Brzi odgovor: Prema GDPR-u, kontroler podataka određuje zašto i kako se lični podaci obrađuju, dok obraditelj podataka postupa isključivo po uputstvima kontrolera. Odgovornost se značajno razlikuje: kontroleri snose najširu odgovornost, dok obraditelji imaju direktnu odgovornost samo kada deluju van zakonskih uputstava ili krše obaveze GDPR-a koje su im posebno upućene.
Ključne tačke
- Kontroler podataka odlučuje o svrhama i sredstvima obrade; obraditelj podataka deluje u ime kontrolera.
- Kontroleri snose primarnu odgovornost prema GDPR-u; obraditelji se suočavaju sa direktnom odgovornošću prema Članu 82 samo u specifičnim okolnostima.
- Oba uloga mogu postojati istovremeno unutar jedne organizacije, kompanija može biti kontroler za svoje kupce i obraditelj za drugu firmu.
- Pravni obavezujući Ugovor o obradi podataka (DPA) je obavezan svaki put kada kontroler angažuje obraditelja.
- Pod-obraditelji zahtevaju prethodnu pisanu saglasnost od kontrolera; glavni obraditelj ostaje potpuno odgovoran za ponašanje pod-obraditelja.
- Pogrešno klasifikovanje vaše uloge predstavlja rizik za usklađenost koji može izložiti vašu organizaciju regulatornim sankcijama.
- Obraditelji koji koriste lične podatke u svoje svrhe automatski postaju kontroleri za tu aktivnost obrade.
- Zakon o podacima (korišćenje i pristup) Ujedinjenog Kraljevstva 2026. uvodi dalja promena koje organizacije koje posluju pod UK GDPR-om treba da brzo pregledaju.
Koja je razlika između kontrolera podataka i obraditelja podataka prema GDPR-u?
Kontroler podataka je svaka entitet koji određuje svrhe i sredstva obrade ličnih podataka. Obraditelj podataka je svaka entitet koja obrađuje lične podatke u ime kontrolera, strogo prateći uputstva kontrolera [1].
Razlika se oslanja na autoritet donošenja odluka. Ako vaša organizacija odlučuje zašto se podaci prikupljaju i kako će se koristiti, vi ste kontroler. Ako vaša organizacija samo rukuje podacima jer vas je druga entitet uputila, i nemate nezavisnu reč o svrsi, vi ste obraditelj.
Praktični primeri:
| Scenario | Uloga |
|---|---|
| E-trgovinski maloprodavac koji prikuplja podatke o kupovini kupaca | Kontroler |
| Pružalac usluga cloud hostinga koji čuva bazu podataka tog maloprodavca | Obraditelj |
| SaaS platforma za obračun plata koja obrađuje podatke o zaposlenima za poslodavca | Obraditelj |
| Marketinška agencija koja pravi svoju listu potencijalnih klijenata | Kontroler |
| Dobavljač CRM-a koji pristupa podacima klijenata radi pružanja podrške | Obraditelj |
ICO naglašava da oznaka u ugovoru ne određuje ulogu, već stvarno ponašanje [1]. Dobavljač nazvan "obraditelj" u ugovoru, ali koji donosi nezavisne odluke o korišćenju podataka, pravno je kontroler bez obzira na to šta ugovor kaže.
Koje su glavne odgovornosti kontrolera podataka prema GDPR-u?
Kontroleri snose najteži teret usklađenosti prema GDPR-u. Oni su odgovorni za ceo životni ciklus podataka i moraju osigurati da svaki obraditelj kojeg angažuju ispunjava standarde GDPR-a [3].
Osnovne obaveze kontrolera uključuju:
- Uspostavljanje i dokumentovanje zakonite osnove za svaku aktivnost obrade
- Pružanje transparentnih obaveštenja o privatnosti subjektima podataka
- Olakšavanje prava subjekata podataka, pristup, ispravku, brisanje, prenosivost i prigovor
- Sprovođenje procena uticaja na zaštitu podataka (DPIA) za visoko rizičnu obradu
- Imenovanje službenika za zaštitu podataka (DPO) gde je to potrebno
- Sprovođenje dužne pažnje pre angažovanja obraditelja i praćenje njihove kontinuirane usklađenosti
- Potpisivanje pisanog Ugovora o obradi podataka sa svakim angažovanim obraditeljem [3]
Kontroleri ne mogu delegirati odgovornost. Čak i kada obraditelj izazove povredu, kontroler ostaje odgovoran nadzornim organima za svoj izbor obraditelja i adekvatnost ugovornih zaštita.
Koje su glavne odgovornosti obraditelja podataka prema GDPR-u?
Obraditelji imaju direktne obaveze prema GDPR-u, ne samo ugovorne, i ne mogu smatrati usklađenost problemom samo kontrolera [3].
Direktne obaveze obraditelja prema GDPR-u uključuju:
- Obrada podataka samo na osnovu dokumentovanih uputstava kontrolera
- Implementacija odgovarajućih tehničkih i organizacionih mera bezbednosti
- Održavanje evidencije o svim aktivnostima obrade koje se vrše u ime kontrolera
- Obaveštavanje kontrolera o bilo kojoj povredi podataka bez nepotrebnog odlaganja
- Pomoć kontroleru u ispunjavanju zahteva za prava subjekata podataka
- Brisanje ili vraćanje svih ličnih podataka po okončanju ugovora
- Angažovanje pod-obraditelja samo uz prethodnu pisanu saglasnost kontrolera [3]
"Obraditelji imaju direktne obaveze prema GDPR-u, a ne samo ugovorne dužnosti, i suočavaju se sa regulatornim izlaganjem ako deluju van zakonskih uputstava kontrolera."
Ko je odgovoran ako dođe do povrede podataka: kontroler ili obraditelj?
Oba mogu biti odgovorna, ali opseg se razlikuje. Prema Članu 82 GDPR-a, svaka osoba koja pretrpi štetu zbog kršenja GDPR-a ima pravo da potražuje naknadu od kontrolera ili obraditelja koji je odgovoran [2].
Kontroleri su odgovorni za štetu izazvanu bilo kojom obradom koja krši GDPR. Obraditelji su odgovorni samo kada nisu ispunili obaveze GDPR-a koje su posebno upućene obraditeljima, ili kada su delovali van ili suprotno zakonskim uputstvima kontrolera [2].
Dodela odgovornosti u praksi:
- Ako obraditelj pretrpi povredu zbog toga što je kontroler dao nedovoljne bezbednosne instrukcije, kontroler verovatno snosi primarnu odgovornost.
- Ako obraditelj ignoriše bezbednosne zahteve kontrolera, obraditelj snosi direktnu odgovornost.
- Obe strane mogu biti solidarno odgovorne, što znači da subjekt podataka može potraživati obe strane za puni iznos štete, ostavljajući im da kasnije podele odgovornost.
Obraditelj može pobjeći od odgovornosti dokazivanjem da nije kriv za događaj koji je izazvao štetu [2]. Ovo je visok standard: obraditelj mora dokazati potpunu usklađenost sa svojim obavezama prema GDPR-u.
Može li kompanija biti i kontroler i obraditelj u isto vreme?
Da. Organizacija može istovremeno delovati kao kontroler za neke aktivnosti obrade i kao obraditelj za druge, čak i unutar istog poslovnog odnosa [1].
Na primer, digitalna marketinška agencija može delovati kao kontroler kada upravlja sopstvenim HR podacima zaposlenih, i kao obraditelj kada vodi reklamne kampanje koristeći podatke kupaca klijenta. Uloga se određuje aktivnost po aktivnost, a ne kompanija po kompanija.
Može li obraditelj postati kontroler ako koristi podatke u svoje svrhe?
Obraditelj automatski postaje kontroler u trenutku kada koristi lične podatke u svrhe koje prevazilaze uputstva kontrolera [1]. Ovo je jedna od najznačajnijih pogrešnih klasifikacija u praksi.
Ako dobavljač cloud analitike počne da koristi podatke klijenata za obučavanje svojih AI modela bez dozvole, izašao je iz uloge obraditelja i preuzeo status kontrolera za tu aktivnost, sa svim pratećim obavezama i izlaganjem odgovornosti prema GDPR-u. Nijedna klauzula u ugovoru ne može sprečiti ovu prekvalifikaciju; to je pitanje činjenice, a ne dogovora.
Kako Ugovori o obradi podataka štite obraditelje od odgovornosti?
Ugovor o obradi podataka (DPA) je obavezan pravni instrument prema GDPR-u svaki put kada kontroler angažuje obraditelja [3]. Za obraditelje, dobro sastavljen DPA je primarni mehanizam za ograničavanje izlaganja odgovornosti.
U skladu sa DPA mora se precizirati:
- Predmet, trajanje, priroda i svrha obrade
- Vrsta ličnih podataka i kategorije subjekata podataka uključeni
- Obaveze i prava kontrolera
- Zahtevi o poverljivosti za ovlašćeno osoblje
- Mjere bezbednosti koje treba implementirati
- Uslovi za angažovanje pod-obraditelja
- Procedure za vraćanje ili brisanje podataka na kraju ugovora [3]
Kada obraditelj deluje strogo unutar okvira DPA, odgovornost za bilo koju nastalu štetu prebacuje se pretežno na kontrolera. S druge strane, ako obraditelj premaši ta uputstva, DPA postaje dokaz odstupanja, a ne zaštita.
Šta se dešava ako obraditelj prekrši pravila GDPR-a?
Obraditelji koji prekrše GDPR suočavaju se sa regulatornim kaznama i građanskom odgovornošću za štetu. Nadzorni organi mogu izreći administrativne kazne direktno obraditeljima, do 20 miliona EUR ili 4% globalnog godišnjeg prometa za najteža kršenja, u zavisnosti od toga šta je veće [2].
Pored kazni, obraditelji se suočavaju sa potraživanjima prema Članu 82 od subjekata podataka koji su pretrpeli štetu. Takođe mogu biti suočeni sa ugovornom odgovornošću prema kontroleru prema DPA, uključujući obaveze o nadoknadi.
Da li obraditelji trebaju svog službenika za zaštitu podataka?
Obraditelji su podložni istim pragovima za imenovanje DPO-a kao i kontroleri. Obraditelj mora imenovati DPO ako vrši masovno, sistematsko praćenje pojedinaca, ili obrađuje posebne kategorije podataka ili podatke o krivičnim presudama na velikoj skali [1].
Biti obraditelj ne oslobađa organizaciju od zahteva za DPO. Mnogi veliki provajderi cloud usluga i SaaS platforme koje deluju kao obraditelji su obavezni da imaju DPO upravo zbog obima i osetljivosti podataka koje obrađuju.
Koja je razlika u kaznama GDPR-a između kontrolera i obraditelja?
Dvodimenzionalna struktura kazni GDPR-a primenjuje se jednako na kontrolere i obraditelje. Prvi nivo pokriva manje teška kršenja (do 10 miliona EUR ili 2% globalnog prometa); drugi nivo pokriva najteža kršenja, uključujući nezakonitu obradu i nepoštovanje prava subjekata podataka (do 20 miliona EUR ili 4% globalnog prometa) [2].
Ne postoji zakonski popust za obraditelje. Međutim, u praksi, nadzorni organi procenjuju krivicu, saradnju i prirodu kršenja prilikom određivanja iznosa kazni, faktori koji mogu rezultirati različitim ishodima za kontrolere u odnosu na obraditelje u istom incidentu.
Da li pod-obraditelji imaju različitu odgovornost od glavnih obraditelja?
Pod-obraditelji imaju iste obaveze prema GDPR-u kao i glavni obraditelji, ali su ugovorno vezani za glavnog obraditelja, a ne direktno za kontrolera. Ključna razlika: glavni obraditelj ostaje potpuno odgovoran kontroleru za performanse pod-obraditelja [3].
Ako pod-obraditelj izazove povredu, pravni put kontrolera ide protiv glavnog obraditelja. Glavni obraditelj mora zatim posebno potraživati od pod-obraditelja. Pod-obraditelji se takođe mogu suočiti sa direktnim regulatornim akcijama od strane nadzornih organa zbog svojih kršenja GDPR-a.
Pravila o pod-obraditeljima na brzinu:
- Prethodna pisana saglasnost od kontrolera je obavezna pre angažovanja bilo kog pod-obraditelja
- Glavni obraditelj mora nametnuti jednake obaveze zaštite podataka pod-obraditelju
- Glavni obraditelj ne može pobeći od odgovornosti ukazujući na grešku pod-obraditelja
Kako odrediti da li ste kontroler ili obraditelj za vašu firmu?
Određivanje se oslanja na jedno pitanje: da li vaša organizacija nezavisno odlučuje zašto se lični podaci obrađuju? Ako je odgovor da, vi ste kontroler. Ako samo obrađujete podatke jer vas je druga entitet uputila, i nemate nezavisnu svrhu, vi ste obraditelj [1].
Praktična lista za donošenje odluka:
- Ko je odlučio da prikupi ove podatke u prvom redu?
- Ko je odredio za šta će se podaci koristiti?
- Da li vaša organizacija ima diskreciju o tome kako se podaci obrađuju, ili pratite specifikacije druge strane?
- Da li bi obrada prestala ako bi druga strana povukla svoja uputstva?
- Da li koristite podatke u bilo koju svrhu koja koristi vašu organizaciju nezavisno?
Ako vaši odgovori ukazuju u različitim pravcima na ova pitanja, možda ste zajednički kontroler, situacija koja zahteva poseban aranžman o transparentnosti sa drugom stranom [1].
Koje su česte greške koje kompanije prave sa ulogama kontrolera i obraditelja?
Pogrešna klasifikacija je najčešća greška, i nosi stvarne posledice za usklađenost. Organizacije često pretpostavljaju da ih naziv "dobavljač" ili "pružalac usluga" u ugovoru čini obraditeljima, kada njihovo stvarno ponašanje kvalifikuje kao kontrolere.
Druge česte greške:
- Preskakanje DPA: Kontroleri koji angažuju obraditelje bez pisanog DPA su u direktnom kršenju GDPR-a, bez obzira na to koliko su sistemi obraditelja sigurni.
- Neproveravanje pod-obraditelja: Kontroleri često zanemaruju da je njihov obraditelj angažovao pod-obraditelje bez dozvole ili ekvivalentnih ugovornih zaštita.
- Pretpostavljanje da obraditelji rešavaju prava subjekata podataka: Kontroleri ostaju odgovorni za odgovaranje na zahteve subjekata podataka; obraditelji samo pomažu.
- Ignorisanje rizika od prekvalifikacije: Obraditelji koji proširuju svoje usluge i počinju koristiti podatke klijenata za analitiku, obuku modela ili benchmarking mogu nenamerno postati kontroleri bez prepoznavanja promene.
Za organizacije koje upravljaju saglasnošću i protokom podataka preko veb sajtova i digitalnih svojstava, platforma za upravljanje saglasnošću kao što je Biscotti CMP može pomoći kontrolerima da dokumentuju zakonite osnove i upravljaju evidencijama saglasnosti, što je osnovni element odgovornosti kontrolera prema GDPR-u.
Kako bi mala preduzeća trebala da se nose sa odgovornostima kontrolera i obraditelja?
Mala preduzeća nisu izuzeta iz GDPR-ovog okvira kontroler-obraditelj. Ako malo preduzeće prikuplja podatke o kupcima, čak i samo adrese e-pošte za bilten, ono je kontroler i mora se pridržavati svih obaveza kontrolera.
Praktični koraci za mala preduzeća:
- Mapirajte svaki alat ili dobavljača koji rukuje ličnim podacima u vaše ime (platforme za e-poštu, alati za analitiku, procesori plaćanja, CRM-ovi).
- Potvrdite da li postoji potpisani DPA sa svakim dobavljačem.
- Proverite da li DPA svakog dobavljača ispunjava minimalne zahteve GDPR-a.
- Objavite usklađeno obaveštenje o privatnosti koje tačno opisuje vaše aktivnosti obrade.
- Uspostavite proces za odgovaranje na zahteve subjekata podataka unutar zakonskog roka od 30 dana.
Zakon o podacima (korišćenje i pristup) Ujedinjenog Kraljevstva 2026., koji je dobio kraljevsku saglasnost 19. juna 2026., uvodi dalja izmenama u zakon o zaštiti podataka koje mala preduzeća sa sedištem u UK treba da pregledaju sa pravnim savetnikom kako bi osigurala da njihove obaveze kontrolera ostanu aktuelne [1].
Često postavljana pitanja
P: Da li je SaaS kompanija uvek obraditelj?
SaaS kompanija je obraditelj samo kada obrađuje lične podatke isključivo u ime svojih kupaca i bez nezavisne svrhe. Ako koristi podatke kupaca za svoje analitike, poboljšanje proizvoda ili marketing, postaje kontroler za te aktivnosti.
P: Da li obraditelj treba da se registruje kod nadzornog organa?
Zahtevi za registraciju variraju od države do države članice EU. Međutim, obraditelji moraju održavati interne evidencije o aktivnostima obrade (RoPA) prema Članu 30 GDPR-a ako zapošljavaju 250 ili više ljudi, ili ako obrada verovatno rezultira rizikom za subjekte podataka.
P: Može li obraditelj odbiti uputstvo kontrolera?
Da, ako bi praćenje uputstva zahtevalo od obraditelja da prekrši GDPR. U takvim slučajevima, obraditelj treba da obavesti kontrolera i, ako uputstvo nije ispravljeno, može biti potrebno da prekine odnos.
P: Šta je aranžman zajedničkog kontrolera?
Zajednički kontroleri postoje kada dva ili više entiteta zajednički određuju svrhe i sredstva obrade. Oni moraju dokumentovati svoje odgovornosti u transparentnom aranžmanu i učiniti suštinu tog aranžmana dostupnom subjektima podataka [1].
P: Koliko dugo DPA treba da ostane na snazi?
DPA bi trebala ostati na snazi tokom trajanja odnosa obrade. Po okončanju, reguliše obavezu obraditelja da obriše ili vrati sve lične podatke.
P: Da li su obraditelji odgovorni za kazne izrečene kontrolerima?
Ne. Kazne se izriču protiv entiteta koji je počinio prekršaj. Međutim, obraditelji mogu biti suočeni sa odvojenim kaznama za svoja kršenja, i mogu se suočiti sa potraživanjima od kontrolera prema DPA.
P: Da li se GDPR primenjuje na obraditelje koji se nalaze van EU?
Da. GDPR se primenjuje na obraditelje van EU kada obrađuju lične podatke građana EU u ime kontrolera sa sedištem u EU, ili kada su na drugi način podložni teritorijalnom opsegu GDPR-a prema Članu 3.
P: Koja je razlika između DPA i Standardne ugovorne klauzule?
DPA reguliše odnos kontroler-obraditelj na domaćem nivou. Standardne ugovorne klauzule (SCC) su specifični ugovorni mehanizmi za prenos ličnih podataka u treće zemlje van EU/EEA koje nemaju odluku o adekvatnosti.
Zaključak
Kontroler vs. Obraditelj: Razumevanje Vaše Odgovornosti Prema GDPR-u nije apstraktna pravna vežba, već određuje ko se suočava sa regulatornim kaznama, ko nadoknađuje subjektima podataka i ko je odgovoran nadzornim organima kada nešto pođe po zlu. Razlika se oslanja na činjenično pitanje o autoritetu donošenja odluka, a ne na oznake u ugovoru.
Akcioni sledeći koraci:
- Sprovesti vežbu mapiranja podataka kako biste identifikovali svaku aktivnost obrade i ulogu vaše organizacije u svakoj.
- Proveriti postojeće ugovore sa dobavljačima kako biste potvrdili da su u skladu sa DPA sa svakim obraditeljem kojeg angažujete.
- Pregledati aranžmane sa pod-obraditeljima kako biste osigurali da postoji prethodna saglasnost i da su nametnute ekvivalentne obaveze.
- Ako delujete kao kontroler i obraditelj u različitim aktivnostima, dokumentujte svaku ulogu posebno.
- Za organizacije u UK, pregledajte posledice Zakona o podacima (korišćenje i pristup) 2026. sa kvalifikovanim pravnim savetnikom.
- Implementirati rešenje za upravljanje saglasnošću kao što je Biscotti CMP kako biste održali auditable evidencije saglasnosti i podržali svoje obaveze kontrolera.
Pogrešna klasifikacija nije tehnička sitnica, već je to razlika u usklađenosti sa direktnim finansijskim i reputacionim posledicama. Pravilno razumevanje uloga od samog početka je najisplativija investicija u GDPR koju bilo koja organizacija može napraviti.
Reference
[1] Šta su kontroleri i obraditelji - https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/controllers-and-processors/controllers-and-processors/what-are-controllers-and-processors/?utm_source=openai
[2] Čl. 82 GDPR - https://gdpr-info.eu/art-82-gdpr/?utm_source=openai
[3] Odnosi između kontrolera i obraditelja - https://dataprotection.ie/en/organisations/know-your-obligations/controller-and-processor-relationships?utm_source=openai