Norime perduoti klientų duomenis partneriui – kaip tai padaryti teisėtai?

Tai svarbiausias klausimas, nes nuo jo priklauso visa kita:

Jei partneris yra tvarkytojas ar bendras valdytojas, žr. susijusius atsakymus apačioje. Toliau – apie savarankišką valdytoją.

Perdavimas yra tvarkymas, todėl jam reikia vieno iš BDAR 6 str. 1 d. pagrindų. Dažniausiai:

• Sutikimas (a p.) – žmogus pats pažymėjo, kad sutinka, jog jo duomenys būtų perduoti konkrečiam partneriui.
• Sutarties vykdymas (b p.) – perdavimas būtinas paslaugai, kurią žmogus užsakė, pvz., kurjeriui pristatyti prekę.
• Teisinė prievolė (c p.) – įstatymas reikalauja pateikti duomenis institucijai.
• Teisėtas interesas (f p.) – po pusiausvyros testo. Užrašyti testo BDAR tiesiogiai nereikalauja, bet be įrašo jo neįrodysite (5 str. 2 d., 24 str. 1 d.).

Savo pagrindo reikia ir partneriui: jo paties tvarkymui taip pat taikomas BDAR 6 str. 1 d.

Tada tikslų suderinamumas. BDAR 5 str. 1 d. b p.: duomenys renkami konkrečiais tikslais ir toliau netvarkomi su jais nesuderinamu būdu. Jei naujas tikslas skiriasi ir nėra grindžiamas žmogaus sutikimu ar įstatymu, kuris yra būtina ir proporcinga priemonė 23 str. 1 d. tikslams, BDAR 6 str. 4 d. reikalauja atsižvelgti, be kita ko, į penkis dalykus:

1. ryšį tarp senojo ir naujojo tikslo;
2. aplinkybes, kuriomis duomenys surinkti, ypač santykį su žmogumi;
3. duomenų pobūdį – ar tai specialių kategorijų duomenys ar duomenys apie apkaltinamuosius nuosprendžius;
4. galimas pasekmes žmogui;
5. apsaugos priemones, pvz., šifravimą ar pseudonimizavimą.

Pavyzdys: e. parduotuvė norėtų perduoti pirkėjų el. pašto adresus partneriui, kad šis siųstų savo pasiūlymus. Pirkėjai davė adresą pirkimui. Ryšys tarp tikslų silpnas, žmogus to nesitiki – suderinamumo nėra. Reikia sutikimo.

Duomenų kiekio mažinimas (BDAR 5 str. 1 d. c p.): perduokite tik tuos laukus, kurių partneriui reikia. Jei jam reikia tik miesto ir pirkinio kategorijos, vardų ir adresų neperduokite.

Jūsų pusė. BDAR 13 str. 1 d. e p.: informacijoje žmonėms turi būti nurodyti gavėjai arba jų kategorijos. Jei privatumo pranešime partnerio nėra, o naujas tikslas atsirado vėliau, 13 str. 3 d. reikalauja informuoti prieš perduodant.

Partnerio pusė. Gavęs duomenis ne iš paties žmogaus, partneris privalo jį informuoti pagal BDAR 14 str. – per pagrįstą laikotarpį, bet ne vėliau kaip per mėnesį. Anksčiau, jei tai įvyksta pirmiau: kai pirmą kartą susisiekia su žmogumi arba kai pirmą kartą atskleidžia duomenis kitam gavėjui (14 str. 3 d. a, b ir c p.). Saugiausia laikyti, kad mėnesio riba galioja visada. Pranešime jis turi nurodyti ir duomenų šaltinį – jus (14 str. 2 d. f p.).

BDAR nereikalauja sudaryti sutarties tarp savarankiškų valdytojų; tai gera praktika. Bet BDAR 24 str. 1 d. reikalauja galėti įrodyti atitiktį, todėl trumpas duomenų teikimo susitarimas yra geriausias įrodymas. Mūsų rekomendacija – dešimt punktų:

1. šalys ir jų rolės – abi savarankiški valdytojai;
2. kokie duomenys perduodami (laukų sąrašas);
3. kokiam tikslui partneris juos naudos;
4. teisinis pagrindas, kuriuo remiasi abi šalys;
5. kaip ir kada perduodama, saugiu kanalu;
6. kiek laiko partneris saugos;
7. kad partneris neperduos toliau be naujo pagrindo;
8. kas informuoja žmones ir kaip;
9. kaip šalys praneša viena kitai apie prašymus ir pažeidimus;
10. kaip sprendžiama, kai žmogus atšaukia sutikimą.

Tvarkymo veiklų registre prie proceso nurodykite gavėjų kategoriją – to reikalauja BDAR 30 str. 1 d. d p. Konkretų partnerį ir kur saugomas susitarimas verta nurodyti papildomai, nors tai daugiau nei minimumas. Jei partneris yra už Europos ekonominės erdvės ribų, prisideda perdavimų taisyklės.

Prieš pirmą perdavimą praeikite penkis žingsnius ir išsaugokite atsakymus. Įrankyje nemokamai sužinosite, ar jums privalomas tvarkymo veiklų registras, kuriame bus matyti ir visi duomenų gavėjai.

Ar galima perduoti duomenis grupės įmonei?
Grupės įmonė yra atskiras juridinis asmuo, todėl taikomi tie patys penki žingsniai. BDAR 48 konstatuojamoji dalis pripažįsta, kad įmonių grupė gali turėti teisėtą interesą persiųsti klientų ar darbuotojų duomenis vidaus administraciniais tikslais. Rinkodarai tai netaikoma.

Ar reikia žmogaus sutikimo kiekvienam perdavimui?
Ne, jei turite kitą pagrindą, pvz., sutarties vykdymą. Sutikimo reikia tada, kai kito pagrindo nėra, dažniausiai – perduodant rinkodarai.

Ar galima perduoti partneriui klientų el. paštus rinkodarai?
Tik su žmonių sutikimu, duotu būtent tam. Rinkodarai el. paštu taip pat taikomos atskiros elektroninių ryšių taisyklės.

Kas atsako, jei partneris duomenis naudos netinkamai?
Už savo tvarkymą – partneris, nes jis savarankiškas valdytojas. Už patį perdavimą be pagrindo – jūs.

• Kaip atlikti teisėto intereso pusiausvyros testą?
• Ar galime siųsti naujienlaiškį esamiems klientams?

Teisė ir rizika: BDAR auditas, atitikties dokumentai ir konsultacijos – dat.lt

• Teisiniai pagrindai – BDAR 6 str. 1 d.; tikslų suderinamumo kriterijai – 6 str. 4 d.
• Tikslo apribojimas ir duomenų kiekio mažinimas – BDAR 5 str. 1 d. b ir c p.
• Gavėjai informacijoje žmonėms – BDAR 13 str. 1 d. e p.; naujas tikslas – 13 str. 3 d.
• Gavėjo pareiga informuoti – BDAR 14 str. 1 ir 2 d.; terminai – 14 str. 3 d. a, b ir c p.; šaltinis – 14 str. 2 d. f p.; išimtys, pvz., kai žmogus informaciją jau turi – 14 str. 5 d.
• Įmonių grupės vidaus administravimas – BDAR 48 konstatuojamoji dalis
• Atskaitomybė – BDAR 5 str. 2 d.
• Pareiga įrodyti atitiktį – BDAR 24 str. 1 d.
• Bendri valdytojai – BDAR 26 str. 1 d.; tvarkytojo sutartis – 28 str. 3 d.
• Gavėjai registre – BDAR 30 str. 1 d. d p.

BDAR skaitytas iš oficialaus lietuviško teksto (OL L 119, 2016-05-04). Tekstas yra bendro pobūdžio informacija ir neatstoja individualios teisinės konsultacijos.