Buhalterinės apskaitos įmonė pagal BDAR: duomenų tvarkytoja ar valdytoja

Įmonė, kuri kitoms bendrovėms tvarko buhalterinę apskaitą ir skaičiuoja darbo užmokestį, mato daug asmens duomenų: darbuotojų asmens kodus, atlyginimus, banko sąskaitas, nedarbingumo dienas, pirkėjų ir tiekėjų vardus sąskaitose faktūrose. Bendrajam duomenų apsaugos reglamentui (toliau – BDAR) svarbu ne tai, kiek duomenų ji mato, o tai, kas nustato jų tvarkymo tikslus ir priemones. Tas, kas nustato, yra duomenų valdytojas (BDAR 4 str. 7 p.). Tas, kas tvarko duomenis valdytojo vardu, yra duomenų tvarkytojas (BDAR 4 str. 8 p.).

Apskaitos įmonė gali būti abu iš karto, tik skirtingiems tikslams. Kliento apskaitą ji tvarko kliento vardu. Tačiau kai kurias pareigas jai nustato įstatymas, ir jas ji vykdo savo vardu. Čia – ką sako BDAR, Lietuvos Respublikos finansinės apskaitos įstatymas (toliau – FAĮ) ir Lietuvos Respublikos pinigų plovimo ir teroristų finansavimo prevencijos įstatymas (toliau – PPTFPĮ) ir kas gresia, kai vaidmenys supainiojami.

Kliento apskaita: apskaitos įmonė yra tvarkytoja

FAĮ apskaitos organizavimą paveda kliento vadovui. Jis parenka apskaitą tvarkantį asmenį, jei įstatymas šios teisės nesuteikia kitam valdymo organui (FAĮ 13 str. 1 d. 1 p.), ir nustato ūkinių operacijų registravimo ir vertinimo tvarką (FAĮ 13 str. 1 d. 3 p.). Kai apskaitą pagal sutartį tvarko apskaitos paslaugas teikiantis subjektas, kai kuriuos vadovo veiksmus gali atlikti jis, jeigu taip nustatyta sutartyje (FAĮ 13 str. 3 d.).

Mūsų vertinimu, iš to išplaukia, kad kliento darbuotojų, pirkėjų ir tiekėjų duomenis apskaitos įmonė tvarko kliento vardu, taigi kaip tvarkytoja (BDAR 4 str. 8 p.). Klientas lieka valdytoju, nes apskaitą organizuoti privalo jo vadovas (FAĮ 13 str. 1 d.), o apskaita tvarkoma kliento tikslu. Net kai pagal sutartį apskaitos įmonė atlieka dalį vadovo veiksmų (FAĮ 13 str. 3 d.), mūsų vertinimu, ji tai daro kliento vardu (BDAR 4 str. 7 ir 8 p.).

Iš to kyla keturios pareigos:

• Rašytinė sutartis. Tvarkytojo veikla reglamentuojama sutartimi, kurioje nustatomas tvarkymo dalykas, trukmė, pobūdis, tikslas, asmens duomenų rūšis, duomenų subjektų kategorijos bei valdytojo prievolės ir teisės (BDAR 28 str. 3 d.). Ji sudaroma raštu, įskaitant elektroninę formą (BDAR 28 str. 9 d.). Ką sutartis turi numatyti, rašome straipsnyje Duomenų tvarkymo sutartis: kada privaloma ir kas gresia be jos.
• Tik pagal nurodymus. Tvarkytojas tvarko duomenis tik pagal dokumentais įformintus valdytojo nurodymus, išskyrus atvejus, kai to reikalauja jam taikoma teisė (BDAR 28 str. 3 d. a p., 29 str.).
• Subtvarkytojai. Debesijos apskaitos programa ar duomenų centras taip pat tvarko kliento duomenis. Kitą tvarkytoją apskaitos įmonė gali pasitelkti tik turėdama išankstinį konkretų arba bendrą rašytinį kliento leidimą. Turėdama bendrą leidimą, ji turi iš anksto pranešti klientui apie planuojamą kito tvarkytojo pasitelkimą ar pakeitimą, kad šis galėtų nesutikti (BDAR 28 str. 2 d.). Subtvarkytojui nustatomos tos pačios duomenų apsaugos prievolės, o jei jis jų nevykdo, apskaitos įmonė lieka visiškai atsakinga klientui (BDAR 28 str. 4 d.).
• Saugumas. Saugumo pareiga tvarkytojui taikoma tiesiogiai: jis įgyvendina pavojų atitinkančio lygio technines ir organizacines priemones (BDAR 32 str. 1 d.). Kliento vidaus kontrolės priemones nustato jo vadovas (FAĮ 13 str. 1 d. 4 p.); jos turi užtikrinti ir prieigų prie apskaitos informacinių sistemų ir registrų apsaugą (FAĮ 2 str. 21 p.). Apskaitos paslaugas teikiantis subjektas turi nusistatyti savo paslaugų teikimo organizavimo ir kontrolės tvarką ir jos laikytis (FAĮ 14 str. 4 d.). Ko reikalauja 32 straipsnis, aprašėme straipsnyje BDAR saugumo priemonės.

Kur apskaitos įmonė yra valdytoja

Pinigų plovimo prevencija. PPTFPĮ finansinės apskaitos ar mokesčių konsultavimo paslaugas teikiančius juridinius asmenis ir šias paslaugas savarankiškai teikiančius asmenis priskiria kitiems įpareigotiesiems subjektams (PPTFPĮ 2 str. 10 d. 3 p.). Jie privalo nustatyti ir patikrinti kliento ir naudos gavėjo tapatybę prieš pradėdami dalykinius santykius (PPTFPĮ 9 str. 1 d. 1 p.). Kliento tapatybę patvirtinančių dokumentų kopijos ir kiti tapatybei nustatyti gauti duomenys saugomi aštuonerius metus nuo sandorių ar dalykinių santykių su klientu pabaigos (PPTFPĮ 19 str. 11 d.). Motyvuotu kompetentingos institucijos nurodymu terminas gali būti pratęstas ne ilgiau kaip dvejiems metams (PPTFPĮ 19 str. 16 d.). Šie duomenys tvarkomi vadovaujantis BDAR (PPTFPĮ 24 str. 1 d. 2 p., 24 str. 2 d.).

Mūsų vertinimu, šiam tikslui apskaitos įmonė yra valdytoja. Pareigą jai nustato įstatymas, o ne klientas, todėl teisinis pagrindas – jai pačiai taikoma teisinė prievolė (BDAR 6 str. 1 d. c p.). Tada ji pati, o ne klientas, atsako už tai, kad šis tvarkymas atitiktų BDAR principus, ir turi sugebėti tai įrodyti (BDAR 5 str. 2 d.).

Savo tikslai. Jei tvarkytojas, pažeisdamas BDAR, pats nustato duomenų tvarkymo tikslus ir priemones, to tvarkymo atžvilgiu jis laikomas valdytoju (BDAR 28 str. 10 d.). Pavyzdžiui, jei kliento darbuotojų kontaktus apskaitos įmonė panaudoja savo rinkodarai, šiam tvarkymui ji atsako kaip valdytoja.

Ateityje. Nuo 2027 m. liepos 10 d. bus taikomas Reglamentas (ES) 2024/1624 (Reglamento (ES) 2024/1624 90 str.). Jame išorės apskaitininkai, kai vykdo profesinę veiklą, įvardyti tarp įpareigotųjų subjektų (Reglamento (ES) 2024/1624 3 str. 3 p. a papunktis). Tai būsima teisė. PPTFPĮ redakcija, galiosianti nuo 2027 m. sausio 1 d., čia aptartų nuostatų nekeičia.

Darbo užmokestis ir specialių kategorijų duomenys

BDAR draudžia tvarkyti duomenis, atskleidžiančius narystę profesinėse sąjungose, ir sveikatos duomenis, nebent taikoma išimtis (BDAR 9 str. 1 d.). Sveikatos duomenys – tai duomenys, susiję su fizine ar psichine sveikata ir atskleidžiantys informaciją apie sveikatos būklę (BDAR 4 str. 15 p.). Mūsų vertinimu, nedarbingumo laikotarpis, pateiktas darbo užmokesčiui skaičiuoti, šią informaciją atskleidžia (BDAR 4 str. 15 p., 35 konstatuojamoji dalis), o išskaitos profesinei sąjungai – narystę joje (BDAR 9 str. 1 d.).

Viena iš išimčių – tvarkyti duomenis būtina darbo ir socialinės apsaugos teisės srityje, bet tik tiek, kiek tai leidžia Sąjungos ar valstybės narės teisė (BDAR 9 str. 2 d. b p.). Mūsų vertinimu, išimtimi remiasi klientas, kaip valdytojas, o ne apskaitos įmonė, nes ši tvarko duomenis kliento vardu (BDAR 4 str. 7 ir 8 p.). Apskaitos įmonė, tvarkydama tokius duomenis, turi parinkti jų pavojų atitinkančias priemones (BDAR 32 str. 1 d.).

Kas gali nutikti

Nutekėjimas. Tvarkytojas, sužinojęs apie asmens duomenų saugumo pažeidimą, nepagrįstai nedelsdamas praneša valdytojui (BDAR 33 str. 2 d.). Valdytojas priežiūros institucijai praneša nepagrįstai nedelsdamas ir, jei įmanoma, ne vėliau kaip per 72 valandas nuo tada, kai sužino apie pažeidimą, nebent jis neturėtų kelti pavojaus žmonių teisėms ir laisvėms (BDAR 33 str. 1 d.). Lietuvoje tai Valstybinė duomenų apsaugos inspekcija (Lietuvos Respublikos asmens duomenų teisinės apsaugos įstatymo (toliau – ADTAĮ) 7 str. 1 d.).

Žala. Žmogus, patyręs materialinę ar nematerialinę žalą, turi teisę į kompensaciją iš valdytojo arba tvarkytojo (BDAR 82 str. 1 d.). Tvarkytojas atsako tik tada, jei nesilaikė tvarkytojams konkrečiai nustatytų prievolių arba veikė nepaisydamas teisėtų valdytojo nurodymų (BDAR 82 str. 2 d.). Jei tame pačiame tvarkyme dalyvauja ir valdytojas, ir tvarkytojas, ir abu atsakingi, kiekvienas laikomas atsakingu už visą žalą (BDAR 82 str. 4 d.). Sumokėjęs visą kompensaciją, jis gali reikalauti, kad kitas sugrąžintų jo atsakomybę atitinkančią dalį (BDAR 82 str. 5 d.).

Baudos. Už valdytojo ir tvarkytojo prievolių pagal 25–39 straipsnius pažeidimą, įskaitant 28, 32 ir 33 straipsnius, bauda gali siekti iki dešimties milijonų eurų arba, jei tai įmonė, iki dviejų procentų visos ankstesnių finansinių metų pasaulinės metinės apyvartos, atsižvelgiant į tai, kuri suma didesnė (BDAR 83 str. 4 d. a p.). Už PPTFPĮ pažeidimus kitiems įpareigotiesiems subjektams gali būti skiriama bauda nuo pusės iki penkių procentų metinių pajamų, gautų iš apskaitos ar mokesčių konsultavimo veiklos (PPTFPĮ 40 str. 1 d. 1 p.). Griežtesnės baudos taikomos, jei įmonė pažeidžia įstatymą sistemingai, padaro vieną šiurkštų pažeidimą arba pažeidžia jį pakartotinai per vienus metus nuo poveikio priemonės paskyrimo. Tada bauda gali siekti iki dvigubos dėl pažeidimo gautos naudos sumos, jei tą naudą galima nustatyti ir dviguba suma didesnė nei vienas milijonas šimtas tūkstančių eurų. Kitu atveju bauda – nuo dviejų tūkstančių iki vieno milijono šimto tūkstančių eurų (PPTFPĮ 40 str. 1 d. 2 p.). Tokiais atvejais bauda gali būti skiriama ir įmonės dalyviui ar valdymo organo nariui (PPTFPĮ 40 str. 2 d.).

Pasibaigusi sutartis. Duomenų tvarkymo sutartyje turi būti nustatyta, kad baigęs teikti paslaugas tvarkytojas kliento pasirinkimu ištrina arba grąžina visus asmens duomenis ir ištrina esamas jų kopijas, nebent Sąjungos ar valstybės narės teisė reikalauja duomenis saugoti (BDAR 28 str. 3 d. g p.). FAĮ reikalauja, keičiantis apskaitą tvarkančiam asmeniui, laiku perduoti apskaitos dokumentus ir registrus kliento vadovui ar jo nurodytam asmeniui (FAĮ 14 str. 1 d. 2 p.). Todėl kliento duomenų kopijas po sutarties pabaigos apskaitos įmonė gali laikyti tik tiek, kiek jas saugoti reikalauja įstatymas, pavyzdžiui, PPTFPĮ nurodytus kliento tapatybės nustatymo duomenis ir sutarčių dokumentus (PPTFPĮ 19 str. 11 d.).

Kada kreiptis į teisininką

• kai su klientais nėra rašytinės duomenų tvarkymo sutarties arba ji nenumato subtvarkytojų;
• kai keičiate apskaitos programą ar debesijos paslaugų teikėją, kuris mato klientų duomenis;
• kai duomenys nutekėjo ir reikia spręsti, ką ir kada pranešti klientams;
• kai klientas nutraukia sutartį ir reikia atskirti, ką grąžinti, ką ištrinti ir ką saugoti pagal PPTFPĮ;
• kai klientų duomenis norite naudoti savo tikslams, pavyzdžiui, rinkodarai ar analizei.