Ar reikia duomenų tvarkymo sutarties su IT paslaugų tiekėju?
Trumpas atsakymas
Taip, jei tiekėjas jūsų vardu tvarko asmens duomenis — o prieiga prie sistemos, kurioje tie duomenys guli, jau yra tvarkymas. Tokiu atveju reikia atskiros duomenų tvarkymo sutarties arba atitinkamo priedo prie pagrindinės sutarties.
Kas šiame puslapyje
1.Kada tiekėjas yra duomenų tvarkytojas
Tiekėjas yra duomenų tvarkytojas, kai tvarko duomenis pagal jūsų nurodymus ir jūsų tikslais: prižiūri serverius, administruoja pašto sistemą, tvarko klientų valdymo programą, teikia buhalterinės apskaitos paslaugas, prižiūri vaizdo stebėjimo įrangą. Nesvarbu, ar jis duomenis skaito kasdien — svarbu, kad turi galimybę juos pasiekti vykdydamas sutartį.
Kitaip yra tada, kai tiekėjas duomenis naudoja savo tikslais ir pats sprendžia, kaip juos tvarkyti: tuomet jis yra atskiras duomenų valdytojas, o santykį reikia aprašyti kitaip. Šį skirtumą verta nustatyti prieš pasirašant, nes nuo jo priklauso visa sutarties struktūra.
2.Ką sutartis turi apimti
Sutartyje nurodoma tvarkymo dalykas, trukmė, pobūdis ir tikslas, duomenų rūšys ir duomenų subjektų kategorijos. Toliau — tiekėjo pareigos: tvarkyti tik pagal dokumentuotus nurodymus, užtikrinti konfidencialumą, taikyti saugumo priemones, padėti jums atsakyti į asmenų prašymus ir pranešti apie pažeidimus nedelsiant.
Atskirai aptariami subtiekėjai: ar jie leidžiami, kaip apie juos pranešama ir ar galite prieštarauti. Ir pabaiga — ką tiekėjas daro su duomenimis pasibaigus sutarčiai: grąžina ar sunaikina, per kiek laiko ir kaip tai patvirtina. Privalomą sutarties turinį žr. BDAR 28 str. 3 d.
3.Patikrinkite, ar sutarties jau neturite
Dažnai duomenų tvarkymo sąlygos jau yra pagrindinės sutarties priede arba tiekėjo bendrosiose sąlygose, tik apie jas niekas neprisimena. Prieš rašydami naują dokumentą, peržiūrėkite turimą sutartį ir tiekėjo svetainėje skelbiamas sąlygas.
Jei sąlygos yra, patikrinkite, ar jos atitinka tikrovę: ar išvardytos tos duomenų rūšys, kurias tiekėjas iš tikrųjų mato, ar nurodyti subtiekėjai, ar aprašytas duomenų likimas pasibaigus sutarčiai. Formaliai egzistuojanti, bet netiksli sutartis apsaugo mažiau, nei atrodo.
4.Kaip nepasimesti tarp tiekėjų
Paprasčiausias būdas — tiekėjų sąrašas registre: pavadinimas, paslauga, kokius duomenis mato, ar pasirašyta sutartis, ar duomenys išeina už Europos ekonominės erdvės ribų. Toks sąrašas iškart parodo spragas ir labai pagreitina atsakymą į patikrinimo klausimus.
Sąrašą verta peržiūrėti kartą per metus ir kaskart, kai atsiranda nauja sistema. Nauja programa beveik visada reiškia naują tiekėją, o naujas tiekėjas — naują sutartį arba bent jos patikrinimą.
Oficialus teisės akto tekstas
Reglamento nuostatų čia neperpasakojame. Oficialus BDAR tekstas lietuvių kalba yra vienoje vietoje ir yra tikslesnis už bet kokį atpasakojimą.
BDAR tekstas lietuvių kalba (EUR-Lex)