Ātrā atbilde: Saskaņā ar GDPR datu kontrolieris nosaka, kāpēc un kā tiek apstrādāti personas dati, savukārt datu apstrādātājs apstrādā datus tikai pēc kontroliera norādījumiem. Atbildība būtiski atšķiras: kontrolieri uzņemas visplašāko atbildību, savukārt apstrādātāji saskaras ar tiešu atbildību tikai tad, ja viņi rīkojas ārpus likumīgām norādēm vai pārkāpj GDPR pienākumus, kas tieši attiecas uz viņiem.
Galvenie secinājumi
- Datu kontrolieris nosaka apstrādes mērķus un līdzekļus; datu apstrādātājs rīkojas kontroliera vārdā.
- Kontrolieri uzņemas galveno GDPR atbildību; apstrādātāji saskaras ar tiešu atbildību saskaņā ar 82. pantu tikai noteiktos apstākļos.
- Abas lomas var pastāvēt vienlaikus vienā organizācijā, uzņēmums var būt kontrolieris saviem klientiem un apstrādātājs citam uzņēmumam.
- Juridiski saistoša Datu apstrādes vienošanās (DPA) ir obligāta, kad kontrolieris nodarbina apstrādātāju.
- Apakšapstrādātājiem nepieciešama iepriekšēja rakstiska atļauja no kontroliera; galvenais apstrādātājs paliek pilnībā atbildīgs par apakšapstrādātāja rīcību.
- Nepareiza lomas klasifikācija ir atbilstības risks, kas var pakļaut jūsu organizāciju regulējošām sankcijām.
- Apstrādātāji, kuri izmanto personas datus saviem mērķiem, automātiski kļūst par kontrolieriem attiecīgajā apstrādes aktivitātē.
- Apvienotās Karalistes Datu (izmantošanas un piekļuves) likums 2026. gadā ievieš papildu izmaiņas, kuras organizācijām, kas darbojas saskaņā ar UK GDPR, būtu jāizskata nekavējoties.
Kāda ir atšķirība starp datu kontrolieri un datu apstrādātāju saskaņā ar GDPR?
Datu kontrolieris ir jebkura juridiska persona, kas nosaka personas datu apstrādes mērķus un līdzekļus. Datu apstrādātājs ir jebkura juridiska persona, kas apstrādā personas datus kontroliera vārdā, stingri ievērojot kontroliera norādījumus [1].
Atšķirība balstās uz lēmumu pieņemšanas autoritāti. Ja jūsu organizācija nosaka kāpēc dati tiek vākti un kā tie tiks izmantoti, jūs esat kontrolieris. Ja jūsu organizācija tikai apstrādā datus, jo cita juridiska persona ir jums to norādījusi, un jums nav neatkarīgas teikšanas par mērķi, jūs esat apstrādātājs.
Praktiski piemēri:
| Scenārijs | Loma |
|---|---|
| E-komercijas mazumtirgotājs, kas vāc klientu pirkumu datus | Kontrolieris |
| Mākonis hostinga pakalpojumu sniedzējs, kas glabā šī mazumtirgotāja datu bāzi | Apstrādātājs |
| Algoritmu SaaS platforma, kas apstrādā darbinieku datus darba devējam | Apstrādātājs |
| Mārketinga aģentūra, kas veido savu potenciālo klientu sarakstu | Kontrolieris |
| CRM piegādātājs, kas piekļūst klientu datiem, lai sniegtu atbalstu | Apstrādātājs |
ICO uzsver, ka līguma nosaukums nenosaka lomu, bet gan faktiskā rīcība [1]. Piegādātājs, kurš līgumā tiek saukts par "apstrādātāju", bet pieņem neatkarīgus lēmumus par datu izmantošanu, juridiski ir kontrolieris neatkarīgi no tā, ko saka vienošanās.
Kādas ir galvenās datu kontroliera atbildības saskaņā ar GDPR?
Kontrolieri uzņemas vissmagāko atbilstības slogu saskaņā ar GDPR. Viņi ir atbildīgi par visu datu dzīves ciklu un ir jānodrošina, ka jebkurš apstrādātājs, ko viņi nodarbina, atbilst GDPR standartiem [3].
Galvenās kontroliera saistības ietver:
- Katrai apstrādes aktivitātei izveidot un dokumentēt likumīgu pamatu
- Nodrošināt caurspīdīgas privātuma paziņojumus datu subjektiem
- Atvieglot datu subjektu tiesības, piekļuvi, labošanu, dzēšanu, pārnesamību un iebildumus
- Veikt Datu aizsardzības ietekmes novērtējumus (DPIA) augsta riska apstrādei
- Ieviest Datu aizsardzības speciālista (DPO) iecelšanu, ja nepieciešams
- Veikt rūpīgu pārbaudi pirms apstrādātāju nodarbināšanas un uzraudzīt viņu nepārtrauktu atbilstību
- Izpildīt rakstisku Datu apstrādes vienošanos ar katru nodarbināto apstrādātāju [3]
Kontrolieri nevar deleģēt atbildību. Pat ja apstrādātājs izraisa pārkāpumu, kontrolieris paliek atbildīgs uzraudzības iestādēm par savu izvēli attiecībā uz apstrādātāju un līguma aizsardzības pasākumu atbilstību.
Kādas ir galvenās datu apstrādātāja atbildības saskaņā ar GDPR?
Apstrādātājiem ir tiešas GDPR saistības, ne tikai līgumiskas, un viņi nevar uzskatīt atbilstību par kontroliera problēmu vien [3].
Tiešās apstrādātāja saistības saskaņā ar GDPR ietver:
- Apstrādāt datus tikai saskaņā ar dokumentētām kontroliera norādēm
- Ieviest atbilstošus tehniskos un organizatoriskos drošības pasākumus
- Uzturēt ierakstus par visām apstrādes aktivitātēm, kas veiktas kontroliera vārdā
- Paziņot kontrolierim par jebkuru datu pārkāpumu bez nepamatotas kavēšanās
- Palīdzēt kontrolierim izpildīt datu subjektu tiesību pieprasījumus
- Dzēst vai atgriezt visus personas datus pēc līguma izbeigšanas
- Nodarbina apakšapstrādātājus tikai ar iepriekšēju rakstisku atļauju no kontroliera [3]
"Apstrādātājiem ir tiešas saistības saskaņā ar GDPR, ne tikai līgumiskas pienākumi, un viņi saskaras ar regulējošu risku, ja rīkojas ārpus kontroliera likumīgajām norādēm."
Kas ir atbildīgs, ja notiek datu pārkāpums: kontrolieris vai apstrādātājs?
Abi var būt atbildīgi, bet apjoms atšķiras. Saskaņā ar 82. pantu GDPR, ikvienai personai, kas cieš no GDPR pārkāpuma, ir tiesības pieprasīt kompensāciju no atbildīgā kontroliera vai apstrādātāja [2].
Kontrolieri ir atbildīgi par zaudējumiem, ko izraisa jebkura apstrāde, kas pārkāpj GDPR. Apstrādātāji ir atbildīgi tikai tad, ja viņi nav izpildījuši GDPR pienākumus, kas tieši attiecas uz apstrādātājiem, vai ja viņi rīkojas ārpus vai pret kontroliera likumīgajām norādēm [2].
Atbildības sadalījums praksē:
- Ja apstrādātājs cieš no pārkāpuma, jo kontrolieris sniedza nepietiekamas drošības norādes, kontrolieris, visticamāk, uzņemas galveno atbildību.
- Ja apstrādātājs ignorēja kontroliera drošības prasības, apstrādātājs uzņemas tiešu atbildību.
- Abi var būt kopīgi un solidāri atbildīgi, kas nozīmē, ka datu subjekts var vērsties pie jebkuras puses par pilnu zaudējumu summu, atstājot viņiem sadalīt atbildību starp sevi vēlāk.
Apstrādātājs var izvairīties no atbildības, pierādot, ka tas nebija vainojams notikumā, kas izraisīja zaudējumus [2]. Tas ir augsts slieksnis: apstrādātājam jāparāda pilnīga atbilstība saviem GDPR pienākumiem.
Vai uzņēmums var būt gan kontrolieris, gan apstrādātājs vienlaikus?
Jā. Organizācija var vienlaikus darboties kā kontrolieris dažām apstrādes aktivitātēm un kā apstrādātājs citām, pat vienā un tajā pašā biznesa attiecībā [1].
Piemēram, digitālā mārketinga aģentūra var darboties kā kontrolieris, kad tā pārvalda savus darbinieku HR datus, un kā apstrādātājs, kad tā veic reklāmas kampaņas, izmantojot klienta klientu datus. Loma tiek noteikta aktivitāte pēc aktivitātes, nevis uzņēmums pēc uzņēmuma.
Vai apstrādātājs var kļūt par kontrolieri, ja viņš izmanto datus saviem mērķiem?
Apstrādātājs automātiski kļūst par kontrolieri brīdī, kad tas izmanto personas datus mērķiem, kas pārsniedz kontroliera norādījumus [1]. Tas ir viens no visbūtiskākajiem nepareizās klasifikācijas gadījumiem praksē.
Ja mākonis analītikas piegādātājs sāk iegūt klientu datus, lai apmācītu savus AI modeļus bez atļaujas, tas ir izkāpis ārpus apstrādātāja lomas un pieņēmis kontroliera statusu attiecīgajā aktivitātē, ar visām pievienotajām GDPR saistībām un atbildības risku. Neviena līguma klauzula nevar novērst šo pārklasifikāciju; tas ir fakts, nevis vienošanās.
Kā Datu apstrādes vienošanās aizsargā apstrādātājus no atbildības?
Datu apstrādes vienošanās (DPA) ir obligāts juridisks instruments saskaņā ar GDPR, kad kontrolieris nodarbina apstrādātāju [3]. Apstrādātājiem labi izstrādāta DPA ir galvenais mehānisms, lai ierobežotu atbildības risku.
Atbilstošai DPA jānorāda:
- Apstrādes priekšmets, ilgums, raksturs un mērķis
- Personas datu veids un iesaistīto datu subjektu kategorijas
- Kontroliera pienākumi un tiesības
- Konfidencialitātes prasības autorizētajam personālam
- Ieviestie drošības pasākumi
- Nosacījumi apakšapstrādātāju nodarbināšanai
- Procedūras datu atgriešanai vai dzēšanai līguma beigās [3]
Kad apstrādātājs rīkojas stingri saskaņā ar DPA ietvaru, atbildība par jebkuru radušos kaitējumu pāriet galvenokārt uz kontrolieri. Savukārt, ja apstrādātājs pārsniedz šīs norādes, DPA kļūst par novirzes pierādījumu, nevis aizsardzību.
Kas notiek, ja apstrādātājs pārkāpj GDPR noteikumus?
Apstrādātāji, kuri pārkāpj GDPR, saskaras gan ar regulējošām naudām, gan civilo atbildību par zaudējumiem. Uzraudzības iestādes var uzlikt administratīvas naudas tieši apstrādātājiem, līdz 20 miljoniem eiro vai 4% no globālā gada apgrozījuma par nopietnākajiem pārkāpumiem, atkarībā no tā, kas ir augstāks [2].
Papildus naudām apstrādātāji saskaras ar prasībām saskaņā ar 82. pantu no datu subjektiem, kuri cietuši kaitējumu. Viņi var saskarties arī ar līgumisko atbildību pret kontrolieri saskaņā ar DPA, tostarp atlīdzināšanas pienākumiem.
Vai apstrādātājiem nepieciešams savs datu aizsardzības speciālists?
Apstrādātājiem ir jāievēro tādi paši DPO iecelšanas sliekšņi kā kontrolieriem. Apstrādātājam jāieceļ DPO, ja tas veic plaša mēroga, sistemātisku indivīdu uzraudzību vai apstrādā īpašas datu kategorijas vai kriminālsodu datus plašā mērogā [1].
Būt apstrādātājam neizslēdz organizāciju no DPO prasības. Daudzi lielie mākonis pakalpojumu sniedzēji un SaaS platformas, kas darbojas kā apstrādātāji, ir spiesti uzturēt DPO tieši tāpēc, ka viņi apstrādā lielu apjomu un jutīgus datus.
Kāda ir atšķirība starp GDPR naudām kontrolieriem un apstrādātājiem?
GDPR divu līmeņu naudas struktūra attiecas vienādi uz kontrolieriem un apstrādātājiem. Pirmais līmenis aptver mazāk nopietnus pārkāpumus (līdz 10 miljoniem eiro vai 2% no globālā apgrozījuma); otrais līmenis aptver nopietnākos pārkāpumus, tostarp nelikumīgu apstrādi un datu subjektu tiesību neievērošanu (līdz 20 miljoniem eiro vai 4% no globālā apgrozījuma) [2].
Nav likumīgas atlaides apstrādātājiem. Tomēr praksē uzraudzības iestādes izvērtē vainu, sadarbību un pārkāpuma raksturu, nosakot naudas apmērus, faktorus, kas var novest pie atšķirīgiem iznākumiem kontrolieriem un apstrādātājiem tajā pašā incidentā.
Vai apakšapstrādātājiem ir atšķirīga atbildība nekā galvenajiem apstrādātājiem?
Apakšapstrādātājiem ir tādas pašas GDPR saistības kā galvenajiem apstrādātājiem, bet viņi ir līgumiski saistīti ar galveno apstrādātāju, nevis tieši ar kontrolieri. Kritiskā atšķirība: galvenais apstrādātājs paliek pilnībā atbildīgs kontrolierim par apakšapstrādātāja izpildi [3].
Ja apakšapstrādātājs izraisa pārkāpumu, kontroliera juridiskā prasība vēršas pret galveno apstrādātāju. Galvenajam apstrādātājam tad jāizvirza prasība pret apakšapstrādātāju atsevišķi. Apakšapstrādātāji var saskarties arī ar tiešu regulējošu rīcību no uzraudzības iestādēm par saviem GDPR pārkāpumiem.
Apakšapstrādātāju noteikumi īsumā:
- Pirms jebkura apakšapstrādātāja nodarbināšanas nepieciešama iepriekšēja rakstiska atļauja no kontroliera
- Galvenajam apstrādātājam jāuzliek ekvivalentas datu aizsardzības saistības apakšapstrādātājam
- Galvenais apstrādātājs nevar izvairīties no atbildības, norādot uz apakšapstrādātāja vainu
Kā noteikt, vai esat kontrolieris vai apstrādātājs savā biznesā?
Noteikšana balstās uz vienu jautājumu: vai jūsu organizācija patstāvīgi nosaka kāpēc tiek apstrādāti personas dati? Ja jā, jūs esat kontrolieris. Ja jūs tikai apstrādājat datus, jo cita juridiska persona ir jums to norādījusi, un jums nav neatkarīga mērķa, jūs esat apstrādātājs [1].
Praktiska lēmumu pārbaude:
- Kas vispirms nolēma vākt šos datus?
- Kas noteica, kādiem mērķiem dati tiks izmantoti?
- Vai jūsu organizācija ir brīva, kā dati tiek apstrādāti, vai jūs sekojat citas puses specifikācijām?
- Vai apstrāde apstāsies, ja otra puse atsauks savas norādes?
- Vai jūs izmantojat datus jebkuriem mērķiem, kas neatkarīgi gūst labumu jūsu organizācijai?
Ja jūsu atbildes norāda uz dažādām virzieniem šajos jautājumos, jūs varat būt kopīgs kontrolieris, situācija, kas prasa atsevišķu caurspīdīguma vienošanos ar otru pusi [1].
Kādas ir biežākās kļūdas, ko uzņēmumi pieļauj ar kontroliera un apstrādātāja lomām?
Nepareiza klasifikācija ir visizplatītākā kļūda, un tai ir reālas atbilstības sekas. Organizācijas bieži pieņem, ka nosaukums "piegādātājs" vai "pakalpojumu sniedzējs" līgumā padara viņus par apstrādātāju, kad viņu faktiskā rīcība kvalificē viņus kā kontrolierus.
Citas bieži sastopamas kļūdas:
- Izlaist DPA: Kontrolieri, kas nodarbina apstrādātājus bez rakstiskas DPA, tieši pārkāpj GDPR, neatkarīgi no tā, cik drošas ir apstrādātāja sistēmas.
- Nespēja pārbaudīt apakšapstrādātājus: Kontrolieri bieži aizmirst, ka viņu apstrādātājs ir nodarbinājis apakšapstrādātājus bez atļaujas vai ekvivalentām līgumiskām aizsardzībām.
- Pieņemot, ka apstrādātāji apstrādā datu subjektu tiesības: Kontrolieri paliek atbildīgi par atbildēšanu uz datu subjektu pieprasījumiem; apstrādātāji tikai palīdz.
- Noraidot pārklasifikācijas risku: Apstrādātāji, kuri paplašina savus pakalpojumus un sāk izmantot klientu datus analītikai, modeļu apmācībai vai salīdzināšanai, var neapzināti kļūt par kontrolieriem, neatzīstot šo maiņu.
Organizācijām, kas pārvalda piekrišanu un datu plūsmas visā tīmekļa vietnēs un digitālajās īpašībās, piekrišanas pārvaldības platforma, piemēram, Biscotti CMP, var palīdzēt kontrolieriem dokumentēt likumīgus pamatus un pārvaldīt piekrišanas ierakstus, kas ir pamatelements kontroliera atbildībai saskaņā ar GDPR.
Kā mazajam uzņēmumam jārīkojas ar kontroliera un apstrādātāja pienākumiem?
Mazajiem uzņēmumiem nav atbrīvojuma no GDPR kontroliera-apstrādātāja ietvara. Ja mazais uzņēmums vāc klientu datus, pat ja tikai e-pasta adreses jaunumu vēstulēm, tas ir kontrolieris un tam jāievēro visi kontroliera pienākumi.
Praktiski soļi mazajiem uzņēmumiem:
- Kartējiet visus rīkus vai piegādātājus, kas apstrādā personas datus jūsu vārdā (e-pasta platformas, analītikas rīki, maksājumu apstrādātāji, CRM).
- Apstipriniet, vai katram piegādātājam ir parakstīta DPA.
- Pārliecinieties, ka katra piegādātāja DPA atbilst GDPR minimālajām prasībām.
- Publicējiet atbilstošu privātuma paziņojumu, kas precīzi apraksta jūsu apstrādes aktivitātes.
- Izveidojiet procesu, lai atbildētu uz datu subjektu pieprasījumiem 30 dienu likumīgajā termiņā.
Apvienotās Karalistes Datu (izmantošanas un piekļuves) likums 2026. gadā, kas saņēma karalisko apstiprinājumu 2026. gada 19. jūnijā, ievieš papildu izmaiņas datu aizsardzības likumā, kuras UK bāzētajiem mazajiem uzņēmumiem būtu jāpārskata ar juridisko konsultantu, lai nodrošinātu, ka viņu kontroliera pienākumi paliek aktuāli [1].
Biežāk uzdotie jautājumi
Q: Vai SaaS uzņēmums vienmēr ir apstrādātājs? SaaS uzņēmums ir apstrādātājs tikai tad, kad tas apstrādā personas datus stingri saviem klientiem un nevis neatkarīgiem mērķiem. Ja tas izmanto klientu datus saviem analītikas, produktu uzlabošanas vai mārketinga mērķiem, tas kļūst par kontrolieri attiecīgajās aktivitātēs.
Q: Vai apstrādātājam jāreģistrējas pie uzraudzības iestādes? Reģistrācijas prasības atšķiras atkarībā no ES dalībvalsts. Tomēr apstrādātājiem jāuztur iekšējie Apstrādes aktivitāšu ieraksti (RoPA) saskaņā ar 30. pantu GDPR, ja viņi nodarbina 250 vai vairāk cilvēku vai ja apstrāde, visticamāk, radīs risku datu subjektiem.
Q: Vai apstrādātājs var atteikties no kontroliera norādījuma? Jā, ja norādījuma izpilde prasītu apstrādātājam pārkāpt GDPR. Šādos gadījumos apstrādātājam jāinformē kontrolieris un, ja norādījums netiek labots, var būt nepieciešams pārtraukt attiecības.
Q: Kas ir kopīga kontroliera vienošanās? Kopīgi kontrolieri pastāv, kad divas vai vairākas juridiskas personas kopīgi nosaka apstrādes mērķus un līdzekļus. Viņiem jādocumentē savas attiecīgās atbildības caurspīdīgā vienošanās un jānodrošina, ka šīs vienošanās būtība ir pieejama datu subjektiem [1].
Q: Cik ilgi DPA jāpaliek spēkā? DPA jāpaliek spēkā visu apstrādes attiecību ilgumu. Pēc izbeigšanas tā nosaka apstrādātāja pienākumu dzēst vai atgriezt visus personas datus.
Q: Vai apstrādātāji ir atbildīgi par naudām, kas uzliktas kontrolieriem? Nē. Naudas tiek piemērotas pret juridisko personu, kas izdarījusi pārkāpumu. Tomēr apstrādātāji var saskarties ar atsevišķām naudām par saviem pārkāpumiem un var saskarties ar atlīdzināšanas prasībām no kontrolieriem saskaņā ar DPA.
Q: Vai GDPR attiecas uz apstrādātājiem, kas atrodas ārpus ES? Jā. GDPR attiecas uz apstrādātājiem ārpus ES, kad viņi apstrādā personas datus par ES iedzīvotājiem kontroliera vārdā, vai kad viņi citādi ir pakļauti GDPR teritoriālajam darbības jomam saskaņā ar 3. pantu.
Q: Kāda ir atšķirība starp DPA un Standarta līgumiskajām klauzulām? DPA regulē kontroliera-apstrādātāja attiecības iekšzemē. Standarta līgumiskās klauzulas (SCC) ir specifiski līgumiskie mehānismi, lai pārsūtītu personas datus uz trešām valstīm ārpus ES/EEA, kurām nav atbilstības lēmuma.
Secinājums
Kontrolieris pret apstrādātāju: izpratne par jūsu atbildību saskaņā ar GDPR nav abstrakta juridiska nodarbība, tā nosaka, kurš saskaras ar regulējošām naudām, kurš kompensē datu subjektus un kurš ir atbildīgs uzraudzības iestādēm, kad kaut kas noiet greizi. Atšķirība balstās uz faktisku jautājumu par lēmumu pieņemšanas autoritāti, nevis uz līguma nosaukumiem.
Rīcības soļi:
- Veiciet datu kartēšanas vingrinājumu, lai identificētu katru apstrādes aktivitāti un jūsu organizācijas lomu katrā.
- Audita esošos piegādātāju līgumus, lai apstiprinātu, ka ar katru nodarbināto apstrādātāju ir noslēgtas atbilstošas DPA.
- Pārskatiet apakšapstrādātāju vienošanās, lai nodrošinātu, ka iepriekšēja atļauja pastāv un ekvivalentas saistības tiek uzliktas.
- Ja jūs darbojaties kā kontrolieris un apstrādātājs dažādās aktivitātēs, dokumentējiet katru lomu atsevišķi.
- UK organizācijām jāpārskata Datu (izmantošanas un piekļuves) likuma 2026. gada ietekme ar kvalificētu juridisko konsultantu.
- Izmantojiet piekrišanas pārvaldības risinājumu, piemēram, Biscotti CMP, lai uzturētu auditable piekrišanas ierakstus un atbalstītu savas kontroliera saistības.
Nepareiza klasifikācija nav tehniska detaļa, tā ir atbilstības plaisa ar tiešām finansiālām un reputācijas sekām. Pareizu lomu noteikšana no paša sākuma ir visrentablākais GDPR ieguldījums, ko jebkura organizācija var veikt.
Atsauces
[1] What Are Controllers And Processors - https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/controllers-and-processors/controllers-and-processors/what-are-controllers-and-processors/?utm_source=openai
[2] Art 82 GDPR - https://gdpr-info.eu/art-82-gdpr/?utm_source=openai
[3] Controller And Processor Relationships - https://dataprotection.ie/en/organisations/know-your-obligations/controller-and-processor-relationships?utm_source=openai