Ką turi turėti duomenų tvarkymo susitarimas?

Ką duomenų tvarkytojas turi nustatyti sutartyje

Duomenų tvarkytojo sutartis turėtų aprašyti, ką duomenų tvarkytoja daro su asmeniniais duomenimis atsakingo asmens naudai ir kokiomis sąlygomis. Tai prasideda pagrindiniais dalykais: tvarkymo dalyku ir trukme, jo pobūdžiu ir tikslu, asmeninių duomenų, apie kuriuos kalbama, tipu ir asmenų kategorijomis. Be šio aprašymo neįmanoma patikrinti, ar tiekėjas laikosi susitarimo sąlygų.

Be to, sutartyje turėtų būti nurodyta keletas pareigų, kurios tiesiogiai išplaukia iš BDAR. Duomenų tvarkytoja tvarko duomenis tik remiantis rašytiniais atsakingo asmens nurodymais, užtikrina, kad asmenys, tvarkantys duomenis, būtų įpareigoti saugoti paslaptį, ir imasi tinkamų saugumo priemonių. Taip pat turėtų būti nustatyta, kas atsitinka, kai duomenų tvarkytoja pasitelkia trečiąją šalį (posūkį), kaip duomenų tvarkytoja padeda betrokams pateikus prašymus ir pranešant apie duomenų saugos pažeidimus, ir kas atsitinka su duomenimis, kai baigiasi paslaugų teikimas — sunaikinimas arba grąžinimas. Dažnai nurodoma ir tai, kad atsakingasis asmuo gali patikrinti, ar laikomasi sutarimo sąlygų, pavyzdžiui, atlikus auditą.

Šaltinis: BDAR 28 straipsnis

Šis sąrašas tiesiogiai iš BDAR 28 straipsnio, kuriame konkrečiai aprašoma, ką duomenų tvarkytojo sutartis turi apimti, kai atsakingasis asmuo pasitelkia duomenų tvarkytoją. EDPB gairės pateikia papildomos gairės, kaip šias nuostatas galima praktikoje pritaikyti, pavyzdžiui, vertinant saugumo priemones arba pasitelkiant posūkius. Dėl tikslios kiekvienos pareigos formuluotės išlieka 28 straipsnio tekstas.