Hiter odgovor: Po GDPR upravljavec podatkov določa, zakaj in kako se obdelujejo osebni podatki, medtem ko obdelovalec podatkov ravna z podatki izključno po navodilih upravljavca. Odgovornost se bistveno razlikuje: upravljavci nosijo najširšo odgovornost, medtem ko se obdelovalci soočajo z neposredno odgovornostjo le, ko delujejo zunaj zakonitih navodil ali kršijo obveznosti GDPR, ki so posebej usmerjene nanje.
Ključne točke
- Upravljavec podatkov odloča o namenu in sredstvih obdelave; obdelovalec podatkov deluje v imenu upravljavca.
- Upravljavci nosijo primarno odgovornost po GDPR; obdelovalci se soočajo z neposredno odgovornostjo po členu 82 le v specifičnih okoliščinah.
- Obe vlogi lahko obstajata hkrati znotraj ene organizacije, podjetje je lahko upravljavec za svoje stranke in obdelovalec za drugo podjetje.
- Pravno zavezujoča pogodba o obdelavi podatkov (DPA) je obvezna, kadar upravljavec angažira obdelovalca.
- Podobdelovalci potrebujejo predhodno pisno dovoljenje upravljavca; glavni obdelovalec ostaja v celoti odgovoren za ravnanje podobdelovalca.
- Napačna klasifikacija vaše vloge predstavlja tveganje za skladnost, ki lahko izpostavi vašo organizacijo regulativnim kaznim.
- Obdelovalci, ki uporabljajo osebne podatke za svoje namene, samodejno postanejo upravljavci za to obdelovalno dejavnost.
- Zakon o podatkih (uporaba in dostop) Združenega kraljestva 2026 uvaja dodatne spremembe, ki jih morajo organizacije, ki delujejo pod britanskim GDPR, hitro pregledati.
Kakšna je razlika med upravljavcem in obdelovalcem podatkov po GDPR?
Upravljavec podatkov je katera koli entiteta, ki določa namene in sredstva obdelave osebnih podatkov. Obdelovalec podatkov je katera koli entiteta, ki obdeluje osebne podatke v imenu upravljavca, strogo v skladu z navodili upravljavca [1].
Razlikovanje temelji na avtoriteti odločanja. Če vaša organizacija odloča zakaj se podatki zbirajo in kako se bodo uporabljali, ste upravljavec. Če vaša organizacija obdeluje podatke le zato, ker vas je druga entiteta k temu navodila, in nimate neodvisnega vpliva na namen, ste obdelovalec.
Praktični primeri:
| Scenarij | Vloga |
|---|---|
| E-trgovina, ki zbira podatke o nakupih strank | Upravljavec |
| Pružitelj oblačnega gostovanja, ki shranjuje bazo podatkov te trgovine | Obdelovalec |
| SaaS platforma za obračun plač, ki obdeluje podatke zaposlenih za delodajalca | Obdelovalec |
| Marketinška agencija, ki gradi svojo lastno seznam potencialnih strank | Upravljavec |
| Dobavitelj CRM, ki dostopa do podatkov strank za zagotavljanje podpore | Obdelovalec |
ICO poudarja, da oznaka v pogodbi ne določa vloge, temveč dejansko ravnanje [1]. Dobavitelj, imenovan "obdelovalec" v pogodbi, a sprejema neodvisne odločitve o uporabi podatkov, je pravno upravljavec ne glede na to, kaj pravi dogovor.
Kakšne so glavne odgovornosti upravljavca podatkov po GDPR?
Upravljavci nosijo najtežjo breme skladnosti po GDPR. Odgovorni so za celoten življenjski cikel podatkov in morajo zagotoviti, da vsak obdelovalec, ki ga angažirajo, izpolnjuje standarde GDPR [3].
Osnovne obveznosti upravljavca vključujejo:
- Ustanovitev in dokumentiranje zakonite podlage za vsako obdelovalno dejavnost
- Zagotavljanje preglednih obvestil o zasebnosti posameznikom
- Olajšanje pravic posameznikov, dostop, popravek, izbris, prenosljivost in ugovor
- Izvajanje ocen vpliva na varstvo podatkov (DPIA) za obdelave z visokim tveganjem
- Imenovanje pooblaščene osebe za varstvo podatkov (DPO), kjer je to potrebno
- Izvajanje skrbnega pregleda pred angažiranjem obdelovalcev in spremljanje njihove stalne skladnosti
- Izvajanje pisne pogodbe o obdelavi podatkov z vsakim angažiranim obdelovalcem [3]
Upravljavci ne morejo prenesti odgovornosti. Tudi ko obdelovalec povzroči kršitev, ostaja upravljavec odgovoren nadzornim organom za svoj izbor obdelovalca in ustreznost pogodbenih zaščit.
Kakšne so glavne odgovornosti obdelovalca podatkov po GDPR?
Obdelovalci imajo neposredne obveznosti po GDPR, ne le pogodbenih, in ne morejo obravnavati skladnosti kot problem upravljavca [3].
Neposredne obveznosti obdelovalca po GDPR vključujejo:
- Obdelavo podatkov le na dokumentiranih navodilih upravljavca
- Uvedbo ustreznih tehničnih in organizacijskih varnostnih ukrepov
- Vzdrževanje evidenc vseh obdelovalnih dejavnosti, ki jih izvajajo v imenu upravljavcev
- Obveščanje upravljavca o morebitni kršitvi podatkov brez nepotrebnega odlašanja
- Pomoč upravljavcu pri izpolnjevanju zahtevkov za pravice posameznikov
- Izbris ali vrnitev vseh osebnih podatkov ob prenehanju pogodbe
- Angažiranje podobdelovalcev le s predhodnim pisnim dovoljenjem upravljavca [3]
"Obdelovalci imajo neposredne obveznosti po GDPR, ne le pogodbenih dolžnosti, in se soočajo z regulativnim tveganjem, če delujejo zunaj zakonitih navodil upravljavca."
Kdo je odgovoren, če pride do kršitve podatkov: upravljavec ali obdelovalec?
Oba lahko nosita odgovornost, vendar se obseg razlikuje. Po členu 82 GDPR ima vsakdo, ki utrpi škodo zaradi kršitve GDPR, pravico zahtevati odškodnino od odgovornega upravljavca ali obdelovalca [2].
Upravljavci so odgovorni za škodo, ki jo povzroči katera koli obdelava, ki krši GDPR. Obdelovalci so odgovorni le, kadar niso izpolnili obveznosti GDPR, ki so posebej usmerjene na obdelovalce, ali kadar so delovali zunaj ali v nasprotju z zakonitimi navodili upravljavca [2].
Razporeditev odgovornosti v praksi:
- Če obdelovalec utrpi kršitev, ker je upravljavec dal neustrezna varnostna navodila, upravljavec verjetno nosi primarno odgovornost.
- Če obdelovalec ignorira varnostne zahteve upravljavca, obdelovalec nosi neposredno odgovornost.
- Obe stranki sta lahko solidarno odgovorni, kar pomeni, da lahko posameznik zahteva odškodnino od katerekoli stranke za celoten znesek škode, pri čemer se morata sami dogovoriti o razporeditvi odgovornosti.
Obdelovalec se lahko izogne odgovornosti, če dokaže, da ni bil kriv za dogodek, ki je povzročil škodo [2]. To je visok standard: obdelovalec mora dokazati popolno skladnost s svojimi obveznostmi po GDPR.
Lahko podjetje hkrati deluje kot upravljavec in obdelovalec?
Da. Organizacija lahko hkrati deluje kot upravljavec za nekatere obdelovalne dejavnosti in kot obdelovalec za druge, celo znotraj istega poslovnega razmerja [1].
Na primer, digitalna marketinška agencija lahko deluje kot upravljavec, ko upravlja s svojimi podatki o zaposlenih, in kot obdelovalec, ko izvaja oglaševalske kampanje z uporabo podatkov strank. Vloga se določa dejavnost po dejavnosti, ne podjetje po podjetju.
Lahko obdelovalec postane upravljavec, če uporablja podatke za svoje namene?
Obdelovalec samodejno postane upravljavec v trenutku, ko uporablja osebne podatke za namene, ki presegajo navodila upravljavca [1]. To je ena izmed najbolj pomembnih napačnih klasifikacij v praksi.
Če dobavitelj oblačne analitike začne pridobivati podatke strank za usposabljanje svojih modelov umetne inteligence brez dovoljenja, je stopil iz vloge obdelovalca in prevzel status upravljavca za to dejavnost, z vsemi pripadajočimi obveznostmi in izpostavljenostjo odgovornosti po GDPR. Nobena pogodbeno določena klavzula ne more preprečiti te prekvalifikacije; gre za dejstvo, ne za dogovor.
Kako pogodbe o obdelavi podatkov ščitijo obdelovalce pred odgovornostjo?
Pogodba o obdelavi podatkov (DPA) je obvezno pravno sredstvo po GDPR, kadar upravljavec angažira obdelovalca [3]. Za obdelovalce je dobro zasnovana DPA primarni mehanizem za omejevanje izpostavljenosti odgovornosti.
Skladna DPA mora določiti:
- Predmet, trajanje, naravo in namen obdelave
- Vrsto osebnih podatkov in kategorije posameznikov, ki so vključeni
- Obveznosti in pravice upravljavca
- Zahteve po zaupnosti za pooblaščeno osebje
- Varnostne ukrepe, ki jih je treba uvesti
- Pogoje za angažiranje podobdelovalcev
- Postopke za vračilo ali izbris podatkov ob koncu pogodbe [3]
Ko obdelovalec deluje strogo v okviru DPA, se odgovornost za morebitno škodo preusmeri predvsem na upravljavca. Nasprotno, če obdelovalec preseže ta navodila, DPA postane dokaz odstopanja in ne zaščita.
Kaj se zgodi, če obdelovalec krši pravila GDPR?
Obdelovalci, ki kršijo GDPR, se soočajo tako z regulativnimi kaznimi kot civilno odgovornostjo za škodo. Nadzorni organi lahko naložijo administrativne kazni neposredno obdelovalcem, do 20 milijonov EUR ali 4% svetovnega letnega prometa za najresnejše kršitve, kar koli je višje [2].
Poleg kazni se obdelovalci soočajo z zahtevki po členu 82 od posameznikov, ki so utrpeli škodo. Lahko se soočajo tudi s pogodbeno odgovornostjo do upravljavca po DPA, vključno z obveznostmi odškodnine.
Ali obdelovalci potrebujejo svojega pooblaščenca za varstvo podatkov?
Obdelovalci so podvrženi istim pragom imenovanja DPO kot upravljavci. Obdelovalec mora imenovati DPO, če izvaja obsežno, sistematično spremljanje posameznikov ali obdeluje posebne kategorije podatkov ali podatke o kazenskih obsodbah na obsežen način [1].
Biti obdelovalec ne oprošča organizacije zahteve po DPO. Mnogi veliki ponudniki oblakov in SaaS platforme, ki delujejo kot obdelovalci, morajo vzdrževati DPO prav zaradi obsega in občutljivosti podatkov, s katerimi ravnajo.
Kakšna je razlika v kaznih GDPR med upravljavci in obdelovalci?
Dvo-tierska struktura kazni GDPR se enako uporablja za upravljavce in obdelovalce. Prvi nivo pokriva manj hude kršitve (do 10 milijonov EUR ali 2% svetovnega prometa); drugi nivo pokriva najresnejše kršitve, vključno z nezakonito obdelavo in neupoštevanjem pravic posameznikov (do 20 milijonov EUR ali 4% svetovnega prometa) [2].
Ni zakonskega popusta za obdelovalce. Vendar pa v praksi nadzorni organi ocenjujejo krivdo, sodelovanje in naravo kršitve pri določanju zneskov kazni, kar lahko privede do različnih izidov za upravljavce v primerjavi z obdelovalci v istem incidentu.
Ali imajo podobdelovalci drugačno odgovornost kot glavni obdelovalci?
Podobdelovalci nosijo enake obveznosti po GDPR kot glavni obdelovalci, vendar so pogodbeno vezani na glavnega obdelovalca in ne neposredno na upravljavca. Ključna razlika: glavni obdelovalec ostaja v celoti odgovoren upravljavcu za delovanje podobdelovalca [3].
Če podobdelovalec povzroči kršitev, pravna pot upravljavca teče proti glavnemu obdelovalcu. Glavni obdelovalec mora nato ločeno uveljaviti zahtevke proti podobdelovalcu. Podobdelovalci se lahko tudi soočajo z neposrednimi regulativnimi ukrepi s strani nadzornih organov zaradi svojih lastnih kršitev GDPR.
Pravila o podobdelovalcih na kratko:
- Predhodno pisno dovoljenje upravljavca je potrebno pred angažiranjem katerega koli podobdelovalca
- Glavni obdelovalec mora na podobdelovalca naložiti enake obveznosti varstva podatkov
- Glavni obdelovalec se ne more izogniti odgovornosti, če pokaže na napako podobdelovalca
Kako določiti, ali ste upravljavec ali obdelovalec za svoje podjetje?
Določitev temelji na enem vprašanju: ali vaša organizacija neodvisno odloča zakaj se obdelujejo osebni podatki? Če je odgovor da, ste upravljavec. Če obdelujete podatke le zato, ker vas je druga entiteta k temu navodila, in nimate neodvisnega namena, ste obdelovalec [1].
Praktični kontrolni seznam odločitev:
- Kdo je prvotno odločil, da se ti podatki zbirajo?
- Kdo je določil, za kaj se bodo podatki uporabljali?
- Ima vaša organizacija diskrecijsko pravico glede načina obdelave podatkov, ali sledite specifikacijam druge stranke?
- Bi se obdelava ustavila, če bi druga stranka umaknila svoja navodila?
- Ali podatke uporabljate za kakršen koli namen, ki koristi vaši organizaciji neodvisno?
Če vaši odgovori kažejo v različne smeri na teh vprašanjih, ste morda skupni upravljavec, kar zahteva ločeno ureditev preglednosti z drugo stranko [1].
Kakšne so pogoste napake, ki jih podjetja delajo pri vlogah upravljavca in obdelovalca?
Napačna klasifikacija je najpogostejša napaka in nosi resne posledice za skladnost. Organizacije pogosto domnevajo, da jih naziv "dobavitelj" ali "ponudnik storitev" v pogodbi uvršča med obdelovalce, ko njihovo dejansko ravnanje kvalificira kot upravljavce.
Druge pogoste napake:
- Preskočitev DPA: Upravljavci, ki angažirajo obdelovalce brez pisne DPA, neposredno kršijo GDPR, ne glede na to, kako varni so sistemi obdelovalca.
- Neuspeh pri preverjanju podobdelovalcev: Upravljavci pogosto spregledajo, da je njihov obdelovalec angažiral podobdelovalce brez dovoljenja ali enakovrednih pogodbenih zaščit.
- Domneva, da obdelovalci obravnavajo pravice posameznikov: Upravljavci ostajajo odgovorni za odgovore na zahtevke posameznikov; obdelovalci le pomagajo.
- Ignoriranje tveganja prekvalifikacije: Obdelovalci, ki širijo svoje storitve in začnejo uporabljati podatke strank za analitiko, usposabljanje modelov ali primerjanje, lahko nehote postanejo upravljavci, ne da bi prepoznali spremembo.
Za organizacije, ki upravljajo s soglasjem in podatkovnimi tokovi prek spletnih strani in digitalnih lastnosti, lahko platforma za upravljanje soglasja, kot je Biscotti CMP, pomaga upravljavcem dokumentirati zakonite osnove in upravljati evidence soglasij, kar je temeljni element odgovornosti upravljavca po GDPR.
Kako naj majhno podjetje obravnava odgovornosti upravljavca in obdelovalca?
Majhna podjetja niso izvzeta iz okvirja upravljavca-obdelovalca po GDPR. Če majhno podjetje zbira podatke strank, tudi le e-poštne naslove za novice, je upravljavec in mora izpolnjevati vse obveznosti upravljavca.
Praktični koraki za majhna podjetja:
- Zasnovati vsak pripomoček ali dobavitelja, ki ravna z osebnimi podatki v vašem imenu (platforme za e-pošto, analitična orodja, obdelovalci plačil, CRM).
- Potrdite, ali obstaja podpisana DPA z vsakim dobaviteljem.
- Preverite, ali DPA vsakega dobavitelja izpolnjuje minimalne zahteve GDPR.
- Objavite skladno obvestilo o zasebnosti, ki natančno opisuje vaše obdelovalne dejavnosti.
- Ustanovite postopek za odgovarjanje na zahtevke posameznikov v 30-dnevnem zakonskem roku.
Zakon o podatkih (uporaba in dostop) Združenega kraljestva 2026, ki je prejel kraljevo odobritev 19. junija 2026, uvaja dodatne spremembe v zakonodaji o varstvu podatkov, ki jih morajo majhna podjetja v Združenem kraljestvu pregledati s pravnim svetovalcem, da zagotovijo, da njihove obveznosti upravljavca ostanejo aktualne [1].
Pogosta vprašanja
Q: Ali je podjetje SaaS vedno obdelovalec? Podjetje SaaS je obdelovalec le, kadar obdeluje osebne podatke izključno v imenu svojih strank in brez neodvisnega namena. Če uporablja podatke strank za svojo analitiko, izboljšanje izdelkov ali trženje, postane upravljavec za te dejavnosti.
Q: Ali se obdelovalec mora registrirati pri nadzornem organu? Zahteve po registraciji se razlikujejo glede na državo članico EU. Vendar pa morajo obdelovalci vzdrževati notranje evidence obdelovalnih dejavnosti (RoPA) po členu 30 GDPR, če zaposlujejo 250 ali več ljudi, ali če je obdelava verjetno povezana z tveganjem za posameznike.
Q: Ali lahko obdelovalec zavrne navodilo upravljavca? Da, če bi sledenje navodilu zahtevalo, da obdelovalec krši GDPR. V takih primerih bi moral obdelovalec obvestiti upravljavca in, če navodilo ni popravljeno, morda prekiniti razmerje.
Q: Kaj je ureditev skupnega upravljavca? Skupni upravljavci obstajajo, kadar dve ali več entitet skupaj določata namene in sredstva obdelave. Morajo dokumentirati svoje odgovornosti v pregledni ureditvi in omogočiti bistvo te ureditve posameznikom [1].
Q: Kako dolgo mora DPA ostati v veljavi? DPA mora ostati v veljavi za čas trajanja obdelovalnega razmerja. Po prenehanju ureja obveznost obdelovalca, da izbriše ali vrne vse osebne podatke.
Q: Ali so obdelovalci odgovorni za kazni, naložene upravljavcem? Ne. Kazni se naložijo entiteti, ki je kršitev storila. Vendar pa se obdelovalci lahko soočajo z ločenimi kaznimi za svoje lastne kršitve in lahko prejmejo zahtevke za odškodnino od upravljavcev po DPA.
Q: Ali se GDPR uporablja za obdelovalce, ki se nahajajo zunaj EU? Da. GDPR se uporablja za obdelovalce zunaj EU, kadar obdelujejo osebne podatke prebivalcev EU v imenu upravljavcev s sedežem v EU ali kadar so sicer podvrženi teritorialnemu obsegu GDPR po členu 3.
Q: Kakšna je razlika med DPA in standardno pogodbeno klavzulo? DPA ureja razmerje upravljavca-obdelovalca doma. Standardne pogodbene klavzule (SCC) so specifični pogodbeni mehanizmi za prenos osebnih podatkov v tretje države zunaj EU/EEA, ki nimajo odločitve o ustreznosti.
Zaključek
Upravitelj proti obdelovalcu: Razumevanje vaše odgovornosti po GDPR ni abstraktna pravna vaja, temveč določa, kdo se sooča z regulativnimi kaznimi, kdo odškodninsko plačuje posameznikom in kdo je odgovoren nadzornim organom, ko gre kaj narobe. Razlikovanje temelji na dejanskem vprašanju o avtoriteti odločanja, ne na pogodbenih oznakah.
Izvedljivi naslednji koraki:
- Izvedite vajo kartiranja podatkov, da identificirate vsako obdelovalno dejavnost in vlogo vaše organizacije pri vsaki.
- Preverite obstoječe pogodbe z dobavitelji, da potrdite, da so skladne DPA na voljo z vsakim obdelovalcem, ki ga angažirate.
- Preglejte ureditve podobdelovalcev, da zagotovite, da obstaja predhodno dovoljenje in da so naložene enakovredne obveznosti.
- Če delujete kot upravljavec in obdelovalec pri različnih dejavnostih, dokumentirajte vsako vlogo posebej.
- Za organizacije v Združenem kraljestvu preglejte posledice Zakona o podatkih (uporaba in dostop) 2026 s kvalificiranim pravnim svetovalcem.
- Uvedite rešitev za upravljanje soglasja, kot je Biscotti CMP, da ohranite sledljive evidence soglasij in podprete svoje obveznosti upravljavca.
Napačna klasifikacija ni tehnična podrobnost, temveč vrzel v skladnosti z neposrednimi finančnimi in reputacijskimi posledicami. Pravilno določanje vlog od začetka je najcenejša naložba v GDPR, ki jo lahko katera koli organizacija naredi.
Reference
[1] Kaj so upravljavci in obdelovalci - https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/controllers-and-processors/controllers-and-processors/what-are-controllers-and-processors/?utm_source=openai
[2] Člen 82 GDPR - https://gdpr-info.eu/art-82-gdpr/?utm_source=openai
[3] Razmerja med upravljavcem in obdelovalcem - https://dataprotection.ie/en/organisations/know-your-obligations/controller-and-processor-relationships?utm_source=openai