Bendri duomenų valdytojai: ką turi numatyti susitarimas ir kas atsako

Kai dvi organizacijos kartu nustato duomenų tvarkymo tikslus ir priemones, jos yra bendri duomenų valdytojai ir privalo tarpusavio susitarimu nustatyti, kas už kurią BDAR prievolę atsako (BDAR 26 str. 1 d.). Esmines susitarimo nuostatas turi galėti sužinoti ir žmonės (BDAR 26 str. 2 d.). Tačiau susitarimas saisto tik pačias šalis: žmogus savo teises gali įgyvendinti prieš kiekvieną iš jų (BDAR 26 str. 3 d.), o už žalą kiekviena atsako visa apimtimi (BDAR 82 str. 4 d.).

Kaip nustatyti, ar partneris yra tvarkytojas, atskiras valdytojas ar bendras valdytojas, rašėme straipsnyje Duomenų teikimas partneriui: valdytojas, tvarkytojas ar bendri. Čia – kas vyksta po to, kai atsakymas yra „bendri“: kur tai dažniausiai nutinka, ką turi numatyti susitarimas ir kaip paskirstoma atsakomybė.

Kur bendras valdymas atsiranda net nepastebėjus

Bendras renginys ar kampanija. Europos duomenų apsaugos valdyba (EDPB) gairėse 07/2020 pateikia pavyzdį: dvi įmonės, rengdamos bendrą renginį, sujungia savo klientų duomenis kvietimų sąrašui ir kartu sprendžia dėl kvietimų siuntimo, atsiliepimų rinkimo ir tolesnės rinkodaros. Tvarkant renginio duomenis jos gali būti laikomos bendrais valdytojais.

Puslapis socialiniame tinkle. Teisingumo Teismas byloje C-210/16 (2018 m. birželio 5 d.) nusprendė, kad socialiniame tinkle esančio gerbėjų puslapio administratorius, parinkdamas nustatymus pagal savo tikslinę auditoriją ir veiklos tikslus, dalyvauja nustatant lankytojų duomenų tvarkymo tikslus ir priemones. Todėl jis yra bendras valdytojas kartu su platforma.

Įskiepis ar mygtukas svetainėje. Byloje C-40/17 (2019 m. liepos 29 d.) Teismas išaiškino, kad svetainės valdytojas, įdėjęs socialinio tinklo modulį, per kurį lankytojo duomenys perduodami modulio teikėjui, gali būti laikomas bendru valdytoju dėl šių duomenų rinkimo ir perdavimo.

Abu sprendimai priimti pagal ankstesnę Direktyvą 95/46/EB. EDPB pažymi, kad jie tebegalioja ir taikant BDAR, nes sąvokos elementai nepasikeitė (gairių 18 išnaša).

Bendra platforma ar bendras stebėjimas. EDPB pavyzdyje kelionių agentūra, viešbučių tinklas ir oro linijų bendrovė, kurdami bendrą rezervavimo platformą, tampa bendrais valdytojais dėl jos. Mūsų praktikoje panašiai klausė organizacija, kuri vaizdo stebėjimą vykdė kartu su kitu subjektu.

Bendras valdymas apima tik bendrą dalį

Bendrai atsakoma tik už tas tvarkymo operacijas, kurių tikslus ir priemones šalys nustatė kartu. Už ankstesnes ar vėlesnes grandinės operacijas, kurių tikslų ir priemonių subjektas nenustatė, jis valdytoju nelaikomas (C-40/17, 74 ir 85 punktai). Svetainės valdytojas atsako už duomenų rinkimą ir perdavimą modulio teikėjui, bet ne už tai, ką teikėjas su jais daro vėliau. Tas pats EDPB kelionių pavyzdyje: už bendros platformos ribų kiekviena įmonė lieka atskiru valdytoju.

Kiekvienas bendras valdytojas turi turėti savo teisinį pagrindą. Byloje C-40/17 Teismas nurodė, kad kiekvienas iš jų turi siekti teisėto intereso, jei tvarkymas juo grindžiamas (96 punktas). EDPB priduria, kad bendras valdymas nesuteikia duomenis gavusiam valdytojui teisės juos naudoti savo papildomais tikslais (gairių 76 išnaša).

Ką turi numatyti susitarimas

BDAR reikalauja trijų dalykų. Susitarime skaidriai nustatoma, kas atsako už kurią prievolę, visų pirma už žmonių teisių įgyvendinimą ir informavimą pagal 13 ir 14 str., nebent ir tiek, kiek tai jau nustato teisės aktai (BDAR 26 str. 1 d.). Jame tinkamai apibrėžiamos faktinės kiekvieno funkcijos ir santykiai su žmonėmis (BDAR 26 str. 2 d.). Ir jame galima paskirti vieną kontaktinį punktą žmonėms.

EDPB gairėse 07/2020 detalizuoja, ką verta sutarti:

• kas įgyvendina principus ir kuo grindžiamas tvarkymas, kas atsako už saugumą, pranešimus apie saugumo pažeidimus, poveikio vertinimą, tvarkytojų pasitelkimą, perdavimus už EEE ribų ir ryšius su žmonėmis bei VDAI (166 punktas);
• kokie duomenys, kieno ir kokiu tikslu tvarkomi (175 punktas);
• kas ir kaip informuoja žmones ir kas atsako į jų prašymus (177 punktas);
• kaip šalys perduoda viena kitai gautus prašymus, kad žmogui nereikėtų ieškoti „teisingo“ adresato (189 punktas);
• kaip bendraujama su priežiūros institucija (190 punktas).

Pareigos neturi būti paskirstytos po lygiai. Bendra atsakomybė nereiškia lygiavertės: subjektai gali dalyvauti skirtinguose etapuose ir skirtingu mastu (C-210/16, 43 punktas). Tačiau paskirstymas turi atitikti tai, kas vyksta iš tikrųjų (EDPB gairių 178 punktas). BDAR susitarimo formos nenustato, bet EDPB rekomenduoja privalomą dokumentą, pavyzdžiui, sutartį (173 punktas). Tik taip viena šalis gali reikalauti, kad kita vykdytų tai, ką prisiėmė.

Poveikio vertinimas. Jei bendram tvarkymui reikia poveikio duomenų apsaugai vertinimo, jį galima atlikti vieną. BDAR leidžia vienu vertinimu apimti panašių pavojų keliančių operacijų seką (BDAR 35 str. 1 d.). EDPB priduria, kad vertinime reikia nurodyti, kuri šalis atsako už kurias priemones (gairių 75 išnaša). Kai organizacija klausė, ar du bendri valdytojai gali užsakyti vieną bendro vaizdo stebėjimo vertinimą, mūsų vertinimas buvo toks: galima, bet reikia įvertinti abiejų valdytojų tikslus ir priemones, beveik kiekvieno atskirai. Kas tokį vertinimą sudaro ir kiek jis trunka, rašome straipsnyje apie poveikio duomenų apsaugai vertinimą.

Ką turi sužinoti žmonės

Žmogui turi būti sudaryta galimybė susipažinti su esminėmis susitarimo nuostatomis (BDAR 26 str. 2 d.). Kas yra „esmė“, reglamentas nesako. EDPB rekomenduoja, kad ji apimtų bent visą 13 ir 14 str. informaciją ir kiekvienam elementui nurodytų, kuris valdytojas už jį atsako, taip pat kontaktinį punktą, jei jis paskirtas (gairių 180 punktas). Pateikimo būdą renkasi patys valdytojai, pavyzdžiui, privatumo pranešime (181 punktas).

Praktiškai tai reiškia, kad privatumo pranešimas turi paaiškinti abu valdytojus. Viena mūsų teisininkė, vertindama būsimą projektą, pažymėjo: jei kur nors valdytojai bus bendri, reikės bendro valdymo susitarimo, o informaciniai pranešimai turės apimti abu valdytojus, gal net dviem atskirais pranešimais.

Kas atsako, kai kažkas nutinka

Žala. Kai tame pačiame tvarkyme dalyvauja keli valdytojai ir jie atsakingi už žalą, laikoma, kad kiekvienas atsako už visą žalą (BDAR 82 str. 4 d.). Sumokėjęs visą kompensaciją, valdytojas gali reikalauti iš kitų jų dalies (BDAR 82 str. 5 d.). Nuo atsakomybės atleidžiama tik įrodžius, kad jokiu būdu nesate atsakingi už įvykį, dėl kurio patirta žala (BDAR 82 str. 3 d.). Todėl susitarimas nepakeičia atsakomybės žmogui, bet gali lemti, iš ko ir kiek galėsite susigrąžinti: pagal BDAR 82 str. 5 d. kiekvienas grąžina dalį, atitinkančią jo atsakomybę už žalą.

Priežiūros institucija. VDAI susitarimo nesaisto nei dėl to, kas laikomas bendru valdytoju, nei dėl kontaktinio punkto. Ji gali kreiptis į bet kurį iš bendrų valdytojų (EDPB gairių 191 punktas).

Bauda. Nesudarytas susitarimas arba susitarimas, kuris neatspindi faktinių šalių funkcijų, pažeidžia BDAR 26 str. Už jį gresia bauda iki dešimties milijonų eurų arba, jei tai įmonė, iki 2 % jos ankstesnių finansinių metų bendros metinės pasaulinės apyvartos, atsižvelgiant į tai, kuri suma didesnė (BDAR 83 str. 4 d. a p.). Valdžios institucijai ar įstaigai už tokį pažeidimą gresia bauda iki 0,5 % einamųjų metų biudžeto ir kitų praėjusiais metais gautų bendrųjų metinių pajamų, bet ne didesnė negu trisdešimt tūkstančių eurų (Asmens duomenų teisinės apsaugos įstatymo (ADTAĮ) 33 str. 1 d.). Jei institucija vykdo ūkinę komercinę veiklą, taikomos bendrosios BDAR baudos (ADTAĮ 33 str. 3 d.).

Kas dažniausiai nutinka ne taip

• Susitarimo nėra. Šalys dirba kartu metų metus, bet niekas neužrašė, kas atsako į prašymus ar praneša apie pažeidimą. Kai ateina skundas, abi mano, kad tai kitos darbas.
• Susitarimas neatitinka tikrovės. Dokumente viena šalis vadinama tvarkytoja, nors ji pati sprendžia dėl tikslų. EDPB pabrėžia, kad vertinami faktai, o ne formalus paskyrimas (gairių 52 punktas).
• Žmonės apie antrą valdytoją nežino. Privatumo pranešime minima tik viena įmonė, nors duomenis naudoja abi.
• Prašymai „nusiunčiami kitur“. Reikalauti, kad žmogus kreiptųsi tik į kontaktinį punktą, EDPB laiko pernelyg didele našta (189 punktas).
• Bendras valdymas išplečiamas per daug. Partneris renginio sąraše atsidūrusius duomenis ima naudoti savo rinkodarai, nors tam neturi savo pagrindo.

Kada kreiptis į teisininką

• kai rengiate bendrą renginį, kampaniją, platformą ar projektą su kita organizacija;
• kai naudojate socialinių tinklų puslapius, jų analitiką ar įskiepius svetainėje ir nežinote, už ką atsakote;
• kai dalijatės patalpų vaizdo stebėjimu su kitu subjektu;
• kai partneris siūlo savo standartinį susitarimą, kuriame visa atsakomybė perkelta Jums;
• kai gavote žmogaus prašymą ar skundą, susijusį su bendru tvarkymu.