Rýchla odpoveď: Podľa GDPR správa údajov určuje, prečo a ako sa osobné údaje spracovávajú, zatiaľ čo spracovateľ údajov spracováva údaje výlučne na základe pokynov správcu. Zodpovednosť sa výrazne líši: správcovia nesú najširšiu zodpovednosť, zatiaľ čo spracovatelia čelí priamym zodpovednostiam iba vtedy, ak konajú mimo zákonných pokynov alebo porušujú povinnosti GDPR, ktoré sú im špecificky adresované.
Kľúčové poznatky
- Správca údajov rozhoduje o účeloch a prostriedkoch spracovania; spracovateľ údajov koná v mene správcu.
- Správcovia nesú primárnu zodpovednosť podľa GDPR; spracovatelia čelí priamym zodpovednostiam podľa článku 82 iba v špecifických okolnostiach.
- Obe úlohy môžu existovať súčasne v rámci jednej organizácie, spoločnosť môže byť správcom pre svojich vlastných zákazníkov a spracovateľom pre iný podnik.
- Právne záväzná Zmluva o spracovaní údajov (DPA) je povinná vždy, keď správca angažuje spracovateľa.
- Sub-spracovatelia potrebujú predchádzajúce písomné povolenie od správcu; hlavný spracovateľ zostáva plne zodpovedný za správanie sub-spracovateľa.
- Nesprávne klasifikovanie vašej úlohy predstavuje riziko dodržiavania predpisov, ktoré môže vystaviť vašu organizáciu regulačným sankciám.
- Spracovatelia, ktorí používajú osobné údaje na svoje vlastné účely, sa automaticky stávajú správcami pre túto spracovateľskú činnosť.
- Zákon Spojeného kráľovstva o údajoch (použitie a prístup) z roku 2026 zavádza ďalšie zmeny, ktoré by organizácie pôsobiace podľa GDPR Spojeného kráľovstva mali okamžite preskúmať.
Aký je rozdiel medzi správcom údajov a spracovateľom údajov podľa GDPR?
Správca údajov je akákoľvek entita, ktorá určuje účely a prostriedky spracovania osobných údajov. Spracovateľ údajov je akákoľvek entita, ktorá spracováva osobné údaje v mene správcu, striktne podľa pokynov správcu [1].
Rozlíšenie spočíva v rozhodovacej autorite. Ak vaša organizácia rozhoduje prečo sa údaje zbierajú a ako sa budú používať, ste správcom. Ak vaša organizácia iba spracováva údaje, pretože vás iná entita na to poučila, a nemáte nezávislý názor na účel, ste spracovateľom.
Praktické príklady:
| Scenár | Úloha |
|---|---|
| E-commerce predajca zbierajúci údaje o nákupoch zákazníkov | Správca |
| Poskytovateľ cloudového hostingu uchovávajúci databázu tohto predajcu | Spracovateľ |
| Platforma SaaS na spracovanie miezd spracovávajúca údaje zamestnancov pre zamestnávateľa | Spracovateľ |
| Marketingová agentúra vytvárajúca vlastný zoznam potenciálnych zákazníkov | Správca |
| Predajca CRM pristupujúci k údajom klienta na poskytovanie podpory | Spracovateľ |
ICO zdôrazňuje, že označenie v zmluve neurčuje úlohu, ale skutočné správanie [1]. Dodávateľ označený ako "spracovateľ" v zmluve, ale robí nezávislé rozhodnutia o použití údajov, je právne správcom bez ohľadu na to, čo zmluva hovorí.
Aké sú hlavné povinnosti správcu údajov podľa GDPR?
Správcovia nesú najťažšie bremeno dodržiavania predpisov podľa GDPR. Sú zodpovední za celý životný cyklus údajov a musia zabezpečiť, aby každý spracovateľ, ktorého angažujú, spĺňal normy GDPR [3].
Hlavné povinnosti správcu zahŕňajú:
- Stanovenie a zdokumentovanie zákonného základu pre každú spracovateľskú činnosť
- Poskytovanie transparentných oznámení o ochrane súkromia subjektom údajov
- Uľahčenie práv subjektov údajov, prístup, opravu, vymazanie, prenosnosť a námietku
- Vykonávanie hodnotení vplyvu na ochranu údajov (DPIA) pre spracovanie s vysokým rizikom
- Menovanie zodpovednej osoby za ochranu údajov (DPO), ak je to potrebné
- Vykonávanie náležitej starostlivosti pred angažovaním spracovateľov a monitorovanie ich neustálej súladu
- Uzatvorenie písomnej Zmluvy o spracovaní údajov s každým angažovaným spracovateľom [3]
Správcovia nemôžu delegovať zodpovednosť. Aj keď spracovateľ spôsobí porušenie, správca zostáva zodpovedný pred dozornými orgánmi za svoj výber spracovateľa a primeranosť zmluvných záruk.
Aké sú hlavné povinnosti spracovateľa údajov podľa GDPR?
Spracovatelia majú priamu zodpovednosť podľa GDPR, nie iba zmluvné, a nemôžu považovať dodržiavanie predpisov za problém správcu [3].
Priame povinnosti spracovateľa podľa GDPR zahŕňajú:
- Spracovávanie údajov iba na základe zdokumentovaných pokynov od správcu
- Implementácia vhodných technických a organizačných bezpečnostných opatrení
- Udržiavanie záznamov o všetkých spracovateľských činnostiach vykonaných v mene správcov
- Oznámenie správcovi o akomkoľvek porušení údajov bez zbytočného odkladu
- Pomoc správcovi pri plnení požiadaviek na práva subjektov údajov
- Vymazanie alebo vrátenie všetkých osobných údajov po ukončení zmluvy
- Angažovanie sub-spracovateľov iba s predchádzajúcim písomným povolením od správcu [3]
"Spracovatelia majú priamu zodpovednosť podľa GDPR, nie len zmluvné povinnosti, a čelí regulačnému riziku, ak konajú mimo zákonných pokynov správcu."
Kto je zodpovedný, ak dôjde k porušeniu údajov: správca alebo spracovateľ?
Obaja môžu byť zodpovední, ale rozsah sa líši. Podľa článku 82 GDPR má každá osoba, ktorá utrpela škodu v dôsledku porušenia GDPR, právo požadovať náhradu škody od správcu alebo spracovateľa, ktorý je zodpovedný [2].
Správcovia sú zodpovední za škody spôsobené akýmkoľvek spracovaním, ktoré porušuje GDPR. Spracovatelia sú zodpovední iba vtedy, ak nedodržali povinnosti GDPR, ktoré sú špecificky adresované spracovateľom, alebo ak konali mimo alebo v rozpore so zákonnými pokynmi správcu [2].
Prerozdelenie zodpovednosti v praxi:
- Ak spracovateľ utrpí porušenie, pretože správca dal nedostatočné bezpečnostné pokyny, správca pravdepodobne nesie primárnu zodpovednosť.
- Ak spracovateľ ignoroval bezpečnostné požiadavky správcu, spracovateľ nesie priamu zodpovednosť.
- Obe strany môžu byť zodpovedné spoločne a nerozdelene, čo znamená, že subjekt údajov môže požadovať odškodnenie od ktorejkoľvek strany za celú sumu škody, pričom si následne rozdelia zodpovednosť medzi sebou.
Spracovateľ sa môže vyhnúť zodpovednosti preukázaním, že nebol na vine za udalosť spôsobujúcu škodu [2]. Toto je vysoká latka: spracovateľ musí preukázať úplné dodržiavanie svojich povinností podľa GDPR.
Môže byť spoločnosť súčasne správcom aj spracovateľom?
Áno. Organizácia môže súčasne pôsobiť ako správca pre niektoré spracovateľské činnosti a ako spracovateľ pre iné, dokonca aj v rámci toho istého obchodného vzťahu [1].
Napríklad digitálna marketingová agentúra môže pôsobiť ako správca, keď spravuje údaje o zamestnancoch, a ako spracovateľ, keď prevádzkuje reklamné kampane pomocou údajov zákazníkov klienta. Úloha sa určuje činnosť po činnosti, nie spoločnosť po spoločnosti.
Môže sa spracovateľ stať správcom, ak používa údaje na svoje vlastné účely?
Spracovateľ sa automaticky stáva správcom v momente, keď používa osobné údaje na účely, ktoré presahujú pokyny správcu [1]. Toto je jedna z najdôležitejších nesprávnych klasifikácií v praxi.
Ak dodávateľ cloudovej analytiky začne ťažiť údaje klienta na školenie svojich vlastných AI modelov bez povolenia, vystúpil z úlohy spracovateľa a prevzal status správcu pre túto činnosť, so všetkými súvisiacimi povinnosťami a rizikom zodpovednosti podľa GDPR. Žiadna zmluvná klauzula nemôže zabrániť tejto prekvalifikácii; je to otázka faktu, nie dohody.
Ako chránia Zmluvy o spracovaní údajov spracovateľov pred zodpovednosťou?
Zmluva o spracovaní údajov (DPA) je povinný právny nástroj podľa GDPR vždy, keď správca angažuje spracovateľa [3]. Pre spracovateľov je dobre vypracovaná DPA primárnym mechanizmom na obmedzenie rizika zodpovednosti.
Vyhovujúca DPA musí špecifikovať:
- Predmet, trvanie, povahu a účel spracovania
- Typ osobných údajov a kategórie subjektov údajov zapojených
- Povinnosti a práva správcu
- Požiadavky na dôvernosť pre oprávnený personál
- Bezpečnostné opatrenia, ktoré sa majú implementovať
- Podmienky na angažovanie sub-spracovateľov
- Postupy na vrátenie alebo vymazanie údajov na konci zmluvy [3]
Keď spracovateľ koná striktne v rámci rozsahu DPA, zodpovednosť za akúkoľvek vzniknutú škodu sa prevažne prenáša na správcu. Naopak, ak spracovateľ prekročí tieto pokyny, DPA sa stáva dôkazom odchýlky, nie štítom.
Čo sa stane, ak spracovateľ poruší pravidlá GDPR?
Spracovatelia, ktorí porušujú GDPR, čelí regulačným pokutám aj občianskoprávnej zodpovednosti za škody. Dozorné orgány môžu uložiť administratívne pokuty priamo spracovateľom, až do výšky 20 miliónov EUR alebo 4% z celkového ročného obratu za najzávažnejšie porušenia, podľa toho, čo je vyššie [2].
Okrem pokút čelí spracovateľ nárokom podľa článku 82 od subjektov údajov, ktoré utrpeli škodu. Môžu tiež čeliť zmluvnej zodpovednosti voči správcovi podľa DPA, vrátane povinností na odškodnenie.
Potrebujú spracovatelia svojho vlastného zodpovedného pracovníka za ochranu údajov?
Spracovatelia podliehajú rovnakým prahom na menovanie DPO ako správcovia. Spracovateľ musí menovať DPO, ak vykonáva rozsiahle, systematické monitorovanie jednotlivcov alebo spracováva špeciálne kategórie údajov alebo údaje o trestných odsúdeniach vo veľkom rozsahu [1].
Byť spracovateľom neoslobodzuje organizáciu od požiadavky na DPO. Mnohé veľké cloudové poskytovatele a platformy SaaS, ktoré pôsobia ako spracovatelia, sú povinné udržiavať DPO práve kvôli objemu a citlivosti údajov, ktoré spracovávajú.
Aký je rozdiel v pokutách GDPR medzi správcami a spracovateľmi?
Dvojúrovňová štruktúra pokút GDPR sa vzťahuje rovnako na správcov ako aj spracovateľov. Prvá úroveň pokrýva menej závažné porušenia (až do 10 miliónov EUR alebo 2% z celkového obratu); druhá úroveň pokrýva najzávažnejšie porušenia, vrátane nezákonného spracovania a nedodržania práv subjektov údajov (až do 20 miliónov EUR alebo 4% z celkového obratu) [2].
Neexistuje zákonná zľava pre spracovateľov. Avšak v praxi dozorné orgány posudzujú vinu, spoluprácu a povahu porušenia pri určovaní výšky pokút, faktory, ktoré môžu viesť k rôznym výsledkom pre správcov a spracovateľov v rovnakom incidente.
Majú sub-spracovatelia inú zodpovednosť ako hlavní spracovatelia?
Sub-spracovatelia nesú rovnaké povinnosti podľa GDPR ako hlavní spracovatelia, ale sú zmluvne viazaní na hlavného spracovateľa, nie priamo na správcu. Kľúčové rozlíšenie: hlavný spracovateľ zostáva plne zodpovedný správcovi za výkon sub-spracovateľa [3].
Ak sub-spracovateľ spôsobí porušenie, právny prostriedok správcu sa obracia proti hlavnému spracovateľovi. Hlavný spracovateľ musí potom samostatne uplatniť nároky voči sub-spracovateľovi. Sub-spracovatelia môžu tiež čeliť priamym regulačným opatreniam od dozorných orgánov za svoje vlastné porušenia GDPR.
Pravidlá pre sub-spracovateľov na pohľad:
- Predchádzajúce písomné povolenie od správcu je potrebné pred angažovaním akéhokoľvek sub-spracovateľa
- Hlavný spracovateľ musí uložiť ekvivalentné povinnosti na ochranu údajov sub-spracovateľovi
- Hlavný spracovateľ sa nemôže vyhnúť zodpovednosti poukazovaním na chybu sub-spracovateľa
Ako určiť, či ste správcom alebo spracovateľom pre vašu firmu?
Určenie závisí od jednej otázky: rozhoduje vaša organizácia nezávisle prečo sa osobné údaje spracovávajú? Ak áno, ste správcom. Ak spracovávate údaje iba preto, že vás iná entita na to poučila, a nemáte nezávislý účel, ste spracovateľom [1].
Praktický kontrolný zoznam rozhodnutí:
- Kto sa rozhodol zbierať tieto údaje na prvom mieste?
- Kto určil, na čo sa údaje použijú?
- Má vaša organizácia voľnosť v tom, ako sa údaje spracovávajú, alebo nasledujete špecifikácie inej strany?
- Zastaví sa spracovanie, ak iná strana stiahne svoje pokyny?
- Používate údaje na akýkoľvek účel, ktorý nezávisle prospieva vašej organizácii?
Ak vaše odpovede ukazujú rôzne smerovanie v týchto otázkach, môžete byť spoločným správcom, čo si vyžaduje samostatné usporiadanie transparentnosti s druhou stranou [1].
Aké sú bežné chyby, ktoré firmy robia s úlohami správcu a spracovateľa?
Nesprávna klasifikácia je najbežnejšou chybou a nesie so sebou reálne dôsledky dodržiavania predpisov. Organizácie často predpokladajú, že označenie ako "dodávateľ" alebo "poskytovateľ služieb" v zmluve ich robí spracovateľmi, keď ich skutočné správanie ich kvalifikuje ako správcov.
Ďalšie časté chyby:
- Preskočenie DPA: Správcovia, ktorí angažujú spracovateľov bez písomnej DPA, porušujú GDPR, bez ohľadu na to, aké bezpečné sú systémy spracovateľa.
- Nedostatočné preverenie sub-spracovateľov: Správcovia často prehliadajú, že ich spracovateľ angažoval sub-spracovateľov bez povolenia alebo ekvivalentných zmluvných ochrán.
- Predpokladanie, že spracovatelia riešia práva subjektov údajov: Správcovia zostávajú zodpovední za odpovedanie na požiadavky subjektov údajov; spracovatelia iba pomáhajú.
- Ignorovanie rizika prekvalifikácie: Spracovatelia, ktorí rozširujú svoje služby a začnú používať údaje klientov na analytiku, školenie modelov alebo benchmarking, sa môžu neúmyselne stať správcami bez toho, aby si uvedomili zmenu.
Pre organizácie spravujúce súhlas a toky údajov naprieč webovými stránkami a digitálnymi vlastnosťami môže platforma na správu súhlasu, ako napríklad Biscotti CMP, pomôcť správcom zdokumentovať zákonné základy a spravovať záznamy o súhlase, čo je základný prvok zodpovednosti správcu podľa GDPR.
Ako by mala malá firma riešiť zodpovednosti správcu a spracovateľa?
Malé podniky nie sú oslobodené od rámca správcu a spracovateľa podľa GDPR. Ak malá firma zbiera údaje zákazníkov, aj len e-mailové adresy na newsletter, je správcom a musí dodržiavať všetky povinnosti správcu.
Praktické kroky pre malé podniky:
- Zmapujte každý nástroj alebo dodávateľa, ktorý spracováva osobné údaje vo vašom mene (platformy e-mailov, analytické nástroje, spracovatelia platieb, CRM).
- Potvrďte, či existuje podpísaná DPA s každým dodávateľom.
- Overte, že DPA každého dodávateľa spĺňa minimálne požiadavky GDPR.
- Publikujte vyhovujúce oznámenie o ochrane súkromia, ktoré presne popisuje vaše spracovateľské činnosti.
- Zriaďte proces na odpovedanie na požiadavky subjektov údajov v rámci 30-dňového zákonného obdobia.
Zákon Spojeného kráľovstva o údajoch (použitie a prístup) z roku 2026, ktorý získal kráľovský súhlas 19. júna 2026, zavádza ďalšie úpravy zákona o ochrane údajov, ktoré by malé podniky so sídlom v Spojenom kráľovstve mali preskúmať s právnym poradcom, aby zabezpečili, že ich povinnosti správcu zostanú aktuálne [1].
Často kladené otázky
Q: Je spoločnosť SaaS vždy spracovateľom? Spoločnosť SaaS je spracovateľom iba vtedy, keď spracováva osobné údaje výlučne v mene svojich zákazníkov a bez nezávislého účelu. Ak používa údaje zákazníkov na svoje vlastné analytiky, zlepšovanie produktov alebo marketing, stáva sa správcom pre tieto činnosti.
Q: Musí sa spracovateľ zaregistrovať u dozorného orgánu? Požiadavky na registráciu sa líšia podľa členského štátu EÚ. Avšak spracovatelia musia udržiavať interné záznamy o spracovateľských činnostiach (RoPA) podľa článku 30 GDPR, ak zamestnávajú 250 alebo viac ľudí, alebo ak spracovanie pravdepodobne spôsobí riziko pre subjekty údajov.
Q: Môže spracovateľ odmietnuť pokyn správcu? Áno, ak by dodržiavanie pokynu vyžadovalo, aby spracovateľ porušil GDPR. V takýchto prípadoch by mal spracovateľ informovať správcu a, ak sa pokyn neopraví, môže byť potrebné ukončiť vzťah.
Q: Čo je to usporiadanie spoločného správcu? Spoločné správcovia existujú, keď dve alebo viac entít spoločne určujú účely a prostriedky spracovania. Musia zdokumentovať svoje príslušné zodpovednosti v transparentnom usporiadaní a sprístupniť podstatu tohto usporiadania subjektom údajov [1].
Q: Ako dlho musí DPA zostať v platnosti? DPA by mala zostať v platnosti počas trvania spracovateľského vzťahu. Po ukončení upravuje povinnosť spracovateľa vymazať alebo vrátiť všetky osobné údaje.
Q: Sú spracovatelia zodpovední za pokuty uložené správcom? Nie. Pokuty sú uvalené na entitu, ktorá porušila predpisy. Avšak spracovatelia môžu čeliť samostatným pokutám za svoje vlastné porušenia a môžu čeliť nárokom na odškodnenie od správcov podľa DPA.
Q: Platí GDPR pre spracovateľov nachádzajúcich sa mimo EÚ? Áno. GDPR sa vzťahuje na spracovateľov mimo EÚ, keď spracovávajú osobné údaje obyvateľov EÚ v mene správcov so sídlom v EÚ, alebo keď sú inak predmetom územnej pôsobnosti GDPR podľa článku 3.
Q: Aký je rozdiel medzi DPA a štandardnou zmluvnou klauzulou? DPA upravuje vzťah medzi správcom a spracovateľom na domácej úrovni. Štandardné zmluvné klauzuly (SCC) sú špecifické zmluvné mechanizmy na prenos osobných údajov do tretích krajín mimo EÚ/EEA, ktoré nemajú rozhodnutie o primeranosti.
Záver
Správca vs. Spracovateľ: Pochopenie vašej zodpovednosti podľa GDPR nie je abstraktné právne cvičenie, určuje, kto čelí regulačným pokutám, kto odškodňuje subjekty údajov a kto je zodpovedný pred dozornými orgánmi, keď sa niečo pokazí. Rozlíšenie spočíva v faktickej otázke o rozhodovacej autorite, nie v označeniach zmlúv.
Akčné nasledujúce kroky:
- Vykonajte cvičenie na mapovanie údajov, aby ste identifikovali každú spracovateľskú činnosť a úlohu vašej organizácie v každej z nich.
- Skontrolujte existujúce zmluvy s dodávateľmi, aby ste potvrdili, že sú v platnosti vyhovujúce DPA s každým spracovateľom, ktorého angažujete.
- Preskúmajte usporiadania sub-spracovateľov, aby ste zabezpečili, že existuje predchádzajúce povolenie a sú uložené ekvivalentné povinnosti.
- Ak pôsobíte ako správca aj spracovateľ v rôznych činnostiach, zdokumentujte každú úlohu samostatne.
- Pre organizácie v Spojenom kráľovstve preskúmajte dôsledky Zákona o údajoch (použitie a prístup) z roku 2026 s kvalifikovaným právnym poradcom.
- Nasadte riešenie na správu súhlasu, ako napríklad Biscotti CMP, na udržanie audítorských záznamov o súhlase a podporu vašich povinností správcu.
Nesprávna klasifikácia nie je technická záležitosť, je to medzera v dodržiavaní predpisov s priamymi finančnými a reputačnými dôsledkami. Správne určenie úloh od začiatku je najnákladovo efektívnejšou investíciou do GDPR, ktorú môže akákoľvek organizácia urobiť.
Odkazy
[1] Čo sú správcovia a spracovatelia - https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/controllers-and-processors/controllers-and-processors/what-are-controllers-and-processors/?utm_source=openai
[2] Článok 82 GDPR - https://gdpr-info.eu/art-82-gdpr/?utm_source=openai
[3] Vzťahy medzi správcami a spracovateľmi - https://dataprotection.ie/en/organisations/know-your-obligations/controller-and-processor-relationships?utm_source=openai