Duomenų tvarkymo sutartis: kontrolinis sąrašas internetiniams įrankiams

Beveik kiekvienas įrankis, kurį naudojate savo svetainėje, tvarko duomenis Jūsų pavedimu: žiniatinklio analizė, naujienlaiškis, CRM, šilumos žemėlapis, pokalbių langas. Kai tik kalbama apie asmens duomenis, BDAR reikalauja sutarties su tiekėju. Ji vadinasi duomenų tvarkymo sutartis, vokiškai Auftragsverarbeitungsvertrag, trumpai AV-Vertrag arba AVV. Šis straipsnis paaiškina, kada Jums jos reikia, ką joje privaloma nurodyti ir apie ką pagalvoti renkantis įrankį.

Kada Jums reikia duomenų tvarkymo sutarties

BDAR 28 straipsnis taikomas, kai paslaugų teikėjas tvarko asmens duomenis Jūsų pavedimu ir pagal Jūsų nurodymus. Tuomet Jūs esate duomenų valdytojas, o tiekėjas yra duomenų tvarkytojas. Teisės akto tekstą rasite BDAR EUR-Lex svetainėje.

Ne kiekvienas santykis yra duomenų tvarkymas pavedimu. Verta skirti tris situacijas:

Lemia tai, kas nustato tikslą ir priemones, o ne sutarties pavadinimas. Tiekėjas, kuris duomenis naudoja ir savo tikslams, pavyzdžiui, savo produktams tobulinti už paslaugos Jums ribų, šioje dalyje nebėra duomenų tvarkytojas. Pagal 28 straipsnio 10 dalį duomenų tvarkytojas, pats nustatantis tikslą ir priemones, to tvarkymo atžvilgiu laikomas valdytoju.

Privalomas turinys pagal 28 straipsnio 3 dalį

Sutartyje turi būti nurodytas tvarkymo dalykas ir trukmė, pobūdis ir tikslas, duomenų rūšis ir duomenų subjektų kategorijos. Be to, joje turi būti numatyta, kad duomenų tvarkytojas:

• a) tvarko duomenis tik pagal dokumentuotą nurodymą, taip pat perduodant į trečiąją šalį,
• b) pasitelkia konfidencialumo įsipareigojusius asmenis,
• c) imasi priemonių pagal 32 straipsnį,
• d) laikosi sąlygų dėl kitų duomenų tvarkytojų,
• e) padeda Jums, kai duomenų subjektai pateikia prašymus,
• f) padeda Jums vykdyti pareigas pagal 32 iki 36 straipsnių,
• g) pasibaigus paslaugai, Jūsų pasirinkimu ištrina arba grąžina duomenis,
• h) pateikia įrodymus ir sudaro galimybę atlikti patikras.

Sutartis sudaroma raštu, pakanka elektroninės formos (9 dalis). Pavyzdinį pagrindą siūlo Europos Komisija savo standartinėmis sutarties sąlygomis duomenų tvarkymui. Pagal 28 straipsnio 6 dalį sutartis gali visa arba iš dalies jomis remtis.

Subrangovai

Jei tiekėjas pats pasitelkia paslaugų teikėjus, pavyzdžiui, prieglobos tiekėją, galioja dvi taisyklės iš 28 straipsnio 2 ir 4 dalių:

• Jam reikia Jūsų išankstinio atskiro arba bendro rašytinio leidimo. Esant bendram leidimui, jis turi informuoti Jus apie kiekvieną planuojamą pakeitimą. Tuomet galite prieštarauti.
• Jis turi subrangovams nustatyti tas pačias duomenų apsaugos pareigas. Jei subrangovas jų neįvykdo, pirmasis duomenų tvarkytojas atsako Jums.

Todėl paprašykite tiekėjo naujausio subrangovų sąrašo su buveine ir užduotimi.

Trečioji šalis

Jei duomenys tvarkomi už ES ir EEE ribų arba yra iš ten pasiekiami, papildomai galioja taisyklės dėl perdavimo į trečiąsias šalis (V skyrius, BDAR 44 straipsnis ir kiti). Įprasti trys keliai: Komisijos sprendimas dėl tinkamumo, standartinės sutarties sąlygos perdavimui arba įmonei privalomos taisyklės. JAV nuo 2023 m. taikomas sprendimas dėl tinkamumo dėl ES ir JAV duomenų privatumo sistemos. Jis galioja tik įmonėms, dalyvaujančioms sistemoje. Jis ginčijamas teisme, patikrinkite dabartinę padėtį. Serveris ES išsprendžia klausimą, jei nei tiekėjas, nei subrangovas iš trečiosios šalies negali pasiekti duomenų.

Kontrolinis sąrašas analizės ir rinkodaros įrankiams

1. Išsiaiškinti rolę. Ar tiekėjas tvarko tik Jums, ar ir savo tikslams?
2. Patikrinti sutartį. Ar joje yra visi 28 straipsnio 3 dalies punktai?
3. Aprašyti duomenis. Ar konkrečiai nurodyta duomenų rūšis ir duomenų subjektų kategorijos?
4. Peržiūrėti subrangovus. Ar yra sąrašas ir tvarka pakeitimų atveju?
5. Pasiteirauti dėl serverio vietos. Kur yra duomenys, kas gali juos pasiekti?
6. Dokumentuoti kelią į trečiąją šalį. Koks pagrindas pateisina perdavimą?
7. Sureguliuoti ištrynimą. Kas nutinka duomenims pasibaigus sutarčiai?
8. Perskaityti technines priemones. Šifravimas, prieigos teisės, registravimas.

Sutartį įtraukite į savo dokumentaciją, o įrankį įrašykite į savo duomenų tvarkymo veiklos įrašų registrą pagal BDAR 30 straipsnį. Būtent įrankiams, kurie įkeliami tik po sutikimo, sutartis yra antra, atskira sąlyga. Sutikimas įrenginyje jos nepakeičia, kaip rodo § 25 TDDDG: slapukai ir sekimas Vokietijoje.

Kas gresia už pažeidimus

Jei sutarties nėra arba ji nepilna, priežiūros institucija gali tai užginčyti. Už 28 straipsnio pareigų pažeidimus BDAR 83 straipsnio 4 dalis numato baudas iki 10 milijonų eurų arba iki 2 procentų visos pasaulinės metinės apyvartos, atsižvelgiant į tai, kuri suma didesnė. Tai yra ribos, o ne konkretaus atvejo prognozė.

O Šveicarijoje?

Šveicarijos duomenų apsaugos įstatymas duomenų tvarkymą per duomenų tvarkytojus reguliuoja DSG 9 straipsnyje. Mintis panaši, formuluotė kita. Kas ES kreipiasi į duomenų subjektus, paprastai turi sudaryti sutartį pagal BDAR. Ar tai taikoma Jūsų pasiūlymui, paaiškina Svetainės sekimas Šveicarijoje: revDSG ir FMG.

Dažniausiai užduodami klausimai

Ar man reikia duomenų tvarkymo sutarties, jei įrankis rodo tik įmonių pavadinimus? Tai priklauso nuo to, ar tiekėjas tuo metu tvarko Jūsų asmens duomenis, pavyzdžiui, IP adresus, nors ir trumpam. Abejojant sutartį sudarykite, ji kainuoja beveik nieko. Ar IP adresas yra asmens duomuo, paaiškina IP adresas ir BDAR: ar tai asmens duomuo?.

Ar pakanka sutikti su tiekėjo bendrosiomis sąlygomis? Tik jei jose yra visas privalomas turinys, o nuostata aiškiai atpažįstama kaip sutartis ar priedas. Daugelis tiekėjų duomenų tvarkymo sutartį pateikia sudaryti kaip atskirą dokumentą.

Ar sutartį turiu pasirašyti? Ji turi būti sudaryta raštu. Pagal 28 straipsnio 9 dalį pakanka elektroninės formos, todėl sudarymas paspaudimu yra įprastas.