9 modulis · 9.2
Duomenų tvarkymo sutartis ir subtvarkytojai
9 modulis: Žmonės ir taisyklės · Skaitymo trukmė: 11 min.
Mokymosi tikslas: Po šios pamokos galėsite perskaityti duomenų tvarkymo sutartį ir patikrinti, ar joje yra visi BDAR reikalaujami punktai, bei įvertinti subtvarkytojų sąrašą.
Pagrindinės sąvokos: duomenų tvarkymo sutartis (DTS, DPA), BDAR 28 straipsnio 3 dalis, rašytiniai nurodymai, konfidencialumas, saugumo priemonės, subtvarkytojas, bendras ar konkretus leidimas, teisė prieštarauti, pagalba, grąžinimas arba ištrynimas, auditas, perdavimas už EEE ribų, pranešimo apie duomenų saugumo pažeidimą terminas, standartinės sutarčių sąlygos duomenų tvarkytojams
Kodėl reikalinga duomenų tvarkymo sutartis?
1.2 pamokoje matėte vaidmenis: kepyklėlė „Bakkerij De Korrel“ yra duomenų valdytoja, debesijos paslauga yra duomenų tvarkytoja. BDAR 28 straipsnio 3 dalis reikalauja, kad duomenų tvarkytojo atliekamas tvarkymas būtų reglamentuojamas sutartimi (ar kitu teisės aktu), kuri būtų sudaryta raštu. Elektroninė forma taip pat leidžiama. Tai yra duomenų tvarkymo sutartis, sutrumpintai DTS; angliškai Data Processing Agreement (DPA) arba Data Processing Addendum.
Didelių debesijos paslaugų atveju patys dokumento nepasirašote: DTS yra sąlygų, su kuriomis sutinkate, dalis, arba pažymite varnelę administravimo skydelyje. Mažesnių paslaugų teikėjų atveju kartais atsisiunčiate dokumentą, įrašote savo duomenis ir pasirašote. Bet kuriuo atveju, kaip duomenų valdytojas, turite galėti parodyti, kad DTS egzistuoja ir kas joje numatyta.
Tai yra paaiškinimas, ne teisinė konsultacija. Jei abejojate dėl savo sutarčių, kreipkitės į teisininką arba duomenų apsaugos pareigūną.
Kas pagal BDAR turi būti joje numatyta
28 straipsnio 3 dalyje pirmiausia nurodomos temos, kurias sutartis turi apibrėžti: tvarkymo dalykas ir trukmė, pobūdis ir tikslas, asmens duomenų rūšis, duomenų subjektų kategorijos, taip pat duomenų valdytojo teisės ir pareigos. Toliau išvardijamos aštuonios duomenų tvarkytojo pareigos (nuo a iki h punkto). Toliau pateikiama paprasta kalba, kartu su klausimu, kurį turėtumėte sau užduoti skaitydami:
| 28 str. 3 d. | Ką privalo duomenų tvarkytojas | Jūsų patikros klausimas |
|---|---|---|
| a | Tvarkyti duomenis tik pagal Jūsų rašytinius nurodymus, taip pat ir perdavimo už EEE ribų atveju | Ar nurodyta, kad paslaugų teikėjas nenaudoja duomenų savo tikslams? |
| b | Užtikrinti, kad darbuotojai būtų įsipareigoję laikytis konfidencialumo | Ar yra personalo konfidencialumo pareiga? |
| c | Taikyti tinkamas saugumo priemones (32 straipsnis) | Ar priemonės nurodytos sutartyje, ar yra nuoroda į aktualų dokumentą? |
| d | Subtvarkytojus pasitelkti tik su Jūsų leidimu, ir jiems taikyti tas pačias pareigas | Ar yra sąrašas ir ar galite reikšti prieštaravimą? |
| e | Padėti vykdant duomenų subjektų prašymus (susipažinimas, ištrynimas) | Ar paslaugų teikėjas gali surasti ir ištrinti vieno asmens duomenis? |
| f | Padėti užtikrinant saugumą, valdant duomenų saugumo pažeidimus ir PDAV (32 iki 36 straipsniai) | Per kiek laiko paslaugų teikėjas praneša apie duomenų saugumo pažeidimą? |
| g | Pasibaigus paslaugų teikimui, Jūsų pasirinkimu grąžinti arba ištrinti visus duomenis | Per kiek laiko nuo sutarties nutraukimo galite atsiimti savo duomenis ir kada jie bus ištrinti? |
| h | Teikti informaciją ir sudaryti sąlygas auditams | Ar yra audito ataskaitų arba sertifikatų, ir ar galite inicijuoti auditą? |
Europos Komisija taip pat paskelbė standartines sutarčių sąlygas duomenų tvarkytojams (Įgyvendinimo sprendimas (ES) 2021/915). Jas galite naudoti kaip DTS; jose yra visi privalomi punktai. Daugelis mažesnių paslaugų teikėjų naudoja savo pačių pavyzdinę sutartį, Nyderlanduose dažnai paremtą pramonės asociacijų parengtu pavyzdžiu.
Subtvarkytojai: kas slypi už Jūsų paslaugų teikėjo?
Jūsų debesijos paslauga ne viską atlieka pati. Subtvarkytojas yra šalis, kurią pasitelkia duomenų tvarkytojas ir kuri turi prieigą prie Jūsų duomenų, pavyzdžiui:
- duomenų centras (jei jis nepriklauso pačiam paslaugų teikėjui);
- atsarginių kopijų saugyklos tiekėjas;
- įmonė, kuri filtruoja paštą nuo šlamšto ar virusų;
- techninės pagalbos partneris arba nuotoliniu būdu prieigą turintis kūrėjas;
- DI paslauga, jei paslaugų teikėjas siūlo DI funkciją.
28 straipsnio 2 dalis nustato: duomenų tvarkytojas nepasitelkia subtvarkytojo be išankstinio konkretaus ar bendro rašytinio duomenų valdytojo leidimo. Esant bendram leidimui, duomenų tvarkytojas privalo informuoti Jus apie naujus ar pakeistus subtvarkytojus, kad galėtumėte pareikšti prieštaravimą. Praktikoje tai veikia taip: paslaugų teikėjas paskelbia sąrašą, praneša apie pakeitimus (el. paštu arba puslapyje, kurį galite stebėti), o Jums suteikiamas terminas prieštaravimui pareikšti. Jei pareiškiate prieštaravimą ir sprendimas nerandamas, dažnai galite nutraukti sutartį.
Pagal 4 dalį, subtvarkytojui turi būti taikomos tokios pat pareigos, o duomenų tvarkytojas lieka visiškai atsakingas Jums.
Į ką ypač atkreipti dėmesį pereinant prie Europos paslaugos
Pereidami prie Europos paslaugos, subtvarkytojų sąraše visų pirma atkreipkite dėmesį į du dalykus:
- Kur yra subtvarkytojai? Europos paslaugų teikėjas, kuris savo paštą leidžia filtruoti JAV paslaugai arba savo atsargines kopijas laiko JAV debesijoje, vis tiek gali patekti į CLOUD Act taikymo sritį (1.3 pamoka). Atkreipkite dėmesį į kiekvieno subtvarkytojo šalį ir patronuojančią įmonę.
- Ką jie daro? Domenų registras, kuris žino tik Jūsų, kaip domeno turėtojo, vardą ir adresą, yra kažkas visiškai kito, nei šalis, kuri saugo Jūsų pašto dėžutes.
Taip pat perskaitykite straipsnį apie perdavimą. Gera Europos DTS nurodo, kad duomenys tvarkomi ES arba EEE viduje, o perdavimas už jos ribų leidžiamas tik su Jūsų išankstiniu sutikimu. Jei parašyta „mes galime tvarkyti duomenis visame pasaulyje su tinkamomis apsaugos priemonėmis“, žinote, kad perdavimas yra galimas.
Į kokius ženklus atkreipti dėmesį
- DTS nėra prieinama paslaugai, skirtai verslo naudojimui: tai nėra geras pasirinkimas.
- Pasenęs sąrašas subtvarkytojų, neatitinkantis to, ką paslaugų teikėjas teigia kitur (pavyzdžiui, kitas duomenų centras): paprašykite paaiškinimo.
- Pranešimo apie duomenų saugumo pažeidimus terminas, kuris toks ilgas, kad nespėjate įvykdyti savo 72 valandų termino (33 straipsnis). Daugelyje DTS nurodoma 24 arba 48 valandos.
- Atsakomybė, kuri visiškai pašalinta. Tai įprasta iki tam tikro laipsnio, tačiau tai parodo, kiek paslaugų teikėjas pasitiki pats savimi.
- Nėra tvarkos, kas vyksta sutarčiai pasibaigus: kas nutinka su Jūsų duomenimis po sutarties nutraukimo, ir ar gaunate ištrynimo patvirtinimą?
Kas pasirašo ir kur tai saugoti?
„De Korrel“ sutartį pasirašo savininkė Sanne. Ji saugo DTS kartu su duomenų tvarkymo veiklos įrašais (9.3 pamoka), nurodydama datą ir versiją. Jei paslaugų teikėjas keičia DTS ar subtvarkytojus, ji taip pat išsaugo tą pranešimą. Priežiūros institucijos patikrinimo metu arba kliento klausimui kilus („kaip jūs tvarkote mano duomenis?“), ji gali tai parodyti.
Praktikoje: kaip tai atrodo pas paslaugų teikėją
WebOké turi standartinę duomenų tvarkymo sutartį su priedu, kuriame nurodytos pasitelktos trečiosios šalys, ir kuriame numatyta, kad tvarkymas vyksta ES viduje, o perdavimas už jos ribų leidžiamas tik su rašytiniu sutikimu. Nextcloud instrukcijų dažniausiai užduodamų klausimų skiltyje nurodyta, kada jos reikia. Kitų paslaugų teikėjų atveju šis dokumentas dažnai vadinamas „Data Processing Agreement“, o subtvarkytojų sąrašas pateikiamas atskirame puslapyje („Subprocessors“). Palyginkite tą sąrašą su tuo, ką paslaugų teikėjas skelbia savo svetainėje apie duomenų centrus ir techninę pagalbą.
Santrauka
- BDAR 28 straipsnio 3 dalis reikalauja rašytinės duomenų tvarkymo sutarties su nustatytomis temomis ir aštuoniomis duomenų tvarkytojo pareigomis.
- Ypač patikrinkite: ar nėra savų tikslų, saugumo priemones, subtvarkytojus, pagalbą esant duomenų saugumo pažeidimams, duomenų grąžinimą ar ištrynimą pasibaigus sutarčiai, ir auditus.
- Subtvarkytojai pasitelkiami tik su Jūsų leidimu; esant bendram leidimui, turite būti informuoti apie pakeitimus ir galėti pareikšti prieštaravimą.
- Pereinant prie Europos paslaugos, subtvarkytojų sąraše atkreipkite dėmesį į kiekvienos šalies kilmės valstybę ir patronuojančią įmonę.
- Saugokite DTS ir pranešimus apie pakeitimus kartu su duomenų tvarkymo veiklos įrašais.
Testas
Užduotis
Užduotis E9.2: Patikrinkite duomenų tvarkymo sutartį. Pasiimkite savo dabartinės ar naujos debesijos paslaugos duomenų tvarkymo sutartį. Peržiūrėkite aštuonis punktus nuo a iki h ir užsirašykite kiekvienam punktui: ar jis nurodytas (taip, ne, neaišku) ir kur. Įvertinkite subtvarkytojų sąrašą: užsirašykite kiekvienam subtvarkytojui šalį, patronuojančią įmonę ir ką jis veikia.
Užduotis E9.2: Patikrinkite duomenų tvarkymo sutartį
Paimkite savo dabartinio ar naujo paslaugų teikėjo duomenų tvarkymo sutartį ir peržiūrėkite pamokoje nurodytus punktus.
Pranešimo terminas, ilgesnis nei 72 valandos, apsunkina Jūsų pačių pareigos pranešti (BDAR 33 straipsnis) įvykdymą.
Debesijos paslauga be jokio subtvarkytojo yra reta: jei sąrašo nėra pateikta, paprašykite jo.
Jūsų pažymėti varneliai ir pastabos lieka tik šioje naršyklėje; niekur jų nesiunčiame. Jei esate prisijungę, skiltyje Mano kursai išsaugome tik tai, kad užduotį atlikote.
Skaitykite daugiau
Šiuose straipsniuose aprašyti veiksmai galioja WebOké paslaugoms; kitų paslaugų teikėjų atveju veikimo principas yra panašus.
- Nextcloud vadovas 15.13: Dažniausiai užduodami klausimai apie saugumą ir privatumą
- Nextcloud vadovas 14.8: DI asistentas Jūsų Nextcloud
- Reglamentas (ES) 2016/679 (BDAR), 28 straipsnis, EUR-Lex svetainėje
- Įgyvendinimo sprendimas (ES) 2021/915 (standartinės sutarčių sąlygos tarp duomenų valdytojų ir duomenų tvarkytojų), EUR-Lex svetainėje
- Nyderlandų priežiūros institucija (Autoriteit Persoonsgegevens), tema „Verwerkersovereenkomst“ (duomenų tvarkymo sutartis): https://www.autoriteitpersoonsgegevens.nl. Atkreipkite dėmesį, kad tai Nyderlandų priežiūros institucijos puslapis; Jūsų šalyje veikia sava priežiūros institucija, Lietuvoje tai Valstybinė duomenų apsaugos inspekcija (VDAI).