Prema smjernicama nizozemskog nadzornog tijela odgovorni su voditelj i izvršitelj obrade.

Voditelj obrade je u prekršaju ako surađuje s izvršiteljem bez da je prethodno ugovorom uredio taj odnos te ako nije u mogućnosti dokazati da izvršitelj obrade jamči primjerene mjere zaštite podataka. S druge strane, izvršitelj obrade koji, po definiciji, obrađuje podatke u ime voditelja obrade, bez pisanog ugovora s jasnim uputama nezakonito obrađuje podatke.

Najvažnije – pri određivanju prava i obveza koje proizlaze iz poslovnog odnosa uzima se u obzir činjenično stanje i narav odnosa. Ovo u praksi znači da će se ugovorna strana koja je u ugovoru (pogrešno) definirana kao izvršitelj, a sama određuje svrhe i sredstva obrade, smatrati voditeljem obrade.

Napominjemo kako su u praksi vrlo česti slučajevi poslovnog odnosa dvaju voditelja obrade, a zbog pogrešnog razumijevanja GDPR-a ili prevelikog opreza “jača” ugovorna strana “slabijoj” nameće obvezu potpisivanja ugovora o obradi po članku 28.