GDPR – Tvarkymas

Bendrasis duomenų apsaugos reglamentas (BDAR) suteikia vienodą, visos Europos mastu galimybę vadinamajam „sutarčių pagrindu atliekamam duomenų tvarkymui“, kuris yra asmens duomenų rinkimas, tvarkymas ar naudojimas tvarkytojo pagal valdytojo nurodymus, remiantis sutartimi.

Atitinkami reglamentai dėl pavestojo duomenų tvarkymo jau taikomi, jei tvarkymas yra susijęs su įstaigos veikla ES teritorijoje. Tai reiškia, kad pakanka, jei įstaigą ES teritorijoje turi arba duomenų valdytojas, arba duomenų tvarkytojas, o duomenų tvarkymas vykdomas jų veiklos kontekste. Reikia atskirti tvarkymą ir bendrą kontrolę (BDAR 26 straipsnis), kai abi šalys kartu nustato duomenų tvarkymo tikslus ir priemones ir yra už tai bendrai atsakingos.

Valdytojo ir duomenų tvarkytojo santykiuose pastarasis gali tvarkyti asmens duomenis tik pagal dokumentuotus valdytojo nurodymus. Duomenų tvarkytojas negali pasitelkti kito duomenų tvarkytojo tam, kad padėtų įvykdyti konkretų sutartį, be išankstinio konkretaus arba bendro atitinkamo valdytojo rašytinio leidimo. Esant bendrajam leidimui, duomenų tvarkytojas turi informuoti valdytoją apie bet kokius reikšmingus pakeitimus, susijusius su duomenų tvarkymu.

Daugeliu atvejų pavesta duomenų tvarkymą vyksta remiantis sutartimi. BDAR 28 straipsnio 3 dalis nustato jos minimalius reikalavimus. Sutartyje turi būti nurodyta, be kita ko, kokio tipo asmens duomenys bus tvarkomi, taip pat tvarkymo objektas ir tikslas. Be to, egzistuoja ir kitos duomenų tvarkytojo pareigos. Pavyzdžiui, jis taip pat turi tvarkyti duomenų tvarkymo veiklos registrą, kuris apima kiekvieno duomenų valdytojo, kuriam jis dirba, vardus ir kontaktinius duomenis, taip pat tvarkymo kategorijas, vykdomas jo naudai. Be to, registre turi būti nurodyta, jei taikoma, asmens duomenų perdavimas trečiosioms šalims ir, jei įmanoma, bendras techninių ir organizacinių priemonių aprašymas. Duomenų valdytojas turi įsitikinti, pasirinkdamas duomenų tvarkytoją, kad jis įgyvendinęs pakankamas technines ir organizacines priemones, siekiant užtikrinti, kad tvarkymas atitiktų Reglamento reikalavimus.

Iš esmės, duomenų valdytojas yra pirmasis duomenų subjekto kontaktas ir atsakingas už tai, kad duomenų tvarkymas atitiktų teisės reikalavimus. Tačiau tai nereiškia, kad duomenų tvarkytojas yra be atsakomybės. Pagal BDAR 82 straipsnį, jis yra solidariai atsakingas kartu su duomenų valdytoju. Tačiau duomenų tvarkytojo atsakomybė yra apribota pagal 2 dalį, tik jo specifinių įsipareigojimų pažeidimams. Abi šalys turi galimybę save pateisinti. Tam jos turi įrodyti, kad jokiu būdu nebuvo atsakingos už įvykį, sukėlusį žalą.