Duomenų tvarkymo sutartis yra rašytinis susitarimas tarp dviejų šalių: tarp tos, kuri nustato, kodėl ir kaip asmens duomenys tvarkomi, ir tos, kuri tai atlieka jos vardu. Pirmoji vadinasi BDAR vadybininko (datos tvarkytojo), antroji – duomenų tvarkytojo. Tokia sutartis jums reikalinga, kai asmens duomenis perduodate kitai bendrovei, pavyzdžiui, atlyginimo administravimo biurui, hosting paslaugų teikėjui arba SaaS įrankiui, kuriame saugomi kliento duomenys.
Esmė paprasta: įstatymas reikalauja šio susitarimo, nes duomenų valdytojas lieka atsakingas už tai, kas vyksta su duomenimis, net jei kitą bendrovę atlieka techninį darbą. Be aiškių susitarimų nėra paaiškinta, ką ta kita šalis gali ir negali daryti su duomenimis, kiek laiko jie saugomi ir kas nutinka duomenų pažeidimo atveju. Duomenų tvarkymo sutartis daro šį pasiskirstymą matoma.
Kada yra duomenų tvarkytojo
Ne kiekviena šalis, su kuria bendradarbiaujate, yra duomenų tvarkytojo. Buhalteris, kuris parengia metinę ataskaitą savo profesine atsakomybe, dažniausiai pats yra duomenų valdytojas tos užduoties atžvilgiu. Debesies paslauga, kuri saugo ir tvarko jūsų klientų bazę pagal jūsų nurodymus, dažniausiai yra duomenų tvarkytojo. Skirtumas yra klausime, kas nustato tvarkymo tikslą ir priemones. Jei abejojate, ar šalis yra duomenų tvarkytojo, BDAR pranešejas suteiks jums orientaciją, ir jūs taip pat galite tai išsiaiškinti kiekvienoje situacijoje. žinynoje su BDAR temomis pagal situaciją.
Kas turi būti minimaliai nurodyta
BDAR nurodo dalį temų, kurios turi būti susitartos duomenų tvarkymo sutartyje: tvarkymo dalykas ir trukmė, jos pobūdis ir tikslas, asmens duomenų rūšis ir asmenų kategorijos, duomenų valdytojo pareigos ir teisės, susitarimai dėl saugumo, konfidencialumo, antrinių pasitenkinimo vykdytojų ir to, kaip dalyvaudamas atliekamose kontrolėse. Jame taip pat nurodyta, kaip tvarkomas galimas duomenų pažeidimas duomenų tvarkytojo atžvilgiu, ir kas nutinka duomenims, kai bendradarbiavimas baigiasi.
Šis sąrašas yra tiesiogiai iš pačios reglamento; jei norite perskaityti tikslią formuluotę, ją rasite EUR-Lex. Priežiūros institucijos, pvz., EDPB, taip pat paskelbė gaires, kaip šios nuostatos praktikoje aiškinamos, pavyzdžiui, dėl to, kada antrinis tvarkytojas turi būti praneštas iš anksto.
Kas sudarė sutartį
Praktikoje dažnai didesnė šalis pateikia šabloną: programinės įrangos tiekėjas siunčia savo duomenų tvarkymo sutartį kartu su prenumeratos pradžia, arba klientas jums siunčia ją, nes jūs jo duomenis tvarkote. Tai nereiškia, kad turite tiesiog pasirašyti pateiktą tekstą. Rekomenduojama patikrinti, ar visos minėtos temos yra, ar saugumo susitarimai atitinka tai, ko tikitės iš kitos šalies, ir ar atsakomybė pagrįstai paskirstyta. Abejojant konkrečia nuostata, protinga ją konsultuoti su teisininku.
Kodėl tai daugiau nei parašas
Duomenų tvarkymo sutartis nėra formalumas, kurį reglamentuojate vieną kartą ir pamiršate. Kai tik keičiate įrankio tiekėją, įtraukiate antrinį tvarkytoją į ES ribas, arba pasikeičia duomenų tvarkymo pobūdis, gali pasikeisti esama sutartis. Bendrovės, dirbančios su keliomis SaaS priemonėmis, greitai turi dešimt ar dvidešimt tokių sutarčių, kurių kiekviena turi savo galiojimo laiką ir savus susitarimus. Sekti, kokios sutartys yra, kurios pasenusios ir kurios trūksta, yra atskira užduotis šalia kasdieninės verslo veiklos.
Taip pat saugumo susitarimai, kurie yra sutartyje, nusipelno dėmesio: jie ką nors sako apie tai, kaip duomenų tvarkytojo elgiasi su prieiga, šifravimu ir pranešimais apie incidentus. Daugiau apie tai, kas yra susijusi, skaitykite puslapyje apie asmenų duomenų apsaugą duomenų tvarkytojų atžvilgiu.
Ką galite daryti patys
Kiekvieno naujo bendradarbiavimo metu patikrinkite, ar dalijamasi asmeniniais duomenimis, ir jei taip, ar reikalinga ir yra duomenų tvarkymo sutartis. Tvarkingai saugokite šias sutartis kartu su tvarkymo veiklos registru, kuriame nurodyta, kuris įrankis tvarko kokius duomenis. Jei abejojate, ar konkreti sutartis yra pilna, galite ją nemokamai patikrinti pagal pagrindinius komponentus. Dažnai užduodamų klausimų apie šią temą, pavyzdžiui, ką daryti, jei tiekėjas nenori pasirašyti sutarties, apžvalgą rasite dažnai užduodamų klausimų apie BDAR puslapyje.
Norėdami sužinoti, kaip tai tinka jūsų konkrečiai situacijai, pavyzdžiui, kiek duomenų tvarkymo sutarčių jums tikriausiai reikalinga ir kurios iš jų reikalauja dėmesio? Atlikite nemokamą greitą skenavimą arba užregistruokite verslo paskyrą, kad stebėtumėte apžvalgą. Taip per kelias minutes pamatysite, kur stovite, neprisiimant jokių nedelsiant atliekamų įsigaliojimų.