Tiekėjas atsiuntė standartines sutarčių sąlygas (SCC) – kaip pasirinkti modulį ir užpildyti priedus?

SCC turi keturis modulius. Modulis priklauso nuo to, kas esate jūs ir kas yra duomenų gavėjas už Europos ekonominės erdvės (EEE) ribų.

Mažai įmonei dažniausiai tinka antras modulis: jūs valdote klientų ar darbuotojų duomenis, o paslaugų tiekėjas tvarko juos jūsų vardu.

Vienas įspėjimas. SCC galima naudoti tik tiek, kiek importuotojo atliekamas duomenų tvarkymas nepatenka į BDAR taikymo sritį (Sprendimo 2021/914 7 konstatuojamoji dalis). Tai vertinama pagal konkretų tvarkymą, o ne pagal tai, ar tiekėjas apskritai dirba ES rinkoje. Jei gavėjo atliekamam būtent šių duomenų tvarkymui BDAR jau taikomas pagal BDAR 3 str. 2 d. (tvarkymas susijęs su prekių ar paslaugų siūlymu žmonėms ES arba jų elgesio stebėsena), šis SCC rinkinys tam tvarkymui neskirtas. Tokiu atveju pasitarkite su teisininku.

I priedas turi tris skyrius (ketvirtame modulyje – du: A ir B). Jie pildomi laisvu tekstu.

A skyrius – šalys. Kiekvienai šaliai: pavadinimas, adresas, kontaktinio asmens vardas, pavardė, pareigos ir kontaktai, veikla, susijusi su perdavimu, funkcija (duomenų valdytojas ar duomenų tvarkytojas), parašas ir data. Eksportuotojui – ir jo atstovas ES bei už duomenų apsaugą atsakingo asmens kontaktai, jei tokie paskirti.

B skyrius – perdavimo aprašymas. Čia daugiausia darbo. Laukai yra šie:

1. duomenų subjektų kategorijos, pavyzdžiui, „e. parduotuvės pirkėjai“;
2. perduodamų asmens duomenų kategorijos;
3. jautrūs duomenys, jei jų yra, ir jiems taikomi apribojimai ar apsaugos priemonės;
4. perdavimo dažnumas – vienkartinis ar nuolatinis;
5. duomenų tvarkymo pobūdis;
6. perdavimo ir tolesnio tvarkymo tikslai;
7. saugojimo laikotarpis arba jo nustatymo kriterijai;
8. perduodant tvarkytojams – tvarkymo dalykas, pobūdis ir trukmė.

Mūsų rekomendacija: šiuos laukus nukopijuokite iš tvarkymo veiklų registro įrašo. Registre jie jau yra, o dvi versijos, kurios nesutampa, yra blogiau nei viena.

C skyrius – priežiūros institucija. Jei eksportuotojas įsisteigęs Lietuvoje, rašykite Valstybinę duomenų apsaugos inspekciją. SCC 13 sąlygos a punktas kompetentinga laiko instituciją, prižiūrinčią eksportuotoją, o Lietuvoje BDAR taikymą prižiūri VDAI (ADTAĮ 7 str. 1 d.).

II priedas – saugumo priemonės. Paties SCC paaiškinimas reikalauja, kad priemonės būtų aprašytos konkrečiai, ne bendrai. Sakinys „tiekėjas taiko pramonės standartus“ netinka. Tinka, pavyzdžiui, „duomenys šifruojami perduodant ir saugant; prieiga tik su dviejų veiksnių autentifikavimu; prisijungimų žurnalai saugomi 12 mėnesių“. Priede pateiktas galimų priemonių pavyzdžių sąrašas. Verta jį pereiti punktas po punkto, pavyzdžiui: šifravimas, atkūrimas po incidento, prieigos valdymas, fizinė apsauga, žurnalai. Jei šį priedą užpildo pats tiekėjas, jūsų darbas yra perskaityti ir paklausti, ko trūksta.

III priedas – pagalbiniai tvarkytojai. Jis privalomas antram ir trečiam moduliui tik tada, kai 9 sąlygoje pasirinktas konkretus leidimas (SCC 9 sąlygos a punktas, 1 variantas). Jei pasirinktas bendras leidimas, tiekėjas paprastai pateikia savo pagalbinių tvarkytojų sąrašą nuoroda – išsisaugokite jo versiją su data.

SCC tekste yra laukeliai ir variantai. Juos užpildyti ar pasirinkti leidžiama, keisti tekstą – ne.

Pasirašytos SCC dar neužbaigia darbo. SCC 14 sąlygos d punktas reikalauja, kad šalys dokumentais įformintų vertinimą, ar paskirties valstybės teisės aktai ir praktika netrukdo importuotojui laikytis sąlygų, ir pateiktų jį priežiūros institucijai jos prašymu. EDPB rekomendacijose 01/2020 šis darbas suskirstytas į šešis žingsnius. Mažai įmonei jie virsta viena byla su šiais lapais:

1. Perdavimų sąrašas. Kokie tiekėjai, kokiose šalyse, kokie duomenys. EDPB primena, kad perdavimu laikoma ir nuotolinė prieiga iš trečiosios valstybės, pavyzdžiui, techninė pagalba, ir saugojimas debesyje už EEE ribų (EDPB rekomendacijų 01/2020 13 punktas).
2. Perdavimo priemonė. Tinkamumo sprendimas, SCC ar kita BDAR V skyriaus priemonė (pavyzdžiui, kita 46 str. priemonė arba, pavieniais atvejais, 49 str. išimtis).
3. Vertinimas. SCC 14 sąlygos b punkte išvardyta, į ką atsižvelgiama: konkrečios perdavimo aplinkybės, paskirties valstybės teisė ir praktika, papildomos apsaugos priemonės. Tiekėjas pagal 14 sąlygos c punktą garantuoja, kad dėjo visas pastangas pateikti jums reikiamą informaciją, ir įsipareigoja toliau bendradarbiauti. Paprašykite jo informacijos. Jei jis turi parengtą savo vertinimą, prisekite jį prie bylos kaip šaltinį, bet išvadą užrašykite patys.
4. Papildomos priemonės. Pavyzdžiui, šifravimas, kurio raktus laikote jūs.
5. Pasirašytos SCC su priedais.
6. Peržiūros data. EDPB šeštasis žingsnis – vertinimą peržiūrėti tinkamais intervalais. Mūsų rekomendacija – kartą per metus ir kaskart, kai tiekėjas praneša apie pasikeitimą.

Registre prie proceso įrašykite perdavimą į trečiąją valstybę ir tos valstybės pavadinimą (BDAR 30 str. 1 d. e p.). Mūsų rekomendacija – pridėti ir priemonę, pavyzdžiui, „SCC, antras modulis, pasirašyta 2026-03-10“, bei nuorodą į bylą.

Privatumo pranešime reikia nurodyti ketinimą perduoti duomenis į trečiąją valstybę, ar yra Komisijos sprendimas dėl tinkamumo, o kai remiatės 46 straipsniu – apsaugos priemones ir būdą gauti jų kopiją arba kur su jomis galima susipažinti (BDAR 13 str. 1 d. f p.; kai duomenys gauti ne iš paties žmogaus – 14 str. 1 d. f p.).

JAV įmonei, įtrauktai į Duomenų privatumo sistemos sąrašą, perdavimas grindžiamas Komisijos tinkamumo sprendimu (Sprendimo 2023/1795 1 straipsnis; BDAR 45 str. 1 d.). Prieš pasirašydami patikrinkite sąrašą: ar tiekėjas jame yra, ar jo sertifikavimas galioja ir ar jis apima jūsų duomenų rūšį. Ekrano kopiją su data įdėkite į bylą. Jei tiekėjo sąraše nėra, reikia kitos BDAR V skyriaus priemonės – mažai įmonei dažniausiai SCC.

Šiandien surašykite visus tiekėjus, kurių serveriai ar pagalba yra už EEE ribų, ir prie kiekvieno pažymėkite modulį. Tada užpildykite I priedo B skyrių iš registro. Įrankyje nemokamai sužinosite, ar jums privalomas tvarkymo veiklų registras – nuo jo prasideda ir perdavimo byla.

Ar galima SCC tekstą pataisyti, kad tiktų mūsų sutarčiai?
Ne. Leidžiama pasirinkti modulį, pažymėti tekste numatytus variantus ir užpildyti priedus. SCC galima įdėti į platesnę sutartį ir pridėti kitų sąlygų, jei jos tiesiogiai ar netiesiogiai neprieštarauja SCC ir nepažeidžia žmonių pagrindinių teisių ir laisvių (SCC 2 sąlygos a punktas).

Tiekėjas turi savo duomenų tvarkymo sutartį su įdėtomis SCC. Ar reikia atskiro dokumento?
Nebūtinai. Patikrinkite tris dalykus: kuris modulis pasirinktas, ar užpildyti priedai ir ar jūs juose įvardyti teisingai – kaip duomenų valdytojas.

Ar SCC reikia, jei tiekėjo serveriai yra ES, bet pagalba teikiama iš Indijos?
Nuotolinė prieiga iš trečiosios valstybės EDPB vertinimu irgi yra perdavimas (EDPB rekomendacijų 01/2020 13 punktas). Paklauskite tiekėjo, kokią perdavimo priemonę jis naudoja pagalbos komandai, ir įrašykite atsakymą į bylą.

Kam reikia rodyti perdavimo vertinimą?
Priežiūros institucijai, jei ji paprašys (SCC 14 sąlygos d punktas). Klientui ar žmogui jo rodyti SCC nereikalauja, bet klientas savo klausimyne gali apie jį paklausti.

• Ar reikia SCC, kai tiekėjas yra už ES ribų?
• Ar reikia duomenų tvarkymo sutarties su IT paslaugų tiekėju?
• Klientų duomenų perdavimas partneriui: penkių žingsnių patikra
• Saugumo priemonių aprašas

Teisė ir rizika: Duomenų perdavimas už EEE ribų: kada reikia standartinių sąlygų – dat.lt

• SCC tekstas ir nekeičiamumas – Komisijos įgyvendinimo sprendimas (ES) 2021/914, priedo 2 sąlygos a punktas; kada SCC netinka – 7 konstatuojamoji dalis
• Pasirenkamos sąlygos – SCC 7, 9, 11, 13, 17 ir 18 sąlygos; vertinimas – 14 sąlygos b, c ir d punktai; priedai – I, II ir III priedai
• Kai registras netaikomas – BDAR 30 str. 5 d.; teritorinė taikymo sritis – 3 str. 2 d.
• Tinkamos apsaugos priemonės – BDAR 46 str. 1 d. ir 2 d. c p.; tinkamumo sprendimai – 45 str. 1 d.
• ES ir JAV duomenų privatumo sistema – Komisijos įgyvendinimo sprendimas (ES) 2023/1795, 1 straipsnis
• Perdavimai registre – BDAR 30 str. 1 d. e p.
• Informavimas apie perdavimą – BDAR 13 str. 1 d. f p. ir 14 str. 1 d. f p.
• Priežiūros institucija Lietuvoje – ADTAĮ 7 str. 1 d.
• Sutartis trečiojo asmens naudai – CK 6.191 str. 1 d.
• Šeši žingsniai ir nuotolinė prieiga – EDPB rekomendacijos 01/2020, 2.0 versija, 8–13 ir 67–68 punktai (tekstas anglų kalba)

Teisės aktai patikrinti 2026-09-25: BDAR – oficialus lietuviškas tekstas (OL L 119, 2016-05-04) su klaidų ištaisymais; Sprendimas 2021/914 – OL L 199, 2021-06-07; ADTAĮ – e-tar.lt galiojanti redakcija nuo 2026-06-30; CK – e-tar.lt galiojanti redakcija nuo 2026-07-31. Tekstas yra bendro pobūdžio informacija ir neatstoja individualios teisinės konsultacijos.