų įtraukimo sąlygas
- Procedūras, kaip grąžinti arba ištrinti duomenis pasibaigus sutarčiai [3]
Kai apdorotojas veikia griežtai pagal DPA ribas, atsakomybė už bet kokią žalą daugiausia perkeliama valdytojui. Priešingai, jei apdorotojas viršija tuos nurodymus, DPA tampa nuokrypio įrodymu, o ne apsauga.
Kas nutinka, jei apdorotojas pažeidžia GDPR taisykles?
Apdorotojai, kurie pažeidžia GDPR, susiduria tiek su reguliavimo baudomis, tiek su civiline atsakomybe už žalą. Priežiūros institucijos gali skirti administracines baudas tiesiogiai apdorotojams, iki 20 milijonų EUR arba 4% pasaulinio metinio apyvartos už rimčiausius pažeidimus, priklausomai nuo to, kas yra didesnis [2].
Be baudų, apdorotojai gali susidurti su reikalavimais pagal 82 straipsnį iš duomenų subjektų, kurie patyrė žalą. Jie taip pat gali susidurti su sutartine atsakomybe valdytojui pagal DPA, įskaitant kompensavimo pareigas.
Ar apdorotojams reikia savo duomenų apsaugos pareigūno?
Apdorotojai yra veikiami tokių pačių DPO skyrimo slenksčių kaip ir valdytojai. Apdorotojas turi skirti DPO, jei jis vykdo didelio masto, sisteminį asmenų stebėjimą, arba apdoroja specialių kategorijų duomenis ar nusikaltimų nuosprendžių duomenis dideliu mastu [1].
Būti apdorotoju neatleidžia organizacijos nuo DPO reikalavimo. Dauguma didelių debesų paslaugų teikėjų ir SaaS platformų, veikiančių kaip apdorotojai, privalo turėti DPO būtent dėl duomenų, kuriuos jie tvarko, apimties ir jautrumo.
Koks skirtumas tarp GDPR baudų valdytojams ir apdorotojams?
GDPR dviejų lygių baudų struktūra taikoma tiek valdytojams, tiek apdorotojams. Pirmasis lygis apima mažiau sunkius pažeidimus (iki 10 milijonų EUR arba 2% pasaulinės apyvartos); antrasis lygis apima rimčiausius pažeidimus, įskaitant neteisėtą apdorojimą ir nesugebėjimą gerbti duomenų subjektų teisių (iki 20 milijonų EUR arba 4% pasaulinės apyvartos) [2].
Nėra įstatyminio nuolaidos apdorotojams. Tačiau praktikoje priežiūros institucijos vertina kaltę, bendradarbiavimą ir pažeidimo pobūdį, nustatydamos baudų sumas, veiksnius, kurie gali lemti skirtingus rezultatus valdytojams ir apdorotojams toje pačioje situacijoje.
Ar subapdorotojai turi kitokią atsakomybę nei pagrindiniai apdorotojai?
Subapdorotojai turi tas pačias GDPR pareigas kaip ir pagrindiniai apdorotojai, tačiau yra sutartinai susiję su pagrindiniu apdorotoju, o ne tiesiogiai su valdytoju. Kritinis skirtumas: pagrindinis apdorotojas lieka visiškai atsakingas valdytojui už subapdorotojo veiklą [3].
Jei subapdorotojas sukelia pažeidimą, valdytojo teisinis ieškinys yra nukreiptas prieš pagrindinį apdorotoją. Pagrindinis apdorotojas tada turi atskirai siekti subapdorotojo. Subapdorotojai taip pat gali susidurti su tiesioginėmis reguliavimo priemonėmis iš priežiūros institucijų dėl savo pačių GDPR pažeidimų.
Subapdorotojų taisyklės trumpai:
- Prieš įtraukiant bet kurį subapdorotoją, reikalingas išankstinis raštiškas valdytojo leidimas
- Pagrindinis apdorotojas turi nustatyti lygiaverčius duomenų apsaugos įsipareigojimus subapdorotojui
- Pagrindinis apdorotojas negali išvengti atsakomybės, nurodydamas subapdorotojo kaltę
Kaip nustatyti, ar esate valdytojas, ar apdorotojas savo verslui?
Nustatymas priklauso nuo vieno klausimo: ar jūsų organizacija nepriklausomai nusprendžia kodėl asmeniniai duomenys yra apdorojami? Jei taip, jūs esate valdytojas. Jei jūs tik apdorojate duomenis, nes kita organizacija jums nurodė, ir neturite nepriklausomo tikslo, jūs esate apdorotojas [1].
Praktinis sprendimų kontrolinis sąrašas:
- Kas pirmiausia nusprendė surinkti šiuos duomenis?
- Kas nustatė, kam bus naudojami duomenys?
- Ar jūsų organizacija turi diskreciją, kaip duomenys yra apdorojami, ar jūs laikotės kitos šalies specifikacijų?
- Ar apdorojimas sustotų, jei kita šalis atšauktų savo nurodymus?
- Ar naudojate duomenis bet kokiam tikslui, kuris nepriklausomai naudinga jūsų organizacijai?
Jei jūsų atsakymai rodo skirtingas kryptis šiuose klausimuose, jūs galite būti bendras valdytojas, situacija, reikalaujanti atskiro skaidrumo susitarimo su kita šalimi [1].
Kokios yra dažnos klaidos, kurias įmonės daro su valdytojo ir apdorotojo vaidmenimis?
Neteisinga klasifikacija yra dažniausia klaida, ir ji turi realių atitikties pasekmių. Organizacijos dažnai mano, kad būti vadinamu "tiekėju" ar "paslaugų teikėju" sutartyje daro jas apdorotojais, kai jų faktinis elgesys kvalifikuoja jas kaip valdytojus.
Kitos dažnos klaidos:
- Praleidžiant DPA: Valdytojai, įtraukdami apdorotojus be raštiško DPA, tiesiogiai pažeidžia GDPR, nepriklausomai nuo to, kaip saugūs yra apdorotojo sistemos.
- Nepatvirtinant subapdorotojų: Valdytojai dažnai pamiršta, kad jų apdorotojas įtraukė subapdorotojus be leidimo ar lygiaverčių sutartinių apsaugų.
- Manant, kad apdorotojai tvarko duomenų subjektų teises: Valdytojai lieka atsakingi už atsakymus į duomenų subjektų prašymus; apdorotojai tik padeda.
- Ignoruojant rekvalifikacijos riziką: Apdorotojai, kurie plečia savo paslaugas ir pradeda naudoti kliento duomenis analizei, modelių mokymui ar palyginimui, gali netyčia tapti valdytojais, nesuvokdami šio pokyčio.
Organizacijoms, valdančioms sutikimus ir duomenų srautus per svetaines ir skaitmenines nuosavybes, sutikimų valdymo platforma, tokia kaip Biscotti CMP, gali padėti valdytojams dokumentuoti teisėtus pagrindus ir valdyti sutikimų įrašus, kurie yra pagrindinis valdytojo atsakomybės elementas pagal GDPR.
Kaip mažos įmonės turėtų tvarkyti valdytojo ir apdorotojo atsakomybes?
Mažos įmonės nėra atleistos nuo GDPR valdytojo-apdorotojo struktūros. Jei mažoji įmonė renka klientų duomenis, net jei tik el. pašto adresus naujienlaiškiui, ji yra valdytojas ir turi laikytis visų valdytojo pareigų.
Praktiniai žingsniai mažoms įmonėms:
- Nustatykite kiekvieną įrankį ar tiekėją, kuris tvarko asmeninius duomenis jūsų vardu (el. pašto platformos, analizės įrankiai, mokėjimų apdorotojai, CRM).
- Patikrinkite, ar su kiekvienu tiekėju yra pasirašytas DPA.
- Patvirtinkite, kad kiekvieno tiekėjo DPA atitinka GDPR minimalius reikalavimus.
- Paskelbkite atitinkamą privatumo pranešimą, kuris tiksliai apibūdina jūsų apdorojimo veiklas.
- Nustatykite procesą, kaip atsakyti į duomenų subjektų prašymus per 30 dienų įstatyminį laikotarpį.
JK Duomenų (Naudojimo ir Prieigos) Įstatymas 2026 m., kuris gavo karališkąjį pritarimą 2026 m. birželio 19 d., įveda papildomus pakeitimus duomenų apsaugos teisėje, kuriuos JK įsikūrusios mažos įmonės turėtų peržiūrėti su teisininku, kad užtikrintų, jog jų valdytojo pareigos išliktų aktualios [1].
Dažnai užduodami klausimai
K: Ar SaaS įmonė visada yra apdorotojas? SaaS įmonė yra apdorotojas tik tada, kai ji apdoroja asmeninius duomenis griežtai savo klientų vardu ir jokiu nepriklausomu tikslu. Jei ji naudoja klientų duomenis savo analizei, produkto tobulinimui ar rinkodarai, ji tampa valdytoju dėl tų veiklų.
K: Ar apdorotojas turi registruotis priežiūros institucijoje? Registracijos reikalavimai skiriasi pagal ES valstybes nares. Tačiau apdorotojai turi išlaikyti vidinius Apdorojimo Veiklos Įrašus (RoPA) pagal 30 straipsnį GDPR, jei jie įdarbina 250 ar daugiau žmonių, arba jei apdorojimas gali sukelti riziką duomenų subjektams.
K: Ar apdorotojas gali atsisakyti valdytojo nurodymo? Taip, jei nurodymo vykdymas reikštų, kad apdorotojas pažeistų GDPR. Tokiais atvejais apdorotojas turėtų pranešti valdytojui, o jei nurodymas nebus ištaisytas, gali tekti nutraukti santykius.
K: Kas yra bendro valdytojo susitarimas? Bendri valdytojai egzistuoja, kai dvi ar daugiau organizacijų bendrai nustato apdorojimo tikslus ir priemones. Jie turi dokumentuoti savo atitinkamas atsakomybes skaidriame susitarime ir pateikti šio susitarimo esmę duomenų subjektams [1].
K: Kiek laiko DPA turi galioti? DPA turėtų galioti visą apdorojimo santykių trukmę. Pasibaigus, ji reglamentuoja apdorotojo pareigą ištrinti arba grąžinti visus asmeninius duomenis.
K: Ar apdorotojai atsako už valdytojams skiriamas baudas? Ne. Baudos skiriamos subjektui, kuris padarė pažeidimą. Tačiau apdorotojai gali susidurti su atskiromis baudomis už savo pažeidimus ir gali susidurti su kompensavimo reikalavimais iš valdytojų pagal DPA.
K: Ar GDPR taikomas apdorotojams, esantiems už ES ribų? Taip. GDPR taikomas apdorotojams už ES ribų, kai jie apdoroja asmeninius duomenis ES gyventojų vardu, arba kai jie kitaip patenka į GDPR teritorinį taikymą pagal 3 straipsnį.
K: Koks skirtumas tarp DPA ir Standartinių Sutartinių Nuostatų? DPA reglamentuoja valdytojo-apdorotojo santykį vidaus mastu. Standartinės Sutartinės Nuostatos (SCC) yra specifinės sutartinės priemonės, skirtos asmeniniams duomenims perduoti į trečiąsias šalis už ES/EEA, kurioms trūksta tinkamumo sprendimo.
Išvada
Valdytojas vs. Apdorotojas: Supratimas apie jūsų atsakomybę pagal GDPR nėra abstrakti teisinė praktika, ji nustato, kas susiduria su reguliavimo baudomis, kas kompensuoja duomenų subjektams ir kas atsako priežiūros institucijoms, kai kas nors nepavyksta. Skirtumas priklauso nuo faktinio klausimo apie sprendimų priėmimo teisę, o ne nuo sutartinių etikečių.
Veiksmingi kiti žingsniai:
- Atlikite duomenų žemėlapiavimo pratimą, kad nustatytumėte kiekvieną apdorojimo veiklą ir jūsų organizacijos vaidmenį kiekvienoje.
- Patikrinkite esamas tiekėjų sutartis, kad patvirtintumėte, jog su kiekvienu apdorotoju yra pasirašyti atitinkami DPA.
- Peržiūrėkite subapdorotojų susitarimus, kad užtikrintumėte, jog yra gautas išankstinis leidimas ir nustatytos lygiaverčios pareigos.
- Jei veikiate kaip tiek valdytojas, tiek apdorotojas skirtingose veiklose, dokumentuokite kiekvieną vaidmenį atskirai.
- JK organizacijoms peržiūrėkite Duomenų (Naudojimo ir Prieigos) Įstatymo 2026 m. pasekmes su kvalifikuotu teisiniu patarėju.
- Įdiekite sutikimų valdymo sprendimą, tokį kaip Biscotti CMP, kad išlaikytumėte audituojamus sutikimų įrašus ir palaikytumėte savo valdytojo pareigas.
Neteisinga klasifikacija nėra techninė detalė, tai yra atitikties spraga, turinti tiesiogines finansines ir reputacijos pasekmes. Teisingai nustatyti vaidmenis nuo pat pradžių yra ekonomiškai efektyviausias GDPR investicija, kurią bet kuri organizacija gali padaryti.
Nuorodos
[1] Kas yra valdytojai ir apdorotojai - https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/controllers-and-processors/controllers-and-processors/what-are-controllers-and-processors/?utm_source=openai
[2] 82 straipsnis GDPR - https://gdpr-info.eu/art-82-gdpr/?utm_source=openai
[3] Valdytojo ir apdorotojo santykiai - https://dataprotection.ie/en/organisations/know-your-obligations/controller-and-processor-relationships?utm_source=openai