Klientas atsiuntė BDAR klausimyną apie mūsų duomenų apsaugą – kaip jį užpildyti?

Kai jūsų įmonė tvarko duomenis kliento vardu – teikiate IT, apskaitos, skambučių centro, logistikos ar programinės įrangos paslaugą – jūs esate duomenų tvarkytojas, o klientas – duomenų valdytojas. Už pasirinktą tiekėją atsako valdytojas. Todėl bankai, draudikai, sveikatos priežiūros įstaigos ir tarptautinės grupės prieš pasirašydami sutartį dažnai siunčia ilgus klausimynus.

Klausimynas nėra teisės aktas. Jūsų atsakymai tampa pažadais, kurie gali būti įrašyti į sutartį. Todėl svarbiausia taisyklė: rašykite tai, ką darote, ne tai, ką norėtumėte daryti.

Du laukai, kuriuose lengva suklysti

Subtiekėjai. Tai visi, kurie tvarkys kliento duomenis jūsų pusėje: debesų talpinimas, el. pašto sistema, klientų aptarnavimo platforma, atsarginių kopijų paslauga. BDAR 28 str. 2 d. draudžia pasitelkti kitą tvarkytoją be išankstinio konkretaus ar bendro kliento rašytinio leidimo; esant bendram leidimui, apie pakeitimus reikia pranešti iš anksto. Jei sąrašą pateiksite nepilną ir vėliau paaiškės, kad duomenys eina per dar vieną įmonę, tai bus ir sutarties, ir BDAR 28 str. 2 d. pažeidimas.

Tvarkytojo registras. Jis skiriasi nuo jūsų, kaip valdytojo, registro. BDAR 30 str. 2 d. reikalauja, kad tvarkytojas vestų atskirą registrą: kurių valdytojų vardu tvarkote, kokių kategorijų tvarkymą atliekate, ar perduodate už ES, kokios saugumo priemonės. Įmonei, turinčiai mažiau kaip 250 darbuotojų, ši pareiga netaikoma tik tada, kai tvarkymas atsitiktinis, neturėtų kelti pavojaus ir neapima specialių kategorijų duomenų ar duomenų apie apkaltinamuosius nuosprendžius (30 str. 5 d.) – kliento duomenų tvarkymas paslaugai beveik niekada nėra atsitiktinis.

1. Perskaitykite visą klausimyną prieš pradėdami. Pažymėkite klausimus, į kuriuos atsakymas yra dokumente, ir tuos, kuriems dokumento nėra.
2. Surinkite penkis dokumentus, išvardytus trumpame atsakyme. Jei kurio nors nėra, tai ir yra jūsų pirmoji užduotis, ne klausimyno.
3. Atsakykite trumpai ir patikrinamai. „Duomenys šifruojami" yra silpnas atsakymas. „Duomenų bazė šifruojama AES-256, prieiga – tik per VPN su dviejų veiksnių autentifikacija" yra patikrinamas.
4. Į „ne" atsakykite sąžiningai ir pridėkite datą. „Šiuo metu mokymai nevyksta; pirmieji suplanuoti 2026-11" yra geriau nei „taip", kurio negalėsite įrodyti.
5. Pridėkite dokumentus, kai jų prašoma, bet ne vidaus slaptažodžių politiką ar tinklo schemas. Tokiu atveju užtenka aprašymo.
6. Išsaugokite atsakymų kopiją. Kai tas pats klientas po metų atsiųs atnaujintą klausimyną, turėsite nuo ko pradėti. Kai atsiųs kitas klientas – didžiąją dalį atsakymų jau turėsite.

• Neribotos atsakomybės už bet kokį duomenų pažeidimą. Tai komercinė sąlyga, ne BDAR reikalavimas.
• Pranešimo apie pažeidimą per 1 valandą, jei jūsų procesas to neleidžia. BDAR 33 str. 2 d. sako „nepagrįstai nedelsdamas"; sutartyje gali būti sutarta konkreti valandų riba – rinkitės tokią, kurią tikrai įvykdysite. Nežadėkite ir 72 valandų: tiek laiko turi klientas pranešti VDAI (33 str. 1 d.), todėl jam reikia jūsų informacijos anksčiau.
• Neribotų auditų jūsų patalpose. BDAR 28 str. 3 d. h p. įpareigoja sudaryti sąlygas auditui, įskaitant patikrinimus, todėl jų visiškai atmesti negalima; dažnumą, įspėjimo terminą ir išlaidas galima sutarti.
• Sertifikatų, kurių neturite. ISO 27001 ar kitas sertifikatas nėra privalomas pagal BDAR; neturėdami jo, taip ir parašykite.

Kartu su klausimynu gali atkeliauti ir kliento duomenų tvarkymo sutartis. Perskaitykite ją kartu su savo atsakymais: jei klausimyne nurodėte 48 valandų pranešimo terminą, o sutartyje įrašyta 24 valandos, paprastai bus taikoma pasirašyta sutartis.

Jei klausimynas parodė, kad trūksta dokumentų, pradėkite nuo registro ir duomenų tvarkymo sutarties. Įrankyje nemokamai per kelis klausimus sužinosite, ar jums privalomas tvarkymo veiklų registras. Vienkartinės procedūros už fiksuotą kainą: duomenų tvarkymo sutartis – 49 € be PVM, tvarkymo veiklų registras – 95 € be PVM. Registro šablonus rengiame pagal veiklos sritį: daugiabučių administravimas, e. parduotuvė, įmonė (bendras), IT įmonė, muziejus, odontologijos klinika, poliklinika, restoranas, savivaldybės administracija, socialinės globos namai, sporto klubas, transporto įmonė, vaistinė.

Ar privalau atsakyti į klausimyną?
Įstatymas jūsų neįpareigoja. Bet klientas privalo įsitikinti, kad tiekėjas patikimas (BDAR 28 str. 1 d.), todėl be atsakymų sutarties greičiausiai nebus.

Ar galiu pateikti tą patį atsakymų rinkinį visiems klientams?
Galite, jei jis atitinka tikrovę ir yra atnaujintas. Klausimai skiriasi, bet atsakymai remiasi tais pačiais dokumentais.

Ką daryti, jei nežinau, ar esu tvarkytojas?
Pirma išspręskite rolę: jei pats sprendžiate, kam ir kaip naudoti duomenis, esate valdytojas, ir klausimynas gali būti netinkamas.

Ar klausimyne reikia nurodyti visus darbuotojus, turinčius prieigą?
Paprastai užtenka pareigybių ir jų skaičiaus. Vardų sąrašas nereikalingas, nebent jo prašoma dėl konkrečios priežasties.

• Ar reikia duomenų tvarkymo sutarties su IT paslaugų tiekėju?
• Ar reikia SCC, kai tiekėjas yra už ES ribų?
• Sutartys su paslaugų tiekėjais: ko trūksta dažniausiai

Teisė ir rizika: BDAR auditas, atitikties dokumentai ir konsultacijos – dat.lt

• Valdytojas renkasi tik patikimus tvarkytojus – BDAR 28 str. 1 d.
• Subtiekėjai tik su rašytiniu leidimu – BDAR 28 str. 2 d.; tos pačios sąlygos subtiekėjui – 28 str. 4 d.
• Privalomas sutarties turinys – BDAR 28 str. 3 d.; konfidencialumas – 28 str. 3 d. b p.; auditas – 28 str. 3 d. h p.
• Tvarkytojo registras – BDAR 30 str. 2 d.; išimtis mažesnėms nei 250 darbuotojų įmonėms ir jos ribos – 30 str. 5 d.
• Saugumo priemonės – BDAR 32 str. 1 d.; pavaldžių asmenų tvarkymas tik pagal nurodymus – 32 str. 4 d.
• Tvarkytojas praneša valdytojui apie pažeidimą – BDAR 33 str. 2 d.
• Perdavimai už ES – BDAR 44 ir 46 str.

BDAR skaitytas iš oficialaus lietuviško teksto (OL L 119, 2016-05-04). Tekstas yra bendro pobūdžio informacija ir neatstoja individualios teisinės konsultacijos.