Rukovalac podacima

Prema članu 4 tački 7 GDPR-a, rukovalac podacima je fizičko ili pravno lice, organ, institucija ili drugo tijelo koje samostalno ili zajedno s drugima određuje svrhe i sredstva obrade ličnih podataka. Ako su svrhe i sredstva određeni pravom Evropske unije ili države članice, tim pravom mogu biti određen i rukovalac ili kriteriji za njegovo određivanje.

Uloga se određuje prema stvarnom načinu obrade, a ne samo prema nazivu ugovora. U preduzeću je najčešće samo preduzeće rukovalac, a ne automatski direktor, pojedinačni zaposleni ili vanjski pružalac usluga. Ko odlučuje zašto se podaci obrađuju i određuje bitne elemente načina obrade, nosi odgovornost prema pravilima zaštite podataka. Rukovalac ne mora neposredno pristupati svakoj pojedinačnoj informaciji koja se obrađuje.

Rukovalac se razlikuje od izvršitelja obrade. Izvršitelj obrađuje lične podatke u ime rukovaoca i prema njegovim dokumentovanim uputama. Ako dvije ili više institucija zajednički određuju svrhe i bitna sredstva obrade, može postojati zajednička odgovornost prema članu 26 GDPR-a. Odlučujuće su stvarne odluke i procesi. Sporazum može raspodijeliti zadatke, ali ne može pogrešno određenu ulogu učiniti pravilnom.

U praksi bi preduzeće za svaku aktivnost obrade trebalo zabilježiti svrhu, ko određuje bitna sredstva i koje su odluke donesene o pravnom osnovu, primaocima, pristupima, brisanju i sigurnosti. Član 24 GDPR-a zahtijeva odgovarajuće mjere i mogućnost dokazivanja usklađenosti. Oblast usklađenosti i upravljanja privatnošću objašnjava ovaj organizacioni okvir, a provjera uloga daje početnu orijentaciju pri razlikovanju rukovaoca, izvršitelja obrade i zajedničkih rukovalaca.