Duomenų teikimas partneriui: valdytojas, tvarkytojas ar bendri

Prieš perduodant asmens duomenis kitai įmonei, reikia nustatyti, kas ji bus tų duomenų atžvilgiu. Jei ji tvarko duomenis Jūsų vardu ir pagal Jūsų nurodymus, ji yra duomenų tvarkytoja. Jei naudoja duomenis savo tikslais, ji yra atskiras duomenų valdytojas. Jei tikslus ir priemones nustatote kartu, esate bendri duomenų valdytojai (BDAR 26 str. 1 d.). Vaidmenį lemia faktai, o ne sutarties pavadinimas.

Nuo atsakymo priklauso trys dalykai: ar pačiam duomenų atskleidimui reikia teisinio pagrindo, kas informuoja žmones ir kokią sutartį reikia sudaryti. Čia – kaip vaidmenį nustatyti, kodėl perduodant duomenis kitam valdytojui reikia atskiro pagrindo ir kas nutinka, kai vaidmuo nurodomas klaidingai. Duomenų tvarkymo sutarties su tvarkytoju turinio čia plačiau neaptariame.

Trys vaidmenys ir kaip juos atskirti

Duomenų valdytojas yra tas, kuris vienas ar drauge su kitais nustato duomenų tvarkymo tikslus ir priemones (BDAR 4 str. 7 p.). Duomenų tvarkytojas yra tas, kuris duomenų valdytojo vardu tvarko asmens duomenis (BDAR 4 str. 8 p.). Visi kiti, kurie nėra nei duomenų subjektas, nei valdytojas, nei tvarkytojas, nei asmenys, kuriems jų tiesioginiu įgaliojimu leidžiama tvarkyti duomenis, yra trečiosios šalys (BDAR 4 str. 10 p.).

Europos duomenų apsaugos valdyba (EDPB) gairėse 07/2020 dėl sąvokų „duomenų valdytojas“ ir „duomenų tvarkytojas“ (2.0 versija, 2021 m. liepos 7 d.) pateikia kelis praktinius kriterijus:

• valdytojui nebūtina pačiam turėti prieigą prie duomenų;
• bendras valdymas gali kilti ne tik iš bendro sprendimo, bet ir iš kelių subjektų sprendimų, kurie vienas kitą papildo ir be kurių tvarkymas nevyktų;
• vien bendra duomenų bazė ar infrastruktūra dar nereiškia bendro valdymo, jei kiekvienas subjektas pats sprendžia dėl savo tikslų;
• įmonių grupėje kita grupės įmonė, kuri nėra nei valdytojas, nei tvarkytojas, yra trečioji šalis.

Vienas EDPB pavyzdys ypač aktualus įmonių grupėms. Patronuojančioji įmonė paprašo dukterinių įmonių pateikti darbuotojų duomenis visos grupės statistikai. Gavusi duomenis, patronuojančioji įmonė yra trečioji šalis, o tvarkydama juos statistikos tikslais – duomenų valdytojas.

Teisingumo Teismas byloje C-683/21 (2023 m. gruodžio 5 d.) išaiškino, kad bendrais valdytojais subjektai gali būti ir tada, kai jokio susitarimo tarpusavyje nesudarė. Taigi bendras valdymas atsiranda iš to, ką šalys daro, o ne iš to, ką jos pasirašė.

Kiekvienam atskleidimui reikia teisinio pagrindo

Kai duomenis perduodate tvarkytojui, jis tvarko juos Jūsų tikslu, todėl tai yra Jūsų pačių tvarkymo dalis. Kai perduodate kitam valdytojui, pats perdavimas yra atskiras tvarkymo veiksmas. Jam reikia vieno iš BDAR 6 str. 1 d. pagrindų. EDPB gairėse pabrėžia, kad kiekvienam duomenų atskleidimui reikia teisinio pagrindo ir suderinamumo įvertinimo, nesvarbu, ar gavėjas yra atskiras, ar bendras valdytojas.

Suderinamumas reiškia štai ką. Duomenys renkami nustatytais tikslais ir toliau netvarkomi su tais tikslais nesuderinamu būdu (BDAR 5 str. 1 d. b p.). Jei perdavimas partneriui yra naujas tikslas, reikia įvertinti, be kita ko, ryšį tarp tikslų, aplinkybes, kuriomis duomenys surinkti, duomenų pobūdį ir galimas pasekmes žmonėms (BDAR 6 str. 4 d.).

Įmonių grupėms reglamentas pateikia vieną orientyrą. Grupės įmonės gali turėti teisėtą interesą perduoti klientų ar darbuotojų duomenis grupės viduje vidaus administraciniais tikslais (BDAR 48 konstatuojamoji dalis). Tai galimybė, o ne leidimas: teisėtas interesas vis tiek turi būti įvertintas, o žmonės informuoti. Apie tai, kada šio pagrindo pakanka, rašėme straipsnyje apie teisėtą interesą.

Informavimo pareiga kyla abiem pusėms. Duomenis perduodantis valdytojas privatumo pranešime turi nurodyti duomenų gavėjus arba jų kategorijas (BDAR 13 str. 1 d. e p.). Duomenis gavęs valdytojas, jei gavo juos ne iš paties žmogaus, turi jį informuoti pats (BDAR 14 str. 1 d.), išskyrus BDAR 14 str. 5 d. numatytus atvejus, dažniausiai ne vėliau kaip per vieną mėnesį (BDAR 14 str. 3 d. a p.).

Pavyzdys: registro išrašas partneriui

Klientas klausė, ar gali perduoti partneriui valstybės registro išrašą apie juridinį asmenį. Tokiuose išrašuose yra ir fizinių asmenų duomenų. Klientas tokius išrašus gaudavo vykdydamas įstatymo nustatytą pareigą tam tikriems savo klientams. Partneris paprašė išrašo apie asmenį, kuriam ši pareiga netaikoma.

Mūsų atsakymas: ne. Klientas registro duomenis gaudavo konkrečiam tikslui – tai teisinei pareigai vykdyti. Kai pareiga netaikoma, šis pagrindas neegzistuoja, o kito pagrindo klientas neturėjo. Be to, toks perdavimas galėtų pažeisti ir registro nustatytas duomenų naudojimo taisykles. Partneris, jei jam reikia duomenų, turi gauti juos pats, savo pagrindu.

Pamoka platesnė nei šis atvejis. Tai, kad duomenis teisėtai turite, dar nereiškia, kad galite juos perduoti. Ir tai, kad anksčiau teikėte panašius duomenis kitu pagrindu, nereiškia, kad galite juos teikti ir šį kartą.

Kokio susitarimo reikia

Tvarkytojas. Reikalinga BDAR 28 str. 3 d. nustatyta sutartis ar kitas teisės aktas. Jei tvarkytojas pats ima nustatyti tvarkymo tikslus ir priemones, to tvarkymo atžvilgiu jis laikomas valdytoju (BDAR 28 str. 10 d.). Kada duomenų tvarkymo sutartis privaloma, rašome straipsnyje Duomenų tvarkymo sutartis: kada privaloma ir kas gresia be jos.

Bendri valdytojai. Jie tarpusavio susitarimu skaidriai nustato, kas už kurią pareigą atsako, visų pirma dėl žmonių teisių ir informavimo (BDAR 26 str. 1 d.). Susitarime apibrėžiamos faktinės kiekvieno funkcijos ir santykiai su žmonėmis, o žmonėms sudaroma galimybė susipažinti su esminėmis jo nuostatomis (BDAR 26 str. 2 d.). EDPB rekomenduoja susitarimą įforminti privalomu dokumentu ir pažymi, kad pareigos nebūtinai paskirstomos po lygiai. Bet kad ir ką šalys susitartų, žmogus gali įgyvendinti savo teises prieš kiekvieną iš jų (BDAR 26 str. 3 d.). Ką turi apimti bendrų valdytojų susitarimas ir kas už ką atsako, rašome straipsnyje Bendri duomenų valdytojai: ką turi numatyti susitarimas ir kas atsako.

Atskiri valdytojai. BDAR konkrečios sutarties formos nereikalauja. Tačiau valdytojas turi gebėti įrodyti, kad laikosi reglamento (BDAR 5 str. 2 d.). Todėl, kai duomenys teikiami reguliariai ar dideliais kiekiais, rekomenduojame duomenų teikimo sutartį tarp valdytojų: kokie duomenys, kokiu tikslu ir pagrindu teikiami, kad gavėjas jų nenaudos kitais tikslais, kaip jie saugomi ir kada ištrinami, kaip šalys bendradarbiauja gavusios žmogaus prašymą ar įvykus pažeidimui. Tai mūsų praktikos rekomendacija, ne įstatymo reikalavimas. Tokio dokumento klausė ir viena įmonių grupė, rinkdamasi, kas parengs BDAR dokumentus jos įmonėms.

Jei partneris yra už Europos ekonominės erdvės ribų, papildomai taikomos perdavimo taisyklės. Apie jas rašėme straipsnyje apie duomenų perdavimą už EEE ribų.

Kas nutinka, kai vaidmuo nustatomas klaidingai

Viena įmonė planavo per savo platformą rinkti klientų užsakymus ir perduoti juos subrangovams, kurie atliktų darbus. Platformos privatumo politikoje buvo parašyta, kad su subrangovais įmonė veiks kaip bendri duomenų valdytojai. Tačiau subrangovai darbus turėjo atlikti įmonės vardu. Mūsų išvada: su kiekvienu subrangovu reikia duomenų tvarkymo sutarties, o privatumo politiką pataisyti, kad žmonės iš anksto žinotų, kam ir kada perduodami jų duomenys. Klaidingai nurodytas vaidmuo reiškia, kad netikslus ir pats pranešimas žmonėms.

Pasekmės priklauso nuo to, kas praleista:

• Duomenų perdavimas be teisinio pagrindo pažeidžia BDAR 5 ir 6 str. Už tai gresia bauda iki dvidešimties milijonų eurų arba, jei tai įmonė, iki 4 % visos jos ankstesnių finansinių metų pasaulinės metinės apyvartos, atsižvelgiant į tai, kuri suma didesnė (BDAR 83 str. 5 d. a p.).
• Nesudarytas bendrų valdytojų susitarimas ar duomenų tvarkymo sutartis yra 26–28 str. prievolių pažeidimas. Bauda gali siekti iki dešimties milijonų eurų arba, jei tai įmonė, iki 2 % visos jos ankstesnių finansinių metų pasaulinės metinės apyvartos, atsižvelgiant į tai, kuri suma didesnė (BDAR 83 str. 4 d. a p.).
• Kai tame pačiame tvarkyme dalyvauja keli valdytojai ar tvarkytojai ir jie atsakingi už žalą, kiekvienas laikomas atsakingu už visą žalą (BDAR 82 str. 4 d.). Sumokėjęs visą kompensaciją, jis gali reikalauti iš kitų jų dalies (BDAR 82 str. 5 d.). Taigi silpnesnio partnerio klaida gali tapti Jūsų išlaidomis.

Teisingumo Teismas byloje C-683/21 taip pat išaiškino, kad administracinė bauda gali būti skirta tik jei pažeidimas padarytas tyčia ar dėl aplaidumo. Tačiau valdytojui ji gali būti skirta ir už veiksmus, kuriuos jo vardu atlieka tvarkytojas, nebent tvarkytojas veikė savo tikslais, nesilaikė valdytojo nustatytos tvarkymo tvarkos ar veikė taip, kad negalima pagrįstai laikyti, jog valdytojas tam pritarė.

Kada kreiptis į teisininką

• kai partneris prašo duomenų, kuriuos gavote iš registro, vykdydami teisinę pareigą ar kitam tikslui;
• kai kuriate bendrą produktą, platformą ar kampaniją su kita įmone;
• kai grupės įmonės keičiasi klientų ar darbuotojų duomenimis;
• kai partneris nori gautus duomenis naudoti ir savo tikslais, pavyzdžiui, rinkodarai;
• kai sutartyje ar privatumo politikoje vaidmenys aprašyti kitaip, nei vyksta iš tikrųjų.