kas atsitinka, jei neturiu duomenų tvarkymo sutarties su mano tiekėju

Be sutarties su duomenų tvarkytoju nevykdote 28 straipsnio BDAR reikalavimų

Jei tiekėjas tvarko asmenines duomenis jūsų vardu, bet nėra duomenų tvarkymo sutarties, tai jau pati savaime yra BDAR pažeidimas — nepriklausomai nuo to, ar tolesni veiksmai su tais duomenimis sukelia papildomus nusižengimus. 28 straipsnis BDAR reikalauja, kad duomenų tvarkytojo įtraukimas būtų užfiksuotas sutartyje ar kitame teisės aktą sudarančiame dokumente; be šio fiksuojimo trūksta teisinės pagrindes bendradarbiavimui, net jei tiekėjas pats atsakingai elgiasi su duomenimis.

Tai aktualu, pavyzdžiui, programinėje įrangoje, kurioje saugomi kliento duomenys, darbuotojų duomenys arba sąskaitos faktūros duomenys: buhalterinės programos, el. pašto siuntimo įrankiai, interneto šioje svetainėje esančios paslaugos. Kas nėra tikras, ar tam tikra priemonė patenka į šį įpareigojimą, gali patikrinti naudodamasis kaip žinau, ar naudojama programa atitinka BDAR tikrinatyti; o klausimas, ar tai taikoma ir buhalteriu, grįžta adresu ar turiu sudaryti duomenų tvarkymo sutartį su savo buhalteriu. Sutarties nebuvimas dažniausiai nepasireiškia savaime, kol neatsitiks duomenų pažeidimas, kol kliento skundas arba tikrinimas — o tada paaiškėja, kad susitarimai nėra užfiksuoti.

Iš kurio 28 straipsnio BDAR tai kyla

28 straipsnis BDAR nustato, kad duomenų tvarkymą vykdantis duomenų tvarkytojas reguliuojamas sutartimi, kurioje privaloma nurodyti daugybę dalykų, tokius kaip tvarkymų tikslas, trukmė ir duomenų tvarkymo pareigos; kurie tiksliai tai yra, aprašyta dalyje ką turi turėti duomenų tvarkytojo sutartis. Šio atsitikimo turėjimo pareiga tenka tiek duomenų valdytojui, tiek duomenų tvarkytojui, ir galioja visoje ES tiesiogiai iš reglamento; kurie asmenys privalo prižiūrėti to laikymąsi, skiriasi pagal šalį — Nyderlanduose tai Asmenines duomenis saugančios institucijos, kitose valstybėse narėse — tos valstybės priežiūros institucija. Daugiau informacijos apie priežiūros instituciją rasite per Asmenines duomenis saugančią instituciją.