Duomenų tvarkymo sutartis: kada ją pasirašyti su buhalteriu, IT ar programinės įrangos tiekėju

Trumpai: jei kita įmonė Jūsų pavedimu tvarko asmens duomenis, už kuriuos atsakote Jūs (klientų, darbuotojų, svetainės lankytojų duomenis), su ja turite turėti rašytinę duomenų tvarkymo sutartį. Šį reikalavimą nustato BDAR 28 straipsnis, ir jis taikomas nepriklausomai nuo įmonės dydžio. Mažoje įmonėje tokios sutarties dažniausiai prireikia su išorine buhalterija ar darbo užmokesčio skaičiavimo paslaugos teikėju, IT priežiūros įmone, svetainės talpinimo, CRM, el. pašto ar debesijos paslaugų tiekėju.

Valdytojas ir tvarkytojas: kas yra kas

BDAR skiria du vaidmenis. Duomenų valdytojas nustato, kokiais tikslais ir kokiomis priemonėmis tvarkomi asmens duomenys. Duomenų tvarkytojas tvarko duomenis valdytojo vardu ir pagal jo nurodymus (BDAR 4 str. 7 ir 8 punktai). Jei dvi ar daugiau įmonių tikslus ir priemones nustato kartu, jos yra bendri valdytojai, ir tada joms reikia ne duomenų tvarkymo sutarties, o susitarimo, kuriame paskirstoma atsakomybė (BDAR 26 str.).

Vaidmenį lemia ne sutarties pavadinimas, o tai, kas iš tikrųjų priima sprendimus dėl duomenų. Jei tiekėjas pats nustato duomenų tvarkymo tikslus ir priemones, pažeisdamas BDAR, to tvarkymo atžvilgiu jis laikomas valdytoju (BDAR 28 str. 10 d.).

Ką nustato BDAR 28 straipsnis

Valdytojas gali pasitelkti tik tokius tvarkytojus, kurie pakankamai užtikrina tinkamas technines ir organizacines duomenų apsaugos priemones (BDAR 28 str. 1 d.). Tvarkytojo atliekamas duomenų tvarkymas turi būti reglamentuotas sutartimi ar kitu teisės aktu (28 str. 3 d.), sudarytu raštu, įskaitant elektroninę formą (28 str. 9 d.). Vadinasi, tinka ir elektroniniu būdu priimtos tiekėjo sąlygos, jei jose yra visos privalomos nuostatos.

Sutartyje turi būti nurodyti duomenų tvarkymo dalykas ir trukmė, pobūdis ir tikslas, asmens duomenų rūšis, duomenų subjektų kategorijos, taip pat valdytojo prievolės ir teisės. Be to, sutartyje turi būti nustatyta, kad tvarkytojas:

• tvarko duomenis tik pagal dokumentais įformintus valdytojo nurodymus, įskaitant nurodymus dėl duomenų perdavimo į trečiąsias valstybes ar tarptautinėms organizacijoms;
• užtikrina, kad duomenis tvarkantys asmenys būtų įsipareigoję saugoti konfidencialumą;
• įgyvendina BDAR 32 straipsnyje nustatytas saugumo priemones;
• pasitelkia kitus tvarkytojus tik laikydamasis BDAR nustatytų sąlygų (apie jas plačiau žemiau);
• padeda valdytojui atsakyti į asmenų prašymus pasinaudoti savo teisėmis;
• padeda valdytojui vykdyti saugumo, pranešimo apie duomenų saugumo pažeidimus ir poveikio duomenų apsaugai vertinimo prievoles (BDAR 32–36 str.);
• baigęs teikti paslaugas, valdytojo pasirinkimu ištrina arba grąžina visus duomenis ir ištrina jų kopijas, jei teisės aktai nereikalauja jų saugoti;
• pateikia valdytojui informaciją, kuri reikalinga įrodyti, kad prievolės vykdomos, ir sudaro sąlygas atlikti auditą, įskaitant patikrinimus.

Jei tvarkytojo manymu valdytojo nurodymas pažeidžia duomenų apsaugos taisykles, jis turi nedelsdamas apie tai informuoti valdytoją.

Subtvarkytojai: be Jūsų rašytinio leidimo negalima

Tvarkytojas negali pasitelkti kito tvarkytojo (subtvarkytojo) be išankstinio konkretaus arba bendro rašytinio valdytojo leidimo. Jei leidimas bendras, tvarkytojas turi iš anksto informuoti apie planuojamus subtvarkytojų pakeitimus, kad valdytojas galėtų nesutikti (BDAR 28 str. 2 d.). Subtvarkytojui turi būti nustatytos tos pačios duomenų apsaugos prievolės, o jei jis jų nevykdo, pirminis tvarkytojas lieka visiškai atsakingas valdytojui (28 str. 4 d.).

Praktikoje tai reiškia, kad iš tiekėjo verta gauti subtvarkytojų sąrašą (pvz., kokius duomenų centrus ar pagalbos tarnybas jis naudoja) ir sužinoti, kaip jis praneš apie pasikeitimus.

Kaip susitvarkyti: žingsniai

1. Sudarykite tiekėjų sąrašą. Užrašykite visus, kurie turi prieigą prie Jūsų tvarkomų asmens duomenų: buhalterija, IT, svetainė, CRM, el. paštas, rezervacijų ar sąskaitų sistemos.
2. Nustatykite vaidmenį. Kiekvienam tiekėjui įvertinkite, ar jis veikia pagal Jūsų nurodymus (tvarkytojas), ar sprendžia pats (valdytojas).
3. Patikrinkite esamas sutartis. Didieji tiekėjai duomenų tvarkymo sąlygas dažnai pateikia kaip atskirą priedą prie paslaugų sąlygų. Raskite jį ir išsisaugokite versiją, galiojusią sutarties sudarymo metu.
4. Užpildykite spragas. Jei sutarties nėra arba joje trūksta privalomų nuostatų, pasirašykite atskirą duomenų tvarkymo sutartį arba priedą prie pagrindinės sutarties, pvz., paslaugų teikimo sutarties.
5. Susiekite su savo dokumentais. Tvarkytojų kategorijas nurodykite privatumo politikoje ir, kai jų reikia, duomenų tvarkymo veiklos įrašuose.

Jei tiekėjas siūlo savo standartines sąlygas

Su dideliais debesijos ar programinės įrangos tiekėjais derėtis dažniausiai nepavyksta, tačiau tai nepanaikina Jūsų, kaip valdytojo, atsakomybės. Todėl prieš sutikdami patikrinkite bent tai:

• ar sąlygose yra visi BDAR 28 str. 3 dalyje nurodyti punktai;
• kur saugomi duomenys ir kokiu pagrindu jie perduodami už Europos ekonominės erdvės ribų, jei perduodami;
• kaip ir per kiek laiko tiekėjas praneš apie duomenų saugumo pažeidimą. Valdytojas apie pažeidimą priežiūros institucijai paprastai turi pranešti per 72 valandas nuo sužinojimo (BDAR 33 str. 1 d.), todėl tiekėjo pranešimas turi būti greitas;
• kaip įgyvendinama audito teisė: dažnai tiekėjai siūlo sertifikatus ar audito ataskaitas. Patvirtinto elgesio kodekso ar sertifikavimo mechanizmo laikymasis gali būti vienas iš įrodymų (BDAR 28 str. 5 d.), bet automatiškai nepakeičia sutarties reikalavimų;
• kas nutinka duomenims pasibaigus sutarčiai.

Jei rengiate sutartį patys, galite remtis Europos Komisijos patvirtintomis standartinėmis sutarčių sąlygomis valdytojo ir tvarkytojo santykiams (BDAR 28 str. 7 d.; Komisijos įgyvendinimo sprendimas (ES) 2021/915).

Dažnos klaidos

• Manoma, kad pakanka bendros konfidencialumo sąlygos paslaugų sutartyje. Konfidencialumas yra tik vienas iš privalomų punktų.
• Sutartis pasirašyta, bet joje neaprašyta, kokie duomenys ir kokiu tikslu tvarkomi.
• Nežinoma, kokius subtvarkytojus naudoja tiekėjas.
• Nepasirūpinama, kad baigus bendradarbiauti duomenys būtų grąžinti ar ištrinti.
• Duomenų tvarkymo sutartis sudaroma su tiekėju, kuris iš tikrųjų yra savarankiškas valdytojas, o tikri tvarkytojai lieka be sutarčių.

Kada verta kreiptis į teisininkę

Pagalbos verta kreiptis, kai nesate tikri dėl tiekėjo vaidmens (dažniausiai dėl buhalterijos ar partnerių), kai tiekėjas atsiuntė ilgas sąlygas užsienio kalba, kai duomenys perduodami už ES ribų arba kai tvarkote specialių kategorijų duomenis, pavyzdžiui, sveikatos. Galiu peržiūrėti tiekėjo sąlygas ir pažymėti trūkstamas nuostatas arba parengti duomenų tvarkymo sutartį pagal Jūsų situaciją.

Dažniausi klausimai

Ar duomenų tvarkymo sutartis turi būti pasirašyta ranka?

Ne. BDAR reikalauja rašytinės formos, tačiau ji apima ir elektroninę formą (28 str. 9 d.). Svarbu, kad turėtumėte išsaugotą sutarties ar sąlygų tekstą ir galėtumėte jį parodyti.

Ar reikia sutarties, jei tiekėjas duomenis tik saugo ir jų nenaudoja?

Taip. Duomenų saugojimas taip pat yra duomenų tvarkymas, todėl debesijos ar talpinimo paslaugų tiekėjas, saugantis Jūsų duomenis, paprastai yra tvarkytojas.

Ar galima duomenų tvarkymo sąlygas įrašyti į pagrindinę sutartį?

Galima. BDAR nereikalauja atskiro dokumento. Svarbu, kad pagrindinėje sutartyje ar jos priede būtų visos 28 straipsnyje nurodytos nuostatos.

Straipsnis yra informacinio pobūdžio ir nėra individuali teisinė konsultacija. Teisės aktai keičiasi — informacija aktuali 2026 m. spalio mėn.