Procesor w RODO to podmiot, który przetwarza dane osobowe wyłącznie w imieniu i na polecenie administratora, nie decydując o celach ani zasadniczych sposobach przetwarzania, a jego podstawowe obowiązki wynikają z umowy powierzenia oraz instrukcji administratora [1][2][3][8]. Działa w granicach wyznaczonych przez administratora i odpowiada za bezpieczeństwo oraz zgodność operacji na danych z przekazanymi wytycznymi [2][4][7][9]. Jeśli zacznie samodzielnie wyznaczać cele lub środki, może zostać uznany za administratora wraz z pełną odpowiedzialnością prawną [3][9].
Kim jest procesor w RODO?
Procesor, zwany podmiotem przetwarzającym, to osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który przetwarza dane osobowe w imieniu administratora, a nie we własnych celach [1][3][8]. Taka rola ma charakter wtórny, ponieważ uprawnienie do przetwarzania wynika z upoważnienia nadanego przez administratora oraz z odpowiednich dokumentów powierzenia [4][8].
Definicja procesora odróżnia go od administratora przez to, że nie ustala on ani dlaczego dane są przetwarzane, ani jak w sensie strategicznym dane mają być przetwarzane, tylko realizuje zlecone czynności na danych [1][2][5][8].
Na czym polega rola procesora?
Rola procesora polega na wykonywaniu ściśle określonych operacji na danych, które obejmują takie czynności jak przechowywanie, utrwalanie, organizowanie, modyfikowanie, przeglądanie, udostępnianie, niszczenie i usuwanie danych, zgodnie z instrukcjami administratora [6]. Zakres tych operacji musi pozostawać w granicach celu i środków przetwarzania wskazanych przez administratora [2][7][8].
Procesor nie posiada własnego autonomicznego celu przetwarzania w danym stosunku prawnym, a jego działania są ograniczone do tego, co zostało postanowione w umowie powierzenia oraz w udokumentowanych poleceniach administratora [3][7][9].
Jakie są podstawowe obowiązki procesora?
Do podstawowych obowiązków procesora należy działanie wyłącznie na udokumentowane polecenie administratora, co obejmuje stosowanie wybranych środków technicznych i organizacyjnych dla zapewnienia bezpieczeństwa danych [2][3][7]. Procesor musi też przestrzegać granic celu przetwarzania oraz wdrożyć mechanizmy zgodności wynikające z umowy powierzenia przetwarzania danych [4][8].
Jeżeli procesor przekroczy zakres poleceń administratora lub zacznie samodzielnie wyznaczać cele i sposoby przetwarzania, może odpowiadać jak administrator, w tym za brak podstawy prawnej, brak realizacji obowiązków informacyjnych oraz za niewłaściwe zabezpieczenie danych [3][9].
Czym różni się administrator od procesora?
Administrator ustala cele i sposoby przetwarzania danych, czyli odpowiada za to, dlaczego i w jaki sposób dane są przetwarzane na poziomie strategicznym, a procesor realizuje wyłącznie czynności techniczne i organizacyjne na zlecenie administratora [2][5][8]. Ta różnica przesądza o podziale odpowiedzialności i o tym, kto ponosi główny ciężar obowiązków w rozliczalności RODO [2][5][8].
Jak działa relacja administrator procesor?
Relacja opiera się na modelu, w którym administrator określa cele i środki, a procesor wykonuje operacje w tym właśnie modelu zależności, bez autonomii do zmiany celu lub zasadniczych sposobów przetwarzania [2][7][8]. Prawna legitymacja procesora pochodzi z udzielonego upoważnienia i z dokumentów regulujących powierzenie, co utrzymuje procesora w roli drugoplanowej wobec administratora [4][8].
Czym jest umowa powierzenia przetwarzania danych i co reguluje?
Umowa powierzenia to kluczowy instrument formalizujący współpracę, który precyzuje zakres przetwarzania, rodzaj danych, kategorie osób, czas obowiązywania, a także wymagania dotyczące bezpieczeństwa, poufności i mechanizmów audytu [4][8]. Bez takiej umowy procesor nie powinien przetwarzać danych, a każde działanie musi być zgodne z udokumentowanymi instrukcjami administratora wynikającymi z tej umowy [4][8].
Kiedy procesor staje się administratorem?
Procesor staje się administratorem wtedy, gdy samodzielnie określa cele przetwarzania lub decyduje o istotnych elementach sposobu przetwarzania w oderwaniu od poleceń administratora [3][9]. W takiej sytuacji zmienia się jego status i zakres odpowiedzialności, łącznie z obowiązkiem posiadania własnej podstawy prawnej i realizacji obowiązków informacyjnych wobec osób, których dane dotyczą [3][9].
Czy procesor może korzystać z podwykonawców?
Procesor może angażować subprocesora wyłącznie w granicach i na warunkach dopuszczonych przez administratora, co powinno wynikać z umowy powierzenia lub innego wiążącego instrumentu prawnego [3][7]. Zaangażowanie subprocesora wymaga zachowania co najmniej takich samych standardów ochrony danych, jakie obowiązują głównego procesora w danym stosunku przetwarzania [3][7].
Jak administrator nadzoruje procesora i na czym polega mechanizm kontroli?
Administrator powinien nadzorować działania procesora, aby zapewnić zgodność całego procesu z RODO, w tym poprzez audyty, przegląd środków bezpieczeństwa i weryfikację zgodności z instrukcjami [2][4][9]. Procesor jest zobowiązany do współpracy z administratorem i do wykazania, że stosuje środki i procedury wymagane przez umowę powierzenia oraz przepisy o ochronie danych [2][4][9].
Jak mierzyć zgodność działań procesora ze zleceniem?
Praktycznym wskaźnikiem jest porównanie rzeczywistego zakresu przetwarzania z zakresem określonym w umowie powierzenia i instrukcjach administratora, ponieważ każde wyjście poza ten zakres stanowi naruszenie modelu przetwarzania [4][9]. Analiza zgodności obejmuje w szczególności ocenę, czy procesor nie wprowadza własnych celów ani dodatkowych sposobów przetwarzania, które nie zostały zatwierdzone przez administratora [4][9].
Jakie dane liczbowe są dostępne o procesorach?
W udostępnionych źródłach nie ma danych liczbowych dotyczących liczby procesorów, udziału rynku ani statystyk naruszeń przypisanych wyłącznie do roli procesora, co należy uwzględnić przy ocenie trendów rynkowych [1][2][3][4][5][6][7][8][9]. Brak takich danych nie wpływa jednak na obowiązywanie opisanych wymogów prawnych i kontraktowych względem roli procesora [1][2][3][4][5][6][7][8][9].
Podsumowanie
Procesor w RODO to podmiot działający wyłącznie w imieniu administratora w granicach wyznaczonych przez umowę powierzenia i udokumentowane instrukcje, realizujący operacje na danych bez własnych autonomicznych celów [1][2][3][4][8]. Jego kluczowe obowiązki obejmują bezpieczeństwo, zgodność z instrukcjami i brak przekroczenia roli, ponieważ samodzielne określanie celów może skutkować uznaniem go za administratora i pełną odpowiedzialnością prawną [2][3][6][9].
Źródła:
- [1] https://witalni.pl/baza_wiedzy/kto-to-jest-procesor-w-rodo-i-jakie-ma-obowiazki/
- [2] https://cab.com.pl/2025/09/16/art-28-rodo-w-praktyce-kto-jest-kim-administrator-a-procesor-danych-osobowych/
- [3] https://www.jp-adwokaci.pl/blog/kto-jest-kim-w-rodo
- [4] https://odo24.pl/blog-post.kto-jest-kim-w-systemie-ochrony-danych-osobowych-odo24
- [5] https://afterlegal.pl/administrator-danych-osobowych-ado-rodo/
- [6] https://grantthornton.pl/publikacja/rodo-roznice-pomiedzy-procesorem-a-administratorem-danych/
- [7] https://rodoradar.pl/relacja-administrator-procesor-okiem-eiod/
- [8] https://gdpr.pl/artykuly/administrator-danych-a-podmiot-przetwarzajacy-kto-jest-kim
- [9] https://www.isecure.pl/blog/kiedy-procesor-staje-sie-administratorem/
PowszechnaSamoobrona.pl to wiodący portal edukacyjny o szeroko pojętym bezpieczeństwie. Nasz zespół ekspertów dostarcza sprawdzoną wiedzę z zakresu bezpieczeństwa osobistego, systemów zabezpieczeń, cyberbezpieczeństwa, survivalu oraz zdrowia i sprawności. Kierujemy się zasadą „Chroń siebie. Chroń bliskich. Działaj świadomie.” dostarczając praktyczne rozwiązania i rzetelne informacje dla świadomych odbiorców.