Naujus metus pradėkite pasirūpindami asmens duomenų apsauga
Ar Jūs teikiate paslaugas ir tuo tikslu tvarkote fizinių asmenų asmens duomenis?
O galbūt asmens duomenis už Jus tvarko kita bendrovė ar fizinis asmuo?
Jeigu į bent vieną iš šių klausimų atsakėte – taip, žemiau pateikta informacija Jums bus aktuali.
Asmens duomenų tvarkymo sutartys su verslo partneriais
Įprastai bendrovės pačios visų asmens duomenų tvarkymo operacijų neatlieka. Jos įgalioja tai atlikti kitus subjektus, pavyzdžiui, saugo asmens duomenis debesyse (angl. cloud services) arba perkelia dalį funkcijų kitai bendrovei ar fiziniam asmeniui (angl. outsourcing). Šiuo tikslu būtina sudaryti asmens duomenų tvarkymo sutartis.
Valstybinės duomenų apsaugos inspekcijos (VDAI) direktorius 2021-12-27 įsakymu patvirtino standartines asmens duomenų tvarkymo sutarčių sąlygas (lietuvių kalba) (anglų kalba). Šio teisės akto tikslas - padėti tiksliai ir aiškiai suformuluoti šalių teises, pareigas ir atsakomybes bei užtikrinti šių sutarčių atitiktį Bendrojo duomenų apsaugos reglamento (BDAR) reikalavimams, užtikrinant duomenų subjektų teisių įgyvendinimą, duomenų apsaugos rizikų mažinimą ir kt..
Iki šiol praktikoje asmens duomenų tvarkymo sutartys buvo sudaromos nenuosekliai. Dažnai sutarties šalys nesuprasdavo, kokį vaidmenį jos atlieka (duomenų valdytojo ar duomenų tvarkytojo), nebuvo aiškios atsakomybės ribos, pamirštama detalizuoti taikomas duomenų saugumo priemones, nurodyti duomenų laikymo vietas, terminus veiksmams atlikti ir pan. Dėl to kildavo neaiškumų ir praktinių problemų.
Kokius žingsnius įmonės turi atlikti?
Pažymėtina, kad VDAI priimtos standartinės duomenų tvarkymo sutarčių sąlygos nėra privalomos. Jos yra rekomendacinio pobūdžio ir pagalbinė priemonė, padedanti suprasti sutartims BDAR keliamus reikalavimus (t. y. geroji praktika). Todėl įmonės neprivalo persirašyti jau sudarytų duomenų tvarkymo sutarčių arba sudaryti naujų sutarčių griežtai laikydamosi VDAI patvirtinto standarto.
Visgi verslas turėtų atlikti keletą žingsnių, kad užtikrintų teisingą asmens duomenų tvarkymą:
- peržiūrėti, ar esamose asmens duomenų tvarkymo sutartyse nurodytos visos BDAR 28 straipsnio 3 dalyje nustatytos duomenų tvarkytojo pareigos, ar sutartyse aptartos kitos privalomos nuostatos (gali būti įvertintina, atsižvelgiant į VDAI patvirtintas standartines duomenų tvarkymo sutarčių sąlygas);
- jeigu pastebėti trūkumai, atnaujinti sutartis, įtraukiant privalomas sąlygas;
- arba sudaryti naują sutartį pagal arba atsižvelgiant į VDAI rekomenduojamas standartines sutarčių sąlygas.
BDAR skatina duomenų valdytojus ir duomenų tvarkytojus taikyti dar griežtesnes nei BDAR nustato duomenų apsaugos priemones. Todėl į duomenų tvarkymo sutartis galima įtraukti platesnės apimties susitarimus ir papildomas/kitas nuostatas, kurios neprieštarautų standartinėms sutarčių sąlygoms bei BDAR.
Apibendrinant, pagal VDAI išleistą gerąją praktiką atsinaujinę duomenų tvarkymo sutartis su savo verslo partneriais, išvengsite nesusipratimų ir praktinių problemų, užtikrinsite tinkamą savo klientų (duomenų subjektų) teisių ir laisvių apsaugą.
Susisiekite su mumis
