Az adatkezelés és adatfeldolgozás nem egyező fogalmak. A GDPR megkülönböztet adatkezelőt (data controller) és adatfeldolgozót (data processor). Viszont - mint tevékenység - GDPR magyar szövegében a "data processing" és a "data controlling" egyaránt adatfeldolgozásként szerepel. Ennek ellenére a két fogalom között különbséget kell tennünk az alábbiak szerint:
Az adatkezelés az alkalmazott eljárástól függetlenül az adaton végzett bármely művelet vagy a műveletek összessége, így különösen gyűjtése, felvétele, rögzítése, rendszerezése, tárolása, megváltoztatása, felhasználása, lekérdezése, továbbítása, nyilvánosságra hozatala, összehangolása vagy összekapcsolása, zárolása, törlése és megsemmisítése, valamint az adat további felhasználásának megakadályozása, fénykép-, hang- vagy képfelvétel készítése, valamint a személy azonosítására alkalmas fizikai jellemzők (pl. ujj- vagy tenyérnyomat, DNS-minta, íriszkép) rögzítése
Az adatfeldolgozás viszont az adatkezelési műveletekhez kapcsolódó technikai feladatok elvégzése, függetlenül a műveletek végrehajtásához alkalmazott módszertől és eszköztől, valamint az alkalmazás helyétől, feltéve hogy a technikai feladatot az adaton végzik.
A fentiekre tekintettel érdemi különbség van a két tevékenység között, és a hozzájuk kapcsolódó jogi felelősségek is különböznek.
Ha egy szöveg meghatározásszerűen használja az adatfeldolgozást, akkor az nem lehet processing, hiszen a GDPR Magyar fordításának alkalmazásáabn ez adatkezelést jelent.
Javaslatom az, hogy angolul is különböztessük meg fogalomszerűen a kettőt, így az adatfeldolgozást a "processing by data controller" és az adatkezelés "processing by data processor" fogalmakkal írnám le. Természetesen folyó szövegben – ha egyértelmű a kontextusból, hogy miről van szó, akkor adatfeldolgozásra is egyszerűen csak processinget használnék.
Így egyértelmű, hogy az adatfeldolgozó tulajdonképpen azt a tevékenységet - "data processing"-et - végzi el az adatkezelő helyett, amit az adatkezelő rá kiszervezett. A GDPR a két tevékenységet annyiban általánosítja, hogy adatfeldolgozó mindenki, aki az adatkezelő megbízásából adatkezelést végez. Az adatkezelő és adatfeldolgozó között így GDPR alapján lényegében annyi a különbség, hogy adatfeldolgozó az, aki az adatkezelő megbízásából végez adatkezelést, adatkezelő pedig az, aki az adatkezelés célját, módját stb. meghatározza. Tehát aki bármilyen adatkezelést végez, de annak módját, célját, idejét, egyéb feltételeit nem ő, hanem egy harmadik fél határozza meg, úgy az adatfeldolgozó lesz.
