Duomenų tvarkymas pasitelkiant tiekėjus: ko praktikoje reikalauja BDAR 28 straipsnis?

Duomenų tvarkytojas – tai asmuo, kuris tvarko asmens duomenis duomenų valdytojo vardu ir pagal jo nurodymus (BDAR 4 straipsnio 8 punktas). Įprasti atvejai – prieglobos ir duomenų centrų paslaugos, programinė įranga kaip paslauga, IT priežiūra su prieiga prie duomenų arba laiškų ir el. laiškų siuntimas užsakovo vardu.

Duomenys netvarkomi užsakovo vardu, jei paslaugų teikėjas apskritai neturi prieigos prie asmens duomenų arba pats nustato duomenų tvarkymo tikslus ir priemones.

Pagal BDAR 28 straipsnio 3 dalį sutartyje nustatomi duomenų tvarkymo dalykas ir trukmė, pobūdis ir tikslas, asmens duomenų rūšis, duomenų subjektų kategorijos ir duomenų valdytojo prievolės bei teisės. Duomenų tvarkytojas visų pirma įsipareigoja duomenis tvarkyti tik pagal dokumentais įformintus nurodymus (a punktas), užtikrinti konfidencialumą (b punktas), imtis 32 straipsnyje reikalaujamų priemonių (c punktas), laikytis subtvarkytojams taikomų taisyklių (d punktas), padėti įgyvendinti duomenų subjektų teises (e punktas) ir vykdyti 32–36 straipsniuose nustatytas prievoles (f punktas), pasibaigus paslaugų teikimui duomenis ištrinti arba grąžinti (g punktas) ir pateikti visą reikiamą informaciją bei sudaryti sąlygas atlikti auditus (h punktas).

Sutartis turi būti sudaryta raštu, įskaitant elektroninę formą (28 straipsnio 9 dalis). Jos pagrindu gali būti naudojamos Europos Komisijos standartinės sutarčių sąlygos (Įgyvendinimo sprendimas (ES) 2021/915).

Dar prieš sudarydamas sutartį užsakovas turi patikrinti, ar tiekėjas suteikia pakankamas garantijas (28 straipsnio 1 dalis). Joms priskiriamos dokumentais pagrįstos techninės ir organizacinės priemonės pagal 32 straipsnį – pavyzdžiui, prieigos apsauga, šifravimas, atsarginės kopijos ir reguliaraus testavimo procedūros.

Patvirtintų elgesio kodeksų laikymasis arba sertifikavimas pagal BDAR gali būti naudojami kaip elementas, kuriuo įrodomos pakankamos garantijos (28 straipsnio 5 dalis). Paties patikrinimo jie nepakeičia.

Kitus duomenų tvarkytojus tiekėjas gali pasitelkti tik turėdamas išankstinį konkretų arba bendrą rašytinį leidimą (28 straipsnio 2 dalis). Bendro leidimo atveju jis informuoja užsakovą apie kiekvieną numatomą pakeitimą, o užsakovas gali jam prieštarauti.

Subtvarkytojui turi būti nustatytos tos pačios duomenų apsaugos prievolės; jei jis jų nevykdo, tiekėjas lieka atsakingas užsakovui (28 straipsnio 4 dalis).

Dažnai sutarties apskritai nėra arba ji kartą pasirašyta ir daugiau niekada neperžiūrėta. Ne mažiau dažni pasenę subtvarkytojų sąrašai, techninės ir organizacinės priemonės, aprašytos bendrais šabloniniais tekstais be sąsajos su paslauga, ir nesureguliuotas duomenų ištrynimas pasibaigus sutarčiai.

Pagal BDAR 83 straipsnio 4 dalį už 28 straipsnyje nustatytų prievolių pažeidimus gali būti skiriamos baudos iki 10 mln. eurų arba iki 2 % visos pasaulinės metinės apyvartos, atsižvelgiant į tai, kuri suma didesnė.

Vendo4u katalogas klausia apie aspektus, kurie svarbūs atliekant patikrinimą pagal 28 straipsnį, – ar yra duomenų tvarkymo sutartis, kur tvarkomi duomenys, kokie subtvarkytojai pasitelkiami, – o tiekėjai prideda susijusius dokumentus. Pirkėjai visų tiekėjų informaciją mato ta pačia struktūra ir kartu su eksportu ją saugo savo byloje.